Gesetz zur digitalen Betriebsresilienz (DORA)

Übersicht

Der „Digital Operational Resilience Act“ (Verordnung (EU) 2022/2554) ist die unmittelbar geltende EU-Verordnung zur Harmonisierung des IKT-Risikomanagements im gesamten Finanzsektor. Sie trat am 16. Januar 2023 in Kraft und wird seit dem 17. Januar 2025 angewendet, wobei keine nationale Umsetzung erforderlich ist und keine weiteren Übergangsfristen vorgesehen sind.

DORA gliedert die Verpflichtungen in fünf Säulen: IKT-Risikomanagement, Meldung von Vorfällen, Prüfung der digitalen Betriebsresilienz, IKT-Risikomanagement in Bezug auf Dritte und Vereinbarungen zum Informationsaustausch. Artikel 9 verpflichtet Finanzunternehmen zur Implementierung starker Authentifizierungsmechanismen und Schutzmaßnahmen für kryptografische Schlüssel, und die dazugehörigen technischen Regulierungsstandards gehen noch weiter: Artikel 6 verlangt eine dokumentierte, risikobasierte Richtlinie zur Verschlüsselung und zu kryptografischen Kontrollen, die Daten im Ruhezustand, während der Übertragung und bei der Nutzung abdeckt, während Artikel 7 ein formelles Management des Lebenszyklus kryptografischer Schlüssel vorschreibt, einschließlich eines Registers für Zertifikate und zertifikatsspeichernde Geräte sowie einer rechtzeitigen Erneuerung vor Ablauf.

Warum das wichtig ist 

DORA gilt unmittelbar für schätzungsweise 22.000 Finanzinstitute in der gesamten EU, wobei die Geldbußen bei schwerwiegenden Verstößen bis zu 10 % des weltweiten Jahresumsatzes betragen können. Die Durchsetzung wird eher verschärft als gelockert: Die nationalen Behörden haben im Jahr 2025 damit begonnen, jährliche Verzeichnisse mit Informationen über IKT-Vereinbarungen mit Dritten zu erheben, und aktuellen Schätzungen zufolge erfüllt nur etwa die Hälfte der betroffenen Institute die Anforderungen vollständig, selbst nachdem die Umsetzungsfrist bereits abgelaufen ist.

Die Auswirkung der Verordnung auf Drittanbieter ist ein wesentliches Merkmal. Im November 2025 benannten die EU-Aufsichtsbehörden die ersten kritischen IKT-Drittanbieter, die einer direkten Aufsicht unterliegen, darunter auch große Cloud-Plattformen. Das bedeutet, dass die kryptografische Sicherheit eines Finanzunternehmens nun von Nachweisen abhängt, die es von seinen Anbietern einholen kann, und nicht mehr nur von seiner eigenen Umgebung.

Wie sich dies auf die Kryptografie auswirkt 

DORA behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:

Prüfungsbereitschaft

Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:

• Dokumentation der Verschlüsselungsrichtlinie: Hat die Organisation eine Richtlinie zu Verschlüsselung und kryptografischen Kontrollmaßnahmen entwickelt und dokumentiert, die mit ihrer Datenklassifizierung und Risikobewertung verknüpft ist?
• Nachweis zum Schlüssellebenszyklus: Kann die Organisation nachweisen, dass sie über Kontrollmaßnahmen verfügt, die kryptografische Schlüssel während ihres gesamten Lebenszyklus vor Verlust, Kompromittierung und unbefugter Offenlegung schützen?
• Register für Zertifikate und Zertifikatsspeichergeräte: Gibt es ein aktuelles Register für Zertifikate und Zertifikatsspeichergeräte für Anlagen, die kritische oder wichtige Funktionen erfüllen?
• Anpassung an Authentifizierungsstandards: Basieren starke Authentifizierungsmechanismen auf einschlägigen Standards, wobei kryptografische Schlüssel entsprechend geschützt sind ?
• Kryptografische Due-Diligence-Prüfung durch Dritte: Werden Drittanbieter im IKT-Bereich, einschließlich CTPPs, im Rahmen des Informationsregisters und der Vertragsprüfung auf die Sicherheit ihrer kryptografischen Verfahren überprüft?
• Umfang der Resilienzprüfungen: Umfassen die Prüfungen der digitalen Betriebsresilienz, gegebenenfalls einschließlich TLPT, auch die Zertifikatsinfrastruktur und kryptografische Kontrollmaßnahmen?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Die DORA gilt seit dem 17. Januar 2025 ausnahmslos und erwähnt die Kryptografie ausdrücklich: Artikel 9 und die dazugehörigen technischen Standards verlangen eine dokumentierte Verschlüsselungsrichtlinie und einen verwalteten Schlüssellebenszyklus – nicht etwa eine allgemeine Verpflichtung zu „angemessener“ Sicherheit. Die Bußgelder betragen bis zu 10 % unseres weltweiten Jahresumsatzes, und etwa die Hälfte der Branche arbeitet noch daran, die Lücke zwischen dem, was dokumentiert ist, und dem, was tatsächlich nachgewiesen werden kann, zu schließen.

Die Dimension der Drittanbieter ist diejenige, die uns am ehesten in Schwierigkeiten bringen könnte. Unsere kryptografische Sicherheit muss sich nun auch auf die Umgebungen unserer Cloud- und Technologieanbieter erstrecken, von denen einige mittlerweile direkt von EU-Behörden beaufsichtigt werden. Wenn wir kein aktuelles Zertifikat und kein Register für Schlüsselspeichergeräte sowie keine Nachweise für die kryptografischen Praktiken unserer Anbieter vorlegen können, können wir unsere Eintragung in das Informationsregister nicht mit der nötigen Sicherheit abschließen.