Alles, was Sie über DORA Wissen müssen

Mit der zunehmenden Abhängigkeit der Wirtschaft der Europäischen Union von digitalen Plattformen ist es für die Region entscheidend geworden, die Integrität, Sicherheit und Resilienz dieser Systeme zu gewährleisten. Hier kommt der Digital Operational Resilience Act (DORA) ins Spiel, ein umfassender gesetzlicher Rahmen, der darauf abzielt, die digitale Resilienz des Finanzsektors innerhalb der Europäischen Union (EU) zu stärken.

In diesem Artikel werden wir die Frage “Was ist DORA?” beantworten und wichtige Elemente der Verordnung, Vorteile für EU-Bürger, Compliance-Anforderungen für Unternehmen, aktuelle Einschränkungen und Empfehlungen für die Relevanz in einem von Cyber-Risiken geprägten Umfeld untersuchen.

Was ist DORA?

DORA, oder formeller der Digital Operational Resilience Act, verlangt von Finanzakteuren, von Banken bis hin zu Krypto-Asset-Dienstleistern, sicherzustellen, dass ihre digitalen Operationen allen Arten von Störungen standhalten können, um die Kontinuität der Finanzdienstleistungen für Verbraucher und Unternehmen zu gewährleisten. Diese Gesetzgebung ist Teil einer breiteren Strategie der EU, die operationelle Resilienz des Finanzsektors zu verbessern, indem ein Rahmen zur Minderung des Risikos von Cyberbedrohungen und anderen ICT (Information Communication Technology) bezogenen Vorfällen bereitgestellt wird. Durch die Festlegung strenger Anforderungen an das digitale Risikomanagement schützt DORA nicht nur den Finanzsektor vor Cyberbedrohungen, sondern stärkt auch die finanzielle Stabilität der EU und das Vertrauen der Verbraucher in digitale Finanzdienstleistungen.

Ursprünge von DORA

DORA entstand als Reaktion auf die zunehmende Abhängigkeit des Finanzsektors von Technologieplattformen zur Erzeugung, Weitergabe und Speicherung sensibler finanzieller Informationen, die für die Finanzmärkte und das wirtschaftliche Wohlergehen der EU von entscheidender Bedeutung sind. Störungen, die durch zunehmend ausgeklügelte und häufige Cyberangriffe verursacht werden, könnten die Wirtschaft der EU lähmen. Der Finanzsektor der EU ist tatsächlich zu einem Hauptziel für Cyberangriffe geworden und veranlasste die Europäische Kommission zum Handeln. DORA wurde Ende 2022 eingeführt, um einen einheitlichen Ansatz für die ‘digitale Betriebsresilienz’ in allen Mitgliedstaaten zu bieten und sicherzustellen, dass die kritische Infrastruktur des Finanzsektors angemessen geschützt ist.

Seit seiner Einführung hat DORA verschiedene Überarbeitungen erfahren, die die dynamische Natur der Technologielandschaft und die Notwendigkeit eines flexiblen regulatorischen Ansatzes widerspiegeln. Beiträge von Interessenträgern der Finanzindustrie, Cybersicherheitsexperten und Regulierungsbehörden waren entscheidend, um die Wirksamkeit und Relevanz von DORA aufrechtzuerhalten.

Schlüsselkomponenten von DORA

Im Kern basiert DORA auf dem Prinzip der operativen Resilienz und konzentriert sich auf die Fähigkeit von Finanzunternehmen, Störungen unabhängig von deren Ursprung zu absorbieren und sich von ihnen zu erholen. Dies wird durch eine Reihe strenger Anforderungen erreicht, die Bereiche wie Vorfallberichterstattung, digitales operatives Risikomanagement und Risikomanagement von Drittanbietern abdecken.

Im Herzen von DORA steht das Mandat für Finanzinstitutionen, einschließlich Banken, Versicherungsgesellschaften und anderen Finanzdienstleistern, einen wirksamen Mechanismus für die Meldung von Vorfällen zu entwickeln und aufrechtzuerhalten. Dieser Mechanismus soll sicherstellen, dass bei bedeutenden Cyber-Vorfällen diese schnell und genau den zuständigen Behörden gemeldet werden, sowohl auf nationaler Ebene als auch in der gesamten EU. Indem Finanzinstitutionen verpflichtet werden, bedeutende Cyber-Vorfälle umgehend zu melden, werden die Regulierungsbehörden mit den notwendigen Informationen ausgestattet, um die Auswirkungen solcher Vorfälle auf die Stabilität und Integrität des Finanzsystems zu bewerten. Die Regulierungsbehörden können dann geeignete Maßnahmen ergreifen, um Risiken zu mindern, Anleitung zu bieten und, falls notwendig, eine grenzüberschreitende Reaktion zu koordinieren, um Vorfälle zu bewältigen, die das Potenzial haben, den Finanzsektor in mehreren Jurisdiktionen zu beeinflussen. Umfassende Vorfallberichte beinhalten Prozesse zur Identifizierung, Verwaltung und Erholung von Cyber-Vorfällen, neben Protokollen für zeitnahe Kommunikation mit den Behörden.

DORA legt auch einen starken Schwerpunkt auf die Verwaltung und Minderung der Risiken, die mit Drittanbieter-Informationstechnologie- und Kommunikationsdiensten (ICT) verbunden sind. DORA verlangt von Finanzinstitutionen, ein umfassendes Register aller ihrer Drittanbieter-ICT-Servicevereinbarungen zu führen und eine gründliche Bewertung der potenziellen Risiken durchzuführen, die mit jedem ihrer ICT-Dienstleister verbunden sind. Dieser Bewertungsprozess beinhaltet die Evaluierung der Leistung, Zuverlässigkeit, Datenschutzmaßnahmen und aller anderen Faktoren, die die operationelle Resilienz der Finanzinstitution beeinflussen könnten.

Diese und andere DORA-Komponenten zwingen Finanzinstitutionen letztendlich dazu, einen proaktiveren und umfassenderen Ansatz zur Verwaltung externer Risiken zu adoptieren. Indem sie dies tun, stärken Finanzdienstleistungsinstitutionen die Gesamtstabilität und Resilienz des Finanzsystems und schützen es vor operativen Störungen, die die Finanzmärkte beeinträchtigen, die Sicherheit der Vermögenswerte der Kunden gefährden oder die Integrität des Finanzsystems untergraben könnten.

Wie DORA Verbrauchern und Bürgern zugutekommt

Indem DORA Finanzentitäten dazu verpflichtet, robuste Praktiken des digitalen Risikomanagements zu implementieren, minimiert es das Risiko von Dienstunterbrechungen, Datenschutzverstößen und finanziellen Verlusten, die aus Cyberangriffen resultieren. Dies schützt nicht nur die finanziellen Vermögenswerte der Verbraucher, sondern stärkt auch ihr Vertrauen in die Nutzung digitaler Finanzdienstleistungen.

Zusätzlich sorgt der Fokus von DORA auf Transparenz und Rechenschaftspflicht dafür, dass Verbraucher besser über die operationelle Resilienz ihrer Finanzdienstleister informiert sind. Die gesetzlichen Anforderungen zur Meldung von Vorfällen zwingen Entitäten dazu, bedeutende Cyber-Vorfälle offenzulegen, was den Verbrauchern ein klareres Verständnis der mit ihren digitalen Finanzaktivitäten verbundenen Risiken und der Maßnahmen zu deren Minderung bietet.

Compliance-Anforderungen unter DORA

Ein Verstoß gegen DORA führt zu erheblichen finanziellen, rechtlichen und reputativen Risiken. Finanzielle Strafen können erheblich sein und spiegeln die Schwere der Verletzung und ihr Potenzial, das Finanzsystem zu destabilisieren, wider. Diese Strafen werden nicht willkürlich entschieden, sondern sind sorgfältig kalibriert, um dem Ausmaß und der Auswirkung der Nichteinhaltung zu entsprechen, wobei sichergestellt wird, dass die Strafe nicht nur als Abschreckung dient, sondern auch jeglichen ungerechtfertigten Vorteil, der durch die Nichteinhaltung erlangt oder Verlust, der vermieden wurde, angeht.

Neben den unmittelbaren finanziellen Nachwirkungen stehen für Einheiten, die gegen DORA verstoßen, auch rechtliche Konsequenzen im Raum. Diese können von Durchsetzungsmaßnahmen, wie Anordnungen, bestimmte Praktiken einzustellen, bis zu Sanktionen reichen, die Einschränkungen der Geschäftstätigkeit oder sogar den Entzug von Lizenzen umfassen können. Der rechtliche Prozess kann auch langwierige Untersuchungen und die Möglichkeit von Rechtsstreitigkeiten beinhalten, was weitere Ressourcen beansprucht und die Aufmerksamkeit von den Kerngeschäftsaktivitäten eines Unternehmens ablenkt.

Der Schaden für den Ruf eines Unternehmens kann jedoch noch schädlicher und langlebiger sein als finanzielle oder rechtliche Konsequenzen. Nicht-Einhaltung, die ein Versäumnis zum Schutz von Systemen suggeriert, die sensible finanzielle Informationen von Kunden verarbeiten, speichern und teilen, kann das Vertrauen und das Vertrauen der Verbraucher erodieren, die grundlegend für jedes Geschäft sind, aber insbesondere im Finanzsektor kritisch sind. Der Vertrauensverlust kann zu einem Rückgang der Kundenbasis führen, da bestehende und potenzielle Kunden zu Wettbewerbern wechseln, die als zuverlässiger oder vertrauenswürdiger wahrgenommen werden. Darüber hinaus kann der Reputationsschaden die Marktposition eines Finanzdienstleistungsunternehmens beeinträchtigen, seinen Wettbewerbsvorteil mindern und potenziell seinen Aktienkurs und den Gesamtwert beeinflussen.

Wer ist für die Durchsetzung der DORA-Compliance verantwortlich

Die Durchsetzung der DORA-Konformität fällt in die Zuständigkeit der nationalen zuständigen Behörden (NCAs) innerhalb jedes EU-Mitgliedstaats. Diese Regulierungsbehörden überwachen, bewerten und stellen sicher, dass Finanzunternehmen innerhalb der strengen Richtlinien arbeiten, die durch DORA festgelegt wurden. Die Europäischen Aufsichtsbehörden (ESAs), bestehend aus der Europäischen Bankenaufsichtsbehörde (EBA), der Europäischen Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) und der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA), spielen eine zentrale Rolle bei der Gestaltung des regulatorischen Rahmens und leiten die NCAs bei der Durchsetzung.

Die Durchsetzungsbefugnisse der NCA können Audits durchführen, Berichte anfordern und Strafen gegen nicht konforme Organisationen verhängen. Diese Maßnahmen stellen sicher, dass Finanzunternehmen nicht nur “was ist DORA” verstehen, sondern auch dessen Standards rigoros umsetzen, um den Finanzsektor der EU vor digitalen Störungen zu schützen.

DORA und die Anpassung an Veränderungen in Technologie und Cybersecurity

Die nie endenden Fortschritte in Technologie und Cyberkriminalität stellen DORAs Wirksamkeit und Relevanz auf die Probe. Um relevant und wirksam zu bleiben, erfordert DORA periodische Änderungen und Aktualisierungen, die Veränderungen in der Technologie, den Taktiken der Cyberkriminalität und der globalen regulatorischen Landschaft widerspiegeln.

Ein kollaborativer Ansatz, der Fachleute aus verschiedenen Bereichen einbezieht, kann die Wirkung von DORA erheblich verstärken. Beispielsweise ist die Einbindung von Cybersicherheitsexperten mit Fachkenntnissen in der Identifizierung, Analyse und Minderung von Cyberbedrohungen von unschätzbarem Wert. Diese Experten bringen ein tiefes Verständnis für die Natur der Cyber-Risiken und die Taktiken, Techniken und Verfahren, die von Cyber-Gegnern angewendet werden, mit. Die Einbeziehung von Technologieanbietern in diesen kollaborativen Mix ist ebenso kritisch. Diese Einheiten entwerfen, entwickeln und aktualisieren die Hardware und Software, die das Rückgrat unserer digitalen Infrastruktur bilden. Durch die enge Zusammenarbeit mit Cybersicherheitsfachleuten können Technologieanbieter sicherstellen, dass ihre Produkte nicht nur widerstandsfähig gegen aktuelle Bedrohungen sind, sondern auch anpassungsfähig, um zukünftige Schwachstellen zu bekämpfen. Diese Partnerschaft ermöglicht die Entwicklung robusterer Sicherheitsmaßnahmen, Verschlüsselungsprotokolle und Bedrohungserkennungswerkzeuge, wodurch die allgemeine Sicherheitslage von Organisationen verbessert wird.

Internationale Regulierungsbehörden spielen ebenfalls eine entscheidende Rolle in dieser gemeinsamen Anstrengung. Cyberbedrohungen sind nicht durch nationale Grenzen beschränkt, was internationale Zusammenarbeit für eine umfassende Cybersicherheitsstrategie unerlässlich macht. Diese Gremien können Standards und Vorschriften festlegen, die einen einheitlichen Ansatz zur Cybersicherheit in verschiedenen Rechtsgebieten gewährleisten. Durch die Zusammenarbeit in Bezug auf Cybersicherheitspraktiken und -richtlinien können diese internationalen Einheiten den Informationsaustausch erleichtern, eine schnelle Reaktion auf Bedrohungen ermöglichen und die Etablierung gemeinsamer Protokolle für die Berichterstattung und Reaktion auf Vorfälle fördern.

Diese strategische Zusammenarbeit führt zur Identifikation neuer Schwachstellen und zur Entwicklung adaptiver Cybersicherheitsmaßnahmen, die zum Schutz der Technologieplattformen, auf die Finanzdienstleistungsinstitute so stark angewiesen sind, wesentlich sind. Und durch die Stärkung der Cyberabwehr in der EU tragen diese Bemühungen erheblich zur Sicherheit und Resilienz der globalen Finanzinfrastruktur bei.

Best Practices für die Erreichung der DORA-Compliance

Um eine erfolgreiche Einhaltung von DORA zu gewährleisten, sollten Organisationen einen ganzheitlichen Ansatz zur digitalen operationellen Resilienz verfolgen. Dies beinhaltet die Integration der Anforderungen von DORA in die Unternehmenskultur und die betrieblichen Prozesse. Die Einrichtung eines speziellen Teams zur Überwachung der DORA-Compliance kann sicherstellen, dass Praktiken konsequent angewendet und aktualisiert werden. Investitionen in Schulungs- und Sensibilisierungsprogramme für Cybersicherheit für Mitarbeiter können auch das Risiko von Verstößen aufgrund menschlicher Fehler reduzieren und somit die Gesamtresilienz der Organisation stärken.

Die Interaktion mit externen ICT-Dienstleistern, um Risiken zu bewerten und zu managen, ist eine weitere Best Practice. Entitäten sollten eine Due-Diligence-Prüfung ihrer Anbieter durchführen, um sicherzustellen, dass diese den Anforderungen von DORA entsprechen, insbesondere in Bereichen wie Datenschutz und Vorfallberichterstattung. Regelmäßige Überprüfungen und Tests der Maßnahmen zur digitalen operativen Resilienz, einschließlich Vorfallsreaktionsplan und Resilienztests, können Organisationen dabei helfen, sich auf Störungen vorzubereiten und deren Auswirkungen zu mildern.

Sicherstellung einer breiten Akzeptanz und Erfolgs

Damit DORA seine Ziele erreicht, ist eine breite Akzeptanz und wirksame Implementierung im Finanzsektor wesentlich. Regulierungsbehörden spielen eine Schlüsselrolle bei der Förderung des Verständnisses und der Einhaltung von DORA durch Leitlinien, Unterstützung und Durchsetzungsmaßnahmen. Sie können den Wissensaustausch und die Zusammenarbeit zwischen den Marktteilnehmern erleichtern, um Best Practices und innovative Ansätze zur digitalen operativen Resilienz zu verbreiten.

Der Aufbau eines unterstützenden Ökosystems, das den Dialog zwischen Finanzunternehmen, Regulierungsbehörden, Technologieanbietern und Cybersecurity-Experten fördert, kann die gemeinsame Fähigkeit zur Bewältigung digitaler Risiken verbessern. Öffentlich-private Partnerschaften können auch zur Entwicklung umfassender und wirksamer Strategien für das Management der digitalen operativen Resilienz beitragen, um sicherzustellen, dass die Implementierung von DORA sowohl erfolgreich als auch nachhaltig ist.

Kiteworks hilft Finanzdienstleistern in der EU, die DORA-Compliance zu erfüllen

Das Digital Operational Resilience Act (DORA) stellt einen bedeutenden Schritt nach vorne dar, um die Verteidigungsfähigkeit und Zuverlässigkeit des Finanzsektors der EU im Angesicht von Cyberbedrohungen und anderen digitalen Störungen zu gewährleisten. Die Wirksamkeit von DORA hängt jedoch von seiner Fähigkeit ab, sich an die ständig wechselnden technologischen und Cybersicherheitslandschaften anzupassen. Organisationen müssen einen proaktiven und integrierten Ansatz zur Compliance verfolgen, indem sie Best Practices für digitale operative Resilienz in ihre Kernoperationen integrieren und auf die Zusammenarbeit von Interessengruppen wie Regulierungsbehörden sowie Cybersicherheits- und Technologieexperten setzen. All diese Bemühungen können DORA dabei unterstützen, sein Ziel zu erreichen, ein sicheres, widerstandsfähiges und vertrauenswürdiges Finanzökosystem in der EU zu fördern.

Mit Kiteworks nutzen Unternehmen Kiteworks, um vertrauliche personenbezogene und geschützte Gesundheitsinformationen (personenbezogene Daten/Gesundheitsinformationen), Kundenakten, Finanzinformationen und andere sensible Inhalte mit Kollegen, Kunden oder externen Partnern zu teilen. Da sie Kiteworks verwenden, wissen sie, dass ihre sensiblen Daten und unschätzbares geistiges Eigentum vertraulich bleiben und in Übereinstimmung mit relevanten Vorschriften wie DSGVO, HIPAA, US-Bundesstaat Datenschutzgesetze, und vielen anderen geteilt wird.

KiteworksBereitstellungsoptionen umfassen On-Premises, gehostet, privat, hybrid und FedRAMP virtuelle private Cloud. Mit Kiteworks: Kontrollieren Sie den Zugriff auf sensible Inhalte; schützen Sie diese, wenn sie extern geteilt werden, indem Sie automatisierte Ende-zu-Ende-Verschlüsselung, Zwei-Faktor-Authentifizierung (2FA) und Integrationen in die Sicherheitsinfrastruktur; sehen, verfolgen und berichten Sie alle Dateibewegungen, nämlich wer was an wen, wann und wie sendet. Demonstrieren Sie schließlich die Einhaltung von Vorschriften und Standards wie DSGVO, HIPAA, CMMC, Cyber Essentials Plus, NIS2, und viele mehr.

Um mehr über Kiteworks zu erfahren, individuelle Demo planen noch heute.

Zurück zum Risiko- & Compliance-Glossar