Was sich 2025 geändert hat
Der Digital Operational Resilience Act gilt seit Januar 2025 für Finanzunternehmen in der EU und legt fest, wie sie IKT-Risiken steuern müssen, einschließlich der Risiken aus Drittdienstleistern. Sie müssen ein Register aller IKT-Dienstleister führen, jeden vor Vertragsabschluss bewerten, bestimmte Klauseln in jeden Vertrag aufnehmen und strengere Regeln anwenden, wo der Dienstleister eine kritische oder wichtige Funktion unterstützt. Der Fragebogen, den Sie erhalten, ist die Bewertung; der Vertragszusatz, der ihm folgt, sind die Klauseln.
Was ein DORA-Fragebogen abfragt
Über die üblichen Sicherheitsfragen hinaus erwarten Sie Abschnitte, die Sie vielleicht noch nie gesehen haben:
- Ihr IKT-Risikomanagement: wie Sie identifizieren, schützen, erkennen, reagieren und wiederherstellen, und wer auf Leitungsebene verantwortlich ist.
- Vorfallmeldung: Ihre Klassifizierung, Ihre Meldefristen, und ob Sie die eigene Meldung des Kunden an seine Aufsichtsbehörde unterstützen können.
- Resilienztests: welche Tests Sie durchführen, wie oft, und ob Sie an bedrohungsgeleiteten Penetrationstests des Kunden teilnehmen würden.
- Geschäftskontinuität und Ausstieg: Wiederherstellungsziele, getestete Kontinuitätspläne, und wie der Kunde aus Ihrem Dienst aussteigen oder wegmigrieren würde, mit welcher Hilfe und in welcher Zeit.
- Unterauftragsvergabe: wer Ihre eigenen Dienstleister sind, wo sie sitzen, und wie Sie den Kunden informieren würden, bevor Sie sie wechseln.
- Standort: wo Daten verarbeitet und gespeichert werden, und von wo aus der Dienst betrieben wird.
- Prüf- und Zugangsrechte: ob der Kunde, seine Prüfer und seine Aufsichtsbehörde Sie prüfen dürfen, und wie.
Antworten als Lieferant
Die meisten Zeilen werden aus derselben Bibliothek beantwortet wie jeder Sicherheitsfragebogen. Die DORA-spezifischen brauchen eine Entscheidung, nicht nur einen Fakt: zu welcher Meldefrist Sie sich verpflichten, welche Unterstützung beim Ausstieg Sie leisten, ob Sie Prüfrechte akzeptieren und zu welchen Bedingungen, und wie lange Sie vorher ankündigen, bevor Sie einen Auftragsverarbeiter wechseln. Entscheiden Sie das einmal, zusammen mit der Person, die Ihre Verträge unterschreibt, schreiben Sie es auf und beantworten Sie jeden DORA-Fragebogen aus demselben Text. Ein Lieferant, der diese Zeilen über alle Kunden hinweg einheitlich beantwortet, hat es in der Vertragsphase leichter, weil der Zusatz dann zum Fragebogen passt.
Nachweise, die verlangt werden
Ein Prüfbericht über Ihre Kontrollen (ISAE 3000, ISAE 3402 oder SOC 2 Typ II) verkürzt die Prüfung erheblich und macht oft den Unterschied zwischen einem Fragebogen und einem Audit vor Ort. Ergebnisse von Kontinuitätstests, der Incident-Response-Plan und die Liste der Auftragsverarbeiter werden fast jedes Mal verlangt. Halten Sie sie mit Datum aktuell; DORA-Prüfer schauen auf Daten. Responsemate hält die Nachweise neben den Antworten, jeweils mit Ablaufdatum, und entwirft die Fragebogenzeilen aus den Entscheidungen, die Sie einmal aufgeschrieben haben. Wie Dateien und Nachweise aktuell bleiben.
Häufige Fragen
Gilt DORA für Softwareanbieter?
Nicht direkt, es sei denn, Sie werden als kritischer IKT-Drittdienstleister eingestuft. Aber sie gilt für Ihre Kunden aus der Finanzbranche und schreibt ihnen im Detail vor, was sie über Sie wissen und was ihr Vertrag mit Ihnen enthalten muss. Der Fragebogen und der Vertragszusatz sind ihr Weg, das zu erfüllen.
Was ist eine kritische oder wichtige Funktion unter DORA?
Eine Funktion, deren Ausfall die Leistung, die Pflichten oder die Zulassung des Finanzunternehmens wesentlich beeinträchtigen würde. Unterstützt Ihr Dienst eine solche Funktion, rechnen Sie mit dem längsten Fragebogen, Ausstiegsplänen, Prüfrechten und einem Registereintrag mit Ihren Angaben.