---
adresse: "https://qvestcon.com/dora-update-markus-junge/dora-vorstand-haftung-bank_91e53823/"
titel: "CRA-Risikobewertung: DORA-Methoden…"
beschreibung: "Eine Bank mit eigener Banking-App gilt nach den Leitlinien der EU-Kommission als Herstellerin im Sinne des Cyber…"
sprache: "de-DE"
stand: "2026-10-26"
---

Qvestcon News

# CRA-Risi­ko­be­wer­tung: DORA-Methoden reichen für Banking-Apps nicht

Eine Bank mit eigener Banking-App gilt nach den Leitlinien der EU-Kommission als Herstellerin im Sinne des Cyber Resilience Act (CRA). Kommt die App ab Dezember 2027 neu auf den Markt oder wird sie danach wesentlich geändert, verlangt Art. 13 CRA eine eigene Risi­ko­be­wer­tung. Das DORA-Risi­ko­re­gis­ter kann diese Bewertung nicht ersetzen. Es bewertet Risiken für das Haus und akzeptiert sie innerhalb der Risi­ko­to­le­ranz. Die CRA-Bewertung betrachtet den Schaden für die Kunden, die die App nutzen, und für Dritte. Risi­ko­to­le­ranz, Geschäfts­stra­te­gie und Kosten des Hauses sind dort kein Maßstab. Der Normentwurf prEN 40000-1-2 zeigt diese Richtung. Praktisch heißt das: 1. Produkte mit digitalen Elementen erfassen, die das Haus selbst anbietet, zum Beispiel die Banking-App. 2. Für diese Produkte eine eigene Risi­ko­be­wer­tung nach CRA anlegen, getrennt von der IKT-Risikoanalyse nach DORA. 3. Schutzziele der Daten und Funktionen des Produkts als Bezugsobjekte verwenden, nicht die Infor­ma­ti­ons­werte des Unternehmens. 4. Das hinnehmbare Restrisiko an Ver­wen­dungs­zweck, Nutzern, rechtlichen Vorgaben und Stand der Technik ausrichten. 5. Als Ergebnis eine Anwend­bar­keits­er­klä­rung erstellen, ähnlich dem Statement of Applicability aus der ISO 27001: Sie nennt, welche grundlegenden Cyber­si­cher­heits­an­for­de­run­gen gelten und wie sie umgesetzt sind. Umgesetzt ist das Vorgehen, wenn für jedes betroffene Produkt eine solche Erklärung vorliegt und die bisherigen Methoden im IKT-Risi­ko­ma­nage­ment dort wei­ter­ent­wi­ckelt wurden, wo sie den neuen Anforderungen nicht genügen.

[DORA](https://qvestcon.com/news/dora-ikt/)26.10.2026

Eine Bank mit eigener Banking-App gilt nach den Leitlinien der EU-Kommission als Herstellerin im Sinne des Cyber Resilience Act (CRA). Kommt die App ab Dezember 2027 neu auf den Markt oder wird sie danach wesentlich geändert, verlangt Art. 13 CRA eine eigene Risi­ko­be­wer­tung. Das DORA-Risi­ko­re­gis­ter kann diese Bewertung nicht ersetzen. Es bewertet Risiken für das Haus und akzeptiert sie innerhalb der Risi­ko­to­le­ranz. Die CRA-Bewertung betrachtet den Schaden für die Kunden, die die App nutzen, und für Dritte. Risi­ko­to­le­ranz, Geschäfts­stra­te­gie und Kosten des Hauses sind dort kein Maßstab. Der Normentwurf prEN 40000-1-2 zeigt diese Richtung. Praktisch heißt das: 1. Produkte mit digitalen Elementen erfassen, die das Haus selbst anbietet, zum Beispiel die Banking-App. 2. Für diese Produkte eine eigene Risi­ko­be­wer­tung nach CRA anlegen, getrennt von der IKT-Risikoanalyse nach DORA. 3. Schutzziele der Daten und Funktionen des Produkts als Bezugsobjekte verwenden, nicht die Infor­ma­ti­ons­werte des Unternehmens. 4. Das hinnehmbare Restrisiko an Ver­wen­dungs­zweck, Nutzern, rechtlichen Vorgaben und Stand der Technik ausrichten. 5. Als Ergebnis eine Anwend­bar­keits­er­klä­rung erstellen, ähnlich dem Statement of Applicability aus der ISO 27001: Sie nennt, welche grundlegenden Cyber­si­cher­heits­an­for­de­run­gen gelten und wie sie umgesetzt sind. Umgesetzt ist das Vorgehen, wenn für jedes betroffene Produkt eine solche Erklärung vorliegt und die bisherigen Methoden im IKT-Risi­ko­ma­nage­ment dort wei­ter­ent­wi­ckelt wurden, wo sie den neuen Anforderungen nicht genügen.

- [#Banken](https://qvestcon.com/stichwoerter/b/#banken)
- [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer)
- [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister)
- [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/p-r/#pruefungsplanung)
- [#Qvestcon](https://qvestcon.com/stichwoerter/p-r/#qvestcon)
- [#MarkusJunge](https://qvestcon.com/stichwoerter/m-o/#markusjunge)
- [#CRA](https://qvestcon.com/stichwoerter/c/#cra)
- [#DORA](https://qvestcon.com/stichwoerter/d-e/#dora)

Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall.

[Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20CRA-Risikobewertung%3A%20DORA-Methoden%20reichen%20f%C3%BCr%20Banking-Apps%20nicht#erstgespraech)

[Weitere Meldungen in DORA](https://qvestcon.com/news/dora-ikt/) · [alle Qvestcon-News](https://qvestcon.com/news/)