ESMA Report 2026, DORA wird scharf gestellt

I. Warum Du den Text lesen solltest

Für Vorstände und Compliance-Verantwortliche markiert der am 12. Juni 2026 veröffentlichte ESMA-Jahresbericht eine Zäsur. Er verdeutlicht, dass die europäischen DORA-Vorgaben (Digital Operational Resilience Act) nicht mehr nur ein abstraktes regulatorisches Projekt sind, sondern unmittelbare Auswirkungen auf die persönliche Haftung haben. Dieser Text zeigt auf, warum IT-Ausfälle bei externen Dienstleistern – die im Fokus der Aufsicht stehen – nun zur direkten persönlichen Organhaftung nach § 93 AktG oder § 43 GmbHG führen können und warum eine sofortige Anpassung der internen Meldeprozesse für IKT-Vorfälle zwingend erforderlich ist.

II. Zeitliche Vorgaben und wiederkehrende Zeitfenster

Aufsichtspflichten: Gemäß Artikel 22 Absatz 2 DORA sind die Europäischen Aufsichtsbehörden (ESAs) verpflichtet, jährlich einen konsolidierten Bericht über schwerwiegende IKT-bezogene Vorfälle zu veröffentlichen.

Operative Meldefristen für Unternehmen: Während die PR-Texte zur DORA-Umsetzung oft keine spezifischen Stundenzahlen nennen, definieren die technischen Regulierungsstandards (RTS) ein extrem enges Zeitfenster:

Erstmeldung: Spätestens 24 Stunden nach Entdeckung bzw. in der Regel innerhalb von 4 Stunden nach der internen Klassifizierung als „schwerwiegend“.

Zwischenbericht: Bei signifikanten Statusänderungen oder spätestens 72 Stunden nach Beginn.

Abschlussbericht: Spätestens einen Monat nach vollständiger Behebung des Vorfalls.

Aufsichtserwartung: Die Aufsicht prüft heute nicht mehr nur die Existenz von Richtlinien, sondern fordert den Nachweis, dass Ihre internen Meldeketten in der Lage sind, diese strikten Fristen in der Krisenpraxis einzuhalten.

III. Pflichten für C-Level und Compliance

1. Pflichten für das C-Level (Vorstand / Geschäftsführung)

Die IT-Sicherheit wandelt sich von einer operativen IT-Aufgabe zur strategischen Kernpflicht:

Unübertragbare Gesamtverantwortung (Art. 5 DORA): Die finale Verantwortung für das Management von IKT-Risiken ist nicht delegierbar. Der Vorstand muss die digitale Resilienz aktiv steuern, statt sie an den CIO oder externe IT-Dienstleister auszulagern.

Schutz vor persönlicher Haftung: Eine „sound corporate governance“ im Bereich der digitalen Resilienz ist Voraussetzung, um sich gegen Haftungsklagen nach § 93 AktG oder § 43 GmbHG abzusichern.

Investitionspflicht: Angesichts von KI-gestützten Bedrohungsszenarien ist das Management verpflichtet, ausreichende Budgets und Ressourcen bereitzustellen, um einen Status quo zu halten, der den aktuellen Cybersecurity-Standards entspricht.

2. Pflichten für die Compliance-Organisation

Die Compliance-Abteilung fungiert als „Haftungsschild“ durch:

Striktes Drittparteien-Risikomanagement (Art. 28 DORA): Da Systemausfälle bei Dienstleistern primäre Risikotreiber sind, muss Compliance die Überwachung von IT-Auslagerungen („third-party dependencies“) lückenlos absichern.

Implementierung der Meldekette (Art. 17–19 DORA): Compliance muss Prozesse etablieren, die sicherstellen, dass IKT-Vorfälle („Major Incidents“) sofort erkannt, klassifiziert und fristgerecht an die Aufsicht gemeldet werden.

Regulatorische Übersetzung: Compliance ist dafür verantwortlich, die abstrakten Aufsichtserwartungen (wie sie der ESMA-Bericht 2025/2026 definiert) in konkrete, prüfbare interne Richtlinien zu überführen.

IV. Problemfelder (Pain Points)

Die Umsetzung der DORA-Vorgaben stellt eine tiefgreifende organisatorische Transformation dar, die häufig an vier zentralen Punkten scheitert:

Kommunikations-Silo (Art. 5 DORA): Vorständen fehlt oft das technische Vokabular, um Cyberrisiken als betriebswirtschaftliche Gefahr zu verstehen. Wenn Risiken ohne tiefes Verständnis abgenickt werden, entsteht eine Haftungsfalle.

Ohnmacht gegenüber Tech-Giganten (Art. 28 DORA): Die Verhandlungsmacht ist oft asymmetrisch. Verträge mit großen Cloud-Anbietern lassen sich schwer individuell anpassen, und die Transparenz über „Sub-Outsourcing“-Ketten der Dienstleister ist oft unzureichend.

Zeitdruck im Meldewesen (Art. 17–19 DORA): Die Klassifizierung eines Vorfalls als „Major Incident“ ist oft ein langwieriger Prozess. Die Kette von der IT über den Krisenstab bis zur Compliance ist in den meisten Häusern zu silohaft organisiert, um in Echtzeit zu agieren.

Ressourcenmangel vs. KI-Gefahr: Hochleistungsfähige, KI-gesteuerte Angriffe erfordern massive Investitionen. Der Fachkräftemangel im Bereich Cybersicherheit macht es schwierig, das notwendige Expertenwissen intern aufzubauen.

V. Umsetzungsfahrplan und Lösungsempfehlungen

Um die Haftungsrisiken zu minimieren, müssen die Barrieren zwischen IT, Rechtsabteilung und Vorstand aufgebrochen werden:

C-Level-Governance: Implementieren Sie ein Management-Dashboard, das technische Bedrohungen in finanzielle und operative Impact-Szenarien übersetzt. Richten Sie ein „ICT Risk Committee“ ein, in dem Budgetentscheidungen und die Akzeptanz von Restrisiken revisionsfest protokolliert werden.

Dienstleister-Steuerung: Führen Sie ein rigides „Vendor-Tiering“ ein. Konzentrieren Sie Audit-Ressourcen nur auf Dienstleister, die kritische Funktionen stützen. Nutzen Sie Branchen-Audit-Pools, um gegenüber großen Anbietern Stärke zu zeigen, und entwickeln Sie praxiserprobte „Exit-Pläne“.

Krisen-Melde-Management: Etablieren Sie klare Entscheidungsbäume, um zeitraubende Diskussionen über die Klassifizierung zu vermeiden. Führen Sie regelmäßig „Tabletop Exercises“ (Krisensimulationen) durch und nutzen Sie vorab juristisch geprüfte Templates für die Aufsichtsmeldungen.

Ressourcen & KI: Setzen Sie auf automatisierte SOAR-Systeme (Security Orchestration, Automation and Response), um das IT-Team von Standardaufgaben zu entlasten. Beim Einsatz externer Security-Dienstleister gilt: Die Ausführung kann „co-sourced“ werden, die finale Kontrollverantwortung verbleibt immer bei Ihnen.

VI. Fazit

Der jüngste ESA-Bericht zeigt unmissverständlich: IT-Risiken sind grenzüberschreitend, systemrelevant und der Haupttreiber für operative Störungen im Finanzsektor. Mit über 3.300 Vorfällen ist das Drittparteien-Management zum Aufsichtsfokus geworden. Für das C-Level und die Compliance bedeutet dies: Digitale Resilienz ist keine IT-Aufgabe mehr, sondern eine geschäftskritische Verpflichtung, um die Zukunftsfähigkeit des Unternehmens zu sichern und persönliche Haftungsrisiken abzuwenden.

VII. Quellenverzeichnis

European Securities and Markets Authority (ESMA), Annual Report 2025 (Dokumentennummer: ESMA22-50751485-1657) vom 12.06.2026:

https://www.esma.europa.eu, und

www.esma.europa.eu/… abgerufen am 24.06.2026