DORA-Anforderungen an das SOC: Was der Digital Operational Resilience Act operativ verlangt

DORA ist die sektorspezifische lex specialis für den EU-Finanzsektor und geht in weiten Teilen NIS2 vor. Für Nicht-Finanz-Töchter gilt weiterhin NIS2, siehe NIS2 für Schweizer Töchter. Für die Schweizer Aufsicht bleibt FINMA-RS 2023/1 massgeblich, siehe SOC & FINMA-Anforderungen. Für die Schweizer Meldepflicht kritischer Infrastruktur siehe SOC & ISG 24h-Meldepflicht. Für die Bankenperspektive siehe SOC für Banken. Für den Betrieb siehe SOC as a Service Schweiz.

DORA folgt keiner NIS2-Logik mit pauschaler Mitarbeitenden- oder Umsatzschwelle. Die Anwendbarkeit ist an die Finanzsektor-Zulassung geknüpft. Wer als EU-Finanzunternehmen zugelassen ist, fällt darunter. Für die Details der Proportionalität sind der genaue Entitätstyp und die individuelle Grösse massgeblich, nicht ein einheitlicher Schwellenwert.

• EU-Töchter Schweizer Konzerne mit einer der 20 in DORA aufgeführten Zulassungen. Dazu gehören Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Krypto-Asset-Dienstleister, Versicherer und Rückversicherer, Versicherungsvermittler, Verwalter alternativer Investmentfonds, OGAW-Verwaltungsgesellschaften, Datenbereitstellungsdienste, zentrale Gegenparteien, Handelsplätze, Transaktionsregister, Zentralverwahrer und weitere.
• Vereinfachter Rahmen für Kleinstunternehmen und für kleine, nicht verbundene Wertpapierfirmen sowie für bestimmte kleine Versicherer nach Solvency II Art. 4. Die Grundpflichten bleiben, die Detailtiefe wird reduziert.
• Vertragliche Rückwirkung: Schweizer ICT-Dienstleister für EU-Finanzkunden erhalten die DORA-Vertragsklauseln (Art. 30) durchgereicht, inklusive Zugriffs-, Prüf- und Kündigungsrechten sowie Konzentrationsrisiko-Erwägungen.
• Kritische ICT-Drittanbieter (CTPPs), die von den Europäischen Aufsichtsbehörden benannt werden, unterliegen einer direkten Aufsicht durch die Lead Overseer.

1. Klassifikation: Ein ICT-Vorfall wird nach den RTS-Kriterien (Art. 18) auf sieben Dimensionen bewertet: betroffene Kunden, Datenverluste, Reputation, Dauer, geografische Verbreitung, wirtschaftliche Auswirkung und Kritikalität der Dienste. Übersteigt der Vorfall die Schwellwerte, gilt er als major.
2. Erstmeldung: innerhalb von 4 Stunden nach Klassifikation als major, spätestens 24 Stunden nach Kenntnis des Vorfalls, an die zuständige Behörde.
3. Zwischenmeldung: innerhalb von 72 Stunden nach der Erstmeldung, mit Update zu Ursache, Auswirkung und Massnahmen.
4. Abschlussbericht: innerhalb eines Monats nach Zwischenmeldung, mit Root-Cause-Analyse und Lessons Learned.
5. Freiwillige Meldung erheblicher Cyberbedrohungen: möglich, sofern relevant für Kunden oder Markt.

DORA verlangt für signifikante Entitäten TLPT mindestens alle drei Jahre, mit realistischer Bedrohungsintelligenz, klar getrenntem Red und Blue Team und Behördenaufsicht. Der methodische Rahmen orientiert sich stark an TIBER-EU. Das SOC ist während des Tests die Blue-Team-Instanz und muss Detection und Response ohne Vorwarnung liefern. Zum Verhältnis Red Team versus Pentest siehe Red Team Assessment und Penetrationstest Schweiz.

• Nur die White-Cell im Institut weiss vom Test. Das SOC operiert im Ernstfall-Modus.
• Am Ende steht ein Purple-Team-Workshop mit Detection-Gaps, Zeitachse und Nachjustierung.
• Ergebnisse fliessen als Nachweis in die Aufsichts-Berichterstattung und in das nächste ICT-Risiko-Assessment.

• Vollständiges Register aller ICT-Dienstleister mit Kritikalitätsbewertung, jährlich an die zuständige Behörde in einheitlichem Format.
• DORA-Vertragsklauseln (Art. 30) mit Zugriffs-, Prüf-, Sub-Outsourcing- und Kündigungsrechten, dazu Exit-Strategie für kritische Dienste.
• Konzentrationsrisiko-Analyse: keine unkontrollierte Häufung bei einzelnen Anbietern, Cloud-Regionen oder Konzernstrukturen.
• SOC-Beitrag: Detection auf Provider-Zugänge, Log-Anbindung der kritischen Dienstleister, Alarmierung bei Anomalien in Cloud- und Managed-Service-Kanälen.

1. Aktuelles ICT-Risiko-Framework mit Leitungsorgan-Genehmigung und mindestens jährlichem Review.
2. Detection-Use-Case-Katalog zugeordnet zu DORA-relevanten Vorfallkategorien und auf MITRE ATT&CK.
3. Klassifikations-Entscheidbaum mit dokumentierten Beispielen und Post-Incident-Review pro Fall.
4. ICT-Third-Party-Register, laufend gepflegt, mit Kritikalitäts- und Konzentrationsbewertung.
5. Testprogramm mit Basis-Tests jährlich und TLPT-Zyklus alle drei Jahre inklusive Nachweisen.
6. Berichtslinien zu Geschäftsleitung und Aufsichtsorgan mit Frequenz, Inhalt und Trainingsnachweis.

Zur wirtschaftlichen Einordnung siehe SOC-Kosten Schweiz und ROI eines SOC. Zur 24/7-Argumentation siehe SOC 24/7 Betrieb. Für die MTTD/MTTR-Kennzahlen siehe MTTD und MTTR im SOC.

Wie der DORA-taugliche Betrieb im laufenden SOC aussieht, steht auf SOC as a Service Schweiz.

• FINMA-Aufsichtsmitteilung 05/2020 «Meldepflicht bei Cyber-Attacken» (Art. 29 Abs. 2 FINMAG): finma.ch
• FINMA-Aufsichtsmitteilung 03/2024, Präzisierung der Meldepflicht: finma.ch
• FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz»: finma.ch
• FINMAG (SR 956.1): Fedlex
• ISG-Meldepflicht beim BACS inklusive Wegeleitung: bacs.admin.ch
• Meldung von Datensicherheitsverletzungen an den EDÖB: edoeb.admin.ch
• DORA (EU) 2022/2554, offizielle Übersicht: EIOPA