Digital Operational Resilience Act (DORA)

DORA betrifft alle Finanzinstitute innerhalb der EU, einschließlich Banken, Versicherungen, Zahlungsdienstleister, Wertpapierfirmen und deren IKT-Drittanbieter.

DORA wurde im Dezember 2022 verabschiedet und wird ab Januar 2025 in Kraft treten. Finanzinstitute sollten sich rechtzeitig auf die Einhaltung der Vorschriften vorbereiten.

DORA wird von den zuständigen nationalen Aufsichtsbehörden und der Europäischen Aufsichtsbehörde (ESA) durchgesetzt. Diese Behörden haben die Befugnis, Überprüfungen durchzuführen, Verstöße gegen die geltende DORA- Verordnung zu identifizieren und Sanktionen zu verhängen.

Die BaFin spielt eine zentrale Rolle bei der Umsetzung und Überwachung von DORA im deutschen Raum. Die BaFin überwacht die Compliance der Finanzinstitute und prüft deren Risikomanagementsysteme. Darüber hinaus analysiert die BaFin IT-Sicherheitsvorfälle. Sie legt Berichterstattungspflichten fest und gibt Leitlinien und Empfehlungen zur Einhaltung und Umsetzung der DORA-Anforderungen heraus. Sie arbeitet national sowie international mit anderen Aufsichtsbehörden und Organisationen wie ENISA zusammen.

Finanzinstitute müssen eine umfassende IKT-Risikomanagementstrategie entwickeln, und diese regelmäßig aktualisieren und überprüfen, um sicherzustellen, dass alle potenziellen Bedrohungen und Schwachstellen identifiziert und adressiert werden.

• Cybersecurity-Risiken: Bedrohungen wie Hackerangriffe, Malware, Phishing und Datenlecks, die die Sicherheit und Integrität von Daten und Systemen gefährden können.
• Technologische Risiken: Fehlende Zuverlässigkeit oder Verfügbarkeit von IT-Infrastrukturen, einschließlich Hardware- oder Softwareausfällen sowie Netzwerkausfällen.
• Compliance-Risiken: Risiken, die aus der Nichteinhaltung gesetzlicher Vorschriften zur Nutzung von IKT resultieren.
• Betriebsrisiken: Risiken, die operative Abläufe beeinträchtigen können, z. B. Unterbrechungen in der Lieferkette, Ausfälle von kritischen Systemen oder unzureichende Kapazitäten.
• Strategische Risiken: Risiken, die im Zusammenhang mit der strategischen Ausrichtung und Nutzung von IKT stehen (einschließlich unzureichender Investitionen in Technologie oder ineffektiver Nutzung von digitalen Geschäftsmodellen).
• Reputationsrisiken: Schädigung von Image und Ruf eines Unternehmens aufgrund von Sicherheitsvorfällen, Datenschutzverletzungen oder anderen IKT-bezogenen Vorfällen.

• Risikobewertung und -analyse: Durchführung systematischer Risikobewertungen zur Identifizierung potenzieller Bedrohungen für IKT-Systeme. Beispiele: Risikomatrix, Risiko-Workshops oder Szenarioanalysen.
• Technische Audits und Sicherheitsprüfungen: Durchführung regelmäßiger technischer Audits und Sicherheitsprüfungen zur Identifizierung von Schwachstellen in IT-Infrastruktur, Software und Netzwerken. Diese beinhalten: Penetrationstests, Schwachstellenanalysen und Code-Reviews.
• Incident-Management: Analyse vergangener Sicherheitsvorfälle und Ereignisse, um wiederkehrende Muster und potenzielle Schwachstellen zu erkennen.
• Risikowahrnehmungsstudien: Durchführung von Umfragen oder Workshops, um die Wahrnehmung von IKT-Risiken innerhalb des Unternehmens zu erfassen.
• Benchmarking und Best Practices: Vergleich der eigenen Sicherheitspraktiken und -maßnahmen mit Branchen-Benchmarks und Best Practices.
• Lieferanten- und Drittanbieterbewertung: Berücksichtigung der Risiken, die mit der Nutzung von Drittanbietern und Lieferanten verbunden sind.

Finanzinstitute müssen robuste Sicherheitsmaßnahmen zur Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit ihrer IKT-Systeme implementieren sowie regelmäßige Sicherheitsüberprüfungen und Schwachstellenanalysen durchführen.

Unternehmen müssen ein effizientes Incident Management System einrichten, das die Erkennung, Bewertung und Reaktion auf IKT-bezogene Vorfälle ermöglicht. Wesentliche Vorfälle müssen unverzüglich den zuständigen Behörden gemeldet werden.

Finanzinstitute müssen sicherstellen, dass ihre Drittanbieter die DORA-Anforderungen erfüllen, regelmäßige Prüfungen durchlaufen und auditierbar sind. Sie müssen ihre Verträge und Überwachungsprozesse entsprechend anpassen.

Finanzinstitute müssen regelmäßige Tests zur Überprüfung ihrer digitalen und operativen Resilienz durchführen, einschließlich Penetrationstests, um die Widerstandsfähigkeit ihrer IKT-Systeme gegen Cyberangriffe zu bewerten.

Finanzinstitute müssen regelmäßige Berichte über ihre IKT-Risiken, Vorfälle und Sicherheitsmaßnahmen an die zuständigen Behörden übermitteln. Um den Anforderungen des Digital Operational Resilience Acts zu entsprechen, müssen diese Berichte detailliert und aktuell sein.

Hyperscaler, die kritische Cloud-Dienste für Finanzinstitute bereitstellen, unterliegen speziellen Prüfungs- und Aufsichtsvorschriften. Sie werden zentral durch die ESA und nationale Aufsichtsbehörden geprüft.

• Geldstrafen: Aufsichtsbehörden können erhebliche Geldstrafen verhängen, die je nach Schwere der Verstöße und der Größe des Unternehmens bemessen werden.
• Verwaltungsmaßnahmen: Unternehmen können verpflichtet werden, bestimmte Maßnahmen zur Behebung der festgestellten Mängel zu ergreifen. Die Aufsichtsbehörden können hier zb. Anweisungen zur Verbesserung der Risikomanagement- und Sicherheitsmaßnahmen geben.
• Einschränkungen der Geschäftstätigkeit: Aufsichtsbehörden können Einschränkungen der Geschäftstätigkeit eines Unternehmens verhängen, wenn schwerwiegende Verstöße festgestellt werden. Dies kann bis zur Einschränkung der Nutzung bestimmter IKT-Systeme oder Dienstleistungen durch Drittanbieter reichen.
• Rufschädigung: Die Veröffentlichung von Verstößen und Sanktionen kann den Ruf eines Unternehmens erheblich schädigen bis hin zum Verlust des Vertrauens von Kunden und Geschäftspartnern.

Finanzinstitute sollten Schulungen und Weiterbildungen anbieten, um sicherzustellen, dass ihre Mitarbeitenden über die erforderlichen Kenntnisse und Fähigkeiten im Bereich IKT-Sicherheit, Risikomanagement und Incident Management verfügen.

Best Practices umfassen die Implementierung robuster IKT-Sicherheits- und Risikomanagementstrategien, die regelmäßige Durchführung von Cyber-Resilienztests, die sorgfältige Überwachung von IKT-Drittanbietern, die Einhaltung von Berichterstattungs- und Meldepflichten sowie die kontinuierliche Weiterbildung der Mitarbeiter im Bereich IKT-Sicherheit.