Das Gesetz über die digitale Betriebsresilienz (DORA) trat am 17. Januar in Kraft und enthält umfassende Leitlinien sowie einen detaillierten Rechtsrahmen dafür, wie alle in der Europäischen Union tätigen Finanzdienstleister die Datenresilienz gegenüber unvorhergesehenen Störungen gewährleisten müssen.
DORA trägt zudem einer von Cybersicherheitsexperten weithin anerkannten Tatsache Rechnung, nämlich dass es nicht mehr darum geht, ob es zu einem Cyberangriff kommt, sondern wann. Diese entscheidende Rechtsvorschrift sorgt für ein neues Maß an Strenge und Rechenschaftspflicht in der Finanzdienstleistungsbranche, das sich zum Schutz der Stabilität des Finanzökosystems in der EU und weltweit weiterentwickeln wird.
Viele Bereiche der Finanzdienstleistungsbranche, die über traditionelle Banken und Kreditinstitute hinausgehen, fallen nun unter die DORA, darunter Zahlungsdienstleister, Wertpapierfirmen, Handelsplätze, Versicherungsanbieter sowie externe Anbieter von Informations- und Kommunikationstechnologie (IKT).
Unternehmen, für die diese Regulierungsstufe neu ist, könnten Schwierigkeiten haben, die Vorschriften einzuhalten, wie die „Dry Run Exercise“ der europäischen Finanzaufsichtsbehörden im Rahmen von DORA1 zeigt. Zudem werden sie als neues operatives Risiko wahrscheinlich einer verstärkten Kontrolle durch vernetzte Kunden, Partner und andere Interessengruppen ausgesetzt sein. Die Nichteinhaltung der Vorschriften bedeutet nicht mehr nur das Risiko einer sehr hohen Geldstrafe, sondern auch Reputationsschäden und Haftungsrisiken für ein Unternehmen, seine Geschäftsführer und seine Partner.
Auch
wenn noch abzuwarten bleibt, wie schnell die Finanzaufsichtsbehörden handeln werden, stellt DORA einen Wandel von Leitlinien zur Datenreadiness und Cyber-Resilienz hin zur Durchsetzung dieser Vorgaben dar. Angesichts des weitreichenden Geltungsbereichs von DORA, das die EU-Finanzregulierung im IT-Bereich erheblich ausweitet, könnten die Aufsichtsbehörden – denen es an unbegrenztem Fachwissen und Ressourcen mangelt – vor der Herausforderung stehen, nicht alle Aspekte von DORA sofort durchzusetzen. Daher werden die Aufsichtsbehörden wahrscheinlich einen gezielten Ansatz verfolgen und sich auf die kritischsten und offensichtlichsten Bereiche der Nichteinhaltung konzentrieren.
Was Finanzinstitute als Priorität betrachten
Eine der obersten Prioritäten bei der Einhaltung der DORA-Vorschriften ist die Einreichung korrekter und technisch konformer Informationsverzeichnisse. Die Finanzaufsichtsbehörden haben betont, dass die Verzeichnisse im Mittelpunkt der Durchsetzungsmaßnahmen stehen werden, und erwarten von den Organisationen, dass sie diese Anfang 2025 einreichen. Die Einreichung eines korrekten Verzeichnisses, in dem die wichtigsten IT-Anbieter der Organisation aufgeführt sind, kann vorteilhafter sein als die Einreichung unvollständiger Informationen über alle IT-Anbieter.2
Für Datenschutzbeauftragte und CIOs ist DORA ein Aufruf zum Handeln, um Altsysteme zu überprüfen und zu prüfen, ob diese den heutigen Cyberbedrohungen standhalten und die für eine effiziente und schnelle Recovery der Dienste erforderliche Leistung erbringen können.
Über die Identifizierung und Erfassung der wichtigsten Systeme, Anwendungen und Workloads bei den jeweiligen IKT-Anbietern hinaus sollten Unternehmen sorgfältig die Kernkompetenzen prüfen, die diese Systeme schützen, verteidigen und wiederherstellen. Zu den entscheidenden Kompetenzen gehören:
- Datenschutz und Cyber-Recovery
Im Rahmen von DORA sind schnelle Recovery-Möglichkeiten unerlässlich, um die betrieblichen Auswirkungen eines Angriffs zu minimieren. Die einzige Möglichkeit, die für kritische Systeme erforderlichen strengsten, extrem kurzen RTO-Werte zu erreichen, besteht in der Recovery mithilfe unveränderlicher, speicherbasierter Snapshots. Diese Snapshots sollten sicher in einem isolierten (oder virtuell luftisolierten) Repository gespeichert werden.
- Frühzeitige Erkennung
von Bedrohungen Die frühzeitige Erkennung und Behebung potenzieller Cyberbedrohungen ist ein wichtiger Aspekt des Datenschutzes und der Readiness. Die Fähigkeit, Daten kontinuierlich zu scannen, um Anomalien zu erkennen, Bedrohungen wie Ransomware und Malware in Echtzeit zu identifizieren und die Behebung zu automatisieren, ist für eine schnellere Eindämmung eines Angriffs unerlässlich.
- Isolierte Wiederherstellungsumgebungen (IRE) oder „Cleanrooms“ für Resilienz-Tests
: Die Einrichtung einer vollständig in sich geschlossenen IRE, in der Daten für forensische Untersuchungen und Anwendungsanalysen wiederhergestellt und vor der Rückführung in die Produktion als „sauber“ validiert werden können, beschleunigt die Recovery. IREs ermöglichen es Unternehmen zudem, ihre Verfahren zur Cyber-Recovery kontinuierlich zu testen und zu verbessern, um die Readiness sicherzustellen.
- Skalierbarkeit und Leistung
Unternehmen werden ihre Dienstleistungen weiterentwickeln, sich neuen regulatorischen Anforderungen stellen und mit neuen Cyberbedrohungen umgehen müssen. Es ist wichtig, die Skalierbarkeit einer Lösung zu berücksichtigen, da sich die Datenanforderungen in verteilten, hybriden Umgebungen ändern, während gleichzeitig hohe Geschwindigkeiten für den Datenschutz und die Recovery gewährleistet bleiben müssen.
Compliance mit Vertrauen
Unternehmen, die den Aufbau solider Kapazitäten zur Erfüllung der DORA-Vorgaben und anderer sich weiterentwickelnder Vorschriften zur Widerstandsfähigkeit – wie PSD2, NIS2, APRA CPS 230 und das 2026 in Kraft tretende Europäische Gesetz zur Cyber-Resilienz – hinauszögern, könnten sich mit immer größeren Herausforderungen konfrontiert sehen. Zudem könnten sie im Wettbewerb gegenüber Unternehmen im Nachteil sein, die nachweisen können, dass sie angesichts von Störungen im globalen Finanzökosystem widerstandsfähig bleiben.
Die Zusammenarbeit mit Partnern, die die Anforderungen der Verordnung an die Ausfallsicherheit verstehen, sowie der Einsatz robuster Lösungen können Unternehmen dabei unterstützen, die Vorschriften einzuhalten, sich besser auf neue regulatorische Herausforderungen vorzubereiten und ihre Datenumgebung vor neuen Bedrohungen zu schützen.
Pure Storage und Commvault haben sich zusammengeschlossen, um eine gemeinsame, modular aufgebaute Lösung zu entwickeln, die Finanzinstituten dabei hilft, ihre Maßnahmen zur Cyber-Resilienz zu verbessern und die wichtigsten Säulen der DORA-Richtlinie in Bezug auf die Reaktion auf Vorfälle und Resilienz-Tests umzusetzen. Die Lösung basiert auf der Integration der führenden Cyber-Resilienz-Funktionen von Commvault® Cloud mit der hochsicheren, leistungsstarken Pure Storage-Plattform. Erfahren Sie hier mehr über die Lösung und unser Engagement für Cyber-Resilienz.
Sind Sie Cyber-ready?
Die Bereitschaft spiegelt eine ausgereifte Cyber-Resilienz wider, bei der Technologie, Menschen und Prozesse nahtlos zusammenarbeiten, um den kontinuierlichen Geschäftsbetrieb angesichts jeder Cyber-Herausforderung zu gewährleisten. Bewerten Sie die Cyber-Resilienz Ihres Unternehmens mit dem „Cyber Maturity Assessment“ von Commvault.
1 Wichtigste Ergebnisse der ESAs-Testübung 2024, Europäische Bankenaufsichtsbehörde, 17. Dezember 2024.
2 Countdown bis zur DORA – Vier wichtige Erkenntnisse aus den Erklärungen der Aufsichtsbehörden vom Dezember, Skadden, Arps, Slate, Meagher & Flom, LLP, 3. Januar 2025
