Hintergrund
Für wen die Verordnung gilt
DORA (Digital Operational Resilience Act) ist die EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor. Sie gilt unmittelbar für Banken, Versicherungs- und Pensionsunternehmen, Zahlungs- und E-Geld-Institute, Wertpapierfirmen und eine Reihe weiterer Finanzunternehmen – und mittelbar für die IT-Dienstleister, die kritische Leistungen für sie erbringen.
Anders als NIS2, die als Richtlinie in nationales Recht umgesetzt werden muss, ist DORA eine Verordnung: Die Anforderungen gelten EU-weit einheitlich. Die Aufsicht liegt bei den Finanzaufsichtsbehörden – in Deutschland der BaFin, in Dänemark der Finanstilsynet.
Die Anforderungen
Wo DORA Identität und Zugriff berührt
- Zugriffsrichtlinien: dokumentierte Richtlinien für Vergabe, Änderung und Entzug von Zugriffen auf IKT-Systeme.
- Minimale Zugriffe: Zugriffe sind auf das zu beschränken, was die Funktion erfordert, und regelmäßig zu überprüfen.
- Starke Authentifizierung: Anforderungen an starke Authentifizierungsmechanismen, besonders bei privilegierten Zugriffen und Fernzugriff.
- Privilegierte Zugriffe: administrative Rechte müssen gesteuert, überwacht und dokumentiert werden.
- Lieferantenzugriffe: Zugriffe Dritter unterliegen derselben Steuerung – auch die Ihrer IT-Dienstleister.
- Nachvollziehbarkeit: wer worauf Zugriff hatte, muss gegenüber der Aufsicht nachweisbar sein.
Von der Verordnung zur Praxis
Die Anforderungen entsprechen eins zu eins den klassischen IGA- und PAM-Disziplinen: automatisierte Ein-, Umzugs- und Austrittsprozesse mit HR als Master, damit Zugriffe dem Arbeitsverhältnis folgen; Rezertifizierung, damit Führungskräfte und Systemeigentümer in festen Intervallen bestätigen, dass Zugriffe noch berechtigt sind; und privilegiertes Zugriffsmanagement mit zeitlich begrenzten Rechten und vollständigem Protokoll.
Der Unterschied zwischen DORA und einem internen Sicherheitsprojekt ist die Dokumentation: Es zu tun reicht nicht – Sie müssen es belegen können. Eine IGA-Plattform erzeugt diese Nachweise als Nebenprodukt der täglichen Prozesse: wer den Zugriff genehmigte, wann er überprüft wurde und wann er geschlossen wurde.
Wo sollten Sie anfangen?
Mit einer Gap-Analyse: Halten Sie Ihre heutigen Zugriffsprozesse gegen die Anforderungen von DORA und finden Sie die Lücken – typischerweise manuelle Austrittsprozesse, Systeme außerhalb der zentralen Steuerung und privilegierte Zugriffe ohne zeitliche Begrenzung.
Arbeiten Sie bereits an NIS2, ist die Überschneidung groß: Eine Zugriffssteuerung, die DORA erfüllt, deckt weite Teile der NIS2-Anforderungen an die Zugriffskontrolle gleich mit ab. Lesen Sie dazu auch unseren Artikel zu NIS2 und Zugriffssteuerung.
Ist Ihre Zugriffssteuerung prüfungsbereit?
Wir erfassen Ihre Identitäten und Zugriffsprozesse und halten sie gegen die Anforderungen von DORA – mit einem priorisierten Plan zum Schließen der Lücken.
