Praxis-Leitfaden · Finanzbranche

DORA umsetzen

Was die IT konkret liefern muss, jenseits der Papierlage

Der Digital Operational Resilience Act gilt seit Januar 2025 für Banken, Versicherer und weitere Finanzunternehmen samt ihrer IT-Dienstleister. Viele Häuser haben die Rahmenwerke geschrieben, aber die IT-seitige Umsetzung hakt: Inventare unvollständig, Tests nicht belastbar, Dienstleisterregister veraltet. Hier die Bausteine, die die IT tatsächlich liefern muss, aus der Projektpraxis von FHC+P in der Finanzbranche. Die aufsichtsrechtliche Bewertung gehört zu Compliance und Kanzlei.

1 · Grundlage

IKT-Risikomanagement mit echtem Inventar

›Vollständiges Asset-Inventar: Alle IKT-Systeme, Abhängigkeiten und unterstützten Geschäftsfunktionen, gepflegt als lebender Datenbestand, nicht als Excel-Momentaufnahme. Ohne Inventar ist jede Risikoanalyse Schätzung.
›Kritische Funktionen kartiert: Welche Systeme tragen kritische oder wichtige Funktionen, und was passiert bei deren Ausfall? Daraus leiten sich Schutzbedarf, Testtiefe und Wiederanlaufziele ab.
›Backup und Wiederanlauf belegt: Wiederherstellung wird regelmäßig geübt und gemessen (nicht nur gesichert), inklusive dokumentierter Restore-Tests für kritische Systeme.

2 · Vorfälle

Incidents klassifizieren und fristgerecht melden

›Klassifizierungslogik im Ticketsystem: Die DORA-Kriterien für schwerwiegende IKT-Vorfälle sind in den Incident-Prozess eingebaut, damit die Einstufung im Ernstfall in Minuten statt in Meetings passiert.
›Meldekette mit Fristen: Erstmeldung, Zwischen- und Abschlussbericht an die Aufsicht sind als Ablauf mit Verantwortlichen und Vorlagen hinterlegt, nicht nur als Richtlinien-Absatz.
›Übung statt Hoffnung: Mindestens eine jährliche Vorfalls-Übung inklusive Meldeweg, mit dokumentierten Lessons Learned.

3 · Resilienz testen

Testen, was im Ernstfall halten muss

›Testprogramm mit Plan: Jährliches Programm aus Schwachstellenscans, Szenario- und Wiederanlauftests für kritische Systeme, risikobasiert priorisiert und nachverfolgt bis zur Behebung.
›TLPT im Blick: Für dafür benannte Institute: bedrohungsgeleitete Penetrationstests (TLPT) alle drei Jahre, mit realistischem Scope und sauberer Vor- und Nachbereitung.
›Findings-Management: Jedes Testergebnis hat Owner, Frist und Wiedervorlage. Ein Test ohne nachverfolgte Abstellmaßnahmen ist fürs Audit wertlos.

4 · Dienstleister

Drittparteien im Griff

›Informationsregister aktuell: Das Register aller IKT-Drittdienstleister ist vollständig, aktuell und aus den Vertrags- und Inventardaten gespeist, es ist die Basis jeder Aufsichtsanfrage.
›Vertragsklauseln nachgezogen: Zugriffs-, Audit- und Kündigungsrechte, Sicherheitsanforderungen und Unterauftragnehmer-Regeln in den IKT-Verträgen, Bestandsverträge inklusive.
›Exit-Strategien, die funktionieren würden: Für kritische Dienstleister existiert ein realistischer Ausstiegsplan (Datenrückgabe, Übergangsbetrieb, Alternativen), kein Textbaustein.
›Konzentrationsrisiken bewertet: Wo hängen mehrere kritische Funktionen am selben Anbieter, und was ist der Plan B?

Fragen & Antworten

FAQ

Haben Sie weitere Fragen? Kontaktieren Sie uns gerne direkt über unser Kontaktformular oder per E-Mail.

Für wen gilt DORA? +

Für ein breites Spektrum an Finanzunternehmen in der EU, von Banken über Versicherer und Wertpapierfirmen bis zu Zahlungsdienstleistern, sowie mittelbar für deren IKT-Dienstleister. DORA gilt seit dem 17. Januar 2025 und wird von den Finanzaufsichten durchgesetzt.

Woran scheitert die DORA-Umsetzung in der Praxis am häufigsten? +

An der Lücke zwischen Papier und Betrieb: Rahmenwerke und Richtlinien existieren, aber das Asset-Inventar ist unvollständig, das Informationsregister veraltet, Restore-Tests fehlen und die Incident-Klassifizierung steht nicht im Ticketsystem. Genau diese operativen Bausteine setzen wir um.

Was unterscheidet DORA von MaRisk und BAIT? +

DORA ist eine EU-Verordnung und gilt unmittelbar, mit europaweit einheitlichen Anforderungen an IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und Drittparteiensteuerung. Nationale Vorgaben wie die MaRisk wurden darauf ausgerichtet. Für die IT heißt das: ein konsistentes Zielbild statt paralleler Regelwerke, aber mit höherer Verbindlichkeit.

Übernimmt FHC+P auch die aufsichtsrechtliche Bewertung? +

Nein, wir liefern die technische und prozessuale Umsetzung: Inventare, Melde- und Testprozesse, Dienstleisterregister, Exit-Pläne und die Verankerung im Betrieb. Die aufsichtsrechtliche Bewertung und Kommunikation mit der Aufsicht liegt bei Ihrer Compliance-Funktion, mit der wir eng zusammenarbeiten.