21. Juli 2026 · Morten Babakhani · Aktualisiert am 29. September 2026
Die europäische Verordnung über die digitale operationale Resilienz — DORA, Verordnung (EU) 2022/2554 — gilt seit dem 17. Januar 2025 für Banken, Versicherungen und weitere Finanzunternehmen. Sie richtet sich auf IKT-Risiken und auf die Steuerung von Drittanbietern. Quelle: BaFin zu DORA.
HR-Verantwortliche halten das häufig für ein Thema der Kernbanksysteme. In den Projekten, die wir begleiten, landet es regelmäßig bei ihnen.
Warum HR-Systeme betroffen sein können
DORA unterscheidet nicht nach Fachbereich, sondern nach Bedeutung für den Betrieb. Ein HR-System ist selten kritisch für die Erbringung von Finanzdienstleistungen — aber es verarbeitet personenbezogene Daten in großem Umfang, es hängt an der Identitätsverwaltung, und die Entgeltabrechnung ist ein Prozess, dessen Ausfall unmittelbar spürbar ist.
Ob Ihr HR-System als Unterstützung einer kritischen oder wichtigen Funktion eingeordnet wird, ist eine Entscheidung Ihres Hauses. Sie wird getroffen — mit oder ohne HR am Tisch.
Was aus der Einordnung folgt
Ein Register der Informationen. Vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen müssen erfasst und der Aufsicht gemeldet werden. Das betrifft auch Ihren HR-Cloud-Anbieter und jeden Unterauftragnehmer.
Ausstiegsstrategien. Sie müssen darlegen, wie Sie einen Dienst beenden könnten, ohne den Betrieb zu unterbrechen. Für eine HR-Suite heißt das: Datenexport in nutzbarer Form, dokumentierte Prozesse, ein Plan für den Übergang.
Prüf- und Zugangsrechte. Verträge müssen Audit-Rechte enthalten — für Sie und für die Aufsicht. Bei Standardverträgen großer Anbieter ist das eine Verhandlungsposition, die früh gesetzt werden muss.
Meldung von Vorfällen. Schwere IKT-Vorfälle sind fristgebunden zu melden. Ihr HR-Bereich braucht dafür einen Weg, der nicht über zwei Postfächer läuft.
Was Anbieter jetzt liefern müssen
Wer Software an Finanzunternehmen verkauft, wird nach Nachweisen gefragt, die vor drei Jahren niemand verlangt hat: Notfallkonzepte mit Wiederherstellungszeiten, Unterauftragnehmerlisten mit Standorten, Ergebnisse von Belastungstests, Zertifizierungsnachweise.
Wir sehen an Ausschreibungen, dass diese Fragen inzwischen den Ausschlag geben — nicht der Funktionsumfang. Für kleinere Anbieter ist das eine echte Marktschwelle. Wer die Unterlagen sauber vorhält, hat einen Vorteil, der nichts mit dem Produkt zu tun hat.
Was wir empfehlen
Fragen Sie in Ihrem Haus nach der Einordnung Ihrer HR-Systeme, statt sie abzuwarten. Wenn die Antwort „unterstützt eine wichtige Funktion” lautet, klären Sie zuerst zwei Dinge: Datenexport und Wiederherstellungszeit.
Beides steht selten belastbar im Vertrag, und beides lässt sich nicht in der Woche beantworten, in der die Aufsicht fragt.
Was im Vertrag stehen muss
Fünf Punkte prüft die Aufsicht zuerst, und alle fünf sind Vertragsfragen, nicht technische.
Prüf- und Zugangsrechte für Sie und für die Aufsicht. Eine benannte Liste der Unterauftragnehmer samt Standorten, mit Anzeigepflicht bei Änderungen. Wiederherstellungs- und Reaktionszeiten als Zahl, nicht als Bemühensklausel. Ein Ausstiegsszenario mit Datenexport in nutzbarem Format. Und die Meldewege bei Vorfällen, mit Fristen, die zu Ihren eigenen Meldefristen passen.
Bei Standardverträgen großer Anbieter sind das Verhandlungspunkte, die man vor der Unterschrift setzen muss. Danach kostet jeder davon eine Vertragsänderung.