Konzeptkarte

DORA-Betriebsresilienz für SAP-KI

Stand 27. September 2026

Redaktion: Cédric Mary, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist DORA-Betriebsresilienz für SAP-KI?

DORA (Verordnung (EU) 2022/2554, anwendbar seit 17. Januar 2025) behandelt SAP-KI bei Banken und Versicherern als IKT: Jeder Agent und jedes Modell gehört in den IKT-Risikorahmen und das Informationsregister, ein schwerwiegender Vorfall startet die Meldefristen 4 h/72 h/1 Monat, und seit 18. November 2025 ist die SAP SE ein benannter kritischer IKT-Drittdienstleister unter direkter EU-Aufsicht.

Der Digital Operational Resilience Act — DORA, Verordnung (EU) 2022/2554, anwendbar seit 17. Januar 2025 — ist das einheitliche EU-Regelwerk für IKT-Risiken im Finanzsektor: Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Anbieter von Kryptowerte-Dienstleistungen und weitere in Artikel 2 genannte Unternehmen. „KI“ wird darin nicht als eigene Kategorie behandelt — gerade deshalb ist DORA für SAP-KI relevant: Ein Joule-Agent, ein SAP-RPT-Vorhersagedienst auf SAP AI Core, eine Datasphere- oder BDC-Pipeline für das aufsichtliche Meldewesen oder ein Document-AI-Extraktionsprozess sind IKT-Dienstleistungen und IKT-Assets. Für sie gelten dieselben Pflichten wie für das Kernbankensystem.

Die fünf Säulen, übertragen auf SAP-KI

IKT-Risikomanagement (Kapitel II, Artikel 5–16). Das Leitungsorgan verantwortet einen IKT-Risikomanagementrahmen: Identifizierung von IKT-Assets und Abhängigkeiten, Schutz, Erkennung, Reaktion und Wiederherstellung, Datensicherung und Geschäftsfortführung. Für SAP-KI bedeutet das: BTP-Subaccounts mit AI-Core-Deployments, genutzte Modell-Endpunkte des Generative AI Hub, Grounding-Datenquellen, Joule-Agenten und ihre Werkzeuge müssen identifiziert, nach den unterstützten Geschäftsfunktionen eingestuft und durch Fortführungsvorkehrungen abgedeckt sein — einschließlich der Frage, was der Fachbereich tut, wenn ein Modell-Endpunkt ausfällt.

Warum es zählt

DORA gilt seit 17. Januar 2025 und klammert KI nicht aus: Joule-Agenten, AI-Core-Deployments und KI-gestützte Meldepipelines sind IKT-Assets und IKT-Dienstleistungen nach denselben Regeln wie Kernsysteme.
Ein schwerwiegender Vorfall startet feste Fristen (Delegierte Verordnung (EU) 2025/301): Erstmeldung binnen 4 Stunden nach Einstufung und spätestens 24 h nach Kenntnis, Zwischenbericht binnen 72 h, Abschlussbericht binnen eines Monats.
Die SAP SE wurde am 18. November 2025 als kritischer IKT-Drittdienstleister benannt — direkte EU-Aufsicht über SAP, doch die Bank oder der Versicherer bleibt voll verantwortlich für Register, Verträge und Ausstiegsstrategie.

Kernpunkte

Verordnung (EU) 2022/2554, anwendbar seit 17. Januar 2025 auf die in Art. 2 genannten Finanzunternehmen — sektorbezogen, anders als der anwendungsfallbezogene AI Act.
Fünf Säulen: IKT-Risikomanagement (Art. 5–16) · Vorfälle (Art. 17–23) · Resilienztests (Art. 24–27) · IKT-Drittparteienrisiko (Art. 28–44) · Informationsaustausch (Art. 45).
Klassifizierungskriterien für Vorfälle: Delegierte Verordnung (EU) 2024/1772; Meldefristen: Delegierte Verordnung (EU) 2025/301 (4 h / 24 h, 72 h, 1 Monat).
Informationsregister (Art. 28 Abs. 3), Ausstiegsstrategien (Art. 28 Abs. 8), wesentliche Vertragsbestimmungen (Art. 30) — gelten für SAP BTP, AI Core, Joule und Modell-Unterauftragnehmer.
18. November 2025: Die ESAs benennen 19 CTPP, darunter die SAP SE; die Aufsicht durch eine federführende Überwachungsbehörde überträgt die Eigenverantwortung des Unternehmens nicht.
KI-Komponenten erkennbar, klassifizierbar und ersetzbar bauen: Ausgabeüberwachung, Runbooks mit Zuordnung Agent–Geschäftsfunktion, getestete alternative Modell-Endpunkte.

Begriffe auf dieser Seite

DORA (Digital Operational Resilience Act): Verordnung (EU) 2022/2554 über IKT-Risiken im Finanzsektor, anwendbar seit 17. Januar 2025.
Informationsregister: Register nach Art. 28 Abs. 3 aller vertraglichen Vereinbarungen über IKT-Dienstleistungen, auf Einzel-, teilkonsolidierter und konsolidierter Ebene; dient den ESAs auch zur Bewertung der Anbieterkritikalität.
CTPP: Von den ESAs benannter kritischer IKT-Drittdienstleister (erste Liste am 18. November 2025, darunter die SAP SE), der dem Überwachungsrahmen der Union unterliegt.
Federführende Überwachungsbehörde (Lead Overseer): Die für einen CTPP zuständige ESA (EBA, EIOPA oder ESMA) mit Befugnissen zu Auskunftsersuchen, Prüfungen und Empfehlungen.
Schwerwiegender IKT-bezogener Vorfall: Vorfall, der die Klassifizierungsschwellen der Delegierten Verordnung (EU) 2024/1772 erreicht; löst Meldungen nach der Delegierten Verordnung (EU) 2025/301 aus.
Ausstiegsstrategie: Plan nach Art. 28 Abs. 8, eine IKT-Dienstleistung für kritische oder wichtige Funktionen ohne deren Unterbrechung zu verlassen oder zu ersetzen.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · den Vergleich SAP · Snowflake · Databricks · Fabric · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →

Offene SAP-Projekte

Aktuelle SAP-Analytics-Projekte und Stellen im DACH-Raum: SAP-Analytics-Projekte im DACH-Raum.