DORA erforschen: Die globale Regulierungslandschaft verstehen

In einer zunehmend vernetzten Welt kann die Bedeutung solider regulatorischer Rahmenbedingungen für die Erhöhung der Stabilität und Sicherheit von Finanzsystemen gar nicht hoch genug eingeschätzt werden. Der „Digital Operational Resilience Act“ (DORA) der Europäischen Union ist eine bedeutende regulatorische Neuerung, die darauf abzielt, die operative Widerstandsfähigkeit von Finanzinstituten zu stärken. In diesem Blogbeitrag wird untersucht, wie sich DORA im Vergleich zu anderen wichtigen Vorschriften weltweit darstellt, wobei seine besonderen Features und die weitreichenden Auswirkungen auf die Finanzbranche hervorgehoben werden.

DORA verstehen

Die Europäische Kommission hat DORA im September 2020 als Teil des „Digital Finance Package“ eingeführt. Das vorrangige Ziel besteht darin, die Fähigkeit von Finanzinstituten zu stärken, alle Arten von IKT-bezogenen Störungen und Bedrohungen zu bewältigen, darauf zu reagieren und sich davon zu erholen. DORA gilt für ein breites Spektrum von Finanzunternehmen, darunter Banken, Versicherungsgesellschaften, Wertpapierfirmen und externe IKT-Dienstleister.

Zu den wichtigsten Bestandteilen von DORA gehören:

1. IKT-Risikomanagement: Finanzinstitute müssen umfassende Rahmenwerke für das IKT-Risikomanagement einführen, um Risiken zu identifizieren, zu bewerten und zu mindern.
2. Meldung von Vorfällen: Meldepflicht für wesentliche IKT-bezogene Vorfälle gegenüber den zuständigen Behörden.
3. Prüfung der digitalen Betriebsresilienz: Regelmäßige Tests von IKT-Systemen zur Gewährleistung der Widerstandsfähigkeit gegenüber Störungen.
4. Risikomanagement bei Drittanbietern: Verstärkte Überwachung externer IKT-Dienstleister, um deren Einhaltung von Resilienzstandards sicherzustellen.
5. Informationsaustausch: Förderung des Informationsaustauschs zwischen Finanzinstituten zur Stärkung der kollektiven Widerstandsfähigkeit.

Ein Vergleich von DORA mit anderen Vorschriften und bewährten Praktiken der Branche

1. NIST-Rahmenwerk für Cybersicherheit (Vereinigte Staaten)

Das Cybersicherheits-Rahmenwerk des National Institute of Standards and Technology (NIST) ist ein freiwilliges Rahmenwerk, das Leitlinien für das Management und die Minderung von Cybersicherheitsrisiken bereitstellt. Obwohl es keine gesetzliche Vorschrift darstellt, wird es von US-amerikanischen Finanzinstituten in großem Umfang angewendet.

• Geltungsbereich: Im Gegensatz zu DORA, das für Finanzinstitute in der EU verbindlich ist, ist das NIST-Rahmenwerk freiwillig und kann in jeder Branche angewendet werden.
• Schwerpunkt: Beide Rahmenwerke konzentrieren sich auf umfassendere Verfahren zum Risikomanagement im Bereich der Cybersicherheit, wobei DORA einen deutlich stärkeren Schwerpunkt auf die operative Widerstandsfähigkeit legt.
• Meldung von Vorfällen: DORA schreibt die Meldung von Vorfällen vor, während NIST dies zwar empfiehlt, aber nicht vorschreibt.

2. DSGVO (Europäische Union)

Die Datenschutz-Grundverordnung ist eine weitere wichtige EU-Verordnung, deren Schwerpunkt in erster Linie auf dem Datenschutz und der Privatsphäre liegt.

• Geltungsbereich: Die DSGVO gilt für alle Organisationen, die personenbezogene Daten von EU-Bürgern verarbeiten, während die DORA speziell für Finanzinstitute gilt.
• Schwerpunkt: Die DSGVO legt den Schwerpunkt auf Datenschutz und Privatsphäre, während sich die DORA auf die operative Widerstandsfähigkeit und das IKT-Risikomanagement konzentriert.
• Meldung von Vorfällen: Beide Verordnungen schreiben die Meldung von Vorfällen vor, doch die DSGVO konzentriert sich auf Verletzungen des Schutzes personenbezogener Daten, während die DORA ein breiteres Spektrum an IKT-Vorfällen abdeckt.

3. Basel III (weltweit)

Basel III ist ein globales Regelwerk internationaler Aufsichtsstandards, das vom Basler Ausschuss für Bankenaufsicht entwickelt wurde, um die Regulierung, Aufsicht und das Risikomanagement im Bankensektor zu stärken. Die EU setzt das Basel-III-Rahmenwerk ab dem 1. Januar 2025 um, während sich die Umsetzung in den Vereinigten Staaten und im Vereinigten Königreich voraussichtlich verzögern wird.

• Geltungsbereich: Basel III gilt speziell für international tätige Banken, während DORA für einen breiteren Kreis von Finanzinstituten gilt.
• Schwerpunkt: Basel III konzentriert sich auf die Kapitaladäquanz, Stresstests und das Marktliquiditätsrisiko, während DORA den Schwerpunkt auf das IKT-Risikomanagement legt. Beide befassen sich mit der operativen Widerstandsfähigkeit.
• Meldung von Vorfällen: Im Gegensatz zu DORA schreibt Basel III die Meldung von IKT-Vorfällen nicht ausdrücklich vor.

4. Rahmenwerk der FCA zur operativen Widerstandsfähigkeit (Vereinigtes Königreich)

Die britische Finanzaufsichtsbehörde (Financial Conduct Authority) verfügt über ein eigenes Rahmenwerk zur operativen Widerstandsfähigkeit, das Ähnlichkeiten mit DORA aufweist.

• Geltungsbereich: Beide Regelwerke gelten für Finanzinstitute, wobei das FCA-Regelwerk jedoch spezifisch für das Vereinigte Königreich gilt.
• Schwerpunkt: Beide Rahmenwerke legen den Schwerpunkt auf die operative Widerstandsfähigkeit, doch DORA hat einen breiteren Anwendungsbereich, der auch das Risikomanagement in Bezug auf Dritte und den Informationsaustausch umfasst.
• Meldung von Vorfällen: Beide Rahmenwerke schreiben die Meldung von Vorfällen vor, doch DORA enthält detailliertere Anforderungen.

Auswirkungen auf die Finanzbranche

Die Einführung von DORA stellt einen bedeutenden Schritt zur Stärkung der operativen Widerstandsfähigkeit von Finanzinstituten in der EU dar. Durch die Verpflichtung zu einem umfassenden IKT-Risikomanagement, regelmäßigen Widerstandsfähigkeitstests und einer zuverlässigen Meldung von Vorfällen zielt DORA darauf ab, die Auswirkungen von IKT-bedingten Störungen auf das Finanzsystem zu mindern.

Für weltweit tätige Finanzunternehmen kann die Einhaltung zahlreicher regulatorischer Rahmenbedingungen eine Herausforderung darstellen. Die Grundsätze von DORA stehen jedoch im Einklang mit vielen bestehenden Vorschriften und bewährten Praktiken der Branche, wie beispielsweise dem NIST-Rahmenwerk für Cybersicherheit und dem FCA-Rahmenwerk für operative Widerstandsfähigkeit. Diese Übereinstimmung kann einen stärker integrierten Ansatz für das Management von IKT-Risiken und der operativen Widerstandsfähigkeit erleichtern. Solange die von DORA geforderten Kernkompetenzen abgedeckt sind, steht es Finanzunternehmen frei, IKT-Risikomanagementmodelle zu verwenden, die anders konzipiert oder kategorisiert sind.

Fazit

DORA setzt mit ihrem umfassenden Ansatz in den Bereichen IKT-Risikomanagement, Meldung von Vorfällen und Überwachung von Dritten hohe Maßstäbe für die operative Widerstandsfähigkeit im Finanzsektor. Obwohl sie Ähnlichkeiten mit anderen Vorschriften aufweist, machen ihr verbindlicher Charakter und ihr weitreichender Geltungsbereich sie zu einem einzigartigen und einflussreichen Regulierungsrahmen. Angesichts der sich ständig weiterentwickelnden globalen Regulierungslandschaft müssen sich Finanzunternehmen auf dem Laufenden halten und anpassen, um in einer zunehmend digitalen Welt die Einhaltung der Vorschriften und ihre Widerstandsfähigkeit zu gewährleisten.

Erfahren Sie mehr darüber, wie Sie sich auf das Gesetz zur digitalen Betriebsstabilität vorbereiten können, in unserer Blog-Reihe „Exploring DORA“:

• Ein Überblick über das Gesetz zur digitalen Betriebsstabilität
• 9 Schritte auf dem Weg zur Compliance
• Die globale Regulierungslandschaft verstehen
• Resilienz aufbauen: Strategien zur Cyber-Recovery im Rahmen von DORA
• Die Rolle des Datenmanagements bei der Einhaltung gesetzlicher Vorschriften
• Risikomanagement und DORA: Vorbereitung auf das Unerwartete