Komplex aber notwendig Auswirkungen von DORA auf euro­päische Finanzinstitute

Anbieter zum Thema

EXXETA AG

FTAPI Software GmbH

Der Digital Operational Resilience Act (DORA) der Europäischen Union ist eine Antwort auf aktuelle Risiken für Finanzinstitute. Aber was sind die Ziele, Merkmale und Auswirkungen von DORA auf Finanzinstitute und welche Beziehung besteht zwischen DORA und der BaFin.

DORA ist der erste einheitliche europäische Rechtsrahmen für die IT-Sicherheit und Betriebsstabilität im Finanzwesen. Solche Regelungen sind für Finanzinstitute wichtiger als je zuvor: Die steigende Abhängigkeit von digitalen Diensten und IT-Dienstleistern hat die Risiken digitaler Störungen und Angriffe vervielfacht. Durch DORA sollen nun EU-weit Finanzinstitute dazu verpflichtet werden, zeitgemäße Vorkehrungen, Risikoeinwertungen und Prozesse zum Schutz gegen digitale Bedrohungen zu treffen, um ihre operative Resilienz zu stärken.

Ziele und Merkmale von DORA

Die DORA-Verordnung bündelt bereits vorhandene Regelungen wie etwa der BAIT, KAIT, VAIT und ZAIT, geht jedoch vom Regelungsinhalt deutlich weiterund beinhaltet sowohl Bestimmungen zur Governance & Organisation, zum IKT-Risikomanagement, Incident Reporting, Digital Resilience Testing, als auch zum Management von IKT-Drittanbieterrisiken.

So sollen EU-weit einheitliche und strengere Anforderungen in Bezug auf die Cybersicherheit, Informationssicherheit, Betriebskontinuität und das Risikomanagement innerhalb der Finanzbranche etabliert werden.

Dies bedeutet konkret:

• Finanzinstitute müssen ihr IKT-Risikomanagement optimieren: Finanzinstitute müssen ein robustes Management für Informations- und Kommunikationstechnologie (IKT)-Risiken vorweisen. Dazu gehören u. a. Strategien, Richtlinien und Verfahren zum Identifizieren, Klassifizieren, Bewerten, Überwachen und Reduzieren von IKT-Risiken.

• Verpflichtende Incident Reportings für Finanzinstitute: Durch DORA soll auch die Transparenz steigen: Bei erheblichen IKT-bezogenen Vorfällen ist durch DORA eine zeitnahe und umfassende Meldung vorgeschrieben. Sie legt genaue Anforderungen und Fristen für solche Berichte fest.

• Digital Resilience Testing ist Pflicht für Finanzinstitute: DORA schreibt zudem vor, dass Finanzinstitute regelmäßige – systemrelevante Institute mindestens alle 3 Jahre – erweiterte Penetrationstests (Threat-Led-Penetration-Test, kurz TLPT) durchführen müssen sowie ein Programm für Tests der digitalen Resilienz zu etablieren und zu pflegen haben. Das Testen ist ein Instrument für Finanzinstitute, um zu prüfen, ob sie das Ziel der digitalen operationalen Resilienz erreichen würden. So sollen potenzielle Schwachstellen identifiziert und Gegenmaßnahmen erarbeitet werden. Grundlage hierfür ist das Tiber-EU-Rahmenwerk. Darüber hinaus definiert DORA die Anforderungen an die Testenden, die diese Penetrationstests durchführen dürfen. Diese müssen zukünftig eine Zertifizierung nachweisen. Des Weiteren ist vorgeschrieben, dass auch in bestimmten Abständen externe Dritte für solche Testings hinzuzuziehen sind.

• Finanzinstitute brauchen ein effektives Management von IKT-Drittanbieterrisiken: Unter DORA ist eine effektive Steuerung und Überwachung von IKT-Drittanbietern Pflicht. Die sehr weitreichenden Anforderungen an die Due Diligence bzgl. IKT-Dienstleistungen zur Unterstützung von kritischen oder wesentlichen Funktionen enthalten zusätzlich eine Risikobewertung von Sub-Dienstleistern. Die Informationsbeschaffung der Lieferkette dürfte sich teilweise als sehr schwierig gestalten. An dieser Stelle ist es unerlässlich, die Konsultation des technischen Regulierungsstandards (RTS) zum Subcontracting weiterhin genau zu verfolgen.

Auswirkungen der DORA-Anforderungen

Zusätzlich zu den bereits regulierten Finanzinstituten erweitert die DORA-Verordnung den Kreis der Verpflichteten erheblich, so z. B. um Buchhaltungsdienstleister, Kreditrating-Agenturen, Bonitätsprüfern und Crowdfunding-Plattformen. Darüber hinaus fallen unter die Verordnung auch Anbieter von Informations- und Kommunikationstechnologien, sofern sie eine marktbeherrschende Stellung in einem der aufgeführten Bereiche haben, beispielsweise Entwickler großer Banking-Apps oder Cloud-Diensten und Rechenzentren. Gerade die Unternehmen, die bisher nicht unter der Aufsicht der BaFin standen, sollten zeitnah überprüfen, ob sie den Anforderungen der DORA unterliegen und entsprechende Vorkehrungen treffen müssen.

DORA wird die Geschäftspraktiken und das Risikomanagement von Finanzinstituten maßgeblich beeinflussen. Sie erfordert die Anpassung und Erweiterung von Sicherheits- und Resilienzstrategien, bietet jedoch auch die Chance, durch eine starke digitale Resilienz die angebotenen Online-Dienstleistungen für Kunden und Kundinnen attraktiver zu machen und sich so im Wettbewerb klar zu positionieren. Durch die Verordnung müssen alle Verpflichtete eine entsprechende Resilienzstrategie implementieren und ihre aktuellen Prozesse dahingehend (über)prüfen und entsprechend anpassen bzw. erweitern.

Mit der Einführung von DORA geht auch die Implementierung von technischen Regulierungs- und Durchführungsstandards (RTS & ITS) einher. Diese Standards sollen als detaillierter Anforderungskatalog fungieren und geben Hilfestellungen für die Umsetzung der Anforderungen nach DORA. Hierdurch soll ein einheitlicher europaweiter Implementierungsstandard sichergestellt werden.

Doch was bedeutet das konkret? Technische Regulierungsstandards (RTS) sind bindende technische Rahmenstandards, die jedoch einen stärkeren Fokus auf die regulatorischen Aspekte haben. Die RTS, die unter DORA erstellt werden, enthalten ausführliche Vorgaben zur Anwendung der DORA-Anforderungen, beispielsweise zu Cybersicherheit, operativer Widerstandsfähigkeit oder IKT-Drittanbietermanagement.

Technische Implementierungsstandards (ITS) sind ebenfalls technische Standards, die von den zuständigen Aufsichtsbehörden erstellt werden, um die praktische Anwendung der regulatorischen Vorschriften zu vereinfachen. Die ITS-spezifischen Anforderungen durch DORA spezifizieren Aspekte wie z.B. zu IKT-Risikomanagement-Prozessen, der Durchführung von digitalen Belastungstests oder zur Meldepflicht für IKT-bezogene Vorfälle sowie Hinweise zur Ausgestaltung eines Informationsregisters.

Die Bedeutung von RTS und ITS

Die Konkretisierungen der DORA durch die RTS und ITS spielen eine entscheidende Rolle bei der Auslegung und Umsetzung der Anforderungen. Sie stellen eine konkrete und detaillierte Anleitung bereit, die den betroffenen Organisationen helfen soll, ihre IKT-Prozesse und -Systeme in Einklang mit den Anforderungen von DORA zu bringen und somit die Compliance zu gewährleisten. Es ist wichtig, dass Institute die relevanten RTS und ITS frühzeitig im Fokus haben und deren Änderungen sehr detailliert beobachten und in ihre Implementierungsstrategien berücksichtigen und einbeziehen.

Insgesamt tragen die RTS und ITS dazu bei, ein hohes Niveau an digitaler Widerstandsfähigkeit zu erreichen und dauerhaft aufrechtzuerhalten. Sie unterstützen sowohl die Finanzinstitute selbst als auch die Aufsichtsbehörden dabei, ihre jeweiligen Rollen im Rahmen von DORA effektiv wahrzunehmen. Diese Standards werden sorgfältig entwickelt und kontinuierlich aktualisiert, um den sich ständig weiterentwickelnden IKT-Risiken Rechnung zu tragen. Dies bedeutet aber auch, dass Finanzinstitute einen erheblichen Mehraufwand in der regelmäßigen operativen Umsetzung haben werden.

Anforderungen an Verschlüsselungen

DORA legt ebenfalls klare Richtlinien für die Verschlüsselung und kryptographische Steuerung von gespeicherten Daten und zur Übertragung von Informationen fest und berücksichtigt dabei die Ergebnisse der genehmigten Datenklassifizierung. Besonders zentral wird die Notwendigkeit der Verschlüsselung von Daten während ihrer Nutzung. Sollte eine Verschlüsselung während der Nutzung nicht möglich sein, werden Finanzinstitute verpflichtet, diese Daten in einer separaten und geschützten Umgebung zu verarbeiten. Ergänzt wird diese Vorgabe durch das Festlegen umfassender Richtlinien für das Management kryptografischer Schlüssel über ihren gesamten Lebenszyklus hinweg – von dem Generieren bis zum Vernichten. Diese Maßnahmen gewährleisten, dass Finanzinstitute effektive Sicherheitspraktiken implementieren, um die Vertraulichkeit und Integrität sensibler Daten zu gewährleisten und gleichzeitig den Anforderungen von DORA gerecht zu werden.

Winning-Team für mehr Verbraucher-Sicherheit: BaFin und DORA

Ziel von DORA ist es, den Finanzsektor digital sicherer zu machen. Dabei unterstützt auch die BaFin. Ein wichtiges Instrument der BaFin, um eine einheitliche Aufsicht von Finanzinstituten sicherzustellen, sind ihre Rundschreiben und Merkblätter. In diesen veröffentlicht die BaFin Verwaltungsvorschriften, mit denen sich Mitarbeitende von Finanzinstituten auf die Vorgaben einstellen und deren Anforderungen umsetzen können.

Da sich die DORA-Verordnung auf eine umfangreiche Gruppe von Finanzinstituten wie Banken, Versicherungs­unternehmen, Kapital­verwaltungs­gesellschaften oder Anbieter elektronischer Zahlungssysteme auswirkt, ist es wichtig, alle Akteure bei der Umsetzung zu unterstützen und ihnen aktuelle Informationen gesammelt anzubieten. Deutschland verfügt bereits jetzt über strikte IT- und Cybersicherheitsvorschriften, die bereits durch mehrere BaFin-Rundschreiben (BAIT, VAIT, ZAIT, KAIT, gesamthaft XAIT genannt) konkretisiert wurden. Insbesondere die in 2021 novellierte BAIT hat einige jetzige Elemente der DORA bereits aufgegriffen. Unternehmen, die diese Rundschreiben bereits vollständig umgesetzt haben, sind grundsätzlich gut aufgestellt. Jedoch hat die BaFin Ende Mai in Ihrem Anschreiben zur Endfassung der überarbeiteten MaRisk angekündigt, dass sie die BAIT zukünftig zur Vermeidung von Doppelregulierungen aufheben werden. Daher ist diese Entscheidung der BaFin zu begrüßen. Grundsätzlich sind jedoch – da die Anforderungen der DORA deutlich über die der gängigen Rundschreiben hinausgehen – bedeutende Investitionen finanzieller und personeller Art erforderlich, um beispielsweise Technologien zu überprüfen und zu aktualisieren sowie für die Schulung von Personal und die mögliche Einstellung neuer Spezialisten, die aktuell sehr schwer zu finden sind.

Auf den ersten Blick komplex, aber notwendig: Die Einführung von DORA

DORA ist ein wichtiger Schritt, um die digitale Widerstandsfähigkeit der europäischen Finanzinfrastruktur zu stärken und ein solches europäisch harmonisiertes Rahmenwerk ist gerade im Zuge der wachsenden Bedrohungen durch Cyber-Attacken und der wachsenden Anzahl an internationalen Transaktionen überfällig geworden. Auch wenn die Umsetzung von DORA erhebliche Aufwände verursacht: Finanzinstitute müssen die Vorschriften von DORA umsetzen und das kommt ihnen bei ihrer operativen Widerstandsfähigkeit sowie Sicherheit zugute – und somit allen ihren Kundinnen und Kunden.

Über den Autor: Almir Dumisic ist Senior Consultant Anti-Financial-Crime & IT-Compliance bei Exxeta. Dort berät er führende Banken, Investmentgesellschaften und andere Finanzdienstleister zu Themen wie Geschäftsanalyse, Entwicklung und Erstellung technischer Konzepte bis hin zur Implementierung der Lösungen.

(ID:50147733)