DORA pragmatisch umsetzen.

Verstöße gegen DORA werden von der zuständigen nationalen Aufsichtsbehörde geahndet, in Deutschland der BaFin. DORA sieht empfindliche Bußgelder vor, die sich am weltweiten Jahresumsatz des Unternehmens orientieren. Neben Geldstrafen können Aufsichtsbehörden die öffentliche Bekanntmachung des Verstoßes anordnen sowie Maßnahmen zur Mängelbeseitigung verlangen. Für Mitglieder des Leitungsorgans ist auch eine persönliche Haftung möglich. Kritische IKT-Drittanbieter unter direkter EU-Aufsicht riskieren zusätzlich tägliche Zwangsgelder.

DORA schreibt für schwerwiegende IKT-Vorfälle ein dreistufiges Meldeverfahren vor: Erstmeldung innerhalb von 4 Stunden nach Klassifizierung, Zwischenbericht innerhalb von 24 Stunden und Abschlussbericht innerhalb von 72 Stunden. Empfänger ist die zuständige nationale Aufsichtsbehörde, in Deutschland die BaFin. Voraussetzung ist eine klare Incident-Klassifikation nach DORA-Kriterien.

Das Informationsregister ist eine vollständige Dokumentation aller IKT-Dienstleister und der von ihnen erbrachten Funktionen. Für jeden Anbieter sind Kritikalität, vertragliche Vereinbarungen und Exit-Strategien festzuhalten. Das Register muss auf Anfrage der Aufsichtsbehörde vorgelegt werden und bildet die Grundlage für das gesamte Drittanbieter-Risikomanagement nach DORA.

TLPT steht für Threat-Led Penetration Testing. DORA verlangt von bedeutenden Finanzunternehmen die Durchführung dieser fortgeschrittenen Penetrationstests durch zertifizierte externe Tester in regelmäßigen Abständen. TLPT simuliert realistische Angreiferszenarien.

ISO 27001 ist eine sehr gute Grundlage für DORA, ersetzt die Compliance aber nicht vollständig. DORA enthält spezifische Anforderungen an IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und Drittanbieter-Governance, die über ISO 27001 hinausgehen.

IKT-Drittanbieter, die kritische oder wichtige Funktionen für regulierte Finanzunternehmen erbringen, müssen bestimmte Vertragsbedingungen erfüllen und sich auf Audits durch Finanzunternehmen und Regulatoren vorbereiten. Kritische Drittanbieter unterliegen einer direkten Aufsicht durch europäische Behörden.

Die Kosten hängen von der Unternehmensgröße, der Ausgangssituation und dem Umsetzungsumfang ab. Nach einem kostenlosen Erstgespräch erhalten Sie eine transparente Aufwandsschätzung.