Finanzielle Resilienz

Die DORA-Anforderungen erfüllen

Die europäische DORA-Verordnung stellt an den Finanzsektor eine einfach formulierte, aber aufwendig umzusetzende Anforderung: trotz eines digitalen Vorfalls betriebsfähig bleiben — und das belegen. Sie erfasst mittelbar auch die IT-Dienstleister dieser Akteure.

Die Herausforderung

Eine Anforderung an die Resilienz, nicht bloss an die Konformität

DORA (Digital Operational Resilience Act) strukturiert die digitale Resilienz des Finanzsektors entlang von fünf Säulen: Governance des technologiebezogenen Risikos, Management und Meldung von Vorfällen, Resilienztests, Beherrschung des Risikos aus Drittdienstleistern und Austausch von Bedrohungsinformationen.

Der Geist des Textes unterscheidet sich von klassischer Dokumentenkonformität: Er verlangt den Nachweis, dass bei einem Ausfall, einem Angriff oder dem Versagen eines Lieferanten die kritischen Funktionen weiterlaufen. Die Beweislast stützt sich auf Tests, nicht auf Absichten.

Zwei Themen binden den grössten Teil des Aufwands: das Register der IKT-Dienstleister — mit den zugehörigen Vertragsklauseln und Ausstiegsstrategien — und das Testprogramm, das von klassischen Tests bis zu bedrohungsgeleiteten Penetrationstests (TLPT) für die bedeutendsten Institute reicht.

Viele Organisationen mit Sitz in der Schweiz sind mittelbar betroffen: Tochtergesellschaft in der Union, europäische Kundschaft oder Stellung als Dienstleister eines der Verordnung unterstellten Akteurs.

Was auf dem Spiel steht

Kritische Funktionen nicht bestimmt, folglich nicht geschützt
Register der IKT-Dienstleister unvollständig oder nicht geführt
Meldefristen für Vorfälle nicht einhaltbar
Testprogramm fehlt oder ist rein dokumentarisch
Keine Ausstiegsstrategie beim Versagen eines Lieferanten

Schema

Fünf Säulen, eine gemeinsame Nachweispflicht

Die Steuerung setzt den Rahmen; Tests, Drittparteienregister und Informationsaustausch liefern den Nachweis, den die Aufsicht erwartet.

Unser Vorgehen

Wie wir vorgehen

Wir gehen von den kritischen Funktionen und Ihren tatsächlichen Abhängigkeiten aus statt von einer Lesart Artikel für Artikel.

Anwendbarkeit und kritische Funktionen

Bestimmung Ihrer Betroffenheit — unmittelbar oder als Dienstleister — sowie der kritischen oder wichtigen Funktionen und der Systeme, die sie tragen.

Gap-Analyse über die fünf Säulen

Beurteilung des Bestands: Governance des IKT-Risikos, Vorfalldispositiv, Testprogramm, Umgang mit Dritten und Bedrohungslage. Die Abweichungen werden nach regulatorischer Anforderung und Risiko priorisiert.

Drittparteienregister und Verträge

Aufbau des Registers der IKT-Dienstleister, Prüfung der erwarteten Vertragsklauseln und Formalisierung der Ausstiegsstrategien — das am häufigsten unterschätzte Arbeitspaket.

Vorfalldispositiv

Klassifizierung, Eskalationsverfahren und Meldevorlagen, mit denen sich die regulatorischen Fristen einhalten lassen, erprobt durch eine Krisensimulation.

Testprogramm

Aufbau eines regelmässigen Programms — Penetrationstests, Konfigurationsreviews und, für die betroffenen Institute, bedrohungsgeleitete Tests — mit Nachweisen, die die Aufsicht verwerten kann.

Eingesetzte Leistungen

Mehrere Disziplinen, eine Ansprechperson

DORA führt Governance, offensive Tests und Reaktionsfähigkeit zusammen: Wir decken alle drei mit derselben Ansprechperson ab.

Audit & Advisory GRC Penetrationstest Forensik & Incident Response SOC

Ergebnisse

Notiz zur Anwendbarkeit und Kartierung der kritischen Funktionen
Gap-Analyse über die fünf Säulen
Register der IKT-Dienstleister und Prüfung der Klauseln
Vorfallverfahren und Meldevorlagen
Programm für Resilienztests und zugehörige Berichte

Häufige Fragen

Häufig ja, mittelbar. Eine Schweizer Einheit mit einer Tochtergesellschaft in der Union, mit europäischer Kundschaft oder als IKT-Dienstleister eines der Verordnung unterstellten Finanzakteurs bekommt die Anforderungen vertraglich weitergereicht. Wir klären diesen Punkt immer zuerst.

Ein bedrohungsgeleiteter Penetrationstest: eine offensive Übung auf den Produktivsystemen, nach Szenarien von Angreifern, die Sie realistischerweise ins Visier nehmen könnten. Er betrifft nur die bedeutendsten Institute, doch seine Logik — prüfen, worauf es wirklich ankommt — nützt allen.

Mit dem Register der IKT-Dienstleister und der Bestimmung der kritischen Funktionen. Das sind die beiden Fundamente: Ohne sie lassen sich weder die Risikoanalyse noch das Testprogramm noch die Ausstiegsstrategien richtig auslegen.

Die Dispositive überschneiden sich stark. Wenn Sie bereits ein ISMS betreiben, ist ein erheblicher Teil der Governance-Arbeit wiederverwendbar; DORA ergänzt vor allem die Pflicht zu regelmässigen Tests und die formalisierte Beherrschung des Dienstleisterrisikos. Wir bauen auf dem Bestand auf, statt bei null zu beginnen.

DORA: Sind Sie betroffen — und wie weit?

Eine Notiz zur Anwendbarkeit und eine Gap-Analyse genügen, um Ihre Lage zu klären und den Aufwand abzustecken.

Kontakt aufnehmen