Wer schreibt eigentlich die DORA-Richtlinien?

Vor einiger Zeit habe ich den DORA-Tempel veröffentlicht, der die wesentlichen Strategien, Richtlinien und Verfahrensanweisungen zur Sicherstellung der digitalen Resilienz umfasst. Der Tempelt enthält 17 verschiedene IKT-Sicherheitsrichtlinien, die eine Bandbreite an Fachthemen abdecken – darunter Sicherheit im IT-Betrieb, Projektmanagement und Personalsicherheit.

Vor einiger Zeit habe ich den DORA-Tempel veröffentlicht, der die wesentlichen Strategien, Richtlinien und Verfahrensanweisungen zur Sicherstellung der digitalen Resilienz umfasst. Der Tempelt enthält 17 verschiedene IKT-Sicherheitsrichtlinien, die eine Bandbreite an Fachthemen abdecken – darunter Sicherheit im IT-Betrieb, Projektmanagement und Personalsicherheit. Doch die zentrale Frage bleibt: Wer ist eigentlich verantwortlich für das Erstellen und Aktualisieren dieser Richtlinien?

In den Häusern diskutieren wir bereits seit Veröffentlichung der BAIT darüber, wer die „richtige“ Person oder Funktion für diese Aufgabe ist. Dabei geht es oft um Kapazitäten, die nötige Expertise und nicht zuletzt um die politische Frage, wer im Unternehmen überhaupt die Befugnis hat, solche Vorgaben zu erstellen.

Hier lohnt sich aus meiner Sicht ein Blick in die Analogie des Straßenverkehrs – und zu meinem Glück passt das hervorragend zur DORA-Verordnung!

Verantwortung liegt beim Leitungsorgan

Ähnlich wie die Bundesregierung die Verantwortung für die Sicherheit im Straßenverkehr trägt und dafür sorgen muss, dass Gesetze diese Sicherheit gewährleisten, liegt die Verantwortung für die Sicherheit im Cyberraum bei den Leitungsorganen eines Unternehmens. Artikel 5(2b) DORA legt fest, dass das Leitungsorgan letztlich für das Vorhandensein der IKT-Sicherheitsrichtlinien verantwortlich ist.

Natürlich schreibt die Bundesregierung ihre Gesetze nicht selbst, sondern überträgt diese Aufgabe an Ministerien, die gemäß ihrer fachlichen Zuständigkeit die nötigen Vorgaben ausarbeiten. Übertragen auf den Unternehmenskontext bedeutet dies, dass das Leitungsorgan gemäß Artikel 5(2c) DORA festlegen muss, welche Teams, Funktionen oder Rollen für die Ausarbeitung der Vorgaben verantwortlich sind. Wie die Bundesregierung Ministerien (z. B. für Digitales und Verkehr, Wirtschaft und Klimaschutz oder Umwelt und Bau) etabliert hat, benötigt auch ein Unternehmen interne „Ministerien“ oder Kompetenzzentren, die jeweils spezifische fachliche Kontexte abdecken.

Unternehmensinterne Kompetenzzentren und ihre Mandate

In den meisten Unternehmen gibt es bereits verschiedene Kompetenzzentren: für Strategieentwicklung, Projektmanagement, operative Sicherheit, Einkauf und Outsourcing, Informationssicherheit, IKT-Risikomanagement, Notfallmanagement und viele weitere. Die entscheidende Frage lautet also: Welche Kompetenzzentren haben wir, und welche Mandate besitzen sie?

Die pauschale Antwort „Das macht der Informationssicherheitsbeauftragte“ greift aus meiner Sicht zu kurz. Der ISB ist nicht zwangsläufig die geeignete Stelle, um alle sicherheitsrelevanten Richtlinien im Unternehmen zu verantworten. Das wäre in etwa so, als ob das Bundesverkehrsministerium auch die Klimaziele für Deutschland festlegen würde.

Auch DORA setzt die Verantwortung für die Richtlinienerstellung nicht auf eine einzelne Rolle fest. Gemäß Artikel 2(2i) RTS Risk Management muss jede Richtlinie dokumentieren, wer für deren Erstellung, Implementierung und Aktualisierung verantwortlich ist – ohne dass dies automatisch die Kontrolle der Umsetzung umfasst.

Unabhängigkeit gemäß Modell der drei Verteidigungslinien

Ein wichtiger Punkt in diesem Kontext ist die Einhaltung des Three Lines of Defense-Modells: Artikel 2(2g) RTS Risk Management fordert, dass jede Richtlinie Vorgaben zur Segregation of Duties (SOD) enthält, um Interessenkonflikte zwischen denjenigen zu vermeiden, die Vorgaben erstellen, sie implementieren und deren Einhaltung überwachen.

Was bedeutet das konkret an einem Beispiel? Nehmen wir an, die Richtlinie zum Berechtigungsmanagement würde in einer operativen Abteilung erstellt, die gleichzeitig auch für die Implementierung zuständig ist – wie wäre dann die Unabhängigkeit gewährleistet? Ich würde dazu folgende Argumentation aufbauen:

• Die handwerkliche Erstellung der Richtlinie erfolgt in der zuständigen Fachabteilung als Teil der ersten Verteidigungslinie, hier dem Berechtigungsmanagement. In dieser Abteilung sollten ohnehin die Experten sitzen, die sich am besten mit den fachlichen und technischen Anforderungen und Möglichkeiten in dieser Disziplin auskennen.
• Gemäß Artikel 5(2) DORA muss die Freigabe der Vorgaben durch das Leitungsorgan erfolgen, und ist sogar in der IKT-Sicherheitsrichtlinie zu dokumentieren (vgl. Artikel 2(2b) RTS Risk Management). Das Leitungsorgan ist damit Teil der ersten Verteidigungslinie und übernimmt eine Art „Parlamentsfunktion“: Es trägt die Verantwortung und prüft, ob die Richtlinien inhaltlich angemessen sind und die Intention des Unternehmens widerspiegeln. Dabei kann es sich auch die Meinung weiterer Experten, wie etwa des Informationssicherheitsbeauftragten, einholen.
• Die Einhaltung der internen Vorgaben wird durch die IKT-Risikokontrollfunktion als Teil der zweiten Verteidigungslinie überwacht. Diese Funktion agiert quasi als „Verkehrspolizei“ und sorgt dafür, dass alle – auch diejenigen, die die Vorgaben erstellt haben – diese konsequent einhalten und umsetzen. Gleichzeitig prüft die IKT-Risikokontrollfunktion die Einhaltung gesetzlicher und regulatorischer Anforderungen, die von außen auf das Unternehmen wirken. Mithilfe regelmäßiger Soll-Soll-Vergleiche werden dabei mögliche Lücken oder Inkonsistenzen in den IKT-Sicherheitsrichtlinien identifiziert, und deren Behebung wird angestoßen.
• Abschließend übernimmt die Interne Revision als dritte Verteidigungslinie die übergeordnete Überwachung der Einhaltung und Angemessenheit dieser Vorgaben.

Wer ist das Leitungsorgan?

Eine häufig diskutierte Frage bleibt Wer genau zählt eigentlich zum Leitungsorgan? Die DORA-Verordnung gibt hier eine klare Definition: Artikel 3(30) DORA verweist auf die Eigenkapitalrichtlinie, laut der das Leitungsorgan die Organe eines Instituts umfasst, die befugt sind, Strategie, Ziele und Gesamtpolitik festzulegen und die Entscheidungen der Geschäftsleitung zu überwachen.. Scheinbar bleibt jedoch offen, ob dies ausschließlich die Vorstände betrifft oder auch die Aufsichtsräte umfasst.

Ich bin kein Jurist und auch kein Experte für die Eigenkapitalrichtlinie, aber ich bin sicher, dass sich in unserer DORA-Community jemand findet, der hier etwas „zur Party“ mitbringen kann😀Ich freue mich auf eure Meinungen und einen regen Austausch und wünsche allen ein schönes Wochenende!