Das Gesetz zur digitalen Betriebsresilienz (DORA)

Der „Digital Operational Resilience Act“ (DORA) ist eine EU-Verordnung, die einen einheitlichen Rahmen für das Management von Risiken im Bereich der Informations- und Kommunikationstechnologie (IKT) im gesamten Finanzsektor schafft. Der im Rahmen der Verordnung (EU) 2022/2554 verabschiedete DORA stärkt die operative Widerstandsfähigkeit durch standardisierte Anforderungen an das IKT-Risikomanagement, die Meldung von Vorfällen, Widerstandsfähigkeitstests, die Überwachung von Risiken durch Dritte sowie die Governance. Die Verordnung befasst sich mit einer wachsenden Herausforderung im gesamten Finanzsektor: der zunehmenden Abhängigkeit von digitalen Technologien, vernetzten Systemen und externen Dienstleistern. Da Finanzinstitute immer komplexere digitale Umgebungen verwalten, sind sichere und widerstandsfähige Kommunikationswege unerlässlich, um sensible Informationen zu schützen, die Betriebskontinuität aufrechtzuerhalten und eine effektive Koordination bei Cybervorfällen und Dienstunterbrechungen zu ermöglichen.

Anstatt sich auf unterschiedliche nationale Anforderungen zu stützen, legt die DORA harmonisierte Anforderungen an die operative Widerstandsfähigkeit in allen EU-Mitgliedstaaten fest. Die Verordnung gilt für ein breites Spektrum von Finanzunternehmen, darunter Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute, E-Geld-Institute und Anbieter von Krypto-Asset-Dienstleistungen.

DORA schafft einen Aufsichtsrahmen für ausgewiesene kritische IKT-Drittanbieter und würdigt damit die wichtige Rolle, die Technologiepartner bei der Unterstützung wesentlicher Finanzdienstleistungen spielen. Durch die Bündelung von Governance, operativen Kontrollen und regulatorischer Rechenschaftspflicht in einem einzigen Rahmen hilft DORA Finanzinstituten dabei, ihre Widerstandsfähigkeit gegenüber Cyberbedrohungen, Technologieausfällen und Betriebsstörungen zu stärken und gleichzeitig die Kontinuität kritischer Dienste zu gewährleisten.

Die Bedeutung von DORA

Finanzinstitute agieren in stark vernetzten digitalen Ökosystemen. Eine Störung, die ein einzelnes System, einen Lieferanten oder einen Dienstleister betrifft, kann sich schnell auf mehrere Organisationen und kritische Geschäftsprozesse auswirken. Angesichts der sich ständig weiterentwickelnden Cyberbedrohungen und der zunehmenden technologischen Abhängigkeiten ist die operative Widerstandsfähigkeit mittlerweile zu einer strategischen Priorität geworden und nicht mehr nur eine rein technische Aufgabe.

DORA schafft einen gemeinsamen Rahmen für die Widerstandsfähigkeit, der dem Finanzsektor dabei hilft, sich auf Störungen im Bereich der Informations- und Kommunikationstechnologie vorzubereiten, diese zu bewältigen, darauf zu reagieren und sich davon zu erholen.

Zu den wichtigsten Zielen gehören:

Stärkung des IKT-Risikomanagements in Finanzinstituten
Standardisierung der Klassifizierung von Cybervorfällen und der Meldepflichten gegenüber den Aufsichtsbehörden
Verbesserung der Aufsicht über externe IKT-Anbieter
Gewährleistung der Betriebskontinuität bei Cybervorfällen und Dienstausfällen
Förderung einheitlicher aufsichtsrechtlicher Erwartungen in der gesamten Europäischen Union

Die Verordnung stärkt zudem die Rechenschaftspflicht der Unternehmensleitung. Die Leitungsgremien sind verpflichtet, die IKT-Risikostrategien zu überwachen, angemessene Ressourcen bereitzustellen und sicherzustellen, dass die operative Widerstandsfähigkeit in die Unternehmensführung integriert wird.

Dieser Ansatz berücksichtigt, dass die Ergebnisse im Bereich der Resilienz vom Engagement der Führungskräfte, einem effektiven Risikomanagement und einer kontinuierlichen Einsatzbereitschaft abhängen.

Kernanforderungen von DORA

DORA basiert auf fünf miteinander verknüpften Säulen. Zusammen legen diese Säulen messbare Anforderungen für das Management von Technologierisiken und die Aufrechterhaltung der Betriebskontinuität im gesamten Finanzsektor fest.

1. IKT-Risikomanagement

Das IKT-Risikomanagement bildet die Grundlage von DORA. Finanzinstitute müssen Governance-Rahmenwerke einrichten, die die Identifizierung, den Schutz, die Erkennung, die Reaktion und die Wiederherstellung im Zusammenhang mit IKT-Risiken unterstützen.

Zu den wichtigsten Kontrollmaßnahmen gehören:

Bestandsaufnahmen und Datenklassifizierung
Sichere Entwicklung und Änderungsmanagement
Schwachstellen- und Patch-Management
Planung von Datensicherung und Wiederherstellung
Tests zur Geschäftskontinuität und zur Notfallwiederherstellung

Diese Kontrollmaßnahmen bieten Einblick in die IKT-Risiken und tragen gleichzeitig dazu bei, die Verfügbarkeit und Zuverlässigkeit kritischer Geschäftsdienste aufrechtzuerhalten. Solide Risikomanagementpraktiken unterstützen zudem eine fundierte Entscheidungsfindung, indem sie sicherstellen, dass die Führungsteams ein klares Verständnis der betrieblichen Abhängigkeiten und potenziellen Schwachstellen haben.

2. Tests zur operativen Ausfallsicherheit

Resilienz lässt sich nicht allein anhand von Richtlinien messen. Unternehmen müssen regelmäßig überprüfen, ob Sicherheitsmaßnahmen, Notfallpläne und betriebliche Prozesse unter realistischen Bedingungen effektiv funktionieren.

Im Rahmen von DORA erfolgt die Prüfung der Ausfallsicherheit nach einem risikobasierten Ansatz, bei dem die Prüfmaßnahmen auf die Größe, Komplexität und das Risikoprofil einer Organisation abgestimmt werden.

Zu den üblichen Testaktivitäten gehören:

Schwachstellenanalysen
Szenariobasierte Übungen
Tischsimulationen
Bedrohungsorientierte Penetrationstests (TLPT), bei denen komplexe Cyberbedrohungen gegen kritische Systeme simuliert werden

Regelmäßige Tests helfen Unternehmen dabei, Schwachstellen in der Ausfallsicherheit zu erkennen, bevor diese den kritischen Finanzdienstleistungsbetrieb beeinträchtigen. Zudem liefern sie messbare Belege dafür, dass die Kontrollmechanismen zur Gewährleistung der Ausfallsicherheit wie vorgesehen funktionieren.

Die Testergebnisse werden dokumentiert, von der Geschäftsleitung überprüft und in Initiativen zur kontinuierlichen Verbesserung einbezogen, die die langfristige Vorsorge stärken.

3. Meldung von IKT-Vorfällen

Eine zeitnahe und einheitliche Berichterstattung ist ein zentraler Bestandteil von DORA.

Finanzinstitute müssen formelle Verfahren zur Erkennung, Einstufung, Eskalation und Meldung schwerwiegender IKT-Vorfälle einrichten. Eine standardisierte Berichterstattung erhöht die Transparenz und ermöglicht es den Aufsichtsbehörden, Risiken im gesamten Finanzsektor besser einzuschätzen.

Zu den wesentlichen Berichterstattungsaktivitäten gehören:

Ereignisklassifizierung
Behördliche Meldungen
Ursachenanalyse
Planung von Korrekturmaßnahmen
Dokumentation der gewonnenen Erkenntnisse

Über die Einhaltung gesetzlicher Vorschriften hinaus fördert die Meldung von Vorfällen den Lernprozess innerhalb der Organisation. Die Analyse von Vorfällen und ihrer Ursachen trägt dazu bei, die Reaktionsfähigkeit für die Zukunft zu stärken und die Widerstandsfähigkeit im Laufe der Zeit zu verbessern.

4. Risikomanagement im Bereich IKT bei Dritten

Viele der Technologien und Dienste, auf die sich Finanzinstitute tagtäglich verlassen, werden von Drittanbietern bereitgestellt. Da die Abhängigkeit von ausgelagerten IKT-Diensten weiter zunimmt, gewinnt eine solide Lieferantenüberwachung zunehmend an Bedeutung.

DORA verpflichtet die Institutionen dazu, den Überblick über die Beziehungen zu IKT-Anbietern zu behalten und Risiken während des gesamten Lieferantenlebenszyklus aktiv zu steuern.

Zu den wichtigsten Kontrollmaßnahmen gehören:

Due-Diligence-Prüfung des Verkäufers
Prüfung und Zugriffsrechte
Anforderungen an das Serviceniveau
Nachfolgeplanung
Kontinuierliche Leistungsüberwachung

Diese Maßnahmen tragen dazu bei, das Konzentrationsrisiko zu verringern, die Rechenschaftspflicht zu verbessern und die Widerstandsfähigkeit kritischer Lieferantenbeziehungen zu stärken.

Eine wirksame Steuerung durch Dritte trägt zudem dazu bei, dass wesentliche Dienste auch bei Störungen, die externe Anbieter betreffen, weiterhin verfügbar bleiben.

In stark vernetzten Finanzökosystemen können Cyberbedrohungen weitreichende operative Auswirkungen auf Institute, Lieferanten und systemrelevante Dienste haben. Angreifer nehmen häufig mehrere Institute ins Visier und wenden dabei ähnliche Taktiken, Techniken und Vorgehensweisen an.

Angesichts dieser Herausforderung fördert DORA die Teilnahme an vertrauenswürdigen Vereinbarungen zum Informationsaustausch, die die kollektive Widerstandsfähigkeit im gesamten Finanzsektor stärken.

Zu den bewährten Verfahren für den Informationsaustausch gehören:

Austausch von Informationen zu Cyberbedrohungen mit vertrauenswürdigen Branchengemeinschaften
Austausch von Indikatoren für Kompromittierungen und Informationen zu neu auftretenden Bedrohungen
Einbindung gemeinsamer Erkenntnisse in Erkennungs- und Reaktionsprozesse
Wahrung der Vertraulichkeit und Einhaltung der Datenschutzbestimmungen

Durch einen besseren Einblick in sich ständig weiterentwickelnde Bedrohungen trägt der Informationsaustausch dazu bei, dass Unternehmen ihre Vorsorge verbessern, die Erkennung beschleunigen und die Wirksamkeit ihrer Reaktionen steigern können.

Ein kollektives Bewusstsein kann zu einer stärkeren Widerstandsfähigkeit im gesamten Finanz Ökosystem beitragen.

Vorteile von DORA

Die Umsetzung von DORA hilft Finanzinstituten dabei, einen einheitlicheren und messbareren Ansatz für die Widerstandsfähigkeit zu etablieren und gleichzeitig ihre Bereitschaft zur Einhaltung regulatorischer Anforderungen zu verbessern.

Zu den wichtigsten Vorteilen gehören:

Verbesserte Cyber-Resilienz in kritischen Finanzdienstleistungsbereichen
Mehr Einheitlichkeit bei den IKT-Risikomanagementprogrammen
Verstärkte Überwachung von Drittanbietern
Schnellere Erkennung und Reaktion auf Vorfälle
Stärkere Regierungsführung und Rechenschaftspflicht der Exekutive
Verbesserte Prüfungsbereitschaft durch dokumentierte Nachweise
Einheitliche Einhaltung der Vorschriften in allen EU-Mitgliedstaaten

Die Vorteile gehen über die reinen Compliance-Anforderungen hinaus. DORA ermutigt Organisationen dazu, Cybersicherheit, Betriebskontinuität, Risikomanagement und Governance-Praktiken in einem einzigen Rahmenwerk aufeinander abzustimmen. Dieser integrierte Ansatz kann die Entscheidungsfindung verbessern, die operative Bereitschaft stärken und die Kontinuität wesentlicher Finanzdienstleistungen bei Störfällen gewährleisten. Für Führungsteams bietet DORA einen strukturierten Fahrplan für das Management von Technologierisiken und unterstützt gleichzeitig die langfristige Widerstandsfähigkeit der Organisation.

DORA-Anwendungsfälle

Unternehmen, die DORA umsetzen, führen häufig Technologien, Governance-Prozesse und operative Kontrollmaßnahmen ein, die die Widerstandsfähigkeit stärken und gleichzeitig zur Einhaltung der Compliance-Ziele beitragen.

Endgerätesicherheit und Gerätemanagement

Endgeräteschutz und eine zentralisierte Geräteverwaltung tragen dazu bei, IKT-Risiken zu minimieren, indem sie für Transparenz, Kontrolle und die Durchsetzung von Richtlinien in unternehmensweiten Umgebungen sorgen.