DORA-Rahmenwerk für das IKT-Risikomanagement: Leitfaden Artikel für Artikel

“Finanzunternehmen verfügen über einen internen Governance- und Kontrollrahmen, der im Einklang mit Artikel 6 Absatz 4 ein wirksames und umsichtiges Management des IKT-Risikos gewährleistet, um ein hohes Niveau digitaler operationaler Resilienz zu erreichen.”

DORA Artikel 5 Absatz 1. Beachten Sie den Querverweis auf Artikel 6 Absatz 4, die Anforderung einer unabhängigen IKT-Risikokontrollfunktion. Sie wird beim Zitieren dieses Satzes regelmäßig weggelassen, und sie ist genau der Teil mit organisatorischen Konsequenzen.

Warum die RTS-Nummerierung zählt

Die Querverweistabelle ist in einem Rahmenwerkdokument meist das, was sich am günstigsten stichprobenartig prüfen lässt, und sie verrät, ob am Text oder an einer Zusammenfassung des Textes gearbeitet wurde. Eine Zuordnung, die Kapitel 4 auf “RTS-Artikel 8 bis 17” verweist, obwohl die Schutzkontrollen tatsächlich über die Artikel 6 bis 21 laufen, ist eine selbst verschuldete Feststellung. Bauen Sie die Tabelle aus dem Text im Amtsblatt und halten Sie sie aktuell, denn diese Standards werden geändert.

Kapitel 1

Governance und Verantwortlichkeiten

Zuordnung: DORA Art. 5, Art. 6(1)-(7) | RTS (EU) 2024/1774 Art. 2, Art. 3

• Pflichten des Leitungsorgans, einzeln zugeordnet zu Artikel 5 Absatz 2, Buchstaben a bis i
• Die IKT-Risikokontrollfunktion und ihre Unabhängigkeit (Art. 6(4))
• Das IKT-Risikotoleranzniveau, festgelegt als Teil der Resilienzstrategie (Art. 6(8)(b))
• Budgetzuweisung (Art. 5(2)(g)) und der Überprüfungszyklus des Rahmenwerks (Art. 6(5))
• Das Datum der förmlichen Genehmigung durch das Leitungsorgan, das RTS Art. 2(2)(b) für die Sicherheitsleitlinie verlangt

Kapitel 2

IKT-Asset-Management und Klassifizierung

Zuordnung: DORA Art. 8(1), 8(4), 8(6) | RTS (EU) 2024/1774 Art. 4-5

• Das Inventar der IKT-Assets und Informationswerte
• Das Klassifizierungsschema und die Kritikalitätszuordnung
• Verknüpfungen und Interdependenzen zwischen Assets, die Art. 8(4) zu kartieren verlangt
• Auslöser für Inventaraktualisierungen, unter anderem bei jeder wesentlichen Änderung (Art. 8(3), 8(6))

Kapitel 3

Methodik der Risikoidentifizierung und -bewertung

Zuordnung: DORA Art. 8(2), 8(3), 8(7) | RTS (EU) 2024/1774 Art. 3

• Fortlaufende Identifizierung von IKT-Risikoquellen, mit mindestens jährlich überprüften Risikoszenarien (Art. 8(2))
• Eine Risikobewertung bei jeder wesentlichen Änderung an Infrastruktur, Prozessen oder Verfahren (Art. 8(3))
• Eine jährliche spezifische IKT-Risikobewertung aller Legacy-IKT-Systeme (Art. 8(7))
• Akzeptanz des Restrisikos, dokumentiert gegen eine namentlich benannte verantwortliche Rolle

Kapitel 4

Schutz- und Präventionskontrollen

Zuordnung: DORA Art. 9 | RTS (EU) 2024/1774 Art. 6-21

• Informationssicherheitsleitlinie (Art. 9(4)(a))
• Netz- und Infrastrukturmanagement, einschließlich der Fähigkeit, Verbindungen unverzüglich zu trennen oder zu segmentieren (Art. 9(4)(b); RTS Art. 13-14)
• Beschränkung des physischen und logischen Zugriffs (Art. 9(4)(c); RTS Art. 18-21)
• Starke Authentifizierung und Schutz kryptografischer Schlüssel (Art. 9(4)(d); RTS Art. 6-7)
• IKT-Change-Management, genehmigt durch die zuständigen Führungsebenen (Art. 9(4)(e); RTS Art. 15-17)
• Patch- und Update-Leitlinien (Art. 9(4)(f); RTS Art. 10)

Kapitel 5

Erkennung und Überwachung

Zuordnung: DORA Art. 10 | RTS (EU) 2024/1774 Art. 12, Art. 23

• Anomalieerkennung mit mehreren Kontrollebenen und definierten Alarmschwellen (Art. 10(2))
• Protokollierung: was protokolliert wird, wie lange es aufbewahrt wird und wie es vor Manipulation geschützt ist (RTS Art. 12)
• Identifizierung möglicher wesentlicher Single Points of Failure (Art. 10(1))
• Regelmäßige Tests der Erkennungsmechanismen selbst (Art. 10(1), Unterabsatz 2)

Kapitel 6

Reaktion und Wiederherstellung

Zuordnung: DORA Art. 11, Art. 12 | RTS (EU) 2024/1774 Art. 22, Art. 24-26

• Die IKT-Geschäftsfortführungsleitlinie und die Reaktions- und Wiederherstellungspläne (Art. 11(1), 11(3))
• Eine Business-Impact-Analyse mit quantitativen und qualitativen Kriterien (Art. 11(5))
• Je Funktion bestimmte Wiederherstellungszeit- und Wiederherstellungspunktziele (Art. 12(6))
• Eine Krisenmanagementfunktion (Art. 11(7)) und Aufzeichnungen der Aktivitäten während einer Störung (Art. 11(8))
• Jährliche Tests, einschließlich Szenarien von Cyberangriffen und der Umschaltung auf redundante Kapazität (Art. 11(6))

Kapitel 7

Testprogramm

Zuordnung: DORA Art. 24-27 | RTS zu TLPT (EU) 2025/1190

• Das Resilienztestprogramm als integraler Bestandteil des Rahmenwerks (Art. 24(1))
• Jährliche Tests aller IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen (Art. 24(6))
• Die in Art. 25(1) aufgeführten Testarten, von Schwachstellenscans bis zu End-to-End- und Penetrationstests
• Bedrohungsgeleitete Penetrationstests für die nach Art. 26 identifizierten Unternehmen, geregelt durch die Delegierte Verordnung (EU) 2025/1190
• Verfahren zur Priorisierung, Klassifizierung und Behebung jedes durch die Tests aufgedeckten Problems, dazu eine interne Validierung, dass sie vollständig behoben sind (Art. 24(5))

Kapitel 8

Einbindung des Drittparteienrisikos

Zuordnung: DORA Art. 28-30 | RTS (EU) 2024/1773, RTS (EU) 2025/532, ITS (EU) 2024/2956

• Die Strategie zum IKT-Drittparteienrisiko, einschließlich der Leitlinie zu IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen (Art. 28(2); RTS (EU) 2024/1773)
• Die vorvertragliche Bewertung und Due Diligence nach Art. 28(4)
• Die vorläufige Bewertung des IKT-Konzentrationsrisikos (Art. 29)
• Unterauftragsvergabe bei Dienstleistungen, die kritische oder wichtige Funktionen unterstützen (Art. 30(2)(a); RTS (EU) 2025/532)
• Ausstiegsstrategien und Übergangspläne (Art. 28(8))
• Das Informationsregister (Art. 28(3); ITS (EU) 2024/2956)

Kapitel 9

Berichterstattung und Kommunikation

Zuordnung: DORA Art. 14, Art. 17-19 | RTS (EU) 2024/1772, RTS (EU) 2025/301

• Krisenkommunikationspläne und die benannte Person für die Öffentlichkeits- und Medienfunktion (Art. 14(1), 14(3))
• Vorfallklassifizierung anhand der Kriterien und Wesentlichkeitsschwellen der Delegierten Verordnung (EU) 2024/1772 (Art. 18)
• Die Meldefristen aus der Delegierten Verordnung (EU) 2025/301, Artikel 5, dargestellt in Abschnitt 4 unten
• Berichterstattung an das Leitungsorgan: mindestens der jährliche Bericht des leitenden IKT-Personals (Art. 13(5)) und die nach Art. 5(2)(i) erforderlichen Berichtswege

Kapitel 10

Überprüfung und kontinuierliche Verbesserung

Zuordnung: DORA Art. 6(5), Art. 13 | RTS (EU) 2024/1774 Art. 27

• Die vier Überprüfungsauslöser aus Art. 6(5): mindestens jährlich, bei schwerwiegenden IKT-bezogenen Vorfällen, nach aufsichtlichen Anweisungen und bei Schlussfolgerungen aus Resilienztests oder Audits
• Nachbetrachtungen von Vorfällen und die vier Wirksamkeitsfragen aus Art. 13(2), Buchstaben a bis d
• Rückführung der Erkenntnisse aus Tests und Vorfällen in den Risikobewertungsprozess (Art. 13(3))
• Leistungskennzahlen und Risikokennzahlen, die Art. 6(8)(c) von der Resilienzstrategie verlangt
• Format und Inhalt des Berichts über die Überprüfung des Rahmenwerks (RTS Art. 27)

Der Grundsatz der Verhältnismäßigkeit, im Wortlaut der Verordnung

“Finanzunternehmen setzen die in Kapitel II festgelegten Vorschriften nach dem Grundsatz der Verhältnismäßigkeit um, wobei sie ihrer Größe und ihrem Gesamtrisikoprofil sowie der Art, dem Umfang und der Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte Rechnung tragen.”

DORA Artikel 4 Absatz 1. Verhältnismäßigkeit kalibriert die Tiefe. Kapitel streicht sie nicht. Artikel 4 Absatz 3 ergänzt, dass die zuständigen Behörden “die Anwendung des Grundsatzes der Verhältnismäßigkeit durch Finanzunternehmen berücksichtigen, wenn sie die Kohärenz des IKT-Risikomanagementrahmens überprüfen”, und zwar auf Grundlage der nach Artikel 6 Absatz 5 eingereichten Berichte. Die Begründung ist damit selbst überprüfbar, schreiben Sie sie also auf. Verhältnismäßigkeit ist das am häufigsten missbrauchte Wort in DORA-Gesprächen. Die Erleichterung ist real, und sie wirkt darauf, wie tief jede Kontrolle geht, während jedes Kapitel weiterhin eine Antwort braucht. Die Begründung zu schreiben kostet einen Nachmittag und beseitigt eine leicht auffindbare Feststellung.

1. Die Verantwortungskette bis zum Vorstand

Artikel 5 Absatz 2 sagt nicht nur “der Vorstand genehmigt das Rahmenwerk” und endet dort. Er listet neun Pflichten auf, Buchstaben a bis i, und jede davon ist eine Nachweisfrage. Buchstabe f ist der IKT-Revisionsplan. Buchstabe g ist das Budget. Buchstabe i ist ein Satz von Berichtswegen auf Unternehmensebene zu Drittdienstleistervereinbarungen, geplanten wesentlichen Änderungen daran und mindestens zu schwerwiegenden IKT-bezogenen Vorfällen. Wenn das Leitungsorgan in Ihrem Rahmenwerk nur einmal vorkommt, nämlich im Freigabeblock, deckt das Dokument Artikel 5 Absatz 2 nicht ab.

2. Vollständigkeit des Inventars

Artikel 8 Absatz 4 verlangt, alle Informations- und IKT-Assets zu identifizieren, “einschließlich derjenigen an entfernten Standorten, Netzressourcen und Hardwareausrüstung”, die als kritisch erachteten zu kartieren und “die Verknüpfungen und Interdependenzen zwischen den verschiedenen Informationswerten und IKT-Assets” abzubilden. Eine Asset-Liste ohne die Abhängigkeitskarte genügt dem Artikel nicht, und die Abhängigkeitskarte ist der Teil, dessen Aufbau Zeit kostet.

3. Der Kreislauf aus Risiko, Kontrolle, Test und Risiko

Artikel 13 Absatz 3 verlangt, dass Erkenntnisse aus Resilienztests, aus realen Vorfällen und aus der Aktivierung von Fortführungsplänen “fortlaufend ordnungsgemäß in den IKT-Risikobewertungsprozess einbezogen werden” und dass diese Feststellungen “die Grundlage für angemessene Überprüfungen einschlägiger Komponenten des IKT-Risikomanagementrahmens bilden”. Ein Rahmenwerk, das Risiken in einem Kapitel und Kontrollen in einem anderen beschreibt, ohne dokumentierten Weg dazwischen, kann das nicht nachweisen.

4. Fortführungstests, die tatsächlich stattgefunden haben

Artikel 11 Absatz 6 Buchstabe a verlangt, dass die Fortführungspläne und die Reaktions- und Wiederherstellungspläne “mindestens jährlich sowie im Falle wesentlicher Änderungen an IKT-Systemen, die kritische oder wichtige Funktionen unterstützen” getestet werden. Für Unternehmen, die keine Kleinstunternehmen sind, müssen die Testpläne Szenarien von Cyberangriffen und Umschaltungen zwischen der primären Infrastruktur und der redundanten Kapazität enthalten.

5. Die Melde-Uhr

Die Meldefristen stehen nicht in DORA Artikel 19, der sie an die technischen Standards verweist. Sie stehen in Artikel 5 der Delegierten Verordnung (EU) 2025/301, und die Erstfrist hat zwei Arme statt einem. Druckt das Rahmenwerk die falsche Uhr ab, erbt das darunterliegende Vorfall-Runbook den Fehler.

6. Konzentrationsrisiko, bevor Sie unterschreiben

Artikel 29 Absatz 1 verlangt, dass Sie bei der Risikoidentifizierung nach Artikel 28 Absatz 4 Buchstabe c auch berücksichtigen, ob der geplante Vertrag zu den in Artikel 29 aufgeführten Situationen führen würde. Damit wird er zu einem vorvertraglichen Kontrollpunkt im Beschaffungsprozess statt zu einer jährlichen Berichtsübung, und das Rahmenwerk muss ihn genau dort verorten.

Die Melde-Uhr, korrekt dargestellt

DORA Artikel 19 Absatz 4 verlangt eine Erstmeldung, eine Zwischenmeldung und eine Abschlussmeldung, legt die Fristen aber nicht fest. Er verweist sie an die technischen Standards. Sie stehen in Artikel 5 Absatz 1 der Delegierten Verordnung (EU) 2025/301:

• Erstmeldung: “so früh wie möglich, in jedem Fall aber innerhalb von vier Stunden nach der Einstufung des IKT-bezogenen Vorfalls als schwerwiegender IKT-bezogener Vorfall und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat”. Zwei Arme. Die Vier-Stunden-Uhr startet mit der Einstufung. Die 24-Stunden-Uhr startet mit der Kenntnisnahme.
• Zwischenmeldung: “spätestens 72 Stunden nach Übermittlung der Erstmeldung”, und sie ist auch dann fällig, wenn sich Status oder Bearbeitung des Vorfalls nicht geändert haben.
• Abschlussmeldung: “spätestens einen Monat nach Übermittlung der Zwischenmeldung oder gegebenenfalls nach der letzten aktualisierten Zwischenmeldung”. Der Monat läuft ab der Zwischenmeldung, nicht ab dem Vorfall.

Artikel 5 Absatz 4 erlaubt, dass eine auf ein Wochenende oder einen Feiertag fallende Frist auf 12 Uhr mittags des nächsten Arbeitstags verschoben wird, und Artikel 5 Absatz 5 nimmt diese Erleichterung für die Erstmeldung und die Zwischenmeldung von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und den nach der Richtlinie (EU) 2022/2555 als wesentlich oder wichtig eingestuften Einrichtungen wieder zurück. Ein Rahmenwerk, das “4h / 72h / 1 Monat” abdruckt und dort endet, ist an drei getrennten Stellen falsch. Die zweiarmige Erstfrist ist gut konstruiert. Sie verhindert, dass die Uhr durch langsame Einstufung gedehnt wird, und lässt zugleich Raum, um zu verstehen, womit man es zu tun hat. Was sie von Ihnen verlangt, ist eine Einstufungsentscheidung, die schnell getroffen und belegt werden kann, und das ist ein Prozessproblem und keine Frage der Formulierung.

Der Test für jeden einzelnen Satz

Fragen Sie sich bei jeder Richtlinienaussage im Rahmenwerk, welches Artefakt belegt, dass sie stattfindet. Lautet die Antwort "keines", gibt es zwei ehrliche Optionen: die Aussage so ändern, dass sie beschreibt, was Sie tatsächlich tun, oder den Prozess aufbauen, bevor das Dokument in den Vorstand geht. Ein Rahmenwerk, das eine Organisation beschreibt, die Sie nicht haben, ist schlechter als ein schlankeres, das die Organisation beschreibt, die Sie haben, denn Artikel 6 Absatz 3 verpflichtet Sie, der zuständigen Behörde auf Verlangen vollständige und aktuelle Informationen über das Rahmenwerk vorzulegen.

Ein Governance-Kalender für den Vorstand lohnt sich

Diese Pflichten sind wiederkehrend, und die Verordnung sagt das auch. Die Formulierung “genehmigen und regelmäßig überprüfen” zieht sich durch Artikel 5 Absatz 2. Die Überprüfung des Rahmenwerks trägt die vier Auslöser aus Artikel 6 Absatz 5. Das leitende IKT-Personal berichtet mindestens jährlich nach Artikel 13 Absatz 5. Ein Anhang, der jede dieser Pflichten in ein datiertes Vorstandsergebnis mit benannter verantwortlicher Person übersetzt, macht aus einer abstrakten Pflicht etwas, das eine Gesellschaftssekretärin nachverfolgen kann, und ein Protokoll, das den Vollzug belegt.

Empfohlene Dokumentenhierarchie

Ebene 1, das IKT-Risikomanagementrahmenwerk. Vom Vorstand freigegeben, strategisch, überprüft nach den Auslösern aus Artikel 6 Absatz 5.

Ebene 2, Leitlinien. Informationssicherheit, IKT-Geschäftsfortführung, Zugriffskontrolle, IKT-Drittparteienrisiko.

Ebene 3, Standards. Kryptografie, Patching, Protokollierung, Netzsegmentierung.

Ebene 4, Verfahren. Vorfall-Runbook, Umschaltverfahren zur Wiederherstellung, Zugriffszertifizierung, Schwachstellenscans.