Der Digital Operational Resilience Act (DORA) ist ein bedeutender Rechtsrahmen, der von der Europäischen Union eingeführt wurde, um die operative Widerstandsfähigkeit digitaler Systeme im Finanzsektor zu verbessern. Die Vorschriften sollen am 17. Januar 2025 in Kraft treten.
Da Technologie für Finanzdienstleistungen immer wichtiger wird, sind robuste Cybersicherheitsmaßnahmen und widerstandsfähige digitale Infrastrukturen wichtiger denn je. Hier finden Sie einen detaillierten Leitfaden, wie Unternehmen sich auf die Einhaltung der DORA vorbereiten und ihre digitale Betriebsstabilität stärken können.
1. Geltungsbereich und Anforderungen von DORA verstehen
Sie sollten sich gründlich mit dem Geltungsbereich von DORA und den spezifischen Anforderungen vertraut machen, die diese Verordnung an Finanzunternehmen stellt. DORA zielt darauf ab, das IT-Risikomanagement im gesamten Finanzsektor zu konsolidieren und zu stärken. Sie gilt für ein breites Spektrum von Unternehmen, darunter Banken, Versicherungsgesellschaften und Wertpapierfirmen sowie kritische Drittanbieter wie beispielsweise Cloud-Computing-Dienste.
Unternehmen müssen prüfen, ob sie in den Geltungsbereich der DORA fallen, und sich über die damit verbundenen Verpflichtungen im Klaren sein, wie z. B. die Meldung von Vorfällen, die Überprüfung der digitalen Betriebsstabilität und das Management von Risiken durch externe IKT-Anbieter.
2. Führen Sie eine umfassende Risikobewertung durch.
Gemäß DORA sind Finanzinstitute verpflichtet, alle Risiken im Zusammenhang mit ihren Informations- und Kommunikationstechnologiesystemen (IKT) und -diensten zu identifizieren, zu dokumentieren und zu verwalten. Die Durchführung einer umfassenden Risikobewertung ist von entscheidender Bedeutung.
Dazu gehören die Erfassung aller digitalen Ressourcen, die Bewertung der mit jeder Ressource verbundenen Risiken und das Verständnis der potenziellen Auswirkungen von IKT-Störungen auf die Dienste und Abläufe der Organisation. Die Risikobewertung sollte ein fortlaufender Prozess sein, der regelmäßig aktualisiert wird, um neuen Technologien, Prozessen und aufkommenden Bedrohungen Rechnung zu tragen.
3. Stärkung der IKT-Sicherheitsmaßnahmen
Die Verbesserung der IKT-Sicherheit ist ein zentraler Bestandteil von DORA. Organisationen müssen robuste Sicherheitsmaßnahmen umsetzen, um ihre digitale Infrastruktur und ihre Daten vor Cyberbedrohungen zu schützen. Dazu gehört der Einsatz fortschrittlicher Cybersicherheitstechnologien in Bereichen wie Risikoidentifizierung, Schutz und Prävention, Erkennung, Reaktion und Recovery sowie schließlich Datensicherung. Unter Nutzung des in vielen Best Practices und Standards (z. B. NIST CSF) verbreiteten Ansatzes bietet DORA eine Reihe von Zielen, anhand derer Organisationen Cybersicherheitsrisiken priorisieren und angehen können, legt jedoch keine konkreten Maßnahmen zur Erreichung dieser Ziele fest.
DORA misst der Bedeutung von Tests große Bedeutung bei. Sie sollten regelmäßige Sicherheitsaudits und Penetrationstests durchführen, um Schwachstellen zu identifizieren und zu beheben, aber auch die operative Widerstandsfähigkeit Ihres Unternehmens zu testen und zu dokumentieren. Vergewissern Sie sich, dass Ihre Sicherheitsrichtlinien und -verfahren auf dem neuesten Stand sind und den bewährten Verfahren der Branche entsprechen.
4. Entwickeln Sie einen Plan für die Reaktion auf Vorfälle.
DORA verpflichtet Finanzinstitute dazu, einen wirksamen Plan für die Reaktion auf Vorfälle zu erstellen und aufrechtzuerhalten. Dieser Plan sollte die Verfahren darlegen, die im Falle eines IKT-bezogenen Vorfalls zu befolgen sind, damit Sie schnell und strukturiert reagieren und die Auswirkungen minimieren können. Der Plan sollte klare Rollen und Zuständigkeiten, Kommunikationsstrategien sowie Recovery-Verfahren enthalten. Führen Sie regelmäßig Schulungen und Simulationsübungen durch, damit das Reaktionsteam gut auf potenzielle Vorfälle vorbereitet ist.
5. Resilienz kritischer Funktionen gewährleisten
Ihre kritischen Funktionen müssen in der Lage sein, Störungen im IT-Bereich standzuhalten und sich davon zu erholen. Dazu gehört die Konzeption von Systemen und Prozessen, die widerstandsfähig sind und auch unter widrigen Bedingungen weiterlaufen können. In kritische Systeme sollten Redundanzen eingebaut und Backup-Lösungen implementiert werden, um die Datenintegrität und -verfügbarkeit zu gewährleisten. Darüber hinaus müssen Sie Recovery-Ziele klar definieren und Ihre Recovery-Pläne regelmäßig testen, um Ihre Mitarbeiter darauf vorzubereiten.
6. Risiken durch Dritte verwalten
Angesichts der zunehmenden Abhängigkeit von externen Dienstleistern ist das Management von IKT-Risiken durch Dritte eine zentrale Anforderung von DORA. Organisationen sollten bei der Auswahl externer Dienstleister eine gründliche Sorgfaltsprüfung durchführen und deren Leistung sowie die Einhaltung des internen IKT-Risikomanagementrahmens und der einschlägigen Sicherheitsstandards kontinuierlich überwachen. Verträge mit externen Dienstleistern sollten klare Bestimmungen hinsichtlich Datenschutz, Meldung von Vorfällen und Prüfungsrechten enthalten. Außerdem sollten Sie über einen Notfallplan verfügen, falls der externe Dienstleister die erforderliche Leistung nicht erbringt.
7. Governance und Aufsicht umsetzen
Eine wirksame Steuerung und Überwachung sind für die Einhaltung der DORA-Vorschriften unerlässlich. Dazu gehört die Einrichtung eines Steuerungsrahmens, der die Rollen und Verantwortlichkeiten aller an der Steuerung von IKT-Risiken beteiligten Parteien festlegt. Die Geschäftsleitung sollte aktiv in die Überwachung der digitalen Betriebsresilienz der Organisation eingebunden sein. Der Geschäftsleitung sind regelmäßig Berichte vorzulegen, in denen die Maßnahmen zum Risikomanagement, Vorfallberichte und die Einhaltung der DORA-Anforderungen detailliert dargelegt werden.
8. Vorbereitung auf Berichterstattung und Prüfung
DORA schreibt eine regelmäßige Berichterstattung zu verschiedenen Aspekten der digitalen Betriebsresilienz vor. Organisationen sollten über Mechanismen verfügen, um die erforderlichen Daten zu erheben und Berichte zeitnah zu erstellen. Dazu gehören Berichte zum IKT-Risikomanagement, Vorfallberichte und Prüfungsergebnisse. Darüber hinaus sollten Organisationen auf externe Prüfungen durch Aufsichtsbehörden oder unabhängige Prüfer vorbereitet sein und alle Unterlagen sowie Nachweise zur Einhaltung der Vorschriften jederzeit griffbereit halten.
9. Eine Kultur der Resilienz fördern
Schließlich ist es von entscheidender Bedeutung, innerhalb der Organisation eine Kultur der Resilienz zu fördern. Dazu gehört es, das Bewusstsein für die Bedeutung der digitalen Betriebsresilienz zu schärfen und die Mitarbeiter hinsichtlich ihrer Rolle bei der Aufrechterhaltung dieser Resilienz zu schulen. Eine resiliente Kultur fördert die proaktive Identifizierung und Bewältigung von IKT-Risiken und trägt zur kontinuierlichen Verbesserung der Resilienzstrategien bei.
Durch die Umsetzung dieser Schritte sind Unternehmen nicht nur auf DORA vorbereitet, sondern verbessern auch ihre allgemeine digitale Betriebsstabilität und schützen sich und ihre Kunden vor den negativen Auswirkungen von IKT-Störungen. Angesichts der fortschreitenden digitalen Transformation verschafft es Unternehmen einen Wettbewerbsvorteil und verbessert ihre Position im Hinblick auf langfristige Nachhaltigkeit, wenn sie in Sachen Compliance und Stabilität immer einen Schritt voraus sind.
Erfahren Sie mehr darüber, wie Sie sich auf das Gesetz zur digitalen Betriebsstabilität vorbereiten können, in unserer Blog-Reihe „Exploring DORA“:
- Ein Überblick über das Gesetz zur digitalen Betriebsstabilität
- 9 Schritte auf dem Weg zur Compliance
- Die globale Regulierungslandschaft verstehen
- Resilienz aufbauen: Strategien zur Cyber-Recovery im Rahmen von DORA
- Die Rolle des Datenmanagements bei der Einhaltung gesetzlicher Vorschriften
- Risikomanagement und DORA: Vorbereitung auf das Unerwartete
