DORA-Bericht: 3.383 ICT-Vorfälle in EU-Finanzsektor 2025
Die Europäischen Aufsichtsbehörden (ESAs) veröffentlichen ihren ersten Bericht zu DORA-relevanten ICT-Vorfällen. Im Jahr 2025 wurden 3.383 schwerwiegende Vorfälle im EU-Finanzsektor gemeldet, hauptsächlich im Kredit- und Zahlungsverkehrsbereich.
3.383 Vorfälle: Kredit- und Zahlungsverkehr im Fokus
Im Jahr 2025 wurden im EU-Finanzsektor insgesamt 3.383 schwerwiegende ICT-Vorfälle gemeldet, durchschnittlich 0,18 pro Finanzunternehmen unter DORA.
Die Mehrheit konzentrierte sich auf den Kredit- und Zahlungsverkehrssektor.
Diese Häufung ist laut Bericht eher auf die Marktstruktur, frühere Meldepflichten und die hohe Digitalisierung dieser Bereiche zurückzuführen als auf spezifische Schwächen.
Die ESAs betonen, dass die Anzahl der Vorfälle nicht als Indikator für strukturelle Schwächen missverstanden werden sollte.
Stattdessen belege die Fähigkeit der Finanzunternehmen, Vorfälle rasch zu identifizieren, zu managen und einzudämmen, die tatsächliche Resilienz des Sektors.
Trotz der Häufigkeit und der teilweise grenzüberschreitenden Reichweite war der Einfluss auf Kunden, Transaktionen und Finanzkontrahenten begrenzt.
Zwei Drittel der Vorfälle führten zu keiner oder nur geringfügiger Störung, was die Wirksamkeit der frühzeitigen Erkennung und der Reaktionsmaßnahmen unterstreicht.
Grenzenlose Risiken und Drittanbieter-Schwächen
Die Analyse zeigt, dass ICT-Risiken zunehmend grenzenlos sind.
Rund ein Drittel der gemeldeten Vorfälle hatte einen grenzüberschreitenden Einfluss, was die wachsende Vernetzung der Finanzunternehmen durch gemeinsame Infrastrukturen und ICT-Dienste unterstreicht.
Systemausfälle und externe Ereignisse erwiesen sich als die vorherrschenden Ursachen.
Fast ein Drittel der schwerwiegenden Vorfälle ging auf Ausfälle von Drittanbietern zurück, was die kritische Rolle ausgelagerter Dienste und die Bedeutung eines robusten Drittanbieter-Risikomanagements hervorhebt.
Die relativ geringe Anzahl von als Cyber-Sicherheitsvorfällen eingestuften Fällen deutet darauf hin, dass bestehende Schutz- und Erkennungsmechanismen im Allgemeinen wirksam waren.
Die ESAs betonen die Notwendigkeit, höchste Cybersicherheitsstandards aufrechtzuerhalten, um mit potenziellen KI-gesteuerten Bedrohungen Schritt halten zu können.
DORA-Start: Ein Lernprozess mit klaren Baustellen
Aus aufsichtlicher Sicht zeigen sich noch deutliche Divergenzen in den Meldepraktiken über Sektoren und Jurisdiktionen hinweg.
Dies ist ein erwartbares Ergebnis der frühen Implementierungsphase des neuen DORA-Melderegelwerks, erfordert aber eine verstärkte Koordination zur Verbesserung der Datenqualität.
Der Bericht liefert eine wichtige erste Bestandsaufnahme, die jedoch durch die unvollständige Datenbasis und die noch nicht ausgereiften Meldeprozesse in ihrer Aussagekraft begrenzt bleibt.