Wie V-PROOF zur Einhaltung der DORA-Vorschriften und im Finanzsektor beiträgt
DORA und der Finanzsektor: Was schreibt die Verordnung vor und wie erstellt V-PROOF die Nachweise?
Die Verordnung (EU) 2022/2554 ist seit Januar 2025 in vollem Umfang in Kraft. Mehr als 22.000 europäische Finanzinstitute müssen nachweisbare IT-Kontrollen vorweisen. Die Frage ist nicht mehr, ob die Vorschriften eingehalten werden, sondern wie dies gegenüber der Aufsichtsbehörde nachgewiesen werden kann.
Kernpunkte
- DORA gilt ab dem 17. Januar 2025 verbindlich für alle in der EU beaufsichtigten Finanzinstitute, ohne zusätzliche Übergangsfrist.
- Die Artikel 9, 10, 11 und 17 verlangen nachprüfbare technische Aufzeichnungen über IKT-Kontrollen, Protokolle zur Erkennung von Anomalien und zur Klassifizierung von Vorfällen – und nicht nur bloße Erklärungen.
- Die EBA, die ESMA und die EIOPA haben die regulatorischen technischen Standards (RTS) und Leitlinien veröffentlicht, in denen konkret festgelegt ist, welche Unterlagen bei Inspektionen verlangt werden.
- V-PROOF erstellt verifizierbare kryptografische Nachweise für die DORA-Kontrollen für jedes einzelne Aktivum, mit einem Zeitstempel, den die Aufsichtsbehörde überprüfen kann.
- Die Konvergenz von DORA und dem EU-KI-Gesetz führt zu einer doppelten Verpflichtung für Unternehmen, die KI bei finanziellen Entscheidungen einsetzen: V-PROOF hilft dabei, beide Anforderungen mit einer einzigen Integration zu dokumentieren.
- Als Anbieter mit Sitz in Spanien unterliegt V-PROOF nicht dem CLOUD Act – eine wesentliche Garantie für Unternehmen, deren Daten der europäischen Hoheitsgewalt unterliegen.
Was ist DORA und warum unterscheidet es sich von allen bisherigen Vorschriften?
Der „Digital Operational Resilience Act“ ist kein weiterer freiwilliger Rahmen für Cybersicherheit. Es handelt sich um eine unmittelbar geltende europäische Verordnung, die rechtlich verbindliche Anforderungen an die digitale operative Widerstandsfähigkeit für den Finanzsektor festlegt und technische Nachweise verlangt – nicht nur dokumentierte Richtlinien.
DORA wurde am 27. Dezember 2022 im Amtsblatt der EU veröffentlicht (Verordnung (EU) 2022/2554), trat am 16. Januar 2023 in Kraft und gilt ab dem 17. Januar 2025 in vollem Umfang. Eine Verlängerung ist nicht vorgesehen. Die nationalen Aufsichtsbehörden haben unter der Koordination der EBA, der ESMA und der EIOPA im ersten Halbjahr 2025 mit den Prüfungen begonnen.
Die Verordnung betrifft ein äußerst breites Spektrum von Unternehmen: Banken, Sparkassen, Kreditgenossenschaften, Wertpapierfirmen, alternative Investmentfonds und OGAW, Pensionsfondsverwalter, Versicherungs- und Rückversicherungsgesellschaften, Crowdfunding-Plattformen, Emittenten von Krypto-Vermögenswerten im Sinne der MiCA sowie externe IT-Dienstleister, die kritische Dienstleistungen für den Finanzsektor erbringen. Insgesamt sind das mehr als 22.000 Unternehmen in der EU.
Der strukturelle Unterschied bei DORA
Die bisherigen Rahmenwerke für Cybersicherheit (ISO 27001, ENS, sogar NIS) basierten auf der Selbsterklärung von Kontrollmaßnahmen. DORA sieht vor, dass die Aufsichtsbehörden diese operative Widerstandsfähigkeit durch Vor-Ort- und Fernkontrollen überprüfen. Der Unterschied ist nicht philosophischer, sondern rechtlicher Natur: Verstöße können Geldbußen von bis zu 2 % des weltweiten Jahresumsatzes nach sich ziehen, und für verantwortliche natürliche Personen bis zu 1 Million Euro.
Die Verordnung gliedert sich in fünf Säulen: IKT-Risikomanagement (Art. 5–16), Meldung schwerwiegender Vorfälle (Art. 17–23), Tests der digitalen Betriebsresilienz (Art. 24–27), IKT-Risikomanagement bei Dritten (Art. 28–44) und Informationsaustausch über Cyberbedrohungen (Art. 45–46). V-PROOF wirkt direkt auf die ersten drei Säulen ein.
Der DORA-Zeitplan: Wo stehen wir derzeit?
Welche Artikel erfordern technische Nachweise und welche konkreten Unterlagen werden verlangt?
DORA verlangt keine Absichtserklärungen. In der Verordnung und den daraus abgeleiteten RTS ist festgelegt, welche Arten von technischen Aufzeichnungen die Aufsichtsbehörden bei einer Inspektion anfordern werden. Dies sind die Artikel, die direkt von der V-PROOF-Architektur abgedeckt werden:
- § 10ErfassungDas Ereignis wird mit Datum und Zeitstempel protokolliert
- § 17EinstufungDie Entscheidung über den Schweregrad – wer hat sie getroffen?
- § 11Antwort und WiederherstellungVersiegelte Prüfungsunterlagen, Teilnehmer und Ergebnis
- § 13LernenÄnderungen an kritischen Systemen, Commit für Commit
- § 9Nachweis gegenüber der AufsichtsbehördeÜberprüfbar ohne Zugriff auf Ihre Systeme
Außerhalb des Anwendungsbereichs von V-PROOF: die erweiterten Durchdringungstests (TLPT, Art. 26), für die zertifizierte Prüfer erforderlich sind.
§ 17, Einstufung schwerwiegender Vorfälle
Artikel 17 und die daraus abgeleiteten RTS legen spezifische Kriterien für die Einstufung von IKT-Vorfällen als schwerwiegend fest (Auswirkungen auf Kunden, Dauer, geografische Ausdehnung, Auswirkungen auf den Ruf). Die Unternehmen müssen ein klassifiziertes Protokoll der Vorfälle führen, das die vorgenommene Einstufung belegt. V-PROOF ermöglicht es, die Einstufung jedes Vorfalls mit einem Blockchain- timestamp -Stempel zu versehen und so ein unveränderbares Protokoll zu erstellen, das belegt, wann der Vorfall identifiziert wurde, wie er eingestuft wurde und wer die Entscheidung getroffen hat.
V-PROOF-Schutz pro Artikel von DORA
| Artikel DORA | Verpflichtung | Reichweite | V-PROOF-Modul |
|---|---|---|---|
| IT-Risikomanagement, §§ 5–16 | |||
| § 9Schutz und Prävention | Nachprüfbare Aufzeichnungen über durchgeführte IKT-Kontrollen | ✓ Vollständig | V-Seal Kern |
| §10 Aufdeckung | Überprüfbare Aufzeichnungen über ungewöhnliche Aktivitäten und IT-Vorfälle | ✓ Vollständig | V-Seal Kern |
| §11 Antwort und Rückforderung | Nachweis von Reaktionsverfahren und Wiederherstellungsübungen | ✓ Vollständig | V-Seal Kern |
| §12: Richtlinien zur Datensicherung | Integritätsprüfung von Sicherungskopien | ◐ Teilprüfung | V-Seal Kern |
| § 13Lernen und Entwicklung | Rückverfolgbarkeit von Änderungen an kritischen IT-Systemen | ✓ Vollständig | Git-Integration |
| Meldung von Vorfällen, §§ 17–23 | |||
| § 17Einstufung von Vorfällen | Nachprüfbares Verzeichnis zur Einstufung schwerwiegender IKT-Vorfälle | ✓ Vollständig | V-Seal Kern |
| §§19–20 Benachrichtigung der Aufsichtsbehörden | Erstmeldung, Zwischenmeldung und Abschlussmeldung an die EBA/ESMA/EIOPA | Verantwortung des Kunden | Interner Regulierungsprozess |
| Prüfungen der Widerstandsfähigkeit, §§ 24–27 | |||
| §§24–25 Grundprüfungen | Nachweis regelmäßiger Resilienzprüfungen (Schwachstellenanalysen, Penetrationstests) | ◐ Teilprüfung | V-Seal Kern |
| §26 TLPT | Zertifizierte, bedrohungsorientierte Penetrationstests | Externe zertifizierte Ausführende | Außerhalb des V-PROOF-Anwendungsbereichs |
| Konvergenz von DORA und dem EU-KI-Gesetz – Für Unternehmen, die KI bei finanziellen Entscheidungen einsetzen | |||
| DORA Art. 9+ EU-KI-Gesetz Art. 14 | Nachprüfbare menschliche Überwachung in risikoreichen KI-Systemen im Finanzbereich | ✓ Vollständig | AI Orchestrator V-Proof AI |
| DORA Art. 13+ EU-KI-Gesetz Art. 12 | Protokollierung von Ereignissen bei KI-Modellen in kritischen Finanzumgebungen | ✓ Vollständig | AI-Orchestrator |
◐ Teilweise = V-PROOF erstellt die Nachweise für den Prozess; die operativen Maßnahmen (Durchführung der Datensicherung, Beauftragung des Penetrationstests) obliegen der Einrichtung.
Die Konvergenz von DORA und dem EU-KI-Gesetz: Das Risiko, das niemand einkalkuliert
Es gibt einen regulatorischen Schnittpunkt, den nur sehr wenige Finanzinstitute richtig erkannt haben: Diejenigen, die KI-Systeme bei finanziellen Entscheidungen einsetzen, unterliegen gleichzeitig der DORA und dem EU-KI-Gesetz. Und keine der beiden Vorschriften akzeptiert, dass die Einhaltung der jeweils anderen ausreichend ist.
Kreditbewertungsmodelle, Betrugserkennungssysteme, Algorithmen für den algorithmischen Handel oder Risikobewertungssysteme, die maschinelles Lernen nutzen, gelten gemäß Anhang III des EU-KI-Gesetzes als KI-Systeme mit hohem Risiko. Das bedeutet, dass diese Unternehmen zusätzlich zu den DORA-Anforderungen an die operative Widerstandsfähigkeit die Artikel 9, 12, 13, 14 und 16 des EU-KI-Gesetzes erfüllen müssen: Risikomanagement des KI-Systems, Ereignisprotokollierung, Rückverfolgbarkeit der Trainingsdaten, nachprüfbare menschliche Überwachung und technische Dokumentation.
Eine einzige Integration, zwei Rechtsrahmen
V-PROOF hilft dabei, beide Verpflichtungen mit ein und derselben Infrastruktur zu dokumentieren. Das Modul „AI Orchestrator“ generiert kryptografische Nachweise über den gesamten Lebenszyklus der ML-Modelle – von den Trainingsdaten bis hin zu den von der Integration abgedeckten Entscheidungen in der Produktion – und erfüllt damit die Anforderungen an die Rückverfolgbarkeit gemäß DORA (Art. 13) sowie die Anforderungen an die Ereignisprotokollierung gemäß dem EU-KI-Gesetz (Art. 12) mit derselben Integration. Das Modul V-Proof AI protokolliert menschliche Eingriffe in kritische Entscheidungen, die vom Prozessablauf abgedeckt sind, und unterstützt damit gleichzeitig Art. 14 des EU-KI-Gesetzes sowie die Kontrollanforderungen von DORA.
Die EBA hat bereits spezifische Leitlinien zum Einsatz von KI-Modellen im Finanzsektor veröffentlicht, die diese Konvergenz verstärken. Unternehmen, die keine nachprüfbaren technischen Nachweise für die Funktionsweise ihrer KI-Modelle vorweisen können – also nicht nur interne Richtlinien, sondern kryptografisch überprüfbare Aufzeichnungen –, sehen sich einem doppelten regulatorischen Risiko ausgesetzt: einer Sanktion gemäß DORA wegen mangelnder IT-Rückverfolgbarkeit und einer Sanktion gemäß dem EU-KI-Gesetz wegen fehlender nachprüfbarer KI-Governance.
Warum der Sitz des IT-Anbieters im Rahmen von DORA eine Rolle spielt
DORA führt ein neues Konzept in die Finanzregulierung ein: das Konzentrationsrisiko bei externen IT-Dienstleistern. Die §§ 28–44 verpflichten Finanzinstitute dazu, die rechtlichen Risiken ihrer IT-Dienstleister zu bewerten, einschließlich des Risikos, dass Drittländer Zugriff auf die von diesen Dienstleistern verwalteten Daten erhalten könnten.
Hier führt der CLOUD Act (18 U.S.C. § 2713) zu einer konkreten regulatorischen Reibung: Jeder in den Vereinigten Staaten ansässige IT-Anbieter kann durch einen US-Gerichtsbeschluss dazu verpflichtet werden, Daten europäischer Kunden herauszugeben, unabhängig davon, wo diese Daten gespeichert sind. Dies betrifft auch die großen, in den USA ansässigen Anbieter von GRC- und KI-Governance-Plattformen, die auf dem europäischen Markt tätig sind.
V-PROOF hat seinen Sitz in Spanien. Das Unternehmen kann nicht aufgrund einer US-amerikanischen gerichtlichen Anordnung vorgeladen werden. Seine europäischen Finanzkunden haben die rechtliche Gewissheit, dass ihre DORA-Compliance-Aufzeichnungen nicht nur technisch, sondern auch rechtlich unter der Hoheitsgewalt der EU verbleiben.
V-PROOF gegen DORA
Stärken, Anwendungsfälle im regulatorischen Bereich und Grenzen des Anwendungsbereichs
- Nachprüfbare Aufzeichnungen über durchgeführte IT-Kontrollen, die ein Vorgesetzter ohne Zugriff auf interne Systeme überprüfen kann § 9, Schutz und Prävention
- Ereignisprotokolle mit der „ timestamp “-Blockchain: Die Integrität ist kryptografisch überprüfbar; jede Manipulation führt zu einer nachweisbaren Abweichung von hash § 10, Erkennung
- Versiegelte Nachweise zu Antwort- und Wiederherstellungstests: Datum, Teilnehmer, Systeme und Ergebnis mit nachprüfbarer menschlicher Freigabe § 11, Reaktion und Wiederherstellung
- Rückverfolgbarkeit des Codes kritischer Finanzsysteme von Commit zu Commit, unveränderbarer Verlauf für Audits zur IT-Entwicklung Art. 13, Git-Integration
- Anbieter mit Sitz in Spanien und zwei Bereitstellungsmodi: Bei der Bereitstellung in der Infrastruktur des Unternehmens verlassen die Datensätze diese nicht; im gehosteten Modus werden sie in der EU gespeichert §§ 28–44 · Risiken bei IT-Dienstleistern
- Doppelte Abdeckung durch DORA und den EU-KI-Gesetz in einer einzigen Integration für Unternehmen, die KI-Modelle bei Finanzentscheidungen einsetzen Regulatorische Konvergenz 2025–2027
- Banken, Sparkassen und Kreditgenossenschaften unterliegen ab Januar 2025 der vollständigen DORA-Pflicht Kreditinstitute, §§ 5–16
- Investmentgesellschaften und Fondsverwalter (OGAW, AIF), die Cloud-IT-Anbieter oder KI-Modelle nutzen ESMA-Anwendungsbereich, Art. 2.1
- Fintechs und Neobanken mit automatisierten Entscheidungssystemen (Scoring, Betrugsbekämpfung, KYC), die gleichzeitig den Anforderungen von DORA und dem AI Act unterliegen DORA + EU-KI-Gesetz · Konvergenz
- IKT-Anbieter, die kritische Dienstleistungen für den Finanzsektor erbringen und ihre Widerstandsfähigkeit gegenüber Kunden und Aufsichtsbehörden nachweisen möchten Art. 28–44 · CTPP-Rahmenwerk
- CISOs und CROs bereiten die technischen Unterlagen für Inspektionen der Banco de España, der CNMV oder der DGSFP im Jahr 2026 vor Aufsichtsprüfungen · 2026
- Erweiterte Penetrationstests TLPT (Art. 26): Erfordern zertifizierte Durchführende im Rahmen von TIBER-EU. V-PROOF kann die Ergebnisse beglaubigen, führt die Tests jedoch nicht selbst durch. Art. 26, TLPT
- Geschäftskontinuitätsplan (BCP) und Notfallwiederherstellungsplan (DRP): Die Verantwortung für deren Erstellung liegt bei der Organisation. V-PROOF liefert nachprüfbare Nachweise dafür, dass diese Pläne vorhanden sind und getestet werden. § 11, Kontinuität
- Formelle Meldung schwerwiegender Vorfälle an die EBA, ESMA oder EIOPA (Art. 19–20): internes Regulierungsprozess. V-PROOF erstellt den zeitgestempelten Eintrag des klassifizierten Vorfalls. §§ 19–20, Meldung
- SIEM, EDR und operative Cybersicherheits-Tools: V-PROOF ersetzt nicht die aktive Erkennung von Bedrohungen, sondern liefert überprüfbare Nachweise für die von diesen Tools erkannten Ereignisse. § 10, Begrenzung des Anwendungsbereichs
Verfügt Ihr Unternehmen über die Unterlagen, die eine Aufsichtsbehörde morgen verlangen würde?
V-PROOF bietet eine strategische 48-Stunden-Diagnose an, die die für Ihr Unternehmen geltenden DORA-Verpflichtungen erfasst, bestehende Lücken bei den technischen Nachweisen identifiziert und den erforderlichen Integrationsumfang definiert.
Strategische DORA-Analyse anfordernQuellen und rechtliche Hinweise
- Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022, EUR-Lex CELEX:32022R2554
- EBA, Abschlussbericht zum Entwurf der technischen Regulierungsstandards (RTS) zum Rahmenwerk für das IKT-Risikomanagement (Batch 1), Januar 2024, eba.europa.eu
- EBA, Abschlussbericht zum Entwurf der technischen Regulierungsstandards (RTS) im Rahmen von DORA (2. Serie), Juli 2024, eba.europa.eu
- ESMA, Leitlinien zum DORA-Rahmenwerk für das IKT-Risikomanagement von Wertpapierfirmen, esma.europa.eu
- Banco de España, Aufsichtsbericht zu DORA, erstes Quartal 2025, bde.es
- EBA, Stellungnahme zur Nutzung von maschinellem Lernen für interne Rating-basierte Modelle (Konvergenz von AI Act und DORA) · eba.europa.eu
- ENISA, DORA-Bericht zur Konvergenz der Aufsicht, 2025, enisa.europa.eu
