Wie DORA die digitale Widerstandsfähigkeit im Finanzsektor der EU stärkt
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die am 17. Januar 2025 in Kraft getreten ist. Sie zielt darauf ab, die digitale operationale Resilienz von Finanzunternehmen und deren IT-Dienstleistern zu stärken, indem sie einheitliche Anforderungen an das IKT-Risikomanagement, das Incident-Management, die Überprüfung von Drittanbietern und regelmäßige Resilienztests festlegt. Unternehmen sind nun verpflichtet, robuste Strategien zu implementieren, um Cyberbedrohungen effektiv zu begegnen und die Stabilität des Finanzsystems zu gewährleisten.
DORA (Verordnung (EU) 2022/2554) schafft einen harmonisierten Rechtsrahmen, um sicherzustellen, dass Finanzinstitute und deren IT-Dienstleister robuste Maßnahmen gegen Cyberangriffe und IT-Störungen implementieren. Ziel ist es, das europäische Finanzsystem widerstandsfähiger gegen digitale Bedrohungen zu machen.
DORA betrifft eine Vielzahl von Unternehmen und IT-Dienstleistern im Finanzsektor:
Auch Drittanbieter, die IT-Dienste für Finanzunternehmen bereitstellen, unterliegen DORA und müssen entsprechende Sicherheitsanforderungen erfüllen.
Unternehmen müssen ein strukturiertes ICT Risk Management Framework entwickeln, das folgende Punkte umfasst:
Unternehmen sollten sich frühzeitig auf die Einhaltung von DORA vorbereiten. Folgende Maßnahmen sind essenziell:
DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die am 17. Januar 2025 in Kraft getreten ist. Sie zielt darauf ab, die digitale operationale Resilienz des europäischen Finanzsektors zu stärken. Dies beinhaltet die Verbesserung der Fähigkeit von Finanzunternehmen und ihren IKT-Dienstleistern, Cyberrisiken zu widerstehen, auf IKT-bezogene Vorfälle zu reagieren und sich von ihnen zu erholen. Der Fokus liegt auf der Aufrechterhaltung eines widerstandsfähigen Betriebs im Falle einer schwerwiegenden Betriebsunterbrechung.
DORA betrifft so gut wie alle beaufsichtigten Institute und Unternehmen des europäischen Finanzsektors, sowie deren IT-Dienstleister, insbesondere: Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen, Versicherungsunternehmen, Vermögensverwalter, Krypto-Dienstleister und IKT-Dienstleister (einschließlich Cloud-Anbieter, Softwareentwickler, Rechenzentren, etc.). Ausnahmen gelten für bestimmte Kleinstunternehmen und Unternehmen, die unter bestehende Ausnahmen fallen (z.B. Verwalter alternativer Investmentfonds mit geringen Vermögenswerten).
DORA definiert Anforderungen in sechs wesentlichen Bereichen:
Die ESAs (EBA, EIOPA und ESMA) spielen eine zentrale Rolle bei der Umsetzung und Überwachung von DORA. Sie sind für die Erstellung technischer Regulierungsstandards (RTS) und Durchführungsstandards (ITS) verantwortlich, die die Anforderungen von DORA konkretisieren. Zudem überwachen sie kritische IKT-Drittdienstleister, führen Inspektionen durch und können bindende Empfehlungen aussprechen. Sie veröffentlichen eine jährlich aktualisierte Liste der als kritisch eingestuften Dienstleister.
Das Management des IKT-Drittparteienrisikos ist ein zentraler Aspekt von DORA. Finanzunternehmen müssen eine Strategie für das Drittparteienrisiko entwickeln, ein Register aller genutzten IKT-Dienstleister führen und diese sorgfältig evaluieren. Verträge mit Dienstleistern müssen klare Regelungen zu Sicherheitsstandards, Meldepflichten und Ausstiegsstrategien enthalten. Es wird von Unternehmen erwartet, dass sie die Widerstandsfähigkeit ihrer Dienstleister überzeugen und somit sich proaktiv gegen mögliche Ausfälle zu schützen.
Threat-Led Penetration Tests (TLPT) sind fortgeschrittene Sicherheitstests, bei denen reale Bedrohungsszenarien simuliert werden, um die Widerstandsfähigkeit der IT-Systeme zu überprüfen. DORA verpflichtet Finanzunternehmen, alle drei Jahre TLPT an Live-Produktionssystemen durchzuführen, die wichtige oder kritische Funktionen des Unternehmens unterstützen. Diese Tests müssen von qualifizierten und unabhängigen Testern durchgeführt werden.
DORA ist am 16. Januar 2023 in Kraft getreten und ist ab dem 17. Januar 2025 anzuwenden. Eine weitere Übergangsfrist wird es nicht geben. Finanzunternehmen müssen ihre Prozesse und Systeme bis zu diesem Zeitpunkt an die neuen Anforderungen anpassen.
Die BaFin bereitet sich auf DORA vor, indem sie ihre Aufsichts- und Verwaltungspraxis anpasst und IT-Prozesse und -Systeme implementiert. Sie wird zum nationalen Melde-Hub für IKT-Vorfälle im Finanzsektor und nimmt Anzeigen im Rahmen des IKT-Drittparteienmanagements entgegen. Zudem veröffentlicht sie Aufsichtsmitteilungen und andere Informationen, um Unternehmen bei der Umsetzung von DORA zu unterstützen. Es gibt auch ein Funktionspostfach bei der BaFin für Fragen rund um DORA.
DORA ist mehr als nur eine regulatorische Vorschrift – es ist ein entscheidender Schritt zur Stärkung der Cyber-Resilienz im Finanzsektor. Unternehmen, die frühzeitig handeln, können Strafen vermeiden und ihre digitale Sicherheit erheblich verbessern.
Wer noch nicht vollständig konform ist, sollte jetzt handeln. Falls du Unterstützung bei der Umsetzung von DORA benötigst, kontaktiere uns gerne für eine Beratung.
