DORA stärkt die Widerstandsfähigkeit von Unternehmen Cyber-Sicherheit in der EU mit dem Digital Operational Resilience Act

Anbieter zum Thema

mod IT Services GmbH

FTAPI Software GmbH

TXOne Networks

Eine aktuelle Sicherheitslücke demonstriert die zunehmende Bedrohung von Cyber-Attacken für den Finanzsektor. Ein neuer Gesetzesentwurf soll nun die Widerstandsfähigkeit von europäischen (Finanz)Unternehmen stärken.

Von einer Sicherheitslücke in der Datenübertragungssoftware „MOVEit“ sind aktuell mehr als 40 Länder betroffen, allein in Deutschland mehr als 100 Unternehmen – Tendenz steigend. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Datenabflüsse bestätigt und auch die US-amerikanische Cyber-Sicherheitsbehörde CISA und die britische Cyber-Sicherheitsbehörde warnen vor der Sicherheitslücke.

MOVEit wird unter anderem in der Finanzbranche genutzt. Dass Finanzunternehmen als Teil der kritischen Infrastruktur besonders von Cyber-Attacken bedroht sind, zeigt eine Untersuchung des Sicherheitsunternehmens Yeswehack: So waren 93 Prozent aller Finanzunternehmen in der DACH-Region im Jahr 2022 regelmäßig Opfer von Hacker-Angriffen.

Einheitliche Regeln mit DORA

Im europäischen Raum existiert jedoch kein einheitlicher Rechtsrahmen, um die Cyber-Sicherheit im Finanzsektor zu organisieren. Mit dem „Digital Operational Resilience Act“ (DORA) möchte die Europäische Union (EU) nun die Regelungen harmonisieren und europäische Finanzunternehmen und deren Dienstleister für Informations- und Kommunikationstechnologie (IKT) gegen Cyber-Attacken wappnen. Durch DORA soll sichergestellt werden, dass die Unternehmen über angemessene Sicherheitssysteme verfügen, damit der Betrieb im Fall eines Angriffs reibungslos weiterlaufen kann.

Mit der neuen EU-Verordnung werden die Regelungen zur Cyber-Sicherheit nicht nur unternehmensübergreifend harmonisiert, sondern auch grenzübergreifend. Mitgliedstaaten haben mit der Verabschiedung von DORA keinen Anlass mehr, im Alleingang nationale Vorschriften und Standards zu erlassen.

Vor allem international tätige Finanzunternehmen erhalten dadurch Rechtsklarheit zu Vorschriften für digitale Resilienz. Die Verordnung ist am 16. Januar dieses Jahres in Kraft getreten und wird am 17. Januar 2025 angewendet.

Änderungen auch für IKT-Drittdienstleister

Es ist zu erwarten, dass die Verordnung mehr als 22.000 Unternehmen betreffen wird. Dabei gilt DORA nicht nur für alle auf EU-Ebene regulierten Finanzunternehmen, wie Banken, Kreditinstitute, Ratingagenturen und Anbieter von Krypto-Dienstleistungen, sondern auch für Unternehmen die IKT-bezogene Dienstleistungen für diese Finanzunternehmen erbringen.

Zu diesen IKT-Drittdienstleistern zählen beispielsweise Cloud-Speicheranbieter. Ziel ist es, Cyber-Bedrohungen entlang der gesamten Wertschöpfungskette zu mindern. Denn die Cyber-Sicherheit großer Unternehmen kann auch durch Schwachstellen in den Netzwerken der Dienstleister bedroht sein, wenn Hacker dadurch Zugriff auf sensible Daten erhalten.

Um den Anforderungen von DORA bis zum Januar 2025 nachzukommen, müssen alle betroffenen Unternehmen Sicherheitsmaßnahmen in fünf Bereichen vornehmen:

• im IKT-Risiko-Management,

• in der Berichterstattung über IKT-bezogene Vorfälle,

• im Management des IKT-Drittparteienrisikos,

• in der digitalen operationellen Widerstandsfähigkeit

• und dem Informationsaustausch.

Das IKT-Risiko-Management

DORA verpflichtet Unternehmen dazu, einen umfassenden Rahmen für das IKT-Risiko-Management zu schaffen und diesen zu dokumentieren. Dazu gehört die Entwicklung von geeigneten Plänen, um auf mögliche digitale Störungen vorbereitet zu sein, sowie die Nutzung von IKT-Systemen, die anormale Aktivitäten sofort erkennen.

Berichterstattung über IKT-bezogene Vorfälle

Zukünftig müssen alle IKT-bezogenen Vorfälle unverzüglich an die zuständigen EU-Behörden gemeldet werden. Dazu sollte ein Management-Prozess eingerichtet werden, der Vorfälle überwacht und protokolliert. Das inkludiert Pläne zur Klassifizierung, Bewältigung und Berichterstattung dieser Vorfälle.

Management des IKT-Drittparteienrisikos

Bei vertraglichen Vereinbarungen müssen Finanzunternehmen und IKT-Dienstleister Regelungen zum Abschluss, zur Erfüllung und Beendigung des Arbeitsverhältnisses nachkommen. Außerdem etabliert DORA einen Aufsichtsrahmen für kritische IKT-Dienstleister, die entscheidend zur Betriebsfähigkeit des Finanzsektors beitragen. Diese werden zukünftig durch die European Supervisory Authorities (ESA) überwacht. Eine Liste kritischer IKT-Anbieter wird jährlich veröffentlicht.

Digitale operationelle Widerstandsfähigkeit

Ab sofort sollten Unternehmen Programme implementieren, die regelmäßig die Abwehrbereitschaft und Schwachstellen des IT-Sicherheitssystems testen. Werden bei den Tests Lücken erkannt, müssen umgehend Strategien zur Klassifizierung und Behebung erarbeitet werden. Je nach Größe und Risikoprofil des Unternehmens bestehen verschiedene Anforderungen an diese Tests. So werden für kleinere Unternehmen Standardtests der IKT-Werkzeuge und -Systeme genutzt, für größere Häuser hingegen Tests auf der Grundlage von Threat-Led Penetration Testing (TLPT).

Informationsaustausch

Nicht nur die Unternehmen melden zukünftig IKT-bezogenen Vorfälle, sondern die EU-Aufsichtsbehörden teilen ihrerseits relevante anonymisierte Informationen über Cyber-Risiken. DORA ermöglicht Finanzunternehmen zudem, Vereinbarungen zum Austausch von Informationen über Cyber-Bedrohungen zu treffen. Durch den Informationsaustausch soll das Bewusstsein für IKT-Risiken gestärkt und Methoden zur Erkennung von Bedrohungen optimiert werden.

So werden Unternehmen DORA-konform

Um alle Anforderungen der Verordnung bis 2025 zu erfüllen, sollten Finanzunternehmen und IKT-Dienstleister zunächst umfangreiche Gap-Analysen durchführen. Dabei wird die eigene IT-Sicherheit auf Lücken geprüft. Fallen hier Schwachstellen auf, sollte ein sicheres Netzwerk auf Basis eines stabilen Schwachstellen-Managements und automatisierten Penetrationstests eingerichtet werden.

Schwachstellen-Management-Tools führen regelmäßige, professionelle Scans durch und schlagen Alarm, wenn etwas mit einer Konfiguration nicht stimmt oder Passwörter unsicher sind. Werden Sicherheitslücken bereits mit einem etablierten Schwachstellenmanagement-Prozess kontrolliert, sind im nächsten Schritt Penetrationstests (auch Pentesting genannt) sinnvoll.

Beim Pentesting wird die Vorgehensweise von Hackern imitiert und Exploits werden ausgeführt. Schwachstellen werden also tatsächlich ausgenutzt und es kann ermittelt werden, welcher Schaden daraus entstehen würde. Sicherheitslücken, die auf dem ersten Blick nicht bedrohlich aussehen, können sich nämlich als äußerst kritisch erweisen. Herkömmliche Schwachstellen-Scanner haben nicht die Fähigkeit, dies zu ermitteln.

SIEM-Werkzeuge

Eine weitere Maßnahme zur DORA-Konformität sind sogenannte SIEM-Tools. Das Security Information and Event Management (SIEM) ist eine automatisierte Sicherheitstechnik, welche Daten auf Anomalien prüft – und zwar in Echtzeit. SIEM-Tools sind fester Bestandteil von Security Operation Centers.

Ein SOC besteht aus einem unternehmensinternen oder externen Team von IT-Sicherheitsexperten, die das IT-Netzwerk eines Unternehmens überwachen – rund um die Uhr. So wird sichergestellt, dass Bedrohungen auf Anhieb erkannt werden und der größtmögliche Schaden aufgrund der schnellen Reaktion abgewendet werden kann.

Die Umsetzung von DORA bedeutet für die betroffenen Unternehmen Abstimmungs-, Schulungs- und Implementierungsaufwände. Daher sollten Finanzinstitute und IKT-Dienstleister so früh wie möglich angemessene Sicherheitsmaßnahmen implementieren. Und am Ende bietet sich mit DORA die Chance auf langfristige Cyber-Sicherheit: Denn ein Schaden durch Cyber-Attacken verursacht höhere Kosten als die Investition in Sicherheitsmaßnahmen.

(ID:49621046)