DORA-Compliance-Leitfaden für Finanzunternehmen | CRYPTAS

DORA gilt im gesamten EU-Finanzsektor. Nachfolgend erfahren Sie, welche Anforderungen bestehen und warum digitale Vertrauensdienste dabei eine zentrale Rolle spielen.

Der Digital Operational Resilience Act (DORA) gilt seit dem 17. Januar 2025 und schafft einen einheitlichen, verbindlichen Rahmen für das Management von Risiken der Informations- und Kommunikationstechnologie (IKT) für rund 22.000 Finanzunternehmen in der EU. Von Großbanken bis zu kleinen Zahlungsdienstleistern, einschließlich den IKT-Dienstleistern, die diese Unternehmen bedienen, gibt DORA vor, dass Organisationen IKT-Störungen standhalten, auf sie angemessen reagieren und einen ordnunsgemäßen Betrieb wiederherstellen. Für Finanzinstitute im DACH-Raum ist DORA Chefsache, und kein Zukunftsprojekt. 

Die fünf Säulen von DORA

• IKT-Risikomanagement. Ein umfassendes Rahmenwerk zur Identifikation, zum Schutz, zur Erkennung, zur Reaktion und zur Wiederherstellung im Zusammenhang mit IKT-Risiken. Kryptografie und Zugriffskontrollen bilden dabei zentrale Bestandteile.
• Vorfallmanagement und Meldung. IKT-bezogene Vorfälle müssen klassifiziert werden. Schwerwiegende Vorfälle sind innerhalb festgelegter Fristen an die Aufsichtsbehörden zu melden.
• Tests der digitalen operationalen Resilienz. Regelmäßige Tests der Widerstandsfähigkeit, einschließlich bedrohungsorientierter Penetrationstests (Threat-Led Penetration Testing) und kontinuierliche Überarbeitung von Verbesserungsmaßnahmen.
• Management von IKT-Drittparteienrisiken. Kontrolle von Dienstleistern, vertragliche Absicherungen sowie laufendes Monitoring kritischer Drittanbieter.
• Informationsaustausch. Freiwilliger Austausch von Cyber-Bedrohungsinformationen zwischen Finanzunternehmen.

Wo digitales Vertrauen die Hauptarbeit leistet

Ein Großteil der IKT-Risikomanagement-Säule von DORA wird durch solide Kryptografie und Identitätsmanagement erfüllt. Verschlüsselung mit angemessenem Schlüsselmanagement schützt Daten sowohl bei der Übertragung als auch bei der Speicherung. Starke, phishing-resistente Authentifizierung sichert den Zugriff auf kritische Systeme. Public-Key-Infrastrukturen (PKI) gewährleisten die Integrität und Authentizität von Kommunikation und Identitäten. Digitale Signaturen und Zeitstempel machen Aufzeichnungen manipulationssicher und revisionsfähig. Wer diese Grundlagen richtig umsetzt, erfüllt bereits einen erheblichen Teil der DORA-Anforderungen.

Die von DORA geforderten nachvollziehbaren, ordnungsgemäß getroffenen Entscheidungen verlangen dieselbe Beweiskraft — und genau hier kommen qualifizierte elektronische Signaturen (QES) nach eIDAS ins Spiel. Unternehmen müssen zunehmend belegen können, dass sicherheitskritische Entscheidungen ordnungsgemäß und im Rahmen einer verantwortlichen Entscheidungsfindung getroffen wurden – etwa Freigaben der Geschäftsleitung zu Risikomanagement-Maßnahmen. QES liefert dafür die belastbarste Beweiskraft (hohe Rechtsverbindlichkeit, Nichtabstreitbarkeit), was bei Audits oder im Streitfall vor der Aufsichtsbehörde oder Gericht den Unterschied macht.

Eine praktische Einstiegs-Checkliste

• Anwendungsbereich klären. Prüfen Sie, wie DORA auf Ihr Unternehmen sowie auf Ihre kritischen IKT-Dienstleister anzuwenden ist.
• IKT-Risikomanagement bewerten. Vergleichen Sie bestehende Kontrollen mit den DORA-Anforderungen und identifizieren Sie mögliche Lücken.
• Kryptografie und Zugriff stärken. Implementieren Sie Verschlüsselung, Schlüsselmanagement und phishing-resistente Authentifizierung für kritische Systeme.
• Drittparteien Risiken einschränken. Prüfen Sie die Resilienz Ihrer kritischen IKT-Lieferanten und überarbeiten Sie bestehende Verträge um etwaige Risiken zu erkennen und Gegenmaßnahmen zu ergreifen.
• Nachweise vorbereiten. Stellen Sie sicher, dass Kontrollmaßnahmen dokumentiert und gegenüber der Aufsicht belegbar sind.

Wie CRYPTAS und primesign unterstützen 

CRYPTAS bietet Verschlüsselungslösungen, Schlüsselmanagement, HSMs, PKI sowie starke Authentifizierung – genau die Technologien, die zur Erfüllung der DORA-Anforderungen einen wertvollen Beitrag leisten. Wir helfen Finanzunternehmen, technische Lücken mit auditierbaren Kontrollen zu schließen, Daten zu schützen, Zugriffe abzusichern und Integrität gegenüber Aufsichtsbehörden und Geschäftspartnern nachweisbar zu machen. Wo DORA manipulationssichere und belegbare Aufzeichnungen und Freigaben erwartet, unterstützt primesign mit qualifizierte elektronische Signaturen und Zeitstempel nach eIDAS diese Anforderungen zu erfüllen. Mit Qualifizierten Elektronischen Signaturen von primesign schaffen Sie Rechtsverbindlichkeit und Nichtabstreitbarkeit signierter Dokumente, die einer aufsichtsrechtlichen Prüfung standhalten. 

Bereiten Sie ein DORA-Audit vor? Sprechen Sie mit CRYPTAS und primesign darüber, wie Sie Ihre kryptografischen, identitätsbasierten und signaturbezogenen IKT-Kontrollen stärken.