IKT-Risikomanagement im DORA-Vollrahmen aufbauen und belegen

Diese Seite gilt für den Vollrahmen nach Art. 5 bis 15 DORA, etwa für CRR-Kreditinstitute, Versicherungsunternehmen, Kapitalverwaltungsgesellschaften und Zahlungsinstitute. Welcher Rahmen für Sie gilt, klärt die Seite DORA-Anwendungsbereich. Institute im vereinfachten Rahmen, darunter ab 01.01.2027 Factoring- und Leasinginstitute, wenden Art. 16 an, auch dort mit BIA und Wiederherstellungszielen, siehe Art. 16 DORA: der vereinfachte Rahmen.

Was verlangt DORA beim IKT-Risikomanagement?

DORA verlangt einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen als Teil des Gesamtrisikomanagements (Art. 6 Abs. 1), mit Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokollen und Tools (Art. 6 Abs. 2). Die Artikel 5 bis 14 bauen ihn auf, konkretisiert durch Titel II der Delegierten Verordnung (EU) 2024/1774 (im Folgenden RTS, Art. 2 bis 27) auf Grundlage von Art. 15.

Der Grundsatz der Verhältnismäßigkeit gilt für das ganze Kapitel II, also für Art. 5 bis 15 (Art. 4 Abs. 1). Erleichterungen für Kleinstunternehmen stehen in den FAQ unten.

Was muss das Leitungsorgan tun?

Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken (Art. 5 Abs. 2 lit. a). Es legt unter anderem die Aufgaben aller IKT-bezogenen Funktionen fest, genehmigt DOR-Strategie, Geschäftsfortführungsleitlinie, Revisionspläne und die Leitlinie für IKT-Dienstleistungen, weist Budget zu und richtet Meldekanäle ein (Art. 5 Abs. 2). Seine Mitglieder halten ihre IKT-Kenntnisse durch regelmäßige Schulungen aktuell (Art. 5 Abs. 4).

Art. 5 Abs. 3 verlangt zudem eine Funktion oder ein Mitglied der Geschäftsleitung, das die Verträge mit IKT-Drittdienstleistern überwacht, siehe IKT-Drittdienstleister steuern.

Was gehört in die DOR-Strategie?

Die Strategie für die digitale operationale Resilienz (DOR-Strategie) ist Teil des Rahmens und legt dar, wie er umgesetzt wird (Art. 6 Abs. 8). Sie muss acht Punkte abdecken:

1. wie der Rahmen Geschäftsstrategie und Unternehmensziele unterstützt,
2. die Risikotoleranzschwelle für IKT-Risiken und die Auswirkungstoleranz bei IKT-Störungen,
3. klare Ziele für die Informationssicherheit mit wesentlichen Leistungs- und Risikokennzahlen,
4. die IKT-Referenzarchitektur und nötige Änderungen,
5. die Mechanismen, mit denen Vorfälle erkannt und abgewehrt werden,
6. den Stand der Resilienz anhand gemeldeter schwerwiegender Vorfälle und der Wirksamkeit der Prävention,
7. die Durchführung von Resilienztests nach Kapitel IV,
8. eine Kommunikationsstrategie für IKT-bezogene Vorfälle nach Art. 14.

Optional ist eine Strategie zur Nutzung mehrerer IKT-Anbieter (Art. 6 Abs. 9).

DOR-Strategie und IT-Strategie: eine oder zwei?

DORA verlangt nur die DOR-Strategie, eine IT-Strategie im Sinne von BAIT oder VAIT verlangt die Verordnung nicht. Gleichsetzen lassen sich beide trotzdem nicht. Die BaFin sieht die DOR-Strategie auf das IKT-Risikomanagement ausgerichtet, die IT-Strategie als breitere Strategie zur gesamten IT, „sodass beide Strategien nicht gleichgesetzt werden können“ (Aufsichtsmitteilung vom 08.07.2024, Abschnitt 1.1). Die IT-Strategie sieht sie als mögliches Bindeglied zwischen Geschäfts- und DOR-Strategie. Zur Form sagt DORA nichts, Strategien lassen sich laut BaFin weiter geeignet kombinieren.

Was daraus folgt, hängt vom Sektor ab.

In einem gemeinsamen Dokument müssen die Punkte a bis h von Art. 6 Abs. 8 erkennbar sein. Wir empfehlen einen eigenen Abschnitt „DOR-Strategie“, damit Toleranzschwelle und Testprogramm nicht in der IT-Planung untergehen. Im vereinfachten Rahmen nach Art. 16 gibt es keine DOR-Strategie, zur IT-Strategie dort siehe Art. 16 DORA: der vereinfachte Rahmen. Weitere Schnittstellen zur MaRisk zeigt die Seite MaRisk und DORA.

Wer ist die IKT-Risikokontrollfunktion?

Finanzunternehmen, die keine Kleinstunternehmen sind, übertragen Management und Überwachung des IKT-Risikos einer Kontrollfunktion mit angemessener Unabhängigkeit (Art. 6 Abs. 4). IKT-Risikomanagement, Kontrolle und interne Revision sind nach dem Modell der drei Verteidigungslinien oder einem internen Modell zu trennen. Die BaFin sieht die Funktion dem ISB in Stellung und Unabhängigkeit sehr ähnlich, aber nicht identisch, denn der ISB ist für die gesamte Informationssicherheit zuständig. Eine Weiterentwicklung des ISB zur Kontrollfunktion hält sie für sinnvoll, dann mit den Aufgaben des IKT-Risikomanagements (Aufsichtsmitteilung vom 08.07.2024, Abschnitt 2.2). Wie das BAIT-Kapitel zum ISB auf DORA abbildet, zeigt die Seite BAIT und DORA.

Compliance-Funktion und Kontrollfunktion kombinieren: Für Institute unter der MaRisk ist das vorgesehen: Die Erläuterung zu AT 4.4.2 Tz. 3 nennt die IKT-Risikokontrollfunktion als Beispiel einer Funktion, mit der die Compliance-Funktion kombiniert werden kann. Die Compliance-Funktion braucht dafür eine direkte Berichtslinie zur Geschäftsleitung und Unabhängigkeit von Markt und Handel (AT 4.4.2 Tz. 3). Für die Kontrollfunktion bleibt es bei der angemessenen Unabhängigkeit nach Art. 6 Abs. 4, belegt etwa durch eigene Aufgabenbeschreibung und Berichtslinie zum Vorstand. Im Art.-16-Rahmen gibt es keine IKT-Risikokontrollfunktion, dort verlangt der RTS eine angemessene Trennung und Unabhängigkeit von Kontrollfunktionen und interner Revision (RTS Art. 28 Abs. 4), siehe Art. 16 DORA.

Daneben prüft bei Nicht-Kleinstunternehmen die interne Revision den Rahmen mit IKT-Fachwissen nach dem Revisionsplan, kritische Feststellungen laufen durch ein förmliches Follow-up-Verfahren (Art. 6 Abs. 6 und 7). Turnus und Auslagerung der Überprüfung stehen in den FAQ unten.

Welche Leitlinien und Richtlinien braucht der Rahmen?

Der RTS verlangt je Thema Richtlinien oder Verfahren mit allgemeinen Anforderungen (RTS Art. 2 Abs. 2). Sie müssen unter anderem auf die Ziele der DOR-Strategie abgestimmt sein, das Genehmigungsdatum des Leitungsorgans, Verantwortlichkeiten und ein Verzeichnis der erforderlichen Dokumentation enthalten und die Aufgabentrennung festlegen. Dazu kommt ein jährlich überprüftes Inventar der Restrisiken mit Begründung (RTS Art. 3 lit. d).

Wie viele Dokumente daraus werden, legt der RTS nicht fest. Themen zu bündeln ist nach unserer Lesart zulässig, solange jedes Element des RTS auffindbar bleibt (Beispiel unten).

Identifizierung, Schutz und Erkennung: Art. 8 bis 10

Ergänzend zur Tabelle oben einige Fristen und Einzelvorgaben:

Identifizierung (Art. 8): Klassifizierung und Risikoszenarien werden mindestens jährlich überprüft (Abs. 1 und 2), IKT-Altsysteme bewerten Nicht-Kleinstunternehmen jährlich und bei Anschluss neuer Systeme (Abs. 7). Wie Sie die Funktionen einstufen, zeigt die Seite kritische oder wichtige Funktionen einstufen.

Schutz und Prävention (Art. 9, RTS Art. 6 bis 21): Zugangsrechte für Systeme, die kritische oder wichtige Funktionen unterstützen, sind mindestens alle sechs Monate zu aktualisieren, für alle anderen Systeme mindestens jährlich (RTS Art. 21 lit. e iv). Privilegierte Zugänge gibt es nur nach Nutzungsnotwendigkeit oder ad hoc (RTS Art. 21 lit. e ii), technisch beschrieben auf unserer Firmenseite zu privilegierten Zugriffen unter DORA. Für Assets, die kritische oder wichtige Funktionen unterstützen, ist ein Register aller Zertifikate zu führen, Zertifikate werden vor Ablauf erneuert (RTS Art. 7 Abs. 4 und 5, siehe Zertifikatsregister nach RTS Art. 7 Abs. 4).

Erkennung (Art. 10): mehrere Kontrollebenen und Alarmschwellen, die Reaktionsprozesse auslösen.

Reaktion und Wiederherstellung: BIA und Wiederherstellungsziele

Art. 11 verlangt eine IKT-Geschäftsfortführungsleitlinie (Abs. 1), Pläne für die Fortführung kritischer oder wichtiger Funktionen (Abs. 2), IKT-Reaktions- und Wiederherstellungspläne mit unabhängiger interner Revision bei Nicht-Kleinstunternehmen (Abs. 3) und Geschäftsfortführungspläne auch für ausgelagerte Funktionen (Abs. 4). Getestet wird mindestens jährlich und bei wesentlichen Änderungen an Systemen für kritische oder wichtige Funktionen, bei Nicht-Kleinstunternehmen mit Szenarien für Cyberangriffe und für die Umschaltung auf redundante Kapazitäten (Abs. 6). Nicht-Kleinstunternehmen brauchen eine Krisenmanagementfunktion (Abs. 7).

Business-Impact-Analyse (Art. 11 Abs. 5): Sie bewertet die Auswirkungen schwerwiegender Betriebsstörungen nach quantitativen und qualitativen Kriterien und berücksichtigt Kritikalität, Unterstützungsprozesse, Abhängigkeiten von Dritten und Informationsassets.

Wiederherstellungsziele (Art. 12 Abs. 6): Für jede Funktion legen Finanzunternehmen Vorgaben für die Wiederherstellungszeit und den Wiederherstellungspunkt fest und berücksichtigen dabei, ob es sich um eine kritische oder wichtige Funktion handelt. Grundlage ist die BIA (RTS Art. 24 Abs. 1 lit. a i), festgehalten werden die Ziele in der Geschäftsfortführungsleitlinie (RTS Art. 24 Abs. 1 lit. b ii). Die Pläne müssen diese Ziele erreichen und die Szenarien aus RTS Art. 26 Abs. 2 abdecken, etwa Cyberangriffe oder den Ausfall eines Dienstleisters. Auch das Informationsregister fragt sie ab (Vorlage B_06.01).

Art. 12 verlangt zudem getrennte Wiederherstellungssysteme (Abs. 3), redundante Kapazitäten bei Nicht-Kleinstunternehmen (Abs. 4) und Integritätsprüfungen (Abs. 7).

Lernen und Kommunikation: Art. 13 und 14

Nach schwerwiegenden Vorfällen werden Ursachen, Reaktion und Kommunikation nachbetrachtet, und die IKT-Leitung berichtet dem Leitungsorgan mindestens jährlich über Erkenntnisse aus Tests und Vorfällen (Art. 13 Abs. 2 und 5). Schulungen gelten für alle Beschäftigten und die Geschäftsleitung (Art. 13 Abs. 6). Art. 14 verlangt Kommunikationspläne für Kunden, andere Finanzunternehmen und die Öffentlichkeit sowie eine benannte Person für Öffentlichkeit und Medien, die Meldung an die BaFin behandelt die Seite DORA-Meldepflicht.

Beispiel: Gliederung des Rahmens der Muster-Kreditbank AG

Fiktives Beispiel, kein Kunde. Die Muster-Kreditbank AG ist ein CRR-Kreditinstitut mit 140 Beschäftigten, Kredit- und Einlagengeschäft mit Firmen- und Privatkunden. Das Kernbankensystem betreibt ein Rechenzentrumsdienstleister, Arbeitsplätze und Netzwerk ein Managed-Service-Provider (MSP). Nach der ersten Überprüfung des Rahmens hat sie ihre Dokumente so neu gegliedert:

Aus der BIA hat die Bank für ihre kritischen oder wichtigen Funktionen Wiederherstellungsziele abgeleitet. Die Werte sind Beispielwerte, DORA nennt für Kreditinstitute keine Zahlen:

Drei typische Lücken

Wie wir unterstützen

Für Unternehmen im Vollrahmen beginnen wir mit der DORA-Gap-Analyse. Sie legt Ihren Rahmen neben Art. 5 bis 15 und den RTS und ordnet die Maßnahmen nach Dringlichkeit. Rechtliche Fragen im Einzelfall klären Sie mit Ihrer Rechtsberatung.