DORA 2026: Dokumentenprüfung im Finanzsektor

Der Digital Operational Resilience Act – Verordnung (EU) 2022/2554, bekannt als DORA – ist seit dem 17. Januar 2025 in vollem Umfang anwendbar. Ab diesem Datum muss jedes Finanzunternehmen, das in der Europäischen Union tätig ist, einen harmonisierten Rahmen einhalten, der IKT-Risikomanagement, Vorfallsmeldung, Resilienzprüfung und Drittanbieter-Risikoaufsicht umfasst. Für jedes Team, das Dokumente als Teil seiner Geschäftsprozesse verarbeitet – Identitätsprüfung, Kreditakten-Zusammenstellung, KYC/GwG-Compliance, Schadenbearbeitung – sind die Konsequenzen erheblich und unmittelbar.

Dieser Artikel untersucht, was DORA für Dokumentenprüfungs-Workflows ändert, warum manuelle Prozesse jetzt regulatorische Lücken schaffen und wie automatisierte Validierung Finanzinstituten hilft, die Anforderungen der Verordnung zu erfüllen.

Was DORA abdeckt und ab wann

Geltungsbereich der Verordnung

DORA ist eine Verordnung, keine Richtlinie. Sie gilt direkt in allen 27 EU-Mitgliedstaaten ohne nationale Umsetzung. Das bedeutet: Die Regeln sind identisch von Lissabon bis Helsinki, von Dublin bis Bukarest – kein Spielraum für nationale Interpretation oder verzögerte Umsetzung.

Die Verordnung ruht auf fünf Säulen:

Zeitplan der Umsetzung

• 16. Januar 2023: DORA trat in Kraft (Beginn der Compliance-Vorbereitungsphase).
• 17. Januar 2025: Anwendungsdatum – alle Pflichten wurden durchsetzbar.
• 15. April 2025: Frist für die erste Einreichung des Informationsregisters (ROI) über IKT-Drittanbieter an nationale Aufsichtsbehörden.
• 17. Januar 2026: Überprüfungsbericht der Europäischen Kommission an das Europäische Parlament und den Rat über mögliche Verschärfung der Anforderungen.
• 2025–2026: Feedbackzyklus mit der Branche zu praktischen Umsetzungsherausforderungen und möglicher regulatorischer Weiterentwicklung.

Die drei europäischen Aufsichtsbehörden – EBA, EIOPA und ESMA – haben Regulierungstechnische Standards (RTS) und Durchführungstechnische Standards (ITS) veröffentlicht, die detaillierte Spezifikationen für jede Säule liefern. Finanzunternehmen befinden sich jetzt in der vollständigen Umsetzungsphase.

Wer ist betroffen?

DORA gilt für 20 Kategorien von Finanzunternehmen – ein wesentlich breiterer Geltungsbereich als jede vorherige EU-Verordnung zum operationellen Risiko.

Die letzte Kategorie – kritische IKT-Drittanbieter – stellt einen Paradigmenwechsel dar. Erstmals können nicht-finanzielle Technologieunternehmen, die den Finanzsektor bedienen, der direkten Aufsicht durch europäische Aufsichtsbehörden unterliegen.

IKT-Risikomanagement: Was DORA für die Dokumentenverarbeitung verlangt

Governance-Rahmen (Artikel 5–6)

Artikel 5 von DORA legt die direkte und persönliche Verantwortung auf das Leitungsorgan jedes Finanzunternehmens für die Definition, Genehmigung, Überwachung und Rechenschaftspflicht für die Umsetzung aller IKT-Risikomanagement-Regelungen. Diese Verantwortung ist nicht delegierbar. Vorstandsmitglieder müssen ausreichende Kenntnisse und Fähigkeiten aufrechterhalten, um IKT-Risiken zu verstehen und zu bewerten, einschließlich durch regelmäßige Schulungen.

Artikel 6 verlangt einen dokumentierten IKT-Risikomanagement-Rahmen, der mindestens jährlich überprüft wird und folgendes umfasst:

• Strategien, Richtlinien, Verfahren und Werkzeuge zum Schutz aller Informations- und IKT-Werte.
• Identifizierung aller von IKT-Systemen unterstützten Geschäftsfunktionen.
• Kartierung von Abhängigkeiten zwischen Systemen.
• Klassifizierung von Informationswerten nach Kritikalität.

Anwendung auf die Dokumentenprüfung: Jeder Prozess, der digitale Werkzeuge zur Dokumentenvalidierung verwendet – OCR, Datenextraktion, Authentizitätsprüfungen, Datenbankabgleich – fällt in den Geltungsbereich des IKT-Risikomanagement-Rahmens. Paradoxerweise kann ein rein manueller Prozess (ein Mitarbeiter prüft visuell ein PDF auf seinem Laptop und notiert das Ergebnis in einer Tabelle) zwar außerhalb des Rahmens zu liegen scheinen, schafft aber aus DORA-Perspektive tatsächlich ein höheres Risiko, weil ihm die von der Verordnung geforderten Kontrollen fehlen.

Datenschutz und -integrität (Artikel 9–10)

Artikel 9 und 10 schreiben Mechanismen vor, um die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten sicherzustellen, sowohl im Ruhezustand als auch bei der Übertragung. Für die Dokumentenverarbeitung bedeutet dies konkret:

• Jedes verarbeitete Dokument muss rückverfolgbar sein: wer es eingereicht hat, wann, welche Verarbeitung angewandt wurde, welches Ergebnis erzielt wurde.
• Jede Entscheidung (Genehmigung, Ablehnung, Anforderung zusätzlicher Informationen) muss zeitgestempelt und einem identifizierten Akteur (Mensch oder System) zugeordnet werden.
• Dokumentenintegrität muss gewährleistet sein: keine unverfolgte Änderung darf zwischen Empfang und Archivierung möglich sein.
• Anomalieerkennungsmechanismen müssen vorhanden sein, um ungewöhnliche Muster in der Dokumentenverarbeitung zu identifizieren.

Warum manuelle Validierung Compliance-Lücken schafft

Ein manueller Dokumentenprüfungsprozess – ein Compliance-Mitarbeiter öffnet ein PDF, prüft visuell die Informationen, setzt ein Häkchen in einer Tabelle – hat strukturelle Defizite unter DORA:

Die wahren Kosten manueller Dokumentenprüfung sind nicht mehr nur ein Thema der operativen Effizienz – sie sind jetzt ein regulatorisches Compliance-Thema.

IKT-Vorfallsmanagement und Dokumentenprüfung

Meldepflichten (Artikel 17–23)

DORA verlangt die Klassifizierung, Dokumentation und Meldung aller schwerwiegenden IKT-bezogenen Vorfälle an die zuständige Aufsichtsbehörde (in Deutschland die BaFin). Ein Vorfall wird als schwerwiegend eingestuft, wenn er betrifft:

• Die Kontinuität kritischer oder wichtiger Funktionen.
• Die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten.
• Dienstleistungen für Kunden oder Gegenparteien.

Bezug zur Dokumentenprüfung: Ein Fehler im Dokumentenvalidierungsprozess kann in mehreren Szenarien einen meldepflichtigen Vorfall darstellen:

1. Fehlerhafte Validierung gefälschter Dokumente, die zur Kontoeröffnung oder Kreditvergabe an eine nicht berechtigte Person führt – eine Verletzung der Datenintegrität und potenziell Erleichterung von Finanzkriminalität.
2. Systemausfall, der die Bearbeitung von Kundenakten verhindert – eine Unterbrechung der Dienstleistungskontinuität.
3. Datenleck von Identitätsdokumenten, die ohne angemessene Verschlüsselung gespeichert wurden – eine Vertraulichkeitsverletzung.
4. Systematischer Algorithmusfehler in der Validierungs-Engine, über einen längeren Zeitraum unentdeckt – ein Versagen des IKT-Risikomanagement-Rahmens selbst.

IKT-Drittanbieter-Risikomanagement (Artikel 28–44)

Das Informationsregister

Artikel 28 von DORA verlangt von Finanzunternehmen, das IKT-Drittanbieter-Risiko als integralen Bestandteil ihres IKT-Risikomanagement-Rahmens zu managen. Die unmittelbarste Pflicht ist die Führung eines Informationsregisters (ROI), das alle IKT-Dienstleister abdeckt.

Für jeden Anbieter muss das Register dokumentieren:

• Identifizierung des Anbieters und seines Standorts (einschließlich Unterauftragnehmer).
• Art der erbrachten Dienstleistungen.
• Unterstützte kritische oder wichtige Funktionen.
• Vertragsstart- und Enddaten.
• Weiterverlagerungsvereinbarungen.
• Datenverarbeitungsstandorte.

Auswirkungen auf die Auswahl von Dokumentenprüfungswerkzeugen

Wenn Sie ein Drittanbieter-Werkzeug für die Dokumentenprüfung nutzen – eine SaaS-Validierungsplattform, eine OCR-API, einen Authentifizierungsdienst, einen Datenbankabgleich-Anbieter – fällt dieser Anbieter in den Geltungsbereich des DORA-Drittanbieter-Risikomanagements. Sie müssen:

1. Den Anbieter formell registrieren in Ihrem ROI.
2. Die Risiken bewerten, die mit einem Ausfall oder einer Leistungsverschlechterung des Anbieters verbunden sind.
3. Vertragsklauseln prüfen, die Sicherheit, Auditierbarkeit, Datenstandort, Service-Level, Zugriffsrechte und Kündigungsbestimmungen abdecken.
4. Eine Exit-Strategie definieren für den Fall, dass der Anbieter ausfällt, übernommen wird oder nicht-konform wird.
5. Ihre Resilienz testen bei Nichtverfügbarkeit des Anbieters – kann Ihr Dokumentenprüfungsprozess im Notbetrieb weiterlaufen?

Automatisierte Dokumentenprüfungslösungen wie CheckFile sind darauf ausgelegt, diese Drittanbieter-Anforderungen zu erfüllen: vollständige Prüfpfade, kontrollierte Datenstandorte, vertragliche SLAs und detaillierte technische Dokumentation für aufsichtliche Prüfungen.

DORA-Compliance-Checkliste für die Dokumentenprüfung

Governance und IKT-Risikomanagement-Rahmen

• Dokumentenprüfung ist als IKT-abhängige Funktion im Risikomanagement-Rahmen identifiziert.
• Informationswerte bezüglich der Prüfung (Dokumente, Daten, Systeme) sind inventarisiert und klassifiziert.
• Das Leitungsorgan hat die IKT-Risikomanagement-Richtlinie zur Dokumentenprüfung genehmigt.
• Eine verantwortliche Person ist für die Governance des Prüfprozesses benannt.
• Der IKT-Risikomanagement-Rahmen wird mindestens jährlich und nach schwerwiegenden Vorfällen überprüft.

Rückverfolgbarkeit und Prüfpfade

• Jedes verarbeitete Dokument erzeugt einen vollständigen Prüfpfad (Empfang, Verarbeitung, Ergebnis, Entscheidung).
• Prüfpfade sind mit einer zuverlässigen Zeitquelle zeitgestempelt.
• Prüfergebnisse sind reproduzierbar und deterministisch.
• Prüfpfade werden gemäß geltenden Anforderungen aufbewahrt (mindestens 5 Jahre für KYC/GwG-Akten, gemäß AMLD6-Bestimmungen).
• Prüfdaten sind gegen unbefugte Änderung oder Löschung geschützt.

Vorfallsmanagement

• Dokumentenprüfungsvorfälle (Fehler, Ausfälle, Anomalien) werden im IKT-Vorfallsregister erfasst.
• Ein Klassifizierungs- und Eskalationsverfahren existiert für Prüfvorfälle.
• Schwerwiegende Vorfälle (Validierung gefälschter Dokumente, längerer Ausfall) lösen den Meldeprozess an die BaFin aus.
• Ursachenanalysen werden für alle bedeutsamen Vorfälle durchgeführt.

Drittanbieter-Risikomanagement

• Alle Dokumentenprüfungs-Dienstleister sind im Informationsregister (ROI) registriert.
• Verträge mit diesen Anbietern enthalten die von DORA geforderten Klauseln (Auditierbarkeit, Datenstandort, SLAs, Kündigungsrechte, Zugang für Aufsichtsbehörden).
• Eine Exit-Strategie ist für jeden kritischen Anbieter definiert.
• Drittanbieter-Risikobewertungen werden mindestens jährlich überprüft.

Resilienzprüfung

• Dokumentenprüfungsprozesse sind im Programm zur Prüfung der digitalen operationellen Resilienz enthalten.
• Kontinuitätstests werden mindestens jährlich durchgeführt.
• Business-Continuity- und Disaster-Recovery-Pläne decken die Dokumentenprüfung explizit ab.
• Testergebnisse werden dokumentiert und dem Leitungsorgan berichtet.

Die DORA-AMLD6-Konvergenz: Ein doppelter dokumentarischer Imperativ

DORA operiert nicht isoliert. Die Verordnung konvergiert mit den erweiterten dokumentarischen Pflichten unter AMLD6 und schafft einen doppelten Compliance-Imperativ für Finanzunternehmen:

• AMLD6 verlangt zuverlässige Identitätsdokumentenprüfung, vollständige KYC-Prozess-Rückverfolgbarkeit und Nachweisaufbewahrung für mindestens 5 Jahre.
• DORA verlangt, dass die für diese Prüfungen verwendeten Systeme selbst resilient, geprüft, nachverfolgt und getestet sind.

Eine Verordnung adressiert das „Was" (welche Dokumente zu prüfen, mit welchem Zuverlässigkeitsstandard), die andere das „Wie" (mit welchen Systemen, unter welcher Governance, mit welchem Resilienzniveau). Beide konvergieren auf derselben Schlussfolgerung: Manuelle Dokumentenprüfung erfüllt regulatorische Standards nicht mehr.

Für Unternehmen im Versicherungssektor ist diese Konvergenz besonders akut. Schadenakten umfassen sowohl Identitätsprüfungen (AMLD6-Bereich) als auch kritische IKT-Verarbeitungsworkflows (DORA-Bereich). Ein einzelner Schadenbearbeitungsprozess muss möglicherweise beide Rahmenwerke gleichzeitig erfüllen.

Häufig gestellte Fragen

Gilt DORA auch für kleinere Finanzunternehmen und nicht-systemrelevante Institute?

Ja, DORA gilt für alle 20 Kategorien von Finanzunternehmen, die in der Verordnung aufgelistet sind, unabhängig von der Unternehmensgröße. Allerdings sieht DORA für kleine und nicht verflochtene Wertpapierfirmen sowie bestimmte kleine Institute ein vereinfachtes IKT-Risikomanagement-Rahmenwerk vor, das verhältnismäßigere Anforderungen stellt. Das Prinzip der Verhältnismäßigkeit bedeutet, dass Anforderungen an den Umfang und die Komplexität der Tätigkeit angepasst werden, aber kein Unternehmen vollständig vom Geltungsbereich ausgenommen ist.

Was muss ein Finanzunternehmen tun, wenn es einen externen Dokumentenprüfungsdienst nutzt?

Das Unternehmen muss den Anbieter zunächst formell im Informationsregister (ROI) registrieren und die verbundenen Risiken bewerten. Vertragsklauseln müssen Auditierbarkeit, Datenstandort innerhalb der EU, Service-Level-Vereinbarungen, Zugriffsrechte für Aufsichtsbehörden und Kündigungsrechte abdecken. Zudem muss eine Exit-Strategie für den Fall des Ausfalls oder der Nicht-Konformität des Anbieters definiert werden, und die Resilienz bei Nichtverfügbarkeit muss regelmäßig getestet werden.

Wie hängen DORA und AMLD6 für Dokumentenprüfungs-Workflows zusammen?

DORA und AMLD6 schaffen einen doppelten dokumentarischen Imperativ: AMLD6 definiert, welche Dokumente mit welchem Zuverlässigkeitsstandard zu prüfen sind, während DORA vorschreibt, mit welchen Systemen, unter welcher Governance und mit welchem Resilienzniveau diese Prüfungen durchzuführen sind. Ein manueller KYC-Prozess, der die inhaltlichen AMLD6-Anforderungen erfüllen könnte, schafft dennoch DORA-Compliance-Lücken, weil er die erforderliche Rückverfolgbarkeit, Reproduzierbarkeit und Auditierbarkeit nicht liefert.

Welche konkreten Dokumentenprüfungs-Prozesse fallen unter den DORA-Rahmen?

Jeder Prozess, der digitale Werkzeuge zur Dokumentenvalidierung verwendet, fällt in den Geltungsbereich: OCR-Systeme, Datenextraktion, Authentizitätsprüfungen, Datenbankabgleiche und automatisierte Compliance-Prüfungen. Paradoxerweise schafft ein rein manueller Prozess aus DORA-Perspektive ein höheres regulatorisches Risiko, weil ihm die von der Verordnung geforderten Kontrollen für Rückverfolgbarkeit, Reproduzierbarkeit und systematische Anomalieerkennung fehlen.

Vorbereitung Ihrer Organisation

Finanzunternehmen in der gesamten EU haben einen klaren regulatorischen Rahmen – DORA ist in Kraft – aber die Umsetzung bleibt ein erhebliches Unterfangen. Die Prioritäten für 2026:

1. Kartierung Ihrer Dokumentenverarbeitungs-Workflows: Identifizieren Sie jeden Punkt, an dem Dokumente empfangen, geprüft, validiert und archiviert werden. Jeder Prozess muss innerhalb Ihres IKT-Risikomanagement-Rahmens dokumentiert sein.

2. Bewertung Ihrer Rückverfolgbarkeitslücken: Ermitteln Sie für jeden Prozess, ob Sie die vollständige Verarbeitungskette eines vor 6 Monaten, 2 Jahren oder 5 Jahren eingereichten Dokuments rekonstruieren können. Wenn die Antwort die Suche in E-Mail-Postfächern und Netzlaufwerken umfasst, haben Sie eine Compliance-Lücke.

3. Registrierung Ihrer Prüfanbieter im ROI: Falls noch nicht geschehen, nehmen Sie Ihre Dokumentenprüfungs-Werkzeuganbieter in Ihr Informationsregister auf und prüfen Sie, dass Ihre Verträge die nach Artikel 28–30 erforderlichen Klauseln enthalten.

4. Automatisierung dort, wo es am meisten zählt: Priorisieren Sie die Automatisierung für Prüfprozesse mit hohem Volumen und hoher Kritikalität (KYC-Onboarding, Kontoeröffnung, Kreditakten-Zusammenstellung, Schadenbearbeitung).

5. Testen Sie Ihre Resilienz: Integrieren Sie Dokumentenprüfungs-Workflows in Ihr jährliches Resilienzprüfungsprogramm, einschließlich Kontinuitäts-, Integritäts-, Last- und Wiederherstellungsszenarien.

6. Schulen Sie Ihr Leitungsorgan: Artikel 5 verlangt, dass Vorstandsmitglieder ausreichende IKT-Risikokenntnisse aufrechterhalten. Stellen Sie sicher, dass Ihre Führungsebene versteht, wie die Dokumentenprüfung in den breiteren Rahmen der operationellen Resilienz passt.

---

Dokumentenprüfung ist kein peripherer Back-Office-Prozess mehr. Unter DORA ist sie eine Kernkomponente der digitalen operationellen Resilienz Ihres Instituts. Finanzunternehmen, die jetzt automatisieren – mit Lösungen, die vollständige Prüfpfade, deterministische Verarbeitung und native Auditierbarkeit bieten – gewinnen einen strukturellen Vorteil bei der Erfüllung regulatorischer Anforderungen.

CheckFile unterstützt Finanzinstitute bei dieser Transition: automatisierte Dokumentenprüfung, umfassende Prüfpfade, API-Integration und Compliance mit Drittanbieter-Management-Anforderungen unter DORA. Entdecken Sie unsere Preise oder kontaktieren Sie unser Team für eine Bewertung Ihrer Dokumentenprüfungsprozesse gegen die DORA-Anforderungen.