Die Verordnung (EU) 2022/2554, besser bekannt als der Digital Operational Resilience Act (DORA), stellt eine der bedeutendsten Entwicklungen im europäischen Finanzsektor dar. Mit dem Ziel, die digitale operationale Resilienz von Finanzunternehmen zu stärken, setzt DORA neue Maßstäbe im Umgang mit IKT-Risiken und Cybersicherheit. Diese umfassende Regulierung tritt am 17. Januar 2025 in Kraft und wird tiefgreifende Auswirkungen auf alle beaufsichtigten Institute und Unternehmen im EU-Finanzsektor haben.
Hier erfahrt ihr, was DORA genau beinhaltet, welche Anforderungen auf Unternehmen zukommen und wie Sie sich auf die Umsetzung vorbereiten können. Egal, ob es um das IKT-Risikomanagement, die Berichterstattung von IKT-Vorfällen oder das Management von Drittanbietern geht – wir geben Ihnen einen Überblick über die Aspekte der DORA-Compliance und zeigen auf, warum eine frühzeitige Vorbereitung entscheidend ist.
Was ist Digital Operational Resilience Act (DORA)?
DORA, offiziell bekannt als Verordnung (EU) 2022/2554, wurde von der Europäischen Union ins Leben gerufen, um die digitale operationale Resilienz im Finanzsektor zu stärken. DORA zielt darauf ab, Finanzunternehmen vor den wachsenden Bedrohungen durch IKT-Risiken (Informations- und Kommunikationstechnologie) zu schützen und sicherzustellen, dass sie auch in Krisenzeiten betriebsfähig bleiben. Die Verordnung tritt am 17. Januar 2025 in Kraft und betrifft nahezu alle Finanzinstitute in der EU.
Die wichtigsten Anforderungen
DORA umfasst fünf wesentliche Bereiche, die für die Compliance von Finanzunternehmen entscheidend sind:
- IKT-Risikomanagement
Finanzinstitute sind verpflichtet, ein umfassendes IKT-Risikomanagement zu implementieren, das folgende Maßnahmen umfasst:- Aufbau und Wartung robuster IKT-Systeme und -Tools, um die Auswirkungen von IKT-Risiken zu minimieren.
- Identifizierung, Klassifizierung und Dokumentation von kritischen Funktionen als zentrale Elemente.
- Kontinuierliche Überwachung aller potenziellen IKT-Risikoquellen, um angemessene Schutz- und Präventionsmaßnahmen zu gewährleisten.
- Sofortige Erkennung von ungewöhnlichen Aktivitäten.
- Einführung spezialisierter und umfassender Richtlinien für die Geschäftskontinuität sowie Notfall- und Wiederherstellungspläne, die durch jährliche Tests überprüft werden und alle unterstützenden Funktionen abdecken.
- Etablierung von Mechanismen, die es ermöglichen, sowohl aus externen als auch internen IKT-Vorfällen zu lernen und sich kontinuierlich weiterzuentwickeln.
- Behandlung und Berichterstattung von IKT-Vorfällen
Finanzunternehmen sind verpflichtet, ein robustes Verfahren zu etablieren, um alle IKT-Vorfälle zu erfassen und zu klassifizieren sowie schwerwiegende Vorfälle entsprechend den in der Verordnung festgelegten und von den europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) weiter definierten Kriterien zu identifizieren.
Sie müssen zudem detaillierte Berichte über IKT-bezogene Vorfälle erstellen, die sowohl einen Anfangs-, Zwischen- als auch Abschlussbericht umfassen.
Die Berichterstattung über diese Vorfälle muss gemäß den von den europäischen Aufsichtsbehörden (ESAs) entwickelten Standardvorlagen vereinheitlicht werden, um eine konsistente und nachvollziehbare Dokumentation sicherzustellen. - Testen der digitalen Resilienz
Die Verordnung verpflichtet alle Einrichtungen dazu, jährlich umfassende Tests ihrer IKT-Werkzeuge und -Systeme durchzuführen. Dabei sollen Schwachstellen, Mängel oder Lücken erkannt, bewertet und durch geeignete Gegenmaßnahmen schnellstmöglich behoben werden.
Zudem sind regelmäßig fortgeschrittene, bedrohungsbasierte Penetrationstests (TLPT) für IKT-Dienste durchzuführen, die kritische Funktionen betreffen. Drittanbieter von IKT-Dienstleistungen müssen an diesen Tests teilnehmen und uneingeschränkt kooperieren. - Management von IKT-Drittparteirisiken
Finanzunternehmen sind verpflichtet, eine umfassende Überwachung der Risiken sicherzustellen, die durch die Nutzung von IKT-Drittanbietern entstehen. Dazu gehört die Führung eines vollständigen Verzeichnisses aller ausgelagerten Tätigkeiten (Informationsregister), einschließlich gruppeninterner Dienstleistungen, sowie die Meldung von Änderungen bei der Auslagerung kritischer Dienstleistungen an IKT-Drittanbieter.
Zudem müssen sie das IT-Konzentrationsrisiko sowie die Risiken aus Sub-Outsourcing-Aktivitäten berücksichtigen und wesentliche Aspekte der Dienstleistung und der Beziehung zu IKT-Drittanbietern harmonisieren, um eine lückenlose Überwachung zu gewährleisten.
Darüber hinaus müssen die Verträge mit IKT-Drittanbietern alle relevanten Details zur Überwachung und Erreichbarkeit enthalten, wie eine vollständige Beschreibung des Leistungsumfangs und die Angabe der Standorte, an denen die Daten verarbeitet werden.
Kritische IKT-Drittanbieter unterliegen einem EU-Aufsichtsrahmen, der Empfehlungen zur Reduzierung identifizierter IKT-Risiken geben kann. Finanzunternehmen müssen die Risiken ihrer IKT-Drittanbieter berücksichtigen und handeln, wenn diese die festgelegten Empfehlungen nicht befolgen. - Informationsaustausch und Cyberkrisenmanagement
Die Verordnung gestattet es Finanzunternehmen, Vereinbarungen zum Austausch von Informationen und Erkenntnissen über Cyberbedrohungen untereinander zu treffen.
Zudem werden die Aufsichtsbehörden den Finanzunternehmen relevante, anonymisierte Informationen und Erkenntnisse über Cyber-Bedrohungen zur Verfügung stellen. Daher sollten die Unternehmen Mechanismen entwickeln, um diese behördlich bereitgestellten Informationen zu prüfen und angemessene Maßnahmen daraufhin zu ergreifen.
Herausforderungen und Chancen für Unternehmen
DORA bringt sowohl Herausforderungen als auch Chancen für Finanzinstitute mit sich. Die neuen Compliance-Anforderungen erfordern erhebliche Anpassungen in den IT-Systemen und Prozessen. Gleichzeitig bietet DORA Unternehmen die Möglichkeit, ihre digitale Resilienz zu stärken und sich besser gegen zukünftige Bedrohungen abzusichern. Unternehmen, die frühzeitig mit der Umsetzung beginnen, können nicht nur Risiken minimieren, sondern auch einen Wettbewerbsvorteil erlangen, indem sie ihre Sicherheitsstandards auf ein höheres Niveau heben.
Eine der ersten Schritte zur Vorbereitung auf DORA ist die Durchführung einer GAP-Analyse. Diese Analyse hilft Unternehmen, ihren aktuellen Stand in Bezug auf die DORA-Compliance zu bewerten und Bereiche zu identifizieren, die weitere Investitionen und Prioritätensetzung erfordern.
DORA ist ein entscheidender Schritt in Richtung einer sichereren und widerstandsfähigeren digitalen Infrastruktur im Finanzsektor. Unternehmen müssen sich frühzeitig auf die neuen Anforderungen vorbereiten, um sicherzustellen, dass sie die Frist im Januar 2025 einhalten können. Eine starke digitale operationale Resilienz wird nicht nur zur Einhaltung der Vorschriften beitragen, sondern auch die langfristige Stabilität und Sicherheit des Unternehmens stärken.
Wie kann DURAVA bei der Umsetzung von DORA helfen?
Unsere Plattform bietet eine Reihe von Funktionen, die Sie dabei unterstützen, die Anforderungen des Digital Operational Resilience Acts effizient umzusetzen:
- Automatisierte Vertragsanalyse: Prüfen Sie Ihre Verträge auf Konformität mit den DORA-Vorgaben und identifizieren Sie potenzielle Risiken schnell und präzise.
- Analyse von Sicherheitsrichtlinien: Automatisieren Sie die Überprüfung und Erstellung von Sicherheitsrichtlinien, um die Einhaltung von Standards und den Schutz sensibler Daten sicherzustellen.
- Informationsregister: Verwalten Sie Ihre Asset-, Vertrags- und Dienstleisterdaten zentral und automatisiert, um die Anforderungen von DORA zu erfüllen.
Mit DURAVA können Sie den manuellen Aufwand erheblich reduzieren und gleichzeitig die Einhaltung der DORA-Vorgaben sicherstellen.
