DORA: wer betroffen ist und was daraus folgt

Der Kreis der Finanzunternehmen ist bewusst weit gefasst

Die Verordnung zählt die erfassten Unternehmensarten ausdrücklich auf, und die Liste geht deutlich über Banken hinaus. Erfasst sind unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Kryptowerte-Diensten, Versicherungs- und Rückversicherungsunternehmen samt ihrer Vermittler, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Verwaltungsgesellschaften, Handelsplätze, Zentralverwahrer und Schwarmfinanzierungsdienstleister.

Für kleine und wenig verflochtene Unternehmen sieht die Verordnung einen vereinfachten Rahmen für das Risikomanagement vor, einige sehr kleine Einrichtungen bleiben ganz außen vor. Vereinfacht heißt allerdings nicht befreit: Verantwortung der Leitung, Umgang mit Vorfällen und Steuerung der Dienstleister bleiben auch dort ein Thema.

IKT-Dienstleister werden über die Verträge erfasst

Ein IKT-Dienstleister ist nicht selbst Adressat der meisten Pflichten, spürt sie aber unmittelbar. Die Verordnung schreibt den Finanzunternehmen vor, welche Punkte in Verträgen geregelt sein müssen, darunter Zugangs-, Prüfungs- und Inspektionsrechte, Kündigungsrechte, Anforderungen an Unterauftragnehmer und eine Ausstiegsstrategie. Wer als Anbieter diese Punkte nicht akzeptiert, verliert Aufträge in der Branche.

Getrennt davon gibt es einen Aufsichtsrahmen für kritische IKT-Drittdienstleister. Wer von den europäischen Aufsichtsbehörden als kritisch eingestuft wird, steht unter direkter Überwachung. Das betrifft eine kleine Zahl großer Anbieter und ändert nichts daran, dass auch jeder kleinere Dienstleister die Vertragsanforderungen seiner Kunden erfüllen muss.

Was inhaltlich verlangt wird

Der Kern ist ein IKT-Risikomanagement, für das das Leitungsorgan ausdrücklich verantwortlich bleibt und das sich nicht an die IT abschieben lässt. Dazu kommen ein geordneter Umgang mit IKT-bezogenen Vorfällen samt Klassifizierung und gestufter Meldung an die zuständige Aufsicht, ein Programm zum Testen der digitalen operationalen Resilienz und die Steuerung des Risikos aus Verträgen mit Dritten.

Für die Meldungen gilt ein mehrstufiges Verfahren mit Erstmeldung, Zwischenmeldung und Abschlussbericht. Die genauen Fristen und Formate stehen nicht in der Verordnung selbst, sondern in den technischen Standards dazu, und sie sind knapp bemessen. Wer den Meldeweg erst im Vorfall zusammensucht, verliert genau die Stunden, auf die es ankommt.

Zum Testen gehört mehr als ein jährlicher Schwachstellenscan. Für bestimmte Unternehmen kommen bedrohungsgeleitete Penetrationstests hinzu, die einen Angriff auf tatsächlich kritische Funktionen im laufenden Betrieb nachstellen. Welche Häuser das trifft, entscheidet die Aufsicht.

Was ein bestehendes ISMS bereits abdeckt

Wer nach ISO/IEC 27001 arbeitet, hat einen großen Teil der Grundlagen: ein Verzeichnis der Werte, eine Risikomethode, einen Vorfallprozess, Anforderungen an Lieferanten, Regelungen zur Kontinuität und ein Auditprogramm. Diese Artefakte lassen sich weiterverwenden, sie müssen nur auf die Sprache und den Zuschnitt der Verordnung gebracht werden.

Drei Lücken bleiben typischerweise offen. Erstens verlangt DORA ein Informationsregister zu allen vertraglichen Vereinbarungen über IKT-Leistungen, das der Aufsicht vorgelegt wird und deutlich detaillierter ausfällt als eine übliche Lieferantenliste. Zweitens ist die Meldung an eine Behörde etwas anderes als ein interner Vorfallprozess, sie braucht klare Auslöser, Zuständigkeiten und Vertretungen. Drittens ist die Verantwortung des Leitungsorgans ausdrücklich benannt, was Berichtswege und Beschlüsse nach sich zieht, die in vielen Häusern so nicht dokumentiert sind.