In einer zunehmend vernetzten Welt kann die Bedeutung solider regulatorischer Rahmenbedingungen für die Erhöhung der Stabilität und Sicherheit von Finanzsystemen gar nicht hoch genug eingeschätzt werden. Der „Digital Operational Resilience Act“ (DORA) der Europäischen Union ist eine bedeutende regulatorische Neuerung, die darauf abzielt, die operative Widerstandsfähigkeit von Finanzinstituten zu stärken. In diesem Blogbeitrag wird untersucht, wie sich DORA im Vergleich zu anderen wichtigen Vorschriften weltweit darstellt, wobei seine besonderen Features und die weiterreichenden Auswirkungen auf die Finanzbranche hervorgehoben werden.
DORA verstehen
Die Europäische Kommission hat DORA im September 2020 als Teil des „Digital Finance Package“ eingeführt. Das vorrangige Ziel besteht darin, die Fähigkeit von Finanzinstituten zu stärken, alle Arten von IKT-bezogenen Störungen und Bedrohungen zu bewältigen, darauf zu reagieren und sich davon zu erholen. DORA gilt für ein breites Spektrum von Finanzunternehmen, darunter Banken, Versicherungsgesellschaften, Wertpapierfirmen und externe IKT-Dienstleister.
Zu den wichtigsten Bestandteilen von DORA gehören:
- ICT risk management: Financial entities must implement comprehensive ICT risk management frameworks to identify, assess, and mitigate risks.
- Incident reporting: Mandatory reporting of significant ICT-related incidents to competent authorities.
- Digital operational resilience testing: Regular testing of ICT systems to enable resilience against disruptions.
- Third-party risk management: Enhanced oversight of third-party ICT service providers to hold them to resilience standards.
- Information sharing: Encouragement of information sharing among financial entities to improve collective resilience.
Ein Vergleich von DORA mit anderen Vorschriften und bewährten Praktiken der Branche
1. NIST-Rahmenwerk für Cybersicherheit (Vereinigte Staaten)
Das Cybersicherheits-Rahmenwerk des National Institute of Standards and Technology (NIST) ist ein freiwilliges Rahmenwerk, das Leitlinien für das Management und die Minderung von Cybersicherheitsrisiken bereitstellt. Obwohl es keine gesetzliche Vorschrift darstellt, wird es von US-amerikanischen Finanzinstituten in großem Umfang angewendet.
- Scope: Unlike DORA, which is mandatory for EU financial entities, the NIST framework is voluntary and can be applied to any industry.
- Focus: Both frameworks focus on broader cybersecurity risk management practices, with DORA placing significantly more focus on operational resilience.
- Incident reporting: DORA mandates incident reporting, while NIST encourages it but does not require it.
2. DSGVO (Europäische Union)
Die Datenschutz-Grundverordnung ist eine weitere wichtige EU-Verordnung, deren Schwerpunkt in erster Linie auf dem Datenschutz und der Privatsphäre liegt.
- Scope: GDPR applies to all organizations processing personal data of EU citizens, while DORA is specific to financial entities.
- Focus: GDPR emphasizes data protection and privacy, whereas DORA focuses on operational resilience and ICT risk management.
- Incident reporting: Both regulations require incident reporting, but GDPR focuses on personal data breaches, while DORA covers a broader range of ICT incidents.
3. Basel III (weltweit)
Basel III ist ein globales Regelwerk internationaler Aufsichtsstandards, das vom Basler Ausschuss für Bankenaufsicht entwickelt wurde, um die Regulierung, Aufsicht und das Risikomanagement im Bankensektor zu stärken. Die EU setzt das Basel-III-Rahmenwerk ab dem 1. Januar 2025 um, während sich die Umsetzung in den Vereinigten Staaten und im Vereinigten Königreich voraussichtlich verzögern wird.
- Scope: Basel III is specific to internationally active banks, while DORA applies to a wider range of financial entities.
- Focus: Basel III focuses on capital adequacy, stress testing, and market liquidity risk, whereas DORA focuses on ICT risk management. Both address operational resilience.
- Incident reporting: Basel III does not specifically mandate ICT incident reporting, unlike DORA.
4. Rahmenwerk der FCA zur operativen Widerstandsfähigkeit (Vereinigtes Königreich)
Die britische Finanzaufsichtsbehörde (Financial Conduct Authority) verfügt über ein eigenes Rahmenwerk zur operativen Widerstandsfähigkeit, das Ähnlichkeiten mit DORA aufweist.
- Scope: Both frameworks apply to financial entities, but the FCA framework is specific to the UK.
- Focus: Both frameworks emphasize operational resilience, but DORA has a broader scope, including third-party risk management and information sharing.
- Incident reporting: Both frameworks require incident reporting, but DORA has more detailed requirements.
Auswirkungen auf die Finanzbranche
Die Einführung von DORA stellt einen bedeutenden Schritt zur Stärkung der operativen Widerstandsfähigkeit von Finanzinstituten in der EU dar. Durch die Verpflichtung zu einem umfassenden IKT-Risikomanagement, regelmäßigen Widerstandsfähigkeitstests und einer zuverlässigen Meldung von Vorfällen zielt DORA darauf ab, die Auswirkungen von IKT-bedingten Störungen auf das Finanzsystem zu mindern.
Für weltweit tätige Finanzunternehmen kann die Einhaltung zahlreicher regulatorischer Rahmenbedingungen eine Herausforderung darstellen. Die Grundsätze von DORA stehen jedoch im Einklang mit vielen bestehenden Vorschriften und bewährten Praktiken der Branche, wie beispielsweise dem NIST-Rahmenwerk für Cybersicherheit und dem FCA-Rahmenwerk für operative Widerstandsfähigkeit. Diese Übereinstimmung kann einen stärker integrierten Ansatz für das Management von IKT-Risiken und der operativen Widerstandsfähigkeit erleichtern. Solange die von DORA geforderten Kernkompetenzen abgedeckt sind, steht es Finanzunternehmen frei, IKT-Risikomanagementmodelle zu verwenden, die anders konzipiert oder kategorisiert sind.
Schlussfolgerung
DORA setzt mit ihrem umfassenden Ansatz in den Bereichen IKT-Risikomanagement, Meldung von Vorfällen und Überwachung von Dritten hohe Maßstäbe für die operative Widerstandsfähigkeit im Finanzsektor. Obwohl sie Ähnlichkeiten mit anderen Vorschriften aufweist, machen ihr verbindlicher Charakter und ihr weitreichender Geltungsbereich sie zu einem einzigartigen und einflussreichen Regulierungsrahmen. Angesichts der sich ständig weiterentwickelnden globalen Regulierungslandschaft müssen sich Finanzunternehmen auf dem Laufenden halten und anpassen, um in einer zunehmend digitalen Welt die Einhaltung der Vorschriften und ihre Widerstandsfähigkeit zu gewährleisten.
Erfahren Sie mehr darüber, wie Sie sich auf das Gesetz zur digitalen Betriebsstabilität vorbereiten können, in unserer Blog-Reihe „Exploring DORA“:
- Ein Überblick über das Gesetz zur digitalen Betriebsstabilität
- 9 Schritte auf dem Weg zur Compliance
- Die globale Regulierungslandschaft verstehen
- Resilienz aufbauen: Strategien zur Cyber-Recovery im Rahmen von DORA
- Die Rolle des Datenmanagements bei der Einhaltung gesetzlicher Vorschriften
- Risikomanagement und DORA: Vorbereitung auf das Unerwartete
