Was ist digitale operationale Resilienz?
Digitale operationale Resilienz ist die Fähigkeit eines Finanzunternehmens, operative Integrität und Betriebszuverlässigkeit aufzubauen, zu sichern und zu prüfen. Direkt oder über IKT-Drittdienste sichert es die nötigen IKT-Fähigkeiten für Systemsicherheit, Kontinuität und Qualität der Finanzdienste auch bei Störungen.
Der Normwortlaut
„digitale operationale Resilienz“ die Fähigkeit eines Finanzunternehmens, seine operative Integrität und Betriebszuverlässigkeit aufzubauen, zu gewährleisten und zu überprüfen, indem es entweder direkt oder indirekt durch Nutzung der von IKT-Drittdienstleistern bereitgestellten Dienste das gesamte Spektrum an IKT-bezogenen Fähigkeiten sicherstellt, die erforderlich sind, um die Sicherheit der Netzwerk- und Informationssysteme zu gewährleisten, die von einem Finanzunternehmen genutzt werden und die kontinuierliche Erbringung von Finanzdienstleistungen und deren Qualität, einschließlich bei Störungen, unterstützen;
Normquelle: Artikel 3 Nummer 1 der Verordnung (EU) 2022/2554 (DORA).
Auslegung: Die Definition beschreibt eine unternehmensbezogene Fähigkeit. Sie enthält keinen eigenständigen Auslöser und begründet für sich allein keine weitergehende Einzelpflicht. Direkte Fähigkeiten und die indirekte Sicherstellung über Dienste von IKT-Drittdienstleistern sind gleichermaßen erfasst.
Für wen ist der Begriff relevant?
Die Legaldefinition bezieht sich auf Finanzunternehmen. DORA gilt für die in Artikel 2 Absatz 1 genannten Unternehmen: Die Kategorien der Buchstaben a bis t bilden zusammen die „Finanzunternehmen“; IKT-Drittdienstleister nach Buchstabe u sind gesondert erfasst und gehören nicht zu dieser Begriffsgruppe. Voraussetzung ist jeweils die Zuordnung zum Katalog des Artikels 2 Absatz 1, sofern keine Ausnahme nach Absatz 3 oder eine vom betreffenden Mitgliedstaat genutzte Ausnahme nach Absatz 4 greift. Finanzunternehmen setzen die in Kapitel II festgelegten Vorschriften nach Artikel 4 im Einklang mit dem Grundsatz der Verhältnismäßigkeit um; maßgeblich sind ihre Größe, ihr Gesamtrisikoprofil sowie Art, Umfang und Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte.
Wie wird digitale operationale Resilienz konkretisiert?
Für ein Finanzunternehmen im regulären DORA-Regime verlangen Artikel 6 Absätze 1 und 2 einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen als Teil des Gesamtrisikomanagementsystems. Er muss ein schnelles, effizientes und umfassendes Vorgehen gegen IKT-Risiken ermöglichen und die in Artikel 6 Absatz 2 genannten Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokolle und -Tools umfassen. Nach Artikel 6 Absatz 8 gehört dazu eine Strategie für digitale operationale Resilienz, einschließlich der Festlegung der IKT-Risikotoleranz im Einklang mit der Risikobereitschaft. Für die Kategorien des Artikels 16 Absatz 1 gelten die Artikel 5 bis 15 dagegen nicht; sie unterliegen dem dort geregelten vereinfachten Rahmen.
Welche Ausnahmen, Grenzen und Spezialregime gelten?
Die Legaldefinition in Artikel 3 Nummer 1 enthält selbst keine Ausnahme. Den Geltungsbereich begrenzen jedoch sämtliche Bereichsausnahmen des Artikels 2 Absatz 3 sowie die begrenzte Option des Artikels 2 Absatz 4: Mitgliedstaaten können nur die dort bezeichneten, in ihrem Hoheitsgebiet befindlichen Stellen ausnehmen. Artikel 16 Absatz 1 ist keine vollständige Befreiung; die Artikel 5 bis 15 gelten für seine Kategorien zwar nicht, stattdessen bleibt aber der vereinfachte, solide und dokumentierte IKT-Risikomanagementrahmen mit den dort genannten Mindestmaßnahmen verbindlich. Verhältnismäßigkeit ist eine zusätzliche Grenze, keine Ausnahme vom Begriff. Finanzunternehmen mit Ausnahme von Kleinstunternehmen können die Aufgaben zur Überprüfung der Einhaltung der IKT-Risikomanagementanforderungen im Einklang mit dem sektorspezifischen Unionsrecht und nationalen Recht an konzerninterne oder externe Unternehmen auslagern; für diese Überprüfung bleiben sie in vollem Umfang verantwortlich.
Welche Fristen oder Schwellenwerte gelten?
Für den Begriff selbst gibt es weder eine allgemeine Umsetzungsfrist noch eine numerische Resilienzschwelle. DORA gilt seit dem 17. Januar 2025. Soweit Artikel 6 anwendbar ist, muss der IKT-Risikomanagementrahmen nach Absatz 5 mindestens jährlich dokumentiert und überprüft werden; für Kleinstunternehmen gilt statt der Jahresfrequenz „regelmäßig“. Zusätzliche Überprüfungen werden durch schwerwiegende IKT-bezogene Vorfälle sowie durch aufsichtsrechtliche Anweisungen oder Feststellungen aus einschlägigen Tests oder Auditverfahren ausgelöst. Diese Jahresregel darf nicht auf die Kategorien des vereinfachten Rahmens nach Artikel 16 Absatz 1 übertragen werden.
Wie ist der Begriff technisch abzugrenzen?
Technische Einordnung: Digitale operationale Resilienz ist kein einzelnes Sicherheitsprodukt und keine bloße Präventionsmaßnahme. Sie verbindet Systemsicherheit mit der kontinuierlichen Erbringung und Qualität von Finanzdienstleistungen einschließlich bei Störungen. Auch über IKT-Drittdienste vermittelte Fähigkeiten gehören dazu; die Definition bleibt dennoch auf die Fähigkeit des Finanzunternehmens bezogen.
Behördenpraxis: Für diese Begriffsbestimmung wird keine eigenständige Behördenpraxis als zusätzliche Anspruchsgrundlage herangezogen. Maßgeblich ist der zitierte Verordnungstext.
Häufige Fehlannahmen
- „Der Begriff bedeutet allgemeine Cyberresilienz.“ Nein. DORA bindet ihn an die Fähigkeit eines Finanzunternehmens und an dessen genutzte Systeme; diese unterstützen die kontinuierliche Erbringung von Finanzdienstleistungen und deren Qualität, einschließlich bei Störungen.
- „Resilienz bedeutet störungsfreien Betrieb.“ Nein. Die Legaldefinition schließt ausdrücklich die Unterstützung der Leistungserbringung und ihrer Qualität bei Störungen ein.
- „IKT-Drittdienstleister übernehmen die Resilienz des Finanzunternehmens.“ Nein. Ihre Dienste können Fähigkeiten indirekt bereitstellen; definiert wird weiterhin eine Fähigkeit des Finanzunternehmens.
- „Der vereinfachte Rahmen ist eine vollständige DORA-Befreiung.“ Nein. Für die Kategorien des Artikels 16 Absatz 1 entfallen die Artikel 5 bis 15, nicht aber der dort vorgeschriebene vereinfachte Rahmen mit seinen Mindestmaßnahmen.
- „Jedes Unternehmen muss den Rahmen jährlich prüfen.“ Nein. Die Jahresregel des Artikels 6 Absatz 5 gilt nur, soweit Artikel 6 anwendbar ist; für Kleinstunternehmen lautet die Frequenz „regelmäßig“, und Artikel 16 folgt einem anderen Regime.
Was die Geschäftsleitung tun sollte
Normpflicht im regulären Rahmen: Das Leitungsorgan muss die Vorkehrungen des IKT-Risikomanagementrahmens definieren, genehmigen und überwachen und deren Umsetzung verantworten. Es trägt die Verantwortung für die Strategie einschließlich der angemessenen IKT-Risikotoleranz, muss geeignete Mittel bereitstellen und die ausdrücklich erfassten Budgetmittel regelmäßig überprüfen. Die Mitglieder des Leitungsorgans müssen ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand halten, um IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit verstehen und bewerten zu können, unter anderem durch regelmäßige spezielle Schulungen, die den zu managenden IKT-Risiken angemessen sind. Vor Anwendung dieser Pflichten ist zu prüfen, ob stattdessen Artikel 16 Absatz 1 gilt.
Praxisempfehlung:
- Den persönlichen und sachlichen DORA-Anwendungsbereich einschließlich möglicher Ausnahmen und des Artikel-16-Regimes dokumentiert feststellen.
- Die Resilienzstrategie, IKT-Risikotoleranz und Verantwortlichkeiten förmlich beschließen und nachvollziehbar mit dem Gesamtrisikomanagement verbinden.
- Ausreichende personelle und finanzielle Mittel festlegen sowie die regelmäßige Budgetprüfung protokollieren.
- Den anwendbaren Prüfzyklus und die ereignisbezogenen Überprüfungsauslöser in kontrollierbare Verfahren überführen.
- Regelmäßige spezielle Schulungen des Leitungsorgans planen, die den zu managenden IKT-Risiken angemessen sind, und Teilnahme, Inhalte sowie Risikobezug nachweisen.
Für die Geschäftsleitung
Zuerst ist belastbar zu entscheiden, ob das Unternehmen unter DORA fällt, eine Bereichsausnahme greift oder der vereinfachte Rahmen des Artikels 16 gilt. Danach sind Strategie, Risikotoleranz, Ressourcen und Überprüfungsregime passend zum einschlägigen Rechtsrahmen festzulegen. Beschlüsse, Budgetprüfungen, Schulungen und anlassbezogene Überprüfungen sollten so dokumentiert werden, dass Reichweite, Entscheidung und Umsetzung nachvollziehbar bleiben.
Quellen
- Verordnung (EU) 2022/2554 (DORA), amtlicher Amtsblatttext beim Amt für Veröffentlichungen der Europäischen Union – insbesondere Artikel 1 bis 6, Artikel 16 und Artikel 64.
