Zentrales Zertifikatsregister Der Dreh- und Angelpunkt re­gu­la­to­ri­scher Resilienz nach DORA

Anbieter zum Thema

KPMG AG Wirtschaftsprüfungsges.

Fsas Technologies GmbH

FTAPI Software GmbH

Auf die Finanzbranche kommen mit der DORA-Verordnung neue Vorgaben zu. Dadurch wird das zentrale Zertifikatsregister zum wichtigen Dreh- und Angelpunkt zur Einhaltung der Pflichten.

Die Finanzbranche steht mit der EU-Verordnung DORA (Digital Operational Resilience Act) vor einem tiefgreifenden Wandel in der Governance digitaler Infrastrukturen. Insbesondere der Umgang mit kryptografischen Assets – also digitalen Zertifikaten, Schlüsseln und deren Managementsystemen – wird stärker reguliert. DORA fordert nicht nur technische Ab­sicher­ung, sondern einen umfassenden organisatorischen Rahmen: dokumentiert, nachweisbar und steuerbar. In diesem Kontext gewinnt das zentrale Zertifikatsregister eine besondere Bedeut­ung – nicht in erster Linie als IT-Lösung, sondern als zentrales Compliance-Instrument zur Einhaltung regulatorischer Pflichten.

Interview zu DORA und modellbasierten SIEM Use Cases

Wie DORA die Cyberabwehr von Finanzunternehmen revolutioniert

Kryptografische Assets inventarisieren und steuern

Ziel von DORA ist es, die digitale Widerstandsfähigkeit von Finanzunternehmen zu stärken. Artikel 9 der Verordnung sowie mehrere technische Regulierungsstandards (RTS) verpflichten Unternehmen dazu, kryptografische Assets, in einem vollständigen, stets aktuellen Verzeichnis zu führen. Dieses Verzeichnis – das Zertifikatsregister – soll nicht nur die Existenz solcher Assets dokumentieren, sondern auch deren Verwendung, Speicherort, Lebensdauer und Status transparent nachvollziehbar machen. Unternehmen stehen dadurch vor der Herausforderung, ihre Kryptografischen Assets erstmals nicht nur technisch, sondern auch organisatorisch umfassend zu erfassen und zu steuern.

In der Praxis bedeutet das: Unternehmen müssen ihre kryptografischen Prozesse vollständig auf den Prüfstand stellen. Dies beginnt mit einer systematischen Erhebung aller eingesetzten Zertifikate und Schlüssel, setzt sich fort mit der Bewertung ihrer Kritikalität, und mündet in der Dokumentation ihres gesamten Lebenszyklus – von der Ausstellung über die Nutzung bis zum Ablauf oder Widerruf. Für viele Organisationen ist dies ein Paradigmenwechsel. Kryptografie war bislang häufig ein technisches Detailthema. DORA macht sie nun zum Gegenstand von Governance, Audit und strategischem Risikomanagement.

Besonders anspruchsvoll ist dabei die Herstellung unternehmensweiter Transparenz. Viele Unternehmen verfügen über verteilte IT-Umgebungen mit zahlreichen Zertifikatsquellen – oft ohne zentrale Kontrolle oder einheitliche Verantwortlichkeiten. Die Einführung eines zentralen Registers ist hier nicht nur eine technische, sondern vor allem eine organisatorische Aufgabe: Es muss entschieden werden, wer für die Pflege und Aktualität zuständig ist, wie Prozesse zur Erfassung und Aktualisierung etabliert werden und wie die Integration in bestehende Com­pli­ance- und Sicherheitsprozesse aussieht.

Krypto-Agilität und Automatisierung

Probleme beim manuellen IT-Management kryptografischer Assets

Nachvollziehbarkeit und Lifecycle-Management

Ein weiterer kritischer Punkt ist die Nachvollziehbarkeit: DORA verlangt, dass Unternehmen jederzeit belegen können, wie sie mit kryptografischen Assets umgehen – etwa bei Audits durch Aufsichtsbehörden oder im Fall eines Sicherheitsvorfalls. Das setzt voraus, dass alle Prozesse dokumentiert sind, Rollen und Zuständigkeiten klar definiert wurden und alle relevanten Informationen zur Historie eines Assets abrufbar sind. Gerade bei der Etablierung dieser organisatorischen Grundlagen benötigen viele Unternehmen externe Unterstützung.

Auch das Lifecycle-Management kryptografischer Assets wird unter DORA zur Pflicht. Zertifikate und Schlüssel dürfen nicht einfach entstehen und im System verbleiben – sie müssen geplant, kontrolliert und bei Bedarf auch widerrufen oder erneuert werden. Das umfasst konkrete Anforderungen an die Ablaufüberwachung, das Eskalationsmanagement bei abgelaufenen oder kompromittierten Zertifikaten sowie die Dokumentation der jeweiligen Maßnahmen. Unternehmen, die über keine etablierten Prozesse für diese Aufgaben verfügen, geraten hier rasch in ein organisatorisches Defizit – mit potenziellen Folgen für die Compliance.

Hinzu kommt: Die regulatorische Umsetzung erfordert nicht nur neue Prozesse, sondern häufig auch eine veränderte Sicherheitskultur. Kryptografische Assets dürfen nicht mehr isoliert in IT-Abteilungen verwaltet werden – sie müssen als Teil der Gesamtverantwortung in der Unter­neh­mensführung verankert werden. DORA zielt auf bereichsübergreifende Verantwortung: IT, Com­pli­ance, Risikomanagement und Revision müssen gemeinsam tragfähige Strukturen entwickeln, um der gesetzlichen Rechenschaftspflicht gerecht zu werden.

So wird die Finanz-IT resilient

DORA sicher implementieren

In dieser Ausgangslage suchen viele Unternehmen nach Orientierung. Welche Maßnahmen sind sofort umzusetzen? Welche Prozesse müssen angepasst, welche Rollen neu geschaffen werden? Wo beginnt man – und wie lässt sich ein Projekt zur Umsetzung von DORA-An­for­derungen effizient steuern? Hier empfiehlt sich ein schrittweises Vorgehen. Zunächst steht eine Reifegradanalyse im Vordergrund: Welche kryptografischen Assets sind bereits im Einsatz, welche Standards werden erfüllt, wo bestehen Lücken? Auf dieser Basis kann eine Roadmap entstehen, die konkrete Maßnahmenpakete definiert – etwa zur Einführung eines zentralen Zertifikatsregister, zur Entwicklung von Governance-Richtlinien oder zur Schulung verantwortlicher Personen.

Praxisbeispiel: Effiziente DORA-Umsetzung mit Essendi Crypto

Die DORA-Verordnung fordert von Finanzunternehmen eine umfassende Kontrolle über alle eingesetzten Zertifikate und kryptografischen Schlüssel über deren gesamten Lebenszyklus hinweg. In vielen Organisationen ist das noch nicht durchgängig gegeben. Die Herausforderung: Zertifikate und Schlüssel sind auf verschiedene Systeme verteilt, Prozesse laufen manuell, Verantwortlichkeiten sind nicht eindeutig geregelt. Deshalb gilt es zunächst Transparenz zu schaffen und anschließend Prozesse zur Verwaltung und Kontrolle aufzubauen.

Ein Beispiel ist die Essendi Crypto Solutions Produktfamilie. Sie unterstützt Unternehmen dabei, hier strukturiert vorzugehen. Sie bestehen aus zwei aufeinander abgestimmten Software-Suites, die, alleine oder gemeinsam eingesetzt, alle relevanten Anforderungen abdecken:

• Essendi CD unterstützt Kunden beim Finden der vielen Zertifikate in ihrer Netzwerkumgebung. Die Scanning-Software übernimmt die automatische Erkennung und Erfassung kryptografischer Assets über Abteilungs- und Systemgrenzen hinweg. Das daraus entstehende Inventar schafft die notwendige Transparenz – und bildet die Grundlage für ein zentrales Zertifikatsregister, wie es DORA fordert.

• Essendi XC vereinfacht die systematische Verwaltung dieser Assets über ihren gesamten Lebenszyklus. Prozesse wie Verlängerung, Widerruf oder Eskalation lassen sich definieren, Zuständigkeiten zuweisen und alle Maßnahmen nachvollziehbar dokumentieren.

Beide Lösungen lassen sich in bestehende IT- und Compliance-Umgebungen integrieren und fügen sich nahtlos in die vorhandene Infrastruktur ein, ohne etablierte Abläufe zu stören. Als europäische Lösung gewährleisten sie volle Datenhoheit und digitale Souveränität. Es gibt keine versteckten Zugänge oder Backdoors. Der Betrieb kann wahlweise on premise oder bei Bedarf in europäischen sowie internationalen Cloud-Umgebungen erfolgen.

Damit entsteht nicht nur die technische Grundlage für ein zentrales Register, sondern auch ein organisatorischer Rahmen, der klare Verantwortlichkeiten und Prozesse sowie revisionssichere Nachweise ermöglicht. Unternehmen behalten den Überblick über ihre digitalen Zertifikate und (Krypto-)Schlüssel, minimieren Sicherheits- und Compliance-Risiken und sichern so ihre Businesskontinuität. Sie sind in der Lage, auf Sicherheitsvorfälle oder Prüfungen jederzeit fundiert zu reagieren.

Cloud-Sicherheit im Finanzsektor

DORA-Compliance in der Cloud: Was Finanzunternehmen beachten müssen

Fazit

Die Einführung eines Zertifikatsregister ist weit mehr als ein technischer Schritt – sie ist der operative Kernpunkt der DORA-Konformität im Bereich kryptografischer Sicherheit. Unter­nehmen, die frühzeitig in organisatorische Klarheit, prozessorientierte Steuerung und doku­mentierbare Nachvollziehbarkeit investieren, schaffen nicht nur regulatorische Sicherheit. Sie stärken auch nachhaltig ihre digitale Resilienz – und damit ihre Zukunftsfähigkeit im euro­päischen Finanzmarkt.

Über die Autoren: Daniel Schulz-Sembten ist Assistant Manager bei KPMG, Pablo Schmücker ist IT-Sicherheitsexperte bei KPMG und Julian Weeber ist Head of Professional Services bei der Essendi IT GmbH.

Sicherheitsbollwerk oder Overkill?

DORA – Countdown für Finanzinstitute

(ID:50641162)