DORA: Kryptografie-Nachweise für den Finanzsektor

DORA: Was Finanzunternehmen bei Kryptografie und PKI nachweisen müssen.

Bis Ende 2026 sollen alle EU-Mitgliedstaaten mit der Umstellung auf Post-Quanten-Kryptografie begonnen haben. So sieht es die koordinierte EU-Roadmap vor, die die Mitgliedstaaten im Juni 2025 gemeinsam mit der Europäischen Kommission vorgelegt haben.

Zusammenfassung (TL; DR):

• Der Digital Operational Resilience Act (DORA) verpflichtet EU-Finanzunternehmen, den gesamten Lebenszyklus ihrer Verschlüsselung, Schlüssel und Zertifikate lückenlos zu überwachen und nachzuweisen.
• Diese Pflichten zur kryptografischen Governance und Dokumentation erstrecken sich über das eigene Unternehmen hinaus bis in die gesamte IKT-Lieferkette.
• Die durch DORA geforderte Krypto-Agilität bildet gleichzeitig das notwendige Fundament für die bis 2030 vorgeschriebene Migration auf Post-Quanten-Kryptografie.

DORA-Migration bis 2023

Für Hochrisiko-Anwendungen, zu denen viele Systeme im Finanzsektor zählen, soll die Migration bis 2030 abgeschlossen sein. Für Banken, Versicherer und Zahlungsdienstleister kommt diese Frist nicht isoliert. Sie trifft auf eine Regulierung, die bereits seit über anderthalb Jahren anwendbar ist und genau die Grundlagen verlangt, auf denen jede Migration aufbaut.

Seit der Digital Operational Resilience Act (DORA) am 17. Januar 2025 gilt, hat sich die Rolle der Kryptografie für Finanzunternehmen in der Europäischen Union grundlegend verändert. Was lange als rein technische Sicherheitsdisziplin galt, ist heute ein zentraler Baustein regulatorischer Compliance. Inzwischen ist klar, worauf es ankommt. Finanzunternehmen müssen kryptografische Schutzmaßnahmen nicht nur implementieren, sondern im Audit-Fall lückenlos nachweisen können, dass diese konsequent gesteuert, überwacht und getestet werden. Verschlüsselung, Schlüsselmanagement und der Umgang mit digitalen Zertifikaten sind damit feste Bestandteile der digitalen operationalen Resilienz.

Die Verordnung (EU) 2022/2554 regelt die digitale operationale Resilienz von rund 22.000 Finanzunternehmen sowie deren kritischen IKT-Drittanbietern in fünf Kernsäulen, vom IKT-Risikomanagement über das Vorfallmanagement bis zur Überwachung von Drittanbietern. Eine besondere Verantwortung liegt dabei beim Leitungsorgan. Es genehmigt den Rahmen für das IKT-Risikomanagement und trägt die rechtliche Letztverantwortung, wodurch kryptografische Governance endgültig auf Vorstandsebene angekommen ist.

Nachweise bis in die Lieferkette

In der Aufsichtspraxis zählt vor allem, was Finanzunternehmen belegen können. So müssen sie im sogenannten Informationsregister alle vertraglichen Vereinbarungen mit IKT-Dienstleistern strukturiert erfassen und der Aufsicht vorlegen.

Damit reicht die Verantwortung deutlich über das eigene Haus hinaus, und genau hier liegt die gravierendste Veränderung. Finanzunternehmen müssen nicht nur ihre eigenen kryptografischen Kontrollen im Blick behalten, sondern auch von ihren IKT-Dienstleistern Nachweise einfordern. Schwächen bei einem Anbieter werden so unmittelbar zum eigenen Compliance- und Resilienzrisiko.

Konkrete Vorgaben für Kryptografie und PKI

DORA übersetzt die allgemeinen Anforderungen an die digitale operationale Resilienz in konkrete Vorgaben für Kryptografie und Public-Key-Infrastrukturen (PKI). Vier Bereiche stehen dabei im Mittelpunkt.

• Verschlüsselungsrichtlinien (Art. 9 DORA & Art. 6 RTS): Gefordert werden starke Authentifizierungsmechanismen und eine dokumentierte, risikobasierte Richtlinie für Verschlüsselung. Diese muss sich an der Datenklassifizierung orientieren und dynamisch an neue Bedrohungen angepasst werden.
• Lebenszyklus von Schlüsseln und Zertifikaten (Art. 7 RTS): Kryptografische Schlüssel müssen über ihren gesamten Lebenszyklus hinweg geschützt werden. Für Zertifikate, die kritische oder wichtige Funktionen unterstützen, ist ein aktuelles Register vorgeschrieben; der Austausch muss vor Ablauf erfolgen.
• Maschinenidentitäten (Art. 20 & 21 RTS): Das Identitäts- und Zugriffsmanagement verlangt eindeutige Identitäten und das Least-Privilege-Prinzip, und zwar nicht nur für Personen, sondern explizit auch für Systeme und Maschinenidentitäten.
• Resilienztests und Drittanbieter (Art. 24–30 DORA): Kryptografische Kontrollen und Zertifikatsinfrastrukturen müssen regelmäßig in digitale Resilienztests eingebunden werden.

Vorhandensein geeigneter Sicherheitsmaßnahmen

Entscheidend für Prüfungen ist somit nicht allein das Vorhandensein geeigneter Sicherheitsmaßnahmen. Finanzunternehmen müssen nachweisen können, dass sie ihre kryptografischen Assets kennen, kontrollieren und deren Schutz über den gesamten Lebenszyklus hinweg gewährleisten.

Krypto-Agilität als Fundament für die Post-Quanten-Migration

DORA schreibt Post-Quanten-Kryptografie derzeit nicht vor. Die EU-Roadmap macht jedoch deutlich, dass sich nicht mehr die Frage nach dem Ob stellt, sondern nur noch nach dem Wann. Erste Schritte sind bis Ende 2026 vorgesehen, Hochrisiko-Anwendungen sollen bis Ende 2030 umgestellt sein und möglichst alle übrigen Systeme bis 2035. Für Finanzunternehmen ist das kein separates Großprojekt, denn die DORA-Anforderungen an Schlüssel- und Zertifikatsmanagement schaffen genau die Grundlage, die eine solche Migration voraussetzt.

Diese Grundlage besteht aus einem vollständigen kryptografischen Bestandsverzeichnis sowie der Fähigkeit, Schlüssel und Zertifikate auf Unternehmensebene automatisiert zu rotieren und neu auszustellen. Ein solches Inventar steht auch in der EU-Roadmap ganz am Anfang der Umstellung. Unternehmen, die diese Krypto-Agilität für DORA etablieren, erfüllen damit nicht nur die heutigen Prüfanforderungen, sondern sind auch optimal aufgestellt, wenn die quantensichere Migration von der Planung in die Pflicht übergeht. Wer dagegen erst dann mit der Inventur beginnt, wird die Fristen kaum halten können.

Häufige Fragen (FAQ)