DORA Board Responsibilities: Von Richtlinien zu Entscheidungen

Verstehen Sie, für wen DORA die Verantwortung beschreibt.

Ausgangspunkt ist die regulierte Rechtseinheit. DORAs Anwendungsbereich und Ausnahmen finden sich in Artikel 2, während Artikel 3(30) den Begriff „Leitungsorgan“ mit den jeweiligen sektorspezifischen und nationalen Governance-Regelungen abgleicht. Eine kommerzielle Berufsbezeichnung allein klärt diese Abbildung nicht abschließend. Zeichnen Sie auf, welches Organ oder welche Organe in Ihrer Organisation die relevanten Funktionen erfüllen.

Im allgemeinen Rahmen, Artikel 5(2) weist das Rahmenwerk für IKT-Risiken dem Leitungsorgan zu, einschließlich der letztendlichen Verantwortung für das IKT-Risiko des Unternehmens. Das ist damit vereinbar, dass Fachleute die Arbeit ausführen. Die praktische Frage ist, ob der Vorstand nachweisen kann, dass er Erwartungen festgelegt, ausreichende Informationen erhalten, Lücken hinterfragt und wesentliche Entscheidungen nachverfolgt hat.

Dieser Artikel konzentriert sich auf diesen allgemeinen Rahmen. Unternehmen nach Artikel 16 folgen einem vereinfachten Regime anstelle der Artikel 5–15; Governance-Regeln zu diesem Regime werden entwickelt in Artikel 28 der Delegierten Verordnung 2024/1774. Bestimmen Sie das zutreffende Regime, bevor Sie diesen Leitfaden in ein internes Verpflichtungsregister überführen.

Auch Gruppenvereinbarungen brauchen Klarheit. Eine Muttergesellschaft kann Sicherheitsbetrieb, Einkauf oder Richtlinienexpertise liefern. Die Tochtergesellschaft benötigt dennoch eine nutzbare Übersicht über die Dienste, von denen sie abhängt, über die Risiken, die sie trägt, und über die Entscheidungen, die ihr jeweiliges Leitungsorgan treffen muss. „Die Gruppe übernimmt das“ ist keine vollständige Erklärung für Verantwortlichkeit.

Betrachten Sie die Genehmigung als Beginn der Aufsicht.

Artikel 5 regelt Verantwortlichkeiten einschließlich Resilienzstrategie und IKT-Risikotoleranz, Kontinuitäts- und Wiederherstellungsregelung, Auditplanung, Ressourcen, Drittparteipolitik und Meldewege. Lesen Sie die genaue Zuweisung in Artikel 5(2)(c)–(i). Folgendes ist unser praktischer Ansatz zur Organisation der resultierenden Arbeiten und kein Ersatz für die Regelung selbst.

Für jede bedeutende Genehmigung sollte ein kurzes Entscheidungsprotokoll mit drei verbundenen Teilen aufbewahrt werden: Was das Gremium genehmigt hat, die zugrunde gelegten Annahmen und die erwarteten Nachweise. Eine Strategieentscheidung sollte zum Fortschritt bei Prioritäten führen. Die Genehmigung eines Wiederanlaufplans sollte in getesteter Fähigkeit resultieren. Eine Budgetfreigabe sollte zu Ressourcen führen, die das identifizierte Risiko tatsächlich adressieren.

Beispiel: Die Genehmigung eines sechsmonatigen Maßnahmenplans ohne Klärung, wer die Arbeiten ausführt, schafft vorhersehbare Probleme. Sind die beiden Spezialisten bereits für eine wichtige Migration eingeplant, ist der Plan eventuell nicht umsetzbar. Fordern Sie vor Genehmigung die Kapazitätsannahmen an und protokollieren Sie das Abwägen. Ein realistischer neuer Termin mit klar bezeichneten Zwischenkontrollen ist hilfreicher als ein Zieltermin, den keiner einhalten kann.

Trennen Sie Entscheidungsgegenstände von reinen Informationspunkten. Jede Vorlage mit Entscheidungswunsch sollte den vorgeschlagenen Schritt, glaubwürdige Alternativen, Folgen einer Verzögerung, ungeklärte Unsicherheiten und die Entscheidungsfrist enthalten. So haben Leitungsorgane es leichter, Fragen zu stellen, ohne sich in operative Details zu vertiefen.

Verwenden Sie eine Entscheidungsmatrix, um Unklarheiten zu beseitigen.

Vereinbaren Sie, wer vorbereitet, prüft, entscheidet und kontrolliert. Passen Sie dieses Beispiel an Ihre Rechtsstruktur, reservierten Angelegenheiten und den Ausschussauftrag an. „Board“ steht nachfolgend für das maßgebliche Leitungsorgan; nicht jede operative Entscheidung muss bis zu einer Vollsitzung warten.

Risikomanagement und Compliance sollten den Vorschlag in Frage stellen können, ohne jede operative Kontrolle zu besitzen. Interne Revision muss die ihrer Rolle entsprechende Unabhängigkeit behalten. Machen Sie nicht ein Komitee verantwortlich für Umsetzung und alleinige Erfolgskontrolle.

Testen Sie die Matrix an einer tatsächlichen bevorstehenden Entscheidung. Muss nächste Woche ein Lieferantenvertrag verlängert werden, kann jeder Beteiligte erkennen, wer genehmigen, wer Bedingungen fordern und wer ein Restexponiert akzeptieren darf? Klären Sie abweichende Antworten vor Ablauf oder Vorfall.

Risikotoleranz in Service-Entscheidungen übersetzen

Eine Aussage, das Unternehmen habe "niedrige Risikobereitschaft gegenüber Cyber-Risiken", gibt einer Führungskraft keine konkrete Hilfe, zwischen Projekten zu wählen. Bitten Sie das Management, diese Aussage mit Diensten, Kundenfolgen, Kontrollelementen und Eskalationsmechanismen zu verknüpfen. Halten Sie die Unterscheidung zwischen Ziel und nachweisbarer Fähigkeit explizit.

Nehmen wir eine fiktive Investmentfirma, die eine neue Plattform für Kundenberichte in Erwägung zieht. Das Management schlägt ein Wiederherstellungsziel vor, das auf Werbematerial des Anbieters basiert. Der Vorstand sollte fragen, ob das Ziel den gesamten Berichtsdienst abdeckt: Quelldaten, Authentifizierung, Abgleich, Mitarbeiterzugang und Kundenzustellung. Wurde nur die Plattform getestet, notieren Sie die ungetesteten Abhängigkeiten und die davon betroffenen Entscheidungen.

Aussagekräftige Kontrollfragen sind zum Beispiel:

• Welcher Schaden entsteht, wenn der Dienst nicht verfügbar ist oder seinen Daten nicht vertraut werden kann?
• Welche Annahmen wurden belegt und welche sind noch Schätzungen?
• Was können wir während der Beeinträchtigung des Hauptdienstes sicher weiterführen?
• Welches Ereignis würde eine Eskalation oder eine andere Betriebsentscheidung erfordern?
• Wer kann Restrisiko akzeptieren, wie lange und unter welchen Bedingungen?

Definieren Sie spezifische Grenzen für Ausnahmen. Eine zeitlich befristete Ausnahme kann den betroffenen Dienst, die Begründung, Übergangsschutzmaßnahmen, einen verantwortlichen Eigentümer, das Ablaufdatum und die Umstände einer vorzeitigen Neubewertung benennen. Wiederholte Verlängerungen sollten zu einer Diskussion führen, ob der ursprüngliche Plan noch glaubhaft ist. Ein Ausnahmelog ist nur dann ein Entscheidungsinstrument, wenn tatsächlich jemand danach handelt.

Stellen Sie in Frage, ob das Budget das zugesagte Ergebnis liefern kann.

Artikel 5(2)(g) bezieht sich auf angemessene Ressourcen und regelmäßige Budgetüberprüfung. Praktisch ist ein Budget dann aussagekräftig, wenn es Ausgaben einem Ergebnis zuordnet – und nicht nur als „DORA“ oder „Cybersecurity“ kennzeichnet. Bitten Sie das Management, das adressierte Risiko, die Abhängigkeiten und den Verbesserungsnachweis zu erläutern.

Vergleichen Sie folgende Vorschläge: „Ein neues Backup-Produkt kaufen“ und „Nachweisen, dass der Kundenservice mit abgeglichenen Daten in einer isolierten Wiederherstellungsumgebung wiederhergestellt werden kann.“ Der zweite Vorschlag eröffnet die Möglichkeit, nach Personal, Testdauer, Integration und geschäftlicher Validierung zu fragen. Das Produkt kann notwendig sein, aber dessen Kauf ist nicht gleichbedeutend mit dem Erreichen des Ziels.

Ein nützliches Investitionspapier sollte zeigen:

1. Der Dienst und die Exposition, die die Arbeit rechtfertigen.
2. Das Ergebnis und wie es verifiziert wird.
3. Einmalige und laufende Kosten, inklusive Personalaufwand und Lieferantenunterstützung.
4. Abhängigkeiten von anderen Projekten und knappen Kompetenzen.
5. Das verbleibende Risiko bei verzögertem oder reduziertem Vorschlag.
6. Die Person, die bestätigt, dass der Nutzen erbracht wurde.

Berücksichtigen Sie Lern- und Entscheidungsschulungen in der Ressourcenplanung. Ein Plan kann scheitern, weil Personal ihn nicht ausführen kann, selbst wenn die zugrunde liegende Technik funktioniert. Ebenso kann Schulung keine fehlende technische Kontrolle ausgleichen. Halten Sie diese Bedarfe verbunden, aber messen Sie sie getrennt.

Eigentum beibehalten, wenn ein Lieferant den Service erbringt

Durch Auslagerung ändert sich das Liefermodell, die Verantwortlichkeiten der Organisation bleiben jedoch bestehen. Für Organisationen, die diesen Richtlinien unterworfen sind, Artikel 3 der Delegierten Verordnung 2024/1773 verlangt klare Governance für entsprechende Vorkehrungen und mindestens eine jährliche Überprüfung der Richtlinie für IKT-Dienste mit Unterstützung kritischer oder wichtiger Funktionen durch das Leitungsorgan. Prüfen Sie die Ausnahmen in DORA Artikel 28(2), einschließlich Kleinstunternehmen. Diese spezifische Häufigkeit der Richtlinienüberprüfung ist nicht mit einer universellen Häufigkeit für alle Vorstandsschulungen zu verwechseln.

Bitten Sie bei einer wesentlichen Abhängigkeit um eine kurze, dienstleistungsorientierte Erläuterung. Was würden Kunden verlieren, wenn der Anbieter ausfällt? Welche anderen Dienste hängen von derselben Infrastruktur oder Unterauftragnehmer ab? Wie erhält Ihre Organisation Informationen, behält Kontrolle und stellt ihre Daten wieder her? Was ist praktisch für den Ausstieg erforderlich?

Betrachten Sie einen fiktiven Verlängerungsvorschlag mit einem erheblichen Rabatt für eine längere Bindung. Das Management hat vertraglich das Recht, Daten zu exportieren, jedoch wurde dieser Export nie in eine andere nutzbare Umgebung importiert. Der Vorstand muss die Migration nicht entwerfen, sollte aber fragen, ob ein Ausstiegsanspruch glaubwürdig ist und ob die Verlängerung von der Validierung der Daten, von einer Schätzung der Übergangskapazität oder von der Verringerung einer anderen Konzentration abhängen sollte.

Unterscheiden Sie Lieferantendokumente von Ihren eigenen Schlussfolgerungen. Ein Zertifizierungs- oder Prüfbericht kann die Sorgfaltsprüfung unterstützen, prüfen Sie jedoch dessen Geltungsbereich, Berichtszeitraum, Ausschlüsse und Relevanz für den Service. Dokumentieren Sie, wer das Dokument bewertet hat und was noch ungeklärt bleibt.

Die EZB- 2026–28 Aufsichtsschwerpunkte identifiziert operationelle Resilienz und IKT-Fähigkeiten als Bankprioritäten und hebt hervor, dass die Kontrolle von kritischen Dienstleistern das eigene Drittanbieterrisikomanagement von Banken ergänzt. Dies sind bankaufsichtliche Schwerpunkte und keine Behauptung, dass jede Finanzinstitution identisch geprüft wird.

Krisenbefugnisse vor dem Eintreten der Krise festlegen

Legen Sie im Voraus fest, wie das Gremium wesentliche Informationen erhält und was das Management unmittelbar tun kann. Ein Vorfall sollte keine Unklarheit darüber aufdecken, wer einen Dienst einschränken, Notfallausgaben autorisieren oder ein Kundenupdate herausgeben darf. Auch das Betriebsteam benötigt klare Wege für regulatorische Meldungen gemäß geltenden Verfahren.

Erfragen Sie prägnante Aktualisierungen mit vier Elementen: was ist bekannt, was ist noch unklar, welche Maßnahmen laufen und welche Entscheidung wird benötigt. Vermeiden Sie eine Prognose zum Wiederherstellungszeitpunkt, wenn die Beweislage dies nicht unterstützt. Erfragen Sie stattdessen das nächste Verifizierungsetappenziel und wann das Management mit besseren Informationen zurückkehrt.

Eine Wiederherstellungsentscheidung sollte die Dienst-Integrität ebenso berücksichtigen wie die Verfügbarkeit. Eine erreichbare Anwendung kann weiterhin fehlende, doppelte oder inkonsistente Datensätze enthalten. Fragen Sie, wer das Geschäftsergebnis validiert, welche Abgleiche noch ausstehen und welche Einschränkungen Kunden während einer Teilwiederherstellung schützen.

Testen Sie Governance in einer Übung. Simulieren Sie den Verlust des üblichen Kommunikationskanals, eine nicht verfügbare Führungskraft und widersprüchliche Lieferantenupdates. Beobachten Sie, ob autorisierte Stellvertreter handeln können und ob ein Entscheidungsprotokoll geführt wird. Dies ist ein Übungsvorschlag und ersetzt nicht die technischen Tests und sonstigen Vorkehrungen, die das geltende Rahmenwerk verlangt.

Anschließend weisen Sie jede wesentliche Feststellung einer verantwortlichen Person zu und definieren die zum Abschluss erforderlichen Belege. „Verfahren aktualisiert“ kann ein Dokumentationsproblem abschließen. Es löst aber nicht eine Wiederherstellungsunfähigkeit, wenn nicht auch die entsprechende Fähigkeit nachgewiesen wurde.

Leiten Sie ein Meeting, das Entscheidungen und einen verwertbaren Nachweis erzeugt.

Eine kompakte Tagesordnung kann hilfreicher sein als eine lange technische Präsentation. Das Beispiel unten ist eine empfohlene wiederkehrende Governance-Sitzung; deren Frequenz richtet sich nach Ihren Risiken, anwendbaren Vorgaben und der Ausschussstruktur.

1. Überprüfen Sie Veränderungen seit dem letzten Meeting: Service-Exponierung, schwerwiegende Vorfälle und Abhängigkeiten.
2. Untersuchen Sie den wichtigsten Unterschied zwischen erwarteter und gezeigter Fähigkeit.
3. Entscheiden Sie über Ausnahmen, Ressourcen oder Prioritäten, die die übertragene Autorität überschreiten.
4. Stellen Sie überfällige Maßnahmen und wiederholte Fristverlängerungen in Frage.
5. Bestätigen Sie die nächsten vorzulegenden Nachweise und ggf. erforderliches Lernen.

Das Protokoll sollte wesentliche Herausforderungen dokumentieren, ohne ein wortgetreues Transkript zu sein. Halten Sie die berücksichtigten Informationen, eingestandene Unsicherheiten, besprochene Alternativen, die Entscheidung und deren Bedingungen fest. Benennen Sie einen Verantwortlichen und ein Rückgabedatum. Vermeiden Sie generische Formulierungen wie „Der Vorstand hat das Cyber-Update zur Kenntnis genommen“, wenn tatsächlich ein bedeutendes Risiko akzeptiert wurde.

Beispielhafte Entscheidungsaufzeichnung: Der Vorstand prüfte die Ergebnisse des Wiederherstellungstests für den Kundenmeldedienst. Die Anwendung wurde wiederhergestellt, aber die geschäftliche Abstimmung war nicht innerhalb des vorgesehenen Zeitrahmens abgeschlossen. Das Management behält die zwischenzeitliche manuelle Prüfung bei, überprüft deren Kapazität und führt eine vollständige Rückprüfung durch. Der Betriebsleiter ist für die Maßnahme verantwortlich; das nächste Überprüfungsdatum ist im Maßnahmenregister eingetragen.

Dieses Beispiel ist bewusst sachlich. Es bezeichnet die Organisation nicht als compliant und behauptet nicht, dass das Problem gelöst sei. Die offene Frage und der nächste Schritt bleiben sichtbar. Zur Auswahl passender Informationen für ein solches Meeting nutzen Sie unser Leitfaden für Gremien-Dashboard-Berichte.

Verbessern Sie den Governance-Zyklus in den nächsten 90 Tagen.

Nutzen Sie diesen Verbesserungsplan ergänzend zu bestehenden Verpflichtungen; er berechtigt nicht, eine bestehende Pflicht aufzuschieben. Beginnen Sie mit der Lücke, die das unmittelbarste Entscheidungsrisiko erzeugt.

Bewerten Sie die Qualität des Abschlusses. Wählen Sie drei abgeschlossene Maßnahmen und prüfen Sie, ob ihre Nachweise den ursprünglichen Befund belegen. Wurde lediglich ein Dokument erstellt und das Risiko bleibt bestehen, muss die Diskussion wieder aufgenommen werden. Wählen Sie eine akzeptierte Ausnahme, und verifizieren Sie, dass deren Ablauf, Bedingungen und Eigentümer weiterhin relevant sind.

Abschließend sollten Sie sicherstellen, dass die Leitung die Unterlagen versteht, zu denen sie Stellung nehmen soll. Unser Leitfaden zu den DORA-Schulungsanforderungen für Vorstände erklärt, wie rollenbasiertes Lernen strukturiert wird. DORA Board & Executive Training bietet ein entscheidungsorientiertes Programm mit etwa drei Stunden geleiteter Lernzeit über acht Module. Ergänzen Sie eigene Governance-Vorgaben und Entscheidungsübungen; der Kursabschluss stellt weder eine Zertifizierung noch eine Compliance-Bewertung dar.