Mit dem Digital Operational Resilience Act (Dora) hat die EU einen verbindlichen Rahmen für die digitale Widerstandsfähigkeit von Finanzunternehmen geschaffen. Die Verordnung greift deutlich über eine weitere Compliance-Pflicht hinaus – sie gibt Unternehmen vor, ihre Organisationen, kritische Funktionen und Abhängigkeiten systematisch zu analysieren. Damit wird Dora zu einer strategischen Führungs- und Organisationsaufgabe.
Größere Widerstandsfähigkeit durch Dora
Die Finanzbranche wurde in den letzten 20 Jahren durch die Digitalisierung grundlegend verändert: Während zentrale Funktionen von Cloud-Anbietern, Softwareunternehmen und spezialisierten Dienstleistern übernommen werden, wachsen die operationellen Abhängigkeiten – Cyberangriffe, Systemausfälle oder Störungen bei externen Dienstleistern können die Kontinuität kritischer Geschäftsprozesse unmittelbar beeinträchtigen.
Mit Dora gilt seit dem 17. Januar 2025 ein verbindlicher Rahmen, der Banken, Kapitalverwaltungsgesellschaften, Wertpapierinstitute, Versicherungen und weitere Akteure des Finanzsektors dazu verpflichtet, die Risiken systematisch zu identifizieren, zu steuern und organisatorisch zu verankern.
Ziel der Verordnung ist es, die digitale, operationelle Resilienz von Unternehmen nachhaltig zu stärken und die Kontinuität kritischer Geschäftsprozesse selbst unter außergewöhnlichen Belastungen sicherzustellen, um auch in Krisensituationen schnell auf digitale Störungen reagieren zu können.
Der eigentliche Paradigmenwechsel liegt jedoch nicht in einzelnen neuen Pflichten, sondern in der Steuerungslogik der Verordnung. Unternehmen müssen ihre kritischen Funktionen, Abhängigkeiten und Verantwortlichkeiten jetzt organisationsweit transparent machen. Dieser ganzheitliche Ansatz spiegelt sich in fünf zentralen Handlungsfeldern wider.
Dora-Compliance: Die fünf zentralen Handlungsfelder
1. IKT-Risikomanagement
Das IKT-Risikomanagement bildet das Fundament der Verordnung. Demnach müssen Unternehmen Risiken der Informations- und Kommunikationstechnologien (IKT) systematisch identifizieren, bewerten, überwachen und steuern. Dazu zählen klare Governance-Strukturen, definierte Verantwortlichkeiten sowie regelmäßige Risikoanalysen.
Die Gesamtverantwortung für das IKT-Risikomanagement liegt ausdrücklich bei der Geschäftsleitung: Diese muss sicherstellen, dass kritische Funktionen, Risiken und Abhängigkeiten nachvollziehbar identifiziert, bewertet und gesteuert werden.
Die ersten Erfahrungen aus Umsetzungsprojekten zeigen, dass insbesondere die Identifikation kritischer oder wichtiger Funktionen sowie die transparente Dokumentation ihrer Abhängigkeiten in vielen Instituten zu den größten organisatorischen Herausforderungen zählen. Hinzu kommt, dass Bedrohungen und Sicherheitsvorfälle in zahlreichen Organisationen nicht frühzeitig erkannt werden können. Beide Aspekte bilden jedoch wesentliche Voraussetzungen für ein wirksames IKT-Risikomanagement und gleichzeitig die Basis für weitere Anforderungen des Regelwerks.
2. Management von IKT-Drittparteien
Bei der zweiten Säule steht das Management externer Technologiepartner im Mittelpunkt. Die regulatorischen Vorgaben konzentrierten sich bislang vor allem auf klassische Auslagerungen, Dora verfolgt jedoch einen deutlich umfassenderen Ansatz: Finanzunternehmen müssen sämtliche IKT-Dienste sowie die zugehörigen IKT-Drittdienstleister erfassen – von Cloud-Anbietern über Softwarelösungen bis hin zu externen IT-Servicepartnern.
Sie sind verpflichtet, Abhängigkeiten zu identifizieren und die damit verbundenen Risiken kontinuierlich zu überwachen. Außerdem müssen zusätzliche Anforderungen an Verträge, Exit-Strategien und Kontrollmechanismen erfüllt werden.
Die Veränderung liegt dabei speziell in der regulatorischen Perspektive: Während sich frühere Regelungen auf Fremdbezug und wesentliche Auslagerungen konzentrierten, betrachtet Dora alle IKT-Dienstleistungen. Entscheidend ist nun nicht mehr allein, ob die Dienstleistung eine Aufgabe bzw. einen Prozess übernimmt (Auslagerung) oder ob sie zur Durchführung der Aufgaben bezogen wird (sonstiger Fremdbezug).
Vielmehr soll bewertet werden, welche Geschäftsfunktionen durch die jeweilige IKT-Dienstleistung unterstützt werden und welche Abhängigkeiten daraus entstehen. Auf dieser Grundlage müssen IKT-Dienstleistungen den unterstützten Funktionen zugeordnet und im Informationsregister nachvollziehbar dokumentiert werden.
Unsere Erfahrung zeigt, dass viele Unternehmen diesen Perspektivwechsel noch nicht vollzogen haben. Häufig beginnt die Analyse unverändert bei bestehenden Lieferanten-, Vertrags- oder Auslagerungslisten. Dora verlangt aber den entgegengesetzten Blick: Ausgangspunkt sind die Funktionen des Unternehmens und die von ihm unterstützten IKT-Dienstleistungen – erst daraus lassen sich Drittparteienrisiken systematisch bewerten und regulatorische Anforderungen sachgerecht umsetzen.
3. Testen der digitalen operationalen Resilienz
Die dritte Säule stützt sich auf die Überprüfbarkeit der Sicherheitsvorkehrungen. Unternehmen müssen ihre technischen und organisatorischen Maßnahmen regelmäßig und risikobasiert überprüfen. Hierbei reicht es nicht aus, die Schutzmechanismen lediglich zu dokumentieren, sondern es muss bewiesen werden können, dass diese tatsächlich funktionieren.
Dazu gehören unter anderem Schwachstellenanalysen, Penetrationstests sowie weitere Testprogramme der technischen und organisatorischen Sicherheitsmaßnahmen. Art, Umfang und Intensität der Tests richten sich nach dem Risikoprofil sowie der Größe und Komplexität des jeweiligen Unternehmens. Sie können durch die Aufsichtsbehörden um externe Tests von geeigneten Dritten erweitert werden, sofern die Mindestvoraussetzungen vorliegen.
4. Vorfallmanagement und Meldewesen
Die vierte Säule adressiert das Management und die Meldung von IKT-Vorfällen und geht in der Konkretisierung deutlich über bisherige Anforderungen hinaus. Dora definiert für Finanzunternehmen ein europaweit einheitliches Klassifizierungsschema der IKT-Vorfälle und Cyberbedrohungen. Dementsprechend müssen diese klar beurteilen können, wann ein Vorfall intern zu behandeln ist und wann eine aufsichtsrechtliche Meldepflicht besteht.
Ob ein Vorfall meldepflichtig ist, richtet sich nach – in technischen Regulierungsstandards festgelegten – Klassifizierungs- und Schwellenwerten. Neben technischen Schutzmaßnahmen gewinnen auch funktionierende Melde- und Eskalationsprozesse an Bedeutung. Wichtig ist, dass Unternehmen Vorfälle zeitnah bewerten, angemessen eskalieren und, sofern erforderlich, innerhalb der regulatorischen Fristen an die zuständigen Aufsichtsbehörden melden können.
Eine der wesentlichen operativen Herausforderungen besteht jedoch darin, relevante Sicherheitsvorfälle überhaupt erst als solche zu identifizieren und aus der täglichen Flut an Systemmeldungen herauszufiltern. Da viele Systeme und Sicherheitswerkzeuge bereits umfangreiche Protokollierungs- und Auswertungsmöglichkeiten bieten, verlagert sich die Verpflichtung von der reinen Datenerhebung hin zur systematischen Aggregation, Korrelation und zeitnahen Bewertung dieser Logdaten.
5. Informationsaustausch und Zusammenarbeit
Die fünfte Säule fördert auf freiwilliger Basis den Austausch von Informationen über Cyberbedrohungen und Sicherheitsrisiken zwischen Finanzunternehmen. Ziel ist es, Erkenntnisse über neue Angriffsmuster oder Schwachstellen innerhalb der Branche so schnell wie möglich verfügbar zu machen. Damit lernen Unternehmen nicht nur aus eigenen Vorfällen, sondern auch von den Erfahrungen anderer Marktteilnehmer.
Komplexe Herausforderungen für mittelständische Unternehmen
Das Inkrafttreten der EU-Verordnung stellt insbesondere mittelständische Kapitalverwaltungsgesellschaften, Vermögensverwalter oder spezialisierte Finanzdienstleister vor enorme Herausforderungen: Zwar gilt das Prinzip der Proportionalität, nach dem die verpflichtenden Maßnahmen zur Größe und Komplexität eines Unternehmens passen müssen.
Dennoch bleibt der Umsetzungsaufwand besonders für mittelständische Unternehmen signifikant, da diese in den meisten Fällen weder über die Ressourcen großer Banken noch über die vereinfachten Regeln für Kleinstunternehmen verfügen.
Wettbewerbsvorteile durch Dora
Trotz des beträchtlichen Aufwands bietet Dora konkrete Chancen: Die systematische Analyse kritischer Prozesse und Abhängigkeiten schafft Transparenz, schärft Verantwortlichkeiten und verbessert die Steuerungsfähigkeit der Organisation. Firmen, die Dora ausschließlich als Compliance-Projekt verstehen, werden regulatorische Anforderungen formal erfüllen. Unternehmen jedoch, die das Regelwerk als Organisations- und Führungsaufgabe begreifen, schaffen die Grundlage für nachhaltige digitale Resilienz und stärken ihre Zukunftsfähigkeit.
Über die Autoren:
Christian Eder ist Geschäftsführer Consulting bei Ypsilon.
Alexander Fischer arbeitet als Manager bei Ypsilon.