Warum DORA existiert
Der Finanzsektor läuft auf Technologie, und diese Technologie kommt zunehmend von außerhalb des Unternehmens: Cloud-Plattformen, Softwareanbieter, Datenanbieter und — zuletzt — AI- und Large-Language-Model-(LLM)-Dienste. Vor DORA waren die IKT-Risikoanforderungen ungleichmäßig über EU-Richtlinien, nationale Vorschriften und aufsichtliche Leitlinien verteilt und ließen Lücken zwischen den Mitgliedstaaten und zwischen Arten von Instituten.
DORA ersetzt diesen Flickenteppich durch eine unmittelbar geltende Verordnung. Das Ziel ist einfach: Eine Finanzeinheit sollte in der Lage sein, jeder IKT-bezogenen Störung standzuhalten, auf sie zu reagieren und sich von ihr zu erholen — sei es ein Cyberangriff, ein Ausfall eines Anbieters oder ein Versagen in einem System, von dem sie abhängt, das sie aber nicht besitzt. Da es sich um eine Verordnung und nicht um eine Richtlinie handelt, gilt DORA EU-weit einheitlich, ohne dass eine separate Umsetzung in jedes nationale Rechtssystem erforderlich ist.
Die fünf Säulen von DORA
DORA wird üblicherweise anhand von fünf Pflichtbereichen beschrieben. Zusammen decken sie den gesamten Lebenszyklus des IKT-Risikos ab — vom täglichen Management über die Behandlung von Vorfällen und das Testen bis hin zur Governance externer Anbieter und dem Austausch von Bedrohungsinformationen.
IKT-Risikomanagement
Finanzeinheiten müssen einen umfassenden IKT-Risikomanagement-Rahmen unterhalten, der vom Leitungsorgan verantwortet und überwacht wird. Dazu gehören das Identifizieren und Klassifizieren von IKT-Assets und Abhängigkeiten, ihr Schutz, das Erkennen von Anomalien sowie die Aufrechterhaltung von Geschäftskontinuität und Wiederherstellungsfähigkeiten. Die Governance ist ausdrücklich: Die Rechenschaft liegt bei der Leitung, nicht allein bei der Technologiefunktion.
Meldung IKT-bezogener Vorfälle
Einheiten müssen schwerwiegende IKT-bezogene Vorfälle erkennen, managen, klassifizieren und ihren zuständigen Behörden melden, gemäß harmonisierten Kriterien und Fristen. Ziel ist ein konsistenter, vergleichbarer Blick auf Vorfälle über den gesamten Sektor hinweg, damit Aufseher systemische Muster statt isolierter Meldungen erkennen können.
Testen der digitalen operationalen Resilienz
Einheiten müssen ihre Resilienz regelmäßig mit einem risikobasierten Programm testen — von einfachen Schwachstellenbewertungen und Szenariotests bis hin zu fortgeschrittenen bedrohungsgeleiteten Penetrationstests für die bedeutendsten Institute. Das Testen soll Schwachstellen aufdecken, bevor es ein Angreifer oder ein Ausfall tut.
Management des IKT-Drittparteienrisikos
DORA misst den Risiken, die entstehen, wenn kritische Funktionen von externen Anbietern abhängen, besonderes Gewicht bei. Einheiten müssen das IKT-Drittparteienrisiko über den gesamten Vertragslebenszyklus managen, ein Register der vertraglichen Vereinbarungen führen und sicherstellen, dass Verträge definierte Rechte zu Sicherheit, Audit, Überwachung und Ausstieg enthalten. Darüber hinaus richtet DORA einen Überwachungsmechanismus auf EU-Ebene für IKT-Drittparteien ein, die als kritisch eingestuft werden, sodass die systemisch bedeutendsten Anbieter direkt beaufsichtigt werden.
Austausch von Informationen und Erkenntnissen
DORA ermutigt Finanzeinheiten, Cyber-Bedrohungsinformationen und -Erkenntnisse auf freiwilliger Basis innerhalb vertrauenswürdiger Gemeinschaften miteinander zu teilen, um die kollektive Verteidigung über den gesamten Sektor hinweg zu stärken.
DORAs Säulen auf einen Blick
| Säule | Kernpflicht | Warum sie wichtig ist |
|---|---|---|
| IKT-Risikomanagement | Vom Leitungsorgan verantworteter Rahmen zum Identifizieren, Schützen, Erkennen, Wiederherstellen | Macht Resilienz zu einer Governance-Verantwortung, nicht nur zur IT-Aufgabe |
| Vorfallmeldung | Schwerwiegende IKT-Vorfälle klassifizieren und an Behörden melden | Gibt Aufsehern einen vergleichbaren, sektorweiten Blick auf Störungen |
| Resilienztests | Risikobasiertes Testen bis hin zu bedrohungsgeleiteten Penetrationstests | Findet Schwachstellen, bevor Angreifer oder Ausfälle es tun |
| Drittparteienrisikomanagement | IKT-Anbieter steuern; Register der Vereinbarungen; Überwachung kritischer Anbieter | Schließt die Lücke, wo Unternehmen von Systemen abhängen, die sie nicht besitzen |
| Informationsaustausch | Freiwilliger Austausch von Cyber-Bedrohungserkenntnissen | Stärkt die kollektive Verteidigung über den Finanzsektor hinweg |
Wo AI in DORA hineinpasst
DORA hebt künstliche Intelligenz nicht gesondert hervor, aber seine Definitionen sind breit genug, dass AI-Tools eindeutig in den Geltungsbereich fallen. Ein LLM-Assistent, ein AI-Coding-Tool oder eine Plattform für autonome Agenten ist ein IKT-Asset, das die Dienste der Einheit unterstützt. Wenn diese Fähigkeit von einem externen Anbieter bereitgestellt wird — was bei Frontier-Modellen fast immer der Fall ist — ist sie zugleich ein IKT-Drittparteiendienst.
Diese doppelte Einordnung ist von Bedeutung. Sie bedeutet, dass die AI-Nutzung denselben Pflichten unterliegt wie jede andere Technologie, von der das Unternehmen abhängt:
- Risikomanagement — AI-Tools und die Daten, die sie berühren, müssen inventarisiert, nach Kritikalität klassifiziert und in den IKT-Risikorahmen der Einheit eingebracht werden, statt informell außerhalb davon eingeführt zu werden.
- Drittparteienüberwachung — wo ein AI-Dienst eine wichtige oder kritische Funktion unterstützt, fällt er unter die Drittparteienrisiko-Anforderungen von DORA, einschließlich vertraglicher Rechte und Aufnahme in das Register der Vereinbarungen.
- Vorfallbehandlung — Störungen, Ausfälle oder schädliche Ausgaben eines AI-Systems können IKT-bezogene Vorfälle darstellen, die erkannt, klassifiziert und gegebenenfalls gemeldet werden müssen.
- Prüfbarkeit — Aufseher und interne Kontrollfunktionen benötigen Nachweise darüber, welche AI-Systeme von wem genutzt wurden und welche Aktionen sie im Auftrag des Unternehmens ausgeführt haben.
Die Herausforderung für die meisten Finanzeinheiten ist die Sichtbarkeit. AI-Tools gelangen über Browser, Desktop-Anwendungen und Agenten-Integrationen in die Organisation — oft schneller, als die Governance Schritt halten kann. Ohne eine Kontrollebene kann ein Unternehmen grundlegende DORA-relevante Fragen nicht beantworten: welche AI-Dienste im Einsatz sind, welche Daten sie erhalten und was autonome Agenten tun, sobald sie an interne Systeme angebunden sind.
Fragen, die DORA zur AI-Nutzung aufwirft
- Welche AI-Tools und -Dienste sind im Einsatz, und wer stellt sie bereit? — Ein Inventar, das die AI-Nutzung auf IKT-Assets und Drittparteienanbieter abbildet.
- Welche Daten werden an externe AI-Modelle gesendet? — Sichtbarkeit über Prompts und Tool-Call-Argumente, bevor sie die Organisation verlassen.
- Worauf hat ein autonomer Agent zugegriffen oder was hat er verändert? — Eine Aufzeichnung von Agenten-Aktionen gegenüber internen Systemen und externen APIs.
- Können wir auf Anforderung Nachweise erbringen? — Ein manipulationssicherer Audit-Trail, der einer aufsichtlichen und internen Prüfung standhält.
