DORA – Stärkung der digitalen operativen Resilienz im Finanzsektor

In der neuesten Episode von „The Cybersecurity Compass“ tauchen wir tief in den Digital Operational Resilience Act (DORA) ein – eine wegweisende EU-Verordnung, die darauf abzielt, die Widerstandsfähigkeit des Finanzsektors gegenüber Cyberbedrohungen zu stärken.

Ob Finanzinstitut, IKT-Dienstleister oder Versicherungsunternehmen – die Anforderungen von DORA werden maßgeblich beeinflussen, wie digitale Risiken gesteuert und Vorfälle bewältigt werden. Werfen wir einen Blick auf die zentralen Aspekte dieser neuen Regulierung und ihre Auswirkungen auf die Finanzbranche.

Digital Decade Strategy

Zentrale von DORA betroffene Finanzsektoren

Der Anwendungsbereich von DORA erstreckt sich auf zahlreiche Finanzakteure, darunter Kreditinstitute, Zahlungsdienstleister und Wertpapierfirmen, Versicherungs- und Rückversicherungsunternehmen, IKT-Drittanbieter wie Cloud- und Softwareanbieter sowie Crowdfunding-Dienstleister, Transaktionsregister und Verwalter alternativer Investmentfonds.

Diese Verordnung ist von zentraler Bedeutung für die Absicherung der Infrastruktur von Finanzinstituten und die Stärkung ihrer digitalen Resilienz.

DORA definiert mehrere zentrale Handlungsfelder für Finanzinstitute:

1. IKT-Risikomanagement:
Finanzunternehmen müssen ein umfassendes Framework zur Identifizierung, Überwachung und Steuerung von IKT-Risiken implementieren. Dazu gehört auch der Aufbau einer klaren Governance-Struktur mit eindeutig definierten Rollen und Verantwortlichkeiten auf Ebene des Senior Managements.

2. Meldung von Vorfällen:
DORA schreibt ein standardisiertes Verfahren zur Meldung von IKT-bezogenen Vorfällen vor, insbesondere bei Cyberbedrohungen und Sicherheitsverletzungen. Finanzunternehmen sind verpflichtet, solche Vorfälle unverzüglich an die zuständigen nationalen Behörden zu melden, um weitreichende Störungen zu verhindern.

3. Resilienztests:
Ein zentrales Element von DORA ist die Verpflichtung, die digitale Resilienz regelmäßig zu testen. Dies umfasst szenariobasierte Penetrationstests sowie Vulnerability-Analysen, um potenzielle Schwachstellen frühzeitig zu identifizieren und zu beheben.

4. Drittparteirisikomanagement:
Angesichts der zunehmenden Abhängigkeit von externen IKT-Dienstleistern verlangt DORA ein strukturiertes Management von Drittparteirisiken. Dazu gehören sorgfältige Due-Diligence-Prüfungen von Dienstleistern sowie vertragliche Regelungen zur Minimierung von Cyberrisiken.

5. Informationsaustausch:
DORA fördert die Zusammenarbeit innerhalb des Finanzsektors durch den Austausch von Informationen über Cyberbedrohungen. Diese Kooperation ist entscheidend, um die kollektive Abwehrfähigkeit zu stärken und die Ausbreitung von Vorfällen im gesamten Sektor zu verhindern.