DORA-Verantwortlichkeiten des Leitungsorgans: Von Richtlinien zu Entscheidungen

Verstehen Sie, wessen Verantwortung DORA beschreibt

Ausgangspunkt ist die regulierte Rechtseinheit. DORAs Anwendungsbereich und Ausnahmen finden sich in Artikel 2, während Artikel 3(30) den Begriff „Leitungsorgan“ den geltenden sektorspezifischen und nationalen Regelungen zur Unternehmensführung zuordnet. Eine betriebliche Stellenbezeichnung allein entscheidet nicht über diese Zuordnung. Halten Sie fest, welches Organ oder welche Organe in Ihrer Organisation die entsprechenden Funktionen erfüllen.

Im allgemeinen Rahmen überträgt Artikel 5(2) dem Leitungsorgan die Verantwortung für den IKT-Risikomanagementrahmen, einschließlich der letztendlichen Verantwortung für das IKT-Risiko des Unternehmens. Das schließt nicht aus, dass Fachleute die Arbeit ausführen. Entscheidend ist, ob das Leitungsorgan nachweisen kann, dass es Erwartungen festgelegt, ausreichende Informationen erhalten, Lücken kritisch hinterfragt und die Umsetzung wesentlicher Entscheidungen nachverfolgt hat.

Dieser Artikel behandelt den allgemeinen Rahmen. Für Unternehmen, die unter Artikel 16 fallen, gilt anstelle der Artikel 5–15 eine vereinfachte Regelung. Deren Vorgaben zur Unternehmensführung werden näher ausgeführt in Artikel 28 der Delegierten Verordnung 2024/1774. Prüfen Sie, welches Regelwerk gilt, bevor Sie auf Grundlage dieses Leitfadens ein internes Verzeichnis der Pflichten erstellen.

Auch konzerninterne Vereinbarungen brauchen diese Klarheit. Eine Muttergesellschaft kann den Sicherheitsbetrieb oder den Einkauf übernehmen oder Fachwissen zu Richtlinien bereitstellen. Die Tochtergesellschaft braucht dennoch eine praxistaugliche Übersicht über die Dienste, von denen sie abhängt, die Risiken, die sie trägt, und die Entscheidungen, die ihr eigenes Leitungsorgan treffen muss. „Das übernimmt der Konzern“ erklärt nicht vollständig, wer die Verantwortung trägt.

Betrachten Sie die Genehmigung als Beginn der Aufsicht

Artikel 5 behandelt Verantwortlichkeiten, unter anderem für die Resilienzstrategie und die IKT-Risikotoleranz, Vorkehrungen zur Aufrechterhaltung und Wiederherstellung des Betriebs, die Prüfungsplanung, Ressourcen, die Richtlinie für Drittanbieter und Meldewege. Lesen Sie die genaue Aufgabenverteilung in Artikel 5(2)(c)–(i). Folgendes ist unser praktischer Ansatz zur Organisation der resultierenden Arbeiten und kein Ersatz für die Regelung selbst.

Halten Sie für jede wesentliche Genehmigung eine kurze Entscheidungsdokumentation mit drei verknüpften Teilen fest: was das Leitungsorgan genehmigt hat, auf welche Annahmen es sich dabei gestützt hat und welche Nachweise es als Nächstes erwartet. Die Genehmigung einer Strategie sollte zu Fortschritten bei den festgelegten Prioritäten führen. Die Genehmigung eines Wiederherstellungsplans sollte zu einer erprobten Fähigkeit zur Wiederherstellung des Betriebs führen. Eine Budgetfreigabe sollte zu Personal, Dienstleistungen oder Schutzmaßnahmen führen, die die festgestellte Risikoexposition tatsächlich verringern.

Wer beispielsweise einen sechsmonatigen Behebungsplan genehmigt, ohne zu fragen, wer die Arbeit ausführt, schafft ein vorhersehbares Problem. Wenn dieselben zwei Fachkräfte bereits für eine unverzichtbare Migration eingeplant sind, ist der Plan möglicherweise nicht umsetzbar. Fordern Sie vor der Genehmigung die Annahmen zur verfügbaren Kapazität an und dokumentieren Sie die Abwägung. Ein realistischer neuer Termin mit einer ausdrücklich festgelegten vorläufigen Schutzmaßnahme ist hilfreicher als ein Wunschdatum, das niemand einhalten kann.

Unterscheiden Sie zwischen Punkten, die eine Entscheidung erfordern, und solchen, die nur der Information dienen. Jede Entscheidungsvorlage sollte die vorgeschlagene Maßnahme, tragfähige Alternativen, die Folgen einer Verzögerung, noch bestehende Unsicherheiten und die Entscheidungsfrist nennen. So können Mitglieder des Leitungsorgans die Empfehlung leichter kritisch hinterfragen, ohne sich mit jedem technischen Umsetzungsdetail befassen zu müssen.

Verwenden Sie eine Matrix der Entscheidungsbefugnisse, um Unklarheiten zu beseitigen

Vereinbaren Sie für jede wesentliche Angelegenheit, wer sie vorbereitet, kritisch hinterfragt, darüber entscheidet und die Umsetzung überprüft. Passen Sie dieses Beispiel an Ihre rechtliche Organisationsstruktur, die bestimmten Gremien vorbehaltenen Angelegenheiten und die Geschäftsordnungen der Ausschüsse an. „Leitungsorgan“ bezeichnet nachfolgend das in dieser Struktur zuständige Gremium; das bedeutet nicht, dass jede operative Entscheidung bis zu einer Sitzung des gesamten Gremiums warten muss.

Risikomanagement und Compliance sollten den Vorschlag kritisch hinterfragen können, ohne für jede operative Kontrollmaßnahme verantwortlich zu sein. Die interne Revision sollte die ihrer Rolle angemessene Unabhängigkeit wahren. Übertragen Sie einem Ausschuss nicht zugleich die Umsetzung einer Korrekturmaßnahme und die alleinige Prüfung ihrer Wirksamkeit.

Testen Sie die Matrix anhand einer tatsächlich bevorstehenden Entscheidung. Wenn nächste Woche ein Lieferantenvertrag verlängert werden muss: Können alle Beteiligten erkennen, wer die Verlängerung genehmigen darf, wer Bedingungen verlangen darf und wer verbleibende Risiken akzeptiert? Klären Sie widersprüchliche Antworten, bevor ein Vorfall oder eine geschäftliche Frist sie offenlegt.

Richten Sie Entscheidungen über Dienste an der Risikotoleranz aus

Die Aussage, das Unternehmen habe eine „geringe Risikobereitschaft bei Cyberrisiken“, sagt einer Führungskraft nicht, wie sie zwischen konkurrierenden Projekten wählen soll. Bitten Sie das Management, die Aussage mit Diensten, Auswirkungen auf Kunden, Anforderungen an Kontrollen und Eskalationswegen zu verknüpfen. Unterscheiden Sie ausdrücklich zwischen einem angestrebten Ergebnis und einer nachgewiesenen Fähigkeit.

Nehmen wir eine fiktive Wertpapierfirma, die eine neue Plattform für Kundenberichte in Erwägung zieht. Die Geschäftsleitung schlägt ein Wiederherstellungsziel vor, das auf Werbematerial des Anbieters beruht. Das Leitungsorgan sollte fragen, ob das Ziel die gesamte Dienstleistung zur Kundenberichterstattung abdeckt: Quelldaten, Authentifizierung, Abgleich, Zugriff für Mitarbeitende und Übermittlung an Kunden. Wurde nur die Plattform getestet, halten Sie die ungetesteten Abhängigkeiten und die davon betroffene Entscheidung fest.

Aussagekräftige Kontrollfragen sind zum Beispiel:

• Welcher Schaden entsteht, wenn der Dienst nicht verfügbar ist oder seinen Daten nicht vertraut werden kann?
• Welche Annahmen wurden belegt und welche sind noch Schätzungen?
• Was können wir während der Beeinträchtigung des Hauptdienstes sicher weiterführen?
• Welches Ereignis würde eine Eskalation oder eine andere Betriebsentscheidung erfordern?
• Wer kann Restrisiko akzeptieren, wie lange und unter welchen Bedingungen?

Legen Sie klare Grenzen für Ausnahmen fest. Eine befristete Ausnahme kann den betroffenen Dienst, die Begründung, vorläufige Schutzmaßnahmen, die verantwortliche Person, das Ablaufdatum und die Umstände benennen, die eine frühere Neubewertung erfordern. Wiederholte Verlängerungen sollten Anlass sein, darüber zu sprechen, ob der ursprüngliche Plan noch tragfähig ist. Ein Ausnahmeregister ist nur dann ein Entscheidungsinstrument, wenn jemand auf dieser Grundlage handelt.

Hinterfragen Sie, ob sich das zugesagte Ergebnis mit dem Budget erreichen lässt

Artikel 5(2)(g) behandelt angemessene Ressourcen und die regelmäßige Überprüfung des Budgets. In der Praxis ist ein Budget aussagekräftiger, wenn es Ausgaben mit einem Ergebnis verknüpft, als wenn es Ausgaben lediglich als „DORA“ oder „Cybersicherheit“ kennzeichnet. Bitten Sie das Management zu erläutern, welches Risiko damit angegangen wird, welche Abhängigkeit bei der Umsetzung besteht und welche Nachweise es für Verbesserungen gibt.

Vergleichen Sie folgende Vorschläge: „Ein neues Backup-Produkt kaufen“ und „Nachweisen, dass der Kundenservice mit abgeglichenen Daten in einer isolierten Wiederherstellungsumgebung wiederhergestellt werden kann.“ Der zweite Vorschlag bietet Raum für Fragen zu Personal, Testzeit, Integration und fachlicher Validierung. Das Produkt kann notwendig sein, aber sein Kauf ist nicht gleichbedeutend mit dem Erreichen des angestrebten Ergebnisses.

Eine nützliche Investitionsvorlage sollte Folgendes zeigen:

1. Der Dienst und die Risikobelastung, die die Arbeiten rechtfertigen.
2. Das Ergebnis und wie es verifiziert wird.
3. Einmalige und laufende Kosten, inklusive Personalaufwand und Lieferantenunterstützung.
4. Abhängigkeiten von anderen Projekten und nur begrenzt verfügbaren Fachkenntnissen.
5. Das verbleibende Risiko, wenn die vorgeschlagene Maßnahme verzögert oder nur in reduziertem Umfang umgesetzt wird.
6. Die Person, die bestätigen wird, dass der erwartete Nutzen erzielt wurde.

Berücksichtigen Sie Lernen und Entscheidungsübungen in der Ressourcenplanung. Ein Plan kann scheitern, weil Mitarbeitende nicht wissen, wie sie ihn aktivieren sollen, obwohl die zugrunde liegende Technik funktioniert. Ebenso kann Schulung eine fehlende technische Kontrolle nicht ausgleichen. Betrachten Sie diese Bedarfe im Zusammenhang, messen Sie sie aber getrennt.

Verantwortung beibehalten, wenn ein Lieferant den Dienst erbringt

Eine Auslagerung verändert die Art der Leistungserbringung, hebt aber die Verantwortlichkeiten des Unternehmens nicht auf. Für Unternehmen, die diesen Anforderungen an interne Richtlinien unterliegen, verlangt Artikel 3 der Delegierten Verordnung 2024/1773 klare Regeln für die Steuerung der betreffenden Vereinbarungen sowie eine mindestens jährliche Überprüfung der Richtlinie für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, durch das Leitungsorgan. Prüfen Sie die Ausnahmen in Artikel 28 Absatz 2 DORA, darunter die Ausnahme für Kleinstunternehmen. Diese konkrete Vorgabe zur Häufigkeit der Richtlinienüberprüfung ist keine allgemeine Vorgabe für die Häufigkeit sämtlicher Schulungen des Leitungsorgans.

Bitten Sie bei einer wesentlichen Abhängigkeit um eine kurze Erläuterung mit Blick auf die betroffene Dienstleistung. Was würde den Kunden fehlen, wenn der Anbieter ausfiele? Welche anderen Dienste hängen von derselben Infrastruktur oder demselben Unterauftragnehmer ab? Wie erhält Ihre Organisation Informationen, behält die Kontrolle und stellt ihre Daten wieder her? Was erfordert ein Ausstieg in der Praxis?

Betrachten Sie einen fiktiven Vorschlag zur Vertragsverlängerung mit einem erheblichen Rabatt für eine längere Bindung. Die Geschäftsleitung hat vertraglich das Recht, Daten zu exportieren, hat einen solchen Export aber noch nie in eine andere funktionsfähige Umgebung importiert. Das Leitungsorgan muss die Migration nicht planen. Es sollte fragen, ob die behauptete Ausstiegsmöglichkeit glaubwürdig ist und ob die Verlängerung davon abhängen sollte, die Daten zu validieren, die für den Übergang verfügbaren Kapazitäten abzuschätzen oder ein anderes Konzentrationsrisiko zu verringern.

Unterscheiden Sie die Unterlagen des Lieferanten von Ihren eigenen Schlussfolgerungen. Eine Zertifizierung oder ein Prüfbericht kann die Sorgfaltsprüfung unterstützen. Prüfen Sie jedoch den Geltungsbereich, den Berichtszeitraum, die Ausschlüsse und die Relevanz für den Dienst. Dokumentieren Sie, wer das Dokument bewertet hat und was noch ungeklärt ist.

Die Aufsichtsschwerpunkte der EZB für 2026–2028 nennen operationelle Resilienz und IKT-Fähigkeiten als Prioritäten für Banken und betonen, dass die Überwachung kritischer Dienstleister das eigene Drittparteienrisikomanagement der Banken ergänzt. Dies sind bankaufsichtliche Prioritäten und keine Aussage, dass alle Finanzunternehmen aufsichtlich gleich behandelt werden.

Krisenbefugnisse vor dem Eintreten der Krise festlegen

Legen Sie im Voraus fest, wie das Leitungsorgan wesentliche Informationen erhält und was die Geschäftsleitung sofort veranlassen kann. Erst bei einem Vorfall sollte nicht zutage treten, dass Uneinigkeit darüber besteht, wer einen Dienst einschränken, Notfallausgaben genehmigen oder Kunden informieren darf. Auch das operative Team benötigt klare Wege für Meldungen an die Aufsichtsbehörden nach den geltenden Verfahren.

Fordern Sie kurze Lageberichte mit vier Angaben an: Was ist bekannt, was ist noch unklar, welche Maßnahmen laufen und welche Entscheidung ist erforderlich? Verlangen Sie keine verlässliche Angabe zum Wiederherstellungszeitpunkt, wenn die vorliegenden Nachweise diese nicht stützen. Fragen Sie stattdessen, was als Nächstes überprüft wird und wann die Geschäftsleitung fundiertere Informationen vorlegen wird.

Eine Entscheidung zur Wiederherstellung sollte neben der Verfügbarkeit auch die Integrität des Dienstes berücksichtigen. Eine erreichbare Anwendung kann weiterhin fehlende, doppelte oder inkonsistente Datensätze enthalten. Fragen Sie, wer das fachliche Ergebnis prüft, welche Datenabgleiche noch ausstehen und welche Einschränkungen Kunden während einer teilweisen Wiederherstellung schützen.

Prüfen Sie diese Führungs- und Entscheidungsstrukturen in einer Übung. Simulieren Sie den Ausfall des üblichen Besprechungskanals, eine nicht verfügbare Führungskraft und widersprüchliche Statusmeldungen des Lieferanten. Beobachten Sie, ob befugte Stellvertreter handeln können und ob ein Entscheidungsprotokoll geführt wird. Dies ist ein Vorschlag für die Gestaltung einer Übung; er ersetzt nicht die technischen Tests und sonstigen Vorkehrungen, die nach dem jeweils geltenden Regelwerk erforderlich sind.

Weisen Sie anschließend jede wesentliche Feststellung genau einer verantwortlichen Person zu und legen Sie fest, welche Nachweise für den Abschluss erforderlich sind. „Verfahren aktualisiert“ kann ausreichen, um ein Dokumentationsproblem abzuschließen. Die fehlende Fähigkeit, einen Dienst wiederherzustellen, ist damit jedoch nicht behoben, solange diese Fähigkeit nicht auch nachgewiesen wurde.

Leiten Sie eine Sitzung, die zu Entscheidungen und einem brauchbaren Protokoll führt

Eine kompakte Tagesordnung kann hilfreicher sein als eine lange technische Präsentation. Das folgende Beispiel ist ein Vorschlag für eine regelmäßige Sitzung zu Steuerungs- und Aufsichtsfragen. Legen Sie die Häufigkeit anhand Ihrer Risiken, geltenden Pflichten und Ausschussstruktur fest.

1. Überprüfen Sie die Änderungen seit der letzten Sitzung: Risiken für die Dienste, wesentliche Vorfälle und Abhängigkeiten.
2. Untersuchen Sie die wichtigste Lücke zwischen erwarteter und nachgewiesener Fähigkeit.
3. Entscheiden Sie über Ausnahmen, Ressourcen oder Prioritäten, die über die übertragenen Befugnisse hinausgehen.
4. Stellen Sie überfällige Maßnahmen und wiederholte Fristverlängerungen in Frage.
5. Bestätigen Sie, welche Nachweise als Nächstes vorzulegen sind und welcher Lernbedarf besteht.

Das Protokoll sollte wesentliche kritische Nachfragen und Einwände nachvollziehbar machen, ohne jedes Wort wiederzugeben. Halten Sie die berücksichtigten Informationen, die anerkannten Unsicherheiten, die besprochenen Alternativen sowie die Entscheidung und ihre Bedingungen fest. Benennen Sie eine verantwortliche Person und einen Termin zur Wiedervorlage. Vermeiden Sie pauschale Formulierungen wie „Das Leitungsorgan hat den Bericht zur Cybersicherheit zur Kenntnis genommen“, wenn tatsächlich ein folgenreiches Risiko akzeptiert wurde.

Beispiel für einen Entscheidungseintrag: Das Leitungsorgan prüfte die Ergebnisse des Wiederherstellungstests für den Kundenmeldedienst. Die Anwendung wurde wiederhergestellt, doch der fachliche Datenabgleich wurde nicht innerhalb des geplanten Zeitfensters abgeschlossen. Das Management wird die vorläufige manuelle Prüfung beibehalten, deren Kapazität überprüfen und die Ergebnisse eines erneuten durchgängigen Tests vorlegen. Die für den Betrieb zuständige Führungskraft ist für die Maßnahme verantwortlich; der nächste Überprüfungstermin ist im Maßnahmenregister eingetragen.

Dieses Beispiel ist bewusst sachlich. Es bezeichnet die Organisation weder als regelkonform noch behauptet es, das Problem sei verschwunden. Es macht die offene Frage und den nächsten Schritt sichtbar. Zur Auswahl der Informationen für eine solche Sitzung nutzen Sie unseren Leitfaden zum Dashboard für die DORA-Berichterstattung an das Leitungsorgan.

Verbessern Sie den Governance-Zyklus in den nächsten 90 Tagen

Nutzen Sie diesen Verbesserungsplan ergänzend zu bestehenden Verpflichtungen; er berechtigt nicht, eine bestehende Pflicht aufzuschieben. Beginnen Sie mit der Lücke, die das unmittelbarste Entscheidungsrisiko erzeugt.

Bewerten Sie die Qualität der Maßnahmenabschlüsse. Wählen Sie drei abgeschlossene Maßnahmen aus und prüfen Sie, ob die zugehörigen Nachweise zeigen, dass die ursprüngliche Feststellung behoben wurde. Wenn eine Maßnahme lediglich ein Dokument hervorgebracht hat, das Risiko aber fortbesteht, nehmen Sie die Diskussion wieder auf. Wählen Sie eine akzeptierte Ausnahme aus und prüfen Sie, ob ihr Ablaufdatum, ihre Bedingungen und die benannte verantwortliche Person weiterhin sinnvoll sind.

Stellen Sie abschließend sicher, dass die Mitglieder des Leitungsorgans die Inhalte verstehen, die sie kritisch hinterfragen sollen. Unser Leitfaden zu den DORA-Schulungsanforderungen für Leitungsorgane erklärt, wie rollenbasiertes Lernen strukturiert wird. Der Kurs « DORA-Cybersicherheitsschulung für Leitungsorgane und Führungskräfte » bietet ein entscheidungsorientiertes Programm mit etwa drei Stunden angeleiteter Lernzeit, verteilt auf acht Module. Ergänzen Sie Ihre eigenen Regelungen zur Unternehmensführung und Übungen zur Entscheidungsfindung. Der Kursabschluss stellt weder eine Akkreditierung noch eine Feststellung der Compliance dar.