DORA: Compliance als Erfolgsfaktor im Finanzsektor Monitoring und Incident Management in der Cloud

Anbieter zum Thema

Fsas Technologies GmbH

Hyland Software Germany GmbH

Yorizon GmbH & Co. KG

Die Cloud bietet unterschiedliche Möglichkeiten zur Skalierung von IT-Ressourcen und Schaffung von Effizienzen. Doch ohne funktionierendes Monitoring und Incident Management kann kein sicherer Betrieb der Cloud-Dienste gewährleistet werden. Im Finanzsektor greifen hier seit dem 17. Januar 2025 die Vorgaben des Digital Operational Resilienz Act, kurz DORA.

Die Cloud hat sich in den letzten Jahren als wichtiger und strategischer Bestandteil der IT-Infrastruktur vieler Unternehmen entwickelt. Ihre Skalierbarkeit und Automatisierungsoptionen schaffen neue Einsatzmöglichkeiten (unter anderem die Nutzung von Cloud-nativen KI-Services) – insbesondere im Finanzsektor, wo schnell wachsende digitale Innovationen und regulatorische Anforderungen eng miteinander verbunden sind. Doch mit der Verlagerung geschäftskritischer Daten und Prozesse in die Cloud steigen auch die Anforderungen für die Unternehmen an Compliance, Resilienz, Sicherheit und Transparenz.

Die seit Anfang 2025 anzuwendende EU-Verordnung DORA bringt dies deutlich auf den Punkt: Finanzunternehmen und deren IT-Dienstleister müssen ihre digitale Widerstandsfähigkeit gegenüber Informations- und Kommunikationstechnologie-Risiken (IKT) nachweislich stärken. Zwei zentrale Elemente auf dem Weg zur geforderten Resilienz sind ein umfassendes und kontinuierliches Monitoring der Dienstleister sowie ein strukturiertes Incident Management.

Doch worauf müssen Unternehmen beim Aufbau eines ganzheitlichen Cloud Compliance-Monitoring achten, welche Komponenten – von Zertifikaten bis hin zu Leistungskennzahlen (KPIs) – spielen dabei eine Rolle und welche konkreten Anforderungen stellt DORA an das Incident Management?

Monitoring: Grundlage für Resilienz und Compliance

Ein funktionierendes Monitoring ist weit mehr als ein reines Kontrollinstrument. Es bildet eine wesentliche Säule jeder operativen Resilienzstrategie in der Cloud. Aus regulatorischer Perspektive ist es unerlässlich, Risiken frühzeitig zu identifizieren und Informationen zu eingesetzten Cloud-Diensten, KPIs und sicherheitsrelevanten Ereignissen kontinuierlich zu analysieren.

Was sollte überwacht werden?

Neben klassischen Metriken wie Auslastung, Latenzen oder Fehlerraten rücken unter DORA auch infrastrukturelle Abhängigkeiten und Service Level Agreements (SLA) vermehrt in den Fokus. So müssen Finanzunternehmen, die in den Geltungsbereich der DORA fallen, ihre Dienstleister, insbesondere solche, die kritische oder wichtige Funktionen und Prozesse unterstützen, regelmäßig überwachen. Hierfür sollten zum Beispiel durch den Cloud-Anbieter bereitgestellte Zertifikate kontinuierlich auf Gültigkeit, Aktualität und Vollständigkeit geprüft werden, sowie darüber hinaus ergänzende, angemessene Überwachungsschritte und -instrumente implementiert und genutzt werden.

Monitoring-Integration zur Eigenüberwachung cloudbasierter Services

Neben der Transparenz über den Cloud-Provider ist eine eigene Überwachung der in der Cloud betriebenen Systeme unerlässlich. Unternehmen können hierbei je nach genutzten Cloud-Diensten auch auf Cloud-native Tools aufsetzen oder zum Beispiel Drittanbieterlösungen nutzen. Ziel ist es, kritische Metriken wie Verfügbarkeit, Fehlerraten oder Latenzen laufend zu messen und mit vordefinierten Schwellwerten zu versehen. Bei identifizierten Abweichungen sollten automatisierte vordefinierte Alerts ausgelöst und in das Incident Management überführt werden. Auf diese Weise können potenzielle Vorfälle frühzeitig erkannt, strukturiert und zielgerichtet behandelt sowie effektiv eingegrenzt werden. Idealerweise noch bevor es zu größeren Auswirkungen kommt.

Navigieren durchs Regeldickicht

8 Regulierungen zur Cybersicherheit, die Sie kennen müssen!

Incident Management: Vom Ereignis über die Reaktion bis hin zur Meldung

Ein (technischer) Vorfall sollte nicht isoliert betrachtet werden, da dieser unter Umständen im Kontext eines anderen gegebenenfalls größeren Ereignisses stehen könnte (Root Cause): Er muss erkannt, erfasst, analysiert, klassifiziert und korrekt behandelt werden – inklusive Kommunikation, Eskalation und möglicher Meldung an die zuständigen Behörden. DORA verlangt daher ein strukturiertes Incident Management, das innerhalb der Organisation sowohl organisatorisch als auch technisch verankert ist und im Falle eines IKT-bezogenen Vorfalls schnelle Handlungsfähigkeit gewährleistet.

Was macht ein gutes Incident Management aus?

Ein effektiver Incident Response-Prozess umfasst unter anderem:

• Echtzeit-Erkennung und Kategorisierung von Vorfällen,

• automatisierte Benachrichtigung zuständiger Rollen (wie zuständiges SOC-Team),

• lückenlose Dokumentation und Nachverfolgung der Ereignisse,

• klar definierte Eskalationspfade und Kommunikationspläne.

Besonders wichtig ist die Priorisierung identifizierter Vorfälle: Auch unter DORA wird verlangt, dass Vorfälle nach ihrer Kritikalität eingestuft und entsprechend behandelt werden. Dies betrifft sowohl die technische Schwere (wie der Ausfall eines Identity Providers) als auch die funktionale Relevanz (wie die Beeinträchtigung von Zahlungsprozessen).

Wie kann ich mein Incident Management erfolgreich in der Cloud umsetzen?

Die Umsetzung eines effektiven Incident Management in der Cloud unterscheidet sich grundlegend vom traditionellen Ansatz in On-Premise-Umgebungen. Durch das Shared Responsibility Modell der Cloud-Anbieter liegt ein Teil der Kontrolle und Transparenz außerhalb des eigenen Einflussbereichs. Hinzu kommen regulatorische Anforderungen wie die der DORA-Verordnung, die eine strukturierte und zeitnahe Erfassung, Bewertung und Meldung von Vorfällen verlangen. Um diesen Anforderungen gerecht zu werden, bedarf es einer technisch und prozessual durchdachten Umsetzung, die sowohl Informationen aus der Cloud effizient integriert als auch bestehende Prozesse erweitert.

Transparenz durch abgestimmte Schnittstellen zu Cloud-Anbietern

Ein funktionierendes Incident Management in der Cloud beinhaltet vor allem die richtige Integration der Cloud-Anbieter in den eigenen Prozess. Da Unternehmen im Cloud-Kontext nur bedingt Einfluss auf die Infrastruktur und deren Betrieb haben, ist es essenziell, transparente Schnittstellen zum Provider zu schaffen. Dazu gehört insbesondere der Zugang zu relevanten Vorfallinformationen, etwa über APIs oder Webhooks. Viele Hyperscaler bieten dafür spezielle Dienste an. Diese ermöglichen eine automatisierte Benachrichtigung bei Störungen, geplanten Wartungen oder Sicherheitsvorfällen. Nur wenn die Vorfalldaten umfassend und standardisiert vorliegen, lassen sich Incidents beim Provider nahtlos in das eigene Incident Management integrieren.

Zentrale Verarbeitung im eigenen Incident Management Tool

Die technische Integration der Cloud-Vorfälle in das eigene Incident Management System ist ein weiterer wichtiger Schritt. Hierbei ist sicherzustellen, dass die eingehenden Informationen aus der Cloud nicht nur ankommen, sondern auch korrekt verarbeitet und eingeordnet werden. Moderne ITSM-Tools bieten dafür die Möglichkeit, externe Ereignisse als Incidents aufzunehmen, zu kategorisieren und in bestehende Workflows zu integrieren.

Besonders wichtig ist die Abbildung der DORA-relevanten Kriterien:

• Wie kritisch ist der Vorfall?

• Welche Systeme und Geschäftsprozesse sind betroffen?

• Welche Maßnahmen wurden eingeleitet?

Der Prozess muss so gestaltet sein, dass diese Informationen strukturiert erfasst, dokumentiert und weiterverarbeitet werden können.

BaFin definiert neue Cloud-Anforderungen

Was Finanzdienstleister bei der Cloud-Auslagerung beachten müssen

Ausblick und Fazit

Die Anforderungen an Cloud-Monitoring und Incident Management sind im Finanzsektor mit Inkrafttreten der DORA-Verordnung weiter gestiegen. Dabei geht es nicht nur um technische Aspekte wie die Überwachung von Systemparametern oder die schnelle Reaktion auf Incidents, sondern vor allem um die Verankerung dieser Prozesse in den Geschäfts- und Governance-Strukturen.

Wer frühzeitig integrierte Lösungen schafft, klare Zuständigkeiten definiert und belastbare Meldewege etabliert, legt das Fundament für eine nachhaltig widerstandsfähige Organisation – und erfüllt gleichzeitig die regulatorischen Vorgaben.

(ID:50399709)