2026 ist das Jahr, in dem aus Regulierung Prüfungsrealität wird. Jahrelang ließ sich die Compliance mit DORA und NIS2 vor allem als Dokumentationsaufgabe verstehen: Richtlinien formulieren, Verantwortlichkeiten festhalten, Prozesse beschreiben. Dieser Ansatz reicht nicht mehr. Die Aufsichtsbehörden prüfen 2026 erstmals systematisch – und sie fragen nicht mehr, ob operative Resilienz beschrieben ist, sondern ob sie tatsächlich funktioniert.
Wer ein sauberes Regelwerk im Ordner hat, aber nicht belegen kann, dass seine Systeme einem realen Angriff oder Ausfall standhalten, hat das eigentliche Problem nicht gelöst. Compliance ist damit kein Dokumentations-, sondern ein Test- und Nachweisproblem geworden.
Was DORA konkret verlangt
Der Digital Operational Resilience Act (EU-Verordnung 2022/2554) gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten – allerdings ausschließlich für den Finanzsektor: Banken, Versicherungen, Zahlungsinstitute und weitere beaufsichtigte Finanzunternehmen. In Deutschland liegt die Aufsicht bei der BaFin.
Inhaltlich zielt DORA auf nachweisbare IT-Resilienz im Finanzsektor. Dazu gehören regelmäßige Resilienz- und Penetrationstests, mit denen Institute belegen, dass ihre Systeme Störungen verkraften. Für als bedeutsam eingestufte Institute kommt eine anspruchsvollere Stufe hinzu: Threat-Led Penetration Testing (TLPT) nach dem TIBER-EU-Framework – also angriffsnahe Tests, die reale Bedrohungsszenarien nachstellen, statt nur Checklisten abzuarbeiten.
Hinzu kommt eine strenge Meldepflicht: Bei schwerwiegenden IKT-Vorfällen muss die Erstmeldung innerhalb von vier Stunden nach Feststellung bei der BaFin eingehen. Vier Stunden sind keine Frist, die man mit einem gut gemeinten Prozessdokument erfüllt – sie setzen voraus, dass Erkennung, Einstufung und Eskalation im Ernstfall tatsächlich greifen. Auch das ist am Ende eine Frage des Testens.
Was NIS2 zusätzlich bringt – und wie beide zusammenwirken
NIS2 erweitert den Blick über den Finanzsektor hinaus. In Deutschland ist die Richtlinie seit Dezember 2025 über das NIS2-Umsetzungsgesetz in Kraft, zuständig ist das BSI. Betroffen sind rund 30.000 Unternehmen – ein deutlich breiterer Kreis als bei DORA, von kritischer Infrastruktur bis zu wichtigen Zulieferern. Auch NIS2 verlangt unter anderem regelmäßige Penetrationstests und Schwachstellenanalysen. Der rote Faden ist derselbe: nachweisbare Sicherheit statt reiner Selbstauskunft.
Für Unternehmen, die unter beide Regelwerke fallen könnten, gilt eine klare Logik: Für reine Finanzunternehmen geht DORA als speziellere Regelung vor. NIS2 greift dort, wo DORA nicht anwendbar ist. In der Praxis heißt das weniger „entweder/oder“ als „dasselbe Prinzip, unterschiedlicher Geltungsbereich“ – und in gemischten Konzernstrukturen lohnt sich ein genauer Blick, welche Einheit welchem Regime unterliegt.
Der Schweiz-Teil: ISV, ISMS und Druck über die Lieferkette
Auch wer außerhalb der EU sitzt, kommt am Thema nicht vorbei. In der Schweiz müssen Betreiber kritischer Infrastruktur bis zum 31. Dezember 2026 gemäß Informationssicherheitsverordnung (ISV) ein Informationssicherheits-Managementsystem (ISMS) aufgebaut haben. Ein ISMS in der Schweiz ist dabei kein einmaliges Projekt, sondern ein dauerhaft gelebter Rahmen – und auch hier zählt am Ende, ob er im Betrieb trägt, nicht ob er auf Papier existiert.
Dazu kommt indirekter Druck: Über EU-Lieferketten und EU-Tochtergesellschaften wirken DORA und NIS2 faktisch auch auf Schweizer Unternehmen. Wer europäische Finanzinstitute oder NIS2-pflichtige Kunden beliefert, wird deren Resilienzanforderungen an die eigene IT weitergereicht bekommen. Abwarten ist deshalb auch jenseits der Grenze keine Option.
Der gemeinsame Nenner: Es ist ein Testproblem
Legt man DORA, NIS2 und die Schweizer ISV nebeneinander, laufen alle drei auf denselben Punkt hinaus. Es genügt nicht, Richtlinien zu dokumentieren – Unternehmen müssen durch echtes, wiederkehrendes Testing nachweisen, dass ihre IT im Ernstfall hält. Genau hier scheitern viele Organisationen: Die Dokumentation ist vorhanden, oft sogar umfangreich. Was fehlt, ist der belastbare Testnachweis.
Dieser Unterschied entscheidet 2026 über das Prüfungsergebnis. Ein Penetrationstest, der einmalig und ohne klaren Bezug zu den kritischen Geschäftsprozessen durchgeführt wurde, ist kein Nachweis operativer Resilienz. Prüffähig wird Resilienz erst, wenn Tests regelmäßig, nachvollziehbar und realitätsnah ablaufen, wenn Ergebnisse in konkrete Maßnahmen münden und wenn sich der gesamte Zyklus – von der Schwachstellenanalyse über das TLPT bis zur Behebung – lückenlos belegen lässt. Dokumentation ohne diesen Nachweis fällt in der Prüfung durch.
Was das für Ihr Unternehmen heißt
Die gute Nachricht: Diese Anforderung ist beherrschbar – sie ist in erster Linie eine Frage von Disziplin und Methodik. Genau dort setzt die Erfahrung von Ventus IT Services an. Wir begleiten seit Jahren komplexe, regulierte IT-Programme und bringen Praxis in Test- und Release-Management, Quality Gates und der Absicherung geschäftskritischer Systeme mit. Der Hebel liegt selten in noch mehr Dokumentation, sondern darin, Testing so zu verankern, dass es im Betrieb trägt und in der Prüfung standhält – ob für DORA Compliance im Finanzsektor, für NIS2 oder für den Aufbau eines prüffesten ISMS in der Schweiz.
Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für die konkrete Einordnung Ihrer Pflichten im Einzelfall ziehen Sie bitte fachkundigen rechtlichen Rat hinzu.
