REGULIERUNG DIGITAL
REGULIERUNG DIGITAL OPERATIONAL RESILIENCE ACT NACHHALTIG UMSETZEN DORA-Richtlinie: So werden digitale Systeme stabil Im Fokus steht der Digital Operational Resilience Act, kurz DORA, der am 17. Januar 2023 in Kraft getreten ist. 24 Monate später erfolgt die Anwendung, das heißt, spätestens ab Januar 2025 müssen Finanzinstitute und IKT-Drittanbieter die neuen Anforderungen zur Betriebsstabilität digitaler Systeme erfüllen. Was gilt es zu berücksichtigen? Und vor allem, wie kann man die Vorgaben erfolgreich und pragmatisch im eigenen Unternehmen umsetzen? In diesem Artikel schildert der Autor den Weg zu einer nachhaltigen DORA-Compliance. 38 05 | 2023
REGULIERUNG Cyber-Gefahren führen bereits mehrere Jahre in Folge die Rangliste der Unternehmensrisiken an. Dabei ist der Finanzsektor für Cyber-Kriminelle besonders attraktiv. Laut einer Studie der Boston Consulting Group aus dem Jahr 2019 wurden Banken 300 mal häufiger angegriffen als Unternehmen anderer Branchen. Außerdem nehmen die Angriffe deutlich zu und werden immer „intelligenter“. Berücksichtigt man zudem, dass laut aktuellem Report des IT-Sicherheitsspezialisten Trend Micro Finanzinstitute am häufigsten Lösegeld an Cyber-Erpresser bezahlen, ergibt sich ein eindeutiges Bild: Die Finanzbranche hat ein besonders hohes Cyber-Risiko – und damit eine besonders hohe Verpflichtung, sich dieser zu stellen, mit guter Vorbereitung, umfassenden Konzepten, intelligenter technischer Unterstützung und schlagkräftigen Teams. Mit der im Januar in Kraft getretenen DORA-Richtlinie (Digital Operational Resilience Act) schafft die EU länderübergreifende Vorgaben für den Schutz der Finanz-IT-Landschaft und vereinheitlicht das bestehende europäische und nationale Regelwerk. DORA – worum geht es? Mit dem Inkrafttreten der DORA-Richtlinie müssen alle Finanzdienstleister nachweisen, dass ihre Organisation ebenen- und bereichsübergreifend unterschiedlichsten IKT-Krisen gewachsen ist und die Betriebsstabilität digitaler Systeme jederzeit sichergestellt ist. Damit rücken die Fähigkeit zur Abwehr von Cyber-Gefahren sowie die Handlungsfähigkeit im Ernstfall in den Fokus. Abhängig von der Unternehmensgröße und den Risiken aus dem Geschäftsmodell sowie dem Reifegrad der digitalen operationalen Resilienz des jeweiligen Finanzunternehmens wird es erforderlich sein, verschiedene Fähigkeiten im Risikomanagement zu stärken oder evtl. neu zu erwerben, unter Berücksichtigung der Verhältnismäßigkeit. Konkret müssen Organisationen sicherstellen, dass sie: 05 | 2023 39
