DORA: Digitale Resilienz für Unternehmen mit Individualsoftware im Finanzsektor

Die DORA-Verordnung (EU) 2022/2554 ist eine neue europäische Regelung zur digitalen operativen Resilienz. Sie verpflichtet Unternehmen der Finanzbranche dazu, umfassende Maßnahmen zur Cyber-Resilienz umzusetzen. Ziel ist es, die Widerstandsfähigkeit gegenüber Cyberangriffen, Systemausfällen und IKT-Risiken zu erhöhen.

Zielgruppe:

• CISOs, CTOs, technische Leiter & C-Level
• Unternehmen, die Individualsoftware nutzen, entwickeln oder entwickeln lassen
• IT-Dienstleister & Softwareunternehmen, die Finanzsektor-Kunden bedienen

Warum ist das wichtig?

Ab Januar 2025 müssen betroffene Unternehmen nachweislich ihre digitalen Resilienzmaßnahmen implementieren. Verstöße gegen DORA können zu hohen Sanktionszahlungen und regulatorischen Einschränkungen führen.

DORA betrifft alle Unternehmen, die in der Finanzbranche tätig sind oder Finanzdienstleister mit IKT-Diensten versorgen.

Betroffene Sektoren:

• Banken, Versicherungen & FinTechs
• Zahlungsdienstleister & Krypto-Dienstleister
• Wertpapierfirmen & Handelsplattformen
• Cloud-Anbieter & IT-Dienstleister für den Finanzsektor
• Alternative Investmentfonds & Versicherungen

Auch Zulieferer und Drittanbieter von IT-Diensten für Finanzunternehmen fallen unter DORA, insbesondere wenn sie als kritische Drittparteien eingestuft werden.

Wer ist ausgenommen?

Unternehmen außerhalb des Finanzsektors sind nicht direkt betroffen, es sei denn, sie erbringen IT-Dienstleistungen für regulierte Finanzunternehmen.

Die DORA-Verordnung (EU) 2022/2554 legt nicht nur strenge Regeln für die digitale Resilienz fest, sondern definiert auch klare Haftungsregelungen für Unternehmen und deren Verantwortliche.

Die Haftung betrifft verschiedene Ebenen innerhalb eines Finanzunternehmens:

Unternehmen als Ganzes

• Finanzunternehmen und kritische IT-Drittanbieter haften für Verstöße gegen DORA und können mit Sanktionszahlungen, Betriebseinschränkungen oder Lizenzentzug belegt werden.
• Verstöße können auch zu Regulierungsmaßnahmen durch nationale Aufsichtsbehörden führen (z. B. die BaFin in Deutschland oder die FMA in Österreich).

C-Level, CISOs & technische Leiter

• Führungskräfte wie CISOs, CTOs und Vorstände sind persönlich haftbar, wenn sie nachweislich fahrlässig oder vorsätzlich gegen die DORA-Vorgaben verstoßen.
• Fehlende oder unzureichende Implementierung von IT-Sicherheitsmaßnahmen kann persönliche Strafen oder Berufsverbote nach sich ziehen.

Drittanbieter & IT-Dienstleister

• IT-Dienstleister, die als kritische Drittparteien gelten, müssen die gleichen Sicherheitsanforderungen wie Finanzunternehmen erfüllen.
• Banken, Versicherer und FinTechs haften mit, wenn ihre IT-Dienstleister die DORA-Anforderungen nicht erfüllen.

Welche Strafen drohen bei Verstößen?

Unternehmen, die gegen DORA verstoßen, müssen mit folgenden Sanktionen rechnen:

Geldstrafen:

• Bis zu 2 % des Jahresumsatzes oder 10 Mio. € für große Finanzunternehmen
• Bis zu 1 % des Jahresumsatzes oder 5 Mio. € für kleinere Unternehmen

Zusätzliche Maßnahmen:

• Behördliche Anordnungen zur Systemabschaltung oder Geschäftseinschränkung
• Haftung für Geschäftsführer, CISOs und Vorstände
• Persönliche Berufsverbote für Führungskräfte bei schweren Verstößen

Was müssen Unternehmen tun, um Haftung zu vermeiden?

• DORA-Compliance durch klare IKT-Risikomanagement-Prozesse sicherstellen
• Dokumentation & Nachweise für Behörden jederzeit abrufbar halten
• Regelmäßige Audits, Penetrationstests und Incident-Response-Übungen durchführen
• CISOs und CTOs sollten ein starkes internes Kontrollsystem etablieren

Fazit: Haftung unter DORA ist real!

C-Level, CISOs und Finanzunternehmen tragen eine direkte Verantwortung, um die digitale Resilienz sicherzustellen. Wer DORA nicht ernst nimmt, riskiert hohe Strafen und persönliche Konsequenzen.

Unternehmen, die Individualsoftware nutzen oder entwickeln, müssen dringend handeln, um DORA-konform zu werden.

• IT-Dienstleister & Softwareentwickler müssen Security by Design umsetzen
• CISOs & CTOs brauchen eine klare Risikomanagement-Strategie
• Finanzunternehmen müssen ihre Cyber-Resilienz und Incident Response verbessern

Die Zeit für die DORA-Compliance ist knapp! Bereits ab 17.Januar 2025 sind Unternehmen verpflichtet, die Anforderungen umzusetzen.

1. DORA-Verordnung (EU) 2022/2554
2. NIST Cybersecurity Framework & Secure Software Development Framework (SSDF)
3. ISO/IEC 27034
4. EU financial entities cybersecurity upgrade: DORA is now alive and kicking