4. Ergebnisse

Das Kapitel präsentiert die zentralen empirischen Befunde einer Online-Befragung von 49 kleinen bis mittelgroßen Instituten (LSIs) zur DORA-Verordnung. Die Ergebnisse zeigen, dass die Institute die Anforderungen von DORA durchgängig als hochgradig belastend empfinden, wobei die Schwerpunkte in den Bereichen IKT-Risikomanagement, IKT-Vorfälle und Meldepflichten, Testen der digitalen Resilienz sowie Management von IKT-Drittparteien liegen. Besonders auffällig ist die nahezu geschlossene Einschätzung, dass DORA einen erheblich höheren Aufwand als BAIT verursacht und dass die Umsetzung für kleinere Institute unverhältnismäßig erscheint. Die Analyse der Einflussfaktoren zeigt, dass die Belastungswahrnehmung durch DORA nicht eindimensional erklärbar ist, sondern das Ergebnis eines komplexen Zusammenspiels von Institutsmerkmalen, Ressourcenentscheidungen und Projektstrategien. Die multivariaten Analysen verdeutlichen, dass Outsourcing und Ressourcen die entscheidenden Stellgrößen sind, während Größe und Projektstart ebenfalls wichtige, aber sekundäre Faktoren darstellen. Die qualitative Analyse der Freitextantworten bestätigt die quantitativen Befunde und zeigt, dass die Institute die Umsetzung von DORA weniger als fachliche, sondern vor allem als ressourcenbezogene und organisatorische Herausforderung begreifen. Besonders kritisch sind die Kombination aus Personal- und Budgetengpässen, umfangreicher Dokumentationspflicht und mangelnder regulatorischer Klarheit. Die Institute fordern weniger interne Hilfe, sondern vor allem externe Orientierung durch verbindliche Leitlinien, proportionalere Vorgaben und standardisierte Werkzeuge. Das Kapitel bietet somit wertvolle Einblicke in die praktischen Herausforderungen und Lösungsansätze bei der Umsetzung der DORA-Verordnung.