DORA einfach erklärt: Vom Straßenverkehr zur digitalen Resilienz

In den letzten Monaten habe ich mich intensiv mit der DORA-Verordnung auseinandergesetzt und dabei viele neue Erkenntnisse gewonnen. Je tiefer ich in die Thematik eingetaucht bin, desto klarer wurde mir, dass wir die vielschichtigen und zahlreichen Anforderungen nicht einfach auswendig lernen können.

In den letzten Monaten habe ich mich intensiv mit der DORA-Verordnung auseinandergesetzt und dabei viele neue Erkenntnisse gewonnen. Je tiefer ich in die Thematik eingetaucht bin, desto klarer wurde mir, dass wir die vielschichtigen und zahlreichen Anforderungen nicht einfach auswendig lernen können. Um sie wirklich zu verstehen und umzusetzen, brauchen wir Bilder und Analogien, die uns helfen, diese Komplexität greifbar zu machen.

Nach langem Suchen habe ich in meiner DORA-Werkstatt nun die passende Analogie im Straßenverkehr gefunden: Genauso wie Gesetze und Verordnungen die Sicherheit im Straßenverkehr regeln, fordert DORA von Finanzunternehmen, eine Straßenverkehrsordnung (den „IKT-Risikomanagementrahmen“) für ihre digitale Welt zu entwickeln und so für mehr Sicherheit im Cyber-Raum zu sorgen.

Im Zentrum dieser Ordnung steht die DOR-Strategie – eine Strategie zur digitalen operativen Resilienz. Sie bildet das Fundament für den sicheren Einsatz von Informations- und Kommunikationstechnologien (IKT) in allen Bereichen des Unternehmens. Die DOR-Strategie definiert klare und verbindliche Regeln für den strukturierten und sicheren Umgang mit IKT. Sie stellt sicher, dass IT-Systeme nach einheitlichen Standards genutzt werden – ähnlich wie wie das Straßenverkehrsgesetz für einen reibungslosen Ablauf auf den Straßen sorgt. Doch wie entsteht diese Strategie, was beinhaltet sie, und wie wird sie umgesetzt?

Um in der Analogie zu bleiben, ist die Geschäftsleitung vergleichbar mit der Bundesregierung. Sie trägt die ultimative Verantwortung, dass es ein Gesetz gibt, welches die Sicherheit im Straßenverkehr garantiert. Im Bereich der IKT-Sicherheit bedeutet das, dass die Geschäftsleitung dafür verantwortlich ist, dass eine DOR-Strategie existiert, um den sicheren Einsatz von IKT zu gewährleisten. Gleichzeitig übernimmt die Geschäftsleitung eine gesetzgebende Rolle. Sie ist für die Verabschiedung dieser Strategie zuständig, ähnlich wie Bundestag und Bundesrat als gesetzgebende Staatsorgane das Straßenverkehrsgesetz verabschieden.

Die operative Erstellung und Überprüfung der DOR-Strategie wird in der Regel an ein IT-Strategie-Team delegiert, so wie die Bundesregierung die Ausarbeitung der Gesetze an verschiedene Bundesministerien überträgt. Diese unterstützenden Stellen sorgen dafür, dass die Vorgaben entwickelt, regelmäßig aktualisiert und durchgesetzt werden.

Aufgrund ihres übergeordneten Charakters benötigen sowohl das Straßenverkehrsgesetz als auch die DOR-Strategie in der Regel weitere inhaltliche Konkretisierungen. Im Straßenverkehr gibt es dafür zahlreiche Verordnungen, die verschiedene Aspekte regeln. Hier einige Beispiele:

Die Straßenverkehrsordnung (StVO) legt das Verhalten der Verkehrsteilnehmer fest,
die Fahrerlaubnis-Verordnung regelt die Erteilung und Entziehung von Führerscheinen
die Straßenbauverordnung regelt die Planung, den Bau und die Instandhaltung von Straßen,
und die Straßenverkehrszulassungsordnung bestimmt die technischen Voraussetzungen für die Zulassung von Fahrzeugen.

Diese Konkretisierungen werden vom Bundesministerium für Digitales und Verkehr ausgearbeitet, das dazu von der Bundesregierung beauftragt wurde.

Ebenso wird die DOR-Strategie durch spezifische IKT-Sicherheitsrichtlinien konkretisiert, die verschiedene Aspekte des IKT-Einsatzes regeln und die Analogien zum Straßenverkehr aufweisen:

Die Richtlinie zur Informationssicherheit lässt sich gut mit der StVO vergleichen: Sie legt grundlegende Vorgaben fest, die für alle im „digitalen Verkehr“ gelten, und beschreibt, wie sich die Beteiligten verhalten müssen, um einen sicheren Betrieb zu gewährleisten.
Die Richtlinie zum Berechtigungsmanagement ähnelt der Fahrerlaubnis-Verordnung: Sie bestimmt, wer auf welche IT-Systeme zugreifen darf und welche Berechtigungen dafür erforderlich sind – vergleichbar mit der Fahrerlaubnis im Straßenverkehr.
Die Richtlinie zur Netzwerksicherheit kann man mit der Straßenbauverordnung vergleichen: Während diese den sicheren Bau und die Instandhaltung von Straßen regelt, legt die Netzwerksicherheitsrichtlinie fest, wie IT-Infrastrukturen sicher aufgebaut und geschützt werden müssen, etwa durch Netzwerksegmentierung und den Einsatz von Firewalls.
Die Richtlinie zum IKT-Assetmanagement legt fest, welche Software, Hardware oder IT-Systeme, im Unternehmen eingesetzt werden dürfen und welche Zulassungsprozesse dafür erforderlich sind, ähnlich der Straßenverkehrszulassungsordnung, die die Zulassungskriterien und -prozesse für Fahrzeuge regelt.

Für die Erstellung dieser IKT-Sicherheitsrichtlinien beauftragt die Geschäftsleitung spezifische Teams oder Funktionen (z.B. den Informationssicherheitsbeauftragten) – ähnlich wie die Bundesregierung das Bundesministerium für Digitales und Verkehr beauftragt. Diese Vorgaben haben den Charakter von unternehmensweit gültigen Gesetzen, die einer Freigabe und Festlegung durch die Geschäftsleitung als gesetzgebendes Organ bedürfen – ähnlich wie Bundestag und Bundesrat die Gesetzesentwürfe der Ministerien verabschieden.

Nun kommen wir zur Umsetzung der Vorgaben. Diese liegt, je nach Regelungsbereich der jeweiligen Gesetze und Verordnungen, bei ganz unterschiedlichen Stellen. Wir alle kennen die StVO, da sie unser tägliches Verhalten im Straßenverkehr unmittelbar beeinflusst. Sie regelt, wie wir uns verhalten müssen, um sicher von A nach B zu kommen. Doch nicht jede Verordnung ist für uns „normale“ Verkehrsteilnehmer direkt relevant. Einige Vorschriften, wie die Fahrerlaubnis-Verordnung, die Straßenbauverordnung oder die Straßenverkehrszulassungsordnung, betreffen uns allenfalls indirekt. Diese Regelwerke wirken im Hintergrund, und ihre Umsetzung liegt oft in den Händen von Behörden oder Fachleuten, die sich um Führerscheine, den Bau sicherer Straßen oder die Zulassung von Fahrzeugen kümmern.

So ähnlich verhält es sich auch mit der DOR-Strategie und den zugehörigen IKT-Sicherheitsrichtlinien. Nicht jede Vorgabe ist für jeden Mitarbeitenden im Unternehmen relevant oder muss im Detail verstanden werden, auch wenn wir alle auf die eine oder andere Weise davon betroffen sind. In jedem Fall richten sich aber die DOR-Strategie und die Informationssicherheitsrichtlinie an die „normalen“ Mitarbeitenden und legen grundlegende Regeln fest, die für einen sicheren „digitalen Straßenverkehr“ im Unternehmen sorgen sollen. Genauso wie Fußgänger und Fahrradfahrer die wichtigsten Regeln der StVO kennen müssen, um sich sicher im Straßenverkehr zu bewegen, müssen auch alle Mitarbeitenden die zentralen Sicherheitsvorgaben verstehen und einhalten, um die sichere Nutzung von Informations- und Kommunikationstechnologien (IKT) im Arbeitsalltag zu gewährleisten.

Wer sich den DORA-Tempel genauer angesehen hat, erkennt schnell, dass es weit mehr IKT-Sicherheitsrichtlinien gibt, die an verschiedene Bereiche und Verantwortliche im Unternehmen gerichtet sind. Wer jedoch glaubt, dass hier nur die IT betroffen ist, irrt gewaltig. Jeder von uns, der einmal den Theorieunterricht im Rahmen der Fahrerlaubnis-Ausbildung durchlaufen hat, weiß, dass hinter dem Führen eines Fahrzeugs zahlreiche Verpflichtungen stehen, die sich nicht delegieren lassen.

Hier einige Beispiele:

Fahrzeugzulassung: Sie müssen ihr Fahrzeug zulassen, bevor Sie es im Straßenverkehr nutzen dürfen.
Verkehrssicherheit: Vor jeder Fahrt müssen Sie sicherstellen, dass das Fahrzeug verkehrssicher ist – dazu gehört die Überprüfung von Beleuchtung, Bremsen und Reifen.
Regelmäßige Wartung: Ihr Fahrzeug muss regelmäßig zur Abgasuntersuchung (AU) und Hauptuntersuchung (HU).
Unfallmeldung: Bei Unfällen ist eine ordnungsgemäße Meldung bei der Polizei erforderlich.

Genauso verhält es sich im digitalen Verkehrsraum: In der Regel finden wir in Unternehmen die sogenannten Anwendungsverantwortlichen, die mit Haltern von Kraftfahrzeugen vergleichbar sind und deren Aufgaben und Verantwortlichkeiten stark an Pflichten erinnern, die wir aus dem Straßenverkehr kennen:

Zulassung der Anwendung: Wenn eine neue Anwendung eingeführt werden soll, muss sie erst beim IKT-Assetmanagement „zugelassen“ werden, damit später eine Identifikation der Anwendung und des Eigentümers möglich ist. Genauso wie ein Kraftfahrzeug zugelassen werden muss, um es legal auf öffentlichen Straßen zu nutzen, gilt dies auch für die virtuellen Straßen im Unternehmen.
Sicherheitsvorschriften: Anwendungsverantwortliche müssen sicherstellen, dass ihre Anwendungen die Sicherheitsvorgaben einhalten, beispielsweise zum Berechtigungsmanagement und Passwortschutz – so ähnlich wie ein Fahrzeughalter dafür sorgen muss, dass niemand unbefugt sein Fahrzeug nutzt.
Regelmäßige Wartungen: Im Straßenverkehr gibt es regelmäßige Wartungen, weil nicht alle sicherheitsrelevanten Aspekte vom Fahrzeughalter allein überprüft werden können – hier braucht es das Expertenwissen von Mechanikern. Genauso verhält es sich mit der Zusammenarbeit zwischen fachlichen und technischen Anwendungsverantwortlichen. Der Techniker kann viele Aspekte der Anwendungssicherheit besser beurteilen als sein fachliches Pendant und steht mit Rat und Tat zur Seite.
Meldepflicht bei Vorfällen: Eine wichtige Parallele ist die Meldepflicht bei Unfällen. Hier trägt nicht nur der Halter des Fahrzeuges Verantwortung sondern auch alle weiteren Verkehrsteilnehmer, die in einen Unfall verwickelt sind oder diesen beobachten. Sie sind gesetzlich verpflichtet, die Polizei über das Geschehnis zu informieren. Ähnlich verhält es sich im virtuellen Raum: Alle Mitarbeitenden, die Anomalien oder Störungen bemerken, müssen diese unverzüglich an das Incident Management melden, sodass dort die richtigen Maßnahmen ergriffen werden können, um den Vorfall zu beheben und den reibungslosen Betrieb wiederherzustellen.

Diese Analogie zeigt, dass die Verantwortung der Anwendungsverantwortlichen im digitalen Raum der von Fahrzeughaltern im Straßenverkehr ähnelt. Beide tragen Sorge dafür, dass alles sicher und regelkonform abläuft – sei es auf der Straße oder im Cyber-Raum.

Zu guter Letzt möchte ich die Parallelen zur Kontrolle und Überwachung aufzeigen. Im Straßenverkehr sind verschiedene Behörden und Prüfstellen regelmäßig aktiv, um die Sicherheit zu gewährleisten. Ein Beispiel, das wir alle kennen – und manchmal fürchten – ist die Verkehrspolizei, die stichprobenartig Routinekontrollen durchführt, um die Zulassung und Sicherheit der Fahrzeuge zu überprüfen und den Fahrer gegebenenfalls an seine Pflichten zu erinnern. Ebenfalls bekannt ist die Pflicht zur Haupt- und Abgasuntersuchung (HU/AU). Hier übernehmen unabhängige Prüfungsorganisationen wie DEKRA oder TÜV die Aufgabe, die Verkehrs- und Betriebssicherheit der Fahrzeuge zu kontrollieren.

Ähnlich verhält es sich im Unternehmen mit den regelmäßigen Compliance-Checks, die häufig von Kollegen der Second-Line-of-Defence durchgeführt werden. Nach DORA liegt die Überwachung im Verantwortungsbereich der unabhängigen IKT-Risikokontrollfunktion, die (nach meinem Verständnis) verschiedene etablierte Beauftragtenrollen wie den ISB, den BCM-Beauftragten und den Auslagerungsbeauftragten umfasst. Und um zu gewährleisten, dass keine Sicherheitslücken übersehen werden, kommt in der dritten Verteidigungslinie die Interne Revision hinzu, die eine zusätzliche Sicherheitsebene schafft.

Diese Mechanismen stellen sicher, dass die „Verkehrs- und Betriebssicherheit“ unserer virtuellen Fahrzeuge – also der Anwendungen und IT-Systeme – sowie der virtuellen Straßen – unsere Netzwerke – gewährleistet ist. Sie sorgen dafür, dass wir uns sicher und regelkonform im digitalen Raum bewegen können, so wie wir es auf unseren Straßen tun.

Ich bin gespannt auf euer Feedback 🙂 Einen guten Start in den Tag.