Digital Operational Resilience Act (DORA)

Die Europäische Union hat den Digital Operational Resilience Act (DORA) als Teil ihres Bemühens entwickelt, die Cybersicherheit im Finanzsektor zu stärken. Angesichts der steigenden Bedrohung durch Cyberangriffe soll DORA die Widerstandsfähigkeit und Sicherheit digitaler Systeme innerhalb der Finanzindustrie erhöhen. Es schafft einen rechtlichen Rahmen, der sicherstellt, dass Finanzunternehmen adäquate Maßnahmen ergreifen, um digitale Risiken effektiv zu managen.

Zielsetzung von DORA

DORA stellt einen umfassenden Ansatz dar, um die operationale und digitale Resilienz im Finanzsektor zu verbessern. Zu den primären Zielen zählen:

• Verbesserung der Widerstandsfähigkeit: Finanzinstitutionen sollen widerstandsfähiger gegenüber Unterbrechungen in ihren IKT-Systemen und -Diensten werden.
• Einheitliche Berichterstattung: Ein standardisierter Ansatz für das Reporting und die Kommunikation von Cybervorfällen wird gefördert, um Transparenz und Reaktionsgeschwindigkeit zu erhöhen.
• Regulierungsübergreifende Harmonisierung: Durch die Vereinheitlichung der Anforderungen über Ländergrenzen hinweg soll eine konsistente Anwendung sicherheitsrelevanter Praktiken erreicht werden.

Ab wann tritt der Digital Operational Resilience Act in Kraft?

Der Digital Operational Resilience Act (DORA) trat am 16. Januar 2023 in Kraft. Die offizielle Anwendung von DORA beginnt am 17. Januar 2025, wodurch Finanzunternehmen und deren Dienstleister genügend Zeit haben, die erforderlichen Vorbereitungen zu treffen und ihre Systeme entsprechend den neuen Vorschriften anzupassen. Dieser Zeitraum soll sicherstellen, dass alle Beteiligten die notwendigen Maßnahmen zur Einhaltung der Vorgaben ergreifen können.

Auf welchen Richtlinien basiert DORA?

Der Digital Operational Resilience Act (DORA) baut auf verschiedenen existierenden Richtlinien und Regulierungen der Europäischen Union auf, um ein umfassendes Regelwerk für die Cyber- und digitale Resilienz im Finanzsektor zu schaffen. Einige der wesentlichen Richtlinien, die direkt oder indirekt Einfluss auf die Gestaltung von DORA hatten, umfassen:

1. NIS-Richtlinie (Richtlinie über die Sicherheit von Netz- und Informationssystemen): Diese Richtlinie ist eine der grundlegenden EU-Regelungen zur Verbesserung der Netzwerk- und Informationssicherheit in der EU. Sie legt Sicherheitsanforderungen für Betreiber wesentlicher Dienste und digitale Diensteanbieter fest. DORA erweitert und spezialisiert die Prinzipien der NIS-Richtlinie (bald NIS 2 Richtlinie) speziell für den Finanzsektor.
2. GDPR (Datenschutz-Grundverordnung): Obwohl die GDPR primär auf den Datenschutz ausgerichtet ist, hat sie auch Implikationen für die Sicherheit von Verarbeitungssystemen, die personenbezogene Daten handhaben. DORA ergänzt die GDPR, indem spezifische Anforderungen an die Resilienz von IT-Systemen gestellt werden, die finanzielle Daten verarbeiten.
3. PSD2 (Zahlungsdiensterichtlinie 2): Diese Richtlinie regelt den Zahlungsverkehr innerhalb der EU und enthält Bestimmungen zur Sicherheit von Zahlungen und zum Schutz von Verbraucherdaten. DORA baut auf den Sicherheitsanforderungen von PSD2 auf, indem weitere spezifische Anforderungen für die operationale und digitale Resilienz von Zahlungssystemen und -diensten festgelegt werden.
4. MiFID II (Markets in Financial Instruments Directive II): MiFID II zielt darauf ab, die Transparenz und den Schutz der Anleger im Finanzmarkt zu verbessern. DORA ergänzt MiFID II, indem es spezifische Anforderungen an die technologische Resilienz von Handelsplattformen und anderen Finanzdienstleistern stellt.

Diese Richtlinien bilden zusammen mit den allgemeinen Zielen der Europäischen Kommission zur Stärkung der digitalen Infrastruktur den Rahmen, in dem DORA entwickelt wurde. DORA zielt darauf ab, diese bestehenden Regelungen zu ergänzen und zu erweitern, um eine spezifische und robuste Antwort auf die Cyberresilienz-Herausforderungen im Finanzsektor zu bieten. Dies soll sicherstellen, dass Finanzinstitute und ihre kritischen Dienstleister adäquate Maßnahmen ergreifen, um ihre Systeme vor Cyberangriffen und anderen digitalen Risiken zu schützen.

Regulatorischer Rahmen

DORA legt spezifische Anforderungen an Finanzdienstleister und deren kritische Drittanbieter fest, die verschiedene Bereiche abdecken:

1. Risikomanagement: Finanzinstitutionen müssen umfassende Strategien und Prozesse entwickeln, um IKT-Risiken zu identifizieren, zu bewerten und zu steuern. Dazu gehört die Erstellung detaillierter Risikobewertungen, die regelmäßige Überprüfung der Risikomanagementpraktiken und die Etablierung klarer Verantwortlichkeiten innerhalb der Organisation.
2. Vorfällenmanagement: Es müssen Verfahren und Pläne entwickelt werden, die eine schnelle Reaktion und Erholung von IKT-Störungen ermöglichen. Dazu zählt die Einrichtung von Notfallteams, die Schulung der Mitarbeiter im Umgang mit Notfallsituationen und die regelmäßige Überprüfung der Notfallpläne.
3. Resilienztests: Die Durchführung von Tests zur Überprüfung der Widerstandsfähigkeit der IKT-Infrastruktur wird vorgeschrieben. Dies umfasst sowohl interne als auch von Dritten durchgeführte Tests, die darauf abzielen, Schwachstellen aufzudecken und die Effektivität der bestehenden Schutzmaßnahmen zu bewerten.
4. Management der Drittanbieter-Risiken: Finanzunternehmen müssen die Risiken, die mit der Auslagerung von IKT-Diensten verbunden sind, überwachen und steuern. Dies beinhaltet die sorgfältige Auswahl von Dienstleistern, die regelmäßige Überprüfung der Dienstleistungsverträge und die Sicherstellung, dass die Dienstleister die regulatorischen Anforderungen erfüllen.

Auswirkungen vom Digital Operational Resilience Act auf Unternehmen

Die Implementierung von DORA wird tiefgreifende Auswirkungen auf den operativen Betrieb und die strategische Ausrichtung von Finanzunternehmen haben:

• Technologische Investitionen: Die Notwendigkeit, fortschrittliche Sicherheitsmaßnahmen und robuste IKT-Systeme zu implementieren, erfordert bedeutende Investitionen in Technologie und Infrastruktur.
• Mitarbeiterschulung: Regelmäßige Schulungen und Fortbildungen für Mitarbeiter werden essentiell, um das Bewusstsein für Cybersicherheitsrisiken zu schärfen und das richtige Verhalten in Krisensituationen zu fördern.
• Compliance-Kosten: Die Einhaltung von DORA kann erhebliche administrative und finanzielle Belastungen mit sich bringen, da umfangreiche Dokumentationen, regelmäßige Prüfungen und möglicherweise auch Strafzahlungen bei Nichteinhaltung erforderlich sind.
• Vertragsmanagement: Unternehmen müssen ihre Verträge mit IT-Dienstleistern überprüfen und gegebenenfalls anpassen, um sicherzustellen, dass diese die Anforderungen von DORA erfüllen.

DORA zusammengefasst

DORA stellt eine umfassende und anspruchsvolle Initiative dar, die darauf abzielt, den Finanzsektor in Europa widerstandsfähiger gegenüber digitalen Bedrohungen zu machen. Die Implementierung des Gesetzes erfordert von den betroffenen Unternehmen erhebliche Anstrengungen und Ressourcen. Langfristig jedoch werden die Maßnahmen dazu beitragen, das Vertrauen in den Finanzmarkt zu stärken und die Sicherheit für Verbraucher und Unternehmen zu erhöhen.