DORA ist da: Was das für IT-Zulieferer von Banken und Versicherern bedeutet

DORA und ICT-Anbieter

DORA verpflichtet Finanzunternehmen und nicht automatisch jeden Anbieter unmittelbar. Der Kunde kann daher vertraglich Nachweise zu Sicherheit, Kontinuität, Vorfällen, Unterauftragnehmern und Exit verlangen. Umfang und Tiefe richten sich nach dem Risiko. ISO 27001 ist ein nützlicher Nachweis, aber keine pauschale gesetzliche DORA-Pflicht. TLPT ist keine Routinepflicht jedes Anbieters.

Vertragliche Einordnung

Ein Finanzunternehmen muss seine Abhängigkeiten von ICT-Dritten erfassen und steuern. Bei Diensten für kritische oder wichtige Funktionen können schriftliche Vereinbarungen unter anderem Leistungsbeschreibung, Datenzugang, Standorte, Sicherheitskontrollen, Audit- und Zugangsrechte, Unterstützung bei Vorfällen, Kontinuität sowie Kündigung und Übergang umfassen. Was ein Anbieter liefern muss, ergibt sich aus dieser Vereinbarung und dem konkreten Dienst. Die regulatorische Meldung an Behörden bleibt Aufgabe des Finanzunternehmens.

Direkte Aufsicht durch die europäischen Aufsichtsbehörden betrifft nur als kritisch eingestufte ICT-Drittanbieter. Die Einstufung erfolgt nach dem vorgesehenen Verfahren. Ein gewöhnlicher Softwareanbieter wird nicht allein durch einen Bankkunden zu einem kritischen Anbieter.

Praktische Prüfungen

• Dienst, Daten, Abhängigkeiten und Verantwortliche beim Kunden festhalten
• Unterauftragnehmer, Änderungsmeldungen, Wiederherstellungsnachweise, Auditmitwirkung und Exit-Übergabe dokumentieren
• Incident-Kontakt, nötige Informationen und vertraglichen Meldeweg vereinbaren

Führen Sie zwei sinnvolle Übungen durch. Stellen Sie einen repräsentativen Datensatz aus dem Backup wieder her und messen Sie die tatsächliche Wiederherstellungszeit. Simulieren Sie dann eine Incident-Meldung. Prüfen Sie, ob der Kunde innerhalb der vereinbarten Frist Auswirkung, betroffenen Dienst, Eindämmung und nächsten Updatezeitpunkt erhält. Das unterstützt die Kundenbewertung. Es ersetzt keine Rechtsberatung oder Entscheidung einer Aufsicht.

Lesen Sie den Primärtext in DORA bei EUR-Lex. Für ein Delivery-Briefing siehe Individualsoftware und Technologieberatung.

Dokumentieren Sie Annahmen und offene Punkte.