Europäische Union

DORA — Digital Operational Resilience Act

Der Digital Operational Resilience Act, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 für Finanzunternehmen in der Europäischen Union. Er verpflichtet sie, IKT-Risiken in einem dokumentierten Rahmen zu steuern, schwerwiegende IKT-bezogene Vorfälle innerhalb fester Fristen zu klassifizieren und zu melden, ihre digitale Resilienz zu testen, das Risiko aus IKT-Drittdienstleistern zu steuern und ein Informationsregister über diese Vereinbarungen zu führen – und er stellt kritische IKT-Drittdienstleister unter direkte Überwachung.

DORA verlangt von Finanzunternehmen, Resilienz nachzuweisen, nicht zu beschreiben. DECIMA erzeugt den Nachweis aus den Systemen, die bereits laufen.

Auf einen Blick

Erlassen von

Europäisches Parlament und Rat, Verordnung (EU) 2022/2554, mit technischen Standards der Europäischen Aufsichtsbehörden

Gilt für

Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Anbieter von Krypto-Dienstleistungen und andere Finanzunternehmen in der EU sowie ihre IKT-Drittdienstleister

In Kraft

Gilt seit dem 17. Januar 2025

Beaufsichtigt von

Nationale zuständige Behörden; die ESAs überwachen kritische IKT-Drittdienstleister

Was die Vorgabe verlangt

Die Pflichten, wie die Verordnung sie formuliert, in der Reihenfolge, in der ein Programm sie erfüllt.

1. 01

   IKT-Risikomanagementrahmen

   Ein dokumentierter, vom Leitungsorgan genehmigter Rahmen, der Identifizierung, Schutz, Erkennung, Reaktion und Wiederherstellung für alle IKT-Assets abdeckt und mindestens jährlich überprüft wird.

2. 02

   Meldung IKT-bezogener Vorfälle

   Schwerwiegende Vorfälle werden nach einheitlichen Kriterien klassifiziert und der zuständigen Behörde gemeldet: eine Erstmeldung innerhalb von vier Stunden nach der Klassifizierung und spätestens 24 Stunden nach Kenntnisnahme, ein Zwischenbericht innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.

3. 03

   Tests der digitalen operationalen Resilienz

   Ein jährliches Testprogramm für alle kritischen IKT-Systeme sowie bedrohungsorientierte Penetrationstests mindestens alle drei Jahre für Unternehmen, die die Behörde dafür bestimmt.

4. 04

   IKT-Drittparteienrisiko

   Verträge mit IKT-Dienstleistern, die die vorgeschriebenen Klauseln enthalten, bewertetes Konzentrationsrisiko, vorhandene Ausstiegsstrategien sowie ein Informationsregister über alle IKT-Drittdienstleistervereinbarungen, das geführt und auf Anfrage übermittelt wird.

5. 05

   Informationsaustausch

   Vereinbarungen zum Austausch von Informationen über Cyberbedrohungen mit anderen Finanzunternehmen innerhalb vertrauenswürdiger Gemeinschaften.

Wie DECIMA es belegt

Jede Anforderung wird aus laufenden Systemen mit einer datierten, erneut verifizierbaren Aufzeichnung beantwortet – nicht aus einem für die Prüfung ausgefüllten Fragebogen.

• Rahmenkontrollen kontinuierlich ausgelesen

  Die Kontrollen, die der IKT-Risikomanagementrahmen benennt, werden nach Zeitplan aus den Systemen ausgelesen, die sie betreiben; jede Auslesung wird mit Zeitstempel und Rahmenversion gespeichert, sodass die jährliche Überprüfung ein Bericht über das Jahr ist.

• Meldefristen aus der Aufzeichnung eingehalten

  Vorfälle werden anhand der DORA-Kriterien aus den Nachweisen klassifiziert, die DECIMA bereits vorhält, und Erst-, Zwischen- und Abschlussmeldung werden aus dieser Aufzeichnung innerhalb der Vier-Stunden-, 72-Stunden- und Ein-Monats-Frist entworfen.

• Informationsregister aktuell gehalten

  IKT-Drittdienstleistervereinbarungen, ihre Vertragsklauseln und ihre Konzentration werden als strukturierte Datensätze vorgehalten und in dem Format exportiert, das die Behörde anfordert.

• Tests belegt, während sie laufen

  Resilienztests und bedrohungsorientierte Penetrationstests werden mit Umfang, Feststellungen und Behebung aufgezeichnet und mit den Kontrollen verknüpft, die sie geprüft haben.

04

Fragen, die Käufer stellen

Kurze Antworten, die Sie zitieren können.