1. Einleitung
Seit dem 17. Januar 2025 müssen Finanzunternehmen im Anwendungsbereich des Digital Operational Resilience Act ihre digitale operationale Resilienz nach einem europaweit einheitlichen Regelwerk organisieren. Die DORA Anforderungen betreffen dabei deutlich mehr als klassische Cybersecurity: Gefordert sind unter anderem nachvollziehbares IKT-Risikomanagement, geregelte Abläufe für Vorfälle, regelmäßige Resilienztests und ein systematisches Management von IKT-Drittdienstleistern.
Für Geschäftsleitungen und IT-Verantwortliche bedeutet das, technische Maßnahmen, Verantwortlichkeiten, Verträge und Dokumentation zusammenzudenken. Ein funktionierendes Backup oder eine Firewall allein reichen nicht aus, wenn Zuständigkeiten ungeklärt sind, wichtige Dienstleister nicht vollständig erfasst wurden oder Wiederanlaufprozesse nur auf dem Papier existieren.
Auch IT-Dienstleister sollten DORA kennen. Nicht jeder IT-Anbieter eines Finanzunternehmens fällt dadurch unmittelbar selbst unter sämtliche DORA-Pflichten. Finanzunternehmen müssen ihre IKT-Drittparteienrisiken jedoch steuern und bestimmte Anforderungen vertraglich absichern. Dadurch entstehen auch für externe IT-Partner konkrete Anforderungen an Dokumentation, Zusammenarbeit, Sicherheit, Kontrollmöglichkeiten und gegebenenfalls Exit-Szenarien.
2. Kurzantwort
DORA verpflichtet Finanzunternehmen zu einem strukturierten Management ihrer IKT-Risiken und ihrer digitalen operationalen Resilienz. Dazu gehören insbesondere Governance, Vorfallsmanagement und Meldungen, Resilienztests sowie die Kontrolle von IKT-Drittdienstleistern. IT-Dienstleister sind nicht automatisch selbst vollständig DORA-pflichtig, müssen aber häufig vertragliche und organisatorische Anforderungen ihrer Finanzkunden erfüllen. Welche Regelungen konkret gelten, hängt vom Unternehmen, seiner Tätigkeit und den eingesetzten IKT-Diensten ab.
3. Was Sie dazu wissen sollten
Was ist DORA?
DORA steht für Digital Operational Resilience Act. Die Verordnung (EU) 2022/2554 schafft einen einheitlichen europäischen Rahmen für die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 unmittelbar in den EU-Mitgliedstaaten.
Digitale operationale Resilienz bedeutet, dass ein Finanzunternehmen seine Integrität und Zuverlässigkeit auch bei schwerwiegenden IKT-Störungen aufrechterhalten beziehungsweise kritische Funktionen kontrolliert wiederherstellen kann. Der Schwerpunkt liegt deshalb nicht ausschließlich auf der Vermeidung von Sicherheitsvorfällen, sondern auch auf Erkennung, Reaktion, Wiederherstellung und kontinuierlicher Verbesserung.
Die Verordnung und ihre ergänzenden technischen Standards können über EUR-Lex eingesehen werden. Informationen zur deutschen Aufsichtspraxis stellt die BaFin auf ihrer DORA-Themenseite bereit.
Für welche Unternehmen gilt DORA?
Der unmittelbare Anwendungsbereich wird in Artikel 2 der DORA-Verordnung festgelegt. Er umfasst zahlreiche regulierte Finanzunternehmen, darunter Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, bestimmte Anbieter von Kryptowerte-Dienstleistungen, Versicherungs- und Rückversicherungsunternehmen sowie weitere Unternehmen und Infrastrukturen des Finanzsektors.
Die konkrete Einordnung muss immer anhand der jeweiligen Unternehmensart und der gesetzlichen Voraussetzungen erfolgen. DORA kennt außerdem Ausnahmen, Vereinfachungen und einen Verhältnismäßigkeitsgrundsatz. Deshalb sollte aus Mitarbeiterzahl oder Unternehmensgröße allein nicht abgeleitet werden, welche Anforderungen im Einzelfall entfallen.
Was bedeutet DORA für IT-Dienstleister?
Hier ist eine wichtige Unterscheidung erforderlich: Ein gewöhnlicher IKT-Drittdienstleister wird nicht allein deshalb zu einem Finanzunternehmen im Sinne von DORA, weil er eine Bank, Versicherung oder ein anderes betroffenes Unternehmen betreut. Finanzunternehmen bleiben jedoch für die mit externen IKT-Diensten verbundenen Risiken verantwortlich.
Deshalb müssen Finanzunternehmen ihre IKT-Dienstleister erfassen, Risiken bewerten und entsprechende Vertragsanforderungen umsetzen. Bei IKT-Diensten, die kritische oder wichtige Funktionen unterstützen, gelten zusätzliche Anforderungen. Je nach Leistung können beispielsweise Leistungsbeschreibungen, Sicherheitsanforderungen, Melde- und Unterstützungspflichten, Zugangs- und Prüfungsrechte sowie Regelungen zur Beendigung der Zusammenarbeit relevant sein.
DORA sieht darüber hinaus einen europäischen Überwachungsrahmen für IKT-Drittdienstleister vor, die nach dem vorgesehenen Verfahren als kritisch eingestuft werden. Diese besondere aufsichtsrechtliche Rolle ist von einem gewöhnlichen IT-Dienstleister eines Finanzunternehmens zu unterscheiden.
Was sind die wichtigsten DORA Anforderungen?
Die Anforderungen lassen sich für die praktische Umsetzung in fünf zentrale Themenbereiche gliedern:
- IKT-Risikomanagement: Unternehmen benötigen einen dokumentierten Rahmen, mit dem IKT-Risiken identifiziert, geschützt, erkannt, behandelt und nach Störungen aufgearbeitet werden.
- IKT-Vorfallsmanagement: Vorfälle müssen erkannt, dokumentiert und nach festgelegten Kriterien klassifiziert werden. Schwerwiegende IKT-bezogene Vorfälle unterliegen regulatorischen Meldepflichten.
- Tests der digitalen operationalen Resilienz: Technische und organisatorische Schutzmaßnahmen müssen regelmäßig auf ihre Wirksamkeit geprüft werden. Für bestimmte von der zuständigen Behörde identifizierte Finanzunternehmen sind zusätzlich Threat-Led Penetration Tests vorgesehen.
- IKT-Drittparteienrisikomanagement: Risiken aus der Nutzung externer IKT-Dienste müssen über den gesamten Lebenszyklus der Vertragsbeziehung gesteuert werden.
- Informationsaustausch: DORA schafft einen Rahmen, innerhalb dessen Finanzunternehmen unter festgelegten Voraussetzungen Informationen über Cyberbedrohungen und Erkenntnisse austauschen können.
Welche Meldefristen gelten bei schwerwiegenden IKT-Vorfällen?
Die Fristen werden durch DORA und ergänzende technische Standards konkretisiert. Bei einem als schwerwiegend klassifizierten IKT-bezogenen Vorfall ist die Erstmeldung grundsätzlich so früh wie möglich abzugeben, spätestens innerhalb von vier Stunden nach der Klassifizierung als schwerwiegend und grundsätzlich nicht später als 24 Stunden nach Kenntnis des Vorfalls. Weitere Zwischen- und Abschlussmeldungen folgen nach den jeweils geltenden Vorgaben.
Eine pauschale interne Regel wie „jeder IT-Ausfall muss innerhalb von vier Stunden an die BaFin gemeldet werden“ wäre deshalb zu grob. Entscheidend sind unter anderem die Einstufung des Vorfalls und die einschlägigen Meldekriterien. Unternehmen sollten einen belastbaren Klassifizierungs- und Eskalationsprozess einrichten, statt erst im Ernstfall mit der regulatorischen Bewertung zu beginnen.
Welche Rolle spielt das DORA-Informationsregister?
Finanzunternehmen müssen gemäß Artikel 28 DORA ein Informationsregister über ihre vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen führen. Dieses Register unterstützt sowohl das eigene Drittparteienrisikomanagement als auch die Aufsicht.
In der Praxis ist das anspruchsvoll, weil nicht nur eine Liste von Lieferanten benötigt wird. Vertragsbeziehungen, eingesetzte IKT-Dienste und weitere regulatorisch vorgegebene Informationen müssen strukturiert und in der geforderten Form gepflegt werden. Informationen zum Verfahren veröffentlicht die BaFin auf ihrer Themenseite zum Informationsregister und zu den Anzeigepflichten.
Welche Sanktionen drohen bei DORA-Verstößen?
DORA gibt den zuständigen Behörden Aufsichts-, Untersuchungs- und Sanktionsbefugnisse und verpflichtet die Mitgliedstaaten zu wirksamen, verhältnismäßigen und abschreckenden Sanktionen beziehungsweise Abhilfemaßnahmen. Welche konkrete Sanktion bei einem deutschen Unternehmen in Betracht kommt, hängt vom jeweiligen Verstoß, dem betroffenen Unternehmen und den einschlägigen europäischen und nationalen Vorschriften ab.
Deshalb sollte insbesondere die Höhe möglicher Geldbußen nicht aus vereinfachten Pauschalangaben abgeleitet werden. Für eine rechtliche Bewertung konkreter Verstöße oder Haftungsfragen ist fachkundiger rechtlicher Rat erforderlich.
4. Schritt für Schritt
- Anwendungsbereich feststellen: Klären Sie zunächst, ob das Unternehmen unmittelbar unter Artikel 2 DORA fällt oder als IKT-Dienstleister für ein betroffenes Finanzunternehmen tätig ist.
- Verantwortlichkeiten festlegen: Ordnen Sie Geschäftsleitung, Informationssicherheit, IT-Betrieb, Risikomanagement, Einkauf, Recht und gegebenenfalls Datenschutz eindeutige Aufgaben zu.
- IKT-Landschaft erfassen: Dokumentieren Sie Systeme, Anwendungen, Datenflüsse, Abhängigkeiten und die für Geschäftsprozesse benötigten IKT-Ressourcen.
- IKT-Risiken bewerten: Prüfen Sie technische, organisatorische und externe Risiken und priorisieren Sie insbesondere Abhängigkeiten kritischer oder wichtiger Funktionen.
- Vorfallsprozess überprüfen: Legen Sie Erkennung, Eskalation, Klassifizierung, Dokumentation, interne Kommunikation und regulatorische Meldungen nachvollziehbar fest.
- Resilienztests organisieren: Erstellen Sie ein risikoorientiertes Testprogramm und dokumentieren Sie Ergebnisse, Schwachstellen sowie erforderliche Verbesserungen.
- IKT-Dienstleister erfassen: Gleichen Sie Verträge, Leistungsbeziehungen, Unterauftragnehmer und zuständige Ansprechpartner mit den Anforderungen des Drittparteienrisikomanagements ab.
- Informationsregister pflegen: Stellen Sie sicher, dass die erforderlichen Informationen vollständig, konsistent und in der vorgeschriebenen Struktur verfügbar sind.
- Verträge überprüfen: Prüfen Sie gemeinsam mit den zuständigen Fachstellen, ob regulatorisch erforderliche Informations-, Unterstützungs-, Sicherheits-, Prüfungs- und Beendigungsregelungen abgedeckt sind.
- Nachweise laufend aktualisieren: Behandeln Sie DORA nicht als einmaliges Projekt. Änderungen an Systemen, Dienstleistern, Risiken und regulatorischen Anforderungen müssen in Prozesse und Dokumentation einfließen.
5. Checkliste
- Ist der DORA-Anwendungsbereich für das Unternehmen nachvollziehbar geprüft und dokumentiert?
- Sind Verantwortlichkeiten für IKT-Risiken bis zur Leitungsebene eindeutig festgelegt?
- Existiert ein aktuelles Inventar relevanter IKT-Systeme, Anwendungen und Abhängigkeiten?
- Werden IKT-Risiken regelmäßig identifiziert, bewertet und mit Maßnahmen versehen?
- Ist ein dokumentierter Prozess für Erkennung, Klassifizierung und Eskalation von IKT-Vorfällen vorhanden?
- Sind regulatorische Meldewege, Ansprechpartner und erforderliche Informationen vorbereitet?
- Werden geeignete Tests der digitalen operationalen Resilienz geplant, durchgeführt und ausgewertet?
- Sind sämtliche relevanten IKT-Drittdienstleister und Vertragsbeziehungen vollständig erfasst?
- Ist das DORA-Informationsregister vollständig, konsistent und organisatorisch einem Verantwortlichen zugeordnet?
- Werden Verträge, Exit-Regelungen, Sicherheitsmaßnahmen und Nachweise regelmäßig auf Aktualität geprüft?
6. Häufige Fehler
Fehler 1: DORA wird als reines IT-Projekt behandelt
Problem: DORA betrifft neben Technik auch Governance, Risikomanagement, Einkauf, Verträge, Meldeprozesse und Verantwortlichkeiten der Leitungsebene. Besser: Organisieren Sie die Umsetzung bereichsübergreifend und vergeben Sie für jedes Arbeitspaket einen klaren Verantwortlichen.
Fehler 2: Jeder IT-Dienstleister wird pauschal als unmittelbar DORA-pflichtig eingeordnet
Problem: Dadurch werden der unmittelbare gesetzliche Anwendungsbereich und die Pflichten aus einer IKT-Dienstleisterbeziehung miteinander vermischt. Besser: Prüfen Sie getrennt, wer Finanzunternehmen im Sinne der Verordnung ist und welche Anforderungen sich für einen Dienstleister aus Verträgen, Kundenanforderungen oder einer besonderen Einstufung ergeben.
Fehler 3: Das Informationsregister wird als einfache Lieferantenliste verstanden
Problem: Eine reine Aufzählung von IT-Anbietern bildet die regulatorisch geforderten Informationen nicht ausreichend ab. Besser: Erfassen Sie die Vertrags- und Leistungsbeziehungen strukturiert nach den jeweils geltenden Vorgaben und etablieren Sie einen Prozess für Änderungen.
Fehler 4: Vorfallsmeldungen werden erst während eines Ernstfalls organisiert
Problem: Unter Zeitdruck fehlen dann häufig Informationen, Zuständigkeiten und eine belastbare Klassifizierung. Besser: Definieren und testen Sie Eskalations-, Klassifizierungs- und Meldeprozesse vor einem Sicherheitsvorfall.
Fehler 5: Vorhandene Sicherheitsmaßnahmen werden automatisch als DORA-konform angesehen
Problem: Technisch sinnvolle Maßnahmen erfüllen nicht automatisch sämtliche Governance-, Nachweis-, Vertrags- und Prozessanforderungen. Besser: Gleichen Sie bestehende Maßnahmen systematisch mit den für das Unternehmen relevanten DORA-Anforderungen ab und dokumentieren Sie erkannte Lücken.
Fehler 6: Drittparteienrisiken werden nur beim Vertragsabschluss bewertet
Problem: Dienstleistungen, Unterauftragnehmer, Bedrohungen und technische Abhängigkeiten können sich während einer langfristigen Zusammenarbeit verändern. Besser: Integrieren Sie IKT-Drittparteienrisiken in einen fortlaufenden Überwachungs- und Änderungsprozess.
7. Praxisbeispiel
Beispielhafte Situation: Ein Finanzunternehmen nutzt für mehrere Geschäftsprozesse externe IT-Dienstleister und verschiedene Cloud- und Softwaredienste. Die technischen Leistungen funktionieren im Alltag, die Informationen zu Verträgen, Ansprechpartnern, Abhängigkeiten und Unterauftragnehmern liegen jedoch verteilt in mehreren Abteilungen. Für die DORA-Umsetzung wird zunächst erfasst, welche Geschäftsprozesse von welchen IKT-Diensten abhängen. Anschließend werden Verträge, technische Zuständigkeiten, Meldewege und vorhandene Sicherheitsmaßnahmen strukturiert zusammengeführt. Dabei fallen fehlende Ansprechpartner, uneinheitliche Leistungsbeschreibungen und nicht dokumentierte Abhängigkeiten auf. Diese Punkte werden mit den jeweils zuständigen Fachbereichen und Dienstleistern geklärt. Parallel werden Vorfalls- und Wiederanlaufprozesse getestet und die erforderlichen Informationen für das Informationsregister konsolidiert. Das Ergebnis ist keine einmalige DORA-Datei, sondern eine belastbarere Übersicht über Systeme, Risiken, Verträge und Verantwortlichkeiten, die anschließend laufend gepflegt werden muss.
FAQs
Häufig gestellte Fragen
Was ist DORA einfach erklärt?
DORA ist die EU-Verordnung 2022/2554 zur digitalen operationalen Resilienz im Finanzsektor. Sie verpflichtet betroffene Finanzunternehmen dazu, IKT-Risiken strukturiert zu steuern, Vorfälle zu behandeln und zu melden, ihre Widerstandsfähigkeit zu testen und Risiken aus der Nutzung externer IKT-Dienstleister zu kontrollieren.
Seit wann gelten die DORA Anforderungen?
Die Verordnung (EU) 2022/2554 ist seit dem 17. Januar 2025 anwendbar. Betroffene Finanzunternehmen müssen die für sie geltenden Anforderungen seit diesem Zeitpunkt in ihren Strukturen, Prozessen und Kontrollen berücksichtigen.
Welche Unternehmen fallen unter DORA?
DORA erfasst zahlreiche in Artikel 2 der Verordnung genannte Finanzunternehmen, darunter unter anderem Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen und Versicherungsunternehmen. Ob ein konkretes Unternehmen unmittelbar betroffen ist, muss anhand seiner Tätigkeit, Zulassung und der gesetzlichen Ausnahmen geprüft werden.
Gilt DORA auch für IT-Dienstleister?
Ein gewöhnlicher IT-Dienstleister wird nicht allein durch die Zusammenarbeit mit einem Finanzunternehmen selbst zu einem Finanzunternehmen nach DORA. Finanzunternehmen müssen ihre IKT-Drittparteienrisiken jedoch steuern und bestimmte Anforderungen in ihren Vertragsbeziehungen berücksichtigen. Dadurch können umfangreiche Sicherheits-, Informations-, Unterstützungs- und Kontrollanforderungen an IT-Dienstleister entstehen.
Was ist das DORA-Informationsregister?
Das Informationsregister ist eine nach Artikel 28 DORA zu führende strukturierte Dokumentation der vertraglichen Vereinbarungen eines Finanzunternehmens über die Nutzung von IKT-Dienstleistungen. Es unterstützt das Drittparteienrisikomanagement und stellt der Aufsicht Informationen über IKT-Abhängigkeiten zur Verfügung.
Was sollten Unternehmen bei der DORA-Umsetzung zuerst tun?
Am Anfang sollte geklärt werden, welche DORA-Anforderungen für das Unternehmen gelten und welche Geschäftsprozesse, IKT-Systeme und externen Dienstleister davon betroffen sind. Auf dieser Bestandsaufnahme lassen sich Verantwortlichkeiten, Risiken, Vorfallsprozesse, Tests, Vertragsprüfungen und das Informationsregister strukturiert aufbauen.
9. Fazit
DORA verbindet IT-Sicherheit mit Governance, Risikomanagement, Resilienztests, Vorfallsprozessen und der Steuerung externer IKT-Dienstleister. Entscheidend ist deshalb nicht eine einzelne technische Maßnahme, sondern ein nachvollziehbares Zusammenspiel aus Verantwortlichkeiten, Prozessen, technischen Kontrollen, Verträgen und Dokumentation.
Da regulatorische Anforderungen und aufsichtsrechtliche Verfahren weiter konkretisiert werden können, sollten Unternehmen aktuelle Veröffentlichungen der zuständigen Aufsicht und die für sie geltenden Rechtsgrundlagen regelmäßig prüfen. Wenn Sie Ihre IT-Strukturen und Dienstleisterbeziehungen im Hinblick auf DORA technisch prüfen möchten, sprechen Sie optimIT unter info@optimit.de an.