DORA: Warum die Finanzbranche mehr Resilienz braucht

Während die KRITIS-Regeln den physischen Schutz kritischer Infrastrukturen im Blick haben, bezieht sich DORA auf die digitale und operationale Resilienz des Finanzsektors. Aufgrund der großen Bedeutung dieser Branche hat man sich entschieden, den Finanzsektor unter besondere Aufsicht zu stellen. Denn der Verlust von Kundendaten oder eine Unterbrechung des Zahlungsverkehrs könnten dramatische Folgen haben. Verantwortlich für die Überprüfung der DORA-Konformität ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin).

Neben der Analyse vorhandener Systeme und regelmäßigen Resilienztests fordert DORA auch klar definierte Prozesse für die Vorfallserkennung und -meldung. Zudem ist die Einrichtung eines Notfallmanagements mit entsprechenden Krisenplänen vorgeschrieben. Ein weiterer Kernpunkt von DORA ist die Etablierung eines IKT-Risikomanagementsystems. Dadurch soll vermieden werden, dass über sogenannte IKT-Drittanbieter und deren Systeme von außen Schwachstellen in das Gesamtsystem implementiert werden.

Die MaRisk (Mindestanforderungen an das Risikomanagement) ist eine von der BaFin vorgegebene Verwaltungsvorschrift. Sie setzt die Anforderungen des §25 Kreditwesengesetz (KWG) um, nach der alle Banken verpflichtet sind, Maßnahmen zur Risikominimierung zu ergreifen. Mit BAIT (Bankenaufsichtliche Anforderungen an die IT) wurde der Teilbereich des IT-Risikomanagements konkretisiert. BAIT wurde im Januar 2025 von der europaweit gültigen DORA-Verordnung ergänzt und erweitert. Die Anforderungen von DORA gehen daher weit über BAIT hinaus.

DORA gilt für sämtliche Kreditinstitute, Zahlungsdienstleister, Versicherungen, Börsen, Wertpapierhändler und Krypto-Anbieter in der Europäischen Union sowie deren Zulieferer für Informations- und Kommunikationstechnologie (IKT).

Für die gesetzeskonforme Umsetzung ist allein das Finanzunternehmen verantwortlich, nicht der IKT-Dienstleister. Die Prüfung des IKT-Dienstleisters und der Nachweis seiner DORA-Konformität obliegt also dem Finanzunternehmen.

DORA betrifft nicht nur Software und Netzwerke, sondern auch physische Systeme, die Auswirkungen auf die IT-Sicherheit haben könnten – etwa Einbruchmeldetechnik und andere Sicherheitstechnik. Daher müssen IKT-Drittanbieter DORA-konforme Lösungen anbieten und nachweisen.

Gemäß Definition sind IKT-Dienstleistungen digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzerinnen und Nutzern dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung und Hardwaredienstleistungen. Dazu gehört auch die technische Unterstützung durch den Hardwareanbieter mittels Software- oder Firmware-Aktualisierungen, mit Ausnahme herkömmlicher analoger Telefondienste.

Für IKT-Dienstleister gibt es drei Einstufungen:

1. Unkritische IKT-Dienstleister, die keine Dienstleistungen für kritische Funktionen des Finanzunternehmens erbringen.
2. IKT-Dienstleister, die Systeme bereitstellen, die kritische oder wichtige Funktionen des Finanzunternehmens betreffen. Gemeint sind Funktionen, deren Ausfall die finanzielle Leistungsfähigkeit oder die Fortführung der Geschäftstätigkeit erheblich beeinflussen könnten.
3. Kritische IKT-Dienstleister sind verantwortlich für Funktionen, deren Ausfall die Fortführung der Geschäftstätigkeit in jedem Fall beeinflusst.

Das Finanzunternehmen kann eine Einstufung in (1) oder (2) vornehmen und an die BaFin melden. Die Einstufung in (3) kann nur die BaFin selbst vornehmen.

Bosch als Lieferant von sicherheitstechnischen Lösungen wie zum Beispiel Einbruchmeldetechnik oder Zutrittskontrolle gilt in der Regel als unkritisch, da ein Ausfall der Systeme die Fortführung der Geschäftstätigkeit nicht erheblich beeinträchtigen würde.

Neben dem Nachweis der DORA-Konformität aller Komponenten und Systeme muss das Risikomanagement die installierten Systeme in die Resilienztests und automatischen Vorfallmeldungen mit einbeziehen. Vorgeschrieben ist ein gesonderter Meldeprozess für IKT-Vorfälle.

Alle Sicherheitslösungen müssen sich in die digitalen Kontroll- und Meldeprozesse integrieren lassen – unabhängig davon, ob sie physischen Schutz oder Cybersicherheit betreffen. Die Kompatibilität der Systeme in die IT-Infrastruktur des Unternehmens ist daher besonders wichtig. Im Rahmen des Betriebs und der Wartung ist ein ständiger Abgleich erforderlich, ob die verbauten Systeme noch den neuesten Anforderungen genügen.

Zu den IKT-Lösungen, die DORA-konform sein müssen, gehören vor allem Systeme für Systeme für Zutrittskontrolle, intelligente Videolösungen, Überfall- und Einbruchmeldetechnik, Brandschutz sowie Dienstleistungen, die aus der Ferne erbracht werden. Dazu zählen unter anderem die Aufschaltung auf eine Notruf- und Serviceleitstelle oder die Fernwartung. Für die Bewertung ist entscheidend, welche Art von Vertrag mit dem Finanzunternehmen geschlossen wurde. Während reine Kaufverträge keine Rolle spielen, sind Wartungs- und Instandhaltungsverträge, Mietverträge und Dienstverträge für die Einstufung des IKT-Dienstleisters relevant.