DORA & Salesforce: Technischer Compliance-Leitfaden für Banken und Versicherer

Der Digital Operational Resilience Act (DORA) verpflichtet Banken, Versicherer und andere Finanzunternehmen seit Januar 2025 zu einem verbindlichen Rahmen für digitale operationale Resilienz. Für Häuser, die Salesforce als CRM oder Prozessplattform einsetzen, stellt sich eine sehr konkrete Frage: Welche DORA Anforderungen lassen sich mit welchen Salesforce Funktionen abbilden, und wo braucht es zusätzliche Prozesse, Nachweise oder Erweiterungen?

Dieser Leitfaden richtet sich an Compliance Officer, IT Architekten und Projektleiter in Banken, Sparkassen, Asset Managern und Versicherungen. Er ordnet die fünf Kernbereiche von DORA den relevanten Salesforce Funktionen zu und beschreibt konkrete Umsetzungsschritte aus unserer Beratungspraxis.

Die fünf DORA Säulen im Überblick

• ICT Risikomanagement (Art. 5 bis 16)
• Vorfallmeldungen bei IKT bezogenen Vorfällen (Art. 17 bis 23)
• Tests der digitalen operationalen Resilienz (Art. 24 bis 27)
• Management des IKT Drittparteienrisikos (Art. 28 bis 44)
• Informationsaustausch über Cyberbedrohungen (Art. 45)

Salesforce ist in diesem Kontext gleich zweifach relevant. Zum einen ist Salesforce selbst ein IKT Drittdienstleister im Sinne von DORA, der vertraglich und im Register erfasst werden muss. Zum anderen kann die Plattform genutzt werden, um viele der geforderten Prozesse und Nachweise strukturiert abzubilden.

1. ICT Risikomanagement in Salesforce abbilden

DORA verlangt einen dokumentierten Rahmen für das Management von IKT Risiken, inklusive Governance, Rollen und regelmäßiger Überprüfung. Salesforce bietet dafür eine Reihe technischer Bausteine, die im Rahmen einer sauberen Einführung genutzt werden sollten.

Rollen, Rechte und Segregation of Duties

• Profile, Permission Sets und Permission Set Groups so schneiden, dass das Least Privilege Prinzip technisch erzwungen wird.
• Rollenhierarchie und Sharing Rules an den fachlichen Verantwortungsbereichen ausrichten, nicht an der Organigrammtiefe.
• Kritische Aktionen wie Datenexporte, Massenlöschungen oder Änderungen an Berechtigungen über Setup Audit Trail und Field Audit Trail revisionssicher protokollieren.

Datenklassifikation und Schutz

• Data Classification Metadaten auf Feldebene pflegen, um sensible Kunden und Vertragsdaten eindeutig zu kennzeichnen.
• Salesforce Shield mit Platform Encryption, Event Monitoring und Field Audit Trail als Standard für regulierte Umgebungen einsetzen.
• Sichtbarkeit sensibler Felder über Feld und Objektberechtigungen zusätzlich einschränken, nicht nur über Layouts.

Change Management

• Verbindliche Nutzung von Sandboxes, Change Sets oder DevOps Center für jede produktive Änderung.
• Vier Augen Prinzip bei Deployments über Freigaben in DevOps Center oder externem CI/CD Werkzeug.
• Vollständige Nachvollziehbarkeit von Anforderung, Test, Freigabe und Deployment in einem Ticketsystem, das mit Salesforce verknüpft ist.

2. Vorfallmeldungen strukturiert erfassen

DORA verlangt eine einheitliche Klassifikation, Dokumentation und Meldung von schweren IKT bezogenen Vorfällen. Genau hier lässt sich Salesforce als zentrale Plattform nutzen, ohne ein zusätzliches System einzuführen.

• Eigenes Objekt IKT Vorfall mit Feldern für Klassifikation, betroffene Dienste, Zeitstempel, betroffene Kunden und Meldepflicht anlegen.
• Klassifikationslogik nach den DORA Kriterien (Anzahl betroffener Kunden, Dauer, geografische Ausbreitung, Datenverluste, wirtschaftliche Auswirkung) als Flow oder Apex Regel abbilden.
• Automatisierte Fristenüberwachung für Initial, Zwischen und Abschlussmeldung an die Aufsicht über Reminders und Tasks.
• Reports und Dashboards für Vorstand und Aufsichtsrat direkt aus den erfassten Vorfällen erzeugen.

3. Resilienz Tests dokumentieren

Salesforce führt keine Penetrationstests für Ihre eigenen Konfigurationen und Integrationen durch. Die Verantwortung für anwendungsnahe Tests liegt beim Finanzunternehmen. Salesforce eignet sich jedoch sehr gut, um den Testkatalog, die Ergebnisse und die daraus abgeleiteten Maßnahmen zu verwalten.

• Testplan als Objekt in Salesforce, verknüpft mit den betroffenen Anwendungen, Prozessen und Verantwortlichen.
• Findings als eigene Datensätze mit Schweregrad, Frist und Nachweispflicht.
• Verknüpfung von Maßnahmen mit Change Requests, damit Behebung und Nachtest lückenlos dokumentiert sind.

4. IKT Drittparteienrisiko managen

Der wohl aufwendigste Teil von DORA ist das Register aller IKT Drittdienstleister und die vertragliche Nachschärfung. Salesforce selbst ist einer dieser Dienstleister, gleichzeitig ist Salesforce die naheliegende Plattform, um dieses Register zu führen.

Dienstleisterregister in Salesforce

• Objekte für Dienstleister, Verträge, unterstützte kritische Funktionen und Subunternehmer.
• Pflichtfelder für Kritikalität, Substituierbarkeit, Datenkategorien und Speicherorte gemäß Durchführungsstandards.
• Automatische Erinnerungen für Vertragsprüfungen, Rezertifizierungen und Exit Tests.
• Freigabeprozesse für neue Dienstleister über Approval Processes, inklusive Beteiligung von Compliance, Datenschutz und IT Sicherheit.

Salesforce als IKT Drittdienstleister

• Vertragsprüfung gegen die DORA Pflichtklauseln, insbesondere zu Auditrechten, Subunternehmern, Kündigungsrechten und Exit Unterstützung.
• Nutzung der Salesforce Trust Seite und der bereitgestellten Zertifikate (ISO 27001, SOC 2, C5) als Nachweisbasis.
• Für Häuser mit erhöhten Anforderungen: BaFin konformes Hosting Modell und regionale Speicherung nach dem Prinzip der EU Operating Zone berücksichtigen.

5. Informationsaustausch und Awareness

Salesforce eignet sich als zentrale Kommunikationsplattform, um interne Awareness Kampagnen, Trainings und die Verteilung von Threat Intelligence Informationen zu steuern. Auch die Dokumentation freiwilliger Informationsaustausche mit anderen Marktteilnehmern lässt sich hier revisionssicher ablegen.

Konkreter Fahrplan für die nächsten 90 Tage

• Gap Analyse: Bestehende Salesforce Organisation gegen die DORA Anforderungen prüfen, insbesondere Berechtigungen, Audit Trails und Verschlüsselung.
• Register der IKT Drittdienstleister in Salesforce aufbauen oder konsolidieren.
• Vorfall und Testprozesse als eigenständige Objekte modellieren und mit Meldefristen automatisieren.
• Governance verankern: Rollen, Verantwortlichkeiten und Freigabeprozesse in Salesforce abbilden.
• Nachweise und Berichte für interne Revision, Vorstand und Aufsicht als Dashboards standardisieren.

Fazit

DORA ist kein reines IT Sicherheitsthema, sondern ein organisatorischer Rahmen mit klaren technischen Konsequenzen. Wer Salesforce bereits im Einsatz hat, kann einen erheblichen Teil der geforderten Nachweise, Prozesse und Register direkt in der Plattform abbilden, statt zusätzliche Insellösungen aufzubauen. Entscheidend ist eine saubere Modellierung von Berechtigungen, Audit Trails, Vorfall und Dienstleisterprozessen sowie eine enge Verzahnung mit dem bestehenden Governance Rahmen.

Wir begleiten Banken, Asset Manager und Versicherer seit knapp 20 Jahren ausschließlich im Finanzsektor. Für eine Einschätzung Ihrer Salesforce Organisation im Hinblick auf DORA sprechen Sie uns gerne direkt an.