DORA-Konformität: Alles, was Sie wissen müssen

Die DORA-Verordnung (Digital Operational Resilience Act) ist ein europäisches DORA-Gesetz, das darauf abzielt, die Widerstandsfähigkeit von Finanzunternehmen gegenüber digitalen Störungen zu erhöhen. Sie verpflichtet Unternehmen dazu, ihre IKT-Risiken systematisch zu identifizieren, zu steuern und zu überwachen.

Nach Ansicht von Dirk Jan geht es dabei vor allem um Kontrolle und Transparenz: „DORA verlangt nicht, dass es keine Vorfälle mehr gibt, sondern dass Unternehmen vorbereitet sind und handlungsfähig bleiben.“

Die DORA-Compliance gilt für eine breite Gruppe von DORA-Finanzunternehmen, darunter Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister, Fondsmanager und bestimmte FinTechs.

Darüber hinaus betrifft DORA auch IT-Dienstleister, die kritische Dienstleistungen für diese Unternehmen erbringen. „DORA endet nicht an der Unternehmensgrenze“, erklärt Dirk Jan. „Die gesamte Lieferkette rückt in den Fokus des Risikomanagements.“

Die DORA-Anforderungen sind in klar definierte DORA-Verpflichtungen gegliedert und umfassen fünf Kernbereiche:

• IKT-Risikomanagement;
• Meldung und Management von IKT-Vorfällen;
• Tests der digitalen operativen Resilienz;
• Steuerung von Risiken durch Drittanbieter;
• Informationsaustausch zu Bedrohungen.

„Das Besondere an DORA ist der ganzheitliche Ansatz“, so Dirk Jan. „Governance, Technologie und Drittparteien werden konsequent miteinander verknüpft.“

Im Mittelpunkt der Verordnung steht die digitale operationale Resilienz, also die Fähigkeit, IKT-Störungen zu verhindern, zu bewältigen und sich davon zu erholen. Ein strukturiertes IKT-Risikomanagement ist dafür unerlässlich.

„Resilienz ist kein einmaliges Projekt“, betont Dirk Jan. „Sie muss regelmäßig getestet, bewertet und weiterentwickelt werden.“ Dazu gehören klare Verantwortlichkeiten, belastbare Wiederanlaufpläne und regelmäßige Risikoanalysen.

Die Vorbereitung auf DORA-Compliance beginnt mit einer Bestandsaufnahme des bestehenden IKT-Risikomanagements. Unternehmen sollten prüfen, inwieweit Prozesse, Kontrollen und Dokumentationen den DORA-Anforderungen entsprechen.

Dirk Jan empfiehlt ein strukturiertes Vorgehen: „Zuerst Transparenz schaffen, über kritische Systeme, wichtige Dienstleister und zentrale Risiken. Darauf aufbauend lassen sich gezielt Lücken schließen.“

Für DORA-IT-Dienstleister bringt das DORA-Gesetz deutlich strengere Anforderungen mit sich. Finanzunternehmen bleiben zwar verantwortlich, müssen aber ihre Dienstleister intensiver überwachen und vertraglich stärker einbinden.

„IT-Dienstleister werden Teil des regulatorischen Ökosystems“, sagt Dirk Jan. „Das erfordert mehr Transparenz, klarere Verantwortlichkeiten und eine enge Zusammenarbeit im Krisenfall.“

ISPnext unterstützt deutsche Unternehmen dabei, DORA-Compliance strukturiert und praxisnah umzusetzen. Durch integrierte Lösungen für Risikomanagement, Lieferantensteuerung und Reporting wird digitale operationale Resilienz messbar und nachvollziehbar.

„Unser Anspruch ist es, regulatorische Anforderungen in umsetzbare Prozesse zu übersetzen“, erklärt Dirk Jan. ISPnext hilft Unternehmen, Resilienz nicht nur zu organisieren, sondern auch gegenüber Aufsicht und Management nachzuweisen.