DORA-Readiness für Logistikunternehmen: Was die Verordnung von Ihrer IT verlangt

Der Digital Operational Resilience Act (DORA) verpflichtet Finanzunternehmen in der EU, ihre IT-Risiken zu steuern, Störungen zu melden und ihre Widerstandsfähigkeit nachzuweisen, und er reicht diese Pflichten an Dienstleister weiter. Logistikunternehmen trifft das, sobald sie IT-gestützte Leistungen für Banken, Versicherer oder Zahlungsdienstleister erbringen, etwa Werttransporte mit angebundener Sendungsverfolgung oder Dokumentenlogistik mit Portalzugang.

Wann DORA ein Logistikunternehmen erreicht

DORA gilt unmittelbar für Finanzunternehmen und für Anbieter von IKT-Dienstleistungen an diese. Ein Logistiker ist selten direkt Adressat. Er wird es mittelbar: Die Bank muss ihre wichtigen Dienstleister vertraglich auf Anforderungen verpflichten, und wenn Ihre Sendungsverfolgung, Ihr Kundenportal oder Ihre Schnittstelle Teil eines Bankprozesses ist, landet diese Anforderung in Ihrem nächsten Vertrag. Das ist keine Rechtsauslegung, sondern das, was in Ausschreibungen von Finanzkunden inzwischen steht: Nachweise über Störungsmanagement, Wiederanlaufzeiten, Backup-Proben und Zugang zu Prüfberichten. Wer diese Fragen nicht beantworten kann, verliert den Auftrag, ohne dass je eine Behörde etwas prüft.

Die besondere Lage der Logistik: gewachsene Systeme, Echtzeitbetrieb

Logistikunternehmen betreiben oft Systeme aus mehreren Jahrzehnten, über Schnittstellen verbunden mit Speditionen, Zollbehörden und Kunden. Diese Vielfalt macht einheitliche Sicherheitsstandards schwer. Dazu kommt der Echtzeitbetrieb: Steht die Lagerverwaltung, steht kurz darauf die Rampe, und bei Just-in-Sequence-Lieferungen steht danach das Band beim Kunden. Ein Ausfall, der in einer Verwaltung ein Ärgernis wäre, ist in der Logistik ein Vertragsstrafenfall. DORA verlangt genau für diesen Fall einen Nachweis: Wie schnell läuft es wieder, und wer hat das zuletzt geprobt?

Sicherheitsupdates und Backups auslagern oder selbst verantworten?

Die meisten DORA-Anforderungen an Dienstleister lassen sich auf Betriebsfragen zurückführen. Werden Sicherheitsupdates zeitnah eingespielt? Gibt es Backups, und wurde die Wiederherstellung geprobt? Wer meldet einen Vorfall innerhalb welcher Zeit an den Kunden? Gibt es eine Überwachung, die einen Angriff bemerkt, bevor der Kunde es tut? Diese Fragen können Sie im eigenen Team beantworten oder an einen Betreiber mit vertraglich festgelegten Reaktionszeiten abgeben. Beides ist legitim. Nicht legitim ist der Zustand, den wir am häufigsten sehen: Ein Administrator kümmert sich neben allem anderen, und niemand weiß, wann das letzte Backup zurückgespielt wurde.

Bei ausgelagertem Betrieb gehört in den Vertrag, was der Betreiber garantiert und was er nach bestem Bemühen leistet. Die Reaktionszeit lässt sich garantieren, die Lösung nicht. Alles andere ist ein Versprechen ohne Deckung.

Altsysteme modernisieren, ohne die Rampe anzuhalten

Ein unverändertes Altsystem ist das größte Einzelrisiko, weil es keine Sicherheitsupdates mehr bekommt und niemand seine Wiederherstellung beherrscht. Die Modernisierung muss trotzdem ohne Stillstand laufen. Bewährt hat sich der schrittweise Weg: Das Transportmanagement wird Modul für Modul durch eine neue Anwendung ersetzt, das Altsystem läuft parallel weiter, nach jedem Schritt wird die Wiederherstellung geprobt. So entsteht der Nachweis, den DORA verlangt, als Nebenprodukt der Modernisierung statt als eigenes Projekt.

Souveräne Infrastruktur als Teil der Antwort

DORA fragt auch nach der Kontrolle über Daten und Systeme, insbesondere nach Abhängigkeiten von einzelnen Anbietern. Logistikunternehmen, die alles bei einem US-Hyperscaler betreiben, müssen diese Abhängigkeit dokumentieren und einen Ausstiegsplan vorlegen können. Eine Architektur auf europäischer Infrastruktur mit offenen Standards macht diesen Nachweis einfacher und hält Kundendaten und Transportrouten unter europäischem Recht. Sie ersetzt aber keine Backups und keine Updates. Souveränität ohne Betrieb ist nur ein anderer Speicherort.

KI in der Logistik: nützlich, aber nicht im Kernsystem

KI-Modelle für Routenplanung oder Bestandsprognosen laufen am besten getrennt vom Kernsystem, angebunden über definierte Schnittstellen. Fällt das Modell aus oder liefert es Unsinn, läuft der Betrieb mit den bisherigen Regeln weiter. Das ist die Architektur, die DORA mit ausfallsicheren Prozessen meint, und sie ist auch ohne Verordnung vernünftig.

Wo Sie heute stehen

Beantworten Sie für Ihr wichtigstes System drei Fragen schriftlich: Wann wurde das letzte Sicherheitsupdate eingespielt, wann wurde die Wiederherstellung aus dem Backup zuletzt geprobt, und wer meldet einen Vorfall an den Kunden? Mit diesen Antworten buchen Sie den kostenlosen Potenzial-Check. In einer halben Stunde sagen wir Ihnen, welche Lücken ein Finanzkunde zuerst sehen würde und ob wir dafür die Richtigen sind.