DORA betrifft den Finanzdienstleistungssektor der EU, und diese Rechtsvorschrift wird in der Finanzbranche für Aufsehen sorgen. Im Folgenden geben wir Ihnen einen Überblick über einige der DORA-Verpflichtungen, die Finanzinstitute einhalten müssen.
Der Finanzdienstleistungssektor gilt seit langem als technologischer Vorreiter und Wegbereiter. Dank der Fortschritte im Bank- und Finanzwesen hat die digitale Transformation in dieser Branche rasante Fortschritte gemacht. Doch neue Technologien und neue Arbeitsweisen ziehen Cyberkriminelle an. Die Folge ist, dass die Angriffe auf den Finanzsektor sprunghaft zunehmen.
Im Jahr 2021 verzeichnete der Bankensektor einenAnstieg der Ransomware-Angriffeum 1.318 % , und 65 % der großen Finanzunternehmen waren im Jahr 2020 von einem Cyberangriff betroffen. Die Schwere der immer komplexer und schädlicher werdenden Cyberangriffe im Finanzsektor hat dazu geführt, dass ein neues Gesetz in den Regelungsrahmen für Finanzdienstleistungen aufgenommen wurde: das DORA (Digital Operational Resilience Act).
DORA-Grundlagen
Der erste Entwurf der DORA wurde am 24. September 2020 veröffentlicht, und am 10. September 2022 stimmte das Europäische Parlament dem Entwurf zu. Die Rechtsvorschrift wird eine zentrale Rolle im „Digital-Finance-Paket“ spielen, das darauf abzielt, Innovationen und Wettbewerb im Bereich der digitalen Finanzdienstleistungen zu fördern und gleichzeitig die mit der Digitalisierung der Branche verbundenen Risiken zu mindern.
Daher dient Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) als Rechtsgrundlage für DORA; im Mittelpunkt der Rechtsvorschriften steht die Harmonisierung der Richtlinien zur Cybersicherheit in der gesamten Branche.
Die EU greift gerne auf regulatorische Maßnahmen zurück, um bewährte Verfahren zu konsolidieren und zu harmonisieren; die DSGVO ist ein Beispiel für eine harmonisierte Datenschutzverordnung; DORA ist der Versuch der EU, das IKT-Risikomanagement im gesamten Finanzsektor zu konsolidieren und zu verbessern, wobei DORA Auswirkungen auf Finanzdienstleistungsunternehmen in der EU und deren (kritische) IKT-Anbieter hat.
DORA wird Unternehmen des Finanzsektors dazu verpflichten, Maßnahmen zum Schutz vor IKT-bezogenen Risiken zu ergreifen: Damit weitet DORA die Anforderungen auch auf Dritte, wie beispielsweise Cloud-Anbieter, aus.
Welche Verpflichtungen erlegt DORA dem Finanzsektor auf?
Ziel ist es, ein widerstandsfähiges Umfeld im gesamten Ökosystem der Finanzdienstleistungen zu schaffen. Das zugrunde liegende Rahmenwerk von DORA basiert auf einer Reihe von Vorschriften, die Finanzinstituten dabei helfen sollen, robuste Risikomanagementprozesse zu entwickeln. Zu den zentralen Anforderungen und dem Anwendungsbereich von DORA gehören unter anderem folgende Punkte:
Geltungsbereich von DORA
Nahezu alle Arten von Finanzunternehmen fallen unter den Geltungsbereich des DORA. Zu den betroffenen Unternehmen zählen Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Asset-Dienstleistungen, alternative Investmentfonds, Versicherungsmanager usw. Eine Ausnahme bilden Wirtschaftsprüfer, die derzeit nicht den DORA-Vorschriften unterliegen; dies dürfte sich jedoch in künftigen Fassungen des Gesetzes ändern. Eine vollständige Liste der betroffenen Unternehmen finden Sie in Artikel 2 der DORA.
IKT-Anbieter, die unter die DORA fallende Unternehmen betreuen, müssen sich ebenfalls an das Gesetz halten. IKT-Anbieter gelten als von zentraler Bedeutung für den Finanzsektor und unterliegen daher strengen Vorschriften im Rahmen der DORA. Kritische IKT-Dienstleister mit Sitz außerhalb der EU, die Finanzunternehmen in der EU betreuen, müssen eine Tochtergesellschaft innerhalb der EU gründen.
IKT-Anbieter und DORA
Das Risikomanagement in Bezug auf Drittanbieter ist ein wesentlicher Bestandteil von DORA. Die Fokussierung auf IKT-Anbieter ist eine Reaktion auf die Zunahme von Angriffen auf die Lieferkette, wie beispielsweise das Software-Update von SolarWinds Orion. Die Europäische Agentur für Cybersicherheit (ENISA) berichtete von einer zunehmenden Raffinesse und einem steigenden Volumen von Angriffen auf die Lieferkette, bei denen Angreifer die Lieferkette ins Visier nehmen, um Daten und finanzielle Vermögenswerte zu stehlen. DORA koordiniert die Anforderungen unter Verwendung bestehender Rahmenwerke wie der Outsourcing-Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA). (Siehe auch DORA-Artikel 14)
Im Rahmen von DORA können Finanzunternehmen bestimmte IKT-Anbieter als „kritisch“ einstufen. Ein kritischer IKT-Anbieter, der Dienstleistungen für ein unter DORA fallendes Unternehmen erbringt, unterliegt somit strengen Vorschriften, deren Einhaltung durch die direkte Zusammenarbeit mit den EU-Finanzdienstleistungsbehörden sichergestellt wird.
Wichtige Maßnahmen zur Cybersicherheit
Die Kernziele der DORA-Gesetzgebung bestehen darin, widerstandsfähige IKT-Systeme aufrechtzuerhalten. Um dies zu erreichen, wurden die folgenden Leitlinien festgelegt:
Risikomanagement und Widerstandsfähigkeit
Im Mittelpunkt von DORA stehen Risikomanagement-Leitlinien, die der Finanzdienstleistungsbranche dabei helfen sollen, widerstandsfähigere Infrastrukturen aufzubauen. Die daraus resultierenden Risikomanagementprogramme und -bewertungen dienen als Grundlage für Resilienztests. Darüber hinaus sieht die Gesetzgebung vor, dass Geschäftsauswirkungsanalysen auf der Grundlage von Szenarien „schwerwiegender Geschäftsunterbrechungen“ durchgeführt werden müssen.
Resilienz- und Schwachstellentests sollen von unabhängigen Experten durchgeführt werden und regelmäßige, bedrohungsorientierte Penetrationstests umfassen. Wichtig ist, dass alle kritischen IKT-Systeme jährlich getestet werden sollten.
Schutzmaßnahmen (siehe auch Artikel 8)
Zu den erforderlichen Schutzmaßnahmen zählen unter anderem:
- Wenden Sie angemessene und umfassende Richtlinien für Patches und Updates an.
- Richten Sie Richtlinien und Verfahren für starke Authentifizierungsmechanismen ein
- Verfolgen Sie einen risikobasierten Ansatz, um ein solides Netzwerk- und Infrastrukturmanagement zu etablieren
- Führen Sie Richtlinien ein, die den physischen und virtuellen Zugriff auf IKT-Systemressourcen und Daten einschränken
- Verhindern Sie den Verlust von Informationen
IKT-Störungsmanagement
Artikel 15 enthält Einzelheiten zu den Anforderungen an die Bewältigung und Kontrolle von Sicherheitsvorfällen, einschließlich Verfahren zur „Erkennung, Bewältigung und Meldung von IKT-bezogenen Vorfällen, sowie zur Einrichtung von Frühwarnindikatoren als Warnsignale“.
Meldung von Cybersicherheitsvorfällen
Betroffene Unternehmen müssen über ein Verfahren verfügen, um alle wesentlichen IKT-bezogenen Vorfälle zu überwachen, zu beschreiben und den zuständigen Behörden zu melden. Für kritische IKT-Anbieter gelten strenge Meldevorschriften. Dazu gehört die Abgabe einer Erstmeldung spätestens bis zum Ende des Geschäftstages oder, falls sich der schwerwiegende Vorfall später als zwei Stunden vor Ende des Geschäftstages ereignet hat, spätestens vier Stunden nach Beginn des nächsten Geschäftstages.
Daraufhin ist spätestens eine Woche nach der Erstmeldung ein Zwischenbericht vorzulegen; diesem folgt ein Abschlussbericht, sobald die Ursachenanalyse abgeschlossen ist, und zwar spätestens einen Monat nach Übermittlung des Erstberichts.
Verantwortlichkeit in den Bereichen Management und Sicherheit
DORA überträgt die Verantwortung für IKT-Risiken und Cyberbedrohungen der Führungsspitze von Finanzdienstleistungsunternehmen. Die Durchführung von Schulungen zur Sensibilisierung für Sicherheitsfragen trägt dazu bei, dass die Führungsspitze und das gesamte Unternehmen sicherheitsorientiert handeln.
DORA behandelt zudem wesentliche Aspekte des Cybersicherheitsmanagements und der Reaktion auf Vorfälle, wie beispielsweise den Informationsaustausch (siehe Artikel 40).
Wie geht es nun weiter mit DORA?
Die Verordnung sieht für Finanzinstitute und deren kritische Drittanbieter eine Umsetzungsfrist von 24 Monaten ab Inkrafttreten der Rechtsvorschrift vor. Daher wird den betroffenen Unternehmen empfohlen, die 24 Monate zwischen dem Inkrafttreten der Rechtsvorschrift und der Umsetzung konformer Maßnahmen für eine Lückenanalyse zu nutzen: Maßnahmen wie bedrohungsorientierte Penetrationstests und strenge Meldevorschriften könnten andernfalls durch diese Lücke fallen.