DORA-Readiness für Logistikdienstleister: Was die EU-Verordnung zur digitalen Resilienz von Ihrer IT verlangt

Der Digital Operational Resilience Act (DORA) verpflichtet Finanzunternehmen in der EU, die Widerstandsfähigkeit ihrer IT nachzuweisen, und reicht diese Pflicht an die Dienstleister weiter, deren Systeme für sie kritisch sind. Logistikdienstleister erreicht DORA damit selten direkt, aber sehr konkret über die Verträge ihrer Finanzkunden, und NIS-2 nimmt den Transportsektor ohnehin in die Pflicht.

Wen DORA in der Logistik tatsächlich trifft

DORA gilt für Banken, Versicherer, Zahlungsdienstleister und deren Anbieter von IKT-Dienstleistungen. Ein Logistikdienstleister fällt nicht deshalb darunter, weil er Pakete für eine Bank fährt, sondern wenn er für ein Finanzunternehmen Systeme betreibt oder Daten verarbeitet, etwa eine Plattform für Wertlogistik, Dokumententransport oder Archivierung. Dann verlangt der Finanzkunde vertraglich Nachweise: Risikomanagement, Meldewege bei Vorfällen, Testergebnisse und Ausstiegsregelungen. Wer diese Nachweise nicht liefern kann, verliert den Kunden, nicht an die Aufsicht, sondern an einen Wettbewerber, der sie liefert. Unabhängig davon zählt der Transportsektor unter NIS-2 zu den wichtigen Einrichtungen, mit eigenen Pflichten zu Risikomanagement und Meldung. Die Vorbereitung auf beides ist dieselbe.

Die fünf Säulen und was sie für Logistik-IT bedeuten

DORA ruht auf fünf Säulen: IKT-Risikomanagement, Meldung von Vorfällen, Tests der Widerstandsfähigkeit, Steuerung von Drittanbieterrisiken und Austausch von Bedrohungsinformationen. Für Logistiker sind die ersten drei entscheidend, weil ihre IT viele externe Schnittstellen hat, zu Spediteuren, Lagern, Zoll und Telematik. Jede davon ist ein Eintrittspunkt und ein möglicher Ausfall.

IKT-Risikomanagement aufbauen

Alle kritischen Systeme, von der Auftragsverwaltung bis zur Flottensteuerung, kommen in ein Risikoregister: Was fällt aus, was bedeutet das für die Lieferkette, welche Gegenmaßnahme gibt es? Ein Logistiker mit cloudbasierter Lagerverwaltung hält dort auch den Notfallplan für einen Ransomware-Angriff vor, mit der Antwort auf die Frage, wie lange das Lager ohne System arbeiten kann.

Vorfälle erkennen und melden

DORA setzt enge Meldefristen an die Aufsicht, die Ihr Finanzkunde nur einhalten kann, wenn Sie ihm den Vorfall sofort melden. Das verlangt ein Monitoring, das ungewöhnliche Netzaktivität erkennt, eine Einstufung des Vorfalls und einen standardisierten Meldebericht, der nicht erst im Ernstfall entworfen wird.

Widerstandsfähigkeit testen

Penetrationstests, Notfallübungen und Szenarien wie der Ausfall des zentralen Transportmanagementsystems gehören in einen festen Rhythmus. Die Frage, die der Test beantworten muss: Funktionieren die manuellen Ersatzprozesse, und wie lange? Ein jährlicher Stresstest, bei dem ein Angriff auf die Lieferketten-IT simuliert wird, zeigt das ehrlicher als jedes Dokument.

Drittanbieter steuern

Cloud-Anbieter, Telematik-Dienstleister, Hostingpartner: Ihre Nachweispflicht endet nicht an Ihrer Firmengrenze. Verträge werden auf Reaktionszeiten, Sicherheitsprüfungen, Datenstandort und Ausstiegsregelung geprüft und angepasst.

Bedrohungen teilen, Mitarbeiter schulen

Der Austausch von Bedrohungsinformationen in Branchenkreisen und regelmäßige Schulungen zu Phishing und Meldewegen gehören dazu. Der häufigste Eintrittspunkt bleibt ein geöffneter Anhang.

Wartungsvertrag, Webanwendung, Reaktionszeit: Der Betrieb ist der Nachweis

Der Punkt, an dem die DORA-Vorbereitung in der Praxis hängt, ist der Betrieb. Wer betreibt das Kundenportal, die Sendungsverfolgung, die Schnittstelle zum Finanzkunden? Wenn die Antwort „unser Admin, wenn er Zeit hat“ lautet, fehlt der Nachweis, den der Finanzkunde verlangt. Ein Wartungsvertrag mit verbindlicher Reaktionszeit, Monitoring rund um die Uhr, Sicherheitsupdates, unveränderlichen Sicherungen und dokumentierten Wiederherstellungstests ist dieser Nachweis. Wir bieten das als Managed Hosting auf Infrastruktur in Deutschland an, mit einer Grenze, die wir offen benennen: Die Reaktionszeit garantieren wir, die Lösung erfolgt nach bestem Bemühen. Was in einen solchen Vertrag gehört, steht im Beitrag SLA-Reaktionszeiten verstehen. Und wenn Ihre Landschaft einen anderen Partner braucht, sagen wir Ihnen auch das.

Häufige Fragen

Welche Logistikdienstleister müssen sich mit DORA befassen?

Alle, die für Banken, Versicherer oder Zahlungsdienstleister Systeme betreiben oder Daten verarbeiten und deshalb als IKT-Dienstleister in deren Verträgen auftauchen. Ob die Aufsicht Sie als kritischen Drittanbieter einstuft, entscheidet sie selbst; die vertraglichen Anforderungen Ihrer Kunden kommen vorher.

Was passiert bei Nichteinhaltung?

Für den Finanzkunden drohen aufsichtsrechtliche Maßnahmen, deshalb wird er den Vertrag mit Ihnen anpassen oder beenden. Für Sie selbst gelten unter NIS-2 eigene Sanktionen, wenn Sie als wichtige Einrichtung erfasst sind.

Wie lange dauert die Vorbereitung?

Wer Prozesse dokumentiert hat und Systeme professionell betreiben lässt, ergänzt vor allem Nachweise. Wer Altsysteme und viele manuelle Abläufe hat, plant einen schrittweisen Umbau über mehrere Etappen.

Geht das mit bestehenden Systemen?

Meist ja. Altsysteme lassen sich schrittweise absichern und in einen gemanagten Betrieb überführen, ohne Neuentwicklung. Was das für Logistiker konkret heißt, beschreibt der Beitrag DORA in der Logistik: Compliance vorbereiten.

Nehmen Sie den Vertrag Ihres wichtigsten Finanzkunden und den Wartungsvertrag Ihres wichtigsten Systems und suchen Sie in beiden nach Reaktionszeit, Meldeweg und Ausstiegsregelung. Was fehlt, bringen Sie mit in den Potenzial-Check, eine halbe Stunde, kostenlos. Wir sagen Ihnen, welchen Nachweis Sie zuerst brauchen und was sein Betrieb kostet. Potenzial-Check buchen