1. Einleitung
DORA für Unternehmen ist längst kein Thema mehr, das ausschließlich große Banken betrifft. Der Digital Operational Resilience Act schafft einen gemeinsamen europäischen Rahmen für die digitale Widerstandsfähigkeit im Finanzsektor und ist seit dem 17. Januar 2025 anwendbar.
Damit rücken nicht nur IT-Sicherheit und Prävention in den Mittelpunkt. Unternehmen müssen sich auch damit beschäftigen, wie sie digitale Störungen erkennen, begrenzen, bearbeiten und ihre kritischen Prozesse anschließend wieder zuverlässig aufnehmen.
Relevant kann DORA außerdem für Unternehmen werden, die als IKT-Drittdienstleister mit Finanzunternehmen zusammenarbeiten. Verträge, Dokumentation, technische Abhängigkeiten, Subunternehmer und Exit-Szenarien erhalten dadurch eine deutlich größere Bedeutung.
2. Kurzantwort
DORA verpflichtet betroffene Finanzunternehmen dazu, ihre digitale operationelle Resilienz systematisch zu organisieren und nachweisbar zu steuern. Im Mittelpunkt stehen IKT-Risikomanagement, Vorfallsmanagement, Resilienz-Tests, Drittparteienrisiken und der Austausch über Cyberbedrohungen. Auch IT-Dienstleister können mittelbar betroffen sein, wenn sie digitale Leistungen für Finanzunternehmen bereitstellen.
3. Warum das wichtig ist
Eine technische Störung ist im Finanzumfeld nicht nur ein klassisches IT-Problem. Fällt ein kritischer Dienst aus, können Geschäftsprozesse unterbrochen werden, interne Ressourcen gebunden sein und zusätzliche Abstimmungen mit Dienstleistern, Management oder Aufsicht erforderlich werden.
DORA richtet deshalb den Blick auf die gesamte Prozesskette. Unternehmen müssen wissen, welche Systeme für kritische Funktionen benötigt werden, von welchen Dienstleistern diese Systeme abhängen und wie im Störungsfall reagiert wird.
Besonders aufwendig kann das Drittparteienrisikomanagement werden. Verträge mit IKT-Dienstleistern müssen strukturiert betrachtet werden, während Informationen über Subunternehmer, Datenstandorte und mögliche Exit-Strategien nachvollziehbar dokumentiert werden müssen.
Fehlt diese Transparenz, entsteht zusätzlicher Aufwand häufig genau dann, wenn wenig Zeit zur Verfügung steht: bei Audits, Vertragsänderungen, Sicherheitsvorfällen oder einem Ausfall eines wichtigen Dienstleisters.
4. Schritt für Schritt
- Anwendungsbereich klären: Prüfen Sie zunächst, ob Ihr Unternehmen unmittelbar als Finanzunternehmen betroffen sein kann oder als IKT-Drittdienstleister Leistungen für betroffene Unternehmen erbringt.
- Kritische Prozesse erfassen: Dokumentieren Sie, welche Geschäftsprozesse von IT-Systemen und digitalen Diensten abhängig sind.
- IKT-Abhängigkeiten zuordnen: Erfassen Sie Systeme, Anwendungen, Cloud-Dienste, Rechenzentrumsleistungen und weitere externe IT-Services, die diese Prozesse unterstützen.
- Risiken bewerten: Prüfen Sie, welche Folgen Ausfälle, Cyberangriffe, Fehlkonfigurationen oder der Wegfall eines Dienstleisters für kritische Prozesse haben können.
- Dienstleister dokumentieren: Ordnen Sie Verträge, Ansprechpartner, Leistungen, Subunternehmer, Datenstandorte und bestehende Service-Level strukturiert den jeweiligen Diensten zu.
- Vorfallsprozesse festlegen: Definieren Sie intern, wer einen IT-Vorfall bewertet, dokumentiert, eskaliert und an die verantwortlichen Stellen weitergibt.
- Wiederanlauf vorbereiten: Legen Sie fest, wie kritische Systeme und Prozesse nach einer Störung wiederhergestellt oder über alternative Verfahren weitergeführt werden können.
- Resilienz regelmäßig testen: Prüfen Sie technische und organisatorische Maßnahmen nicht nur auf dem Papier, sondern anhand geplanter Tests und nachvollziehbarer Ergebnisse.
- Lücken priorisieren: Trennen Sie kritische Abweichungen von Verbesserungen, die schrittweise umgesetzt werden können, und dokumentieren Sie Verantwortlichkeiten.
- Dokumentation aktuell halten: Behandeln Sie DORA nicht als einmaliges Projekt. Veränderungen an Systemen, Dienstleistern und Prozessen sollten in der Dokumentation nachvollzogen werden.
5. Checkliste
- Ist geklärt, ob Ihr Unternehmen unmittelbar oder als IKT-Drittdienstleister von DORA betroffen sein kann?
- Sind geschäftskritische Prozesse und deren IT-Abhängigkeiten dokumentiert?
- Sind relevante IKT-Risiken systematisch erfasst und bewertet?
- Sind externe IT- und Cloud-Dienstleister vollständig dokumentiert?
- Sind vorhandene Subunternehmer-Abhängigkeiten bekannt?
- Sind relevante Datenstandorte nachvollziehbar dokumentiert?
- Existiert ein klarer Prozess für IT-Sicherheitsvorfälle und Eskalationen?
- Werden Wiederanlauf- und Resilienzmaßnahmen regelmäßig geprüft?
- Sind Verträge, Service-Level und Exit-Szenarien strukturiert erfasst?
- Ist eindeutig geregelt, wer Dokumentation und Maßnahmen aktuell hält?
6. Häufige Fehler
- DORA ausschließlich als IT-Thema behandeln: Korrektur: Geschäftsleitung, Fachbereiche, IT und relevante Dienstleister gemeinsam betrachten.
- Nur technische Schutzmaßnahmen prüfen: Korrektur: Auch Wiederanlauf, Vorfallsprozesse, Dokumentation und organisatorische Zuständigkeiten einbeziehen.
- Externe Dienstleister unvollständig erfassen: Korrektur: Nicht nur Hauptanbieter, sondern auch relevante Abhängigkeiten und Subunternehmer betrachten.
- Verträge isoliert von der Technik prüfen: Korrektur: Vertragliche Leistungen mit den tatsächlich genutzten Systemen und kritischen Prozessen verknüpfen.
- Notfallpläne nur dokumentieren: Korrektur: Wiederanlauf und Resilienzmaßnahmen regelmäßig praktisch überprüfen.
- Dokumentation als einmalige Aufgabe verstehen: Korrektur: Veränderungen an Infrastruktur, Verträgen und Dienstleistern laufend nachführen.
7. Praxisbeispiel
Ein mittelständischer IT-Dienstleister betreut mehrere Unternehmen aus dem Finanzumfeld. Im Zuge der DORA-Anforderungen fragen Kunden detaillierter nach eingesetzten Systemen, Service-Leveln, Subunternehmern und technischen Abhängigkeiten. Das Unternehmen stellt bei der Bestandsaufnahme fest, dass die Informationen grundsätzlich vorhanden sind, jedoch über Verträge, Ticketsysteme und verschiedene interne Dokumente verteilt liegen. Zunächst werden deshalb Kundenleistungen den eingesetzten IT-Diensten und verantwortlichen Ansprechpartnern zugeordnet. Anschließend werden vorhandene Vertragsinformationen, Abhängigkeiten und Wiederanlaufprozesse strukturiert zusammengeführt. Lücken werden dokumentiert und nach ihrer Bedeutung für kritische Services priorisiert. Dadurch entsteht eine zentrale Arbeitsgrundlage für weitere technische, organisatorische und vertragliche Prüfungen. Das Beispiel zeigt, warum DORA in der Praxis vor allem Transparenz über Prozesse, Systeme und Abhängigkeiten verlangt.
FAQs
Häufig gestellte Fragen
Was ist DORA einfach erklärt?
DORA steht für Digital Operational Resilience Act. Die EU-Verordnung schafft einen gemeinsamen Rahmen für die digitale operationelle Resilienz im Finanzsektor und betrachtet unter anderem IT-Risiken, Sicherheitsvorfälle, Tests und Abhängigkeiten von IKT-Dienstleistern.
Seit wann gilt DORA?
Der Digital Operational Resilience Act ist seit dem 17. Januar 2025 anwendbar. Betroffene Unternehmen müssen ihre relevanten organisatorischen und technischen Prozesse deshalb entsprechend betrachten und dokumentieren.
Welche Unternehmen können von DORA betroffen sein?
DORA richtet sich insbesondere an beaufsichtigte Unternehmen des Finanzsektors, darunter beispielsweise Kreditinstitute, Versicherungsunternehmen, Zahlungsdienstleister und weitere Finanzmarktakteure. Ob ein Unternehmen konkret in den Anwendungsbereich fällt, sollte anhand seiner Tätigkeit und der geltenden Vorgaben geprüft werden.
Betrifft DORA auch IT-Dienstleister?
Ja, DORA kann auch für IKT-Drittdienstleister relevant werden, die digitale Leistungen für Finanzunternehmen bereitstellen. In der Zusammenarbeit können dadurch insbesondere Dokumentationsanforderungen, Vertragsregelungen, Audit-Rechte und Anforderungen an Service-Level an Bedeutung gewinnen.
Was sind die fünf zentralen Bereiche von DORA?
Zu den zentralen Bereichen gehören IKT-Risikomanagement, das Management und die Meldung von IKT-Vorfällen, Tests der digitalen operationalen Resilienz, das Management von Risiken durch IKT-Drittdienstleister und der Austausch von Informationen zu Cyberbedrohungen.
Warum sind IKT-Drittdienstleister für DORA so wichtig?
Finanzunternehmen sind für viele ihrer digitalen Prozesse von externen IT-, Software-, Cloud- oder Rechenzentrumsleistungen abhängig. Deshalb betrachtet DORA nicht nur interne IT-Risiken, sondern auch Abhängigkeiten, Verträge, Subunternehmer und mögliche Exit-Szenarien bei externen Dienstleistern.
Wie sollte ein Unternehmen mit der DORA-Vorbereitung beginnen?
Ein sinnvoller Ausgangspunkt ist eine strukturierte Bestandsaufnahme. Dabei werden kritische Prozesse, IT-Systeme, externe Dienstleister, bestehende Verträge, Risiken, Vorfallsprozesse und Wiederanlaufmaßnahmen zusammengeführt und anschließend erkennbare Lücken priorisiert.
9. Fazit
DORA verbindet IT-Sicherheit mit einem umfassenderen Blick auf digitale Resilienz, Prozesse und externe Abhängigkeiten. Entscheidend ist deshalb nicht nur, einzelne Sicherheitsmaßnahmen umzusetzen, sondern Verantwortlichkeiten, Systeme, Dienstleister und Wiederanlaufprozesse nachvollziehbar zusammenzuführen.
Eine strukturierte Bestandsaufnahme schafft dafür eine belastbare Ausgangsbasis und zeigt, an welchen Stellen technische, organisatorische oder vertragliche Prüfungen erforderlich sein können.
Lassen Sie Ihre DORA-relevanten IT-Strukturen und Drittparteienprozesse von optimIT strukturiert prüfen. Kontakt: info@optimit.de