Der „Digital Operational Resilience Act“ (DORA) ist ein Gesetzesvorschlag der Europäischen Kommission zur Stärkung der operativen Widerstandsfähigkeit des Finanzsektors in der Europäischen Union (EU). Die vorgeschlagene Verordnung zielt darauf ab, der zunehmenden Abhängigkeit von Informations- und Kommunikationstechnologiesystemen (IKT) und digitalen Betriebsprozessen im Finanzsektor Rechnung zu tragen. DORA legt einen Rahmen für das IKT-Risikomanagement, die Meldung von Vorfällen und Outsourcing-Vereinbarungen für Finanzunternehmen wie Banken, Versicherungsgesellschaften und Wertpapierfirmen fest.
DORA überträgt der Unternehmensleitung die „volle und letztendliche Verantwortung“ für das Management von IKT-Risiken, für die Festlegung und Genehmigung der Strategie zur digitalen Betriebsresilienz sowie für die Überprüfung und Genehmigung der Unternehmensrichtlinie zum Einsatz von IKT-Drittanbietern (TPPs) und weitere Aufgaben.
Der DORA-Vorschlag wurde im Dezember 2022 veröffentlicht und im Januar 2023 in Kraft gesetzt. Unternehmen müssen ab Januar 2025 die DORA-Vorschriften einhalten. DORA gilt für die überwiegende Mehrheit der in der EU tätigen Finanzdienstleistungsunternehmen. Auch wenn es sich bei DORA um eine EU-Verordnung handelt, fällt Ihr Unternehmen in den Anwendungsbereich, wenn es seinen Sitz außerhalb der EU hat, aber Niederlassungen in der EU unterhält oder Dienstleistungen für ein Finanzinstitut erbringt, das in der EU tätig ist.
Was müssen Unternehmen gemäß DORA tun?
- Legen Sie Risikotoleranzen für IKT-Störungen fest, gestützt auf Leistungskennzahlen und Risikokennzahlen.
- Ermitteln Sie deren „kritische oder wichtige Funktionen“.
- Führen Sie Geschäftsauswirkungsanalysen auf der Grundlage von Szenarien „schwerwiegender Geschäftsunterbrechungen“ durch.
- Nutzen Sie den neuen Rahmen für Klassifizierung, Benachrichtigung und Berichterstattung, um Informationen zu IKT-Vorfällen und -Bedrohungen zu erfassen, zu analysieren, weiterzuleiten und zu verbreiten.
- Die Auswirkungen von Vorfällen quantifizieren und deren Ursachen analysieren.
- Im Falle einer erheblichen Cyberbedrohung sind die Aufsichtsbehörden zu benachrichtigen und Informationen über geeignete Schutzmaßnahmen zur Abwehr der Bedrohung bereitzustellen.
- Nachweisen, dass sie eine angemessene Reihe von Tests zur digitalen Betriebsresilienz und -sicherheit an ihren „kritischen IKT-Systemen und -Anwendungen“ durchführen. Alle bei den Tests festgestellten Schwachstellen „vollständig beheben“.
- Liegt der Wert über einem bestimmten Schwellenwert, sind alle drei Jahre „erweiterte“ bedrohungsorientierte Penetrationstests (TLPT) durchzuführen, wobei alle TPPs, die CIFs unterstützen, in die erweiterten Testübungen einzubeziehen sind.
- Nehmen Sie alle oben genannten Bestimmungen in die Verträge mit Drittanbietern auf.
- Führen Sie Konzentrationsrisikobewertungen für alle Outsourcing-Verträge durch, die die Bereitstellung von CIFs unterstützen.
Unternehmen sollten eine Lückenanalyse durchführen, um einen Fahrplan für die Konzeption und Umsetzung eines verbesserten Rahmens für operative Widerstandsfähigkeit bis Januar 2025 zu entwickeln, der den neuen Anforderungen der DORA entspricht. Hilfe bei der Umsetzung dieser Leitlinien finden Sie bei Archer Operational Resilience.
Kontaktieren Sie uns, um mit einem Archer-Experten zu sprechen.
