Wie verändert sich die Beratung von Banken durch neue Anforderungen an operationelle Resilienz?

Daniel Hoffmann · 03 Sep. 2026

Operationelle Resilienz verändert die Bankenberatung grundlegend: Regulatorische Anforderungen wie DORA zwingen Banken dazu, ihre IT-Systeme, Prozesse und Governance-Strukturen systematisch auf Widerstandsfähigkeit zu prüfen und nachzurüsten. Das schafft einen erheblichen Beratungsbedarf, der weit über klassisches IT-Risikomanagement hinausgeht. Die folgenden Fragen beleuchten die konkreten Anforderungen, veränderten Mandatsprofile und gefragten Fachprofile in diesem Segment.

Welche konkreten Anforderungen stellt DORA an Banken und deren IT-Systeme?

DORA (Digital Operational Resilience Act) verpflichtet Banken und andere Finanzdienstleister dazu, ihre digitale operationelle Resilienz strukturiert nachzuweisen. Konkret verlangt die Verordnung ein umfassendes ICT-Risikomanagement-Framework, regelmäßige Resilienztests einschließlich Threat-Led Penetration Testing (TLPT) sowie ein belastbares Management von Drittanbieterrisiken. Seit Anfang 2025 ist DORA verbindlich anwendbar.

Die wesentlichen Anforderungsbereiche lassen sich wie folgt zusammenfassen:

ICT-Risikomanagement: Banken müssen ein vollständiges Framework zur Identifikation, Klassifizierung und Steuerung von IKT-Risiken implementieren und dokumentieren.
Incident Reporting: Schwerwiegende IKT-bezogene Vorfälle sind nach definierten Kriterien und innerhalb enger Meldefristen an die zuständigen Aufsichtsbehörden zu melden.
Resilienztests: Neben grundlegenden Testprogrammen müssen systemrelevante Institute regelmäßig TLPT-Übungen durchführen, die von externen Prüfern abgenommen werden.
Third-Party Risk Management: Verträge mit kritischen IKT-Drittanbietern müssen spezifische Klauseln enthalten; Konzentrations- und Ausfallrisiken sind aktiv zu steuern.
Information Sharing: Finanzdienstleister sind angehalten, relevante Bedrohungsinformationen innerhalb des Sektors auszutauschen.

Für Banken bedeutet DORA in der Praxis einen erheblichen Umsetzungsaufwand: Bestehende Governance-Strukturen müssen auf DORA-Konformität geprüft, Lücken identifiziert und Maßnahmen priorisiert werden. Viele Institute haben diesen Gap-Assessment-Prozess bereits abgeschlossen und befinden sich nun in der Implementierungsphase, bei der externer Sachverstand besonders gefragt ist.

Wie verändert operationelle Resilienz das Mandatsprofil in der Bankenberatung?

Operationelle Resilienz verschiebt das Mandatsprofil in der Bankenberatung von punktuellen Compliance-Projekten hin zu strategisch verankerten Transformationsprogrammen. Beratungsmandate in diesem Bereich sind komplexer, länger und erfordern ein breiteres Kompetenzspektrum als klassische Regulatorikprojekte. Das verändert sowohl die Anforderungen an Beratungsteams als auch die Art, wie Banken externe Unterstützung einkaufen.

Klassische Regulatorikmandate hatten häufig einen klaren Scope: ein Gap Assessment, eine Handlungsempfehlung, ein Abschlussbericht. Resilienzprojekte hingegen erstrecken sich über mehrere Phasen, von der Bestandsaufnahme kritischer Geschäftsprozesse über die Entwicklung von Recovery- und Response-Playbooks bis zur Implementierung technischer Kontrollen und dem Aufbau von Testprogrammen.

Das hat unmittelbare Konsequenzen für Financial Services Consulting: Beratungshäuser, die in diesem Segment wettbewerbsfähig sein wollen, müssen interdisziplinäre Teams aufstellen, die regulatorische Expertise mit technologischem Know-how und operativem Bankverständnis verbinden. Einzelne Spezialisten reichen nicht mehr aus; gefragt sind Professionals, die zwischen IT, Regulatorik und Business-Seite vermitteln können.

Was ist der Unterschied zwischen operationeller Resilienz und Business Continuity Management?

Operationelle Resilienz und Business Continuity Management (BCM) verfolgen verwandte, aber konzeptionell unterschiedliche Ziele. BCM fragt: Wie stellen wir den Betrieb nach einem Ausfall wieder her? Operationelle Resilienz fragt: Wie stellen wir sicher, dass kritische Geschäftsdienste auch unter extremen Bedingungen nicht unterbrochen werden? Der Unterschied liegt im Ausgangspunkt: Resilienz denkt vom Kundenergebnis her, BCM vom internen Prozess.

Konkret bedeutet das:

BCM ist prozessorientiert und fokussiert auf Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO) für interne Systeme und Prozesse.
Operationelle Resilienz ist ergebnisorientiert und stellt die Frage, welche Dienste aus Kundensicht unter keinen Umständen ausfallen dürfen, und definiert entsprechende Impact Tolerances.
Regulatorischer Rahmen: BCM ist seit Jahren etablierter Standard; operationelle Resilienz ist das neuere, aufsichtsrechtlich verbindliche Konzept, das BCM nicht ersetzt, aber überlagert und erweitert.

In der Praxis müssen Banken beide Disziplinen integrieren. Ein robustes BCM-Framework ist eine notwendige, aber keine hinreichende Voraussetzung für DORA-Konformität. Die aufsichtsrechtliche Erwartung geht weiter: Banken sollen nachweisen, dass ihre Impact Tolerances auch unter adversarialen Bedingungen eingehalten werden.

Welche Bereiche einer Bank sind von operationellen Resilienzprojekten am stärksten betroffen?

Am stärksten betroffen sind jene Bereiche, die kritische Geschäftsdienste verantworten oder als IKT-Dienstleister für diese fungieren. Das sind in der Regel IT und Technologie, Operations, Risk Management sowie Compliance und Regulatorik. Darüber hinaus sind Einkauf und Vendor Management durch die DORA-Anforderungen an Drittanbieter direkt einbezogen.

Im Detail:

IT und Technologie: Verantwortlich für die Implementierung technischer Kontrollen, das Patch- und Vulnerability-Management sowie die Durchführung von Resilienztests.
Operations: Müssen kritische Geschäftsprozesse identifizieren, dokumentieren und mit Impact Tolerances versehen. Hier entsteht oft der größte Abstimmungsaufwand zwischen Business und IT.
Risk Management: Verantwortet das übergeordnete ICT-Risikomanagement-Framework und die Integration in den ICAAP sowie die übergreifende Risikoberichterstattung.
Compliance und Regulatorik: Koordiniert die aufsichtsrechtliche Kommunikation, überwacht die Einhaltung der Meldefristen und stellt die Dokumentation für Prüfungen sicher.
Vendor Management / Einkauf: Muss bestehende Verträge mit kritischen IKT-Drittanbietern auf DORA-Konformität prüfen und nachverhandeln.

Besonders aufwendig ist die bereichsübergreifende Koordination: Operationelle Resilienz ist kein Thema, das ein einzelner Bereich allein lösen kann. Das erklärt, warum Banken für solche Programme häufig dedizierte Programmbüros einrichten und externe Beratung mit Erfahrung in der Koordination interdisziplinärer Teams einbinden.

Welche Fachprofile werden für Resilienzprojekte in Banken gesucht?

Für operationelle Resilienzprojekte in Banken werden Professionals gesucht, die regulatorisches Wissen mit technologischem Verständnis und operativem Bankkontext verbinden. Das Profil ist selten auf dem Markt, weil es mehrere Disziplinen überbrückt. Besonders nachgefragt sind erfahrene Projektleiter und Senior-Berater mit nachweisbarer DORA- oder Operational-Resilience-Erfahrung sowie Experten für ICT-Risikomanagement und Third-Party Risk.

Konkret lassen sich drei Profilcluster unterscheiden:

Regulatorische Spezialisten mit technologischem Verständnis

Professionals, die DORA, MaRisk und vergleichbare Anforderungen aus der Praxis kennen und gleichzeitig in der Lage sind, mit IT-Architekten und Systemverantwortlichen auf Augenhöhe zu sprechen. Diese Profile kommen häufig aus dem Regulatory Consulting oder aus der zweiten Verteidigungslinie (Risk, Compliance) großer Institute.

Program Manager und Transformation Leads

Erfahrene Führungskräfte, die komplexe, bereichsübergreifende Transformationsprogramme steuern können. Sie müssen sowohl die inhaltliche Substanz mitbringen als auch die Stakeholder-Dynamiken in großen Banken navigieren. Typische Karrierewege führen über Unternehmensberatungen im Financial Services Consulting oder über interne Transformationsprogramme bei Tier-1-Banken.

Wann sollten Banken externe Beratung für operationelle Resilienz hinzuziehen?

Banken sollten externe Beratung für operationelle Resilienz dann hinzuziehen, wenn interne Kapazitäten fehlen, die regulatorische Uhr läuft und das Risiko einer Fehlimplementierung die Kosten externer Unterstützung übersteigt. Das ist bei DORA für die meisten Institute der Fall, weil das Thema neu, komplex und aufsichtsrechtlich verbindlich ist.

Konkrete Trigger für den Einsatz externer Beratung sind:

Gap Assessment: Wenn der aktuelle Stand der eigenen Resilienzfähigkeit unklar ist und eine neutrale Außenperspektive benötigt wird.
Implementierungsdruck: Wenn interne Teams mit dem laufenden Betrieb ausgelastet sind und für ein zeitkritisches Transformationsprogramm keine freien Kapazitäten haben.
Spezialisiertes Know-how: Wenn TLPT-Übungen, Third-Party-Risk-Assessments oder die Vertragsüberprüfung mit kritischen IKT-Anbietern spezifische Expertise erfordern, die intern nicht vorhanden ist.
Aufsichtskommunikation: Wenn eine Prüfung durch BaFin oder EZB bevorsteht und externe Unterstützung bei der Dokumentation und Vorbereitung sinnvoll ist.

Neben der projektbezogenen Beratung entscheiden sich viele Banken parallel dazu, Schlüsselpositionen in der zweiten und dritten Verteidigungslinie dauerhaft zu besetzen. Damit wird operationelle Resilienz von einem Projektthema zu einer dauerhaften institutionellen Kompetenz, was aus aufsichtsrechtlicher Perspektive zunehmend erwartet wird.

Wie GKES Banken bei der Besetzung von Resilienz-Führungspositionen unterstützt

Operationelle Resilienz ist kein Thema, das sich dauerhaft über externe Beratung lösen lässt. Banken, die in diesem Bereich nachhaltig aufgestellt sein wollen, brauchen die richtigen Führungskräfte intern, Professionals, die regulatorische Tiefe, technologisches Verständnis und die Fähigkeit zur bereichsübergreifenden Steuerung mitbringen. Genau hier setzen wir an.

Als inhabergeführte Executive-Search-Boutique mit Spezialisierung auf den Financial-Services-Sektor besetzen wir Führungspositionen im Bereich Risk, Regulatorik und Operational Resilience bei Banken, Beratungshäusern und Finanzdienstleistern. Unsere Berater kennen den Markt aus eigener Erfahrung und sprechen die Sprache dieser Profile, was bei der Ansprache passiver Kandidaten den entscheidenden Unterschied macht.

Was wir konkret leisten:

Identifikation und direkte Ansprache von Senior-Professionals mit nachweisbarer DORA- und Operational-Resilience-Erfahrung
Besetzung von Führungspositionen in der zweiten Verteidigungslinie: Head of Operational Resilience, Chief Risk Officer, Head of ICT Risk, Head of Third-Party Risk
Besetzung von Projektleiter- und Programm-Management-Rollen in Beratungshäusern mit Financial-Services-Consulting-Fokus
Diskretion, Verbindlichkeit und partnerschaftliche Begleitung auf Inhaber- und Partnerebene, ohne Massenprozesse

Wenn Sie eine Schlüsselposition im Bereich operationelle Resilienz oder Regulatorik besetzen müssen, sprechen Sie uns an. Weitere Informationen zu unserem Executive-Search-Ansatz finden Sie hier, oder besuchen Sie unsere Seite für Unternehmen, um zu erfahren, wie wir Mandate im Financial-Services-Sektor strukturieren und durchführen.