IKT-Risikomanagement
Ein dokumentierter Rahmen, mit dem Sie IT-Risiken erfassen, Systeme schützen und Störungen beheben. Dazu gehören Zugriffskontrolle, Datensicherung mit Wiederherstellung und Pläne für den Ausfall wichtiger Systeme.
Für Banken und Finanzdienstleister
DORA in der IT umsetzenResilienz, die Sie belegen können
Der Digital Operational Resilience Act gilt seit dem 17. Januar 2025 für Finanzunternehmen in der ganzen EU. Er verlangt, dass Banken, Versicherer und andere Finanzdienstleister IT-Risiken steuern, Vorfälle schnell melden und ihre Dienstleister im Griff haben. Wir übersetzen diese Anforderungen in Berechtigungen, Prozesse und Nachweise, mit denen Ihre IT im Alltag arbeiten kann.
Seit wann DORA gilt und für wen
DORA ist eine EU-Verordnung (2022/2554) und gilt deshalb unmittelbar, ohne dass ein deutsches Gesetz sie erst umsetzen muss. Seit dem 17. Januar 2025 müssen Finanzunternehmen aller Branchen sie anwenden, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierinstitute, Versicherer und Kapitalverwaltungsgesellschaften. Für bestimmte Finanzdienstleistungsinstitute gilt DORA nach dem Kreditwesengesetz erst ab dem 1. Januar 2027.
Auch IT-Dienstleister spüren DORA, weil Finanzunternehmen ihre Verträge mit ihnen an die Verordnung anpassen müssen. Wer für eine Bank oder einen Versicherer arbeitet, bekommt deshalb neue Vertragsklauseln, Prüfrechte und Anforderungen an Ausstiegspläne.
Die Kernbereiche von DORA
Meldung von IKT-Vorfällen
Vorfälle werden nach festen Kriterien eingestuft. Ein schwerwiegender Vorfall ist der BaFin spätestens vier Stunden nach der Einstufung und höchstens 24 Stunden nach der Entdeckung zu melden, danach folgen Zwischen- und Abschlussmeldung.
Tests der Resilienz
Systeme, die kritische oder wichtige Funktionen unterstützen, werden mindestens jährlich getestet. Ausgewählte Institute müssen zusätzlich alle drei Jahre bedrohungsorientierte Penetrationstests durchführen.
Risiko aus IT-Dienstleistern
Alle Verträge mit IT-Dienstleistern stehen in einem Informationsregister, das der Aufsicht gemeldet wird. Für kritische Leistungen brauchen Sie Mindestinhalte im Vertrag und eine Ausstiegsstrategie.
Informationsaustausch
Finanzunternehmen dürfen Erkenntnisse über Cyberbedrohungen untereinander teilen. Die Teilnahme an solchen Vereinbarungen ist freiwillig, muss der Aufsicht aber mitgeteilt werden.
Verantwortung der Leitung
Das Leitungsorgan trägt die Verantwortung für das IKT-Risikomanagement. Es legt den Rahmen fest, genehmigt ihn und muss sein Wissen über IT-Risiken aktuell halten.
Was DORA im IT-Alltag bedeutet
Viele Pflichten werden erst in der Technik prüfbar. Diese Punkte fragt eine Prüfung typischerweise ab:
- Ein Berechtigungskonzept nach dem Grundsatz, dass jeder nur bekommt, was er für seine Aufgabe braucht, mit regelmäßiger Rezertifizierung
- Starke Authentifizierung und getrennte Konten für privilegierte Zugriffe
- Ein festgelegter Ein- und Austrittsprozess, damit Rechte rechtzeitig vergeben und entzogen werden
- Datensicherung, die von den Produktivsystemen getrennt ist, mit dokumentiertem Wiederherstellungstest
- Protokollierung sicherheitsrelevanter Ereignisse und ein geregeltes Änderungs- und Patchmanagement
- Ein Ablauf zur Einstufung von Vorfällen, damit die Vier-Stunden-Frist auch nachts und am Wochenende einzuhalten ist
- Ein vollständiges Informationsregister Ihrer IT-Verträge und Ausstiegspläne für kritische Dienstleister
- Jährliche Tests der Systeme, die kritische oder wichtige Funktionen tragen
DORA und die bisherigen BAIT
Die BaFin hat ihre Rundschreiben zu den IT-Anforderungen weitgehend durch DORA ersetzt. VAIT, KAIT und ZAIT wurden mit Ablauf des 16. Januar 2025 aufgehoben. Institute, die DORA seit dem 17. Januar 2025 anwenden, sind aus dem Anwendungsbereich der BAIT herausgenommen, und mit Ablauf des 31. Dezember 2026 werden die BAIT vollständig aufgehoben.
Inhaltlich ist vieles vertraut, denn Berechtigungsmanagement, Notfallplanung und Auslagerungssteuerung kannten Banken schon aus den BAIT. DORA geht bei der Verantwortung der Leitung, der Vorfallmeldung und der Steuerung von Dienstleistern weiter. Die BaFin hat dazu Umsetzungshinweise veröffentlicht, an denen wir uns in Projekten orientieren.
Wie wir mit Ihnen vorgehen
- 01
Bestandsaufnahme
Wir vergleichen Ihre IT-Praxis mit den Anforderungen aus DORA und berücksichtigen dabei, was aus den BAIT schon vorhanden ist.
- 02
Maßnahmenplan
Sie erhalten eine nach Risiko geordnete Liste mit Aufwandsschätzung, abgestimmt mit Compliance und Revision.
- 03
Umsetzung
Wir setzen Berechtigungen, Rezertifizierung, Vorfallprozess und Dienstleistersteuerung um und arbeiten dabei mit Ihren bestehenden Dienstleistern zusammen.
- 04
Nachweise und Begleitung
Die Dokumentation entsteht während der Arbeit. Nach dem Abschluss begleiten wir den Betrieb so lange eng, bis die neuen Abläufe sitzen.
Erfahrung im Bankenumfeld
Bankensektor · 250 Anwender
Aufbau und Einführung einer neuen ITSM-Lösung in engem Austausch mit dem Haus. Wir haben das Projekt von der Implementierung über den Go-live bis in den Nachsupport begleitet.
Ergebnis: Zwölf Monate vom Projektstart bis zum Go-live, danach eine Phase, in der wir den Betrieb eng begleitet haben.
Stand:
FAQ
Häufige Fragen
Seit wann gilt DORA?
DORA gilt seit dem 17. Januar 2025 für Finanzunternehmen in der EU. Für bestimmte Finanzdienstleistungsinstitute in Deutschland gilt die Verordnung nach dem Kreditwesengesetz ab dem 1. Januar 2027.
Was verlangt DORA von der IT?
DORA verlangt ein dokumentiertes IKT-Risikomanagement, die Meldung schwerwiegender Vorfälle, regelmäßige Tests und die Steuerung der IT-Dienstleister. In der Praxis betrifft das vor allem Berechtigungen, Datensicherung, Protokollierung und Verträge.
Gelten die BAIT noch?
Für Institute, die DORA bereits anwenden, gelten sie nicht mehr. Die BaFin hebt die BAIT mit Ablauf des 31. Dezember 2026 vollständig auf, VAIT, KAIT und ZAIT sind schon seit Januar 2025 aufgehoben.
Gilt neben DORA auch NIS2?
Für Finanzunternehmen, die DORA anwenden, nimmt das BSI-Gesetz die meisten NIS2-Pflichten aus. DORA gilt hier als die speziellere Regel.
Wie schnell muss ein IKT-Vorfall gemeldet werden?
Ein schwerwiegender Vorfall ist der BaFin spätestens vier Stunden nach seiner Einstufung zu melden, höchstens aber 24 Stunden nach der Entdeckung. Deshalb muss die Einstufung als fester Ablauf vorbereitet sein.
Beraten Sie zur Auslegung von DORA?
Wir beraten dazu, was DORA für Ihre IT praktisch bedeutet. Die aufsichtsrechtliche Auslegung bleibt bei Ihrer Compliance und Revision, und wir richten die Umsetzung danach aus.
Warum ist Berechtigungsmanagement bei DORA so wichtig?
Weil Zugriffskontrolle zu den Punkten gehört, die eine Prüfung am genauesten ansieht. Ohne Rollenmodell, festgelegte Ein- und Austritte und Rezertifizierung lässt sich nicht belegen, dass nur Berechtigte auf Systeme zugreifen.
DORA
Sprechen wir über Ihr DORA-Vorhaben
Schildern Sie uns, wo Ihr Haus steht. Wir sagen Ihnen, welche Teile wir übernehmen können und wo andere die besseren Ansprechpartner sind.