DORA Anforderungen erklärt: Was Finanzunternehmen wissen müssen

Geschätzte Lesezeit: 20 Minuten

Key Takeaways

• Der Digital Operational Resilience Act (DORA) schafft einen einheitlichen EU-Rahmen für die digitale Resilienz im Finanzsektor.
• DORA betrifft Banken, Versicherungen, Zahlungsdienstleister, Krypto-Anbieter sowie kritische IT-Drittparteien.
• Wichtige DORA-Anforderungen sind IKT-Risikomanagement, Vorfallmanagement, Resilienztests, Drittparteien-Management und Informationspflichten.
• KMU müssen die Anforderungen proportional zu Größe und Risiko umsetzen, dürfen die Pflichten aber nicht unterschätzen.
• Die vollständige Umsetzung der Verordnung ist bis zum 17. Januar 2025 verpflichtend.

Überblick über DORA (Digital Operational Resilience Act)

Der Digital Operational Resilience Act schafft einen EU-weit einheitlichen Rahmen für das IKT-Risikomanagement im Finanzsektor. Ziel ist es, Unternehmen widerstandsfähiger gegenüber Cybervorfällen, Angriffen oder Systemstörungen zu machen.

DORA ist die Antwort auf eine zunehmend digitalisierte Finanzwelt, in der IT-Ausfälle oder Sicherheitsverletzungen schwerwiegende Folgen für die gesamte Finanzmarktstabilität haben können. Die Verordnung schließt bestehende Regelungslücken in der IT-Sicherheit für verschiedene Finanzakteure:

• Banken und Versicherungen
• Zahlungsdienstleister
• Krypto-Asset-Anbieter
• Kritische IT-Dienstleister für den Finanzsektor

Durch die einheitlichen Anforderungen sollen Dominoeffekte bei Systemausfällen verhindert werden. DORA geht dabei weit über bisherige punktuelle Regelungen hinaus und etabliert einen umfassenden Rahmen für digitale Resilienz.

Weitere Informationen dazu findest du bei Proliance, IBM Think und IT Beratung Jochim.

Detaillierte Erläuterung der DORA Anforderungen

Die DORA-Anforderungen umfassen technische und organisatorische Maßnahmen, die Finanzunternehmen implementieren müssen, um ihre digitale Resilienz zu erhöhen. Die Kernbereiche sind folgende:

IKT-Risikomanagement

Unternehmen müssen alle Risiken ihrer digitalen Systeme systematisch identifizieren, bewerten und kontinuierlich minimieren. Dazu gehören:

• Vollständige Erfassung und Dokumentation aller IT-Komponenten
• Regelmäßige Überprüfung und Bewertung von Schwachstellen
• Implementierung von Sicherheitsmaßnahmen für kritische Systeme
• Kontinuierliche Überwachung und Aktualisierung der Risikoeinschätzung

Beispiel: Eine Bank katalogisiert sämtliche digitale Anwendungen und dokumentiert Ausfallrisiken sowie Schutzmaßnahmen.

Mehr dazu unter Schwachstellen-Scanning KMU.

Vorfallmanagement

DORA verpflichtet zur systematischen Erfassung und Bearbeitung von IT-Störungen:

• Schnelle Erkennung und Klassifizierung von Vorfällen nach Schweregrad
• Meldepflicht schwerwiegender Vorfälle an Behörden wie die BaFin
• Strukturierte Ursachenanalyse und Dokumentation
• Information betroffener Kunden bei relevanten Vorfällen

Die Klassifizierung erfolgt anhand Anzahl betroffener Kunden, Ausbreitung und wirtschaftlicher Folgen.

Details siehe E-Mail Sicherheit KMU.

Resilienztests

Regelmäßige Prüfungen stellen sicher, dass Notfall- und Wiederanlaufpläne funktionieren:

• Simulation von Cyberangriffen und Systemausfällen
• Überprüfung von Notfallmaßnahmen
• Validierung von Wiederherstellungszeiten
• Anpassung der Pläne durch Testergebnisse

Z.B. Penetrationstests zur Absicherung von Kundendatenbanken.

Mehr unter Disaster Recovery KMU.

Management von IKT-Drittparteienrisiko

Externe IT-Dienstleister erfordern besondere Vorsicht:

• Sorgfältige Auswahl und Prüfung
• Vertragliche Sicherheitsregelungen
• Kontinuierliches Monitoring der Leistungen
• Exitstrategien bei Problemen

Beispiel: Cloud-Anbieter regelmäßig auf Sicherheit prüfen.

Siehe auch Cloud Sicherheit KMU und Managed Security Services KMU.

Informations- und Kommunikationspflichten

Transparente Kommunikation ist ein zentraler Bestandteil:

• Klare interne Kommunikationswege bei Vorfällen
• Regelmäßige Mitarbeiterschulungen
• Transparente Vorfallkommunikation an Kunden und Partner
• Dokumentierte Meldewege

Beispiele findest du unter Security Awareness Training KMU und Phishing Simulation KMU.

Governance

Die Unternehmensleitung ist verantwortlich für:

• Klare Verantwortlichkeiten im IKT-Risikomanagement
• Regelmäßige Berichte an die Geschäftsleitung
• Bereitstellung von Ressourcen
• Überwachung der Risikostrategie

Technische Maßnahmen

DORA verlangt u.a.:

• Zugangskontrollen und Authentifizierungssysteme
• System-Updates und Patch-Management
• Überwachung zur Erkennung verdächtiger Aktivitäten
• Zuverlässige Backup- und Wiederherstellungslösungen
• Echtzeitüberwachung wichtiger IT-Komponenten

Alle Maßnahmen dienen dem Schutz und der Minimierung von Vorfallsfolgen.

Vertiefung unter Patch Management KMU und Backup Lösungen KMU.

Weitere Quellen:
Proliance,
Forum Verlag,
BOC Group,
IBM Think.

Beschreibung des DORA Geltungsbereichs KMU

Betroffene Unternehmen

DORA gilt für ein breites Spektrum an Finanzunternehmen, unter anderem:

• Kreditinstitute und Banken aller Größen
• Versicherungs- und Rückversicherungsunternehmen
• Zahlungsinstitute und E-Geld-Institute
• Krypto-Asset-Dienstleister
• Zentrale Gegenparteien und Wertpapierverwahrstellen
• Handelsplätze und Handelsregister
• Kritische IT-Drittanbieter im Finanzsektor

Kleine und mittlere Unternehmen (KMU) sind eingeschlossen, sofern sie zu diesen Kategorien gehören oder kritische IT-Dienste bereitstellen.

Besonderheiten für KMU

DORA berücksichtigt Unternehmensgröße durch:

• Erfüllung grundlegender Anforderungen
• Anpassung von Umfang und Komplexität der Maßnahmen an Risiko und Größe
• Weniger umfangreiche Prüf- und Meldepflichten für kleinere Unternehmen
• Grundsatz der Verhältnismäßigkeit

Beispiel: Ein kleines Fintech muss grundlegende Vorgaben umsetzen, jedoch weniger komplexe Resilienztests durchführen.

Mehr zum Thema unter Proliance und IT Beratung Jochim.

Erklärung des IKT-Risikos DORA

Definition des IKT-Risikos

IKT-Risiken entstehen aus potenziellen Gefahren durch Informations- und Kommunikationstechnologien, darunter:

• Cyberangriffe (Phishing, Ransomware, DDoS)
• Systemausfälle durch Technikfehler oder Wartungsmängel
• Datenverlust oder Beschädigung durch unzureichende Sicherungen
• Software- und Anwendungsfehlfunktionen
• IT-Betrugsrisiken
• Risiken in der IT-Lieferkette durch Drittanbieter

Beispiel: Veraltete Software mit Sicherheitslücken bietet Angriffsfläche.

Bedeutung des IKT-Risikomanagements für DORA

Das IKT-Risikomanagement ist Kern der Verordnung:

• Systematische Identifikation aller Risiken
• Bewertung nach Eintrittswahrscheinlichkeit und Schaden
• Definition und Umsetzung angemessener Gegenmaßnahmen
• Regelmäßige Wirksamkeitskontrolle

Die Herausforderungen sind dynamisch, da sich Risiken ständig wandeln.

Praktische Umsetzung des IKT-Risikomanagements

In der Praxis bedeutet dies:

• Erstellung und Aktualisierung eines IT-Risikoinventars
• Festlegung von Schwellenwerten und Eskalationswegen
• Technische Schutzmaßnahmen wie Firewalls und Antiviren-Software
• Sicherheitsaudits und Überprüfungen
• Mitarbeiterschulungen zur Risikoerkennung

Solides IKT-Risikomanagement trägt zur Stabilität des Finanzsystems bei.

Siehe auch Netzwerksicherheit KMU, Proliance und IBM Think.

Vorstellung der wichtigsten DORA Artikel

DORA umfasst zahlreiche Artikel, hier die wichtigsten zusammengefasst:

Governance und Risikomanagement (Art. 5–16)

• Art. 5: Gesamtverantwortung der Geschäftsleitung
• Art. 6-8: IKT-Risikomanagement-Rahmenwerk mit Rollen und Verantwortlichkeiten
• Art. 9-11: Identifikation, Klassifizierung und Bewertung aller IKT-Ressourcen
• Art. 12-16: Schutz und Prävention von IKT-Vorfällen

Pflicht zur Führung eines vollständigen IT-System-Inventars.

Vorfallmanagement und Meldepflicht (Art. 17–23)

• Art. 17-19: Anforderungen an Erkennung und Behandlung von Vorfällen
• Art. 20-23: Meldepflichten schwerwiegender Vorfälle gegenüber Behörden

Nachvollziehbare Meldeprozesse sind Pflicht.

Resilienztests (Art. 24–27)

• Art. 24-25: Testprogramme für kritische IKT-Systeme
• Art. 26-27: Spezielle Anforderungen an fortgeschrittene Tests (z.B. Penetrationstests)

Strengere Vorgaben für kritische Finanzmarktinfrastrukturen.

Drittparteien-Risikomanagement (Art. 28–39)

• Art. 28-30: Grundprinzipien für Drittparteienrisiken
• Art. 31-34: Vertragliche und Überwachungspflichten
• Art. 35-39: Aufsichtsrahmen für kritische Drittanbieter

Vertragliche Sicherstellung von Sicherheitsstandards und Audit-Rechten.

Informationsaustausch (Art. 40–43)

• Art. 40-41: Informationsaustausch zu Cyberbedrohungen unter Finanzunternehmen
• Art. 42-43: Informationspflichten gegenüber Kunden und Partnern

Förderung der Zusammenarbeit zur frühzeitigen Bedrohungserkennung.

Vertiefende Infos unter Proliance und Forum Verlag.

Darstellung des DORA Zeitplans

Wichtige Daten im DORA Zeitplan

• 17. Januar 2023: Inkrafttreten der Verordnung
• 17. Januar 2025: Endgültige Frist zur Umsetzung aller Anforderungen

Eine zweijährige Übergangsphase ermöglicht schrittweise Implementierung.

Was bedeutet die Frist konkret?

Bis zur Frist müssen Unternehmen:

• IKT-Risikomanagement vollständig etabliert haben
• Vorfallmanagement- und Meldeprozesse eingerichtet haben
• Notfall- und Wiederanlaufpläne getestet haben
• IT-Dienstleisterverträge angepasst haben
• Regelmäßige Resilienztests durchführen

Nach dem 17. Januar 2025 kann die Einhaltung kontrolliert und sanktioniert werden.

Empfohlene Vorgehensweise im Zeitplan

1. Sofort beginnen: Ausgangslage analysieren und Handlungsbedarf identifizieren
2. Erste Hälfte 2023: Maßnahmen und Ressourcen planen
3. Zweite Hälfte 2023: Grundlegende Anforderungen implementieren
4. 2024: Komplexere Maßnahmen umsetzen, Tests durchführen
5. Ende 2024: Abschluss der Implementierung und umfassende Tests
6. Januar 2025: Finalisierung und Dokumentation

Quelle: Dr. Datenschutz und IBM Think.

Praktische Tipps und Handlungsempfehlungen für Unternehmen, insbesondere KMU

1. DORA-Lückenanalyse durchführen

• Überprüfe, welche DORA-Anforderungen für dein Unternehmen gelten
• Vergleiche bestehende Prozesse mit den Anforderungen
• Identifiziere Handlungsbedarf und priorisiere Maßnahmen

2. IKT-Systeme inventarisieren und bewerten

• Erstelle ein Inventar aller IT-Systeme und digitalen Anwendungen
• Bewerte die Bedeutung und Kritikalität der Systeme
• Dokumentiere Schnittstellen und Abhängigkeiten
• Erkenne Schwachstellen und ergriffene Schutzmaßnahmen

Siehe auch IT Sicherheit für KMU – Tipps.

3. Verträge und Prozesse mit IT-Dienstleistern prüfen

• Überprüfe bestehende Verträge auf DORA-Konformität
• Vertragliche Security-Standards und Meldepflichten klären
• Regelmäßige Dienstleisterüberprüfungen vereinbaren
• Exitstrategien für kritische Dienstleister planen

Mehr dazu unter Cloud Sicherheit KMU.

4. Mitarbeiterschulungen etablieren

• Regelmäßige Schulungen zu IT-Sicherheit
• Sensibilisierung für Cyberangriffe, z.B. Phishing
• Etablierung klarer Meldewege für Vorfälle
• Integration von Sicherheit ins Tagesgeschäft

Details zu Security Awareness unter Security Awareness Training KMU.

5. Notfallpläne erstellen und regelmäßig testen

• Entwickle Notfallpläne für unterschiedliche Szenarien
• Definiere Verantwortlichkeiten und Klarheit zu Abläufen
• Führe regelmäßige Tests und Übungen durch
• Passe Pläne basierend auf Testergebnissen an

Siehe Disaster Recovery KMU und Business Continuity Planung KMU.

6. Frühzeitige Dokumentation

• Dokumentiere alle DORA-Maßnahmen von Anfang an
• Halte Risikobewertungen, Testberichte und Vorfälle schriftlich fest
• Erstelle Nachweise über Schulungen und Übungen
• Führe ein Verzeichnis technischer und organisatorischer Maßnahmen

7. Stufenweise Umsetzung für KMU

1. Grundlegende Sicherheitsmaßnahmen einführen (Zugriffsschutz, Backups, Updates)
2. Kritische Geschäftsprozesse identifizieren und absichern
3. Vorfallmanagement-Prozesse etablieren
4. Notfallpläne erstellen und testen
5. Kontinuierliche Verbesserung sicherstellen

Nähere Infos unter Proliance, BOC Group und Forum Verlag.

Zusammenfassung und Ausblick

Zentrale Erkenntnisse

• DORA etabliert eine einheitliche EU-Regelung für die digitale Resilienz im Finanzsektor.
• Die Anforderungen umfassen verschiedene Kernbereiche wie IKT-Risikomanagement, Vorfallmanagement, Resilienztests und Drittparteienmanagement.
• Auch KMU sind betroffen und müssen die Anforderungen in angepasstem Umfang erfüllen.
• Das Umsetzungsziel ist der 17. Januar 2025.

Langfristige Vorteile

• Schutz vor Cyberbedrohungen und reduzierte finanzielle Verluste
• Minimierung von Ausfallzeiten und höhere Systemverfügbarkeit
• Vertieftes Vertrauen von Kunden und Partnern
• Wettbewerbsvorteile durch nachweisbare Sicherheitsstandards
• Vermeidung von Sanktionen und Erhalt der Marktzulassung

Risiken bei Nichteinhaltung

• Hohe Bußgelder durch Aufsichtsbehörden
• Entzug von Lizenzen oder Genehmigungen
• Reputationsschäden bei Vorfällen
• Haftungsrisiken bei verursachten Schäden

Ausblick

Die digitale Transformation im Finanzsektor wird weiter voranschreiten. DORA ist ein bedeutender Schritt zur Stärkung der Sicherheit und Resilienz europäischer Finanzunternehmen.

Frühzeitiges Engagement mit den Anforderungen ermöglicht eine strukturierte und ruhige Umsetzung und bereitet auf künftige regulatorische Entwicklungen optimal vor.

DORA ist eine Chance, digitale Sicherheit und Widerstandsfähigkeit nachhaltig zu erhöhen und langfristig erfolgreich im Markt zu agieren.

Weitere Informationen unter Proliance, IBM Think und IT Beratung Jochim.

FAQ

Was ist der Digital Operational Resilience Act (DORA)?

DORA ist eine EU-Verordnung, die die digitale Betriebsresilienz von Finanzunternehmen stärken soll, indem sie verbindliche Anforderungen an IKT-Risikomanagement, Vorfallmanagement, Resilienztests u.a. stellt.

Welche Unternehmen sind von DORA betroffen?

Banken, Versicherungen, Zahlungsdienstleister, Krypto-Asset-Anbieter, kritische IT-Drittanbieter sowie FINTECHs und KMU, die Finanzdienstleistungen erbringen.

Bis wann muss DORA umgesetzt sein?

Die Verordnung gilt ab 17. Januar 2023 mit einer Übergangsfrist bis zum 17. Januar 2025, bis zu der alle Anforderungen erfüllt sein müssen.

Welche Maßnahmen müssen KMU besonders beachten?

KMU müssen ein systematisches IKT-Risikomanagement etablieren, Vorfälle melden, ihre IT-Dienstleister prüfen und angemessene Sicherheitsmaßnahmen proportional zur Größe umsetzen.

Was passiert bei Nicht-Einhaltung der DORA-Anforderungen?

Es drohen Bußgelder, Lizenzentzug, Reputationsverlust und Haftungsrisiken.