DORA für IKT-Dienstleister

DORA im Überblick: Wer muss handeln?

DORA verpflichtet Finanzunternehmen dazu, ihre digitale Stabilität gegenüber Cyberbedrohungen, IT-Ausfällen und anderen technischen Risiken zu stärken. Diese Anforderungen betreffen nicht nur die Unternehmen selbst, sondern auch ihre IT-Dienstleister.

Betroffen sind alle IT-Dienstleister, die digitale Lösungen oder datenbezogene Services für den Finanzsektor bereitstellen – sogenannte IKT-Drittdienstleister. Besonders im Fokus stehen Dienstleister, die kritische und wichtige Funktionen bereitstellen, also solche, deren Ausfall wesentliche Geschäftsprozesse beeinträchtigen würde.

Wichtig: Finanzunternehmen müssen für jeden IKT-Dienstleister individuell bewerten, ob er kritische Funktionen bereitstellt. Lassen Sie sich als Dienstleister diese Einstufung von Ihren Kunden bestätigen, um unnötige Verpflichtungen zu vermeiden.

‍

Pflichten für IKT-Dienstleister: Was müssen Sie beachten?

Finanzunternehmen müssen sicherstellen, dass ihre Verträge mit IKT-Dienstleistern bestimmte Vorgaben erfüllen. Hierzu zählen laut Artikel 30 DORA unter anderem:

• Klare Leistungsbeschreibungen
• Verbindliche Service Level Agreements (SLAs)
• Technische und organisatorische Sicherheitsmaßnahmen
• Informationspflichten
• Unterstützung bei IT-Vorfällen
• Kündigungsregelungen

Für IKT-Dienstleister, die kritische und wichtige Funktionen bereitstellen, gelten zusätzliche Anforderungen, wie die Implementierung von Notfallplänen, ein belastbares Business-Continuity-Management und die Bereitschaft, sich regelmäßigen Audits und Penetrationstests zu unterziehen.

💡 Praxis-Tipp: Kunden fordern häufig Vertragsklauseln, die über die Anforderungen der DORA hinausgehen, etwa im Bereich Nachhaltigkeit (ESG). Um den Aufwand zu minimieren, sollten Sie eigene, standardisierte DORA-konforme Vereinbarungen vorbereiten.

‍

So bereiten Sie sich optimal vor

Um die DORA-Anforderungen effizient zu erfüllen, sollten IKT-Dienstleister folgende Schritte unternehmen:

1. Eigene Verträge: Erstellen Sie ein DORA-Addendum, das auf bereits bestehende Regelungen verweist.
2. Interne Prozesse optimieren: Überprüfen und dokumentieren Sie Ihre Risikomanagement- und IT-Sicherheitsprozesse.
3. Zertifizierungen erlangen: Für kritische IKT-Dienstleister empfiehlt sich eine Zertifizierung, z.B. nach ISO 27001, da diese bereits viele DORA-Vorgaben abdeckt.
4. Audit-Aufwand minimieren: Versuchen Sie, DORA-Audits mit anderen Audits (z. B. DSGVO) zu kombinieren.

‍

Fazit:

DORA ist bereits am 17. Januar 2025 in Kraft getreten – viele Finanzunternehmen sind jedoch noch immer in der Umsetzung. Entsprechend werden manche IKT-Dienstleister erst jetzt erstmals kontaktiert.

Die neuen Anforderungen sind nicht nur eine Herausforderung, sondern auch eine Chance, die eigene Sicherheitsarchitektur zu stärken und sich als vertrauenswürdiger Partner für Finanzkunden zu positionieren.

Warten Sie nicht, bis Ihre Kunden Sie mit Vertragsänderungen konfrontieren. Agieren Sie proaktiv, um Komplikationen zu vermeiden.