Ein Überblick über das Gesetz zur digitalen Betriebsstabilität

Während wir die letzten Monate des Jahres 2024 abschließen, rückt DORA immer mehr in den Vordergrund. Das Gesetz zur digitalen Betriebsstabilität (Digital Operational Resilience Act), das für Finanzinstitute in der Europäischen Union gilt, tritt am 17. Januar 2025 in Kraft. Banken, Versicherungsgesellschaften und Drittanbieter von Informations- und Kommunikationstechnologie (IKT) gehören zu den Institutionen, die die Vorschriften einhalten müssen, die darauf abzielen, Cyber-Resilienz zu gewährleisten.

Für alle Beteiligten ist es von entscheidender Bedeutung, die wichtigsten Bestimmungen und deren Auswirkungen auf das Finanzökosystem zu verstehen. Hier erhalten Sie einen tieferen Einblick in die Hauptkomponenten von DORA und deren Bedeutung für die Branche.

1. Anforderungen an das Risikomanagement

DORA stellt strenge Anforderungen an Finanzunternehmen hinsichtlich der Einrichtung und Aufrechterhaltung robuster Rahmenwerke für die digitale operative Widerstandsfähigkeit. Das bedeutet, dass Unternehmen über umfassende Richtlinien zum Management von IKT-Risiken verfügen müssen. Diese Richtlinien sollten den gesamten Lebenszyklus von IKT-Systemen abdecken, von der Entwicklung und Bereitstellung bis hin zur Wartung und Stilllegung. Von Finanzunternehmen wird erwartet, dass sie ihre Risikomanagementstrategien regelmäßig überprüfen und aktualisieren, um sich an neue und aufkommende Bedrohungen anzupassen.

2. Meldung von Vorfällen

Eines der zentralen Elemente von DORA ist die Verpflichtung für Finanzinstitute, bedeutende Cybervorfälle unverzüglich ihren jeweiligen Aufsichtsbehörden zu melden. Diese Bestimmung gewährleistet einen zeitnahen Informationsfluss zwischen Finanzinstituten und Finanzaufsichtsbehörden, was für das Management systemischer Risiken und die Stärkung der allgemeinen Widerstandsfähigkeit des Finanzsektors von entscheidender Bedeutung ist. Das Gesetz legt fest, welche Arten von Vorfällen gemeldet werden müssen, innerhalb welcher Fristen die Meldung zu erfolgen hat und welche detaillierten Informationen die Meldungen enthalten müssen.

3. Prüfung der digitalen Betriebsstabilität

Um sicherzustellen, dass Finanzinstitute Störungen im IKT-Bereich wirksam standhalten und sich davon erholen können, schreibt die DORA regelmäßige Tests der digitalen Widerstandsfähigkeit vor. Dazu gehört eine Reihe von Testmaßnahmen, wie beispielsweise Schwachstellenanalysen, Penetrationstests und szenariobasierte Übungen. Diese Tests dienen nicht nur dazu, Schwachstellen in IKT-Systemen und -Prozessen aufzudecken, sondern vor allem dazu, die Wirksamkeit der Präventions-, Erkennungs-, Reaktions- und Recovery-Fähigkeiten des Instituts zu bewerten.

4. Risikomanagement durch Dritte

Angesichts der zunehmenden Abhängigkeit von externen IKT-Dienstleistern legt DORA konkrete Anforderungen für das Management der mit diesen externen Parteien verbundenen Risiken fest. Finanzinstitute müssen ihre Dienstleister sorgfältig auswählen und überwachen, um sicherzustellen, dass diese hohe Resilienzstandards einhalten. Sie müssen vor Vertragsabschluss eine gründliche Due-Diligence-Prüfung durchführen und die Leistung der Dienstleister sowie die Einhaltung der vertraglichen Verpflichtungen kontinuierlich überwachen.

5. Aufsichtsrahmen

Mit der DORA-Verordnung wird ein Aufsichtsrahmen geschaffen, der es den europäischen Aufsichtsbehörden ermöglicht, kritische IKT-Drittanbieter direkt zu beaufsichtigen. Dieser Rahmen soll die Anbieter angesichts ihrer Bedeutung für den Finanzsektor dazu verpflichten, strenge Resilienzstandards einzuhalten. Die Aufsicht umfasst regelmäßige Bewertungen und gegebenenfalls die Anordnung von Abhilfemaßnahmen zur Behebung festgestellter Mängel.

Sanktionen bei Nichteinhaltung

Die Nichteinhaltung der DORA-Verordnung kann zu erheblichen Sanktionen führen, die für die Wahrung der Integrität und Wirksamkeit des Gesetzes von entscheidender Bedeutung sind. Diese können je nach Schwere und Art des Verstoßes variieren. Sie sollen abschreckend wirken und in einem angemessenen Verhältnis zur Finanzkraft und Größe des Unternehmens sowie zum Ausmaß der durch die Nichteinhaltung verursachten Beeinträchtigung stehen.

Bei geringfügigen Verstößen müssen Finanzinstitute mit Verwarnungen oder Verweisen rechnen. Bei schwerwiegenderen Verstößen können die Sanktionen jedoch auch hohe Geldbußen umfassen. Bei wiederholten oder besonders schwerwiegenden Verstößen sind die Aufsichtsbehörden befugt, zusätzliche Sanktionen zu verhängen. Dazu können der Entzug von Lizenzen, vorübergehende Verbote der Ausübung bestimmter Geschäftstätigkeiten oder andere Einschränkungen gehören, die zum Schutz des Finanzsystems erforderlich sind.

Positive Auswirkungen auf die Finanzstabilität

Die Einführung von DORA stellt einen bedeutenden Schritt auf dem Weg zu einer höheren digitalen Betriebsresilienz im Finanzsektor dar. Durch die Festlegung klarer Anforderungen an Finanzinstitute und Dienstleister will die EU den Sektor vor IKT-bedingten Störungen und Bedrohungen schützen. Für alle betroffenen Unternehmen ist es unerlässlich, diese Bestimmungen vollständig zu verstehen und sich entsprechend vorzubereiten, um die Einhaltung der Vorschriften zu gewährleisten und ihre Widerstandsfähigkeit zu stärken.

Dieser umfassende Ansatz erhöht nicht nur die Sicherheit einzelner Institute, sondern stärkt auch die Stabilität des Finanzsystems insgesamt. Je näher wir dem Januar 2025 kommen, desto größer wird die Vorfreude auf die Auswirkungen der DORA, die eine neue Ära der digitalen Widerstandsfähigkeit im Finanzwesen verspricht.

Erfahren Sie hier mehr über das Management der DORA-Compliance mit Commvault Cloud.

Erfahren Sie in unserer Blog-Reihe „Exploring DORA“ mehr darüber, wie Sie sich auf das Gesetz zur digitalen Betriebsstabilität vorbereiten können: