DORA ist da: Was das für IT-Zulieferer von Banken und Versicherern bedeutet

Seit Januar 2025 ist der Digital Operational Resilience Act (DORA) vollständig in Kraft. Für Banken, Versicherer und Investmentfirmen bedeutet das neue Pflichten im Bereich der digitalen Resilienz. Doch die Änderungen betreffen nicht nur Finanzinstitute, sie wirken sich direkt auf jeden IT-Zulieferer aus, der den Finanzsektor bedient. Und das ist keine abstrakte Bedrohung in ferner Zukunft, es passiert gerade jetzt.

Was ist DORA und warum sollte es Sie interessieren

DORA ist eine EU-Verordnung, die einen einheitlichen Rahmen für das Management von IKT-Risiken im Finanzsektor einführt. Anders als frühere Richtlinien nimmt DORA ausdrücklich auch Dritte in den Blick (IT-Zulieferer, Cloud-Dienstleister und Softwareentwickler).

Wenn Ihr Unternehmen Software für eine Bank oder einen Versicherer entwickelt, gilt DORA für Sie. Ganz direkt und konkret.

Anforderungen, die in Ausschreibungen auftauchen

1. IKT-Risikomanagement

Finanzinstitute müssen nachweisen, dass ihre Zulieferer Prozesse für das IKT-Risikomanagement eingerichtet haben. In der Praxis enthalten Ausschreibungen inzwischen Fragen wie:

• Haben Sie ein ISMS (Information Security Management System) im Einsatz?
• Wie handhaben Sie das Patch-Management?
• Wie sehen Ihre Prozesse zum Schwachstellenmanagement aus?

2. Test der digitalen Resilienz

DORA verlangt regelmäßige Tests der Resilienz von IT-Systemen. Zulieferer müssen auf Folgendes vorbereitet sein:

• Penetrationstests einschließlich TLPT (Threat-Led Penetration Testing)
• Tests zur Geschäftskontinuität
• Szenarien zur Notfallwiederherstellung

3. Meldung von Vorfällen

Das neue Meldewesen für IKT-Vorfälle bedeutet, dass Zulieferer klare Prozesse haben müssen für:

• Erkennung und Klassifizierung von Vorfällen
• Eskalation und Benachrichtigung des Kunden innerhalb festgelegter Fristen
• Bereitstellung von Ursachenanalysen

4. Management von Drittparteien

Finanzinstitute müssen ein Register aller IKT-Zulieferer führen und diese nach Kritikalität einstufen. Rechnen Sie mit:

• Erweiterten Due-Diligence-Fragebögen
• Zertifizierungsanforderungen (ISO 27001, SOC 2)
• Auditrecht für Ihre Systeme und Prozesse
• Regelmäßigen Bewertungen der Zuliefererleistung

5. Vertragliche Anforderungen

DORA legt genau fest, was Verträge mit IKT-Zulieferern enthalten müssen:

• SLAs mit messbaren KPIs
• Ausstiegsstrategien und Migrationspläne
• Pflichten bei Beendigung der Zusammenarbeit

Was das für slowakische IT-Unternehmen bedeutet

Viele slowakische IT-Unternehmen liefern Software an Finanzinstitute, entweder direkt oder als Subunternehmer größerer Integratoren. DORA legt die Messlatte für alle in der Lieferkette höher.

Unternehmen, die sich frühzeitig auf DORA vorbereiten, werden reibungslosere Verhandlungen mit Banken führen. Wer es ignoriert, erfährt möglicherweise erst aus einer Ausschreibung, dass das eigene Angebot die Bedingungen nicht erfüllt hat.

Wie wir das handhaben

Bei Rise.sk entwickeln wir Software für Kunden aus regulierten Branchen, darunter auch der Finanzsektor. Letztes Jahr haben wir einem Kunden durch ein DORA-Compliance-Audit geholfen. Die größte Herausforderung war nicht technischer Natur. Die Prozessdokumentation existierte nur in den Köpfen der Beteiligten. Seitdem ist Sicherheitsdokumentation bei uns fester Bestandteil jedes Projekts.

Erste Schritte

Wenn Sie IT-Dienstleistungen für den Finanzsektor erbringen und sich auf DORA vorbereiten möchten:

1. Erfassen Sie die Anforderungen und ermitteln Sie, welche Teile von DORA für Sie gelten
2. Führen Sie ein ISMS ein. Falls Sie noch keines haben, beginnen Sie mit ISO 27001
3. Bereiten Sie Dokumentation für Incident Management, BCP und Notfallwiederherstellung vor
4. Testen Sie regelmäßig mit Penetrationstests und Resilienztests

Brauchen Sie Hilfe bei der Entwicklung von Software, die DORA-Anforderungen erfüllt? Kontaktieren Sie uns, wir unterstützen Sie bei Sicherheitsdokumentation und Prozessen.