DORA: Digital Operational Resilience Act für den Finanzsektor

Einleitung

Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die ab dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten gilt. DORA harmonisiert die Anforderungen an das IKT-Risikomanagement (Informations- und Kommunikationstechnologie) im Finanzsektor und ersetzt damit einen Flickenteppich nationaler Regelungen. Für deutsche Banken bedeutet DORA eine Ergänzung und teilweise Verschärfung der bestehenden BAIT-Anforderungen.

Rechtlicher Rahmen

Verordnung (EU) 2022/2554

Kernmerkmale:

Geltungsbereich: Alle Finanzinstitute in der EU (Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister etc.)
Rechtsform: EU-Verordnung (direkt anwendbar, keine nationale Umsetzung erforderlich)
Anwendungsbeginn: 17. Januar 2025
Umfang: 56 Artikel über IKT-Risikomanagement, Incident Reporting, Resilienz-Testing, Drittparteien-Management

Zielsetzung

Wesentliche Ziele:

Harmonisierung der IKT-Anforderungen EU-weit
Stärkung der digitalen operationellen Resilienz
Verbesserung des IKT-Drittparteien-Risikomanagements
Förderung des Informationsaustauschs über Cyber-Bedrohungen

Verhältnis zu BAIT

DORA geht über BAIT hinaus in folgenden Bereichen:

Drittanbieter-Oversight: Direktaufsicht über kritische IKT-Drittanbieter durch ESAs (European Supervisory Authorities)
Threat-Led Penetration Testing (TLPT): Verpflichtende Advanced-Pentests für systemrelevante Institute
Harmonisierte Incident-Meldungen: EU-weit einheitliche Meldefristen und -formate
Informationsaustausch: Strukturierter Austausch über Cyber-Threats zwischen Instituten

BAIT bleibt in Deutschland weiterhin gültig und wird an DORA angepasst.

Die fünf Säulen von DORA

Säule 1: IKT-Risikomanagement (Artikel 5-16)

Governance-Anforderungen:

Leitungsorgan:

Verantwortung für IKT-Risiko liegt beim Leitungsorgan
Mindestens jährliche Überprüfung des IKT-Risikomanagement-Rahmenwerks
Genehmigung der IKT-Strategie
Angemessene Budgets für IKT-Risikomanagement

IKT-Risikomanagement-Rahmenwerk:

Muss mindestens umfassen:

Strategien, Richtlinien und Verfahren für IKT-Risiken
IKT-Risiko-Identifikation, -bewertung, -behandlung
Business Continuity und Disaster Recovery
IKT-Backup- und Wiederherstellungsverfahren
Informationssicherheitsrichtlinien
IKT-Änderungsmanagement
IKT-Projekt- und Anwendungsmanagement

Schutzmechanismen:

Netzwerksicherheit
Zugriffskontrolle
Verschlüsselung
Security Operations Center (SOC)
Detection and Response Capabilities

Detaillierte Anforderungen vs. BAIT:

Thema	BAIT	DORA
Patch Management	Grundsätzlich gefordert	Detaillierte Prozessvorgaben, Priorisierung kritischer Patches
Backup-Tests	Halbjährlich	Jährlich (aber strenger dokumentiert)
Netzwerksegmentierung	Empfohlen	Verpflichtend für kritische Systeme
Verschlüsselung	Gefordert	Spezifische Anforderungen an Algorithmen und Key Management

Säule 2: IKT-Vorfallsmanagement (Artikel 17-23)

Incident Classification:

DORA definiert schwerwiegende IKT-bezogene Vorfälle anhand von Kriterien:

Anzahl betroffener Kunden/Finanzinstitute
Dauer der Störung
Geografische Verbreitung
Datenverlust
Kritikalität betroffener Dienstleistungen
Wirtschaftliche Auswirkungen

Meldepflichten:

Zeitliche Vorgaben:

Erste Meldung: Spätestens 4 Stunden nach Klassifizierung als schwerwiegend
- Inhalt: Art des Vorfalls, Zeitpunkt, Status, betroffene Dienste
Zwischenmeldung: Spätestens 72 Stunden nach erster Meldung (bei Bedarf früher)
- Inhalt: Update zu Ursache, Auswirkungen, Eindämmungsmaßnahmen
Abschlussmeldung: Spätestens 1 Monat nach Zwischenmeldung
- Inhalt: Detaillierte Root-Cause-Analyse, Auswirkungsanalyse, Abhilfemaßnahmen

Meldeadressat: Zuständige nationale Aufsichtsbehörde (in Deutschland: BaFin)

Neue Anforderung: Freiwillige Meldungen auch zu nicht-schwerwiegenden Vorfällen, um Trend-Analysen zu ermöglichen.

Incident Response Prozess:

DORA verlangt dokumentierte Verfahren für:

Frühwarnsysteme
Klassifizierung und Kategorisierung
Eskalationsmechanismen
Kommunikationskanäle
Post-Incident-Reviews
Lessons-Learned-Integration

Säule 3: Testen der digitalen operationellen Resilienz (Artikel 24-27)

Testing-Programm:

Basis-Tests (alle Institute):

Schwachstellenscans und -assessments
Open-Source-Analysen
Netzwerksicherheitsassessments
Gap-Analysen
Software-Reviews (SAST/DAST)
Penetrationstests

Frequenz: Mindestens jährlich, risikobasiert auch häufiger.

Erweiterte Tests:

Szenario-basierte Tests
Kompatibilitätstests
Performance-Tests
End-to-End-Tests
Denial-of-Service-Tests

Threat-Led Penetration Testing (TLPT):

Anwendungsbereich: Finanzinstitute, die von der zuständigen Behörde als systemrelevant eingestuft werden (G-SIIs, andere SIIs nach nationalem Ermessen).

Charakteristika:

Intelligence-gesteuertes Testing basierend auf echten Bedrohungsszenarien
Red-Team-Ansatz (Simulation von Advanced Persistent Threats)
Umfasst technische, physische und Social-Engineering-Vektoren
Keine Vorabinformation der operativen Teams (blind/double-blind)
Externe Tester (zertifizierte Pentester)

Frequenz: Mindestens alle 3 Jahre.

TLPT-Framework:

Scoping: Definition Testziele und -perimeter
Threat Intelligence: Sammlung relevanter Bedrohungsinformationen
Red Team Test: Durchführung simulierter Angriffe
Remediation: Behebung identifizierter Schwachstellen
Replay Test (optional): Validierung der Remediation

Herausforderungen:

Hohe Kosten (externe Red Teams, interne Ressourcen)
Potentielle Betriebsstörungen während Test
Anforderung an Dokumentation und Governance

Säule 4: IKT-Drittparteienrisikomanagement (Artikel 28-44)

Scope:

Alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, die IKT-Dienste erbringen:

Cloud Computing
Software-Lizenzen
Datenanalyse-Services
IKT-Support und -wartung

Ausnahmen: Innerkonzernliche Vereinbarungen (unter bestimmten Voraussetzungen).

Anforderungen an Finanzinstitute:

Vor Vertragsabschluss:

Umfassende Due Diligence des Drittanbieters
Risikoanalyse (Konzentrationsrisiko, Substitutionsrisiko, Länderrisiko)
Bewertung der Kritikalität der Dienstleistung
Register aller IKT-Drittdienstleister führen (öffentlich zugänglich)

Vertragliche Anforderungen:

DORA definiert Mindestinhalte für Verträge:

Service-Level-Beschreibungen mit quantitativen Zielen
Vollständige Beschreibung der Dienstleistung
Standorte der Datenverarbeitung
Ausstiegsrechte und Exit-Strategien
Prüf- und Zugangsrechte (auch für Aufsichtsbehörden)
Sicherheitsanforderungen
Informationspflichten bei Vorfällen und Änderungen
Sub-Auslagerungen (Zustimmungsvorbehalt)

Laufende Überwachung:

Kontinuierliches Monitoring der Leistung
Regelmäßige Audits des Drittanbieters
Eskalationsmechanismen bei SLA-Verstößen
Jährliche Überprüfung der Vertragsinhalte

Kritische IKT-Drittanbieter:

DORA führt ein Oversight-Framework für kritische Drittanbieter ein:

Designation durch ESAs (EBA, ESMA, EIOPA)
Direkte Aufsicht durch ESAs (nicht nur indirekt über Finanzinstitute)
On-site Inspections, Informationsanfragen, Empfehlungen

Kriterien für Kritikalität:

Systemrelevanz für Finanzstabilität
Anzahl der nutzenden Finanzinstitute
Marktanteil
Abhängigkeit (fehlende Substitute)

Praktische Bedeutung: Hyperscaler wie AWS, Microsoft Azure, Google Cloud fallen unter diese Kategorie.

Säule 5: Informationsaustausch (Artikel 45)

Zielsetzung: Verbesserter Austausch über Cyber-Bedrohungen, -Schwachstellen und -vorfälle zwischen Finanzinstituten.

Mechanismen:

Etablierung von Information Sharing and Analysis Centers (ISACs)
Teilnahme an Threat-Intelligence-Plattformen
Bilaterale Vereinbarungen zwischen Instituten

Datenschutz: Austausch muss DSGVO-konform erfolgen (Anonymisierung/Pseudonymisierung).

Freiwilligkeit: Teilnahme ist freiwillig, wird aber von Aufsichtsbehörden gefördert.

Implementierung

Gap-Analyse

Schritte:

Mapping DORA-Anforderungen zu bestehenden Prozessen (BAIT, MaRisk, ISO 27001)
Identifikation von Lücken
Priorisierung nach Risiko und Umsetzungsaufwand
Roadmap-Entwicklung bis Januar 2025

Typische Gaps bei deutschen Banken:

TLPT-Anforderungen (neue Disziplin)
Detailliertes Drittanbieter-Register
Harmonisierte Incident-Reporting-Prozesse
Formalisierter Informationsaustausch

Umsetzungsempfehlungen

IKT-Risikomanagement:

Review und ggf. Erweiterung bestehender ISMS-Dokumentation
Sicherstellung Management-Involvement (Board-Level)
Definition quantitativer IKT-Risiko-Metriken

Incident Management:

Anpassung Incident-Klassifikationsschema an DORA-Kriterien
Etablierung Reporting-Prozess mit 4h/72h/1Monat-Zeitfenstern
Integration mit bestehenden BAIT-Meldeprozessen (BaFin)
Trainings für Incident-Response-Teams

Resilienz-Testing:

Systemrelevante Institute: TLPT-Planung (Budget, externe Partner, Scope)
Alle Institute: Erweiterte Pentesting-Programme
Dokumentation und Nachverfolgung von Findings

Drittanbieter-Management:

Aufbau zentrales Drittanbieter-Register (alle IKT-Dienstleister)
Vertragsreviews (Gap gegen DORA-Mindestinhalte)
Exit-Strategien entwickeln (insb. für kritische Anbieter)
Due-Diligence-Prozesse formalisieren

Informationsaustausch:

Teilnahme an Branchen-ISACs (z.B. FS-ISAC)
Technische Plattformen für Threat Intelligence
Legal Frameworks für Datenaustausch

Organisatorische Anforderungen

Governance:

DORA-Projektteam etablieren (Compliance, Risk, IT, Legal)
Executive Sponsor (Vorstandsebene)
Regelmäßiges Reporting an Leitungsorgan

Budgetierung:

TLPT-Kosten (externe Red Teams: €100k-€500k)
Tooling (Register-Software, Incident-Management-Systeme)
Beratungskosten für Gap-Analysen
Zusätzliche Personalressourcen (IKT-Risikoexperten)

Auswirkungen auf deutsche Banken

Positive Aspekte

Harmonisierung: Einheitliche EU-Anforderungen erleichtern grenzüberschreitenden Betrieb
Drittanbieter-Oversight: Entlastung durch direkte Aufsicht über Hyperscaler
Level Playing Field: Gleiche Anforderungen für alle Finanzinstitute EU-weit

Herausforderungen

Kosten: Insbesondere TLPT und erweitertes Drittanbieter-Management
Komplexität: Zusätzliche Regulierungsebene neben BAIT/MaRisk
Knappe Ressourcen: Fachkräftemangel im Cyber-Security-Bereich
Zeitdruck: Umsetzung bis Januar 2025

Größenabhängige Auswirkungen

Große Institute (G-SIIs):

TLPT-Pflicht (höchste Belastung)
Bereits hohes Niveau, aber Formalisierung erforderlich
Informationsaustausch-Vorreiter

Mittlere Institute:

Kein TLPT, aber erweiterte Pentests
Drittanbieter-Management größte Herausforderung
Teilweise Gap in IKT-Governance

Kleine Institute (Sparkassen, Genossenschaftsbanken):

Proportionalität beachten (risikobasierter Ansatz)
Nutzung von Verbundlösungen (Finanz Informatik, Atruvia)
Fokus auf Basis-Requirements

Zusammenspiel mit anderen Regelwerken

DORA und BAIT:

BAIT bleibt weiterhin gültig
BaFin wird BAIT an DORA anpassen (Konsultation erwartet)
Institute sollten Synergien nutzen (einheitliche Dokumentation)

DORA und NIS2:

NIS2-Richtlinie (Network and Information Security) gilt parallel
Teilweise Überschneidungen (Incident Reporting, Risikomanagement)
DORA ist spezialisierter und geht für Finanzsektor weiter

DORA und DSGVO:

DSGVO bleibt anwendbar (Datenschutz)
DORA ergänzt um IKT-Sicherheitsaspekte
Informationsaustausch muss DSGVO-konform erfolgen

Enforcement und Sanktionen

Zuständige Behörden:

In Deutschland: BaFin (für Banken), BaFin/ECB (für SSM-Institute)
ESAs: Oversight über kritische IKT-Drittanbieter

Sanktionen:

DORA definiert Bußgeldrahmen (ähnlich wie DSGVO):

Natürliche Personen: Bis zu €1 Million
Juristische Personen: Bis zu €10 Million oder 5% des weltweiten Jahresumsatzes (höherer Betrag)

Zusätzliche Maßnahmen:

Öffentliche Bekanntmachung von Verstößen
Anordnungen zur Mängelbeseitigung
Entzug der Zulassung (ultima ratio)

Best Practices

Frühzeitig starten: Umsetzung nicht auf letzten Moment verschieben
Integrierter Ansatz: DORA nicht isoliert, sondern im Kontext von BAIT/MaRisk/ISO 27001
Pragmatismus: Proportionalität beachten, nicht über-regulieren
Collaboration: Austausch mit anderen Instituten (Best Practices, gemeinsame Tooling)
Externe Expertise: Bei Wissenslücken (insb. TLPT) externe Unterstützung holen
Dokumentation: Umfassende Dokumentation aller IKT-Risikomanagement-Aktivitäten
Continuous Improvement: DORA als Chance für Modernisierung nutzen, nicht nur Compliance-Übung

Ausblick

Weitere Entwicklungen:

RTS (Regulatory Technical Standards): ESAs entwickeln detaillierte technische Standards zu verschiedenen DORA-Aspekten (Veröffentlichung 2024/2025)
Guidelines: BaFin wird nationale Auslegungshinweise publizieren
Templates: Standardisierte Templates für Incident Reporting, Drittanbieter-Register

Langfristige Trends:

Verstärkte Cyber-Resilienz als Wettbewerbsvorteil
Weiterentwicklung von Threat Intelligence Sharing
Mögliche Erweiterung auf weitere kritische Infrastrukturen

Fazit

DORA markiert einen Paradigmenwechsel in der Regulierung digitaler Risiken im Finanzsektor. Die harmonisierten EU-Anforderungen bringen kurzfristige Umsetzungsherausforderungen, schaffen aber langfristig ein konsistentes Rahmenwerk für digitale Resilienz. Deutsche Banken sollten DORA als Chance für Modernisierung und Stärkung ihrer Cyber-Abwehrfähigkeiten verstehen – und nicht nur als Compliance-Pflicht.