DORA-Readiness für Finanzdienstleister: Schritt für Schritt zum belastbaren Nachweis

DORA gilt für Banken, Versicherungen und Zahlungsdienstleister inzwischen verbindlich, und die Aufsicht fragt nicht mehr nach Plänen, sondern nach Nachweisen aus dem laufenden Betrieb. DORA-Readiness heißt deshalb heute: Für jede der fünf Anforderungen existiert etwas, das läuft, protokolliert wird und geprüft werden kann.

Was DORA ist und wen es betrifft

Der Digital Operational Resilience Act ist eine EU-Verordnung, die die digitale Betriebsfestigkeit des Finanzsektors regelt. Sie gilt für Kreditinstitute, Versicherungen, Wertpapierfirmen und Zahlungsinstitute, und sie erreicht über deren Verträge jeden IT-Dienstleister, der für ein Finanzunternehmen Software baut oder betreibt. Wer als Softwarehaus oder Hoster einen Kunden aus der Finanzbranche hat, bekommt die Anforderungen weitergereicht, ob er die Verordnung gelesen hat oder nicht.

Die fünf Anforderungen und was sie im Betrieb bedeuten

Management der IKT-Risiken

Sie führen ein Inventar aller kritischen Systeme, bewerten deren Risiken und prüfen regelmäßig auf Schwachstellen. Das Inventar ist die Grundlage für alles Weitere; wer es nicht hat, kann keine der übrigen Anforderungen belegen.

Meldung von Vorfällen

Vorfälle werden erkannt, klassifiziert und innerhalb kurzer Fristen an die Aufsicht gemeldet. Das setzt eine Überwachung voraus, die Störungen sieht, und einen Meldeweg, den das Team kennt und geübt hat.

Tests der Resilienz

Penetrationstests, Schwachstellenanalysen und Wiederanlaufübungen finden regelmäßig statt, für kritische Systeme mindestens jährlich, und ihre Ergebnisse werden dokumentiert. Ein Test ohne Protokoll hat für die Aufsicht nicht stattgefunden.

Steuerung der Drittrisiken

Jeder Vertrag mit einem IKT-Dienstleister wird auf Resilienz geprüft: Leistungsumfang, Standort der Datenverarbeitung, Reaktionszeiten, Meldepflichten, Auditrechte und ein Ausstieg, der funktioniert.

Austausch von Bedrohungsinformationen

Finanzunternehmen dürfen und sollen Informationen über Angriffe untereinander teilen. Für die IT-Leitung ist das der kleinste Punkt, aber ein Anschluss an ein Meldenetz gehört in die Liste.

Managed Hosting mit SLA Deutschland: was DORA von Ihren IT-Dienstleistern verlangt

Der Bereich, an dem die meisten Prüfungen hängen bleiben, sind die Dienstleister. Ein Hosting, das „irgendwo in der Cloud“ läuft, mit einem Vertrag, der keine Reaktionszeit nennt, erfüllt keine der Anforderungen. Was im Vertrag stehen muss: eine klare Leistungsbeschreibung, der Ort der Datenverarbeitung, verbindliche Reaktionszeiten für Störungen, die Pflicht des Dienstleisters, Vorfälle unverzüglich an Sie zu melden, ein Auditrecht und ein beschriebener Ausstieg mit Datenübergabe.

Ein Managed Hosting in Deutschland mit Überwachung rund um die Uhr, Sicherheitsupdates, geprüften Backups und verbindlichen Reaktionszeiten deckt diese Punkte ab, wenn sie im Vertrag stehen und nicht bloß auf der Website. Eine Grenze gehört ehrlich dazu: Ein seriöser Dienstleister garantiert die Reaktionszeit, die Lösung liefert er nach bestem Bemühen. Wer Ihnen eine garantierte Lösungszeit für jeden denkbaren Vorfall verspricht, hat noch keinen erlebt.

Schritt für Schritt zum Nachweis

Zuerst eine Lückenanalyse: Welche der fünf Anforderungen sind mit laufenden Prozessen belegt, welche nur mit Absichten? Dann das Rahmenwerk für IKT-Risiken, dokumentiert und mit Verantwortlichen. Danach die Meldewege, mit einer Übung, die zeigt, dass sie funktionieren. Dann das Testprogramm mit Terminen und Protokollen. Zuletzt die Verträge: jeder Dienstleister geprüft, jede Lücke nachverhandelt oder der Dienstleister ersetzt.

Altsysteme: die typische Lücke

In fast jedem Finanzunternehmen scheitert die Resilienz an einem gewachsenen Kernsystem, das sich weder redundant auslegen noch gefahrlos testen lässt. Die Lösung ist keine Neuentwicklung mit Stichtag, sondern eine Modernisierung in Etappen: Eine Funktion nach der anderen wird herausgelöst, parallel betrieben und übernommen, wenn die Ergebnisse übereinstimmen. Nach jeder Etappe wird getestet und dokumentiert, und jede Etappe ist ein Nachweis für die Aufsicht.

Häufige Fragen zur DORA-Readiness

Was droht bei Verstößen? Bußgelder, Auflagen bis zur Einschränkung der Geschäftstätigkeit und die persönliche Verantwortung der Geschäftsleitung. Die Höhe legt die Aufsicht fest; die Einordnung für Ihr Haus gehört zu Ihrer Rechtsabteilung.

Gilt DORA auch für kleine Finanzdienstleister? Ja, mit Erleichterungen nach Größe und Risiko. Die fünf Bereiche bleiben, der Umfang der Nachweise ist verhältnismäßig.

Reicht eine Zertifizierung nach ISO-Norm? Sie ist eine Grundlage, deckt aber Melde- und Testpflichten sowie die Dienstleistersteuerung nicht ab.

Welche Rolle spielt die Cloud? Sie ist ein Drittrisiko wie jedes andere. Standort, Reaktionszeiten, Meldepflicht und Ausstieg müssen im Vertrag stehen, sonst ist die Cloud eine Lücke im Nachweis.

Der nächste Schritt: den Vertrag Ihres wichtigsten Dienstleisters lesen

Nehmen Sie den Vertrag mit dem Dienstleister, der Ihr wichtigstes System betreibt, und suchen Sie vier Dinge: Reaktionszeit, Ort der Datenverarbeitung, Meldepflicht bei Vorfällen, Ausstieg mit Datenübergabe. Fehlt eines davon, klären wir in einer halben Stunde gemeinsam, was nachverhandelt werden muss und was ein Betrieb mit verbindlichen Zusagen für Sie bedeuten würde: Potenzial-Check buchen.