Informationssicherheit in der Finanzbranche
Digital Operational Resilience Act (DORA)
DORA zwischen Anspruch und Realität
Der Digital Operational Resilience Act ist eine EU-Verordnung (2022/2554), die Regulierungen für die Themen Cybersicherheit, Informations- und Kommunikationstechnologien Risiken (IKT-Risiken), sowie digitale operationale Resilienz für den gesamten Finanzsektor sowie dessen kritische IT-Dienstleister definiert.
Die Umsetzung von DORA markiert einen Wendepunkt für den europäischen Finanzsektor. Seit dem 17. Januar 2025 sind über 22.000 Finanzunternehmen in der EU verpflichtet, die Anforderungen über die digitale operationale Resilienz vollständig zu erfüllen. Allein in Deutschland fallen circa 3.600 Institute unter den Anwendungsbereich dieser weitreichenden Regulierung. Die Realität zeigt jedoch ein ernüchterndes Bild:
Trotz einer zweijährigen Vorbereitungszeit kämpfen viele Organisationen noch immer mit erheblichen Umsetzungslücken.
SECURAM Consulting hilft bei DORA
SECURAM Consulting unterstützt Finanzunternehmen bei der erfolgreichen Umsetzung von DORA-Anforderungen. Von der Gap-Analyse über die Entwicklung maßgeschneiderter Umsetzungsroadmaps bis zur operativen Begleitung bieten wir umfassende Beratungsleistungen für die digitale operationale Resilienz Ihres Unternehmens.
Kontakt
Neue ABC-Straße 8
20354 Hamburg
040 2984553-0
sales@securam-consulting.com
Für weitere Informationen rund um das Thema DORA, können Sie sich unseren Flyer herunterladen:
Wofür steht die SECURAM Consulting?
Expertise und Know-How in den Regulariken der IT-Security und Informationssicherheit
Konstruktive & vertrauensvolle Zusammenarbeit
Verantwortung übernehmen & Sicherheit leben
Hands-on beim Aufbau von IT-Security & Informationssicherheit
Sicherheitsziele systematisch definieren, umsetzen & im Alltag leben
Was ist DORA?
Inhalt:
Im Kern zielt der Digital Operational Resilience Act, der einen konsistenten Ansatz zur Identifikation, Bewertung und Steuerung von Cybersicherheits- und IKT-Risiken verfolgt, darauf ab, das gesamte europäische Finanzsystem vor den Auswirkungen zunehmend raffinierter Cyberangriffe zu schützen. Die damit einhergehenden regulatorischen Anpassungen erfordern zwar zusätzlichen Aufwand, eröffnen jedoch zugleich die Möglichkeit, durch die konsequente Implementierung moderner Sicherheitsstandards das Sicherheitsniveau signifikant zu erhöhen. Unternehmen, die frühzeitig in die Optimierung ihrer IT-Sicherheitsarchitektur investieren, profitieren von einem gesteigerten Reifegrad und einer nachhaltigen Wettbewerbsfähigkeit im dynamischen Marktumfeld.
DORA etabliert einen einheitlichen und stringenten Aufsichtsansatz für sämtliche relevante Sektoren in der EU und harmonisiert dadurch Sicherheits- und Resilienzpraktiken maßgeblich. Anstatt primär auf die finanzielle Widerstandsfähigkeit von Unternehmen zu fokussieren, verlagert DORA den Schwerpunkt auf die Gewährleistung eines stabilen Betriebs auch in Extremsituationen – insbesondere bei schwerwiegenden Betriebsunterbrechungen, die die Integrität von Netzwerken und Informationssystemen gefährden könnten. Unsere spezialisierte Consulting-Dienstleistung unterstützt Sie dabei, die Anforderungen des Digital Operational Resilience Act effizient in Ihre IT-Sicherheitsarchitektur zu integrieren und somit eine nachhaltige, digitale Betriebsresilienz sicherzustellen.
DORA implementiert einen ganzheitlichen Rahmen, der ein effektives Risikomanagement, umfassende IKT- und Cybersicherheitsfunktionen sowie das strukturierte Management von Störungen und Drittanbietern ermöglicht. Dies gewährleistet eine konsistente Bereitstellung von Dienstleistungen entlang der gesamten Wertschöpfungskette. Im Kern stehen dabei fünf zentrale Themenbereiche: das IKT-Risikomanagement, das Management von IKT-Vorfällen, Digital Operational Resilience Testing, das Management von Drittparteien sowie der Informationsaustausch. Dieser integrierte Ansatz trägt dazu bei, dass Finanzinstitute und andere relevante Akteure in der EU ihre operationelle Resilienz systematisch stärken und so auf schwerwiegende Betriebsunterbrechungen vorbereitet sind.
Unternehmen müssen die Anforderungen aus DORA innerhalb eines klar definierten Zeitrahmens umsetzen. Die Verordnung ist am 16.01.2023 in Kraft getreten und sieht eine zweijährige Übergangsfrist vor. Bereits jetzt spüren Finanzunternehmen einen erheblichen Handlungsdruck, ihre spezifischen Maßnahmen aus den DORA-Anforderungen -insbesondere im Bereich des umfassenden IKT-Risikomanagements – zu identifizieren und umzusetzen.
Im ersten Halbjahr 2024 erfolgt die Veröffentlichung der ersten Reihe von Regulatory Technical Standards (RTS) und Implementing Technical Standards (ITS). Diese adressieren unter anderem das IKT-Risk Management Framework, operative Sicherheitsstandards, die Klassifizierung von IKT-Vorfällen und das Management von IKT-Drittparteirisiken. Im zweiten Halbjahr 2024 werden weitere Standards publiziert, die detaillierte Vorgaben zur Meldung von IKT-Vorfällen, zur Methodologie und zu den Testanforderungen für die digitale Betriebsresilienz sowie zur Gestaltung von Sub-Outsourcing-Arrangements enthalten.
Da die DORA-Anforderungen 24 Monate nach Inkrafttreten, also bis Anfang 2025, durchsetzbar sind, sollten Unternehmen umgehend damit beginnen, ihre Compliance-Strategie zu entwickeln und umzusetzen, um den steigenden regulatorischen Anforderungen gerecht zu werden.
Wesentliche Elemente von DORA
Die DORA-Verordnung markiert einen entscheidenden Schritt zur Verbesserung der digitalen Resilienz von Finanzinstituten in der EU. Sie etabliert einheitliche Standards für den Umgang mit IKT-Risiken, Cybersecurity und Störungsmanagement, um einen reibungslosen und sicheren Geschäftsbetrieb auch in Krisenzeiten zu gewährleisten. Im Folgenden werden die fünf zentralen Säulen vorgestellt, die den Kern der DORA-Anforderungen bilden und den institutionellen Rahmen für eine robuste digitale Betriebsresilienz definieren.
- Operational Resilience & Risikomanagement
- Management von IKT-Vorfällen & Cyber Security
- Digital Operational Resilience Testing
- Governance & Management von Drittparteien
- Informationsaustausch
Unternehmen sind verpflichtet, ein umfassendes IKT-Risikomanagement zu implementieren. Dies umfasst den Aufbau und die Pflege belastbarer IKT-Systeme, die Identifizierung und Klassifizierung kritischer Funktionen sowie eine kontinuierliche Überwachung und schnelle Erkennung anomaler Aktivitäten. Ergänzt wird dies durch die Einführung detaillierter Business-Continuity- und Notfallpläne, die regelmäßig getestet werden, um aus Vorfällen zu lernen und präventive Maßnahmen zu optimieren.
Finanzinstitute müssen ein standardisiertes Verfahren zur Protokollierung, Klassifizierung und Meldung aller IKT-bezogenen Vorfälle entwickeln. Schwerwiegende Ereignisse werden anhand festgelegter Kriterien erfasst, wobei ein initialer, Zwischen- und Abschlussbericht unter Nutzung einheitlicher Vorlagen zu erstellen ist.
Alle Einrichtungen sind dazu angehalten, ihre IKT-Werkzeuge und -Systeme jährlich eingehend zu testen. Hierzu zählen grundlegende Systemprüfungen zur Identifikation von Schwachstellen sowie fortgeschrittene, bedrohungsgesteuerte Penetrationstests (TLPT) für kritische Funktionen. Die Kooperation von Drittanbietern ist dabei zwingend erforderlich.
Die Überwachung der Risiken aus der Auslagerung von IKT-Dienstleistungen ist ein weiterer Schwerpunkt. Finanzunternehmen müssen ein vollständiges Verzeichnis aller ausgelagerten Tätigkeiten führen und vertragliche Vereinbarungen so gestalten, dass alle relevanten Überwachungsaspekte – wie Leistungsumfang und Datenverarbeitungsstandorte abgedeckt sind. Kritische IKT-Drittdienstleister unterliegen zudem einem speziellen EU-Aufsichtsrahmen, der bei Nichteinhaltung von Empfehlungen das Risiko weiter bewertet.
Finanzinstitute werden ermutigt, untereinander sowie mit den Aufsichtsbehörden Informationen und Erkenntnisse über Cyberbedrohungen auszutauschen. Durch etablierte Mechanismen soll sichergestellt werden, dass anonymisierte, von den Behörden bereitgestellte Informationen überprüft und in die Optimierung der Sicherheitsmaßnahmen integriert werden.
Häufige Fragen zu DORA (FAQ)
Was bedeutet digitale operationale Resilienz?
Digitale operationale Resilienz im Sinne der DORA-Verordnung bedeutet, dass ein Unternehmen in der Lage ist, seine Betriebsfähigkeit und Stabilität digitaler Prozesse aufzubauen, dauerhaft sicherzustellen und regelmäßig zu kontrollieren.
Was ist der Digital Operational Resilience Act?
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die darauf abzielt, die digitale Belastbarkeit und Stabilität von Finanzunternehmen zu verbessern.
Was ist das Ziel von DORA?
Ziel des DORA-Regelwerks ist es, die bislang unterschiedlichen nationalen Anforderungen an IT-Sicherheit im Finanzwesen zu harmonisieren. Damit entsteht erstmals ein EU-weit einheitlicher Rechtsrahmen für digitale Resilienz in der Finanzbranche.