Resilienz zeigt sich im operativen Betrieb
DORA definiert Anforderungen, prüft Strukturen und Prozesse. Ob daraus echte Resilienz entsteht, entscheidet sich nicht im Dokumentationsordner, sondern im laufenden IT-Betrieb, wo Angreifer technische Schwachstellen und operative Bruchstellen ins Visier nehmen.
Sicherheit muss deswegen technisch durchgängig implementiert, zentral steuerbar und dauerhaft auditierbar sein. Während Governance und Reporting-Strukturen klar definiert sind, behindern in der Praxis häufig historisch gewachsene Strukturen die technische Umsetzung: Kryptografische Schlüssel werden dezentral verwaltet, Zertifikate über verschiedene Systeme verteilt, Berechtigungskonzepte sind nicht harmonisiert.
Solche Konstellationen sind nicht per se regelwidrig – sie erhöhen jedoch die Komplexität und damit das Risiko. Resilienz bedeutet eben nicht nur, Maßnahmen implementiert zu haben, sondern sie im Ernstfall kontrollieren zu können.
Identität als Steuerungselement moderner Infrastrukturen
In modernen, hybriden Infrastrukturen kommunizieren Systeme, Mitarbeitende, Dienstleister und Maschinen über Organisations- und Infrastrukturgrenzen hinweg. Ein identitätszentrierter Sicherheitsansatz wie im Kontext von Zero Trust stellt sicher, dass jede Entität eindeutig authentifiziert und autorisiert wird. Zugriff wird nicht aufgrund eines Netzwerkstandorts gewährt, sondern auf Basis klar definierter Identitäts- und Berechtigungsregeln. Wer Identitäten nicht durchgängig kontrolliert, verliert die operative Kontrolle über seine gesamte Sicherheitsarchitektur.
Kryptografie muss beherrschbar sein
Verschlüsselung schützt Daten. Doch sie entfaltet ihre Wirkung nur dann vollständig, wenn die zugrunde liegenden Schlüssel und Zertifikate zuverlässig verwaltet werden. Manuelle Erneuerungsprozesse, dezentrale Schlüsselverwaltung und fehlende Transparenz über Ablaufdaten sind operative Risiken. Eine belastbare Sicherheitsarchitektur erfordert eine konsistente Public-Key-Infrastruktur, automatisiertes Certificate Lifecycle Management und klar definierte Prozesse für Generierung, Nutzung und Widerruf kryptografischer Schlüssel.
Eine neue Dimension: Schutz während der Verarbeitung
Mit der Auslagerung kritischer Funktionen in Cloud-Umgebungen verschiebt sich ein Teil der Wertschöpfung in externe Infrastrukturen. Klassische Sicherheitskonzepte schützen Daten im Ruhezustand und bei der Übertragung. In cloudbasierten Szenarien gewinnt jedoch eine weitere Dimension an Bedeutung: der Schutz von Daten während der aktiven Verarbeitung. Ansätze wie Confidential Computing schaffen durch hardwarebasierte, isolierte Ausführungsumgebungen eine zusätzliche Schutzebene – auch gegenüber privilegierten Zugriffen auf Infrastrukturebene.
DORA als Modernisierungstreiber
Richtig verstanden ist DORA kein reines Compliance-Projekt, sondern ein Impulsgeber für die strukturelle Modernisierung sicherheitskritischer Infrastrukturen. Institute, die digitale Resilienz strategisch angehen, stellen sich vier zentrale Fragen:
Sind Identitäten organisationsweit konsistent steuerbar?
Ist Kryptografie zentral kontrollierbar und auditierbar?
Besteht vollständige Transparenz über Zertifikate, Schlüssel und Abhängigkeiten?
Sind Cloud- und Drittverarbeitungen technisch nachvollziehbar abgesichert?
Erst wenn diese Fragen klar beantwortet werden können, wird aus regulatorischer Konformität eine belastbare Sicherheitsbasis. Wer DORA ausschließlich als Pflichtübung versteht, vergibt die Chance zur strategischen Modernisierung der eigenen Sicherheitsarchitektur.
Digitale Resilienz ist kein Projekt mit Enddatum, sondern ein kontinuierlicher Reifeprozess. Wer ihn strategisch nutzt, stärkt nicht nur die regulatorische Position, sondern auch die operative Stabilität in einer zunehmend vernetzten Finanzwelt.
Autor: Dr. Michael Jahnich, Director Business Development, achelos GmbH
