DORA-Compliance-Leitfaden für Finanzinstitute

Was ist DORA?

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) ist eine EU-Verordnung, die standardisiert, wie Finanzinstitute ICT-Risiken (Informations- und Kommunikationstechnologie) managen. Veröffentlicht am 27. Dezember 2022, tritt DORA ab dem 17. Januar 2025 in Kraft.

DORA stellt sicher, dass Banken, Versicherer, Investmentfirmen und ihre kritischen Technologieanbieter ICT-bedingte Störungen und Cyberbedrohungen standhalten, darauf reagieren und sich davon erholen können.

Wer muss DORA einhalten?

Finanzinstitute (Artikel 2)

DORA gilt für eine breite Palette von Finanzinstituten, darunter:

• Kreditinstitute (Banken)
• Zahlungsinstitute und E-Geld-Institute
• Investmentfirmen und Krypto-Asset-Dienstleister
• Versicherungs- und Rückversicherungsunternehmen
• Pensionsfonds
• Handelsplätze und zentrale Gegenparteien
• Ratingagenturen

ICT-Drittanbieter

Kritische ICT-Dienstleister (Cloud-Plattformen, Rechenzentren, Managed Security Services), die von EU-Behörden benannt werden, müssen ebenfalls den Aufsichtsrahmen von DORA einhalten (Artikel 28-30).

Die fünf Säulen von DORA

1. ICT-Risikomanagement (Artikel 6-16)

Sie müssen ein umfassendes ICT-Risikomanagement-Framework einrichten, das Folgendes abdeckt:

• Governance: Aufsicht durch Vorstand und Management über ICT-Risiken
• Schutz: Sicherheitsrichtlinien, Zugriffskontrollen, Verschlüsselung
• Erkennung: Kontinuierliche Überwachung und Bedrohungsinformationen
• Reaktion und Wiederherstellung: Incident-Management und Business-Continuity-Pläne
• Lernen: Nachbereitung von Vorfällen und Verbesserungszyklen

Ihr Framework muss dokumentiert, regelmäßig überprüft und an die Größe und das Risikoprofil Ihrer Organisation angepasst sein.

2. Meldung von Vorfällen (Artikel 17-23)

DORA führt strenge Fristen für die Meldung ICT-bezogener Vorfälle an die zuständigen Behörden ein:

• Erstmeldung: Innerhalb von 4 Stunden nach Einstufung als schwerwiegend
• Zwischenbericht: Innerhalb von 72 Stunden mit Ursachenanalyse
• Abschlussbericht: Innerhalb eines Monats, einschließlich Wiederherstellungsmaßnahmen

3. Prüfung der digitalen operationellen Resilienz (Artikel 24-27)

Sie müssen regelmäßig Tests Ihrer ICT-Systeme und Resilienzfähigkeiten durchführen:

• Allgemeine Tests: Schwachstellenanalysen, Penetrationstests, szenariobasierte Tests
• Erweiterte Tests: Bedrohungsgesteuerte Penetrationstests (TLPT) für von Behörden benannte Institute

Die Häufigkeit und der Umfang der Tests hängen von Ihrem Risikoprofil ab, wobei TLPT für benannte Institute mindestens alle drei Jahre erforderlich ist.

4. ICT-Risikomanagement bei Drittanbietern (Artikel 28-30)

DORA schreibt eine umfassende Aufsicht über ICT-Drittanbieter vor, einschließlich:

• Vorvertragliche Bewertung: Due Diligence zu Fähigkeiten und Risiken des Anbieters
• Vertragliche Anforderungen: Servicelevels, Audit-Rechte, Exit-Strategien, Kontrolle von Unteraufträgen
• Laufende Überwachung: Leistungsverfolgung, Compliance-Prüfung, Management von Konzentrationsrisiken
• Exit-Strategien: Pläne zur nahtlosen Übergabe von Dienstleistungen

5. Informationsaustausch (Artikel 45)

Finanzinstitute können an Vereinbarungen zur gemeinsamen Nutzung von Cyber-Bedrohungsinformationen und Best Practices teilnehmen. Diese Vereinbarungen müssen die Vertraulichkeit wahren und den Datenschutzgesetzen entsprechen.

Implementierungsfahrplan

Schritt 1: Bestimmen Sie Ihren Geltungsbereich

Prüfen Sie, ob Ihre Organisation unter DORA fällt. Überprüfen Sie Artikel 2, um die zutreffenden Institutstypen zu identifizieren, und konsultieren Sie bei Unsicherheit Ihre nationale zuständige Behörde.

Schritt 2: Führen Sie eine Gap-Analyse durch

Bewerten Sie Ihre aktuellen Praktiken im ICT-Risikomanagement, Incident-Response, Testing und der Aufsicht über Drittanbieter im Vergleich zu den DORA-Anforderungen. Identifizieren Sie Lücken in Richtlinien, Prozessen, Dokumentation und Kontrollen.

Schritt 3: Erstellen oder aktualisieren Sie Ihr ICT-Risikomanagement-Framework

Entwickeln Sie umfassende Richtlinien und Verfahren, die alle fünf Säulen abdecken. Stellen Sie sicher, dass die Governance auf Management- und Vorstandsebene vorhanden ist, und weisen Sie klare Rollen und Verantwortlichkeiten zu.

Schritt 4: Richten Sie Prozesse für die Vorfallmeldung ein

Definieren Sie Kriterien für die Vorfallklassifizierung, Meldeworkflows und Eskalationspfade. Integrieren Sie diese in Ihre bestehenden Incident-Management-Systeme und schulen Sie Teams zu den strengen Fristen von DORA.

Schritt 5: Planen Sie Ihr Testprogramm

Planen Sie regelmäßige Resilienztests (Schwachstellenscans, Penetrationstests, Szenarioübungen). Wenn Sie für TLPT benannt sind, beauftragen Sie qualifizierte Tester und koordinieren Sie mit den Behörden.

Schritt 6: Überprüfen Sie Drittanbieter-Vereinbarungen

Erfassen Sie alle ICT-Drittanbieter. Überprüfen Sie Verträge, um sicherzustellen, dass sie DORA-konforme Klauseln enthalten (Audit-Rechte, Exit-Bestimmungen, Transparenz bei Unteraufträgen). Bewerten Sie Konzentrationsrisiken und entwickeln Sie Minderungsstrategien.

Schritt 7: Dokumentieren Sie alles

DORA verlangt umfangreiche Dokumentation: Risikoregister, Vorfallsprotokolle, Testberichte, Verträge und Vorstandsprotokolle. Führen Sie prüffähige Aufzeichnungen, um die Compliance nachzuweisen.

Schritt 8: Schulen Sie Ihre Teams

Stellen Sie sicher, dass IT-, Sicherheits-, Risiko-, Compliance- und Managementteams die DORA-Anforderungen und ihre Verantwortlichkeiten verstehen. Führen Sie regelmäßige Schulungen und Simulationen durch.

DORA und andere Frameworks

DORA ergänzt und überschneidet sich mit anderen Vorschriften und Standards:

• NIS2-Richtlinie: DORA behandelt die ICT-Resilienz für Finanzinstitute, während NIS2 kritische Infrastrukturen in verschiedenen Sektoren abdeckt. Finanzinstitute, die unter beide fallen, müssen die Compliance koordinieren.
• ISO 27001: Die Risikomanagement-Säule von DORA stimmt mit den ISO 27001-Kontrollen überein. Ein ISO 27001-zertifiziertes ISMS kann die DORA-Compliance unterstützen, deckt jedoch nicht alle Anforderungen ab (z. B. Fristen für die Vorfallmeldung).
• DSGVO: Die Vorfallmeldung und Aufsicht über Drittanbieter gemäß DORA müssen die Datenschutz- und Meldepflichten der DSGVO berücksichtigen.

Ordnen Sie die DORA-Anforderungen Ihren bestehenden Frameworks zu, um Doppelarbeit zu vermeiden und frühere Arbeiten zu nutzen.

Häufige Herausforderungen

Enge Fristen für die Vorfallmeldung

Das 4-Stunden-Fenster für die Erstmeldung ist ambitioniert. Automatisieren Sie die Erkennung und Klassifizierung, wo möglich, und etablieren Sie 24/7-Incident-Response-Fähigkeiten.

Neuverhandlung von Drittanbieterverträgen

Viele Altverträge enthalten keine DORA-konformen Klauseln. Beginnen Sie frühzeitig mit den Neuverhandlungen und priorisieren Sie kritische Anbieter.

Koordination von TLPT

Erweiterte Tests erfordern die Abstimmung mit Regulierungsbehörden und qualifizierten Testern. Planen Sie im Voraus, wenn Sie für TLPT benannt sind.

Management von Konzentrationsrisiken

Die Identifizierung und Minderung von übermäßigen Abhängigkeiten von bestimmten Anbietern oder Technologien erfordert eine tiefgehende Transparenz der Lieferkette. Führen Sie eine gründliche Abhängigkeitsanalyse durch.

Strafen bei Nichteinhaltung

Die nationalen zuständigen Behörden setzen DORA mit Strafen bei Verstößen durch, darunter:

• Geldstrafen bis zu 2 % des weltweiten Jahresumsatzes
• Öffentliche Verwarnungen und Reputationsschäden
• Aussetzung von Aktivitäten oder Entzug der Zulassung in schweren Fällen

Die Strafen sind proportional zur Schwere und Dauer der Nichteinhaltung.

DORA-Compliance mit ISMS Copilot beschleunigen

ISMS Copilot ist ein KI-Assistent, der speziell für Compliance-Frameworks wie DORA entwickelt wurde. Er hilft Ihnen:

• Gap-Analysen durchzuführen: Laden Sie Ihre bestehenden Richtlinien oder Risikobewertungen hoch und bitten Sie Copilot, Lücken im Vergleich zu den fünf Säulen von DORA zu identifizieren.
• Compliance-konforme Richtlinien zu generieren: Nutzen Sie vordefinierte Prompts, um ICT-Risikomanagement-Richtlinien, Verfahren zur Vorfallklassifizierung und Drittanbieter-Risikoframeworks gemäß DORA-Artikeln 6, 17 und 28 zu erstellen.
• Zuordnungen zu anderen Frameworks vorzunehmen: Fragen Sie, wie sich DORA-Anforderungen auf ISO 27001, NIS2 oder NIST CSF beziehen, um die Compliance über mehrere Frameworks hinweg zu optimieren.
• Sich auf Audits vorzubereiten: Generieren Sie Checklisten, Nachweisliste und Kontrollzuordnungen für behördliche Prüfungen.

Beispielanfragen für ISMS Copilot:

• "Fällt mein Zahlungsinstitut unter DORA?"
• "Erstelle eine ICT-Risikomanagement-Richtlinie für DORA Artikel 6."
• "Wie lauten die Fristen für die Vorfallmeldung gemäß DORA Artikel 19?"
• "Erstelle eine Vorlage für die Drittanbieter-Risikobewertung gemäß DORA Artikel 30."

ISMS Copilot stützt sich auf praktische Beratungserfahrung und offizielle regulatorische Texte, um präzise, prüffähige Anleitungen zu liefern – ohne die Halluzinationen, die bei allgemeinen KI-Tools üblich sind.

Entdecken Sie die DORA-Compliance-Prompt-Bibliothek für sofort einsatzbereite Vorlagen oder erfahren Sie, wie ISMS Copilot Risikomanager in regulierten Branchen mit DORA und NIS2 unterstützt.

Zusätzliche Ressourcen

• Offizielle DORA-Verordnung (EU) 2022/2554
• DORA-Verordnung – Übersicht und Inhaltsverzeichnis
• DORA-Compliance-Prompt-Bibliothek
• ISMS Copilot für Risikomanager in regulierten Branchen (DORA/NIS2)