Durch die zunehmende Digitalisierung kommt dem Thema IKT- (Informations- und Kommunikationstechnologie) und Cybersicherheit eine wesentliche Bedeutung zu.
Diese zu bewahren, ist besonders essenziell für Branchen, die eine kritische Infrastruktur für die Gesellschaft darstellen. Vor allem Finanzunternehmen sind zunehmend von Cyberangriffen betroffen. Um deren digitale Betriebsstabilität sicherzustellen, hat die EU nun ein einheitliches und umfangreiches Regelwerk eingeführt: Den Digital Operational Resilience Act, kurz DORA. Die Verordnung trat mit 16. Januar 2023 in Kraft und sieht eine Umsetzungsfrist von zwei Jahren vor. Der Finanzsektor muss daher schon jetzt mit den Vorbereitungen für die Erfüllung der neuen Vorgaben starten.
Was ist DORA?
Die neue EU-Verordnung (2022/2554) baut auf bestehenden Regulierungen zur Cybersicherheit auf. Darunter diversen Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA) bzw. der Europäischen Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) zur IKT-Sicherheit und zum Outsourcing.
Hintergrundgedanke von DORA ist die Einführung eines Systems, das sicherstellt, dass auch bei schweren Sicherheitsstörungen der Betrieb weiterhin aufrechterhalten bleibt. Der neu festgelegte Rahmen und die von den Europäischen Aufsichtsbehörden zu definierenden technischen Regulierungsstandards zur weiteren Orientierung sollen Finanzunternehmen folgendes ermöglichen:
- Ein europaweit funktionierendes Risikomanagement,
- höhere Resilienz im Krisenfall sowie
- ein umfassendes Monitoring der Risiken, die aus in Anspruch genommenen Dienstleistungen von IKT-Drittanbietern entstehen.
Für welche Unternehmen gilt DORA?
Der Digital Operational Resilience Act gilt für Finanzunternehmen (z. B. Banken, Kreditinstitute, Versicherungen bzw. Versicherungsvermittler, Pensionskassen, Wertpapierfirmen, Zahlungsdienstleister, E-Geld-Institute, Handelsplätze) und IKT-Drittanbieter (wie Rechenzentren oder Cloud-Service-Provider), die Dienstleistungen für diesen Sektor erbringen. Insgesamt sind mehr als 22.000 Finanzinstitute und IKT-Dienstleister in der EU betroffen.
Welche Kernziele will die EU mit DORA erreichen?
- Einheitliche Sicherheitsstandards auf nationaler und europäischer Ebene
- Identifizierung und Eliminierung systemischer Cyberrisiken
- Aufbau einer hohen Betriebsstabilität
- Rechtsrahmen zur Kontrolle der IKT-Drittanbieter
Welche Neuerungen beinhaltet DORA?
Verglichen mit den bisherigen Regelwerken enthält DORA einige wichtige Änderungen. So betrifft die neue Verordnung aufgrund des erweiterten Geltungsbereichs nun auch Krypto-Dienstleister. Die Ausnahme bilden Kleinstunternehmen mit weniger als zehn Mitarbeiter:innen und zwei Millionen Euro Jahresumsatz.
Wichtigste Inhalte von DORA |
|---|
Digitale Betriebsstabilität:
|
IKT-Risikomanagement:
|
IKT-Drittanbieterrisiken:
|
Meldung von IKT-Vorfällen:
|
Governance & Strategie:
|
Informationsaustausch zu Cyberrisiken:
|
Fazit
Aufgrund der zunehmenden Cyberbedrohungen ist es für Finanzunternehmen wichtiger denn je, ihre eigenen Risiken zu kennen, um diese vorab zu begrenzen bzw. zu eliminieren und bei Bedarf rechtzeitig reagieren zu können. Der neue einheitliche Rahmen, den DORA europaweit definiert, unterstützt Unternehmen dabei, ihre Cyberresilienz zu erhöhen.
Mit der näher rückenden Umsetzungsfrist bis 17. Januar 2025, müssen Risiko- und Compliancemanager:innen bereits jetzt die notwendigen Schritte zur raschen Implementierung einleiten. Dabei ist es wichtig, nicht nur die richtigen Handlungen zur Wahrung der Resilienz zu setzen, sondern auch die Berichtspflichten, die sich daraus ergeben, in die bestehenden Geschäftsprozesse effizient zu integrieren.
