Digital Operational Resilience Act (Dora): Das kommt auf die Finanzbranche zu

DORA legt großen Wert auf die Gesamtverantwortung des Leitungsorgans für die digitale Betriebsstabilität. Das Management muss dafür sorgen, dass das Unternehmen ausreichend vor IKT-Störungen und Cyberangriffen geschützt ist.

DORA sieht dafür ein ganzheitliches IKT-Risikomanagement-Rahmenwerk als grundlegend für die Schaffung resilienter Finanzunternehmen vor. Dieses befähigt, IKT-Risiken zu identifizieren, zu bewerten, zu steuern und zu überwachen.

Ein Beispiel für die Umsetzung der DORA-Anforderungen ist die Etablierung von widerstandsfähigen IKT-Systemen nach einem einheitlichen Standard im gesamteuropäischen Wirtschaftsraum. 

Finanzunternehmen müssen sicherstellen, dass ihre IT-Systeme und -Prozesse in der Lage sind, potenzielle Bedrohungen schnell und effektiv zu erkennen und darauf zu reagieren.

Um die Reaktionsfähigkeit zu erhöhen, spezifiziert DORA unter anderem Anforderungen an Prozesse und Systeme zur umgehenden Erkennung und Abwehr potenzieller Gefährdungen. 

Ein Beispiel für die Umsetzung dieser Anforderung ist die automatische Netzwerkisolierung im Falle von Cyberangriffen. Dadurch wird das Risiko von Datenverlusten oder Systemausfällen minimiert und die Wiederherstellung des Normalbetriebs erleichtert.

Eine weitere DORA-Anforderung ist es, die Meldepflichten für schwerwiegende IKT-Vorfälle in der gesamten europäischen Finanzindustrie zu vereinheitlichen. Dies soll dazu beitragen, die Reaktion auf solche Vorfälle zu verbessern und eine effektive Zusammenarbeit zwischen den nationalen und europäischen Behörden zu gewährleisten. 

Ein Beispiel für die Umsetzung dieser Anforderung ist die Einführung einheitlicher Verfahren zur Überwachung, Klassifizierung und Meldung von IKT-Vorfällen an die zuständigen Behörden.

Die regelmäßige Überprüfung der Betriebsstabilität und Sicherheit von kritischen IT-Systemen ist von entscheidender Bedeutung für den reibungslosen Betrieb von Finanzunternehmen. Um sicherzustellen, dass mögliche IKT-Störungen erkannt und behoben werden, wird ein risikobasierter Testansatz gefordert.

Ein Beispiel für die Umsetzung dieser Anforderung ist die Durchführung von Penetrationstests an Live-Produktionssystemen mindestens alle drei Jahre. Dabei werden gezielt Schwachstellen im System gesucht, um potenzielle Angriffsvektoren zu identifizieren und geeignete Gegenmaßnahmen zu ergreifen.

DORA soll Finanzunternehmen eine effektive Überwachung der Risiken durch IKT-Drittanbieter ermöglichen. Dies ist insbesondere deshalb wichtig, da immer mehr Finanzunternehmen auf die Dienstleistungen von Drittanbietern für ihre IT-Systeme und -Prozesse angewiesen sind.

Ein Beispiel für die Umsetzung dieser Anforderung ist die Einführung von Strafzahlungen und neuen Kündigungsoptionen für IKT-Drittanbieter, die Anforderungen der DORA-Verordnung nicht einhalten. Durch diese Maßnahmen werden Finanzunternehmen in die Lage versetzt, eine solide Überwachung des Risikos durch IKT-Drittanbieter sicherzustellen

Mit dem Ende der Umsetzungsfrist von DORA im Januar 2025 hat die Prüfungspraxis begonnen. Die Umsetzung von DORA und damit die Resilienzfähigkeit der Finanzunternehmen, einschließlich der Dienstleister für Informations- und Kommunikationstechnologien (IKT), wird seitdem von der Internen Revision, dem Jahresabschlussprüfer und insbesondere von den nationalen (BaFin) und europäischen (European Supervisory Authorities) Aufsichtsbehörden geprüft. Ausgangspunkt dieser Prüfungen ist ein funktionsfähiges IKT-Risikomanagement. Basierend auf der Definition der kritischen und wichtigen Funktionen werden alle Themengebiete der DORA sowohl in Bezug auf Vorgaben als auch in ihrer effektiven Umsetzung überprüft.

Bei diesen Prüfungen unterstützen wir Finanzunternehmen umfassend: Beginnend mit der Vorbereitung unserer Kunden begleiten wir die gesamte Prüfung und helfen anschließend dabei, die getroffenen Feststellungen strukturiert abzuarbeiten. Wir sorgen für einen professionellen Prüfungsablauf und eine transparente Kommunikation mit den Behörden. Durch eine GAP-Analyse vermeiden wir inhaltliche Überraschungen, können Auffälligkeiten schnell identifizieren, bewerten und kommunizieren.

DORA beinhaltet auch die Konkretisierung der Anforderungen seitens der ESAs (European Supervisory Authorities) durch technische Regulierungs- und Implementierungs- bzw. Durchfühurungsstandards (RTS/ITS).

Die nachfolgende Grafik zeigt nach DORA-Kapiteln gegliedert die Übersicht und Zeitleiste der in der ersten Runde bereitgestellten (pink) und in der nächsten Runde noch anstehenden (blau) Konkretisierungen. Die aktuelle öffentliche Konsultationsphase der ersten Runde läuft seit dem 19.6.2023 bis zum 11.9.2023. Die Europäische Kommission soll dann bis zum 17.1.2024 die überarbeiteten Entwürfe erhalten. Die RTS/ITS der zweiten Runde zur öffentlichen Konsultation werden Ende November/Anfang Dezember 2023 erwartet: