DORA 2026: IKT-Resilienz ist für Finanzunternehmen nicht mehr optional

Die Verordnung (EU) 2022/2554, bekannt als DORA, das Gesetz über die digitale operative Resilienz, trat am 16. Januar 2023 in Kraft und gilt seit dem 17. Januar 2025 in der gesamten Europäischen Union. Sie harmonisiert die IKT-Risikomanagementregeln für 21 Kategorien von Finanzunternehmen, von Banken und Versicherern bis zu Wertpapierfirmen, Zahlungsinstituten und Krypto-Dienstleistern.

DORA tritt nicht neben die bestehende Finanzregulierung. Sie ersetzt einen Flickenteppich nationaler und sektorspezifischer IKT-Regeln durch einen einheitlichen Rahmen und erstreckt erstmals eine direkte Aufsicht auf die Technologieanbieter, von denen Finanzunternehmen abhängen.

Fünf Anforderungen, ein verantwortliches Gremium

Die Verordnung stützt sich auf fünf Säulen: einen dokumentierten IKT-Risikomanagementrahmen, die Klassifizierung und Meldung von Vorfällen, regelmässige Tests der digitalen Resilienz, die Überwachung von IKT-Drittanbieterrisiken und den freiwilligen Austausch von Informationen über Cyberbedrohungen. Alle fünf unterliegen einer einzigen Verantwortlichkeitsregel: Das Leitungsorgan legt den IKT-Risikorahmen fest, genehmigt ihn und bleibt dafür verantwortlich. Dies kann nicht an einen CIO oder einen externen Anbieter delegiert werden.

• IKT-Risikomanagementrahmen: dokumentierte Strategie, Richtlinien, Verfahren und Werkzeuge zur Identifizierung, zum Schutz, zur Erkennung, zur Reaktion auf und zur Wiederherstellung nach IKT-bezogenen Vorfällen, mindestens einmal jährlich überprüft.
• Klassifizierung und Meldung von Vorfällen: schwerwiegende IKT-bezogene Vorfälle müssen der zuständigen nationalen Behörde gemeldet werden, mit einer ersten Meldung, einem Zwischenbericht und einem Abschlussbericht, gemäss einem durch technische Regulierungsstandards festgelegten Zeitplan.
• Tests der digitalen operativen Resilienz: ein grundlegendes Testprogramm jedes Jahr für die meisten Unternehmen, und bedrohungsorientierte Penetrationstests (TLPT) alle drei Jahre für Unternehmen, die als kritisch für das Finanzsystem eingestuft werden.
• Management von IKT-Drittanbieterrisiken: ein vollständiges Informationsregister über alle Vereinbarungen mit IKT-Drittanbietern, Vertragsklauseln zu Ausstiegsstrategien und Prüfungsrechten, sowie direkte EU-Aufsicht über als kritisch eingestufte Anbieter.
• Informationsaustausch: freiwillige Vereinbarungen zwischen Finanzunternehmen zum Austausch von Erkenntnissen über Cyberbedrohungen, gefördert, aber nicht verpflichtend.

Die Exposition, die die meisten Unternehmen unterschätzen

Zwei Bereiche konzentrieren bislang die meisten aufsichtsrechtlichen Feststellungen. Der erste ist das Register der IKT-Drittanbieter: Viele Unternehmen können ihre wichtigsten Cloud- und Softwareanbieter auflisten, tun sich aber schwer, Unterauftragnehmer mehrere Ebenen tiefer zu erfassen, was die Verordnung dennoch verlangt. Der zweite ist die vertragliche Absicherung: Ausstiegsklauseln, Prüfungsrechte und Service-Level-Vereinbarungen, die vor Jahren ausgehandelt wurden, erfüllen selten die spezifischen Anforderungen von DORA, und ihre Neuverhandlung mit grossen Anbietern erfordert Zeit, die die meisten Unternehmen nicht eingeplant hatten.

Warum das auch über den Finanzsektor hinaus wichtig ist

DORA reicht weiter als Bilanzen. Cloud-Anbieter, Anbieter von Kernbankensoftware und Zahlungsinfrastrukturunternehmen, die Finanzkunden bedienen, werden zunehmend aufgefordert, die DORA-Konformität als Vertragsbedingung nachzuweisen, unabhängig davon, ob sie selbst ein Finanzunternehmen sind. Ein Fintech oder Softwareanbieter, der einen DORA-Due-Diligence-Fragebogen nicht beantworten kann, verliert Aufträge, nicht weil er ausserhalb des Anwendungsbereichs liegt, sondern weil sein Kunde es nicht tut.

“Ein dokumentierter IKT-Risikorahmen ist keine Fingerübung. Es ist das, was eine Finanzgegenpartei, ein Prüfer oder eine Aufsichtsbehörde innerhalb von Tagen, nicht Wochen, zu sehen erwartet.”

— Aegryn

Aegryn Advisory unterstützt Finanzunternehmen und ihre Technologieanbieter bei der Dokumentation des IKT-Risikomanagements, der Strukturierung von Drittanbieterregistern und der Vorbereitung von Nachweisen für Resilienztests, zertifiziert unter der Dimension Sicherheit & Souveränität des CIFSO, noch bevor eine Aufsichtsbehörde, ein Investor oder ein Grosskunde einen Nachweis verlangt.