Wie bauen Finanzunternehmen ein DORA-konformes IKT-Risikomanagement-Rahmenwerk auf?

Die Verordnung (EU) 2022/2554 (Digital Operational Resilience Act, DORA) gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten. Kapitel II der Verordnung (Art. 5 bis 16) regelt das IKT-Risikomanagement und bildet das inhaltliche Fundament der digitalen operationalen Resilienz. Dieser Beitrag ordnet die einzelnen Bausteine ein und beschreibt einen strukturierten Aufbau des Rahmenwerks. IKT steht dabei für Informations- und Kommunikationstechnologie.

Geltungsbereich und rechtlicher Rahmen

DORA richtet sich an einen breiten Kreis von Finanzunternehmen, darunter Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen, Versicherungs- und Rückversicherungsunternehmen, Verwalter alternativer Investmentfonds sowie weitere in Art. 2 der Verordnung aufgezählte Akteure. Die Verordnung gilt seit dem 17. Januar 2025 unmittelbar; eine nationale Umsetzung in deutsches Recht ist für die unmittelbar geltenden Pflichten nicht erforderlich. Den vollständigen Verordnungstext stellt EUR-Lex bereit (Verordnung (EU) 2022/2554).

Nach Auffassung der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) umfasst der IKT-Risikomanagementrahmen von DORA die Anforderungen aus Kapitel II (Art. 5 bis 15) sowie ergänzend die Art. 24 bis 27 (Testen der digitalen operationalen Resilienz) und die Art. 28 bis 30 (Management des IKT-Drittparteienrisikos). Diese Einordnung ist auf den Informationsseiten der BaFin dokumentiert (BaFin-FAQ zum IKT-Risikomanagement). Der vorliegende Beitrag konzentriert sich auf den Kern des Rahmenwerks nach Art. 5 bis 16.

Technische Konkretisierungen ergeben sich aus den technischen Regulierungsstandards (RTS). Die Delegierte Verordnung (EU) 2024/1774 vom 13. März 2024 präzisiert die Instrumente, Methoden, Prozesse und Leitlinien für das IKT-Risikomanagement sowie für den vereinfachten Rahmen nach Art. 16. Sie ist im Amtsblatt veröffentlicht und gilt unmittelbar (Delegierte Verordnung (EU) 2024/1774). Diese RTS ist der zentrale Detaillierungsrechtsakt für den Rahmenaufbau. Der Adoptionsstand weiterer RTS und ITS aus dem DORA-Paket ändert sich fortlaufend; maßgeblich ist jeweils der im Amtsblatt veröffentlichte Stand zum Zeitpunkt der Umsetzung.

Governance: Verantwortung des Leitungsorgans nach Art. 5

Art. 5 DORA weist die Verantwortung für das IKT-Risikomanagement dem Leitungsorgan zu. Das Leitungsorgan definiert, genehmigt, überwacht und verantwortet die Umsetzung sämtlicher Vorkehrungen des IKT-Risikomanagementrahmens. Diese Letztverantwortung ist nicht delegierbar; operative Aufgaben können zugewiesen werden, die übergeordnete Steuerungs- und Aufsichtsfunktion verbleibt jedoch beim Leitungsorgan.

Konkret zählt Art. 5 unter anderem folgende Pflichten des Leitungsorgans auf: Festlegung von Leit- und Richtlinien zur Aufrechterhaltung hoher Standards der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten; klare Zuweisung von Rollen und Verantwortlichkeiten für IKT-Funktionen; Festlegung der Risikotoleranzschwelle für IKT-Risiken; Genehmigung, Überwachung und regelmäßige Überprüfung der IKT-Geschäftsfortführungsleitlinie sowie der IKT-Reaktions- und Wiederherstellungspläne; sowie Genehmigung und Überprüfung der internen Revisionspläne im IKT-Bereich.

Die Mitglieder des Leitungsorgans müssen ihre Kenntnisse und Fähigkeiten zum Verständnis und zur Bewertung von IKT-Risiken aktiv auf dem neuesten Stand halten, auch durch regelmäßige spezifische Schulungen (Art. 5 Abs. 4). Zudem weist das Leitungsorgan ein angemessenes Budget für die digitale operationale Resilienz zu und überprüft es regelmäßig, einschließlich Sensibilisierungsprogrammen für IKT-Sicherheit und Schulungen für alle Beschäftigten (Art. 5 Abs. 2 lit. g).

Der IKT-Risikomanagementrahmen nach Art. 6

Art. 6 DORA verlangt, dass Finanzunternehmen über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen verfügen, der Teil des Gesamtrisikomanagementsystems ist. Der Rahmen muss es ermöglichen, IKT-Risiken schnell, effizient und umfassend zu adressieren und ein hohes Niveau digitaler operationaler Resilienz zu gewährleisten.

Der Rahmen umfasst nach Art. 6 mindestens Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokolle und -Tools, die erforderlich sind, um alle Informations- und IKT-Assets angemessen zu schützen. Dazu zählen Software, Hardware und Server ebenso wie relevante physische Komponenten und Infrastrukturen, etwa Räumlichkeiten, Rechenzentren und ausgewiesene sensible Bereiche.

Der Rahmen wird mindestens einmal jährlich dokumentiert und überprüft. Bei Kleinstunternehmen erfolgt die Überprüfung regelmäßig. Zusätzliche Überprüfungsanlässe sind schwerwiegende IKT-bezogene Vorfälle sowie aufsichtsrechtliche Anweisungen oder Feststellungen aus Tests der digitalen operationalen Resilienz oder aus Auditverfahren. Außer bei Kleinstunternehmen unterliegt der Rahmen nach Art. 6 Abs. 6 regelmäßig der internen Revision im Einklang mit dem Prüfungsplan des Unternehmens. Die Prüfer müssen ausreichendes Wissen, Fähigkeiten und Fachkenntnisse zu IKT-Risiken sowie eine angemessene Unabhängigkeit aufweisen; Häufigkeit und Schwerpunkt der IKT-Prüfungen richten sich nach dem IKT-Risiko des Unternehmens.

Die funktionalen Komponenten des Rahmenwerks

Identifikation (Art. 8)

Als Teil des Rahmens identifizieren, klassifizieren und dokumentieren Finanzunternehmen alle IKT-gestützten Geschäftsfunktionen, Rollen und Verantwortlichkeiten, die Informations- und IKT-Assets, die diese Funktionen unterstützen, sowie deren Konfigurationen und Verknüpfungen. Die Identifikation umfasst auch die Quellen von IKT-Risiken sowie Abhängigkeiten zu IKT-Drittdienstleistern. Die Angemessenheit dieser Klassifizierung und der zugehörigen Dokumentation wird bei Bedarf, mindestens jedoch jährlich überprüft (Art. 8 Abs. 1); die Inventare werden regelmäßig und bei jeder größeren Änderung aktualisiert (Art. 8 Abs. 6). Sie bildet die Grundlage, auf der alle weiteren Komponenten aufsetzen.

Schutz und Prävention (Art. 9)

Art. 9 verlangt die fortlaufende Überwachung und Kontrolle von Sicherheit und Funktionsfähigkeit der IKT-Systeme sowie die Minimierung der Auswirkungen von IKT-Risiken durch angemessene Instrumente, Leit- und Richtlinien sowie Verfahren. Dazu zählen unter anderem Maßnahmen zur Gewährleistung von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten, eine IKT-Sicherheitsrichtlinie, Mechanismen zur Identitäts- und Zugriffsverwaltung sowie Vorkehrungen für ein sicheres Änderungsmanagement. Die technischen Detailanforderungen hierzu präzisiert die Delegierte Verordnung (EU) 2024/1774.

Erkennung (Art. 10)

Finanzunternehmen verfügen über Mechanismen, um anomale Aktivitäten umgehend zu erkennen, einschließlich Problemen bei der Netzwerkleistung und IKT-bezogenen Vorfällen, sowie um potenzielle wesentliche Single Points of Failure zu identifizieren (Art. 10 Abs. 1). Die Erkennungsmechanismen ermöglichen mehrere Kontrollebenen und definieren Alarmschwellen und Kriterien, die Prozesse zur Reaktion auf Vorfälle auslösen, einschließlich automatischer Alarme an das zuständige Personal (Art. 10 Abs. 2). Sie sind regelmäßig nach Art. 25 zu testen.

Reaktion, Wiederherstellung und Backup (Art. 11 und 12)

Art. 11 verlangt eine umfassende IKT-Geschäftsfortführungsleitlinie sowie Reaktions- und Wiederherstellungspläne, die regelmäßig getestet werden. Ziel ist es, den Betrieb rasch und wirksam fortzuführen und Schäden zu begrenzen. Art. 12 ergänzt dies um Vorgaben zu Backup, Wiederherstellung und Wiedereinspielung: Finanzunternehmen entwickeln Backup-Leitlinien und -Verfahren sowie Wiederherstellungs- und Wiedereinspielungsverfahren. Bei der Wiederherstellung nach einem Vorfall sind die nötigen Prüfungen und Abgleiche vorzunehmen, um die Datenintegrität zu sichern (Art. 12 Abs. 7). Finanzunternehmen, die keine Kleinstunternehmen sind, müssen nach Art. 12 Abs. 4 redundante IKT-Kapazitäten mit angemessenen Ressourcen, Fähigkeiten und Funktionen vorhalten; Kleinstunternehmen bewerten den Bedarf anhand ihres Risikoprofils. Backup- sowie Wiederherstellungsverfahren sind regelmäßig zu testen (Art. 12 Abs. 2); wer Backups mit eigenen Systemen wiederherstellt, muss dafür vom Quellsystem physisch und logisch getrennte IKT-Systeme nutzen (Art. 12 Abs. 3).

Lernen und Kommunikation (Art. 13 und 14)

Art. 13 verpflichtet zu Lernprozessen: Erkenntnisse aus Tests, realen Vorfällen, Schwachstellenanalysen und Bedrohungsinformationen werden gesammelt, ausgewertet und in die kontinuierliche Verbesserung des Rahmens eingespeist. Personal wird regelmäßig in IKT-Sicherheit und digitaler operationaler Resilienz geschult. Art. 14 adressiert die Kommunikation, einschließlich Krisenkommunikationsplänen, die eine verantwortungsvolle Offenlegung schwerwiegender IKT-Vorfälle gegenüber Kunden, Gegenparteien und der Öffentlichkeit ermöglichen.

Die Lernfunktion ist dabei kein einmaliger Vorgang, sondern ein wiederkehrender Zyklus. Nach jedem schwerwiegenden Vorfall und nach den Tests der digitalen operationalen Resilienz werden die Ursachen analysiert und die abgeleiteten Maßnahmen in die bestehenden Leit- und Richtlinien zurückgespielt. Auf diese Weise verbindet Art. 13 die operativen Komponenten mit dem mindestens jährlichen Überprüfungsturnus des Rahmens nach Art. 6 und schließt den Regelkreis des IKT-Risikomanagements.

Proportionalität und Verhältnis zum Gesamtrisikomanagement

Art. 4 DORA verankert den Grundsatz der Proportionalität: Finanzunternehmen setzen die Anforderungen des Kapitels II unter Berücksichtigung ihrer Größe, ihres Gesamtrisikoprofils sowie der Art, des Umfangs und der Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäftsabläufe um. Dieser Grundsatz erklärt, warum DORA für die Mehrzahl der Unternehmen funktionale Ziele vorgibt, statt eine einheitliche technische Detaillösung vorzuschreiben. Der vereinfachte Rahmen nach Art. 16 ist eine besondere Ausprägung dieses Gedankens für klar abgegrenzte kleinere Unternehmen.

Art. 6 stellt zugleich klar, dass der IKT-Risikomanagementrahmen Teil des Gesamtrisikomanagementsystems ist. Er steht damit nicht isoliert neben den übrigen Risikosteuerungsprozessen, sondern ist in diese eingebettet. In der Praxis bedeutet dies, dass IKT-Risiken in die bestehenden Risikoinventuren, Berichtswege und Genehmigungsstrukturen integriert werden, statt eine vollständig getrennte Parallelstruktur aufzubauen. Die Verzahnung mit dem Drittparteienrisikomanagement nach den Art. 28 bis 30 und mit der Vorfallsmeldung ist in der Verordnung angelegt und wird von der BaFin in ihren Hinweisen entsprechend eingeordnet.

Die funktionalen Ziele des Kapitels II sind verbindlich, der Detaillierungsgrad ihrer Umsetzung folgt jedoch dem Proportionalitätsprinzip. Eine pauschale Maximalumsetzung ist daher weder gefordert noch zwingend sachgerecht; maßgeblich ist die Angemessenheit gemessen am Risikoprofil.

Der vereinfachte Rahmen nach Art. 16

Art. 16 DORA sieht für bestimmte kleinere Finanzunternehmen einen vereinfachten IKT-Risikomanagementrahmen vor. Adressiert werden unter anderem kleine und nicht verflochtene Wertpapierfirmen, bestimmte Zahlungs- und E-Geld-Institute, kleinere Einrichtungen der betrieblichen Altersversorgung sowie weitere in Art. 16 Abs. 1 genannte Unternehmen. Maßgeblich ist die genaue Einordnung anhand der Kriterien der Verordnung.

Der vereinfachte Rahmen reduziert die Anforderungen, hebt sie jedoch nicht auf. An die Stelle der Art. 5 bis 15 treten die Pflichten aus Art. 16 Abs. 1 Unterabs. 2: ein solider, dokumentierter IKT-Risikomanagementrahmen, die fortlaufende Überwachung der IKT-Systeme, die Minimierung von IKT-Risiken durch solide Systeme und Werkzeuge, die rasche Erkennung von Risikoquellen und Anomalien, die Identifikation wesentlicher Abhängigkeiten von IKT-Drittdienstleistern, Geschäftsfortführungspläne samt Backup und Wiederherstellung, deren regelmäßiges Testen sowie Sensibilisierung und Schulung. Der Rahmen ist regelmäßig und nach schwerwiegenden Vorfällen zu überprüfen (Art. 16 Abs. 2). Die technischen Vorgaben hierzu enthält die Delegierte Verordnung (EU) 2024/1774. Die BaFin hat zur praktischen Anwendung des Art. 16 ergänzende Auslegungshinweise veröffentlicht (Stand: August 2025), die unverbindliche Hilfestellung bieten und über die DORA-Seiten der Behörde zugänglich sind (BaFin-Seite zum IKT-Risikomanagement).

Der kostenlose DORA-Check ordnet ein, ob Ihr Unternehmen in den DORA-Geltungsbereich fällt.

Dokumentationspflichten

Die Verordnung verlangt durchgängig Schriftlichkeit und Nachvollziehbarkeit. Der Rahmen selbst ist nach Art. 6 gut zu dokumentieren und mindestens jährlich zu überprüfen. Ergänzend bestehen Dokumentationspflichten unter anderem für das Asset-Inventar (Art. 8), die IKT-Sicherheitsrichtlinien (Art. 9), die Geschäftsfortführungs- und Wiederherstellungspläne (Art. 11) sowie die Backup-Verfahren (Art. 12). Beschlüsse, Genehmigungen und Überprüfungen des Leitungsorgans werden üblicherweise so festgehalten, dass sie gegenüber der Aufsicht belegbar sind. Eine konsistente Versionierung und ein nachvollziehbarer Überprüfungsturnus erleichtern spätere Prüfungen.

Konkrete Aufbau-Schritte

Für den strukturierten Aufbau eines DORA-konformen Rahmenwerks bietet sich ein Vorgehen in nachvollziehbaren Etappen an. Die folgende Reihenfolge orientiert sich an der Logik von Kapitel II.

1. Geltungsbereich und Proportionalität klären: Prüfen, ob das Unternehmen unter den regulären Rahmen (Art. 5 bis 15) oder den vereinfachten Rahmen (Art. 16) fällt. Davon hängt der Umfang der weiteren Schritte ab.
2. Governance verankern: Rollen, Verantwortlichkeiten und Genehmigungswege nach Art. 5 definieren, die Risikotoleranzschwelle festlegen und die Letztverantwortung des Leitungsorgans formal dokumentieren.
3. Asset- und Funktionsinventar erstellen: Nach Art. 8 alle IKT-gestützten Funktionen, Assets, Abhängigkeiten und Drittparteienbeziehungen erfassen und klassifizieren.
4. Schutzmaßnahmen ableiten: Auf Basis des Inventars Sicherheitsrichtlinien, Zugriffsverwaltung und Änderungsmanagement nach Art. 9 ausgestalten.
5. Erkennung etablieren: Überwachung, Alarmschwellen und Eskalationswege nach Art. 10 einrichten.
6. Reaktion, Wiederherstellung und Backup planen: Geschäftsfortführungs-, Reaktions- und Wiederherstellungspläne nach Art. 11 sowie Backup-Verfahren nach Art. 12 entwickeln und testen.
7. Lern- und Kommunikationsprozesse schließen: Auswertung von Vorfällen, Schulungen und Krisenkommunikation nach Art. 13 und 14 verankern.
8. Überprüfungszyklus einrichten: Den mindestens jährlichen Überprüfungsturnus nach Art. 6 sowie die anlassbezogenen Überprüfungen organisatorisch fixieren und die Ergebnisse dokumentieren.

Üblicherweise wird empfohlen, die technischen Detailvorgaben der Delegierten Verordnung (EU) 2024/1774 parallel zu den jeweiligen Schritten heranzuziehen, da sie die einzelnen Komponenten konkretisiert. Die genaue Tiefe der Umsetzung richtet sich nach Größe, Risikoprofil und Art der Tätigkeit des Unternehmens (Proportionalitätsprinzip nach Art. 4).

Häufige Fragen

Seit wann gilt DORA und ist eine nationale Umsetzung erforderlich?

Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten. Als EU-Verordnung bedarf sie für ihre unmittelbar geltenden Pflichten keiner gesonderten Umsetzung in nationales Recht. Begleitende technische Standards wie die Delegierte Verordnung (EU) 2024/1774 gelten ebenfalls unmittelbar.

Kann das Leitungsorgan die Verantwortung für das IKT-Risikomanagement delegieren?

Nein. Nach Art. 5 DORA trägt das Leitungsorgan die letztverantwortliche Steuerung des IKT-Risikos. Operative Aufgaben können zugewiesen werden, die übergeordnete Genehmigungs-, Steuerungs- und Aufsichtsfunktion verbleibt jedoch beim Leitungsorgan und ist nicht delegierbar.

Worin unterscheidet sich der vereinfachte Rahmen nach Art. 16 vom regulären Rahmen?

Der vereinfachte Rahmen nach Art. 16 richtet sich an bestimmte kleinere Finanzunternehmen und reduziert den Umfang einzelner Anforderungen. Die grundlegenden Funktionen, etwa ein dokumentierter Rahmen, Überwachung, Schutz, Erkennung, Identifikation von Drittanbieter-Abhängigkeiten, Geschäftsfortführung, Tests und Überprüfung, bleiben jedoch erhalten (Art. 16 Abs. 1 und 2). Die technischen Detailvorgaben dazu enthält die Delegierte Verordnung (EU) 2024/1774; ergänzende Auslegungshinweise hat die BaFin veröffentlicht.

Wie oft muss der IKT-Risikomanagementrahmen überprüft werden?

Nach Art. 6 DORA wird der Rahmen mindestens einmal jährlich dokumentiert und überprüft, bei Kleinstunternehmen regelmäßig. Zusätzliche Überprüfungen sind bei schwerwiegenden IKT-Vorfällen sowie nach aufsichtsrechtlichen Anweisungen oder Feststellungen aus Resilienztests und Auditverfahren vorgesehen.