Wie DORA die digitale Widerstandsfähigkeit im Finanzsektor der EU stärkt
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die am 17. Januar 2025 in Kraft getreten ist. Sie zielt darauf ab, die digitale operationale Resilienz von Finanzunternehmen und deren IT-Dienstleistern zu stärken, indem sie einheitliche Anforderungen an das IKT-Risikomanagement, das Incident-Management, die Überprüfung von Drittanbietern und regelmäßige Resilienztests festlegt. Unternehmen sind nun verpflichtet, robuste Strategien zu implementieren, um Cyberbedrohungen effektiv zu begegnen und die Stabilität des Finanzsystems zu gewährleisten.
DORA (Verordnung (EU) 2022/2554) schafft einen harmonisierten Rechtsrahmen, um sicherzustellen, dass Finanzinstitute und deren IT-Dienstleister robuste Maßnahmen gegen Cyberangriffe und IT-Störungen implementieren. Ziel ist es, das europäische Finanzsystem widerstandsfähiger gegen digitale Bedrohungen zu machen.
DORA betrifft eine Vielzahl von Unternehmen und IT-Dienstleistern im Finanzsektor:
Auch Drittanbieter, die IT-Dienste für Finanzunternehmen bereitstellen, unterliegen DORA und müssen entsprechende Sicherheitsanforderungen erfüllen.
Unternehmen müssen ein strukturiertes ICT Risk Management Framework entwickeln, das folgende Punkte umfasst:
Unternehmen sollten sich frühzeitig auf die Einhaltung von DORA vorbereiten. Folgende Maßnahmen sind essenziell:
DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die am 17. Januar 2025 in Kraft getreten ist. Sie zielt darauf ab, die digitale operationale Resilienz des europäischen Finanzsektors zu stärken. Dies beinhaltet die Verbesserung der Fähigkeit von Finanzunternehmen und ihren IKT-Dienstleistern, Cyberrisiken zu widerstehen, auf IKT-bezogene Vorfälle zu reagieren und sich von ihnen zu erholen. Der Fokus liegt auf der Aufrechterhaltung eines widerstandsfähigen Betriebs im Falle einer schwerwiegenden Betriebsunterbrechung.
DORA betrifft so gut wie alle beaufsichtigten Institute und Unternehmen des europäischen Finanzsektors, sowie deren IT-Dienstleister, insbesondere: Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen, Versicherungsunternehmen, Vermögensverwalter, Krypto-Dienstleister und IKT-Dienstleister (einschließlich Cloud-Anbieter, Softwareentwickler, Rechenzentren, etc.). Ausnahmen gelten für bestimmte Kleinstunternehmen und Unternehmen, die unter bestehende Ausnahmen fallen (z.B. Verwalter alternativer Investmentfonds mit geringen Vermögenswerten).
DORA definiert Anforderungen in sechs wesentlichen Bereichen:
Die ESAs (EBA, EIOPA und ESMA) spielen eine zentrale Rolle bei der Umsetzung und Überwachung von DORA. Sie sind für die Erstellung technischer Regulierungsstandards (RTS) und Durchführungsstandards (ITS) verantwortlich, die die Anforderungen von DORA konkretisieren. Zudem überwachen sie kritische IKT-Drittdienstleister, führen Inspektionen durch und können bindende Empfehlungen aussprechen. Sie veröffentlichen eine jährlich aktualisierte Liste der als kritisch eingestuften Dienstleister.
Das Management des IKT-Drittparteienrisikos ist ein zentraler Aspekt von DORA. Finanzunternehmen müssen eine Strategie für das Drittparteienrisiko entwickeln, ein Register aller genutzten IKT-Dienstleister führen und diese sorgfältig evaluieren. Verträge mit Dienstleistern müssen klare Regelungen zu Sicherheitsstandards, Meldepflichten und Ausstiegsstrategien enthalten. Es wird von Unternehmen erwartet, dass sie die Widerstandsfähigkeit ihrer Dienstleister überzeugen und somit sich proaktiv gegen mögliche Ausfälle zu schützen.
Threat-Led Penetration Tests (TLPT) sind fortgeschrittene Sicherheitstests, bei denen reale Bedrohungsszenarien simuliert werden, um die Widerstandsfähigkeit der IT-Systeme zu überprüfen. DORA verpflichtet Finanzunternehmen, alle drei Jahre TLPT an Live-Produktionssystemen durchzuführen, die wichtige oder kritische Funktionen des Unternehmens unterstützen. Diese Tests müssen von qualifizierten und unabhängigen Testern durchgeführt werden.
DORA ist am 16. Januar 2023 in Kraft getreten und ist ab dem 17. Januar 2025 anzuwenden. Eine weitere Übergangsfrist wird es nicht geben. Finanzunternehmen müssen ihre Prozesse und Systeme bis zu diesem Zeitpunkt an die neuen Anforderungen anpassen.
Die BaFin bereitet sich auf DORA vor, indem sie ihre Aufsichts- und Verwaltungspraxis anpasst und IT-Prozesse und -Systeme implementiert. Sie wird zum nationalen Melde-Hub für IKT-Vorfälle im Finanzsektor und nimmt Anzeigen im Rahmen des IKT-Drittparteienmanagements entgegen. Zudem veröffentlicht sie Aufsichtsmitteilungen und andere Informationen, um Unternehmen bei der Umsetzung von DORA zu unterstützen. Es gibt auch ein Funktionspostfach bei der BaFin für Fragen rund um DORA.
Viele IT-Dienstleister stellen sich die Frage: Betrifft mich DORA eigentlich? Die Antwort lautet: mittelbar, aber spürbar. DORA richtet sich formal an Finanzunternehmen. Aber diese Finanzunternehmen müssen sicherstellen, dass ihre IT-Lieferanten bestimmte Anforderungen erfüllen. Wer also als IKT-Drittdienstleister (Informations- und Kommunikationstechnologie-Drittdienstleister, also jedes Unternehmen, das digitale Dienste dauerhaft für ein reguliertes Finanzunternehmen erbringt) tätig ist, bekommt DORA-Anforderungen über den Vertrag auferlegt.
Du bist betroffen, wenn du IT-Dienstleistungen dauerhaft an ein reguliertes Finanzunternehmen erbringst. Das gilt laut BaFin grundsätzlich für alle Arten von IT-Dienstleistungen. Ausgenommen sind nur der reine Kauf von Hardware oder die bloße Einräumung von Softwarelizenzen ohne weitere Dienstleistung. Konkret fallen darunter:
Ob dein Kunde zu den regulierten Finanzunternehmen gehört, erkennst du an seiner Beaufsichtigung durch die BaFin oder eine andere europäische Finanzaufsichtsbehörde. Im Zweifelsfall direkt beim Auftraggeber nachfragen.
Als IKT-Drittdienstleister hast du keine eigene direkte Pflicht gegenüber der Aufsichtsbehörde. Die Pflichten kommen aus den Verträgen, die dein Auftraggeber mit dir schließen muss. Trotzdem bedeutet das operative Konsequenzen für dich.
Du solltest in der Lage sein:
Das alles setzt voraus, dass du ein Mindestmaß an strukturierter Informationssicherheit betreibst. Ein ISMS ist dafür keine Pflicht, aber eine sinnvolle Grundlage.
Dein Auftraggeber ist verpflichtet, bestimmte Mindestinhalte in den Vertrag mit dir aufzunehmen (Art. 30 DORA). Als IT-Dienstleister wirst du diese Klauseln künftig in Vertragsverhandlungen oder Ausschreibungen antreffen. Typische Anforderungen sind:
Bestehende Verträge mit Finanzunternehmen, die vor dem 17. Januar 2025 geschlossen wurden, müssen um diese Mindestinhalte ergänzt werden, sofern sie weiter gelten sollen.
Wenn du heute schon Finanzunternehmen als Kunden hast oder planst, solche zu gewinnen, lohnt es sich, dich vorzubereiten. Das bedeutet konkret:
Du musst kein DORA-Experte werden. Aber du solltest wissen, was von dir erwartet wird, wenn dein Auftraggeber im Finanzsektor tätig ist.
DORA ist mehr als nur eine regulatorische Vorschrift – es ist ein entscheidender Schritt zur Stärkung der Cyber-Resilienz im Finanzsektor. Unternehmen, die frühzeitig handeln, können Strafen vermeiden und ihre digitale Sicherheit erheblich verbessern.
Wer noch nicht vollständig konform ist, sollte jetzt handeln. Falls du Unterstützung bei der Umsetzung von DORA benötigst, kontaktiere uns gerne für eine Beratung.
