Die Verordnung über die digitale operationale Resilienz (DORA) gilt für Banken, Versicherer, Zahlungsinstitute, Anbieter von Krypto-Dienstleistungen und ihre kritischen IKT-Dienstleister in der gesamten EU. Anders als ein Rahmenwerk, das man freiwillig übernimmt, ist DORA eine Verordnung mit Datum: Sie gilt seit dem 17. Januar 2025. Die meisten Compliance-Teams lesen sie als Protokollierungs- und Vorfallmeldepflicht. Genauer betrachtet ist sie auch eine Nachweispflicht — und in dieser Hälfte liegt die Lücke.
Was Artikel 9 tatsächlich verlangt
DORA Artikel 9 verlangt von Finanzunternehmen, Richtlinien und Werkzeuge einzusetzen, die die „Authentizität, Integrität, Verfügbarkeit und Vertraulichkeit“ von Daten sicherstellen — einschließlich der Daten in Protokollen und Prüfpfaden, mit denen Vorfälle rekonstruiert werden. Die aufsichtsrechtliche Erwartung ist nicht, dass Sie die Aufzeichnungen aufbewahrt haben. Sie ist, dass Sie nachweisen können, dass es die Originale sind, unverändert, wenn eine Aufsichts- oder Abwicklungsbehörde danach fragt.
In den meisten Implementierungen steckt eine stille Annahme: dass das System, das das Protokoll erzeugt hat, auch ein vertrauenswürdiger Zeuge für dessen Integrität ist. Die Resilienz-Perspektive von DORA bricht diese Annahme. Ist das IKT-System kompromittiert — genau das Szenario, für das DORA existiert —, ist seine eigene Bestätigung, dass die Protokolle intakt sind, kaum etwas wert.
Wo „wir protokollieren alles“ zu kurz greift
Umfassende Protokollierung ist notwendig, und die meisten regulierten Unternehmen machen das gut. Die Lücke zeigt sich in den drei Momenten, die einer Aufsichtsbehörde am wichtigsten sind:
- Rekonstruktion nach einem Vorfall — DORA erwartet, dass Sie die Ereignisabfolge rekonstruieren. Lagen die Protokolle im kompromittierten System, beruht die Rekonstruktion auf Daten, die ein Angreifer hätte verändern können.
- Aufzeichnungen Dritter und von IKT-Dienstleistern — DORA erstreckt sich auf kritische Dienstleister. Den Nachweis, dass die Aufzeichnung eines Dienstleisters intakt ist, gelingt weit leichter, wenn beide Seiten gegen eine gemeinsame, externe Referenz prüfen, statt Protokollexporte auszutauschen.
- Unabhängiger Nachweis — eine Aufsichtsbehörde muss Ihnen nicht glauben, dass Aufbewahrungs- und Unveränderlichkeitskontrollen gegriffen haben. Integrität, die jeder gegen einen externen Anker prüfen kann, macht aus einer Behauptung eine nachweisbare Tatsache.
Die Frist ist vorbei — warum ist das immer noch ein Kaufanlass?
Januar 2025 war das Geltungsdatum, nicht das Compliance-Plateau. Die Aufsichtsbehörden verbrachten das erste Jahr damit, Unternehmen zu erfassen und Ausgangslagen zu bewerten. Der jetzt einsetzende Wandel geht von „Haben Sie eine Richtlinie?“ zu „Zeigen Sie uns den Nachweis“ — und die zweite Frage beantwortet der Integritätsnachweis unmittelbar.
Die Unternehmen, die zuerst handeln, sind nicht die mit der schlechtesten Protokollierung. Es sind jene, deren Prüfer und Aufsichtsbehörden begonnen haben, die zweite Frage zu stellen — und die sie lieber mit einem prüfbaren Anker beantworten als mit einem Screenshot einer Aufbewahrungsrichtlinie.
Wie sich der Integritätsnachweis in den DORA-Ablauf einfügt
Eine Verifizierungsschicht ersetzt weder Ihr SIEM noch Ihre Protokoll-Pipeline noch Ihren Vorfallprozess. Sie läuft parallel und versiegelt die Aufzeichnungen, die diese Systeme ohnehin erzeugen:
Wenn eine Aufsichtsbehörde Sie auffordert nachzuweisen, dass eine bestimmte Prüfaufzeichnung das Original ist, liefern Sie ein Nachweispaket: den Hash der Aufzeichnung, ihre Position im Merkle-Baum und die Referenz auf der öffentlichen Chain, wo die Wurzel zu einem bekannten Zeitpunkt verankert wurde. Nichts davon verlangt, dass die Aufsicht dem System vertraut, das das Protokoll erzeugt hat — genau das ist der Kern von DORA.
Wer im Unternehmen dafür verantwortlich ist
DORA hat das IKT-Risiko dem Leitungsorgan zugewiesen, sodass diejenigen, die nach Integritätsnachweisen fragen, immer seltener Ingenieure sind:
- Compliance-Leitung — verantwortet die Beziehung zur Aufsicht und muss „wir haben Kontrollen“ in „hier ist der nachweisbare Beleg“ übersetzen.
- CISO / IKT-Risiko — verantwortet die Resilienz und weiß, dass selbstbescheinigte Protokolle bei einer Vorfallrekonstruktion das schwache Glied sind.
- Interne Revision — verantwortet die Prüfsicherheit und profitiert, wenn Integrität verifizierbar ist, ohne vom geprüften System abzuhängen.
Der ehrliche Rahmen für ein DORA-Gespräch
DORA nennt weder Blockchain noch Merkle-Bäume noch eine bestimmte Technologie — und Sie sollten jedem Anbieter misstrauen, der das Gegenteil behauptet. Was DORA verlangt, ist Integrität, die Sie einer unabhängigen Partei nachweisen können. Aufzeichnungen an eine öffentliche Chain zu verankern ist ein strukturell solider Weg dahin, weil der Nachweis nicht vom fortgesetzten Wohlverhalten des geprüften Systems abhängt. Die Frage für Ihre nächste DORA-Prüfung ist einfach: Können wir für jeden kritischen Prüfpfad einer Aufsichtsbehörde nachweisen, dass er sich nicht verändert hat — ohne sie zu bitten, dem System zu vertrauen, das ihn erzeugt hat?
DORA fragt nicht, ob Sie die Aufzeichnungen aufbewahrt haben. Es fragt, ob Sie beweisen können, dass es die Originale sind — gegenüber jemandem, der keinen Grund hat, dem System zu vertrauen, das sie erzeugt hat.