German 
English 
French 
Dutch 
Die Europäische Union steht kurz vor der Verabschiedung einer Verordnung, die die digitalen Betriebsrahmenbedingungen für Finanzinstitute grundlegend verändern wird. Der „Digital Operational Resilience Act“ (DORA) ist ein umfassendes Regelwerk, das darauf abzielt, die Widerstandsfähigkeit der Finanzsysteme gegenüber Cyberbedrohungen und anderen Risiken, die sich aus der digitalen Transformation ergeben, zu stärken.
Die Auswirkungen von DORA sind weitreichend und betreffen alle Bereiche, von IT-Sicherheitsverfahren über Notfallpläne bis hin zu Protokollen für die Kundenkommunikation.
Bei der Auseinandersetzung mit den komplexen Aspekten von DORA wird deutlich, dass sich Finanzinstitute bei ihren Vorbereitungen auf die vier Säulen der Daten konzentrieren müssen: Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit.
Cyber-Resilienz verstehen
Cyber-Resilienz bezieht sich auf die Fähigkeit einer Organisation, trotz anhaltender nachteiliger Cybervorfälle das beabsichtigte Ergebnis zu erzielen. Eine wirksame Cyberresilienz umfasst die Fähigkeit, Cybervorfälle, die die Vertraulichkeit, Integrität oder Verfügbarkeit digitaler Ressourcen gefährden könnten, zu widerstehen, sich schnell daran anzupassen und sich davon zu erholen.
Ein Rahmenkonzept für Cyber-Resilienz – DORA
DORA ist ein ehrgeiziger Gesetzesvorschlag, der darauf abzielt, einen harmonisierten Rahmen für die Beaufsichtigung von Auslagerungsvereinbarungen, IT-Betrieb und IT-Risikomanagement im Finanzsektor zu schaffen. Er gilt für verschiedene Finanzinstitute, von Banken und Zahlungsdienstleistern bis hin zu Börsen und Clearingstellen.
Mit DORA sendet die EU eine klare Botschaft aus, dass digitale Abläufe nicht isoliert betrachtet werden dürfen, sondern in den größeren Kontext der operativen Widerstandsfähigkeit eingebunden werden müssen.
Die Richtlinie verlangt einen ganzheitlichen Ansatz für das digitale Risikomanagement, der mit der Erfassung der komplexen digitalen Abhängigkeiten einer Organisation beginnt. Dies bedeutet, dass Sie nicht nur Ihre primären Systeme verstehen müssen, sondern auch die zahlreichen Dienste und Plattformen, auf die diese angewiesen sind.
Ziel ist es, potenzielle Schwachstellen in jedem Glied der Kette zu identifizieren und zu bewerten sowie robuste Strategien zur Prävention, Erkennung und Behebung von Vorfällen zu entwickeln. Alte Anwendungen sind besonders anfällig für Sicherheitslücken und können ein erhöhtes Risiko für die Betriebsresilienz darstellen. Bei der Durchführung einer internen Untersuchung und der Analyse aller Systeme müssen Sie die folgenden Ergebnisse berücksichtigen.
IKT-Risikomanagement
Ein solider IKT-Risikomanagementprozess stellt sicher, dass alle potenziellen Schwachstellen und Bedrohungen auf strukturierte Weise identifiziert, bewertet und gemindert werden. In diesem Abschnitt müssen Unternehmen die wesentlichen Zuständigkeiten für die Kontrollfunktion festlegen und damit die Rechenschaftspflicht bei der Umsetzung und Überwachung von IKT-Sicherheitsmaßnahmen gewährleisten.
Risikomanagement im Bereich der Informations- und Kommunikationstechnologie (IKT) in Bezug auf Dritte
Da viele Finanzinstitute auf Dienstleistungen von Drittanbietern angewiesen sind, ist ein striktes Management dieser Beziehungen von entscheidender Bedeutung, um die Widerstandsfähigkeit zu gewährleisten und Sicherheitsverletzungen zu verhindern, die von externen Partnern ausgehen könnten.
Dieser Teil des Rahmenwerks steht im Einklang mit den vorangegangenen Aufgaben, bei denen das Unternehmen die Zuständigkeiten für die Steuerung des internen und externen Risikomanagements festlegen muss.
Überwachung kritischer Drittanbieter
Kritische Drittanbieter müssen einer gründlichen Aufsicht unterliegen, um das Risiko, das sie für die operative Widerstandsfähigkeit des Finanzsektors darstellen könnten, auf ein Minimum zu reduzieren. Die Festlegung von Richtlinien, Verfahren, Protokollen und Instrumenten für das Netzwerksicherheitsmanagement und den Schutz von Daten während der Übertragung trägt zur allgemeinen digitalen und operativen Widerstandsfähigkeit bei.
Prüfung der digitalen Betriebsresilienz
Regelmäßige Tests der digitalen Abläufe tragen dazu bei, Schwachstellen zu identifizieren, und ermöglichen proaktive Maßnahmen gegen Cyberbedrohungen. Dabei wird die Bedeutung der Wahrung der Integrität, Vertraulichkeit und Verfügbarkeit von Daten und Systemen hervorgehoben. Jedes Unternehmen muss Richtlinien und Verfahren zur Bewertung der Kritikalität seiner IKT-Ressourcen einführen.
IKT-bezogene Vorfälle
Angemessene Pläne zur Reaktion auf Vorfälle und Meldemechanismen ermöglichen eine effektive Bewältigung jeglicher Sicherheitsvorfälle im Bereich der Informations- und Kommunikationstechnologie. Diese Pläne umfassen Betriebsabläufe, Kapazitäts- und Leistungsmanagement, Schwachstellen- und Patch-Management, Daten- und Systemsicherheit sowie Protokollierung.
Informationsaustausch
Finanzinstitute können von kollektiver Intelligenz profitieren und ihre Abwehrmechanismen verbessern, indem sie Informationen über Risiken und Sicherheitsverletzungen austauschen, die entscheidende Rolle der Verschlüsselung beim Schutz sensibler Daten hervorheben und eine umfassende Richtlinie für kryptografische Kontrollmaßnahmen vorschlagen.
Dies geht über das hinaus, was Sie mit Ihren Dienstleistern, Kunden oder Mitarbeitern teilen. Dazu gehört auch, Ihre Cyber-Resilienz kontinuierlich zu verbessern und die Kommunikation mit den zuständigen Behörden zu erleichtern.
Ein entscheidender Aspekt bei der Umsetzung all dieser Maßnahmen ist es, sicherzustellen, dass Ihr Unternehmen das Cyber-Bewusstsein fördert. Die Einbindung der Cyber-Resilienz in Ihr Unternehmen sowie die DORA-Vorschriften unterstreichen die Notwendigkeit von Programmen zur Sensibilisierung für IKT-Sicherheit und von Schulungen zur digitalen operativen Resilienz, um das Cyber-Bewusstsein und die Cyber-Bereitschaft Ihrer Organisation zu stärken.
Vorbereitung auf DORA
Die europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) wurden damit beauftragt, eine Reihe von politischen Maßnahmen zu entwickeln, um die Umsetzung von DORA zu erleichtern. In Zusammenarbeit mit der Agentur der Europäischen Union für Cybersicherheit (ENISA) streben sie eine Vereinheitlichung von Elementen wie IKT-Sicherheitsrichtlinien, Zugriffsmanagement und Anomalieerkennung an, Geschäftskontinuität, sowie Notfall- und Wiederherstellungspläne.
Die Umsetzung von DORA ist für Anfang 2025 vorgesehen und befindet sich daher noch in der Ausarbeitungsphase. Im Folgenden werden wir die vier wesentlichen Säulen des Gesetzes erörtern, damit Sie Ihr Unternehmen auf die künftigen rechtlichen Rahmenbedingungen vorbereiten können.
Verfügbarkeit
Im Zusammenhang mit DORA bezieht sich der Begriff „Verfügbarkeit“ auf die Zugänglichkeit von Daten und IT-Diensten. Finanzinstitute müssen sicherstellen, dass ihre Systeme wie vereinbart zugänglich sind und betrieben werden können, unabhängig von planmäßigen Wartungsarbeiten oder unerwarteten Vorfällen. Bei der Hochverfügbarkeit geht es nicht nur um die Einhaltung von Standards, sondern um die Erfüllung des grundlegenden Serviceversprechens, das das Vertrauen in die Branche untermauert.
Um die Verfügbarkeit Ihrer Daten zu gewährleisten, ist eine sorgfältige Überprüfung Ihrer IT-Systeme und -Dienste erforderlich. Ermitteln Sie einzelne Fehlerquellen und beheben Sie diese durch Redundanzen und Notfallpläne. Setzen Sie fortschrittliche Überwachungstools ein, um den Systemzustand und die Systemleistung kontinuierlich zu überwachen.
Zusammenarbeit ist für die Aufrechterhaltung der Verfügbarkeit von entscheidender Bedeutung. Dies bedeutet, eng mit Drittanbietern zusammenzuarbeiten, um sicherzustellen, dass deren Dienste Ihre Verfügbarkeitsziele erfüllen. Es bedeutet zudem, sich mit anderen Finanzinstituten abzustimmen, um branchenweite Protokolle zur Aufrechterhaltung des Betriebs in Krisenzeiten festzulegen.
Authentizität
Die Authentizität ist ein weiteres entscheidendes Element von DORA. Finanzinstitute müssen in der Lage sein, die Herkunft der Daten und die Integrität der IT-Prozesse zu überprüfen. Dies ist von grundlegender Bedeutung für die Betrugsbekämpfung und die Gewährleistung der Richtigkeit von Finanzinformationen.
Einführung digitaler Signaturen
Digitale Signaturen spielen eine wichtige Rolle bei der Gewährleistung der Authentizität von Daten in einer digitalen Umgebung. Durch den Einsatz solider kryptografischer Verfahren können Finanzinstitute einen digitalen ‘Fingerabdruck’ ihrer Dokumente erstellen, der praktisch nicht zu fälschen ist.
Verstärkung der Identitätsprüfung
Neben den Daten ist auch die Authentizität der Transaktionsbeteiligten von entscheidender Bedeutung. Robuste Verfahren zur Identitätsprüfung sind unerlässlich. Dazu gehören die Multi-Faktor-Authentifizierung für Kunden sowie umfassende Zugriffskontrollen für Mitarbeiter.
Integrität
Die Datenintegrität gewährleistet, dass Informationen vollständig, korrekt und aktuell sind. Im Finanzsektor, in dem Entscheidungen auf der Grundlage der neuesten und genauesten Informationen getroffen werden, ist die Datenintegrität unverzichtbar.
Überwachung auf Manipulationen
Das Aufspüren und Verhindern unbefugter Datenänderungen ist ein ständiger Kampf. Führen Sie Tools und Prozesse ein, die ungewöhnliche Aktivitäten überwachen, und ergreifen Sie proaktive Maßnahmen zum Schutz kritischer Daten.
Einsatz eines soliden Veränderungsmanagements
Änderungen an IT-Systemen können neue Risiken für die Datenintegrität mit sich bringen. Ein strenger Änderungsmanagementprozess ist erforderlich, um Aktualisierungen zu bewerten und zu genehmigen sowie Änderungen rückgängig zu machen, die zu unerwarteten Problemen führen.
Vertraulichkeit
Finanzinstitute verarbeiten sensible Informationen, darunter personenbezogene Daten und vertrauliche Geschäftsdaten. Die Wahrung der Vertraulichkeit dieser Informationen ist von entscheidender Bedeutung für die Einhaltung der DORA-Vorschriften und für die Aufrechterhaltung des Vertrauens von Kunden und Interessengruppen.
Wenden Sie bewährte Verfahren für die sichere Speicherung und Übertragung von Daten an. Dazu gehören Verschlüsselung, Zugriffskontrollen und sichere Kommunikationskanäle. Menschliches Versagen ist eine der Hauptursachen für Datenschutzverletzungen. Daher muss der Zugriff auf alle sensiblen Daten kontrolliert werden.
Organisationsstrategien zur Stärkung der Resilienz
Für Finanzinstitute geht es bei der Ausarbeitung einer Strategie zur organisatorischen Resilienz um die Einhaltung der DORA-Vorschriften und die Wahrung des Vertrauens ihrer Kunden und Interessengruppen. Diese Strategie sollte IKT-Sicherheitsrichtlinien und -verfahren umfassen, die Netzwerke sichern, die Datenintegrität schützen und die Kontinuität der Dienstleistungen gewährleisten.
Finanzinstitute müssen diese Strategien individuell anpassen, um ihren spezifischen Risikoprofilen sowie der Art, dem Umfang und der Komplexität ihrer Dienstleistungen gerecht zu werden. Diese individuelle Anpassung ist von entscheidender Bedeutung, wenn man die Größe der Organisation und die unterschiedliche Art der Tätigkeiten in den verschiedenen Finanzsektoren berücksichtigt.
Proaktive Risikobewertungen
Die Durchführung proaktiver Risikobewertungen kann Ihnen einen schnellen Überblick über die digitale Betriebsresilienz Ihres Unternehmens verschaffen. Diese Informationen sind von entscheidender Bedeutung für die Priorisierung von Compliance-Maßnahmen und -Ressourcen.
Partnerschaften für die Katastrophenvorsorge
Strategische Partnerschaften mit Compliance-Experten und Technologieanbietern können die Umsetzung der erforderlichen Änderungen beschleunigen und sicherstellen, dass Ihre Institution gut aufgestellt ist, um die strengen Anforderungen von DORA zu erfüllen.
Altsysteme
Eine erhebliche Herausforderung auf dem Weg zur Einhaltung der DORA-Vorschriften ist die weit verbreitete Nutzung veralteter Altsysteme im Finanzsektor. Diese Systeme sind zwar für den laufenden Betrieb unverzichtbar, müssen jedoch überarbeitet werden, um den strengen Anforderungen der DORA gerecht zu werden.
Altsysteme werfen zwei Probleme auf. Erstens sind sie aufgrund veralteter Sicherheitsprotokolle anfälliger für Cyberangriffe. Zweitens lassen sie sich aufgrund ihres Alters und der Schwierigkeit, qualifiziertes Personal für ihre Betreuung zu finden, nur schwer aktualisieren oder warten.
Die Entscheidung: Modernisieren oder archivieren
Für viele Finanzinstitute stellt sich nicht die Frage, ob sie sich modernisieren sollen, sondern wie und wann. Modernisierungsmaßnahmen können umfangreiche Vorhaben sein, die Änderungen an Kernsystemen und -prozessen mit sich bringen. Sie erfordern ein langfristiges Engagement und einen sorgfältig abgestuften Ansatz, um Störungen auf ein Minimum zu beschränken.
Der kostengünstigste Weg ist, die Informationen archivieren die zur Fortführung des Betriebs oder zur Erfüllung von Prüfungsanforderungen erforderlich sind. Gemäß den DORA-Standards muss alles verfügbar und authentisch sein, seine vollständige Integrität bewahren und absolut vertraulich behandelt werden. Das bedeutet, dass Sie nach einem Archivierungssystem suchen müssen, mit dem Sie alle vier Säulen erfüllen können.
Das Verständnis dafür, dass Altsysteme mit neueren Plattformen und Diensten kommunizieren müssen, bedeutet auch, dass die archivierten Daten langfristig verfügbar sein müssen und das eingesetzte System die Möglichkeit bieten sollte, Dokumente in den neuesten technologischen Formaten zu exportieren.
Die Bedeutung des Veränderungsmanagements
Ein effektives Veränderungsmanagement ist entscheidend für die rasche Einführung neuer Prozesse und Technologien. Eine klare Kommunikation, die Einbindung der Beteiligten sowie gründliche Tests können sicherstellen, dass Veränderungen erfolgreich und mit minimalen Betriebsbeeinträchtigungen umgesetzt werden.
In der Eile, technische Compliance-Anforderungen zu erfüllen, können die menschlichen und prozessbezogenen Aspekte der operativen Widerstandsfähigkeit leicht übersehen werden. Eine erfolgreiche Anpassung an DORA setzt die Erkenntnis voraus, dass Menschen und ihre Rollen innerhalb der Prozesse ebenso entscheidend sind wie die Systeme, die sie bedienen.
Die Chancen nutzen
Die Herausforderungen im Zusammenhang mit DORA sind zwar erheblich, doch ebenso groß sind die damit verbundenen Chancen. Finanzinstitute können sich einen Wettbewerbsvorteil verschaffen, indem sie in die operative Widerstandsfähigkeit investieren, das Vertrauen ihrer Kunden und Interessengruppen stärken und sich vor den sich ständig wandelnden digitalen Risiken schützen.
Letztendlich ist DORA nicht nur ein Auftrag zum Wandel, sondern ein Aufruf zum Handeln für den gesamten Finanzsektor. Die Umsetzung wird komplex und anspruchsvoll sein, verspricht jedoch auch eine größere digitale Betriebsresilienz, die sowohl sicher als auch zukunftsorientiert ist. Indem sie sich bereits jetzt vorbereiten, können Finanzunternehmen sicherstellen, dass sie diese Veränderungen nicht nur überstehen, sondern gestärkt und widerstandsfähiger denn je daraus hervorgehen.
