DORA Umsetzung: Strukturierte Implementierung für Finanzinstitute

Diese Seite beschreibt den Gesamtablauf einer DORA-Umsetzung, während eine dedizierte Gap-Analyse die eigentliche Bewertungsmethodik liefert, mit der Lücken zwischen Ist- und Soll-Zustand identifiziert werden. Praktisch ist die Gap-Analyse meist der erste Schritt innerhalb der hier beschriebenen Umsetzung, nicht ein separates, alternatives Vorgehen.

Üblich sind eine Gap-Analyse gegen die fünf DORA-Säulen, gefolgt von der Schließung priorisierter Lücken, dem Aufbau oder der Aktualisierung des IKT-Drittanbieter-Registers, der Etablierung der geforderten Testprogramme, und abschließend dem Übergang in den laufenden Betrieb mit regelmäßiger Überprüfung. Die Reihenfolge kann je nach Ausgangslage variieren, insbesondere wenn bereits Teile der Anforderungen erfüllt sind.

Software kann die Pflege des Drittanbieter-Registers, die Dokumentenverwaltung und die Nachverfolgung offener Maßnahmen erheblich erleichtern, ersetzt aber nicht die fachliche Bewertung, welche Anforderungen im eigenen Kontext relevant sind. Vor der Software-Auswahl sollte die eigene Prozesslandschaft geklärt sein, da sonst häufig ein Tool eingeführt wird, das nicht zu den tatsächlichen Arbeitsabläufen passt.

Lieferantenaudits kritischer IKT-Drittanbieter sollten als fester Bestandteil des Drittanbieter-Risikomanagements geplant werden, nicht als nachgelagerter Prüfschritt. In der Praxis empfiehlt es sich, Audit-Rechte bereits bei Vertragsverhandlungen zu sichern, da eine nachträgliche Durchsetzung bei bestehenden Verträgen deutlich schwieriger ist.

Neben einer verantwortlichen Person mit Überblick über IKT-Risikomanagement sind meist Kapazitäten aus IT, Einkauf beziehungsweise Vertragsmanagement für die Drittanbieter-Nachverhandlung, sowie Compliance oder Recht für die aufsichtsrechtliche Einordnung notwendig. Der Aufwand wird häufig unterschätzt, weil er sich über mehrere Abteilungen verteilt statt bei einer zentralen Stelle zu bündeln.

Am häufigsten verzögern sich Projekte an der Drittanbieter-Nachverhandlung, da diese von der Reaktionsgeschwindigkeit externer Vertragspartner abhängt und sich intern kaum beschleunigen lässt. Ein zweiter häufiger Grund ist fehlende klare Verantwortlichkeit: Wenn IKT-Risikomanagement zwischen IT und Compliance unklar aufgeteilt bleibt, bleiben Entscheidungen liegen, statt zügig getroffen zu werden.