21. Juli 2026 · Morten Babakhani · Aktualisiert am 5. November 2026
Die europäische Verordnung über die digitale operationale Resilienz — DORA, Verordnung (EU) 2022/2554 — gilt seit dem 17. Januar 2025 für Banken, Versicherungen und weitere Finanzunternehmen. Sie richtet sich auf IKT-Risiken und auf die Steuerung von Drittanbietern. Quelle: BaFin zu DORA.
HR-Verantwortliche halten das häufig für ein Thema der Kernbanksysteme. In den Projekten, die wir begleiten, landet es regelmäßig bei ihnen.
Warum HR-Systeme betroffen sein können
DORA unterscheidet nicht nach Fachbereich, sondern nach Bedeutung für den Betrieb. Ein HR-System ist selten kritisch für die Erbringung von Finanzdienstleistungen — aber es verarbeitet personenbezogene Daten in großem Umfang, es hängt an der Identitätsverwaltung, und die Entgeltabrechnung ist ein Prozess, dessen Ausfall unmittelbar spürbar ist.
Ob Ihr HR-System als Unterstützung einer kritischen oder wichtigen Funktion eingeordnet wird, ist eine Entscheidung Ihres Hauses. Sie wird getroffen — mit oder ohne HR am Tisch.
Welche Aufgaben Sie mit den zuständigen Stellen klären
Informationsregister. Vertragliche Vereinbarungen über IKT-Dienstleistungen gehören in das Register. Dabei wird zwischen der Unterstützung kritischer oder wichtiger Funktionen und anderen Leistungen unterschieden. Jährliche Meldungen und die Bereitstellung des Registers auf Anforderung sind zu unterscheiden.
Vertragsanforderungen. Artikel 30 unterscheidet Mindestbestandteile für IKT-Verträge von zusätzlichen Anforderungen bei kritischen oder wichtigen Funktionen. Dazu zählen je nach Einordnung Leistungsziele, Prüf- und Zugangsrechte, Notfallvorsorge und Übergangsregelungen.
Ausstieg und Vorfälle. Stimmen Sie Datenexport, Wiederherstellung, Eskalation und erforderliche Ausstiegspläne mit IKT-Risikomanagement, Einkauf und Legal ab. Der HR-Bereich liefert die fachlichen Auswirkungen eines Ausfalls und die Anforderungen an den Weiterbetrieb.
Die Einzelheiten ergeben sich unter anderem aus den Artikeln 28 und 30 der DORA-Verordnung.
Was Anbieter jetzt liefern müssen
Wer Software an Finanzunternehmen verkauft, wird nach Nachweisen gefragt, die vor drei Jahren niemand verlangt hat: Notfallkonzepte mit Wiederherstellungszeiten, Unterauftragnehmerlisten mit Standorten, Ergebnisse von Belastungstests, Zertifizierungsnachweise.
Wir sehen an Ausschreibungen, dass diese Fragen inzwischen den Ausschlag geben — nicht der Funktionsumfang. Für kleinere Anbieter ist das eine echte Marktschwelle. Wer die Unterlagen sauber vorhält, hat einen Vorteil, der nichts mit dem Produkt zu tun hat.
Was wir empfehlen
Fragen Sie in Ihrem Haus nach der Einordnung Ihrer HR-Systeme, statt sie abzuwarten. Wenn die Antwort „unterstützt eine wichtige Funktion” lautet, klären Sie zuerst zwei Dinge: Datenexport und Wiederherstellungszeit.
Beides steht selten belastbar im Vertrag, und beides lässt sich nicht in der Woche beantworten, in der die Aufsicht fragt.
Mit einer gemeinsamen Bestandsaufnahme beginnen
Halten Sie je HR-Anwendung Zweck, Anbieter, Vertragsverantwortung, angebundene Systeme und die Folgen eines Ausfalls fest. Daraus können die zuständigen Stellen die Einordnung und die noch benötigten Nachweise ableiten. Brandmonks unterstützt die Aufnahme und technische Klärung im Rahmen Ihrer HR-IT-Projekte.