Digital Operational Resilience Act (DORA)

DORA vereint und harmonisiert bestehende nationale und internationale Regelungen unter einem einheitlichen EU-Rahmenwerk. Es legt spezifische Anforderungen fest, die von betroffenen Unternehmen umgesetzt werden müssen.

Ja, alle internen IKT-Abteilungen müssen die Anforderungen von DORA erfüllen, einschließlich der Implementierung von Risikomanagement-Frameworks und der Durchführung regelmäßiger Resilienztests.

Vorfallberichte müssen detailliert genug sein, um die Natur und den Umfang des Vorfalls, die ergriffenen Maßnahmen und die Auswirkungen zu beschreiben. Es sind Erstinitiale, Zwischen- und Abschlussberichte erforderlich.

Ja, aber es gibt strenge Vorschriften und Bewertungskriterien, die sicherstellen sollen, dass auch Drittanbieter außerhalb der EU die hohen Standards von DORA erfüllen. Hier müssen allerdings im Vorfeld Verträge gesondert geprüft werden und die Dienstleister müssen nach Risikogruppen unterteilt werden.

Die Kosten variieren je nach Unternehmensgröße und -komplexität. Sie umfassen Investitionen in Technologien, Schulungen, externe Beratungsdienste und laufende Überwachungskosten. Langfristig können jedoch durch verbesserte Resilienz und reduzierte Risiken Kosteneinsparungen erzielt werden.

Die Nichteinhaltung oder verspätete Umsetzung von DORA kann erhebliche Sanktionen nach sich ziehen. Diese umfassen nicht nur finanzielle Strafen, sondern auch schwerwiegende Auswirkungen auf die Geschäftstätigkeit, wie beispielsweise die Einschränkung oder sogar die Stilllegung bestimmter Unternehmensbereiche. Die Aufsichtsbehörden haben das Recht, Maßnahmen zu ergreifen, die das operative Geschäft massiv beeinträchtigen können, falls ein Unternehmen den regulatorischen Anforderungen von DORA nicht nachkommt. Wichtig ist zu beachten, dass sowohl die verspätete Umsetzung als auch die Nichteinhaltung strafrechtlich gleich behandelt werden

Unternehmen, die DORA nicht einhalten, riskieren erhebliche Strafen, verstärkte Aufsicht und mögliche Reputationsverluste. Die Sanktionen können auch Bußgelder umfassen.

Kontaktieren Sie unser Expertenteam für eine detaillierte Beratung und erfahren Sie, wie wir Ihr Unternehmen durch die Anforderungen von DORA führen können. Vereinbaren Sie noch heute ein kostenfreies Beratungsgespräch.

Alle Finanzunternehmen, die DORA unterliegen, sind verpflichtet, grundlegende Sicherheitstests durchzuführen. DORA listet folgende Beispiele für grundlegende Sicherheitstests (DORA Art 25 (1)):

• Threat-Led Penetration Test (TLPT):  Ein TLPT ist ein offiziell von der Deutschen Bundesbank betreuter weitreichender Pentest, der über mehrere Monate durchgeführt wird und strengen Auflagen unterliegt. Dieser TLPT ist sehr ähnlich zu einem TIBER-Test, ist jedoch mit DORA nun verpflichtend.

• Vulnerability Assessments: Das sind primär automatisierte Scans mit Schwachstellenscanner wie Nessus, Rapid7 und OpenVAS

• Penetration Testing: Dabei handelt es sich vor allem um aktive Tests einzelner Systeme oder Infrastrukturen. Das Ziel ist es, so viele Schwachstellen wie möglich zu finden, indem verschiedene Angriffstechniken angewendet werden.

• Scenario-Based Tests: Diese Tests sind vor allem Red Team Assessments. Das Ziel ist es, Schwachstellen aktiv auszunutzen, um eine komplette Angriffskette nachzustellen. So soll zum Beispiel die Kompromittierung eines Servers erreicht werden.

• Network Security Assessments und GAP-Analysen: Das sind primär Konfigurationsaudits von einzelnen Netzwerksystemen (wie z.B. Active Directory, Windows Client, Exchange-Server, Firewalls, etc.) 

• Physical Security Reviews: Das kann eine technische Analyse von Schwachstellen in Zutrittskontrollsystemen wie RFID-, Bluetooth- oder NFC-Schnittstellen sein. Es kann auch eine aktive Angriffssimulation sein. Dabei wird versucht, mithilfe von Social Engineering in das Firmengebäude zu gelangen. 

• Source Code Reviews : Das sind passive Analysen des Source Codes einer Applikation, die ergänzend oder alternativ zu einem Applikations-Pentest angewendet werden können, wenn sinnvoll.

Unter der DORA-Richtlinie sind alle Finanzunternehmen verpflichtet, die oben genannten grundlegenden Sicherheitstests durchzuführen. Kleinstunternehmen mit weniger als 10 Mitarbeitenden oder einem Jahresumsatz von unter 2 Millionen Euro müssen diese Tests ebenfalls umsetzen, jedoch nach einem eigenen risikobasierten Ansatz (DORA Art 24 und Art 25 (3)). Sie haben mehr Spielraum und unterliegen nicht den strikten Vorgaben wie größere Unternehmen. Die Durchführung eines TLPT (Threat-Led Penetration Test) ist hingegen nur für Unternehmen verpflichtend, die eine besondere Relevanz für den Finanzsektor haben und bestimmte Umsatz- oder Einnahmekriterien erfüllen.

Für die grundlegenden Sicherheitstests betrachtet DORA ICT-Systeme und Applikationen, die laut Risikomanagement kritische oder wichtige Funktionen unterstützen, gesondert. Diese kritischen oder wichtigen Systeme müssen 

• Mindestens 1x im Jahr angemessen getestet werden (DORA Art 24 (6))
• Bei jedem (Re-)Deployment muss mind. ein Vulnerability Assessment erfolgen (Art 25 (2)) 

Für alle anderen nicht kritischen ICT-Systeme und Applikationen gilt, dass die Anzahl und Tiefe der Tests grundsätzlich immer angemessen gemäß der Größe, der Tätigkeiten und des Risikoprofils eines einzelnen Unternehmens sein muss (DORA Art 4 (2)).

Ein TLPT muss mindestens alle 3 Jahre durchgeführt werden. Die Deutsche Bundesbank bzw. die zuständige Behörde kann dabei die Häufigkeit je nach Risikoprofil erhöhen oder reduzieren (DORA Art 26 (1)). 

Die grundlegenden Sicherheitstests müssen von einer unabhängigen Partei durchgeführt werden. Laut DORA kann das ein externer Dienstleister oder eine interne Abteilung sein, solange  

• genügend Ressourcen vorhanden sind und  
• keine Interessenskonflikte bestehen (DORA Art 24 (5)). 

Für TLPT gelten strengere Auflagen. Interne Mitarbeiter dürfen hier nur unter bestimmten Umständen eingesetzt werden. Spätestens jeder dritte TLPT muss komplett von einem externen Dienstleister durchgeführt werden (DORA Art 26 (8)). Finanzunternehmen, die gemäß DORA Art 6 (4) als bedeutend eingestuft werden, dürfen TLPT ausschließlich durch externe Dienstleister durchführen. 

Wenn interne Mitarbeiter in einem TLPT eingesetzt werden sollen, ist dies nur in der Red Team Phase möglich. Für die Threat Intelligence Phase eines TLPTs müssen immer externe Dienstleister herangezogen werden (DORA Art 27 (2c)). Bei der Auswahl eines externen Dienstleisters gelten strenge Anforderungen, z.B. müssen 

• Geeignete Zertifizierungen
• Mehrjährige Berufserfahrung im Bereich Red Teaming (5 Jahre beim Red Team Test Manager, 2 Jahre bei weiteren Red Team Mitglieder) sowie
• 5 Referenzprojekte existieren.
• Detaillierte Anforderungen können dem RTS Art 7 entnommen werden sowie DORA Art 27 (1). 

Beim Einsatz von internen Testern müssen die internen Tester von der Bundesbank genehmigt werden. Interne Tester dürfen nur in der Red-Team-Phase eingesetzt werden. In der Threat-Intelligence-Phase sind sie nicht erlaubt (DORA Art 27 (2c)). Zudem müssen bei internen Mitarbeitern unter anderem folgende Anforderungen sichergestellt sein 

• Red Team muss aus mind. 1x Red Team Test Lead und 2x weiteren Red Team Mitglieder bestehen
• Mitarbeiter müssen in den letzten 12 Monaten in dem Unternehmen angestellt gewesen sein
• Mitarbeiter müssen nachweislich durch Fortbildungen geschult sein, wie man derartige Red Team Tests durchführt
• Der Einsatz interner Mitarbeiter im TLPT darf die Verteidigungsfähigkeiten des Unternehmens nicht beeinträchtigen. Falls ein echter Sicherheitsvorfall gleichzeitig auftritt, muss das Unternehmen trotzdem handlungsfähig bleiben.
• Detaillierte Anforderungen zu internen Testern sind dem RTS Art 15 zu entnehmen.

Des Weiteren ist bei der Durchführung von TLPT darauf zu achten, dass die Teams für Threat Intelligence, Red Team und Blue Team strikt voneinander getrennt sind. So dürfen beim Einsatz von internen oder externen Mitarbeitern keine Verbindung zu internen Blue-Team-Aktivitäten bestehen.

Ein grundlegender Pentest eines spezifischen Systems oder Anwendung dauert in der Regel zwischen 4 und 10 Tagen. In einem TLPT muss sich allein die Red Team Phase mind. über 12 Wochen erstrecken (RTS Art 11 (5) ). Gemeinsam mit der Threat Intelligence Phase erstreckt sich ein TLPT daher oft über 5-6 Monate. Hinzu kommen die internen Vorbereitungen (z.B. Erstellung Scope Specification Document) und internen Nachbereitungen (z.B. Erstellung Blue Team Report).