DORA-konform in sechs Stufen: Ein Plan für Finanzdienstleister und ihre IT-Dienstleister

DORA, die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor, ist in Kraft und wird von den Aufsichtsbehörden angewendet; die Zeit der Vorbereitung ist vorbei. Für die IT-Leitung eines Finanzdienstleisters heißt das: Jede Lücke zwischen dem, was DORA verlangt, und dem, was Ihre Systeme, Verträge und Prozesse heute leisten, ist ein Prüfungsbefund, und der Weg dorthin lässt sich in sechs Stufen abarbeiten.

Stufe eins: Bestandsaufnahme und Lückenanalyse

Ohne vollständiges Inventar aller Systeme, Anwendungen, Datenflüsse und externen Dienstleister lassen sich keine Lücken benennen. Erfassen Sie jede kritische Geschäftsfunktion und die IT, an der sie hängt, bis hinunter zum Hosting-Anbieter und zur Wartungsfirma der Webanwendung. In dieser Stufe fällt bei den meisten Häusern auf, dass für einen Teil der genutzten Cloud- und Hosting-Dienste keine vertragliche Regelung zu Ausfallzeiten oder Reaktionszeiten existiert. Das ist bereits eine DORA-Lücke, noch bevor ein einziges System angefasst wird.

Stufe zwei: Risikobewertung und Klassifizierung

DORA verlangt, dass Sie Ihre IKT-Dienste nach Kritikalität einordnen: kritisch oder wichtig auf der einen Seite, alles andere auf der anderen. Bewerten Sie jede Komponente danach, was ein Ausfall für Geschäftsprozesse, Datenintegrität und Meldepflichten bedeutet. Ein Handelsabwicklungssystem ist kritisch, weil sein Ausfall Verluste und Aufsichtsfolgen nach sich zieht; das Intranet ist es nicht. Für kritische Systeme gelten die strengsten Anforderungen an Resilienz, Tests und Verträge, und genau dort sollte Ihr Aufwand zuerst hin.

Stufe drei: das IKT-Risikomanagement anpassen

Aus der Klassifizierung folgt ein Risikomanagement mit klaren Verantwortlichkeiten, wiederkehrenden Risikoanalysen, einem Meldeverfahren für Vorfälle und einem Notfallmanagement. Alles davon muss dokumentiert und nachweisbar sein. Ein zentrales Risikoregister, das jedes IKT-Risiko mit Verantwortlichem, Bewertung und Maßnahme erfasst und regelmäßig aktualisiert wird, ist die Grundlage für jede spätere Prüfung. Wichtig ist, dass die Verantwortung für den Betrieb jedes kritischen Systems einer Person zugeordnet ist, nicht einer Abteilung.

Stufe vier: Verträge mit Dienstleistern, Managed Hosting mit SLA, Deutschland als Gerichtsstand

DORA macht Sie für Ihre IKT-Dienstleister verantwortlich. Verträge mit Anbietern kritischer oder wichtiger Dienste müssen unter anderem Zugriffs- und Prüfrechte, Sicherheitsanforderungen, Regelungen zu Ausfall und Reaktionszeit, Kündigungsfristen und den Umgang mit Ihren Daten nach Vertragsende enthalten. In der Praxis scheitern hier viele Bestandsverträge: Der Hosting-Anbieter garantiert keine Reaktionszeit, der Wartungsvertrag für die Kundenwebanwendung regelt keine Sicherheitsupdates, der Cloud-Vertrag sagt nichts zur Datenlöschung. Verhandeln Sie nach oder wechseln Sie zu einem Betreiber, der Reaktionszeiten verbindlich zusagt, den Standort der Daten benennt und sich europäischem Recht unterwirft. Wir formulieren das in unseren Wartungsverträgen bewusst so: Reaktionszeit garantiert, Lösung nach bestem Bemühen. Alles andere wäre ein Versprechen, das kein Betreiber ehrlich halten kann.

Stufe fünf: Tests und Übungen

DORA schreibt wiederkehrende Tests der Widerstandsfähigkeit vor, von Schwachstellenanalysen bis zu Notfallübungen. Führen Sie mindestens eine Übung durch, die alle kritischen Systeme umfasst, etwa die Simulation eines Ransomware-Angriffs auf das Kernsystem mit anschließender Wiederherstellung aus dem Backup. Solche Übungen decken regelmäßig auf, dass Backups zwar existieren, die Wiederherstellung aber länger dauert, als das Notfallkonzept annimmt. Genau dafür sind sie da.

Stufe sechs: Dokumentation und Meldewesen

Schwerwiegende IKT-Vorfälle müssen innerhalb kurzer Fristen an die zuständige Aufsicht gemeldet werden. Richten Sie einen Meldeprozess ein, der Vorfälle erfasst, klassifiziert und die Meldung vorbereitet, bevor die Frist überhaupt zu laufen beginnt. Zum Abschluss steht ein Bericht, der die Einhaltung aller Anforderungen belegt und bei einer Prüfung vorgelegt werden kann.

Häufige Fragen zu DORA

Wer ist betroffen?

Finanzunternehmen in der EU, darunter Banken, Versicherungen, Wertpapierfirmen und Zahlungsinstitute, sowie mittelbar die IKT-Dienstleister, die kritische Leistungen für sie erbringen.

Reicht ein Informationssicherheits-Managementsystem nach ISO-Norm?

Nein. Die Norm deckt das Informationssicherheitsmanagement ab; DORA verlangt zusätzlich spezifische Vorgaben zu Risikomanagement, Tests, Meldewesen und Drittanbietern. Beides zusammen ist sinnvoll.

Müssen alle Dienstleisterverträge neu verhandelt werden?

Alle Verträge mit Anbietern kritischer oder wichtiger Dienste müssen DORA-konform sein. Bestandsverträge sind anzupassen, für neue gelten die Anforderungen sofort.

Nehmen Sie Ihre Liste externer IKT-Dienstleister und prüfen Sie für jeden einzelnen, ob der Vertrag eine Reaktionszeit, ein Prüfrecht und eine Regelung zur Datenlöschung enthält. Mit dieser Liste buchen Sie den kostenlosen Potenzial-Check, eine halbe Stunde, in der wir gemeinsam einschätzen, welche Ihrer Webanwendungen und Hosting-Verträge DORA heute nicht bestehen und wie ein verbindlicher Betrieb aussieht.