Glossar DORA-Verordnung

DORA-Konformität: Finanzunternehmen müssen ihre IKT-Strukturen krisenfest aufstellen

Der Digital Operational Resilience Act (DORA) etabliert einen einheitlichen europäischen Rechtsrahmen, um die digitale Widerstandsfähigkeit des gesamten Finanzsektors gegen Cyber-Bedrohungen und operationelle Störungen grundlegend zu stärken. Mit DORA schafft die Europäische Union ein einheitlich harmonisiertes Regelwerk, das die digitale Resilienz auf eine Stufe mit der klassischen finanziellen Solvenz hebt.

Das primäre Ziel der DORA-Verordnung besteht darin sicherzustellen, dass Banken, Versicherungen und Wertpapierfirmen schwerwiegenden Störungen der Informations- und Kommunikationstechnologie (IKT) nicht nur standhalten, sondern diese auch ohne kritische Systemausfälle überstehen.

Für Unternehmen bedeutet das Erreichen der vollständigen DORA-Konformität eine gezielte Schärfung ihrer IT- und Risikomanagement-Prozesse. Da die Verordnung die gesamte digitale Lieferkette erfasst, betrifft sie neben den Finanzinstituten und Versicherern selbst auch deren kritische IKT-Drittdienstleister. Digitale Onboarding-Kanäle, Verifikations-Schnittstellen und automatisierte Identitätsprüfungen müssen nahtlos in dieses hochsichere regulatorische Ökosystem integriert werden, um operative Risiken und Single Points of Failure proaktiv auszuschließen.

Der Geltungsbereich der DORA-Verordnung reicht über Finanzunternehmen hinaus

Als Meilenstein der europäischen Versicherungs- und Bankenregulierung setzt DORA völlig neue Maßstäbe. Deren Tragweite unterscheidet sich maßgeblich von älteren, rein nationalen Digital-Richtlinien - wie bspw. MaRisk für das Risikomanagement. Der Gesetzgeber fasst den Kreis der regulierten Einheiten bewusst extrem weit, um systemische, finanzielle Risiken im europäischen Binnenmarkt zu minimieren.

In den Geltungsbereich der DORA-Verordnung fallen insbesondere:

• Kreditinstituten & Banken
• Wertpapierinstitute
• Versicherungsunternehmen & Assekuradeure
• Zahlungsdienstleister
• E-Geld-Institute
• Krypto-Asset-Dienstleister
• Crowdfunding-Plattformen

Eine fundamentale Neuerung betrifft die direkte Einbeziehung von IKT-Drittparteien. Unternehmen, die Cloud-Computing-Dienste, Outsourcing, Datenanalysen oder verschiedene Softwarelösungen für den Finanzsektor anbieten, stehen seitdem ebenfalls im direkten Fokus der Regulierung. Finanzunternehmen dürfen Verträge nur noch mit Dienstleistern abschließen, die die anspruchsvollen Resilienz- und Sicherheitsstandards der Verordnung lückenlos nachweisen können. DORA-Konformität ist für diese Anbieter geschäftskritisch. Die digitale Lieferkette wird dadurch zu einem transparenten, behördlich überprüfbaren Sicherheitsnetz.

Wie die Aufsichtsbehörden die Einhaltung von DORA in der Praxis prüfen

In Deutschland überwacht die BaFin gemeinsam mit der Deutschen Bundesbank die Umsetzung der europäischen DORA-Vorgaben. Durch die enge Verknüpfung der europäischen Verordnung mit nationalen Prüfungsstrukturen sind die Anforderungen integraler Bestandteil von Sonderprüfungen. Die etablierte deutsche BaFin-Regulierung – vorher primär verankert in BAIT für Banken oder VAIT für Versicherungen – wird durch das europäische Regelwerk im Bereich der digitalen Resilienz harmonisiert, ersetzt und teils verschärft. Bis zum 31.12.2026 wird die Geltung von der BaFin schrittweise aufgehoben.

In der konkreten Prüfungspraxis der BaFin zeigt sich dabei ein klarer Fokus: DORA-Audits werden primär als Governance- und Steuerungsprüfungen durchgeführt, nicht als rein technische IT-Checks. Die Aufsicht prüft modular, insbesondere die IKT-Sicherheitssteuerung auf Leitungsebene sowie die Steuerung von Drittparteienrisiken. Das bedeutet für Institute und Versicherer, dass eine starke technische Absicherung allein nicht ausreicht. Die aktive Risikoüberwachung muss nachweislich direkt durch die Geschäftsführung oder den Vorstand gesteuert und verantwortet werden (vgl. Bafin DORA Richtlinien).

Auswirkungen auch in der Schweiz spürbar

Obwohl die Schweiz kein EU-Mitgliedstaat ist, hat die Verordnung eine enorme Relevanz für den Schweizer Finanzplatz. Schweizer Finanzinstitute fallen unter den extraterritorialen Geltungsbereich der DORA EU-Vorgaben, wenn sie Tochtergesellschaften in der EU betreiben oder als IKT-Drittdienstleister für europäische Banken agieren.

Parallel dazu treibt die Eidgenössische Finanzmarktaufsicht (FINMA) mit dem Rundschreiben 2023/1 „Operationelle Risiken und Resilienz“ eine sehr ähnliche Stoßrichtung voran. Schweizer Unternehmen müssen daher eine duale Resilienz-Strategie verfolgen, um sowohl im Heimmarkt als auch im europäischen Geschäft uneingeschränkt agieren zu können.

Die fünf Kernbereich der DORA-Konformität

Um ein Finanzunternehmen gegen technologische Schocks abzusichern, definiert die Verordnung ein präzises Modell bestehend aus folgenden fünf Säulen:

• IKT-Risikomanagement: Unternehmen müssen robuste, umfassende IKT-Risikomanagementrahmen einrichten. Dies erfordert eine kontinuierliche Überwachung aller genutzten Hard- und Softwaresysteme sowie die Definition klarer Notfall- und Wiederherstellungspläne. Auch das frühzeitige Erkennen von Risiken spielt hier eine zentrale Rolle.
• Meldung von IKT-Vorfällen: Schwerwiegende Cyberangriffe, Hacks und IT-Störungen dürfen nicht mehr ausschließlich intern gelöst werden, sondern müssen innerhalb strenger, engmaschiger Fristen standardisiert an die zuständigen Aufsichtsbehörden gemeldet werden. Es gibt auch die Pflicht, Kunden zu informieren, sofern sie finanziell betroffen sind.
• Prüfung der digitalen Resilienz: Systeme müssen regelmäßigen, praxisnahen Stresstests unterzogen werden. Für große systemrelevante Versicherer sowie Kredit- und Wertpapierinstitute sind fortgeschrittene, bedrohungsorientierte Penetrationstests alle 3 Jahre verpflichtend, um reale Angriffs-Szenarien zu simulieren.
• Management von IKT-Drittparteienrisiken: Das Risiko, das durch die Auslagerung an externe IT-Dienstleister entsteht, muss aktiv gesteuert werden. Dies umfasst die Pflicht zu harmonisierten Mindestinhalten in Dienstleistungsverträgen sowie klare Exit-Strategien, falls ein Partner ausfällt oder unzuverlässig wird.
• Informationsaustausch: Die Verordnung überlässt den Instituten den freiwilligen Austausch von Erkenntnissen und Cyber-Bedrohungsinformationen, um die kollektive Abwehrfähigkeit des gesamten Sektors zu erhöhen. Sie wird von den Regulatoren ausdrücklich empfohlen.
  
  

So schützt die hochsichere Infrastruktur von PXL Vision vor operativen Ausfällen und sichert die DORA-Konformität

Als spezialisierter IKT-Dienstleister für Identitätsüberprüfungen unterstützt PXL Vision regulierte Unternehmen direkt dabei, ihre Identitfizierungsprozesse absolut GwG- und DORA-konform zu gestalten. Da Identifikationsverfahren im digitalen Onboarding zu den kritischen Funktionen gehören, gelten hier die höchsten Sicherheitsmaßstäbe der Verordnung. Ein KYC-Prozess muss auch im Falle von Netzwerkkrisen oder gezielten Cyber-Angriffen voll funktionsfähig und manipulationssicher bleiben.

Die Plattform von PXL Vision basiert auf dem Prinzip des "Security by Design". Durch eine georedundante, hochverfügbare Cloud-Infrastruktur auf zertifizierten schweizer Servern wird das Risiko von Systemausfällen minimiert. Die automatisierte Identitätsverifikation arbeitet völlig autark von fehleranfälligen clientseitigen Systemen.

Kontinuierliche Penetrationstests und ein lückenloses Logging aller Datentransaktionen stellen sicher, dass Versicherer und Finanzinstitute bei Audits die geforderte DORA-Konformität für diesen sensiblen Onboarding-Baustein jederzeit nachweisen können.

Warum präventive IT-Sicherheit über den Geschäftserfolg entscheidet

Die Umsetzung von DORA-Vorgaben darf in der hochregulierten Finanzlandschaft nicht als reiner Compliance-Kostenfaktor missverstanden werden. Digitale Stabilität und der Schutz vor Cyber-Risiken entwickeln sich zunehmend zu einem harten Wettbewerbsvorteil. Kund:innen und Partner:innen im Finanzsektor vertrauen ihre Daten bevorzugt Plattformen an, die eine durchgehende Verfügbarkeit und maximale Datensicherheit garantieren können.

Ein schwerwiegender Compliance-Verstoß durch unzureichend gesicherte IT-Infrastrukturen oder den Ausfall von Drittsystemen zieht nicht nur empfindliche Strafen nach sich. Vielmehr gefährdet er die Marktposition, das Unternehmensimage und damit der Geschäftserfolg nachhaltig. DORA fungiert somit als Katalysator für eine gesunde, zukunftssichere Digitalisierung. Es macht eine krisenfeste Systemarchitektur zur unverzichtbaren Pflicht, um digitale Geschäftsprozesse wie das GwG-Kunden-Onboarding langfristig erfolgreich und rechtssicher zu skalieren, während gleichzeitig eine lückenlose Betrugsprävention gewährleistet bleibt.