Kurzdefinition: Artikel 6 DORA verpflichtet Finanzunternehmen, über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen zu verfügen. Er ist Teil des Gesamtrisikomanagements, umfasst Strategien, Leitlinien, Verfahren, Protokolle und Tools zum Schutz aller Informations- und IKT-Assets und wird mindestens einmal jährlich überprüft. Nicht-Kleinstunternehmen müssen eine unabhängige Kontrollfunktion einrichten. [N-DORA-6]
Der Normwortlaut
Art. 6 Abs. 1 DORA bestimmt: „Finanzunternehmen verfügen über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanage … mentrahmen, der Teil ihres Gesamtrisikomanagementsystems ist und es ihnen ermöglicht, IKT-Risiken schnell, effizient und umfassend anzugehen und ein hohes Niveau an digitaler operationaler Resilienz zu gewährleisten.“ [N-DORA-6]
Was muss der IKT-Risikomanagementrahmen leisten?
Umfassenden Schutz. Nach Art. 6 Abs. 2 DORA umfasst der Rahmen mindestens Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokolle und -Tools, um alle Informations- und IKT-Assets — einschließlich Software, Hardware, Server und physischer Infrastruktur — vor Beschädigung und unbefugtem Zugriff oder unbefugter Nutzung zu schützen. [N-DORA-6]
Wie oft ist der Rahmen zu überprüfen?
Mindestens jährlich. Nach Art. 6 Abs. 5 DORA wird der Rahmen mindestens einmal jährlich — bei Kleinstunternehmen regelmäßig — sowie bei schwerwiegenden IKT-bezogenen Vorfällen und nach aufsichtsrechtlichen Anweisungen dokumentiert und überprüft und kontinuierlich verbessert. [N-DORA-6]
Braucht es eine eigene Kontrollfunktion?
Bei Nicht-Kleinstunternehmen ja. Nach Art. 6 Abs. 4 DORA übertragen Finanzunternehmen, die keine Kleinstunternehmen sind, die Zuständigkeit für Management und Überwachung des IKT-Risikos an eine Kontrollfunktion und stellen deren angemessene Unabhängigkeit sicher, um Interessenkonflikte zu vermeiden — nach dem Modell der drei Verteidigungslinien. [N-DORA-6]
Was ist die Strategie für digitale operationale Resilienz?
Der strategische Teil des Rahmens. Nach Art. 6 Abs. 8 DORA umfasst der Rahmen eine Strategie für die digitale operationale Resilienz, die unter anderem die Risikotoleranzschwelle festlegt, klare Informationssicherheitsziele bestimmt und darlegt, mit welchen Mechanismen IKT-Vorfälle erkannt, abgewehrt und ihre Folgen verhindert werden. [N-DORA-6]
Wie verhält sich Art. 6 DORA zur Auslagerung?
Sie ändert nichts an der Verantwortung. Nach Art. 6 Abs. 10 DORA können Finanzunternehmen die Überprüfung der Einhaltung der IKT-Risikomanagementanforderungen auslagern, bleiben dafür aber weiterhin uneingeschränkt verantwortlich. [N-DORA-6] [N-DORA-28]
Häufige Fehlannahmen
- „Ein knappes IT-Sicherheitskonzept genügt.“ Nein. Art. 6 DORA verlangt einen soliden, umfassenden und gut dokumentierten Rahmen als Teil des Gesamtrisikomanagements. [N-DORA-6]
- „Eine einmalige Einrichtung reicht.“ Nein. Der Rahmen ist mindestens jährlich zu überprüfen und kontinuierlich zu verbessern. [N-DORA-6]
- „Jedes Unternehmen braucht eine eigene Kontrollfunktion.“ Nicht jedes. Die Pflicht zur unabhängigen Kontrollfunktion trifft Nicht-Kleinstunternehmen. [N-DORA-6]
- „Der Rahmen betrifft nur Software.“ Nein. Er schützt alle Informations- und IKT-Assets einschließlich Hardware, Server und physischer Infrastruktur. [N-DORA-6]
- „Auslagerung befreit von der Verantwortung.“ Nein. Nach Art. 6 Abs. 10 DORA bleibt das Finanzunternehmen uneingeschränkt verantwortlich. [N-DORA-6]
- „Eine Resilienz-Strategie ist optional.“ Nein. Sie ist nach Art. 6 Abs. 8 DORA Bestandteil des Rahmens. [N-DORA-6]
Was die Geschäftsleitung tun sollte
- Rahmen dokumentieren. Strategien, Leitlinien, Verfahren und Tools nachvollziehbar festhalten.
- Jährlich überprüfen. Die mindestens jährliche Überprüfung und die Anlässe (Vorfälle, Aufsicht) einplanen.
- Kontrollfunktion sichern. Bei Nicht-Kleinstunternehmen die unabhängige IKT-Kontrollfunktion einrichten.
- Strategie festlegen. Risikotoleranz und Informationssicherheitsziele in einer Resilienz-Strategie verankern.
Für die Geschäftsleitung
Der IKT-Risikomanagementrahmen ist das Herzstück von DORA: ein dokumentiertes, jährlich überprüftes System, das in das Gesamtrisikomanagement eingebettet ist. Für die Leitung heißt das, Cyberrisiken nicht isoliert, sondern als Teil der Unternehmenssteuerung zu führen — mit klarer Strategie, unabhängiger Kontrolle und belastbarer Dokumentation.
Quellen
- [N-DORA-6] Art. 6 DORA (Verordnung (EU) 2022/2554, IKT-Risikomanagementrahmen), Abs. 1 bis 10. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
- [N-DORA-28] Art. 28 DORA (IKT-Drittparteienrisiko). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
