Kurzdefinition: Artikel 5 DORA weist die Verantwortung für die IKT-Governance ausdrücklich dem Leitungsorgan des Finanzunternehmens zu. Es definiert, genehmigt, überwacht und verantwortet die Umsetzung des IKT-Risikomanagementrahmens und trägt die letztendliche Verantwortung für das Management der IKT-Risiken. Zugleich müssen die Mitglieder des Leitungsorgans ihre Kenntnisse — auch durch regelmäßige Schulungen — auf dem neuesten Stand halten. Cyberresilienz ist damit Chefsache. [N-DORA-5]
Der Normwortlaut
Art. 5 Abs. 2 DORA bestimmt: „Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen nach Artikel 6 Absatz 1.“ Nach Buchstabe a trägt „das Leitungsorgan … die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens“. [N-DORA-5]
Wer trägt die Verantwortung für die IKT-Sicherheit?
Das Leitungsorgan. Art. 5 Abs. 2 Buchstabe a DORA weist ihm die letztendliche Verantwortung für das Management der IKT-Risiken zu. Diese Verantwortung lässt sich operativ delegieren, in ihrer Letztverantwortung aber nicht abgeben. [N-DORA-5]
Was muss das Leitungsorgan konkret tun?
Es steuert den gesamten Rahmen. Nach Art. 5 Abs. 2 DORA definiert, genehmigt und überwacht es die Vorkehrungen des IKT-Risikomanagementrahmens, führt Leitlinien zu Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten ein, legt Aufgaben und Verantwortlichkeiten fest, genehmigt die Geschäftsfortführungs- und Wiederherstellungspläne und weist angemessene Budgetmittel zu. [N-DORA-5]
Müssen sich die Mitglieder des Leitungsorgans fortbilden?
Ja. Nach Art. 5 Abs. 4 DORA halten die Mitglieder des Leitungsorgans ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand — unter anderem durch regelmäßige spezielle Schulungen —, um die IKT-Risiken und deren Auswirkungen zu verstehen und zu bewerten. Die Schulungspflicht trifft die Leitungsebene selbst. [N-DORA-5]
Was gilt für die Steuerung von IKT-Drittdienstleistern?
Sie ist gesondert einzurichten. Nach Art. 5 Abs. 3 DORA richten Finanzunternehmen, die keine Kleinstunternehmen sind, eine Funktion zur Überwachung der Vereinbarungen mit IKT-Drittdienstleistern ein oder benennen ein Mitglied der Geschäftsleitung, das für die Überwachung der Risikoexposition verantwortlich ist. [N-DORA-5]
Wie hängt Art. 5 DORA mit dem Risikomanagementrahmen zusammen?
Als seine Governance-Klammer. Art. 5 DORA regelt, wer den in Art. 6 DORA beschriebenen IKT-Risikomanagementrahmen verantwortet und steuert. Der Rahmen selbst (Art. 6) beschreibt das Was, Art. 5 das Wer und Wie der Steuerung. [N-DORA-5] [N-DORA-6]
Häufige Fehlannahmen
- „IKT-Sicherheit ist Sache der IT-Abteilung.“ Nein. Art. 5 DORA weist die letztendliche Verantwortung dem Leitungsorgan zu. [N-DORA-5]
- „Das Leitungsorgan muss den Rahmen nur einmal genehmigen.“ Nein. Es definiert, genehmigt und überwacht ihn fortlaufend. [N-DORA-5]
- „Für die Leitung gilt keine Schulungspflicht.“ Doch. Nach Art. 5 Abs. 4 DORA müssen die Mitglieder ihre Kenntnisse durch Schulungen aktuell halten. [N-DORA-5]
- „Die Auslagerung an einen Dienstleister verlagert die Verantwortung.“ Nein. Die Letztverantwortung bleibt beim Leitungsorgan. [N-DORA-5]
- „Die Steuerung der IKT-Drittdienstleister ist beliebig organisierbar.“ Nicht ganz. Nicht-Kleinstunternehmen müssen dafür eine Funktion einrichten oder ein Mitglied der Geschäftsleitung benennen. [N-DORA-5]
- „Governance nach Art. 5 und der Rahmen nach Art. 6 sind dasselbe.“ Nein. Art. 5 regelt die Verantwortung und Steuerung, Art. 6 den Inhalt des Rahmens. [N-DORA-5] [N-DORA-6]
Was die Geschäftsleitung tun sollte
- Verantwortung annehmen. Die IKT-Governance als Leitungsaufgabe verankern, nicht an die IT delegieren.
- Rahmen steuern. Leitlinien, Pläne und Budgets nach Art. 5 Abs. 2 DORA genehmigen und regelmäßig überprüfen.
- Sich schulen. Regelmäßige Schulungen der Leitungsebene sicherstellen (Art. 5 Abs. 4 DORA).
- Drittdienstleister steuern. Eine Überwachungsfunktion einrichten oder ein verantwortliches Leitungsmitglied benennen.
Für die Geschäftsleitung
DORA macht die Cyber-Resilienz zur ausdrücklichen Chefsache: Das Leitungsorgan trägt die letztendliche Verantwortung, steuert den Rahmen und muss sich sogar selbst fortbilden. Wer diese Verantwortung ernst nimmt, dokumentiert Genehmigungen, Überwachung und Schulungen — das ist zugleich der beste Nachweis gegenüber der Aufsicht.
Quellen
- [N-DORA-5] Art. 5 DORA (Verordnung (EU) 2022/2554, Governance und Organisation), Abs. 1 bis 4. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
- [N-DORA-6] Art. 6 DORA (IKT-Risikomanagementrahmen). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
