IN EIGENER SACHE
MIT DORA WIRD DIE RESILIENZ IN DER FINANZINDUSTRIE GESTÄRKT
DORA ist eine wegweisende Verordnung der Europäischen Union, die die operative Resilienz digitaler Systeme im Finanzsektor stärken will. Angesichts der zunehmenden Digitalisierung und der wachsenden Bedrohung durch Cyberangriffe soll DORA die notwendige Stabilität und Sicherheit digitaler Finanzsysteme gewährleisten.
Die 4 wesentlichen Ziele von DORA:
Stärkung der operativen Resilienz
DORA soll sicherstellen, dass Finanzinstitute in der Lage sind, Informations- und Kommunikations-technologie- gestützte (IKT-)Vorfälle zu überstehen, darauf zu reagieren und sich davon zu erholen.
Erhöhung der Cybersicherheit
Die Fähigkeit von Finanzinstituten, Cyberangriffe zu verhindern und zu bewältigen, soll verbessert werden.
Harmonisierung der Vorschriften
Es soll ein einheitlicher Rahmen für die digitale operative Resilienz für alle Finanzinstitute in der EU gelten.
Schutz der Finanzstabilität
IT-Störungen sollen nicht zu systemischen Risiken führen, die die gesamte Finanzstabilität gefährden könnten.
DORAs Kernthemen
IKT-Risikomanagement
Finanzinstitute müssen robuste IKT-Risikomanagementsysteme implementieren, die potenzielle Bedrohungen identifizieren, bewerten und mindern. Dazu gehören regelmäßige Risikobewertungen und die Implementierung geeigneter Sicherheitskontrollen.
IKT-Incident-Management
DORA verlangt von Finanzinstituten, klare Verfahren für die Meldung und Bewältigung von IKT-Vorfällen zu etablieren. Dazu gehört die Pflicht, schwerwiegende Vorfälle unverzüglich an die zuständigen Behörden zu melden.
Testen der digitalen operativen Resilienz
Finanzinstitute müssen regelmäßig ihre Systeme und Prozesse testen, um deren Widerstandsfähigkeit gegenüber IKT-Störungen zu überprüfen. Dies umfasst unter anderem Penetrationstests und Krisenübungen.
Informationsaustausch
DORA fördert den Austausch von Informationen über Cyberbedrohungen und -vorfälle zwischen Finanzinstituten und Behörden, um gemeinsame Bedrohungen besser zu verstehen und abzuwehren.
Anforderungen an IKT-Drittanbieter
Finanzinstitute müssen sicherstellen, dass auch ihre IKT-Drittanbieter die Anforderungen von DORA erfüllen. Dies beinhaltet die sorgfältige Auswahl und Überwachung von Dienstleistern sowie vertragliche Vereinbarungen, mit denen die Einhaltung der Vorschriften garantiert wird.
Die Einführung von DORA wird weitreichende Folgen für den Finanzsektor
haben. Zu den wichtigsten Auswirkungen gehören:
Erhöhte Kosten und Ressourcenbedarf:
Finanzinstitute müssen möglicherweise erheblich in ihre IKT-Systeme und Sicherheitsinfrastrukturen investieren, um die Anforderungen von DORA zu erfüllen. Dies könnte insbesondere für kleinere Institute eine Herausforderung darstellen.
Verbesserte Cybersicherheit:
Durch die strengen Anforderungen an das IKT-Risikomanagement und die Incident Response werden die Finanzinstitute besser in der Lage sein, Cyberangriffe abzuwehren und zu bewältigen, was letztlich die Sicherheit und Stabilität des Finanzsektors erhöht.
Standardisierung und Konsistenz:
Die Harmonisierung der Vorschriften innerhalb der EU wird zu einer einheitlicheren und konsistenteren Anwendung von Sicherheitsstandards führen, was den grenzüberschreitenden Betrieb von Finanzinstituten erleichtert.
Erhöhte regulatorische Aufsicht:
Die zuständigen Behörden werden eine größere Rolle bei der Überwachung und Durchsetzung der DORA-Anforderungen spielen, was zu einer engeren Zusammenarbeit zwischen Finanzinstituten und Regulierungsbehörden führen wird.
Anforderungen an IKT-Drittanbieter
Finanzinstitute müssen sicherstellen, dass auch ihre IKT-Drittanbieter die Anforderungen von DORA erfüllen. Dies beinhaltet die sorgfältige Auswahl und Überwachung von Dienstleistern sowie vertragliche Vereinbarungen, mit denen die Einhaltung der Vorschriften garantiert wird.
Die HANSAINVEST befasst sich seit anderthalb Jahren intensiv mit den DORA-Anforderungen. Dafür wurde zuerst eine sehr detaillierte Gap-Analyse erstellt. Dabei wurde der aktuelle Ist-Stand in Bezug auf Aufbau- und Ablauforganisation sowie Sicherheitstechnik mit den neuen Anforderungen verglichen. Vorhandene Lücken wurden definiert und zusammengefasst. Aktuell setzt das DORA-Projektteam die notwendigen Änderungen schrittweise um.
So kann auf noch ausstehende Umsetzungsstandards der DORA-Verordnung reagiert und eine effiziente Abarbeitung sichergestellt werden.
HANS LOHRMANN
IT-Governance-Experte
Hans Lohrmann befasst sich seit Beginn seiner beruflichen Laufbahn mit regulatorischen Anforderungen an Unternehmen im Bereich Financial Services, wobei er als Prüfer und Berater für eine Big-Four-Wirtschaftsprüfungsgesellschaft sowie für eine international
agierende Unternehmensberatung gearbeitet hat. Seit Ende 2021 ist Lohrmann für die Umsetzung regulatorischer Anforderungen und für Compliance-Themen in der IT bei der HANSAINVEST verantwortlich.
