DORA-Readiness und Sensibilisierung: Digitale Resilienz ist jetzt eine regulatorische Erwartung

Der EU Digital Operational Resilience Act, bekannt als DORA, gilt seit dem 17. Januar 2025 und erfasst ein breites Spektrum an Finanzunternehmen, einschliesslich Banken, Versicherern, Wertpapierfirmen und weiteren regulierten Finanzunternehmen. Ziel ist es, die Fähigkeit von Finanzunternehmen zu stärken, IKT-bedingte Störungen zu überstehen, darauf zu reagieren und sich davon zu erholen. (eiopa.europa.eu)

DORA ist nicht einfach eine weitere Cybersicherheitsregulierung. Es ist ein Regime für digitale Resilienz. Es verlangt von Finanzunternehmen, IKT-Risiken zu managen, grössere Vorfälle zu melden, operative Resilienz zu testen, IKT-Drittanbieter zu überwachen und eine starke Governance über die technologische Abhängigkeit aufrechtzuerhalten.

Für Verwaltungsrat und Geschäftsleitung ist die Botschaft klar: Cyberrisiko ist nicht mehr nur ein Sicherheitsthema. Es ist eine Frage der operativen Resilienz, der Regulierung, des Kundenvertrauens und des Marktvertrauens.

Readiness erfordert mehr als eine aufgefrischte Policy. Unternehmen brauchen ein klares Rahmenwerk für IKT-Risikomanagement, eine Zuordnung von Assets und Services, Prozesse zur Vorfallklassifizierung, Testpläne für Resilienz, Register der Drittanbieter, Vertragsnachbesserungen, Reporting an den Verwaltungsrat und Nachweise, dass Kontrollen wirksam funktionieren.

Unternehmen, die DORA nur als Compliance-Übung angehen, werden sich wahrscheinlich schwertun. Unternehmen, die DORA nutzen, um Resilienz, Lieferantenüberwachung und Entscheidungsfindung auf Führungsebene zu stärken, gewinnen dauerhaften operativen Wert.

Kernaussage: Bei DORA-Readiness geht es nicht darum, eine regulatorische Kontrollstelle zu passieren. Es geht darum, zu belegen, dass das Unternehmen auch bei Störungen weiterarbeiten kann.