DORA gilt im gesamten EU-Finanzsektor. Nachfolgend erfahren Sie, welche Anforderungen bestehen und warum digitale Vertrauensdienste dabei eine zentrale Rolle spielen.
Der Digital Operational Resilience Act (DORA) gilt seit dem 17. Januar 2025 und schafft einen einheitlichen, verbindlichen Rahmen für das Management von Risiken der Informations- und Kommunikationstechnologie (IKT) für rund 22.000 Finanzunternehmen in der EU. Von Großbanken bis zu kleinen Zahlungsdienstleistern, einschließlich den IKT-Dienstleistern, die diese Unternehmen bedienen, erwartet DORA, dass Organisationen IKT-Störungen standhalten, auf sie reagieren und sich von ihnen erholen. Für Finanzinstitute im DACH-Raum ist DORA inzwischen Chefsache, kein Zukunftsprojekt mehr.
Die fünf Säulen von DORA
- IKT-Risikomanagement. Ein umfassendes Rahmenwerk zur Identifikation, zum Schutz, zur Erkennung, zur Reaktion und zur Wiederherstellung im Zusammenhang mit IKT-Risiken. Kryptografie und Zugriffskontrollen bilden dabei zentrale Bestandteile.
- Vorfallmanagement und Meldung. IKT-bezogene Vorfälle müssen klassifiziert werden. Schwerwiegende Vorfälle sind innerhalb festgelegter Fristen an die Aufsichtsbehörden zu melden.
- Tests der digitalen operationalen Resilienz. Regelmäßige Tests der Widerstandsfähigkeit, einschließlich bedrohungsorientierter Penetrationstests (Threat-Led Penetration Testing) für bedeutende Institute.
- Management von IKT-Drittparteienrisiken. Überwachung von Dienstleistern, vertragliche Absicherungen sowie laufendes Monitoring kritischer Drittanbieter.
- Informationsaustausch. Freiwilliger Austausch von Cyber-Bedrohungsinformationen zwischen Finanzunternehmen.
Wo digitales Vertrauen die Hauptarbeit leistet
Ein Großteil der IKT-Risikomanagement-Säule von DORA wird durch solide Kryptografie und Identitätsmanagement erfüllt. Verschlüsselung mit diszipliniertem Schlüsselmanagement schützt Daten sowohl bei der Übertragung als auch bei der Speicherung. Starke, phishing-resistente Authentifizierung sichert den Zugriff auf kritische Systeme. Public-Key-Infrastrukturen (PKI) gewährleisten die Integrität und Authentizität von Kommunikation und Maschinenidentitäten. Digitale Signaturen und Zeitstempel machen Aufzeichnungen manipulationssicher und revisionsfähig. Wer diese Grundlagen richtig umsetzt, erfüllt bereits einen erheblichen Teil der DORA-Anforderungen.
Die von DORA geforderten nachvollziehbaren, ordnungsgemäß getroffenen Entscheidungen verlangen dieselbe Beweiskraft — und genau hier kommen qualifizierte elektronische Signaturen (QES) nach eIDAS ins Spiel. Unternehmen müssen zunehmend belegen können, dass sicherheitskritische Entscheidungen ordnungsgemäß und im Rahmen einer verantwortlichen Entscheidungsfindung getroffen wurden – etwa Freigaben der Geschäftsleitung zu Risikomanagement-Maßnahmen. QES liefert dafür die belastbarste Beweiskraft (hohe Rechtsverbindlichkeit, Nichtabstreitbarkeit), was bei Audits oder im Streitfall vor der Aufsichtsbehörde den Unterschied macht.
Eine praktische Einstiegs-Checkliste
- Anwendungsbereich klären. Prüfen Sie, wie DORA auf Ihr Unternehmen sowie auf Ihre kritischen IKT-Dienstleister anzuwenden ist.
- IKT-Risikomanagement bewerten. Vergleichen Sie bestehende Kontrollen mit den DORA-Anforderungen und identifizieren Sie mögliche Lücken.
- Kryptografie und Zugriff stärken. Implementieren Sie Verschlüsselung, Schlüsselmanagement und phishing-resistente Authentifizierung für kritische Systeme.
- Drittparteien-Aufsicht verschärfen. Prüfen Sie Verträge und Überwachung für kritische IKT-Lieferanten.
- Nachweise vorbereiten. Stellen Sie sicher, dass Kontrollen dokumentiert und gegenüber der Aufsicht belegbar sind.
Wie CRYPTAS und primesign unterstützen
CRYPTAS bietet Verschlüsselungslösungen, Schlüsselmanagement, HSMs, PKI sowie starke Authentifizierung – genau die Technologien, die im Zentrum der DORA-Anforderungen an das IKT-Risikomanagement stehen. Wir helfen Finanzunternehmen, technische Lücken mit auditierbaren Kontrollen zu schließen, Daten zu schützen, Zugriffe abzusichern und Integrität gegenüber Aufsichtsbehörden und Geschäftspartnern nachweisbar zu machen. Wo DORA manipulationssichere und belegbare Aufzeichnungen und Freigaben erwartet, ergänzt primesign qualifizierte elektronische Signaturen und Zeitstempel nach eIDAS — für hohe Rechtsverbindlichkeit und Nichtabstreitbarkeit kritischer Dokumente, die einer aufsichtsrechtlichen Prüfung standhalten.
Bereiten Sie ein DORA-Audit vor? Sprechen Sie mit CRYPTAS und primesign darüber, wie Sie Ihre kryptografischen, identitätsbasierten und signaturbezogenen IKT-Kontrollen stärken.