In der Finanzbranche ist IT-Sicherheit längst auch eine Frage der Aufsicht. Mit DORA gibt es seit Januar 2025 ein europaweit einheitliches Regelwerk. Dieser Beitrag ist für Sie, wenn Sie ein Unternehmen im Finanzbereich führen und einen verständlichen Überblick suchen: Gilt DORA für mich, und wenn ja, was heißt das im Alltag?
Was ist DORA, und für wen gilt es?
DORA steht für Digital Operational Resilience Act, auf Deutsch etwa „Gesetz über die digitale operationale Widerstandsfähigkeit“. Die EU-Verordnung gilt seit dem 17. Januar 2025 für viele Finanzunternehmen, zum Beispiel Banken, Zahlungs- und E-Geld-Institute, Wertpapierinstitute, Kapitalverwaltungsgesellschaften und Versicherungen. In Deutschland überwacht die BaFin die Umsetzung.
Nicht jedes Unternehmen der Branche ist erfasst. Versicherungsvermittler sind zum Beispiel ausgenommen, wenn sie Kleinst-, kleine oder mittlere Unternehmen sind. Ob DORA für Ihre Erlaubnis gilt, klären Sie am besten mit Ihrem Verband oder Ihrer Aufsicht.
Die fünf Bereiche von DORA
- IKT-Risikomanagement: Risiken rund um Informations- und Kommunikationstechnik werden systematisch erkannt, bewertet und behandelt.
- Vorfälle: Schwerwiegende IT-Vorfälle werden erfasst, eingestuft und an die Aufsicht gemeldet.
- Tests: Die digitale Widerstandsfähigkeit wird regelmäßig geprüft.
- Drittparteien: Verträge mit IT-Dienstleistern müssen bestimmte Inhalte haben, und Abhängigkeiten werden überwacht.
- Informationsaustausch: Unternehmen können Erkenntnisse über Bedrohungen untereinander teilen.
Fünf Schritte für einen geordneten Start
- Betroffenheit klären. Halten Sie schriftlich fest, ob und in welchem Umfang DORA für Sie gilt.
- Systeme und Dienstleister erfassen. Listen Sie auf, welche Anwendungen und IT-Dienstleister für Ihr Geschäft wichtig sind und wie sie zusammenhängen.
- Verträge prüfen. Sehen Sie sich die Verträge mit IT-Dienstleistern an: Sind Zugriff, Kündigung, Mitwirkung bei Vorfällen und Ausstiegswege geregelt?
- Vorfallprozess festlegen. Legen Sie fest, wer IT-Vorfälle aufnimmt, bewertet und gegebenenfalls meldet.
- Grundlagen sichern. Mehrstufige Anmeldung, aktuelle Systeme, getestete Datensicherung und Notfallpläne sind die Basis für alles Weitere, auch wenn DORA für Sie nicht direkt gilt.
Kurz-Check für Ihr Unternehmen
- Ist schriftlich festgehalten, ob DORA für Ihr Unternehmen gilt?
- Gibt es eine Liste der wichtigen Anwendungen und IT-Dienstleister?
- Sind in den Verträgen Zugriff, Vorfälle und Ausstiegswege geregelt?
- Weiß das Team, wer einen IT-Vorfall aufnimmt und bewertet?
- Wurde die Datensicherung zuletzt erfolgreich getestet?
Wenn Sie bei einer Frage zögern, ist das kein Grund zur Sorge. Es ist einfach ein guter Startpunkt für die nächsten Wochen, und Sie müssen nicht alles auf einmal angehen.
Wie es weitergeht
Auf unserer Seite IT für Finanzdienstleister zeigen wir, worauf wir in der Branche achten. Mit ITNG Care kümmern wir uns um die technische Basis: Updates, Geräteverwaltung, Backup von Microsoft 365 und Überwachung rund um die Uhr. Der Jahresstatus gibt Ihnen eine Grundlage für Ihre Dokumentation.