Die IT-Regulatorik gemeinsam bewältigen:

Orca, Dorca, Dora

Pascal Bazzazi

Stockholm

30. Oktober 2026

Die DORA-Regulierung steht für jeden Finanzdienstleister weit oben auf der Tagesordnung, und das stetig. Nun haben mehrere Akteure eines bestimmten Segmentes sich zusammengetan, um insbesondere eine zentrale Herausforderung der IT-Regulierung besser bewältigen zu können. Ein Modell auch für das Pensionswesen? Und was kein Fisch mit alldem nicht zu tun hat.

Dass DORA für die meisten (Pensions-)Investoren eine große Rolle spielt, ist bekannt. Dass die Kapitalverwaltungsgesellschaften das ebenso tun, auch. Nun haben gestern zehn deutsche KVGen bekanntgegeben, im Sommer die „Digital Operational Resilience and Cyber Risk Association e.V.“, kurz „DORCA“, gegründet zu haben.

Im Fokus steht, dass DORA Finanzunternehmen bekanntlich u.a. verpflichtet, nicht nur ihre IT-Systeme, sondern auch ihre kritischen Dienstleister auf Widerstandsfähigkeit gegenüber Cyberangriffen zu prüfen (sog. IKT-Drittparteienrisiken).

Den Angaben zufolge verfolgt der neue Verein nun das Ziel, die Mitglieder bei der Erfüllung der Anforderungen der seit Januar 2025 geltenden EU-Verordnung zur digitalen Sicherheit im Finanzsektor, dem „Digital Operational Resilience Act“, kurz „DORA“, zu unterstützen.

Konkret heißt das: die DORA-Anforderungen gemeinschaftlich und effizient durch gemeinsame Prüfungen kritischer IT-Dienstleister, einen strukturierten Informationsaustausch zu Cyberrisiken und einheitliche Sicherheitsstandards umzusetzen.

„Das bündelt Ressourcen, reduziert Doppelaufwand und trägt bei, einheitlich hohe Sicherheitsstandards zu fördern.“

DORCA soll dazu die gesetzlich vorgesehene Möglichkeit nutzen, Drittparteien-Prüfungen auch gemeinschaftlich durchführen zu dürfen, so dass die Mitgliedsgesellschaften auf die gemeinsam gewonnenen Erkenntnisse zurückgreifen können, statt gleichartige Prüfungen jeweils separat durchzuführen. „Das bündelt Ressourcen, reduziert Doppelaufwand und trägt dazu bei, einheitlich hohe Sicherheitsstandards in der Branche zu fördern“, so die Initiatoren in einer Mitteilung.

Stimmen der Beteiligten

„Das bedeutet für institutionelle Anleger, dass die Kapitalverwaltungsgesellschaften ihre IT-Sicherheit nachweislich ernst nehmen und das, ohne dafür unverhältnismäßig hohe Kosten aufzuwenden. DORCA macht aus einer regulatorischen Pflicht eine echte Stärke, die unseren Anlegern zugutekommt,“ erklärt Alina Hadley, Spezialistin IT-Regulatorik des Gründungsmitglieds Aachener Grundvermögen Kapitalverwaltungsgesellschaft mbH.

„Digitale Resilienz ist keine Frage der Unternehmensgröße, sondern eine gemeinsame Verantwortung der gesamten Branche. Mit DORCA schaffen wir einen Rahmen, in dem Kapitalverwaltungsgesellschaften in ihrer digitalen Resilienz zum Schutz aller Anleger voneinander lernen, Prüfergebnisse teilen und einheitliche Standards setzen,“ erläutert Jens Pietsch, Head of Strategic Procurement & Vendor Management des Gründungsmitglieds AGI weiter.

Bernhard Brielmaier, Director Fund Operations des Gründungsmitglieds Catella Real Estate AG, ergänzt: „Die DORA-Verordnung der EU stellt gerade kleinere und mittelgroße Gesellschaften vor erhebliche Herausforderungen. Gemeinsame Audits sind effizienter und liefern bessere Ergebnisse. Denn, wer mit anderen auf denselben Dienstleister schaut, sieht mehr.“

Die zehn Teilnehmer

Dem DORCA-Vorstand gehören an:

Aachener Grundvermögen Kapitalverwaltungsgesellschaft mbH
Allianz Global Investors GmbH
Catella Real Estate AG

Gründungsmitglieder sind außerdem: Art-Invest Real Estate Funds GmbH, BNP Paribas REIM Germany GmbH, Helaba Invest Kapitalanlagegesellschaft mbH, mondial Kapitalverwaltungsgesellschaft mbH, Monega Kapitalverwaltungsgesellschaft mbH, Universal-Investment-Gesellschaft mbH und Warburg Invest Kapitalverwaltungsgesellschaft mbH.

Der Verein steht allen Kapitalverwaltungsgesellschaften in Europa offen.

Fazit von ALTERNATIVES●INDUSTRIES

DORA-Kooperationen gab es in Europa vereinzelt schon, es gibt sogar ein EIOPA-Papier zu dem Thema an sich.

Ob sich diese Kooperation hier, die sich nun als Verein institutionalisiert, in der Praxis wirklich bewährt und Vorteile bietet, bleibt natürlich abzuwarten. Auch bleibt etwas unklar, wer konkret diese Kooperation aktiv betreibt. Der Vorstand? Jedenfalls müssen diese Verantwortlichen dann natürlich auch wirklich gegenüber allen anderen (die ja ihre Mittbewerber sind) mit offenen Karten spielen. Aber erstmal gilt: Der Vorstoß der deutschen KVGen im „Race against the Machine“ klingt klug und nachvollziehbar. Warum nicht getrennt marschieren und vereint kontrollieren? Das ist schließlich an sich eine bewährte Strategie.

Und wenn gerade die KVGen sich in den stürmischen Zeiten von (nach Befürchtung mancher Zeitgenossen möglicherweise außer Kontrolle geratenen) Technologie-Sprüngen anschicken, hier wetterfester zu werden, dient das allen Investoren (namentlich den personalseitig bekanntlich traditionell schlank aufgestellten Pensionsinvestoren und damit deren Berechtigten).

Allerdings beachte man (und die Beteiligten dürften sich dem auch bewusst sein): Gemeinschaftlich prüfen heißt nicht, Verantwortung gemeinschaftlich abgeben zu können (das kennen wir aus dem OCIO-Wesen).

Die eigentlich spannende Frage ist aber: Warum sollen andere Marktteilnehmer nicht das tun, was die KVGen hier vorexerzieren? Warum sollten nicht deutsche Pensionsinvestoren einen solchen Verein gründen? Oder die Asset Manager? Oder die Custodians? Oder Akteure spartenübergreifend? Grundsätzlich, aber gerade bei letzterer Perspektive stellt sich dann aber die Frage, ob unterschiedliche IKT-Drittparteienrisiken bei unterschiedlichen Risikoprofilen und regulatorischen Anforderungen der Auftraggeber sich so kollektiv prüfen lassen.

Jedenfalls: Gerade die IKT-Drittparteienrisiken sind ein zentrales Thema in DORA (nicht zuletzt für die Aufsicht). Man wird sehen, ob die DORCA-Sache sich bewährt und andere Segmente des Parketts zu ähnlichen Strukturen greifen werden.

Und was hat nun der in der Überschrift genannte ORCA mit der Sache zu tun? Gar nichts. Klingt aber gut und gab auch ein Motiv zur Illustration des Beitrages her (Moltke reimt sich halt so schlecht auf DORCA). Désolé.

Diskriminierungsfreie Sprache auf LEITERbAV

LEITERbAV bemüht sich um diskriminierungsfreie Sprache (bspw. durch den grundsätzlichen Verzicht auf Anreden wie „Herr“ und „Frau“ auch in Interviews). Dies muss jedoch im Einklang stehen mit der pragmatischen Anforderung der Lesbarkeit als auch der Tradition der althergerbachten Sprache. Gegenwärtig zu beobachtende, oft auf Satzzeichen („Mitarbeiter:innen“) oder Partizipkonstrukionen („Mitarbeitende“) basierende Hilfskonstruktionen, die sämtlich nicht ausgereift erscheinen und dann meist auch nur teilweise durchgehalten werden („Arbeitgeber“), finden entsprechend auf LEITERbAV nicht statt. Grundsätzlich gilt, dass sich durch LEITERbAV alle Geschlechter gleichermaßen angesprochen fühlen sollen und der generische Maskulin aus pragmatischen Gründen genutzt wird, aber als geschlechterübergreifend verstanden werden soll. Auch hier folgt LEITERbAV also seiner übergeordneten Maxime „Form follows Function“, unter der LEITERbAV sein Layout, aber bspw. auch seine Interpunktion oder seinen Schreibstil (insb. „Stakkato“) pflegt. Denn „Form follows Function“ heißt auf Deutsch: "hässlich, aber funktioniert".

© Pascal Bazzazi – LEITERbAV – Die auf LEITERbAV veröffentlichten Inhalte und Werke unterliegen dem deutschen Urheberrecht. Keine Nutzung, Veränderung, Vervielfältigung oder Veröffentlichung (auch auszugsweise, auch in Pressespiegeln) außerhalb der Grenzen des Urheberrechts für eigene oder fremde Zwecke ohne vorherige schriftliche Genehmigung. Die Inhalte einschließlich der über Links gelieferten Inhalte stellen keinerlei Beratung dar, insbesondere keine Rechtsberatung, keine Steuerberatung und keine Anlageberatung. Alle Meinungsäußerungen geben ausschließlich die Meinung des verfassenden Redakteurs, freien Mitarbeiters oder externen Autors wieder.