DORA und ISO 27001 im Vergleich: Reicht das Zertifikat?

Ein Unternehmen aus dem Finanzsektor hat viel Zeit und Geld in sein Informationssicherheitsmanagement gesteckt. Das Zertifizierungsaudit ist bestanden, das Zertifikat hängt an der Wand und dann kommt DORA. Im ersten Gespräch fällt deshalb ziemlich schnell der Satz: „Wir sind doch nach ISO 27001 zertifiziert. Damit müssten wir DORA doch eigentlich erledigt haben.“

Das ist nachvollziehbar. DORA und ISO 27001 beschäftigen sich schließlich beide mit Risiken, Sicherheitsvorfällen, Dienstleistern, Notfällen, Tests und der Verantwortung des Managements. Trotzdem wäre es gefährlich, aus dieser Überschneidung eine automatische Gesetzeskonformität abzuleiten.

Das ISO 27001-Zertifikat ist ein sehr gutes Fundament. Ein DORA-Freifahrtschein ist es nicht.

Die kurze Antwort

Ein gut aufgebautes Informationssicherheitsmanagementsystem nach ISO 27001 kann Ihnen bei der Umsetzung von DORA enorm helfen. Viele grundlegende Strukturen sollten bereits vorhanden sein: Verantwortlichkeiten, Risikomanagement, Asset Management, Vorfallmanagement, Notfallvorsorge, Lieferantensteuerung, Interne Audits und die kontinuierliche Verbesserung.

DORA ist aber unmittelbar geltendes europäisches Aufsichtsrecht. Die Verordnung enthält Anforderungen, die konkreter sind (bspw. aufsichtsrechtliche Meldepflichten) oder in ISO 27001 so gar nicht vorkommen (etwa ein detailliertes Informationsregister für IKT-Drittdienstleister, bestimmte Vertragsinhalte und besondere Resilienztests).

Deshalb gilt: Ein ISO 27001-Zertifikat kann ein wichtiger Nachweisbaustein sein. Es weist aber nicht nach, dass Ihr Unternehmen sämtliche DORA-Pflichten erfüllt.

Was ist DORA?

DORA steht für „Digital Operational Resilience Act“. Der vollständige deutsche Titel lautet „Verordnung über die digitale operationale Resilienz im Finanzsektor“. Es handelt sich um die EU-Verordnung 2022/2554, die seit dem 17. Januar 2025 anzuwenden ist.

Die Grundidee ist eigentlich gut verständlich: Unternehmen des Finanzsektors sollen auch dann zuverlässig funktionieren können, wenn ihre Informations- und Kommunikationstechnik gestört wird, angegriffen wird oder ein wichtiger Dienstleister ausfällt.

DORA betrachtet deshalb nicht nur klassische Informationssicherheit. Im Mittelpunkt steht die digitale operationale Resilienz – also die Fähigkeit, IKT-bezogene Störungen zu verhindern, sie zu überstehen, darauf zu reagieren und den Geschäftsbetrieb wiederherzustellen.

Die Verordnung regelt insbesondere:

• das IKT-Risikomanagement;
• die Behandlung und Meldung schwerwiegender IKT-Vorfälle;
• Tests der digitalen operationalen Resilienz;
• Risiken durch IKT-Drittdienstleister;
• Mindestanforderungen an bestimmte Dienstleisterverträge;
• den Informationsaustausch über Cyberbedrohungen;
• die Aufsicht über kritische IKT-Drittdienstleister.

Damit reicht DORA von der Geschäftsführung über Compliance, Risikomanagement und Informationssicherheit bis tief in IT, Einkauf, Vertragsmanagement und Notfallvorsorge hinein. Wer daraus ein reines IT-Projekt macht, hat einen beträchtlichen Teil der Aufgabe noch nicht verstanden.

Wer muss sich nach DORA richten?

DORA richtet sich an einen großen Teil des europäischen Finanzsektors. Dazu gehören unter anderem:

• Kreditinstitute;
• Zahlungs- und E-Geld-Institute;
• Wertpapierfirmen;
• Versicherungs- und Rückversicherungsunternehmen;
• bestimmte Versicherungsvermittler;
• Verwaltungsgesellschaften und Verwalter alternativer Investmentfonds;
• Handelsplätze, Zentralverwahrer und zentrale Gegenparteien;
• Ratingagenturen;
• Schwarmfinanzierungsdienstleister;
• bestimmte Anbieter von Kryptowerte-Dienstleistungen;
• Einrichtungen der betrieblichen Altersversorgung.

Die vollständige Liste steht in Artikel 2 DORA. Dort finden sich auch Ausnahmen für bestimmte kleinere Unternehmen oder besondere Konstellationen. Zusätzlich gilt innerhalb von DORA der Grundsatz der Verhältnismäßigkeit. Was ein kleines, wenig komplexes Unternehmen umsetzen muss, kann sich in Tiefe und Ausgestaltung von den Erwartungen an einen international tätigen Finanzkonzern unterscheiden.

Auch IKT-Dienstleister spielen eine zentrale Rolle. Sie fallen aber nicht automatisch alle in gleicher Weise unter sämtliche Pflichten, nur weil sie einem Finanzunternehmen etwas verkaufen. Für besonders kritische IKT-Drittdienstleister gibt es ein eigenes europäisches Überwachungsregime. Alle anderen werden vor allem mittelbar erfasst: Ihre Kunden aus dem Finanzsektor müssen Risiken, Verträge, Leistungen, Ausstiegsstrategien und Abhängigkeiten DORA-konform steuern.

Was ist ISO 27001?

ISO 27001 ist eine international anerkannte Norm für Informationssicherheitsmanagementsysteme, kurz ISMS. Sie beschreibt, wie eine Organisation Informationssicherheit systematisch aufbaut, betreibt, überwacht und verbessert.

Im Zentrum steht ein risikobasierter Managementansatz. Das Unternehmen muss verstehen, welche Informationen, Systeme, Prozesse und anderen Werte geschützt werden müssen, welche Gefährdungen bestehen und wie mit den daraus entstehenden Risiken umgegangen wird. Dazu passt unser Artikel zum Asset Management und den zu erfassenden Werten.

ISO 27001 ist grundsätzlich freiwillig. Unternehmen können ihr ISMS durch eine unabhängige Zertifizierungsstelle auditieren lassen. Ein Zertifikat bescheinigt dann, dass das ISMS in dem festgelegten Geltungsbereich die Anforderungen der Norm erfüllt.

Der letzte Halbsatz ist wichtig: Zertifiziert wird ein bestimmter Geltungsbereich. Das kann das ganze Unternehmen sein, muss es aber nicht. DORA richtet sich dagegen danach, ob und in welchem Umfang das Unternehmen gesetzlich erfasst ist. Ein knapp gewählter Zertifikats-Geltungsbereich verkleinert keine gesetzlichen Verpflichtungen.

Was haben DORA und ISO 27001 gemeinsam?

Die Überschneidungen sind beträchtlich. Wer bereits ein ernsthaft betriebenes ISMS hat, fängt bei DORA keineswegs bei null an.

Verantwortung und Governance

Beide Regelwerke machen Informationssicherheit beziehungsweise digitale Resilienz zur Führungsaufgabe. Zuständigkeiten müssen festgelegt, Entscheidungen getroffen, Ressourcen bereitgestellt und Ergebnisse überwacht werden. DORA beschreibt die Verantwortung des Leitungsorgans allerdings deutlich regulatorischer und teilweise konkreter.

Risikomanagement

Risiken sollen nicht nur gefühlt, sondern strukturiert erkannt, bewertet und behandelt werden. Ein vorhandener ISMS-Risikoprozess kann deshalb auch für DORA sehr wertvoll sein. Er muss allerdings darauf geprüft werden, ob er die DORA-Perspektive auf IKT-Risiken, kritische oder wichtige Funktionen und Abhängigkeiten ausreichend abbildet.

Assets und Abhängigkeiten

Wer nicht weiß, welche Systeme, Informationen, Schnittstellen und Dienstleister den eigenen Geschäftsbetrieb tragen, kann deren Ausfallrisiken nicht sinnvoll steuern. ISO 27001 und DORA benötigen deshalb beide eine belastbare Übersicht über die eigene technische und organisatorische Landschaft.

Vorfallmanagement und Überwachung

Beide verlangen funktionierende Abläufe zum Erkennen, Bewerten und Behandeln von Vorfällen. Wie so etwas praktisch aufgebaut wird, beschreiben wir im Artikel zum Informationssicherheitsvorfall-Management. Ohne geeignetes Logging und Monitoring bleibt allerdings auch der schönste Vorfallprozess blind.

DORA ergänzt diese betriebliche Seite um detaillierte regulatorische Einstufungs- und Meldepflichten. Genau hier reicht ein allgemeiner ISO-Prozess häufig noch nicht aus.

Notfallvorsorge, Wiederherstellung und Tests

Beide Regelwerke wollen vermeiden, dass ein Unternehmen beim ersten ernsten Ausfall nur noch hektisch telefoniert. Wiederanlauf, Datensicherung, Ersatzverfahren, Kommunikation und Tests gehören deshalb in beiden Welten dazu. DORA setzt den Schwerpunkt besonders deutlich auf die Widerstandsfähigkeit der IKT und sieht für ausgewählte Unternehmen auch anspruchsvolle bedrohungsgeleitete Penetrationstests vor.

Dienstleister und Lieferketten

Sowohl ISO 27001 als auch DORA verlangen, dass ausgelagerte Leistungen nicht einfach aus dem Verantwortungsbereich verschwinden. Unternehmen müssen wissen, welche Dienstleister sie einsetzen, welche Risiken entstehen und wie diese gesteuert werden.

DORA geht dabei erheblich tiefer: mit einem Register der IKT-Drittdienstleister, Anforderungen an Vertragsinhalte, Konzentrationsrisiken, Unterauftragnehmer, Prüfungsrechte und Ausstiegsstrategien.

Prüfung und Verbesserung

Beide Ansätze erwarten, dass Maßnahmen nicht nur beschlossen, sondern auf ihre Funktion überprüft werden. ISO 27001 verlangt unter anderem Überwachung, Messung, Interne Audits und Verbesserung. DORA verlangt ebenfalls unabhängige Prüfungen des IKT-Risikomanagementrahmens und verschiedene Resilienztests. Warum die Frage „Bringt das eigentlich etwas?“ so wichtig ist, erläutert unser Artikel über die Wirksamkeit von Sicherheitsmaßnahmen.

DORA und ISO 27001 im direkten Vergleich

Wo liegen die entscheidenden Unterschiede?

Der wichtigste Unterschied lautet: DORA ist ein Gesetz, ISO 27001 ist eine Norm.

Ein Unternehmen kann sich bewusst gegen eine ISO 27001-Zertifizierung entscheiden. Wenn es unter DORA fällt, kann es sich nicht gegen DORA entscheiden. Auch ein ausgelagerter Prozess ändert daran nichts. DORA stellt ausdrücklich klar, dass das Finanzunternehmen für die Erfüllung seiner Pflichten verantwortlich bleibt.

Der zweite Unterschied liegt in der Detailtiefe. ISO 27001 gibt einen sehr gut verwendbaren Managementrahmen vor und lässt bei der konkreten Umsetzung bewusst Spielraum. DORA enthält dagegen spezifische regulatorische Anforderungen. Hinzu kommen technische Regulierungs- und Durchführungsstandards, die einzelne Pflichten weiter konkretisieren.

Der dritte Unterschied liegt im Zweck der Prüfung. Ein ISO 27001-Auditor prüft, ob das ISMS im vereinbarten Geltungsbereich die Anforderungen der Norm erfüllt. Die Aufsicht prüft, ob das Unternehmen seine gesetzlichen DORA-Pflichten erfüllt. Das sind unterschiedliche Aufträge, unterschiedliche Kriterien und unterschiedliche Konsequenzen.

Wer schon andere Managementsysteme integriert, kennt das Grundprinzip: Gemeinsame Prozesse sollte man gemeinsam nutzen, zusätzliche Anforderungen aber sichtbar ergänzen. Das erläutern wir auch am Beispiel eines integrierten ISMS und ISO 9001-QMS.

Wie wird DORA geprüft?

Eine häufige Fehlvorstellung lautet: „Dann bestellen wir eben ein DORA-Audit und bekommen anschließend das DORA-Zertifikat.“

So funktioniert es nicht. DORA sieht kein allgemeines Zertifizierungsschema vor, bei dem ein Unternehmen nach einem einmaligen Audit ein DORA-Zertifikat erhält.

Die Einhaltung wird vielmehr im Rahmen der laufenden Finanzaufsicht überprüft. Je nach Unternehmen sind unterschiedliche zuständige Behörden beteiligt. In Deutschland spielt häufig die BaFin eine zentrale Rolle; bei bestimmten Instituten kommen weitere nationale oder europäische Zuständigkeiten hinzu.

Die Aufsicht kann unter anderem:

• Informationen und Unterlagen anfordern;
• Register und Meldungen auswerten;
• Untersuchungen und Vor-Ort-Prüfungen durchführen;
• Zugang zu relevanten Daten und Dokumenten verlangen;
• Abhilfemaßnahmen anordnen;
• Verstöße sanktionieren.

Hinzu kommen die unternehmensinternen Prüfmechanismen. DORA fordert regelmäßige Interne Audits des IKT-Risikomanagementrahmens. Die Prüfer müssen unabhängig sein und über ausreichende Kenntnisse, Fähigkeiten und Expertise im Bereich IKT-Risiken verfügen. Dazu kommen Resilienztests und gegebenenfalls bedrohungsgeleitete Penetrationstests.

Für kritische IKT-Drittdienstleister gibt es außerdem eine direkte europäische Überwachung durch die Europäischen Aufsichtsbehörden. Dabei können Untersuchungen, Inspektionen und Empfehlungen eine Rolle spielen.

DORA wird also nicht an einem einzigen großen Prüfungstag entschieden. Die Aufsicht kann sich aus Meldungen, Registern, Prüfungen, Tests, Verträgen und laufenden Nachweisen ein Bild davon machen, ob das Unternehmen seine digitale operationale Resilienz tatsächlich beherrscht.

Kann ein ISO 27001-Zertifikat die DORA-Pflichten erfüllen?

Nein – jedenfalls nicht allein.

Ein Zertifikat kann sehr glaubwürdig zeigen, dass ein geprüftes Informationssicherheitsmanagementsystem vorhanden ist. Es kann der Aufsicht, Kunden und Geschäftspartnern außerdem signalisieren, dass zentrale Strukturen unabhängig auditiert wurden. Die ISO 27001-Zertifizierung ist deshalb keineswegs wertlos, nur weil zusätzlich DORA gilt.

Sie beantwortet aber nicht automatisch folgende Fragen:

• Sind alle für Ihr Unternehmen geltenden DORA-Anforderungen identifiziert?
• Deckt der Zertifikats-Geltungsbereich sämtliche relevanten Funktionen und Systeme ab?
• Ist das DORA-Informationsregister vollständig und im vorgeschriebenen Format verfügbar?
• Erfüllen die Verträge mit IKT-Drittdienstleistern die DORA-Anforderungen?
• Funktionieren Klassifizierung und aufsichtsrechtliche Meldung von IKT-Vorfällen?
• Entspricht das Resilienztestprogramm den DORA-Vorgaben?
• Sind die DORA-spezifischen Verantwortlichkeiten des Leitungsorgans umgesetzt und nachweisbar?

Ein Zertifikat ist also ein Beweismittel für einen Teil der Strecke. Es ist nicht der Beweis dafür, dass auch alle übrigen Kilometer gefahren wurden.

So nutzen Sie Ihr bestehendes ISMS für DORA

Wenn bereits ein ISMS vorhanden ist, sollten Sie keine zweite Dokumentenwelt nebenher bauen. Sinnvoller ist ein strukturierter Abgleich.

1. Betroffenheit und Anwendungsbereich klären

Prüfen Sie zunächst, welche Gesellschaften, Funktionen und Dienstleistungen unter DORA fallen und welche Erleichterungen oder Ausnahmen einschlägig sein können.

2. DORA-Anforderungen vollständig erfassen

Berücksichtigen Sie nicht nur den Verordnungstext, sondern auch die einschlägigen technischen Regulierungs- und Durchführungsstandards. Ordnen Sie Verantwortliche und erwartete Nachweise zu.

3. Bestehende ISMS-Prozesse zuordnen

Prüfen Sie, welche Anforderungen bereits durch Risiko-, Asset-, Incident-, BCM-, Lieferanten-, Audit- oder Verbesserungsprozesse erfüllt werden. Übernehmen Sie diese Strukturen, wenn sie funktionieren.

4. Eine DORA-Gap-Analyse durchführen

Suchen Sie gezielt nach dem, was über ISO 27001 hinausgeht. Typische Kandidaten sind Meldeverfahren, Informationsregister, Vertragsanforderungen, Testprogramme, TLPT, Konzentrationsrisiken und spezielle Leitungsaufgaben.

5. Lücken in das bestehende Managementsystem integrieren

Ergänzen Sie vorhandene Prozesse und Dokumente, statt jede DORA-Anforderung in eine neue Richtlinie zu verwandeln. Ein funktionierender Gesamtprozess ist besser als zwei widersprüchliche Parallelprozesse.

6. Nachweise aus Sicht der Aufsicht prüfen

Fragen Sie nicht nur: „Haben wir dazu ein Dokument?“ Fragen Sie: „Können wir nachvollziehbar zeigen, dass der Prozess funktioniert, die richtigen Personen entscheiden und die Ergebnisse vollständig vorliegen?“

Dass ein Unternehmen Regeln aufgeschrieben hat, bedeutet schließlich noch nicht, dass es sie einhält. Wo die Grenze zur Nichtkonformität liegt, erläutern wir in unserem Beitrag über Abweichungen im ISO 27001-Audit.

Aus Sicht eines Auditors

Ein ISO 27001-Zertifizierungsauditor kann bei einer Prüfung durchaus berücksichtigen, dass DORA eine relevante gesetzliche und regulatorische Anforderung für das Unternehmen ist. Das macht das Zertifizierungsaudit aber nicht zur DORA-Prüfung und den Auditor nicht zum Vertreter der Finanzaufsicht.

Umgekehrt wird ein Aufsichtsprüfer ein vorhandenes Zertifikat vermutlich nicht ignorieren. Er darf daraus nur nicht mehr ableiten, als tatsächlich geprüft wurde. Entscheidend sind daher der Geltungsbereich des Zertifikats, die konkrete Reife des ISMS und die nachvollziehbare Zuordnung der DORA-Anforderungen.

Die beste Position haben Unternehmen, die weder so tun, als hätte ISO 27001 mit DORA nichts zu tun, noch so, als sei beides dasselbe. Nutzen Sie die Überschneidungen konsequent – und behandeln Sie die verbleibenden DORA-Lücken ebenso konsequent.

Interesse geweckt?

Sie fallen unter DORA und möchten wissen, welche Anforderungen Ihr bestehendes ISMS bereits abdeckt? Oder Sie wollen ISO 27001 so aufbauen, dass regulatorische Anforderungen nicht in einer zweiten Parallelwelt landen?

Dann sprechen Sie mit uns. Wir prüfen gemeinsam, welche Strukturen bereits vorhanden sind, wo echte DORA-Lücken bestehen und wie sich die Anforderungen pragmatisch in Ihr Managementsystem integrieren lassen.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.