Die europäischen Aufsichtsbehörden EBA, EIOPA und ESMA haben im September 2026 ihre strategischen Aufsichtsprioritäten für 2027 veröffentlicht. Die nationalen Aufsichtsbehörden sollen sie in ihre Arbeitsprogramme übernehmen. Vier Prüffelder stehen im Mittelpunkt: Cybersicherheit und IKT-Vorfälle, das Risikomanagement bei IKT-Drittdienstleistern, Geschäftsfortführung und Krisenvorsorge sowie KI und neue Technologien. Für die Praxis heißt das: Eine Strategie allein genügt nicht. Beim Ausstieg aus einem Dienstleister braucht jede IKT-Dienstleistung, die eine kritische oder wichtige Funktion stützt, einen eigenen Exit-Plan. Nach Art. 28 Abs. 8 DORA und der Delegierten Verordnung (EU) 2024/1773 muss er dokumentiert und umfassend sein, Alternativen bewerten und Übergangspläne enthalten. Er muss realistisch durchführbar sein, einen Zeitplan haben, der zu den Kündigungsbedingungen im Vertrag passt, und getestet sowie regelmäßig überprüft werden. Bei Versicherern prüft die Aufsicht zusätzlich die Abhängigkeiten aus Auslagerungen und die Einhaltung der EIOPA-Vorgaben zu KI-Governance und KI-Risikomanagement. Banken sollen unter anderem zeigen, wie das Leitungsorgan in Notfallmanagement und Wiederherstellungsplanung eingebunden ist. Hintergrund: BaFin und Bundesbank berichteten im Dezember 2025 aus den ersten DORA-Prüfungen von nicht vollständig identifizierten kritischen oder wichtigen Funktionen, lückenhaften Inventaren, fehlenden Umsetzungsnachweisen sowie veralteten oder ungetesteten Notfallplänen. Bei unseren Kunden aus Versicherung und Bank hat sich bewährt, jede Anforderung bis auf die Detailebene zu zerlegen, jeweils eine verantwortliche Person und einen Nachweis zu benennen und offene Punkte nach Prüfungsrelevanz abzuarbeiten. Umgesetzt ist eine Anforderung erst dann, wenn der Nachweis vorliegt und der Plan getestet wurde.