Was ist DORA (EU Digital Operational Resilience Act)? – Ein Überblick

Der Digital Operational Resilience Act (DORA) ist eine am 16.01.2023 in Kraft getretene EU-Verordnung, die darauf abzielt, die digitale operative Widerstandsfähigkeit von EU-Finanzunternehmen und ihren IKT-Drittdienstleistern zu verbessern. Die Verordnung schafft einen EU-weit einheitlichen Aufsichtsrahmen und legt Anforderungen an die Unternehmen fest, die sie binnen einer Frist von 24 Monaten umzusetzen und zu erfüllen haben. DORA hat das Ziel, die Anfälligkeit für Cyberbedrohungen und IKT-Störungen entlang der gesamten Wertschöpfungskette des Finanzsektors zu reduzieren.

Schlüsselerkenntnisse:

• DORA ist eine EU-Verordnung, die die digitale operative Widerstandsfähigkeit von Finanzunternehmen und IKT-Drittdienstleistern stärken soll.
• Die Verordnung legt Anforderungen an Unternehmen fest und schafft einen EU-weiten Aufsichtsrahmen.
• DORA hat das Ziel, die Anfälligkeit für Cyberbedrohungen und IKT-Störungen im Finanzsektor zu reduzieren.
• Die Umsetzung der Anforderungen von DORA muss innerhalb von 24 Monaten erfolgen.
• DORA betrifft verschiedene Unternehmen im Finanzsektor, einschließlich Kreditinstitute, Zahlungsdienstleister und Versicherungsunternehmen.

Bedeutung von DORA für den Finanzsektor

DORA hat eine große Bedeutung für den Finanzsektor, da sie sicherstellt, dass Finanzunternehmen und ihre IKT-Drittdienstleister die erforderlichen Sicherheitsvorkehrungen treffen, um Cyberangriffe und andere Vorfälle abzuwehren oder abzumildern. Die Verordnung legt Anforderungen an das IKT-Risikomanagement, die Klassifizierung und Meldung von IKT-Vorfällen, die Durchführung von Belastbarkeitstests, vertragliche Vereinbarungen mit IKT-Drittanbietern und den Aufsichtsrahmen für kritische IKT-Drittanbieter fest. Finanzunternehmen haben die Verpflichtung, diese Anforderungen umzusetzen und zu erfüllen, um die digitale Widerstandsfähigkeit zu stärken.

Um den Anforderungen von DORA gerecht zu werden, müssen Finanzunternehmen umfangreiche Maßnahmen ergreifen. Dazu gehören die Bewertung und das Management von Risiken im Zusammenhang mit IKT-Systemen, die Implementierung von Sicherheitsmaßnahmen wie Firewalls und Verschlüsselung, die Etablierung eines Notfallplans zur Wiederherstellung von IT-Systemen und die regelmäßige Überprüfung der Sicherheitsvorkehrungen. Finanzunternehmen müssen außerdem sicherstellen, dass ihre IKT-Drittdienstleister ebenfalls die erforderlichen Sicherheitsstandards erfüllen und Verträge entsprechend anpassen.

Die Umsetzung von DORA erfordert enge Zusammenarbeit zwischen den Finanzunternehmen, ihren IKT-Drittdienstleistern und den Aufsichtsbehörden. Regelmäßige Berichterstattung, Überprüfungen und Audits sind Teil des Überwachungsprozesses, um sicherzustellen, dass die Anforderungen von DORA eingehalten werden. Durch die Erfüllung der DORA-Anforderungen können Finanzunternehmen ihre digitale Widerstandsfähigkeit stärken und das Vertrauen der Kunden und Märkte in ihre IT-Systeme stärken.

Beispielhafte Tabelle: DORA-Anforderungen für Finanzunternehmen

Anforderung	Beschreibung
IKT-Risikomanagement	Implementierung eines umfassenden Risikomanagementprozesses für IKT-Systeme und –Dienstleistungen.
Klassifizierung und Meldung von IKT-Vorfällen	Einrichtung eines Klassifizierungssystems für IKT-Vorfälle und Meldung von schwerwiegenden Vorfällen an die Aufsichtsbehörden.
Belastbarkeitstests	Durchführung von regelmäßigen Belastbarkeitstests, um die Reaktion und Widerstandsfähigkeit der IT-Systeme zu überprüfen.
Vertragliche Vereinbarungen mit IKT-Drittanbietern	Überprüfung und Anpassung bestehender Verträge mit IKT-Drittanbietern, um sicherzustellen, dass sie die erforderlichen Sicherheitsstandards erfüllen.
Aufsichtsrahmen für kritische IKT-Drittanbieter	Einführung eines Überwachungsrahmens für IKT-Drittanbieter, die eine Schlüsselrolle für die Geschäftstätigkeit der Finanzunternehmen spielen.

Ziele von DORA

DORA (EU Digital Operational Resilience Act) verfolgt verschiedene Ziele, um die digitale operative Widerstandsfähigkeit im Finanzsektor zu stärken und einen EU-weiten Aufsichtsrahmen zu schaffen.

Das Hauptziel von DORA besteht darin, die Anfälligkeit für IKT-Störungen und Cyberbedrohungen entlang der gesamten Wertschöpfungskette des Finanzsektors zu reduzieren. Indem Finanzunternehmen und ihre IKT-Drittdienstleister die erforderlichen Sicherheitsvorkehrungen treffen, sollen Cyberangriffe abgewehrt oder abgemildert werden.

DORA zielt auch darauf ab, die Reaktionsfähigkeit der Unternehmen auf Bedrohungen zu verbessern und negative Auswirkungen zu minimieren. Mit klaren Vorgaben und Standards sollen die Unternehmen angemessen auf IKT-Vorfälle reagieren und schnell Wiederherstellungsmaßnahmen ergreifen können.

„Der Digital Operational Resilience Act hat das Ziel, die digitale operative Widerstandsfähigkeit im Finanzsektor zu stärken und einen einheitlichen Rechtsrahmen zu schaffen, um die Anfälligkeit für IKT-Störungen und Cyberbedrohungen zu reduzieren.“

Eine weitere Zielsetzung von DORA besteht darin, nationale Vorschriften für die IKT-Sicherheit im Finanzsektor zu harmonisieren. Durch die einheitliche Umsetzung der Verordnung in allen EU-Mitgliedstaaten wird ein konsistenter Aufsichtsrahmen geschaffen, der den Finanzsektor effektiv schützt und die Zusammenarbeit auf europäischer Ebene fördert.

Durch die Verfolgung dieser Ziele soll DORA dazu beitragen, die digitale operative Widerstandsfähigkeit zu stärken und den Finanzsektor vor den wachsenden Herausforderungen der digitalen Welt zu schützen.

Inhalt des Digital Operational Resilience Acts

Der Digital Operational Resilience Act (DORA) legt inhaltliche Vorgaben und Anforderungen fest, um die digitale operative Widerstandsfähigkeit im Finanzsektor zu stärken. DORA beinhaltet verschiedene Themengebiete, die für die Sicherheit und Stabilität der IKT-Systeme und -Dienstleistungen von Finanzunternehmen entscheidend sind.

IKT-Risikomanagement

Ein zentraler Aspekt von DORA ist das IKT-Risikomanagement. Die Verordnung schreibt vor, dass Finanzunternehmen angemessene Mechanismen zur Identifizierung, Bewertung und Überwachung von IKT-Risiken implementieren müssen. Hierzu gehören auch die Festlegung von Risikotoleranzgrenzen, die regelmäßige Durchführung von Risikoanalysen und die Umsetzung von Sicherheitsmaßnahmen zur Risikominimierung.

IKT-Vorfälle

DORA legt außerdem fest, wie IKT-Vorfälle behandelt und gemeldet werden sollen. Finanzunternehmen müssen über geeignete Mechanismen verfügen, um IKT-Vorfälle frühzeitig zu erkennen, angemessen darauf zu reagieren und diese Vorfälle an die zuständigen Aufsichtsbehörden zu melden. Ziel ist es, die Auswirkungen von IKT-Vorfällen zu minimieren und die Widerstandsfähigkeit gegenüber Cyberangriffen zu stärken.

IKT-Drittparteienrisiko

Ebenso wichtig ist das Management des IKT-Drittparteienrisikos. Finanzunternehmen sind zunehmend von Drittanbietern von IKT-Dienstleistungen abhängig, wie beispielsweise Cloud-Computing-Service-Anbietern. DORA verpflichtet Finanzunternehmen, angemessene vertragliche Vereinbarungen mit IKT-Drittparteien zu treffen, um die Sicherheit und Stabilität ihrer IKT-Systeme zu gewährleisten. Die Verordnung schafft damit einen Rahmen für die sichere Zusammenarbeit mit IKT-Drittparteien.

Überwachungsrahmen für kritische IKT-Drittdienstleister

Ein weiterer wichtiger Bestandteil von DORA ist die Schaffung eines Überwachungsrahmens für kritische IKT-Drittdienstleister. Dieser Rahmen legt die Anforderungen an die Überprüfung und Überwachung dieser Dienstleister fest, um sicherzustellen, dass sie die erforderlichen Sicherheitsstandards einhalten. Finanzunternehmen müssen aktive Maßnahmen ergreifen, um sicherzustellen, dass ihre kritischen IKT-Drittdienstleister den Anforderungen von DORA entsprechen.

Inhalt	Beschreibung
IKT-Risikomanagement	Festlegung von Mechanismen zur Identifizierung, Bewertung und Überwachung von IKT-Risiken
IKT-Vorfälle	Festlegung von Maßnahmen zur Behandlung und Meldung von IKT-Vorfällen
IKT-Drittparteienrisiko	Verpflichtung zur Implementierung geeigneter vertraglicher Vereinbarungen mit IKT-Drittparteien
Überwachungsrahmen für kritische IKT-Drittdienstleister	Festlegung von Anforderungen an die Überprüfung und Überwachung von kritischen IKT-Drittdienstleistern

Diese Inhalte des Digital Operational Resilience Acts sind entscheidend für die Stärkung der digitalen operativen Widerstandsfähigkeit im Finanzsektor. Finanzunternehmen müssen die Vorgaben von DORA umsetzen und geeignete Maßnahmen ergreifen, um die digitale Sicherheit und Stabilität zu gewährleisten.

Von DORA betroffene Unternehmen und Organisationen

DIE BEDEUTUNG VON DORA FÜR DIE VERSICHERUNGSWIRTSCHAFT

Die Digitalisierung des Finanzsektors hat erhebliche Auswirkungen auf die Versicherungswirtschaft. Mit dem Aufkommen fortschrittlicher Informationstechnologien und der zunehmenden Abhängigkeit von IKT-Systemen und -Dienstleistern entstehen jedoch auch neue Risiken. Der Digital Operational Resilience Act (DORA) spielt eine entscheidende Rolle bei der Sicherstellung der digitalen Betriebsstabilität in der Versicherungswirtschaft.

DORA hat das Ziel, die digitale operative Widerstandsfähigkeit von Versicherungsunternehmen zu stärken und IKT-Risiken zu reduzieren. Die Verordnung legt klare Anforderungen an das IKT-Risikomanagement, die Durchführung von Belastbarkeitstests und die Behandlung von IKT-Vorfällen fest. Indem sie sicherstellt, dass Versicherungsunternehmen angemessen auf Bedrohungen reagieren können, trägt DORA dazu bei, die Auswirkungen von Cyberangriffen und anderen IKT-Vorfällen zu minimieren.

Die Bedeutung von DORA für die Versicherungswirtschaft:
DORA fördert die digitale Betriebsstabilität in der Versicherungswirtschaft.
Die Verordnung reduziert IKT-Risiken und stärkt die Resilienz von Versicherungsunternehmen.
DORA legt klare Anforderungen an das IKT-Risikomanagement und Belastbarkeitstests fest.

Die Versicherungswirtschaft ist aufgrund ihrer sensiblen Daten und des hohen Vertrauens, das Kunden in ihre Dienstleistungen legen, besonders anfällig für Cyberangriffe. Die Implementierung von DORA ermöglicht es Versicherungsunternehmen, wirksame Sicherheitsvorkehrungen zu treffen, um solche Angriffe abzuwehren oder abzumildern. Darüber hinaus trägt DORA dazu bei, ein hohes Maß an Vertrauen in die digitale Betriebsstabilität der Versicherungsbranche zu schaffen.

DORA gewährleistet die Sicherheit und Zuverlässigkeit der IKT-Systeme in der Versicherungswirtschaft und stärkt das Vertrauen der Kunden.

Die Versicherungswirtschaft steht vor der Herausforderung, sich den digitalen Veränderungen anzupassen und gleichzeitig die Sicherheit ihrer IKT-Systeme zu gewährleisten. DORA bietet einen klaren rechtlichen Rahmen und legt fest, welche Maßnahmen Versicherungsunternehmen ergreifen müssen, um ihre Widerstandsfähigkeit gegenüber IKT-Risiken zu stärken. Durch die Umsetzung von DORA können Versicherungsunternehmen ihre digitale Betriebsstabilität verbessern und gleichzeitig das Vertrauen der Kunden und Aufsichtsbehörden stärken.

Der regulatorische Kontext von DORA

Der Digital Operational Resilience Act (DORA) ist Teil eines umfassenden regulatorischen Kontextes, der auch die VAIT-Novelle und andere internationale Regelungen umfasst. Dieser regulatorische Rahmen zielt darauf ab, die digitale operative Widerstandsfähigkeit im Finanzsektor zu stärken und den Schutz vor Cyberangriffen und IKT-Störungen zu verbessern.

Die VAIT-Novelle, die voraussichtlich Anfang 2022 in Kraft tritt, enthält bereits einige der Anforderungen von DORA. Sie betrifft insbesondere die Aufsicht über die IT-Prozesse der Finanzunternehmen und legt spezifische Anforderungen an das IT-Risikomanagement, die IT-Steuerung und die IT-Aufsicht fest. Die VAIT-Novelle dient als Vorläufer von DORA und ist Teil der Bemühungen, den Finanzsektor regulatorisch zu stärken.

Außerhalb Deutschlands befindet sich auch auf EU-Ebene ein Entwurf für einen Digital Operational Resilience Act. Dieser Entwurf enthält ähnliche Zielsetzungen wie DORA, legt jedoch zusätzliche Anforderungen fest, die auf EU-weiter Ebene gelten sollen. Der EU-Entwurf ist noch in der Diskussionsphase und es steht noch keine endgültige Verordnung fest. Es wird erwartet, dass der EU-Entwurf in den nächsten Jahren verabschiedet wird und den regulatorischen Rahmen für den Finanzsektor weiter stärken wird.

Regelungen für Drittanbieter gemäß DORA

Der Digital Operational Resilience Act (DORA) umfasst auch Regelungen für IKT-Drittanbieter, wie zum Beispiel Cloud-Computing-Dienstleister. Diese Unternehmen spielen eine wichtige Rolle im Finanzsektor, da sie den Finanzunternehmen IKT-Dienstleistungen zur Verfügung stellen. DORA legt einen Aufsichtsrahmen für diese Drittanbieter fest und schreibt vor, dass sie bestimmte Sicherheitsvorkehrungen treffen müssen.

Finanzunternehmen haben die Verantwortung, die IKT-Drittanbieter zu überprüfen und sicherzustellen, dass sie die erforderlichen Sicherheitsvorkehrungen treffen, um die digitale Widerstandsfähigkeit zu stärken. Dazu gehört unter anderem die Überprüfung der Sicherheitsmaßnahmen und die Überwachung der Drittanbieter. Wenn ein Drittanbieter nicht die erforderlichen Sicherheitsstandards erfüllt oder Sicherheitsverletzungen aufweist, kann dies zu Haftungsrisiken für das Finanzunternehmen führen.

Die Verordnung legt auch Vorgaben für die vertragliche Vereinbarung mit IKT-Drittanbietern fest. Finanzunternehmen müssen sicherstellen, dass diese Vereinbarungen bestimmte Sicherheitsstandards erfüllen und die Verantwortlichkeiten der Parteien klar definiert sind. Dadurch wird sichergestellt, dass die Finanzunternehmen die Kontrolle über ihre IKT-Dienstleistungen behalten und die entsprechenden Sicherheitsvorkehrungen getroffen werden.

DORA trägt dazu bei, die digitale Widerstandsfähigkeit im Finanzsektor zu stärken, indem sie klare Regelungen für Drittanbieter einführt und die Verantwortlichkeiten der Finanzunternehmen in Bezug auf diese Anbieter festlegt. Durch die Umsetzung dieser Regelungen wird die Sicherheit der IKT-Systeme und -Dienstleistungen verbessert und die Anfälligkeit für Cyberangriffe und andere IKT-Vorfälle reduziert.

Überprüfung und Tests für die digitale Widerstandsfähigkeit: Eine entscheidende Maßnahme gemäß DORA

Die Überprüfung und Tests der digitalen Widerstandsfähigkeit spielen eine zentrale Rolle bei der Umsetzung des Digital Operational Resilience Acts (DORA). Durch regelmäßige Prüfungen und Tests können Unternehmen ihre Fähigkeit zur Abwehr und Bewältigung von IKT-Vorfällen stärken. Dabei geht es insbesondere um die Identifizierung von Schwachstellen, die Durchführung von Penetrationstests und die Überprüfung der Wiederherstellungsmaßnahmen.

Mit Hilfe von Penetrationstests können Unternehmen ihre IT-Systeme auf Sicherheitslücken und Schwachstellen überprüfen. Dabei werden gezielt Angriffsszenarien simuliert, um die Resilienz des Systems zu testen. Die Ergebnisse dieser Tests dienen als Grundlage für die Umsetzung von Verbesserungsmaßnahmen und die Stärkung der digitalen Widerstandsfähigkeit.

Ein weiterer wichtiger Aspekt ist die Überprüfung der Wiederherstellungsmaßnahmen. Dabei geht es darum sicherzustellen, dass im Falle eines IKT-Vorfalls angemessene Maßnahmen ergriffen werden können, um den Betrieb schnellstmöglich wieder aufzunehmen. Diese Überprüfungen müssen regelmäßig durchgeführt und die Ergebnisse den Aufsichtsbehörden gemeldet werden, um die Einhaltung der Vorschriften von DORA zu gewährleisten.

Die Überprüfung und Tests der digitalen Widerstandsfähigkeit sind somit entscheidende Maßnahmen, um die Anforderungen von DORA zu erfüllen und die Sicherheit im Finanzsektor zu verbessern. Durch regelmäßige Prüfungen können Unternehmen Schwachstellen identifizieren, geeignete Maßnahmen ergreifen und ihre Fähigkeit zur Abwehr und Bewältigung von IKT-Vorfällen stärken. Dies ist ein wichtiger Schritt, um die digitale Betriebsstabilität zu gewährleisten und den Anforderungen des finanziellen Umfelds gerecht zu werden.

Vergleich: Tests zur digitalen Widerstandsfähigkeit – Vorher und Nachher

	Vor DORA	Nach DORA
Art der Tests	Beschränkt auf Grundlage individueller Unternehmensrichtlinien	Verbindliche Vorgaben und Standards gemäß DORA
Häufigkeit der Tests	Unregelmäßig und nicht einheitlich	Regelmäßig laut DORA-Anforderungen
Umfang der Tests	Begrenzt auf bestimmte Systeme oder Bereiche	Umfassende Bewertung der gesamten IKT-Infrastruktur
Berichterstattung	Interne Berichterstattung, begrenzte Transparenz	Externe Berichterstattung an Aufsichtsbehörden gemäß DORA

Fazit

Der Digital Operational Resilience Act (DORA) ist eine wichtige EU-Verordnung, die darauf abzielt, die digitale operative Widerstandsfähigkeit im Finanzsektor zu stärken. DORA legt Anforderungen an Finanzunternehmen und ihre IKT-Drittdienstleister fest und schafft einen EU-weiten Aufsichtsrahmen. Die Unternehmen müssen die Vorgaben von DORA umsetzen und geeignete Maßnahmen ergreifen, um Cyberangriffe und andere IKT-Vorfälle abzuwehren oder abzumildern.

Die Verordnung ist Teil eines umfassenden regulatorischen Kontextes und hat eine große Bedeutung für die Versicherungswirtschaft und den Finanzsektor insgesamt. Unternehmen sollten frühzeitig mit den Vorbereitungen beginnen, um den gesetzlichen Vorgaben gerecht zu werden und die digitale Widerstandsfähigkeit zu stärken.

Insgesamt ist DORA ein wichtiger Schritt, um die Sicherheit und Stabilität des Finanzsektors in einer zunehmend digitalisierten Welt zu gewährleisten. Durch die Umsetzung der Anforderungen von DORA können Finanzunternehmen ihre Widerstandsfähigkeit gegenüber Cyberbedrohungen und IKT-Störungen verbessern und somit das Vertrauen von Kunden und Investoren stärken.