Der Digital Operational Resilience Act soll sicherstellen, dass Finanzunternehmen auch bei schweren IT-Störungen und Cyberangriffen handlungsfähig bleiben. Er vereinheitlicht Anforderungen, die zuvor in nationalen Rundschreiben und Leitlinien verstreut waren, und gilt unmittelbar in allen EU-Mitgliedstaaten.
Die fünf Säulen
DORA gliedert sich in fünf Bereiche: ein IKT-Risikomanagement mit klarer Verantwortung der Leitung, die Klassifizierung und Meldung schwerwiegender IKT-Vorfälle, das Testen der digitalen operationalen Resilienz bis hin zu bedrohungsorientierten Penetrationstests für bedeutende Institute, das Management des Risikos aus IKT-Drittdienstleistern und den freiwilligen Austausch von Informationen über Bedrohungen.
Informationsregister und Verträge
Finanzunternehmen müssen ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen führen und der Aufsicht melden. Verträge mit IKT-Dienstleistern müssen bestimmte Mindestinhalte enthalten, etwa Beschreibung der Leistung, Orte der Datenverarbeitung, Prüfrechte, Mitwirkung bei Vorfällen und Ausstiegsregeln. Für Dienstleister bedeutet das neue Klauseln, Fragebögen und Nachweise, auch wenn DORA sie nicht direkt verpflichtet.
Verhältnis zu NIS2
Für Finanzunternehmen gilt DORA als spezielleres Recht vor NIS2. IKT-Dienstleister ausserhalb des Finanzsektors können trotzdem selbst unter NIS2 fallen, etwa als Anbieter von Cloud- oder verwalteten Diensten. Besonders bedeutende Dienstleister können zudem als kritische IKT-Drittdienstleister unter eine direkte Überwachung durch die europäischen Aufsichtsbehörden gestellt werden.
Was Schweizer Anbieter wissen müssen
DORA gilt nicht für Finanzunternehmen in der Schweiz; dort stellt die FINMA mit dem Rundschreiben 2023/1 zu operationellen Risiken und Resilienz eigene Anforderungen. Schweizer Software- und Cloudanbieter mit Kunden aus dem EU-Finanzsektor erhalten aber die DORA-Anforderungen über deren Verträge. Eine Compliance-Analyse klärt, welche Forderungen auf DORA beruhen und welche darüber hinausgehen.