Kreditgenossenschaft: DORA-Compliance und getestete PlanB-Wiederherstellung in 10 Wochen

Ausgangslage

Eine Kreditgenossenschaft in Šiauliai, Litauen: 45 Mitarbeitende, zwei Filialen und Online-Banking für die Mitglieder. Die IT-Landschaft ist klein: einige Server, ein Kernbankensystem, das ein externer Anbieter hostet, und Microsoft 365 für E-Mail und Dokumente. Eine Person ist für die IT zuständig und betreute zudem einen Teil der Fachsysteme.

Die DORA-Verordnung (EU 2022/2554) gilt seit dem 17. Januar 2025, und Kreditgenossenschaften fallen in ihren Anwendungsbereich. Bei einer planmäßigen Prüfung verlangte die Aufsichtsbehörde die Unterlagen des Rahmens für das IKT-Risikomanagement, den Prozess zur Erfassung von Vorfällen und Nachweise über Resilienztests. Die Genossenschaft hatte eine Risikobewertung aus früheren Jahren, einige Richtlinien und Backups, die zwar erstellt, aber noch nie von Grund auf wiederhergestellt worden waren.

Der Finanzdirektor kam mit einer konkreten Frage zu uns: Was brauchen wir auf dem Papier und was in der Realität, damit die Prüfung keine Beanstandungen findet? Die Frist betrug drei Monate, bis zum Folgetermin mit der Aufsichtsbehörde.

Was erforderlich war

• Ein IKT-Risikoregister, das mit Geschäftsprozessen und kritischen Systemen verknüpft ist.
• Ein Prozess für das Vorfallmanagement mit Klassifizierung und den Fristen für die Meldung an die Aufsichtsbehörde.
• Ein Register der Drittanbieter (IKT-Dienstleister) mit Vertragsprüfung und Risikobewertung.
• Ein funktionierender Wiederherstellungsplan: nicht nur Backups, sondern eine getestete Wiederherstellung mit gemessener Zeit.
• Ein Programm für Resilienztests, das sich jedes Jahr ohne externe Berater wiederholen lässt.
• All das mit den Ressourcen einer kleinen Organisation und ohne zusätzliche Einstellung.

Was wir getan haben

Wochen 1–2: Gap-Analyse

Wir begannen mit der Prüfung der vorhandenen Dokumente und der Infrastruktur anhand einer Karte der DORA-Anforderungen. Wir erstellten eine Liste der kritischen Funktionen: Einlagen- und Kreditbuchhaltung, Zahlungsverkehr, Mitgliederbetreuung und Berichte an die Aufsichtsbehörde. Für jede Funktion ordneten wir Systeme, Dienstleister und Verantwortliche zu. Dabei zeigte sich, dass der Vertrag mit dem Anbieter des Kernbankensystems weder ein RTO noch ein Prüfrecht vorsah, was zu einer eigenen Aufgabe gemeinsam mit dem Juristen der Genossenschaft wurde.

Wochen 3–5: Risikoregister und Prozesse

Wir führten eine Risikobewertung nach unserer Methodik durch, abgestimmt auf die Anforderungen von ISO 27001 und den DORA-Rahmen für das IKT-Risikomanagement. Das Register umfasste am Ende 38 Risiken, 7 davon hoch. Wir erstellten ein Verfahren für das Vorfallmanagement mit einer Klassifizierung, die der DORA-Logik für die Meldung schwerwiegender Vorfälle folgt, sowie ein einfaches Erfassungsformular im Microsoft-365-Tenant. Das Dienstleisterregister enthält 14 IKT-Dienstleister, jeweils mit Kritikalitätsbewertung und dem Ergebnis der Vertragsprüfung.

Parallel schulten wir die Mitarbeitenden: zweistündige Sitzungen zum Erkennen und Erfassen von Vorfällen und eine eigene Sitzung für die Leitung zu ihrer Rolle bei einer Wiederherstellung. Das ist wichtig, weil DORA nicht nur Dokumente verlangt, sondern auch den Nachweis, dass die Menschen wissen, was zu tun ist.

Wochen 6–8: PlanB-Wiederherstellung

Der technische Teil war die PlanB-Wiederherstellung der Infrastruktur in der Cloud von MDP CLOUD. Die Server-Backups der Genossenschaft wurden bereits mit Veeam erstellt, aber nur auf lokalem Speicher. Wir ergänzten eine Kopie in unserem Rechenzentrum in Litauen und bereiteten in der PlanB-Umgebung ein vorkonfiguriertes Netzwerk, ein VPN und einen Domänencontroller vor, damit bei einer Wiederherstellung nichts von Grund auf aufgebaut werden muss. Am kompliziertesten war das Kernbankensystem beim externen Anbieter: Seine Wiederherstellung hängt vom Anbieter ab, daher nahmen wir dessen Kontakte, den Eskalationsweg und das vertraglich zugesagte RTO in den Plan auf.

Wochen 9–10: Übungen

Wir führten zwei Wiederherstellungsübungen durch. In der ersten stellten wir den Dateiserver und den Domänencontroller in der PlanB-Umgebung wieder her. Das dauerte 5 Stunden, von denen eine Stunde durch einen fehlerhaften DNS-Eintrag verloren ging. Wir korrigierten das Verfahren, und in der zweiten Übung waren alle von der Genossenschaft betriebenen Systeme innerhalb von 4 Stunden verfügbar. Beide Male hielten wir Zeit, Beteiligte, Probleme und getroffene Entscheidungen fest, genau die Art von Bericht, die die Aufsicht verlangt.

Ergebnis

Die Genossenschaft reichte der Aufsichtsbehörde einen Dokumentensatz ein: das IKT-Risikoregister, das Vorfallverfahren, das Dienstleisterregister mit 14 bewerteten Dienstleistern, den Plan für Geschäftsfortführung und Wiederherstellung sowie die Berichte beider Übungen. Beim Folgetermin gab es keine Anmerkungen zum IKT-Risikomanagement. Der Vertrag mit dem Anbieter des Kernbankensystems wurde um eine RTO-Zusage und ein Prüfrecht ergänzt. Das dauerte am längsten, aber ohne es wäre das Dienstleisterregister eine Formalität geblieben.

Die wichtigste Zahl ist das RTO von 4 Stunden, das kein Versprechen ist, sondern ein gemessenes Ergebnis. Die Übungen finden nun zweimal im Jahr nach einem vereinbarten Kalender statt; die nächste ist bereits mit der für die IT zuständigen Person terminiert, wir nehmen nur noch als Beobachter teil.

„Bis dahin hatten wir Backups und glaubten, dass sie funktionieren. Jetzt haben wir einen Bericht, der sagt, wie viele Stunden es gedauert hat und was nicht funktioniert hat.“

Die Messung ist einfach: Jeder Übungsbericht hält die tatsächliche Wiederherstellungszeit fest, und das Risikoregister wird jedes Quartal gemeinsam mit unserem DORA-Berater überprüft.

Was wir in einer ähnlichen Situation raten

• Beginnen Sie mit den kritischen Funktionen, nicht mit Dokumentenvorlagen. Die Aufsicht fragt, was mit den Mitgliedern geschieht, wenn ein System ausfällt, nicht, wie viele Seiten eine Richtlinie hat.
• Prüfen Sie die Verträge mit IKT-Dienstleistern frühzeitig. Ein fehlendes RTO oder Prüfrecht auszuhandeln dauert Monate.
• Testen Sie die Wiederherstellung mindestens zweimal, bevor Sie bei der Aufsicht einreichen. Die erste Übung deckt fast immer einen Fehler auf, der nicht im Plan stand.
• Schreiben Sie den Übungsbericht so, dass ihn ein Vorstand versteht: die Zeit, was nicht funktioniert hat, was geändert wurde.