Kontakt

DORA
(Digital Operational Resilience Act)

DORA ist die europäische Verordnung zur digitalen operationellen Resilienz des Finanzsektors. Sie verpflichtet Banken, Versicherungen, Zahlungsdienstleister, Investmentgesellschaften und weitere Finanzunternehmen, ihre Informations- und Kommunikationstechnologie (IKT) systematisch gegen Ausfälle, Cyberangriffe und sonstige Störungen abzusichern. Neben Anforderungen an das IKT-Risikomanagement regelt DORA das Management von Dienstleisterrisiken, die Meldung schwerwiegender Vorfälle sowie regelmäßige Resilienztests. Ziel ist die Sicherstellung kritischer Finanzdienstleistungen auch unter außergewöhnlichen Belastungen oder Krisensituationen.

Das DORA-Regelwerk verpflichtet betroffene Finanzunternehmen dazu, nachweisbar:

  • kritische oder wichtige Funktionen (CIFs) zu identifizieren und zu schützen
  • IKT-Risiken systematisch zu steuern und zu überwachen
  • Abhängigkeiten zu IKT-Drittdienstleistern transparent zu machen und zu bewerten
  • schwerwiegende IKT-Vorfälle zu erkennen, zu bewältigen und zu melden
  • digitale operationelle Resilienzziele zu definieren und einzuhalten
  • Resilienzmaßnahmen regelmäßig durch Tests und Übungen zu überprüfen
  • die Wiederherstellung kritischer Funktionen nach schwerwiegenden Störungen sicherzustellen
  • die Umsetzung der Anforderungen gegenüber Aufsicht, Revision und Prüfern nachzuweisen

5 typische Herausforderungen bei der DORA

Viele Finanzunternehmen verfügen bereits über etablierte Governance-, BCM-, Informationssicherheits- und Risikomanagementstrukturen. Die Herausforderung besteht häufig darin, diese zu einem konsistenten Operational-Resilience-Framework zusammenzuführen und die regulatorischen Anforderungen nachvollziehbar nachzuweisen.

1

Kritische oder wichtige Funktionen wurden nicht vollständig identifiziert

Oft besteht keine einheitliche Sicht darauf, welche Funktionen regulatorisch als kritisch oder wichtig einzustufen sind und welche Auswirkungen deren Ausfall hätte.

2

IKT-Abhängigkeiten sind nicht ausreichend transparent

Zusammenhänge zwischen Geschäftsprozessen, Anwendungen, Daten, Infrastrukturen und Dienstleistern sind häufig nur teilweise dokumentiert.

3

Risiken von IKT-Drittdienstleistern werden unterschätzt

Abhängigkeiten zu Cloud-Anbietern, Outsourcing-Partnern oder anderen kritischen Dienstleistern sind oftmals nicht vollständig bewertet oder gesteuert.

4

Resilienztests decken regulatorische Anforderungen nicht ab

Vorhandene Tests überprüfen technische Komponenten, betrachten jedoch nicht immer die End-to-End-Widerstandsfähigkeit kritischer Funktionen.

5

Nachweisführung und Prüfbarkeit sind unzureichend

Vorhandene Maßnahmen, Analysen und Entscheidungen sind häufig nicht in einer Form dokumentiert, die den Erwartungen von Aufsicht, Revision oder Wirtschaftsprüfung entspricht.

Unsere Leistungen

Von der ersten Standortbestimmung bis zur Vorbereitung auf interne und externe Prüfungen begleiten wir Finanzunternehmen bei der strukturierten Umsetzung der Anforderungen aus DORA und der nachhaltigen Verankerung von Operational Resilience in der Organisation.

DORA-Gap-Analyse und Umsetzungs-Roadmap

Bewertung des bestehenden Resilienz- und BCM-Frameworks gegenüber den DORA-Anforderungen sowie Ableitung priorisierter Umsetzungsmaßnahmen.

Identifikation und Bewertung der Funktionen, deren Ausfall wesentliche Auswirkungen auf Kunden, Marktteilnehmer oder regulatorische Anforderungen hätte.

Dokumentation der Abhängigkeiten zwischen Geschäftsprozessen, Anwendungen, Daten, Dienstleistern und Infrastrukturkomponenten.

Entwicklung eines integrierten Ansatzes zur Sicherstellung definierter Resilienzziele bei schwerwiegenden Betriebsstörungen.

Definition und Bewertung realistischer Ausfall- und Angriffsszenarien zur Überprüfung der organisatorischen Widerstandsfähigkeit.

Planung, Durchführung und Auswertung von Tests zur Überprüfung der tatsächlichen Wiederherstellungs- und Reaktionsfähigkeit.

Bewertung kritischer Dienstleister sowie möglicher Abhängigkeiten von einzelnen Anbietern oder Technologien.

Unterstützung bei Dokumentation, Evidenzsammlung und Prüfungsbegleitung gegenüber Revision, Wirtschaftsprüfung und Aufsicht.