Digital Operational Resilience Act (DORA) erklärt

Wenn Sie im Bereich digitaler Abläufe tätig sind, sollten Sie den Digital Operational Resilience Act (DORA) kennen. Dieses Gesetz unterstützt Finanzunternehmen und wichtige Dienstleister dabei, sich auf Cyberangriffe oder Systemausfälle vorzubereiten. Wie wirkt sich das auf Ihr Unternehmen aus? DORA stellt sicher, dass Ihre Betriebsabläufe auch bei den Herausforderungen einer digitalen Umgebung stabil und reibungslos bleiben.

Dieser Artikel erläutert die wichtigsten Punkte von DORA, von den Zielen und Compliance-Anforderungen bis hin zu den Auswirkungen auf Unternehmen innerhalb und außerhalb der EU. Ganz gleich, ob Sie innerhalb der EU oder mit Kunden mit Sitz in der EU arbeiten: DORA zu verstehen ist entscheidend, um in einer zunehmend digitalisierten Welt resilient zu bleiben. Wir gehen auch darauf ein, wie serverseitiges Tracking von DORA betroffen ist und wie Stape mit der neuen Verordnung umgeht.

Stape ist vollständig DORA-konform und gewährleistet höchsten Datenschutz sowie maximale Zuverlässigkeit der Dienste.

Die DORA-Verordnung ist ein wegweisendes EU-Gesetz. Sie soll die IT-Sicherheit und die operationelle Resilienz europäischer Finanzunternehmen stärken. Sie trat am 16. Januar 2023 in Kraft. Die Einhaltung von DORA wird am 17. Januar 2025 verbindlich. DORA gilt als wirksames Instrument zur Steuerung digitaler Risiken im Finanzsektor.

NIS2 und DORA sind zwei zentrale Rahmenwerke für Cybersicherheit und digitale Resilienz. Das erste, NIS2, konzentriert sich auf die Förderung von Sicherheitsmaßnahmen für wesentliche Dienste in der EU. Das zweite, der Digital Operational Resilience Act, zielt darauf ab, die operationelle Widerstandsfähigkeit von Finanzunternehmen zu stärken. Gemeinsam spielen sie eine entscheidende Rolle beim Schutz der europäischen digitalen Infrastruktur vor neuen Cyberbedrohungen.

Im September 2023 stellte die Europäische Kommission das Verhältnis zwischen diesen beiden Rahmenwerken in ihrer NIS2-Richtlinie klar:

• Die NIS2-Richtlinie richtet sich an kritische Sektoren wie Energie, Verkehr, Wasserversorgung, Gesundheit und digitale Infrastruktur. Sie soll diese lebenswichtigen Dienste schützen, indem sie strengere Anforderungen an die Cybersicherheit einführt und die Fähigkeiten zur Reaktion auf Vorfälle verbessert.
• Im Gegensatz dazu ist DORA auf den Finanzsektor zugeschnitten und deckt Institute wie Banken, Versicherungsgesellschaften und Wertpapierfirmen ab. Die Verordnung legt umfassende Anforderungen für das Management von Risiken im Bereich der Informations- und Kommunikationstechnologie (IKT) fest und stellt sicher, dass Finanzunternehmen IKT-bezogenen Störungen standhalten, darauf reagieren und sich davon erholen können.

Infolgedessen müssen Finanzunternehmen und IKT-Dienstleister innerhalb der EU die Anforderungen von DORA bis zum 17. Januar 2025 erfüllen. Jeder EU-Mitgliedstaat ist für die Durchsetzung der Einhaltung verantwortlich, und die benannten Aufsichtsbehörden sind befugt, spezifische Sicherheitsmaßnahmen anzuordnen und bereits bekannte Schwachstellen anzugehen.

Die Nichteinhaltung der Verordnung kann schwerwiegende Strafen nach sich ziehen. Für von der Europäischen Kommission als „kritisch“ eingestufte IKT-Drittdienstleister kann ein Verstoß zu Geldbußen von bis zu 1 % ihres durchschnittlichen weltweiten Tagesumsatzes des vorangegangenen Geschäftsjahres führen.

Der Finanzsektor verzeichnet sowohl weltweit als auch in Europa eine Zunahme von Cyberangriffen, die Teil eines allgemeinen Anstiegs globaler Cyberbedrohungen sind.

Europa hat den Digital Operational Resilience Act eingeführt, um dem entgegenzuwirken. Ziel ist es, ein einheitliches System für die Cyber-Resilienz aufzubauen und die Finanzstabilität in der gesamten EU zu gewährleisten. DORA fördert proaktive Praktiken, die Organisationen dabei helfen, die Auswirkungen von Cyberbedrohungen auf ihre IKT-Systeme abzumildern.

DORA setzt auf die Vereinheitlichung von Regulierungen in ganz Europa. In der Vergangenheit verfolgten einzelne Länder separate Ansätze mit unterschiedlichen Regeln und Aufsichtsmechanismen. Indem DORA diesen Mangel an Einheitlichkeit behebt, führt es einen konsistenten Ansatz ein, der Europas Ziel einer stärkeren legislativen und wirtschaftlichen Harmonisierung unterstützt.

Für Finanzunternehmen und andere betroffene Einheiten bietet DORA den zusätzlichen Vorteil klarerer rechtlicher Verpflichtungen in Bezug auf Cybersicherheit und Resilienz. Diese Klarheit gilt grenzüberschreitend, bietet verlässliche Leitlinien und verringert die Unsicherheit im Umgang mit Cyberbedrohungen.

Um die DORA-Compliance besser zu verstehen, werfen wir einen genaueren Blick auf die Ziele von DORA.

DORA verfolgt zwei Hauptziele:

1. 1.
   Einführung eines umfassenden IKT-Risikomanagements für den Finanzsektor, einschließlich Standards für Risikobewertungen, die Meldung von Vorfällen und Resilienztests.
2. 2.
   Harmonisierung der Vorschriften für das IKT-Risikomanagement in den EU-Mitgliedstaaten, Schaffung gleicher Wettbewerbsbedingungen und Verringerung von Compliance-Hürden für Finanzunternehmen, die in mehreren EU-Ländern tätig sind.

Vor DORA erschwerten fragmentierte nationale Vorschriften grenzüberschreitend tätigen Finanzinstituten die Einhaltung der Regeln. DORA adressiert dies durch die Einführung einheitlicher regulatorischer Standards, minimiert Unklarheiten und erhöht die Sicherheit im gesamten Finanzsektor der EU.

Der DORA Act gilt für über 22.000 Finanzunternehmen und IKT-Dienste, die innerhalb der EU tätig sind, sowie für die IKT-Infrastruktur, die diese außerhalb der EU unterstützt. Er betrifft eine Vielzahl von Finanzakteuren, darunter:

• Banken
• Versicherungsgesellschaften
• Wertpapierfirmen
• Zahlungsabwickler
• Börsen
• Marktinfrastrukturunternehmen
• Ratingagenturen
• Kryptowerte-Dienstleister

Darüber hinaus erstreckt sich DORA auf kritische IKT-Dienstleister, die diese Institutionen unterstützen. Organisationen müssen Abhängigkeiten von IKT-Drittanbietern ermitteln und diversifizieren, um eine übermäßige Abhängigkeit von einem einzelnen Anbieter oder einer begrenzten Gruppe von Lieferanten zu vermeiden.

Die wichtigsten DORA-Anforderungen lauten wie folgt:

Gemäß Artikel 6 schreibt DORA die Einrichtung eines soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmens vor, der integraler Bestandteil des gesamten Risikomanagementsystems eines Instituts ist. Zu den Kernelementen gehören:

• Risikoidentifizierung und -bewertung: Regelmäßige Bewertung und Dokumentation von IKT-Risiken, einschließlich jener, die sich aus Abhängigkeiten von Dritten ergeben.
• Schutz- und Präventionsmaßnahmen: Strategien, Richtlinien und Instrumente zum Schutz von Systemen und Daten, wie etwa passwortlose Zugriffslösungen zur Minderung von Phishing-Risiken, müssen implementiert werden.
• Erkennungsmechanismen: Nutzung von Technologien zur schnellen Erkennung von Anomalien und potenziellen Sicherheitsvorfällen.
• Reaktions- und Wiederherstellungsplanung: Entwicklung von Plänen für die Geschäftskontinuität und das Krisenmanagement.
• Schulung und Verbesserung: Kontinuierliche Verbesserung der Systeme auf der Grundlage vergangener Vorfälle und Testergebnisse.

DORA verlangt außerdem die Benennung einer verantwortlichen Stelle für die Überwachung des IKT-Risikomanagements, um eine klare Rechenschaftspflicht und eine effektive Governance zu gewährleisten.

Das Management und die Meldung von Vorfällen sind zentrale Aspekte von DORA. Institute müssen Systeme einrichten, um IKT-bezogene Vorfälle zu erfassen und zu kategorisieren. Gemäß Artikel 19 müssen Organisationen Folgendes einreichen:

• Einen Erstmeldungsbericht innerhalb eines festgelegten Zeitrahmens nach Identifizierung eines schwerwiegenden Vorfalls.
• Einen Zwischenbericht, wenn sich der Status des Vorfalls erheblich ändert.
• Einen Abschlussbericht nach Abschluss der Ursachenanalyse und Bewertung der Auswirkungen des Vorfalls.

Zusätzlich sind Organisationen gemäß den Artikeln 18–20 verpflichtet:

• IKT-Vorfälle auf der Grundlage vordefinierter Schweregrade zu klassifizieren.
• Standardisierte Vorlagen für die Meldung von Vorfällen an die Aufsichtsbehörden zu verwenden.
• Endnutzer und Kunden unverzüglich über schwerwiegende Vorfälle und Maßnahmen zur Schadensbegrenzung zu informieren.
• Sicherzustellen, dass Berichte bis zum Ende des Arbeitstages oder innerhalb von vier Stunden nach Beginn des nächsten Geschäftstages eingereicht werden, wenn der Vorfall kurz vor Feierabend auftritt.

Gemäß Artikel 25 schreibt DORA regelmäßige Überprüfungen von IKT-Risikomanagementsystemen vor, um deren Wirksamkeit sicherzustellen. Zu den Testschritten gehören:

• Schwachstellenbewertungen: Regelmäßige Scans zur Identifizierung von Schwachstellen in Systemen und Anwendungen.
• Bewertung der Netzwerk- und Infrastruktursicherheit: Testen der Netzwerkabwehr.
• Anwendungssicherheitstests: Überprüfung von Software, die für kritische Geschäftsfunktionen eingesetzt wird.
• Szenariobasierte Tests: Simulation verschiedener Cyberbedrohungsszenarien zur Bewertung der Reaktionsfähigkeit.
• Bedrohungsgeleitete Penetrationstests: Erweiterte Tests für kritische Finanzunternehmen, die mindestens einmal alle drei Jahre durchgeführt werden müssen.

Zusätzlich verlangt Artikel 26 von Organisationen, Penetrationstests für IKT-Prozesse durchzuführen, die kritische Funktionen unterstützen, einschließlich ausgelagerter Dienste.

In Anbetracht der Bedeutung von IKT-Dienstleistern führt DORA strenge Anforderungen an das Management von Drittanbieterrisiken ein, darunter:

• Due Diligence: Überprüfung von IKT-Anbietern vor Vertragsabschluss.
• Vertragliche Garantien: Aufnahme von Bestimmungen zu Sicherheit, Vorfallsmeldung und Prüfungsrechten in Vereinbarungen.
• Laufende Überwachung: Regelmäßige Bewertung der Leistung und der Sicherheitsmaßnahmen von Dritten.
• Ausstiegsstrategien: Entwicklung von Plänen für den Wechsel von einem Anbieter zu einem anderen, falls erforderlich.

DORA richtet zudem Aufsichtsrahmen für kritische IKT-Drittanbieter ein, die es den EU-Aufsichtsbehörden ermöglichen, die Compliance direkt zu überwachen.

5. Informationsaustausch

DORA fördert die Zusammenarbeit zwischen vertrauenswürdigen Finanzunternehmen, um:

• Das Bewusstsein für IKT-bezogene Risiken zu schärfen.
• Die Ausbreitung von IKT-Bedrohungsvektoren zu minimieren.
• Verteidigungsstrategien, Abwehrtechniken und Bedrohungsdaten (Threat Intelligence) auszutauschen.

Vorbereitung auf die DORA-Compliance

Die Einhaltung von DORA mag komplex erscheinen, wird jedoch mit einem strukturierten Ansatz beherrschbar. Überprüfen Sie Ihre Cybersicherheitspraktiken und Ihren Risikomanagementplan, um Verbesserungspotenziale zu identifizieren. Regelmäßige Schulungen für alle Mitarbeitenden, einschließlich der Führungskräfte, sind unerlässlich, um ein starkes und vorbereitetes Team aufzubauen.

Überprüfen Sie Verträge mit IKT-Dienstleistern, um sicherzustellen, dass sie den Standards von DORA entsprechen. Erstellen Sie ein umfassendes Inventar aller Vereinbarungen, einschließlich Cloud-Diensten und Softwareanbietern, um Abhängigkeiten zu identifizieren und Risiken zu minimieren. Mit diesen strategischen Schritten kann Ihr Unternehmen seine operationelle Resilienz stärken und die Anforderungen von DORA erfüllen.

Durch die Einhaltung dieser Maßnahmen können Organisationen die hohen Standards von DORA für IKT-Risikomanagement und operationelle Resilienz erfüllen.

Die DORA-Verordnung führt einheitliche europäische Resilienzstandards ein, die auch britischen Unternehmen bekannt sein sollten.

Im Vereinigten Königreich regulierte Unternehmen müssen operationelle Risiken verantwortungsbewusst und wirksam steuern und sicherstellen, dass ihre Geschäftsabläufe mit robusten Risikomanagementsystemen organisiert sind. Die Vorschriften der Financial Conduct Authority (FCA) beschreiben diese Verpflichtung, die Bestimmungen zu Führung und Governance, Risikomanagement, internen Kontrollen, Geschäftskontinuität, Notfallplanung und Outsourcing-Praktiken umfasst.

Diese bestehenden Anforderungen werden nun um neue Vorschriften zur operationalen Resilienz erweitert. Das DORA-Cybersicherheits-Framework verstärkt diese Maßnahmen zusätzlich und stellt sicher, dass Unternehmen IKT-Risiken umfassend angehen und sich gegen digitale Bedrohungen schützen. Das aktualisierte Regelwerk führt Anforderungen für bestimmte Arten von Unternehmen ein und sieht vor, diese auf Dienstleister auszuweiten, die nicht von der FCA reguliert werden.

Das britische Rahmenwerk für operationale Resilienz

Das britische Rahmenwerk für operationale Resilienz verfolgt einen breiteren Ansatz für operative Risiken als die DORA der EU. Es betont die Fähigkeit eines Unternehmens, Unterbrechungen standzuhalten – nicht nur solchen, die durch digitale oder IKT-Vorfälle entstehen.

Das Rahmenwerk gilt für Banken, Versicherer und bedeutende Wertpapierfirmen. Sofern sie bestimmte Kriterien erfüllen, können auch Vermögensverwalter einbezogen werden.

Im Gegensatz zu DORA berücksichtigt das britische Rahmenwerk ein breiteres Spektrum an Risiken und verfolgt einen umfassenderen Ansatz für Resilienz.

Das britische Rahmenwerk deckt weniger Organisationen ab als DORA, betrachtet Resilienz jedoch ganzheitlicher. Es blickt über digitale Risiken hinaus und konzentriert sich darauf, Unternehmen bei der Bewältigung von Unterbrechungen jeglicher Art zu unterstützen.

Was bedeutet DORA-Compliance? Ist es nur eine weitere Regulierung oder eine Gelegenheit, den Umgang von Unternehmen mit Resilienz und Cybersicherheit neu zu überdenken? Für viele ist es ein Neuanfang – eine Chance, fragmentierte Systeme durch einen einheitlichen Ansatz zu ersetzen, der Vertrauen und Stabilität in der digitalen Welt schafft.

DORA-Compliance fordert Unternehmen heraus, eine proaktive Denkweise einzunehmen, IKT-Risiken anzugehen und Resilienz über die gesamte Lieferkette hinweg sicherzustellen – einschließlich externer IKT-Dienstleister. DORA treibt Organisationen dazu an, ihre Betriebsabläufe widerstandsfähiger gegen Cyberbedrohungen zu machen und sie an Europas Vision einer sicheren und vernetzten Wirtschaft auszurichten.

Der tatsächliche Wert der DORA-Compliance hängt davon ab, wie Unternehmen darauf reagieren. Werden sie darin eine Herausforderung sehen oder eine Chance, ihre Resilienz zu stärken und sich einen Wettbewerbsvorteil zu sichern? Die Zeit wird es zeigen.

Serverseitiges Tracking hilft Unternehmen dabei, regulatorische Vorgaben wie DORA einzuhalten, indem es die Datensicherheit und -zuverlässigkeit verbessert. Stape arbeitet daran, die DORA-Standards zu erfüllen, sobald sie in Kraft treten. 

Stape ist ISO 27001-, HIPAA- und DSGVO-konform, um Daten zu schützen und die Privatsphäre zu gewährleisten. Wir setzen uns dafür ein, stets über neue Vorschriften auf dem Laufenden zu bleiben und sichere, zuverlässige Tracking-Lösungen anzubieten. Stape ist ein sicherer und verlässlicher Partner für jedes Unternehmen, das seine Daten schützen und gleichzeitig das Beste aus seinem Tracking-Setup herausholen möchte.

Was sind die technischen Standards von DORA?

DORA legt verbindliche technische Standards für Finanzunternehmen und deren wesentliche IKT-Drittdienstleister fest, die bis zum 17. Januar 2025 in deren Systeme integriert werden müssen.

DORA gliedert seine technischen Anforderungen in vier Kernbereiche:

• IKT-Risikomanagement und Governance. Es müssen solide Rahmenwerke für das Management technologiebezogener Risiken eingerichtet werden.
• Reaktion auf IKT-Vorfälle und Berichterstattung. Es müssen wirksame Prozesse zur Behandlung und Meldung von IKT-Vorfällen sichergestellt werden.
• Prüfung der digitalen operationalen Resilienz. Regelmäßige Tests sind erforderlich, um die Widerstandsfähigkeit von IKT-Systemen zu bewerten.
• Risikomanagement für IKT-Drittparteien. Die Überwachung externer Technologieanbieter muss gestärkt werden.

Während DORA den Austausch von Informationen fördert, um die kollektive Resilienz zu stärken, bleibt dies freiwillig.

Die Anforderungen werden verhältnismäßig angewendet, sodass kleinere Einheiten weniger Verpflichtungen haben als größere Finanzinstitute. Während spezifische technische Regulierungsstandards (RTS) und technische Durchführungsstandards (ITS) noch ausgearbeitet werden, setzt die Gesetzgebung bereits klare Erwartungen an die Compliance.

Gibt es Sanktionen bei Nichteinhaltung von DORA?

Sobald die DORA-Standards finalisiert sind und die Frist im Januar 2025 erreicht ist, werden die benannten Regulierungsbehörden in den einzelnen EU-Mitgliedstaaten – sogenannte „zuständige Behörden“ – deren Einhaltung durchsetzen. Diese Behörden haben die Befugnis, von Finanzunternehmen die Umsetzung spezifischer Sicherheitsmaßnahmen zur Behebung von Schwachstellen zu verlangen, um die DORA-Compliance-Anforderungen zu erfüllen. Zudem legen sie Strafen bei Nichteinhaltung fest. Solche Sanktionen umfassen administrative und in manchen Fällen strafrechtliche Maßnahmen nach dem Ermessen des jeweiligen Landes.

Die Europäische Kommission stuft bestimmte IKT-Dienstleister als „kritisch“ ein, und deren Überwachung wird direkt von federführenden Überwachungsbehörden der Europäischen Aufsichtsbehörden (ESAs) übernommen. Ähnlich wie die zuständigen Behörden können diese federführenden Überwachungsbehörden Sicherheitsverbesserungen anordnen, Abhilfemaßnahmen durchsetzen und Sanktionen bei Nichteinhaltung verhängen. 

Wie unterscheidet sich DORA von anderen Cybersicherheitsvorschriften?

DORA ist eine von vielen bedeutenden Cybersicherheitsvorschriften, die in den kommenden Jahren in Kraft treten. Die NIS-2-Richtlinie, die im Oktober 2024 anwendbar wird, legt ebenfalls Anforderungen an die digitale Sicherheit für europäische Unternehmen und Organisationen fest.

Die DORA-EU-Compliance zielt darauf ab, die Praktiken zur operationalen Resilienz und Cybersicherheit im Finanzsektor über alle Mitgliedstaaten hinweg zu standardisieren. DORA ist speziell auf den Finanzsektor zugeschnitten und stellt sicher, dass dessen Anforderungen berücksichtigt werden. NIS-2 hat eine breitere Reichweite und deckt alle kritischen Sektoren wie Energie, Gesundheitswesen und Transport ab.

Der rechtliche Ansatz von DORA unterscheidet sich von dem der NIS-2. DORA ist eine Verordnung, die unmittelbar und einheitlich in allen EU-Mitgliedstaaten gilt, während NIS-2 als Richtlinie erst in das nationale Recht jedes Mitgliedstaates umgesetzt werden muss.

Obwohl sich beide Regelwerke auf die Verbesserung der IT-Sicherheit konzentrieren, hat DORA im Finanzsektor Vorrang und dient dort als primärer regulatorischer Rahmen.

Können Nicht-EU-Unternehmen, die mit EU-Instituten zusammenarbeiten, von DORA betroffen sein?

Die DORA-Verordnung der EU hat erhebliche Auswirkungen auf Finanzorganisationen außerhalb der EU – insbesondere auf diejenigen, die Kunden im EU-Markt bedienen oder dort tätig sind.

Diese Einheiten müssen die DORA-Standards erfüllen, um den Marktzugang zu behalten und weiterhin mit Kunden mit Sitz in der EU zusammenarbeiten zu können. Dies bedeutet höhere Compliance-Kosten, betriebliche Anpassungen und mögliche strategische Neuausrichtungen.

DORA wirkt sich auch auf Organisationen außerhalb der EU aus, indem es sie in die Lieferketten von EU-Finanzinstituten einbezieht und strenge Anforderungen für das gesamte Ökosystem durchsetzt.

Infolgedessen reicht der Einfluss von DORA weit über die EU hinaus. Die Verordnung prägt den globalen Finanzsektor und unterstreicht die Bedeutung der operationalen Resilienz weltweit.

Stape ist vollständig DORA-konform und stellt sicher, dass wir die höchsten Standards für Datenschutz und Servicezuverlässigkeit erfüllen. Wir verstehen die Bedeutung von DORA und seine Rolle beim Schutz der Integrität digitaler Dienste in der gesamten EU. Detaillierte Informationen zu unserer Compliance finden Sie in unserem Trust Center, wo wir unser Engagement für operationale Resilienz und den Schutz der Daten unserer Nutzer darlegen.

In einer Welt, in der Cyberbedrohungen immer häufiger und schwerwiegender werden, müssen wir alles Notwendige tun, um einen starken Schutzschild dagegen aufzubauen. Vorschriften wie DORA helfen Unternehmen, sich auf Risiken vorzubereiten und angemessen damit umzugehen. Das Ziel von DORA ist es, Systeme sicher zu halten, Kundendaten zu schützen und auch in unbeständigen Zeiten funktionsfähig zu bleiben. 

• Die NIS-2-Richtlinie
• Der Digital Operational Resilience Act (DORA) – Verordnung (EU) 2022/2554
• Digital Operational Resilience Act (DORA)
• Digital Operational Resilience Act (DORA)
• Was ist der Digital Operational Resilience Act (DORA)?