DORA-Compliance erklärt

DORA — der Digital Operational Resilience Act — gilt für eine Vielzahl von Finanzunternehmen und, entscheidend, für ihre kritischen IKT-Dienstleister. Er harmonisiert Anforderungen an die operative Resilienz, die zuvor verstreut waren.

Fünf Säulen

• IKT-Risikomanagement — ein umfassendes, von der Leitung verantwortetes Rahmenwerk.
• IKT-Vorfallmanagement — Klassifizierung, Behandlung und Meldung schwerwiegender Vorfälle.
• Tests der digitalen operativen Resilienz — einschließlich bedrohungsgeleiteter Penetrationstests.
• IKT-Drittparteienrisiko — Aufsicht über Anbieter mit zentralen Vertragsanforderungen.
• Informationsaustausch — freiwilliger Austausch von Bedrohungsinformationen.

Drittparteienrisiko im Mittelpunkt

DORA legt echtes Gewicht auf IKT-Drittparteienrisiken. Finanzunternehmen müssen ein Informationsregister führen, vertragliche Vorgaben sicherstellen und Konzentrationsrisiken bewerten.

Verhältnis zu Bestehendem

Wer ISO 27001 umgesetzt oder sich an NIS2 ausgerichtet hat, hat eine starke Basis — DORA ist jedoch stellenweise präziser, besonders bei Tests und Verträgen. Betrachten Sie es als Erweiterung.

DORAs Fokus auf Resilienztests und Lieferantenverträge erwischt viele, die ihr bestehendes Programm für ausreichend hielten.

Praktische erste Schritte

• Klären Sie, ob Sie Finanzunternehmen oder IKT-Anbieter sind.
• Erstellen oder aktualisieren Sie Ihr Register der IKT-Drittparteienvereinbarungen.
• Prüfen Sie Lieferantenverträge gegen DORAs Vorgaben.
• Etablieren Sie einen Vorfall-Klassifizierungs- und Meldeprozess.
• Planen Sie ein Resilienztestprogramm passend zu Größe und Risiko.

DORA ist anspruchsvoll, aber logisch. Verstehen Sie Ihre Rolle in der Kette, bringen Sie Ihre Drittparteien in Ordnung und verankern Sie Resilienztests in der Routine.