Mit dem Digital Operational Resilience Act (Dora) hat die EU einen verbindlichen Rahmen für die digitale Widerstandsfähigkeit von Finanzunternehmen geschaffen. Die Verordnung greift deutlich über eine weitere Compliance-Pflicht hinaus – sie gibt Unternehmen vor, ihre Organisationen, kritische Funktionen und Abhängigkeiten systematisch zu analysieren. Damit wird Dora zu einer strategischen Führungs- und Organisationsaufgabe.
Größere Widerstandsfähigkeit durch Dora
Die Finanzbranche wurde in den letzten 20 Jahren durch die Digitalisierung grundlegend verändert: Während zentrale Funktionen von Cloud-Anbietern, Softwareunternehmen und spezialisierten Dienstleistern übernommen werden, wachsen die operationellen Abhängigkeiten – Cyberangriffe, Systemausfälle oder Störungen bei externen Dienstleistern können die Kontinuität kritischer Geschäftsprozesse unmittelbar beeinträchtigen.
Mit Dora gilt seit dem 17. Januar 2025 ein verbindlicher Rahmen, der Banken, Kapitalverwaltungsgesellschaften, Wertpapierinstitute, Versicherungen und weitere Akteure des Finanzsektors dazu verpflichtet, die Risiken systematisch zu identifizieren, zu steuern und organisatorisch zu verankern.
Ziel der Verordnung ist es, die digitale, operationelle Resilienz von Unternehmen nachhaltig zu stärken und die Kontinuität kritischer Geschäftsprozesse selbst unter außergewöhnlichen Belastungen sicherzustellen, um auch in Krisensituationen schnell auf digitale Störungen reagieren zu können.
Der eigentliche Paradigmenwechsel liegt jedoch nicht in einzelnen neuen Pflichten, sondern in der Steuerungslogik der Verordnung. Unternehmen müssen ihre kritischen Funktionen, Abhängigkeiten und Verantwortlichkeiten jetzt organisationsweit transparent machen. Dieser ganzheitliche Ansatz spiegelt sich in fünf zentralen Handlungsfeldern wider.
Dora-Compliance: Die fünf zentralen Handlungsfelder
1. IKT-Risikomanagement
Das IKT-Risikomanagement bildet das Fundament der Verordnung. Demnach müssen Unternehmen Risiken der Informations- und Kommunikationstechnologien (IKT) systematisch identifizieren, bewerten, überwachen und steuern. Dazu zählen klare Governance-Strukturen, definierte Verantwortlichkeiten sowie regelmäßige Risikoanalysen.
Die Gesamtverantwortung für das IKT-Risikomanagement liegt ausdrücklich bei der Geschäftsleitung: Diese muss sicherstellen, dass kritische Funktionen, Risiken und Abhängigkeiten nachvollziehbar identifiziert, bewertet und gesteuert werden.
Die ersten Erfahrungen aus Umsetzungsprojekten zeigen, dass insbesondere die Identifikation kritischer oder wichtiger Funktionen sowie die transparente Dokumentation ihrer Abhängigkeiten in vielen Instituten zu den größten organisatorischen Herausforderungen zählen. Hinzu kommt, dass Bedrohungen und Sicherheitsvorfälle in zahlreichen Organisationen nicht frühzeitig erkannt werden können. Beide Aspekte bilden jedoch wesentliche Voraussetzungen für ein wirksames IKT-Risikomanagement und gleichzeitig die Basis für weitere Anforderungen des Regelwerks.
2. Management von IKT-Drittparteien
Bei der zweiten Säule steht das Management externer Technologiepartner im Mittelpunkt. Die regulatorischen Vorgaben konzentrierten sich bislang vor allem auf klassische Auslagerungen, Dora verfolgt jedoch einen deutlich umfassenderen Ansatz: Finanzunternehmen müssen sämtliche IKT-Dienste sowie die zugehörigen IKT-Drittdienstleister erfassen – von Cloud-Anbietern über Softwarelösungen bis hin zu externen IT-Servicepartnern.
Sie sind verpflichtet, Abhängigkeiten zu identifizieren und die damit verbundenen Risiken kontinuierlich zu überwachen. Außerdem müssen zusätzliche Anforderungen an Verträge, Exit-Strategien und Kontrollmechanismen erfüllt werden.
Die Veränderung liegt dabei speziell in der regulatorischen Perspektive: Während sich frühere Regelungen auf Fremdbezug und wesentliche Auslagerungen konzentrierten, betrachtet Dora alle IKT-Dienstleistungen. Entscheidend ist nun nicht mehr allein, ob die Dienstleistung eine Aufgabe bzw. einen Prozess übernimmt (Auslagerung) oder ob sie zur Durchführung der Aufgaben bezogen wird (sonstiger Fremdbezug).
Vielmehr soll bewertet werden, welche Geschäftsfunktionen durch die jeweilige IKT-Dienstleistung unterstützt werden und welche Abhängigkeiten daraus entstehen. Auf dieser Grundlage müssen IKT-Dienstleistungen den unterstützten Funktionen zugeordnet und im Informationsregister nachvollziehbar dokumentiert werden.
Unsere Erfahrung zeigt, dass viele Unternehmen diesen Perspektivwechsel noch nicht vollzogen haben. Häufig beginnt die Analyse unverändert bei bestehenden Lieferanten-, Vertrags- oder Auslagerungslisten. Dora verlangt aber den entgegengesetzten Blick: Ausgangspunkt sind die Funktionen des Unternehmens und die von ihm unterstützten IKT-Dienstleistungen – erst daraus lassen sich Drittparteienrisiken systematisch bewerten und regulatorische Anforderungen sachgerecht umsetzen.