Wenn Sie ein Zahlungsinstitut, ein Versicherungsmakler, ein Kreditinstitut oder ein Verwalter von Investmentfonds sind, gilt DORA bereits für Sie. Wenn Sie ein IT-Unternehmen sind, das Server betreut, Cloud-Dienste bereitstellt oder Software für solche Kunden entwickelt, erreicht DORA Sie über Kundenverträge, meist überraschend, mit der Bitte, innerhalb von zwei Wochen einen neuen Nachtrag zu unterschreiben.
DORA ist die EU-Verordnung 2022/2554 über die digitale operationale Resilienz im Finanzsektor und gilt seit dem 17. Januar 2025. Anders als eine Richtlinie gilt eine Verordnung unmittelbar, ohne in nationales Recht umgesetzt zu werden. Die BaFin beaufsichtigt sie daher genau so, wie sie geschrieben steht.
In diesem Artikel erklären wir die fünf Säulen der Verordnung in einfacher Sprache, zeigen, was sie in der Praxis für einen IT-Dienstleister bedeuten, und schildern, wie wir sie für unsere eigenen Kunden umsetzen.
Die fünf Säulen von DORA
Die Verordnung beruht auf fünf Bereichen. Jeder hat eine dokumentarische und eine technische Seite.
IKT-Risikomanagement
Ein Finanzinstitut muss einen von der Geschäftsleitung genehmigten Rahmen für das Management von Risiken der Informations- und Kommunikationstechnologie (IKT) haben: ein Verzeichnis der Werte, eine Risikobewertung, Schutzmaßnahmen, Erkennungsfähigkeiten sowie Reaktions- und Wiederherstellungspläne. Verantwortlich für das alles ist das Leitungsorgan, nicht die IT-Abteilung. In der Praxis heißt das: Die Leitung muss verstehen, welche Systeme kritisch sind, was passiert, wenn sie ausfallen, und wie lange das Institut ohne sie arbeiten kann.
Management und Meldung von Vorfällen
Alle IKT-bezogenen Vorfälle werden protokolliert und nach ihren Auswirkungen klassifiziert. Schwerwiegende Vorfälle werden der Aufsichtsbehörde innerhalb strenger Fristen gemeldet: eine Erstmeldung binnen weniger Stunden, später ein Zwischenbericht und ein Abschlussbericht. Das Institut muss rasch beurteilen können, wie viele Kunden betroffen waren, wie lange der Dienst ausgefallen ist und ob Daten abgeflossen sind. Ohne Protokolle und Überwachung ist das unmöglich.
Tests der digitalen operationalen Resilienz
Schutzmaßnahmen zu haben genügt nicht, sie müssen regelmäßig getestet werden. Die Basisstufe umfasst Schwachstellenscans, Konfigurationsprüfungen, Tests der Backup-Wiederherstellung und Szenarioübungen. Größere und systemrelevante Institute müssen zusätzlich bedrohungsgeleitete Penetrationstests durchführen, bei denen Spezialisten einen echten Angriff simulieren. Die Testergebnisse werden dokumentiert, Schwachstellen nach einem Plan behoben.
Management des IKT-Drittparteienrisikos
Diese Säule betrifft IT-Dienstleister am stärksten. Ein Institut muss ein Register aller seiner IKT-Dienstleister führen, das Risiko jedes einzelnen bewerten, verpflichtende Bestimmungen in die Verträge aufnehmen und eine Exit-Strategie für den Fall haben, dass ein Dienstleister die Leistung nicht mehr erbringt. Dienste, die kritische Funktionen stützen, etwa das Hosting eines Buchhaltungssystems oder die Speicherung von Backups, werden besonders genau geprüft.
Informationsaustausch
Institute sollen Informationen über Bedrohungen und Schwachstellen untereinander und mit Behörden austauschen. Für ein kleines Institut bedeutet das meist, in Branchengruppen mitzuarbeiten und die Warnungen des BSI zu verfolgen.
Was das für einen IT-Dienstleister bedeutet
Wenn Sie IT-Leistungen für ein Finanzinstitut erbringen, kann der Kunde nur mit Ihnen zusammenarbeiten, wenn Sie seine DORA-Pflichten unterstützen. Auf der Dienstleisterseite läuft das nach unserer Erfahrung auf drei konkrete Dinge hinaus.
Verträge
Der Vertrag mit einem Finanzinstitut muss klare Regelungen enthalten: genau beschriebene Leistungen und Servicelevel, den Speicherort der Daten (innerhalb der EU oder nicht), Fristen für die Meldung von Vorfällen an den Kunden, das Prüfungsrecht des Kunden und der Aufsichtsbehörde, Regeln für den Einsatz von Unterauftragnehmern sowie Kündigungsbedingungen mit einer Übergangsphase. Wenn Ihr Standardvertrag das nicht enthält, schickt der Kunde seinen eigenen Nachtrag. Besser ist es, einen eigenen zu haben, der rechtzeitig vorbereitet wurde.
Das Register
Der Kunde füllt ein Register der Dienstleister in einem vorgeschriebenen Format aus und benötigt dafür Angaben zu Ihnen: Daten der juristischen Person, Art der Leistung, Kritikalität, Datenstandort und Unterauftragnehmer. Ein Dienstleister sollte einen fertigen Satz von Antworten bereithalten, denn die Fragebögen verschiedener Kunden überschneiden sich stark.
Exit-Pläne
Jedes Institut muss von einem Dienstleister zu einem anderen wechseln können, ohne den Betrieb zu stören. Ihre Aufgabe ist es zu beschreiben, wie Sie die Daten zurückgeben, in welchem Format, innerhalb welcher Zeit und was Sie nach der Übergabe löschen. Ein Dienstleister, der nicht klar sagen kann, wie der Kunde seine Daten beim Ausstieg zurückerhält, ist ein Risiko und wird ersetzt.
Etwas, das Dienstleister oft übersehen, sind Unterauftragnehmer. Wenn Sie Ihrem Kunden Backup-Speicher bereitstellen und die Kopien physisch bei einem Dritten liegen, muss der Kunde davon wissen und ein Widerspruchsrecht haben. Die Kette der Unterauftragnehmer muss im Vertrag beschrieben und bei Änderungen aktualisiert werden.
Die folgende Tabelle zeigt, wie dieselben Anforderungen von beiden Seiten aussehen.
| Anforderung | Finanzinstitut | IT-Dienstleister |
|---|---|---|
| Risikomanagement | Risikoregister, Entscheidungen der Leitung | Nachweise eigener Sicherheitsrichtlinien und Kontrollen |
| Vorfälle | Meldung an die Behörde innerhalb der Fristen | Meldung an den Kunden in der vereinbarten Zeit, Protokolle |
| Tests | Testplan und Ergebnisse | Teilnahme an Wiederherstellungstests, Beheben von Schwachstellen |
| Dritte | Dienstleisterregister, Exit-Strategie | Vertragsnachtrag, Liste der Unterauftragnehmer, Exit-Plan |
| Informationsaustausch | Beobachtung von Bedrohungen, Mitarbeit in Gruppen | Warnungen an den Kunden vor relevanten Bedrohungen |
Backup und Wiederherstellung: Wo es am häufigsten schiefgeht
DORA verlangt nicht nur, dass es Backups gibt, sondern auch den Nachweis, dass der Betrieb daraus innerhalb einer festgelegten Zeit wiederhergestellt werden kann. Das Institut muss für jedes kritische System Zielzeiten und Zielpunkte der Wiederherstellung (RTO und RPO) festlegen, und Backups müssen physisch und logisch von der Hauptumgebung getrennt sein.
Der häufigste Fehler ist, Backups im selben Netzwerk oder beim selben Dienstleister im selben Rechenzentrum aufzubewahren. Ransomware, die die Server verschlüsselt, verschlüsselt sie mit. Der zweite Fehler ist eine Wiederherstellung, die nie getestet wurde. Dann zeigt sich im Ernstfall, dass das Backup unvollständig ist oder dass die Wiederherstellung Tage statt Stunden dauert.
Unseren Kunden bieten wir unveränderliche Backups an, die sich nicht ändern lassen und aus dem Netzwerk nicht sichtbar sind. Für kritische Systeme gibt es die PlanB-Infrastrukturwiederherstellung, bei der die gesamte Umgebung in unserer Cloud hochgefahren werden kann, wenn die primäre nicht mehr verfügbar ist. Auf Wunsch werden Backups außerdem in einem Amazon-Rechenzentrum in Deutschland gespeichert, damit die geografische Trennung real ist und nicht nur behauptet wird.
Wie MDP CLOUD hilft
Wir arbeiten von beiden Seiten: Wir sind IT-Dienstleister für Finanzinstitute und helfen anderen IT-Dienstleistern, sich auf die Anforderungen ihrer Kunden vorzubereiten. Unser Team verfügt über aktuelle ISACA-Zertifizierungen (CISA, CISM, CRISC und weitere), und wir erbringen unsere Leistungen nach den Anforderungen von ISO 27001. Antworten auf Kundenfragebögen haben wir daher bereits parat.
Für ein Finanzinstitut helfen wir beim Aufbau der Register für IKT-Werte und Dienstleister, führen eine Risikobewertung durch, bereiten ein Verfahren für das Vorfallmanagement samt Meldevorlagen vor und planen und führen Resilienztests durch. Für einen IT-Dienstleister helfen wir bei der Vorbereitung des Vertragsnachtrags, eines Satzes von Sicherheitsrichtlinien, einer Vorlage für den Exit-Plan und der technischen Nachweise, die ein Kunde verlangen wird.
Wo Sie anfangen
- Klären Sie, ob DORA direkt für Sie gilt (Sie sind ein Finanzinstitut) oder über Ihre Kunden (Sie sind ein Dienstleister). Davon hängt die Reihenfolge der Arbeiten ab.
- Listen Sie Ihre kritischen Funktionen sowie die Systeme und Dienstleister auf, die sie stützen. Das ist die Grundlage für das Register und die Risikobewertung.
- Prüfen Sie die Verträge mit Dienstleistern oder Kunden und markieren Sie, welche Bestimmungen fehlen.
- Prüfen Sie Ihre Backups: wo sie liegen, ob sie vom Hauptnetz getrennt sind und wann sie zuletzt tatsächlich wiederhergestellt wurden.
- Bereiten Sie ein Verfahren zur Meldung von Vorfällen mit Kontakten und Fristen vor, damit im Ernstfall niemand suchen muss, wen er anrufen soll.
Den gesamten Weg vom ersten Schritt bis zur Bereitschaft gegenüber der Aufsichtsbehörde haben wir auf der DORA-Leistungsseite beschrieben. Wenn Sie lieber mit einem Gespräch beginnen möchten, nehmen Sie Kontakt mit uns auf. Beim ersten Treffen sagen wir Ihnen, welche Anforderungen für Sie wichtig sind und um welche Sie sich keine Sorgen machen müssen.
