Mit dem IDW PS 528 (07.2026) liegt erstmals ein finaler Prüfungsstandard für die aufsichtliche Prüfung der DORA-Anforderungen im Rahmen der Abschlussprüfung vor. Er konkretisiert, wie Abschlussprüfer die Anforderungen an die digitale operationale Resilienz prüfen und darüber berichten.
Bereits im August 2025 hatte das IDW den Entwurf IDW EPS 528 veröffentlicht. Die grundlegende Ausrichtung wurde in der finalen Fassung beibehalten.
Vom Entwurf zum finalen Prüfungsstandard
Der Bankenfachausschuss (BFA), der Versicherungsfachausschuss (VFA) und der Fachausschuss Investment (FAIN) verabschiedeten den IDW PS 528 am 06.07.2026. Der Hauptfachausschuss (HFA) nahm ihn am 23.07.2026 billigend zur Kenntnis.
Grundlage ist die durch das Finanzmarktdigitalisierungsgesetz (FinmadiG) eingeführte Pflicht, bestimmte DORA-Anforderungen durch den Abschlussprüfer prüfen zu lassen. Diese Prüfungspflicht gilt erstmals für Geschäftsjahre, die nach dem 31.12.2024 beginnen. Der IDW PS 528 ist erstmals für aufsichtliche DORA-Prüfungen anzuwenden, die sich auf Berichtszeiträume beziehen, die nach dem 31.12.2025 beginnen. Eine vorzeitige Anwendung ist zulässig.
Über den Entwurf IDW EPS 528 (08.2025) hatten wir bereits im September 2025 berichtet.
Welche DORA-Anforderungen werden geprüft?
Der IDW PS 528 umfasst insbesondere:
- das IKT-Risikomanagement nach Art. 5 bis 14 DORA,
- den vereinfachten IKT-Risikomanagementrahmen nach Art. 16,
- die Behandlung und Meldung von IKT-Vorfällen nach Art. 17 bis 19 und 23,
- das Testen der digitalen operationalen Resilienz nach Art. 24 und 25,
- das IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 sowie
- den Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen nach Art. 45 Abs. 3 DORA.
Das Threat-Led Penetration Testing (TLPT) nach Art. 26 und 27 DORA ist dagegen nicht Gegenstand der Prüfung nach IDW PS 528.
Der Standard gilt branchenübergreifend für die von den gesetzlichen Prüfungspflichten erfassten Finanzunternehmen, darunter Kreditinstitute, Wertpapierinstitute, Versicherungsunternehmen sowie bestimmte Kapitalverwaltungsgesellschaften und Investmentvermögen. Welche Anforderungen konkret zu prüfen sind, hängt von der jeweiligen Unternehmensart ab.
Angemessenheit und Wirksamkeit im Fokus
Die Prüfung folgt einer dreistufigen Systematik:
- Soll-Objekt: Zunächst werden die einschlägigen aufsichtsrechtlichen Anforderungen als Prüfungsmaßstab bestimmt.
- Angemessenheit: Anschließend beurteilt der Abschlussprüfer, ob das Finanzunternehmen die Anforderungen angemessen in Prozesse, Regelungen und Verfahren umgesetzt hat.
- Wirksamkeit: Soweit erforderlich, wird geprüft, ob diese Vorgaben im Berichtszeitraum tatsächlich eingehalten wurden.
Dabei gilt der Proportionalitätsgrundsatz des Art. 4 DORA. Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Dienstleistungen, Tätigkeiten und Geschäfte des Finanzunternehmens sind bei der Anwendung der Anforderungen zu berücksichtigen.
Eigenständige Prüfung neben der Jahresabschlussprüfung
Die DORA-Prüfung ist von der Jahresabschlussprüfung zu unterscheiden. Während die Abschlussprüfung auf historische Finanzinformationen ausgerichtet ist, betreffen die DORA-Anforderungen insbesondere organisatorische und prozessuale Sachverhalte wie das IKT-Risikomanagement oder das Vorfallsmeldewesen.
Der IDW PS 528 enthält deshalb eigenständige Prüfungsanforderungen und berücksichtigt einschlägige Vorgaben des ISAE 3000 (Revised).
Gleichzeitig können beide Prüfungen voneinander profitieren. Erkenntnisse aus der Abschlussprüfung oder anderen Prüfungen können für die DORA-Prüfung genutzt werden und umgekehrt.
Änderungen gegenüber dem Entwurf
Die wesentliche Prüfungslogik des Entwurfs wurde beibehalten. Neu beziehungsweise stärker berücksichtigt werden vor allem zwischenzeitliche Änderungen der aufsichtsrechtlichen Vorgaben.
Für Versicherungsunternehmen betrifft dies insbesondere die am 05.05.2026 in Kraft getretenen Änderungen des § 40b PrüfV mit konkreten Vorgaben zur Berichterstattung über IKT und DORA. Für andere Finanzunternehmen waren die entsprechenden Prüfungsberichtsverordnungen bei Verabschiedung des Standards teilweise noch nicht angepasst. Der IDW PS 528 stellt deshalb auf die jeweils geltenden aufsichtsrechtlichen Vorgaben und Berichtspflichten ab.
Berichterstattung an die Aufsicht
Die DORA-Prüfung führt nicht zu einem klassischen Prüfungsurteil wie die Jahresabschlussprüfung. Statt eines Gesamturteils sind die gesetzlich vorgeschriebenen Aussagen zu den jeweiligen Prüfungsgegenständen zu treffen. Die zusammenfassende Schlussbemerkung soll der Aufsicht dennoch ein Gesamtbild der wesentlichen Prüfungsergebnisse vermitteln.
Der Standard regelt außerdem besondere Berichtspflichten und eine besondere Redepflicht gegenüber den Aufsichtsbehörden. Bei schwerwiegenden Verstößen gegen die geprüften aufsichtsrechtlichen Anforderungen oder bei Behinderung des Prüfers kann eine unverzügliche Information der zuständigen Aufsichtsbehörde erforderlich sein.
Fazit
Mit dem IDW PS 528 liegt erstmals ein einheitlicher Prüfungsrahmen für die aufsichtliche DORA-Prüfung im Rahmen der Abschlussprüfung vor. Für Finanzunternehmen schafft er mehr Klarheit darüber, welche DORA-Anforderungen geprüft werden und wie der Prüfer deren Angemessenheit und Wirksamkeit beurteilt.
Für die Praxis sind insbesondere die abgegrenzten Prüfungsbereiche, der Proportionalitätsgrundsatz und die besonderen Anforderungen an die Berichterstattung relevant.
Veröffentlicht in Allgemein, Wirtschaftsprüfung
