DORA: IKT-Risikomanagementrahmen und Informationsregister

Die Verordnung über die digitale operationale Resilienz — Verordnung (EU) 2022/2554, DORA — gilt seit dem 17. Januar 2025 für fast jedes regulierte Finanzunternehmen in der EU: Kreditinstitute, Zahlungs- und E-Geld-Institute, Kryptowerte-Dienstleister, Wertpapierfirmen, Fondsverwalter, Kreditgeber mehrerer Regelungen und weitere. Sie setzt einen Standard für das IKT-Risikomanagement und ein Register der vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. Dieser Leitfaden erklärt, was DORA verlangt, wer es einhalten muss, wie Verhältnismäßigkeit für kleinere Firmen wirkt, was das Informationsregister enthält und was unsere DORA-Leistungen liefern.

Der Leitfaden ist eine allgemeine Information, keine Rechtsberatung.

Die fünf Säulen von DORA

1. IKT-Risikomanagementrahmen (Artikel 5–16) — Steuerung durch das Leitungsorgan, ein dokumentierter Rahmen, Erkennung und Schutz von IKT-Assets, Erkennung, Reaktion und Wiederherstellung, Sicherungsrichtlinien, Lernen und Kommunikation. Für bestimmte kleine Unternehmen gilt ein vereinfachter Rahmen (Artikel 16).
2. Behandlung und Meldung IKT-bezogener Vorfälle (Artikel 17–23) — Klassifizierung von Vorfällen und Meldung schwerwiegender Vorfälle an die zuständige Behörde innerhalb fester Fristen.
3. Testen der digitalen operationalen Resilienz (Artikel 24–27) — ein dem Unternehmen angemessenes Testprogramm; bedrohungsorientierte Penetrationstests nur für von der Behörde bestimmte Unternehmen.
4. IKT-Drittparteienrisiko (Artikel 28–30) — eine Strategie, Sorgfaltsprüfung vor Vertragsschluss, verpflichtende Vertragsklauseln, Ausstiegspläne und das Informationsregister über alle Vereinbarungen mit IKT-Drittdienstleistern (Artikel 28 Absatz 3), das der Behörde jährlich vorgelegt wird.
5. Informationsaustausch (Artikel 45) — freiwillige Vereinbarungen über Erkenntnisse zu Cyberbedrohungen.

Wer DORA einhalten muss

DORA gilt für die in seinem Artikel 2 genannten Finanzunternehmen, darunter Zahlungs- und E-Geld-Institute, nach MiCA zugelassene Kryptowerte-Dienstleister, Wertpapierfirmen und Verwalter alternativer Investmentfonds. Hat Ihre Firma eine dieser Zulassungen oder beantragt sie eine, gilt DORA für sie ab dem Geltungsbeginn der Verordnung — dem 17. Januar 2025 — oder ab dem Tag der Zulassung, wenn dieser später liegt. Wir bestätigen den genauen Umfang für Ihre Firma schriftlich, bevor die Arbeit beginnt.

Verhältnismäßigkeit

DORA gilt für große und kleine Firmen, aber die Tiefe des Rahmens folgt der Größe, dem Risikoprofil und der Art der Dienstleistungen des Unternehmens (Artikel 4). Ein kleines Zahlungsinstitut braucht nicht die Werkzeuge einer Bank — aber es braucht jedes vorgeschriebene Dokument, einen Verantwortlichen für jeden Prozess und den Nachweis, dass es funktioniert.

Was das Informationsregister enthält

Nach Artikel 28 Absatz 3 führt jedes Finanzunternehmen ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen Dritter, stellt es der zuständigen Behörde auf Anfrage zur Verfügung und meldet mindestens einmal jährlich neue Vereinbarungen. In der Praxis nennt das Register für jeden IKT-Drittdienstleister: was er liefert, welche Funktion der Firma von ihm abhängt und ob diese Funktion kritisch oder wichtig ist. Ein Register muss mit den tatsächlich geltenden Verträgen übereinstimmen — nicht mit dem, was bei seiner ersten Erstellung galt —, weshalb es eine jährliche Aktualisierung braucht und keinen einmaligen Eintrag.

Wie wir den Rahmen Schritt für Schritt aufbauen

1. Lückenanalyse. Wir vergleichen die aktuelle IKT-Governance, die Dokumente und die Drittverträge der Firma mit den fünf Säulen oben.
2. Rahmen und Richtlinien. Wir entwerfen den IKT-Risikomanagementrahmen und die unterstützenden Richtlinien, nach dem Verhältnismäßigkeitsgrundsatz auf die Firma zugeschnitten.
3. Verfahren für Vorfallsklassifizierung und Meldung. Wir legen fest, wie ein IKT-Vorfall klassifiziert wird, wer ihn der zuständigen Behörde meldet und innerhalb welcher Fristen.
4. Testprogramm. Wir entwerfen ein dem Unternehmen angemessenes Testprogramm.
5. Richtlinie zum Drittparteienrisiko. Wir entwerfen den Sorgfaltsprüfungsprozess und die Checkliste der Vertragsklauseln für neue IKT-Anbieter und prüfen die bereits geltenden Klauseln.
6. Informationsregister. Wir erstellen das erste Register in der vorgeschriebenen Vorlage aus Ihren Verträgen.

Häufige Fehler

• Verhältnismäßigkeit als Ausnahme verstehen. Auch eine kleine Firma braucht jedes vorgeschriebene Dokument und einen Verantwortlichen für jeden Prozess — Verhältnismäßigkeit ändert die Tiefe, nicht die Liste.
• Das Register veralten lassen. Das Register muss bei jeder Änderung eines IKT-Vertrags aktualisiert werden, nicht nur einmal jährlich bei der formalen Aktualisierung.
• Kein benannter Verantwortlicher. Ein Rahmen ohne Verantwortlichen für jeden Teil ist ein Dokument, kein funktionierender Rahmen.
• DORA als einmaliges Projekt behandeln. Vorfallsmeldungen und die jährliche Registeraktualisierung sind wiederkehrende Pflichten, kein einzelnes Ergebnis.

Was enthalten ist und was nicht

Unsere Leistung umfasst den IKT-Risikomanagementrahmen, die Richtlinien, das Verfahren für Vorfallsklassifizierung und Meldung, das Testprogramm, die Richtlinie zum Drittparteienrisiko und das Informationsregister. Sie umfasst nicht die IKT-Systeme und die technischen Tests selbst — diese führt die eigene IT-Abteilung der Firma oder ihr technischer Lieferant durch; unsere Dokumente beschreiben, steuern und dokumentieren sie.

Wie lange es dauert

Ein erster DORA-Rahmen mit Register dauert in der Regel 8–12 Wochen; die jährliche Registeraktualisierung ist ein wiederkehrender, kürzerer Auftrag.

Unsere DORA-Leistungen

• DORA-IKT-Risikomanagementrahmen und Werkzeuge — ab €39,500: Lückenanalyse, Rahmen und Richtlinien, Verfahren für Vorfallsklassifizierung und Meldung, Testprogramm, Richtlinie zum Drittparteienrisiko mit Checkliste der Vertragsklauseln und das erste Informationsregister;
• DORA-Informationsregister — jährliche Aktualisierung — ab €2,400 / Jahr: Aktualisierung des Registers in der ITS-Vorlage und Unterstützung bei der jährlichen Einreichung.

DORA-konforme IKT-Dokumente sind auch Teil eines MiCA-Antrags sowie der Anträge für Zahlungsinstitute und E-Geld-Institute; wer DORA zusammen mit der Lizenz bestellt, schreibt dieselben Dokumente nicht zweimal.

Was Sie erhalten

• einen Ihrer Firma angemessenen DORA-Rahmen mit Verantwortlichen und Nachweisen;
• das Informationsregister im vorgeschriebenen Format;
• falls bestellt, die jährliche Aktualisierung des Registers.

Die Beträge sind unsere Honorare für den Standardumfang, ohne Mehrwertsteuer. Die gesamte Kommunikation läuft per E-Mail.

Für Staatsangehörige Russlands und für Unternehmen aus Russland erbringen wir keine Leistungen.

DORA-Rahmen bestellen Preise Leitfaden auf Englisch