Dieser Blog wurde erstmals im Jahr 2025 veröffentlicht und wurde aktualisiert.
Das Gesetz zur digitalen Betriebsresilienz (Digital Operational Resilience Act, DORA) ist eine bereits geltende Compliance-Verpflichtung – die Durchsetzung begann am 17. Januar 2025 –, die regelt, wie Finanzinstitute Störungen im Bereich der Informations- und Kommunikationstechnologie (IKT) verwalten, überwachen und beheben. Für CISOs bedeutet dies, dass Identität nicht mehr als Zugangsinstrument, sondern als zentrale Kontrollmaßnahme für die Betriebsresilienz betrachtet wird.
Compliance wird oft als notwendige Belastung angesehen, wenn es um Finanzdienstleistungen—eine Reihe von Kästchen, die angekreuzt werden müssen, um Geldstrafen oder Reputationsschäden zu vermeiden. Doch der „Digital Operational Resilience Act“ (DORA) ist nicht nur eine weitere Abhakübung. Er steht für einen tiefgreifenden Wandel in den Erwartungen der Regulierungsbehörden an europäische Organisationen hinsichtlich des Managements digitaler Risiken.
Was ist DORA?
Der „Digital Operational Resilience Act“ (DORA) ist die EU-Verordnung 2022/2554, die Finanzinstitute dazu verpflichtet, nachzuweisen, dass sie IKT-Störungen standhalten, darauf reagieren und sich davon erholen können. Er umfasst fünf Säulen: IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests, Risikomanagement in Bezug auf Dritte und Informationsaustausch.
Für CISOs und Identitätsverantwortliche ist DORA eine Gelegenheit, die Einhaltung von Vorschriften in eine langfristige Risikominderung und Widerstandsfähigkeit zu verwandeln. Um diese Chance zu nutzen, müssen sie bei der Identität ansetzen.
Der Bereich „IKT-Risikomanagement“ von DORA schreibt ausdrücklich strenge Zugriffskontrollen, Multi-Faktor-Authentifizierung und revisionssichere Identitätsdaten vor – wodurch die Identität zur operativen Grundlage der Compliance wird und nicht nur eine unterstützende Funktion darstellt.
Jede digitale Transaktion innerhalb eines Finanzinstituts beginnt mit einer grundlegenden Sicherheitsfrage: Wer beantragt den Zugriff? In einer zunehmend hybriden, cloudgestützten und auf Remote-Zugriff ausgerichteten Umgebung ist die Überprüfung und Kontrolle der Identität komplexer – und wichtiger – denn je.
DORA hat erkannt, dass ohne sichere und belastbare Identitätssysteme kein Unternehmen in der Lage ist, die Betriebskontinuität während einer Krise aufrechtzuerhalten. Wenn man die Kontrolle über die Identität verliert, verliert man die Kontrolle über das Geschäft.
Herkömmliche Identitätssysteme wurden nicht für die heutige Bedrohungslandschaft oder die Erwartungen der Behörden konzipiert. Sie sind oft reaktiv, richtliniengesteuert und stark auf Passwörter und manuelle Prozesse angewiesen.
Häufige Lücken sind:
- Statische Zugangsrichtlinien die das kontextuelle Risiko nicht berücksichtigen
- Mangelnde Sichtbarkeit in Echtzeit-Identitätsverhalten
- Langsame Reaktion auf Vorfälle aufgrund von isolierten Identitätswerkzeugen
- Keine Backup-Strategie wenn IAM-Systeme offline gehen
DORA stellt höhere Anforderungen. Sie erwartet von den Instituten, dass sie Identitätsrisiken im Rahmen ihres Programms zur operativen Widerstandsfähigkeit proaktiv steuern. Finanzinstitute, die in der EU tätig sind, müssen diese Anforderungen nun erfüllen, da am 17. Januar 2025 die Durchsetzungsphase der DORA begann.
Identitätsrisikomanagement geht über die regelbasierte Zugriffskontrolle hinaus, indem es das Risikoniveau jedes Benutzers, jedes Geräts und jedes Zugriffsversuchs kontinuierlich bewertet – und die Authentifizierungsanforderungen auf der Grundlage dieser Signale dynamisch in Echtzeit anpasst.
Zum Beispiel:
- Meldet sich ein Benutzer von einem bekannten Standort aus mit einem vertrauenswürdigen Gerät an?
- Entspricht ihr Verhalten den historischen Mustern?
- Gibt es einen Anstieg der Helpdesk-Anfragen, der auf Social Engineering hinweisen könnte?
Anhand dieser Signale lässt sich ein Echtzeit-Risikoprofil erstellen, das als Grundlage für Authentifizierungs- und Zugangsentscheidungen dient.
Die Lösungen von RSA erfüllen alle Identitätsanforderungen von DORA – von phishing-resistenter Authentifizierung und verhaltensbasierter Risikoerkennung bis hin zu hybriden Failover-Lösungen und Governance-Berichten:
- Risiko AI analysiert Verhaltenssignale, um riskante Zugriffe zu erkennen und zu blockieren
- Helpdesk Live-Überprüfung verhindert Social-Engineering-Angriffe am Punkt der menschlichen Interaktion
- Passwortlose Lösungen (einschließlich FIDO2-zertifizierter Lösungen, OTP, Biometrie und mehr) die Zahl der Sicherheitsverletzungen im Zusammenhang mit Zugangsdaten verringern
- RSA Governance & Lebenszyklus vereinfacht die Durchsetzung von Richtlinien und die Berichterstattung über die Einhaltung von Vorschriften
- Hybride Ausfallsicherung stellt sicher, dass die Authentifizierung auch dann fortgesetzt wird, wenn die Systeme ausfallen
Zusammen ermöglichen diese Tools den Institutionen, die Identität als dynamische, datengesteuerte Risikofunktion zu verwalten.
Die Erfüllung der Mindestanforderungen von DORA ist die Untergrenze, nicht die Obergrenze. Unternehmen, die DORA als treibende Kraft für die Modernisierung ihrer Identitätsverwaltung nutzen, werden am Ende weniger Sicherheitsvorfälle, schnellere Audits und widerstandsfähigere Abläufe verzeichnen als solche, die DORA lediglich als eine Aufgabe betrachten, die man abhaken muss.
Wenn CISOs jetzt in das Identitätsrisikomanagement investieren, können sie:
- Verringerung der Wahrscheinlichkeit und der Auswirkungen von Verstößen
- Senkung der Kosten und der Komplexität von Prüfungen
- Verbessern Sie die Benutzerfreundlichkeit durch adaptiven, passwortlosen Zugriff
- Aufbau einer dauerhaften Widerstandsfähigkeit für alle digitalen Vorgänge
DORA ist ein Weckruf, Identität neu zu denken. Nicht nur als Zugangstor, sondern als kritisches Risikosignal und Eckpfeiler der Widerstandsfähigkeit.
Mit RSA können Finanzinstitute diese Herausforderung meistern – und Identitätsmanagement nicht nur zur Einhaltung von Vorschriften nutzen, sondern damit eine Vorreiterrolle einnehmen.
Sehen Sie sich das RSA-Webinar an, DORA & digitale Risiken: Stärkung der Identitätssicherheit im Finanzdienstleistungssektor, um zu erfahren, was die Einhaltung der DORA-Vorschriften für die Identitätssicherheit konkret bedeutet, welche bewährten Verfahren es zur Vorbereitung auf DORA-Audits gibt und welche wesentlichen Compliance-Verpflichtungen in Bezug auf Benutzerautorisierung, Zugriff, Authentifizierung und Geschäftskontinuität bestehen.
DORA – das Gesetz zur digitalen Betriebsresilienz (Digital Operational Resilience Act) – ist eine EU-Richtlinie, die Finanzinstitute und ihre kritischen IKT-Drittanbieter verpflichtet, ihre Widerstandsfähigkeit gegenüber IKT-Störungen anhand von fünf Säulen nachzuweisen: Risikomanagement, Meldung von Vorfällen, Resilienzprüfungen, Risiken durch Dritte und Informationsaustausch. Die Durchsetzung begann am 17. Januar 2025, wodurch die Vorschrift für in der EU tätige Institute zu einer verbindlichen regulatorischen Verpflichtung wurde.
DORA trat im Januar 2023 mit einer zweijährigen Umsetzungsfrist in Kraft. Der Stichtag für die Umsetzung war der 17. Januar 2025, was bedeutet, dass Finanzinstitute nun den verbindlichen Compliance-Anforderungen unterliegen und einer aktiven Aufsicht durch die EU-Finanzaufsichtsbehörden unterliegen.
Der Bereich „IKT-Risikomanagement“ der DORA-Vorschriften erfordert strenge Zugriffskontrollen, Multi-Faktor-Authentifizierung und lückenlose Prüfpfade für Identitätsereignisse. Ohne ein widerstandsfähiges Identitätssystem können Organisationen weder die von der DORA geforderte Betriebskontinuität nachweisen noch sich gegen Angriffe auf Zugangsdaten verteidigen, die am häufigsten zu den von der DORA vorgeschriebenen Vorfallmeldungen führen.
Die EU-Aufsichtsbehörden können bei anhaltenden Verstößen Geldbußen in Höhe von bis zu 1% des durchschnittlichen weltweiten Tagesumsatzes oder für Personen in Führungspositionen bis zu 5 Millionen Euro verhängen. Über finanzielle Sanktionen hinaus können die Aufsichtsbehörden von den Instituten verlangen, Tätigkeiten einzustellen, die gegen die DORA-Anforderungen verstoßen.
Im Rahmen von DORA-Audits wird geprüft, ob Organisationen eine Echtzeit-Transparenz der Identitäten, dokumentierte Zugriffskontrollen und getestete Verfahren zur Reaktion auf Vorfälle nachweisen können. Organisationen sollten vor Beginn eines Auditzeitraums sicherstellen, dass vollständige Prüfpfade für alle Authentifizierungsvorgänge, regelmäßige Überprüfungen der Benutzerzugriffe sowie dokumentierte Ausweichverfahren für Identitätssysteme vorliegen.
DORA verlangt eine gegen Phishing geschützte MFA, eine kontinuierliche Überwachung des Zugriffsverhaltens sowie eine Authentifizierung, die auch bei Ausfällen funktionsfähig bleibt. Hardware-Sicherheitsschlüssel, risikobasierte Authentifizierung und hybride Failover-Funktionen – wie beispielsweise in RSA ID Plus—wurden speziell für diese Anforderungen entwickelt.
Die DSGVO regelt den Schutz personenbezogener Daten: wie diese erhoben, gespeichert und verarbeitet werden. DORA regelt die operative Widerstandsfähigkeit: ob Finanzinstitute ihre IKT-Systeme am Laufen halten und nach Störungen wieder den Normalbetrieb herstellen können. Die beiden Rahmenwerke überschneiden sich im Bereich der Identitätsdaten, doch der Schwerpunkt von DORA liegt auf der Geschäftskontinuität und nicht auf dem Umgang mit Daten.
Identitätsrisikomanagement bedeutet, das Risikoniveau von Benutzern, Geräten und Zugriffsversuchen kontinuierlich zu bewerten – und die Authentifizierungsanforderungen auf der Grundlage dieser Signale in Echtzeit anzupassen. Im Rahmen von DORA ist dieser Ansatz von zentraler Bedeutung für ein proaktives IKT-Risikomanagement und steht im Gegensatz zu dem reaktiven, ausschließlich auf Richtlinien basierenden Modell, das herkömmliche IAM-Tools bieten.
