Vergleich
Cyberresilienz-Verordnung und DORA: Was gilt für Ihr Produkt?
Kurz gesagt: DORA regelt das Management des IKT-Risikos von Finanzunternehmen der Union und, über den Vertrag, das ihrer Technologielieferanten; die Cyberresilienz-Verordnung regelt die Cybersicherheit von Produkten mit digitalen Elementen, die in den Verkehr gebracht werden. Keine verdrängt die andere, und unser geprüfter Wortlaut der Cyberresilienz-Verordnung erwähnt DORA überhaupt nicht.
Regelungsgegenstand der beiden Verordnungen
Die Cyberresilienz-Verordnung gilt für ein Produkt mit digitalen Elementen: ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, auf dem Markt bereitgestellt und mit einer Datenverbindung zu einem Gerät oder Netz. Ihre Pflichten, also die Behandlung von Schwachstellen, eine Software-Stückliste, sichere Voreinstellungen und ein erklärter Unterstützungszeitraum, hängen an diesem Produkt und an dem Wirtschaftsakteur, der es liefert: dem Hersteller, dem Bevollmächtigten, dem Einführer, dem Händler oder einer anderen Person, die Pflichten aus der Verordnung trägt.
„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“
„den Hersteller, den Bevollmächtigten, den Einführer, den Händler oder jede andere natürliche oder juristische Person, die Verpflichtungen im Zusammenhang mit der Herstellung von Produkten mit digitalen Elementen oder der Bereitstellung auf dem Markt von Produkten mit digitalen Elementen im Einklang mit dieser Verordnung unterliegt“
Die Verordnung (EU) 2022/2554 (DORA-Verordnung, die Verordnung über die digitale operationale Resilienz im Finanzsektor) verpflichtet Banken, Versicherer, Wertpapierfirmen und weitere beaufsichtigte Finanzunternehmen, das IKT-Risiko im eigenen Betrieb zu steuern, ihre digitale operationale Resilienz zu testen und ihre Technologielieferanten vertraglich in die Überwachung einzubeziehen. Sie zielt darauf, wie der Finanzsektor seinen Technikeinsatz steuert, nicht unmittelbar auf die Produkte, die diese Lieferanten bauen. Vollständiger Wortlaut: Verordnung (EU) 2022/2554, ABl. L 333 vom 27.12.2022 (DORA).
Überschneidungen und Vorrang
Die Cyberresilienz-Verordnung nennt eine kurze Liste anderer Rechtsakte der Union, die ihr für bestimmte Produktkategorien vorgehen: Medizinprodukte, In-vitro-Diagnostika, luftfahrtzertifizierte Ausrüstung, Schiffsausrüstung und typgenehmigungspflichtige Kraftfahrzeuge.
„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“
DORA steht nicht auf dieser Liste, und kein anderer Auszug in unserem geprüften Korpus nennt DORA in irgendeiner Richtung. Die Ausnahmeliste oben umfasst Produktsicherheitsregelungen; DORA regelt die operationale Resilienz des Finanzsektors, einen völlig anderen Gegenstand. Nichts im geprüften Wortlaut der Cyberresilienz-Verordnung legt nahe, dass DORA sie verdrängt oder umgekehrt: Ein Lieferant kann über den Vertrag einer Kundin oder eines Kunden in den Wirkungskreis von DORA geraten und zugleich eigenständig Pflichten aus der Cyberresilienz-Verordnung als Hersteller, Einführer oder Händler tragen, wie oben beschrieben.
Was das in der Praxis bedeutet
- Ist ein Kunde von Ihnen ein in der Union beaufsichtigtes Finanzunternehmen, kann DORA ihn verpflichten, Sicherheits- und Meldeklauseln in den Vertrag mit Ihnen als IKT-Drittdienstleister aufzunehmen; diese Pflicht folgt aus den DORA-Pflichten des Kunden, nicht aus der Cyberresilienz-Verordnung.
- Ihre Pflichten aus der Cyberresilienz-Verordnung zu erfüllen (Behandlung von Schwachstellen, eine Software-Stückliste, sichere Voreinstellungen, ein erklärter Unterstützungszeitraum) kann bei der durch DORA veranlassten Prüfung durch ein Finanzunternehmen als Kunde helfen, doch die Cyberresilienz-Verordnung selbst verweist nirgends auf DORA und begründet keine DORA-eigene Pflicht.
- Ist Ihr eigenes Produkt ein Produkt mit digitalen Elementen, schulden Sie Ihrer Marktüberwachungsbehörde die Herstellerpflichten aus der Cyberresilienz-Verordnung, unabhängig davon, ob eine Kundin oder ein Kunde ein Finanzunternehmen ist.
- Behandeln Sie die Einhaltung von DORA und die Einhaltung der Cyberresilienz-Verordnung als zwei getrennte Arbeitsstränge mit zwei getrennten Beratungen.
- Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Sie ein Finanzunternehmen im Sinne von DORA oder ein kritischer IKT-Drittdienstleister sind, wird hier nicht bewertet; diese Feststellung liegt vollständig außerhalb dessen, was wir prüfen.
Orientierung, keine Rechtsberatung. Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine verbindliche Bewertung wenden Sie sich an eine qualifizierte Rechtsberatung.