ISO 27001 und DORA: Cross-Mapping

ISO 27001 und DORA: Warum die Kombination sinnvoll ist

ISO 27001 ist der weltweit fuehrende Standard fuer Informationssicherheits-Managementsysteme (ISMS). Viele Finanzunternehmen sind bereits zertifiziert oder orientieren sich am Standard. Der Digital Operational Resilience Act (DORA) geht über ISO 27001 hinaus, baut aber auf denselben Grundprinzipien auf. Wer ISO 27001 bereits implementiert hat, verfügt über eine solide Basis fuer die DORA-Compliance — schaetzungsweise 60-70 % der Anforderungen sind bereits abgedeckt.

Das verbleibende Delta umfasst finanzsektor-spezifische Anforderungen, die ISO 27001 naturgemass nicht adressiert: das Informationsregister fuer IKT-Drittdienstleister, bedrohungsgesteuerte Penetrationstests (TLPT), harmonisierte Meldepflichten und die direkte Aufsicht über kritische IKT-Drittdienstleister.

Cross-Mapping: DORA-Saeulen auf ISO 27001 Annex A

Die folgende Tabelle zeigt, welche ISO 27001:2022 Annex A Controls die jeweiligen DORA-Saeulen abdecken — und wo das Delta liegt:

Was ISO 27001 bereits abdeckt

Wenn du ISO 27001:2022 zertifiziert bist, hast du bereits folgende Grundlagen fuer DORA geschaffen:

• ISMS-Grundstruktur: Risikomanagementprozess, dokumentierte Richtlinien, Kontrollmaßnahmen und der PDCA-Zyklus fuer kontinuierliche Verbesserung bilden das Rueckgrat des DORA-Risikomanagementrahmens
• Asset-Management: Die ISO-27001-Anforderung, Informationswerte zu identifizieren und zu klassifizieren (A.5.9-5.13), deckt einen grossen Teil der DORA-Anforderungen zur IKT-Asset-Identifikation (Art. 8) ab
• Zugangssteuerung und Kryptografie: A.5.15-5.18, A.8.1-8.5 und A.8.24 decken die Schutzmaßnahmen aus Art. 9 DORA weitgehend ab — Zugangskontrollen, Authentifizierung, Verschluesselung und Netzwerksicherheit
• Incident Management: A.5.24-5.28 adressieren die Erkennung, Meldung und Behandlung von Sicherheitsvorfaellen — die Grundlage fuer das DORA-Vorfallsmanagement (Art. 17-23)
• Lieferantenmanagement: A.5.19-5.22 fordern die Bewertung und Überwachung von Lieferanten — eine Teilmenge der DORA-Anforderungen an IKT-Drittparteienmanagement
• Business Continuity: A.5.29-5.30 und die BCM-Anforderungen in Klausel 8 decken Teile der DORA-Anforderungen an Wiederherstellung und Kontinuitaet ab

Das Delta: Was DORA über ISO 27001 hinaus fordert

Trotz der erheblichen Überschneidung gibt es finanzsektor-spezifische Anforderungen, die ISO 27001 nicht abdeckt:

Informationsregister (Art. 28 Abs. 3)

ISO 27001 fordert Lieferantenbewertung, aber kein formales Register aller IKT-Drittdienstleister mit standardisiertem Format und jährlicher Meldepflicht an die Aufsichtsbehoerde. Das DORA-Informationsregister muss Art der Leistung, unterstuetzte Geschaeftsfunktionen, Subunternehmer-Ketten, Datenlokalisierung und Kritikalitaetsbewertung enthalten. Details auf unserer Seite zum Informationsregister.

Bedrohungsgesteuerte Penetrationstests (TLPT)

ISO 27001 fordert Schwachstellenmanagement (A.8.8), aber keine Threat-Led Penetration Tests auf Basis des TIBER-EU-Rahmens. TLPTs sind erheblich aufwaendiger als Standard-Penetrationstests: Sie simulieren reale Angriffsszenarien durch zertifizierte externe Tester, erfordern eine Bedrohungsanalyse (Threat Intelligence) und testen produktive Systeme. Signifikante Finanzunternehmen muessen TLPTs alle drei Jahre durchfuehren. Mehr auf unserer Seite zu Resilienztests.

Harmonisierte Meldepflichten

ISO 27001 fordert die Meldung und Behandlung von Sicherheitsvorfaellen, definiert aber keine konkreten Fristen fuer die Meldung an Aufsichtsbehoerden. DORA fuehrt ein dreistufiges Meldewesen ein (4h/72h/30d) mit standardisierten Meldeformularen und definierten Klassifizierungskriterien. Dies erfordert neue Prozesse, Automatisierung und regelmaessige Uebungen. Details auf unserer Seite zur Meldepflicht.

Geschaeftsleiterhaftung und Governance

ISO 27001 fordert "Leadership Commitment" (Klausel 5), aber DORA geht deutlich weiter: Art. 5 verpflichtet das Leitungsorgan persönlich zur Verantwortung fuer das IKT-Risikomanagement, verlangt regelmaessige Schulungen und kann bei Versagen zu persönlicher Haftung fuehren.

Konzentrationsrisiko und Exit-Strategien

ISO 27001 adressiert Lieferantenrisiken allgemein, kennt aber keine spezifischen Anforderungen an die Bewertung von Konzentrationsrisiken (Art. 29) oder die Erstellung von Exit-Strategien fuer kritische IKT-Drittdienstleister (Art. 28 Abs. 8).

Detailliertes Artikel-zu-Control-Mapping

Dual-Compliance-Strategie: Beide Frameworks effizient betreiben

Die effizienteste Strategie ist ein integrierter Compliance-Ansatz, der ISO 27001 und DORA parallel verwaltet. So vermeidest du doppelte Arbeit und nutzt Synergien:

• Ein ISMS, zwei Frameworks: Implementiere jede Massnahme einmal und weise sie beiden Frameworks zu. Das spart typischerweise 30-40 % der Gesamtkosten gegenüber zwei getrennten Projekten
• Cross-Mapping als Grundlage: Starte mit dem Cross-Mapping, um zu verstehen, welche ISO-27001-Controls welche DORA-Artikel abdecken. Konzentriere dich dann auf das Delta
• Gemeinsame Audits: Interne Audits können beide Frameworks gleichzeitig prüfen, wenn die Kontrollzuordnung klar dokumentiert ist
• Einheitliche Dokumentation: Richtlinien, Prozesse und Nachweise werden einmal erstellt und beiden Frameworks zugeordnet — keine parallelen Dokumentenwelten
• ISO 27001 als Basis: Nutze die ISO-27001-Zertifizierung als Signal gegenüber Aufsichtsbehoerden. Ein zertifiziertes ISMS zeigt, dass die Grundlagen stehen — DORA wird zum Delta-Projekt

Einen vollständigen Überblick über alle DORA-Anforderungen findest du auf unserer Seite zu den DORA-Anforderungen. Eine Schritt-fuer-Schritt-Anleitung bietet unsere DORA-Checkliste. Fuer eine vertiefte Betrachtung des IKT-Risikomanagements lies unsere Seite zum IKT-Risikomanagement.