AKTUALISIERUNG: Dieser Beitrag, der ursprünglich auf 24. August 2023 veröffentlicht wurde, wurde aktualisiert, um die aktuellsten verfügbaren Informationen zu den DORA-Vorschriften und der in diesem Monat anstehenden Frist für deren Umsetzung widerzuspiegeln.
Das Gesetz über digitale Betriebsresilienz „ “ (Digital Operational Resilience Act, DORA) ist ein bahnbrechender Rechtsrahmen für die Finanzdienstleistungsbranche , den die Europäische Union (EU) im Jahr 2022 verabschiedet hat. Es trat zwar am 16. Januar 2023 in Kraft, ist jedoch erst seit dem 17. Januar 2025 uneingeschränkt durchsetzbar.
DORA zielt darauf ab, die Widerstandsfähigkeit von Finanzinstituten gegenüber Risiken wie Ransomware, Angriffen auf die Lieferkette und anderen Bedrohungen der Cybersicherheit zu stärken. Die Verordnung schreibt vor, dass Unternehmen des Finanzsektors und ihre Dienstleister im Bereich der Informations- und Kommunikationstechnologie (IKT) ihre Cybersicherheitsmaßnahmen verbessern müssen, insbesondere ihre en, ihre Reaktions en bei Sicherheitsvorfällen sowie ihre Pläne zur Wiederherstellungsfähigkeit.
In diesem Beitrag erfahren Sie alles, was Sie über DORA wissen müssen. Zunächst werden wir den Begriff „DORA“ definieren und erläutern, inwiefern er sich von der Datenschutz-Grundverordnung (DSGVO) unterscheidet. Anschließend werden wir die Vorteile, die wichtigsten Ziele und die verschiedenen Branchen, auf die sich dies auswirkt, untersuchen, einschließlich der konkreten Auswirkungen auf externe IKT-Dienstleister.
Abschließend werden wir allgemeine bewährte Vorgehensweisen zur Gewährleistung der Einhaltung der DORA-Vorschriften vorstellen. Lassen Sie uns nun einen genaueren Blick darauf werfen und die Bedeutung von DORA für die Stärkung der digitalen Widerstandsfähigkeit beleuchten.
Was versteht man unter DORA-Konformität?
Die Einhaltung der DORA-Vorgaben dient der Behebung von Mängeln und der Vermeidung von Störungen durch die Einrichtung solider Risikomanagement-Rahmenwerke und Reaktionspläne für Cyberbedrohungen. Diese Standards sollen sicherstellen, dass die Finanzinstitute der EU die Auswirkungen von Cybersicherheitsvorfällen wirksam bewältigen und abmildern können, indem sie ihre Betriebsresilienz aufrechterhalten und die neuen regulatorischen Anforderungen einhalten – andernfalls müssen sie mit schwerwiegenden Konsequenzen rechnen.
[Lesen Sie auch: Was ist Compliance-Management? Arten und Tipps zur Verbesserung]
Die Strafen für Verstöße gegen das DORA-Gesetz können erheblich sein. Zwar sind Geldbußen oder strafrechtliche Sanktionen nicht in der DORA-Verordnung vorgesehen, doch können einzelne EU-Mitgliedstaaten in ihren nationalen Rechtsvorschriften e Strafen und strafrechtliche Sanktionen vorsehen. Dazu können Geldbußen in Höhe von bis zu 2 % des weltweiten Jahresumsatzes eines Unternehmens oder bis zu 1 Million Euro gehören sowie noch höhere Strafen von bis zu 5 Millionen Euro für kritische IKT-Anbieter von Drittanbietern.
Glücklicherweise bietet die Einhaltung der DORA-Vorgaben erhebliche Vorteile. „Die Einhaltung der DORA-Vorgaben bietet denjenigen, die sich an die darin festgelegten Anforderungen und die zugrunde liegenden Grundsätze halten, erhebliche Vorteile“, sagt Rois Ni Thuama, Leiterin des Bereichs Cyber-Governance beim Sicherheitsanbieter Red Sift. „Die wirtschaftlichen Vorteile sind beträchtlich; sie führen zu einer verbesserten Entscheidungsfindung und vermeiden die Kosten, die mit der Vernachlässigung bekannter Gefahren verbunden sind.“
Nachdem wir nun DORA definiert haben, fragen Sie sich vielleicht: Haben wir nicht erst kürzlich mit der DSGVO etwas Ähnliches erlebt? Lassen Sie uns kurz DORA und die DSGVO miteinander vergleichen, um ihre Gemeinsamkeiten und Unterschiede zu verstehen und zu erkennen, wie jede dieser Verordnungen auf ihre eigene Weise die digitale Widerstandsfähigkeit und den Datenschutz stärkt.
Inwiefern unterscheidet sich DORA von der DSGVO?
Da DORA bestehende Rahmenwerke der „ “ ( ) im Bereich Cybersicherheit nutzt und auf diesen aufbaut, um die operative Widerstandsfähigkeit von Finanzinstituten zu stärken, greift es viele der gleichen Grundsätze aus etablierten Standards wie der DSGVO und dem Cybersicherheits-Rahmenwerk des National Institute of Standards and Technology (NIST) auf, um eine solide Grundlage für seine Anforderungen zu schaffen.
Zwar sind DORA und die DSGVO wichtige EU-Verordnungen, doch unterscheiden sie sich hinsichtlich ihres Schwerpunkts und ihres Geltungsbereichs. Die DSGVO ist umfassender und konzentriert sich auf den Datenschutz und die Privatsphäre für alle Organisationen, die personenbezogene Daten verarbeiten. DORA richtet sich speziell an den Finanzsektor und konzentriert sich auf IKT-Risiken und operative Widerstandsfähigkeit. Die Ziele sind darauf ausgerichtet, sicherzustellen, dass Finanzinstitute allen IKT-bezogenen Störungen und Bedrohungen standhalten, darauf reagieren und sich davon erholen können.
Durch die Konzentration auf diese Kernziele zielt DORA darauf ab, die allgemeine Widerstandsfähigkeit und Sicherheit des Finanzsektors zu stärken.
Was sind die wichtigsten Ziele von DORA?
Das oberste Ziel von DORA besteht darin, durch die Vereinheitlichung der Anforderungen an die operative Widerstandsfähigkeit von Finanzinstituten eine widerstandsfähigere Risikoposition zu gewährleisten und damit ein einheitliches regulatorisches Umfeld in der gesamten EU zu schaffen.
Um dies zu erreichen, sind die DORA-Anforderungen verbindlich und legen einen starken Schwerpunkt darauf, wie Organisationen ein wirksames Risikomanagement, Vorfallmanagement und -berichterstattung sowie Governance-Praktiken umsetzen, darunter:
- Stärkung des Risikomanagements: Finanzinstitute und alle betroffenen Einrichtungen müssen umfassende Strategien zur Bewältigung und Minderung von Risiken entwickeln, einschließlich Cyberbedrohungen und betrieblicher Störungen von Informationssystemen. Zudem müssen sie regelmäßig Risikobewertungen gemäß durchführen, um nachzuweisen, wie sie ihre Risiken wirksam steuern.
- Verbesserung des Vorfallmanagements und der Berichterstattung: Unternehmen müssen über robuste Mechanismen für das Vorfallmanagement und die Berichterstattung verfügen, um Cybersicherheitsvorfälle zu bewältigen und zu melden, sowie über Pläne zur Aufrechterhaltung des Geschäftsbetriebs, einschließlich wichtiger Funktionen, die an Anbieter von Informations- und Kommunikationstechnologiedienstleistungen ausgelagert oder an diese vergeben wurden.
DORA verpflichtet Finanzinstitute zudem, schwerwiegende IKT-bezogene Vorfälle in drei Stufen an die zuständigen Behörden zu melden: eine Erstmeldung innerhalb von 24 Stunden, einen Zwischenbericht innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Diese Berichte müssen Angaben wie die Art des Vorfalls, die betroffenen Bereiche, die Auswirkungen und die Maßnahmen zur Behebung enthalten. Dies gewährleistet eine zeitnahe Kommunikation und ein effektives Störungsmanagement und stärkt damit die allgemeine Betriebsresilienz. - Förderung von Tests zur digitalen Betriebsresilienz: Regelmäßige Tests der digitalen Betriebsresilienz sind vorgeschrieben, um sicherzustellen, dass Systeme und Prozesse Störungen standhalten und sich davon erholen können. Die Durchführung von bedrohungsorientierten Penetrationstests (TLPT) ist ein wesentlicher Bestandteil der Resilienzprüfungen im Rahmen von DORA, da dabei reale Cyberangriffe simuliert werden, um Schwachstellen aufzudecken. Finanzinstitute müssen jährlich unter Hinzuziehung unabhängiger externer Stellen TLPT-Prüfungen an hochwertigen Vermögenswerten durchführen, um technische Kontrollen, organisatorische Prozesse und die Reaktionsfähigkeit bei Vorfällen zu überprüfen.
- Einführung von Governance- und Aufsichtsmechanismen: DORA verpflichtet Finanzinstitute zur Umsetzung strenger Governance- und Aufsichtsverfahren, um ein wirksames Risikomanagement sowie die Einhaltung regulatorischer Standards, Richtlinien und Kontrollmaßnahmen im IT-Bereich sicherzustellen. Gemäß DORA ist das Leitungsgremium von Finanzinstituten dafür verantwortlich, alle Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen festzulegen, zu genehmigen, zu überwachen und umzusetzen. Dazu gehören die Festlegung von Richtlinien zur Wahrung hoher Standards bei der Datensicherheit, die Festlegung klarer Rollen und Zuständigkeiten für IKT-bezogene Funktionen sowie die Gewährleistung einer effektiven Kommunikation und Koordination zwischen diesen Funktionen.
Unternehmen sollten darauf vorbereitet sein, ihren Rahmen sowie ihre internen Governance- und Kontrollrahmen für Cybersicherheit gegenüber den Aufsichtsbehörden offenzulegen, um darzulegen, wie sie IKT-Risiken identifizieren, bewerten, überwachen und steuern.
„Es ist erfreulich, dass der Schwerpunkt auf Resilienz liegt“, sagt Wim Remes, Betriebsleiter beim Sicherheitsunternehmen Spotit. „Diese Vorschriften zielen darauf ab, Unternehmen davon abzubringen, bei der Erfüllung gesetzlicher Vorgaben lediglich die vorgeschriebenen Kriterien abzuhaken“, so Remes, und stattdessen eine ganzheitlichere (und effektivere) Strategie zum Compliance-Risikomanagement zum Schutz der Finanzsysteme zu verfolgen.
Nachdem wir nun die wichtigsten Ziele von DORA beleuchtet haben, wollen wir unseren Fokus auf die Branchen richten, auf die sich DORA auswirkt. Durch die Ermittlung der betroffenen Sektoren können wir den weitreichenden Einfluss und die Bedeutung von DORA für die Stärkung der digitalen Widerstandsfähigkeit in verschiedenen Bereichen besser einschätzen.
Welche Branchen sind von der DORA-Verordnung betroffen?
DORA ist eine weitreichende EU-Verordnung, die Auswirkungen auf Organisationen weltweit hat. Zwar richtet sich die Regelung in erster Linie an den Finanzsektor, doch erstrecken sich ihre Auswirkungen auf eine Vielzahl von Branchen, die mit Finanzdienstleistungen in Verbindung stehen, darunter Banken, Zahlungsdienstleister, E-Geld-Anbieter, Anbieter von Buchhaltungsdienstleistungen, Wertpapierfirmen, Verwaltungsgesellschaften, Handelsunternehmen, Makler, Anbieter von Krypto-Asset-Dienstleistungen, Versicherungsgesellschaften und andere Finanzinstitute.
„Es gibt kein DORA Lite“, erklärt Ni Thuama. Für Unternehmen mit Sitz innerhalb oder außerhalb der EU „sind die Auswirkungen dieselben“.
Darüber hinaus haben die Anforderungen der DORA erhebliche Auswirkungen auf Drittanbieter, die kritische IKT-Dienstleistungen für Finanzunternehmen erbringen. Diese Anforderungen haben erheblichen Einfluss auf ihre Geschäftstätigkeit und ihre Aufgaben, da diese Anbieter eine entscheidende Rolle bei der Unterstützung des Finanzsektors spielen.
Welche Auswirkungen hat DORA auf externe IKT-Dienstleister?
DORA gilt auch für Anbieter von Dienstleistungen im Bereich der Informations- und Kommunikationstechnologie (IKT), darunter Anbieter digitaler und datenbezogener Dienste – Cloud-Anbieter, Anbieter von Datenanalyse- und Rechenzentrumsdiensten, Anbieter von Hardware-Dienstleistungen sowie Anbieter elektronischer Kommunikationsdienste – sowie für Anbieter analoger Telefonanschlüsse.
Im Rahmen von DORA können IKT-Anbieter auf der Grundlage ihrer systemischen Auswirkungen, der Abhängigkeit von Finanzunternehmen von ihnen sowie weiterer Faktoren als „kritisch“ eingestuft werden. Die Europäischen Aufsichtsbehörden (ESAs), zu denen die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA), die Europäische Bankenaufsichtsbehörde (EBA) und die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) gehören, sind für die Einstufung von IKT-Anbietern als solche zuständig.
Kritische externe IKT-Dienstleister müssen sich an ein verschärftes Aufsichtsrahmenwerk halten, das regelmäßige Bewertungen und Audits umfasst, um ihre Fähigkeit zum Risikomanagement und zur Eindämmung von IKT-bezogenen Vorfällen wirksam nachzuweisen.
Finanzunternehmen, die auf die Auslagerung von IKT-Systemen zurückgreifen, müssen jedoch ebenfalls sicherstellen, dass die Anbieter die Anforderungen der DORA erfüllen, indem sie eine gründliche Sorgfaltsprüfung durchführen und die Risiken durch Dritte kontinuierlich überwachen.
Um den vollen Umfang der Verordnung zu erfassen, ist es von entscheidender Bedeutung, zu verstehen, wie sich DORA auf externe IKT-Dienstleister auswirkt. Kommen wir nun zu den allgemeinen Leitlinien dazu, wie diese Anbieter und andere betroffene Einrichtungen vorgehen können, um die Einhaltung der DORA-Anforderungen sicherzustellen.
So halten Sie die DORA-Vorschriften ein
Große Technologieanbieter, wie beispielsweise Google Cloud, haben bereits die erforderlichen Änderungen vorgenommen, um DORA-konform zu werden. So brachten sie beispielsweise Fachexperten aus den Bereichen Risiko und Compliance, Sicherheit, Recht, Regierungsangelegenheiten sowie aus den Produktteams zusammen, um bei Bedarf Compliance-Pläne auszuarbeiten.
Das Google Cloud-Team erklärte zudem: „Diese Pläne bauen auf unserem soliden Fundament in Bereichen wie Sicherheit, Ausfallsicherheit und Risikomanagement durch Dritte auf, das es unseren Kunden aus dem Finanzdienstleistungssektor in der EU bereits ermöglicht, die strengen regulatorischen Anforderungen zu erfüllen.“
„. Diese Vorschriften zielen darauf ab, Unternehmen davon abzubringen, sich bei der Erfüllung gesetzlicher Vorgaben lediglich auf das Abhaken von Checklisten zu beschränken.“Wim Remes, Betriebsleiter bei Spotit
Google hat sich zudem auf seine voraussichtliche Einstufung als Anbieter kritischer Technologien und die damit verbundenen jährlichen Verpflichtungen vorbereitet, indem es Überwachungspläne, Inspektionen, Empfehlungen sowie Kundenberatung zur Meldung von Vorfällen bereitgestellt hat. Das Google-Playbook ist ein hervorragendes Vorbild: Unternehmen sollten zunächst ermitteln, inwieweit ihre Fähigkeiten den Anforderungen von DORA entsprechen, und festgestellte Lücken schließen.
Das Tolle an DORA ist, dass es kein neuartiges Denken erfordert. „Tatsächlich verlangt dies im Wesentlichen, dass Finanzinstitute bewährte Verfahren befolgen“, sagt Ni Thuama.
Ni Thuama empfiehlt Finanzdienstleistungsunternehmen und Technologieanbietern, die die DORA-Vorschriften einhalten müssen, eine Selbstbewertung in den folgenden sechs Bereichen durchzuführen:
- Governance
- Risikomanagement
- Berichterstattung
- Prüfung
- Risiken durch Dritte
- Informationsaustausch
„Sie müssen diese Schlüsselbereiche festlegen, ermitteln, wo sie derzeit in Bezug auf jeden dieser Schlüsselbereiche stehen, und etwaige Lücken schließen, sofern solche bestehen“, rät sie.
Also, wo soll man anfangen? Ni Thuama empfiehlt Unternehmen, das ICT-Risikomanagement-Rahmenwerk der zu prüfen und ihre Testanforderungen zu ermitteln. Sie sagt, Unternehmen sollten „regelmäßige Tests ihrer Tools und Systeme einplanen, um die Bereitschaft zu bewerten und etwaige Schwachstellen, Mängel oder Lücken zu beheben“.
Letztendlich verlangt DORA von den Unternehmen, das zu tun, was sie ohnehin schon tun sollten, bemerkt Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research. Wir sollten davon ausgehen, dass die Aufsichtsbehörden weltweit denselben Schwerpunkt auf die Cyber-Resilienz legen werden. „Es wird auch weiterhin Vorschriften geben, die sicherstellen, dass Unternehmen auf schwerwiegende Cybervorfälle reagieren können, seien es Denial-of-Service-Angriffe oder Ransomware – ganz gleich, in welcher Form diese Vorfälle auftreten“, sagt er.
Tanium unterstützt Unternehmen bei der Einhaltung der DORA-Vorschriften durch umfassende Lösungen, die die digitale Widerstandsfähigkeit stärken. Unsere neueste Erweiterung, „ “ von Tanium Autonomous Endpoint Management (AEM), optimiert zahlreiche Verwaltungsprozesse durch vereinfachte, native KI- und Automatisierungsfunktionen, wodurch der Bedarf an Fachwissen für den Aufbau, die Skalierung und die Wartung einer Automatisierungsbibliothek selbst in den anspruchsvollsten und dynamischsten Umgebungen reduziert wird.
Unsere integrierten Lösungen wurden unter Berücksichtigung von Sicherheitsaspekten entwickelt, um Unternehmen dabei zu unterstützen, sich in der zunehmenden Komplexität der heutigen Bedrohungslandschaft zurechtzufinden. Unsere branchenführenden Echtzeitfunktionen – wie die Integration von Bedrohungsinformationen aus Unternehmen, Communities und Drittanbietern mit sowie Tanium Incident Response und die Nutzung proaktiver Risikobewertungen in und der Tanium Risk & Compliance Management-Lösung – vermitteln ein umfassendes Bild der aktuellen Geschehnisse in der Umgebung. So können Unternehmen ihre Maßnahmen zum Schutz des digitalen Betriebs priorisieren und die strengen Anforderungen von DORA erfüllen.
Mit Tanium können Sie sich sicher durch die Komplexität der Compliance-Anforderungen navigieren und gleichzeitig Ihre Maßnahmen zur schnellen Stärkung Ihrer allgemeinen Cybersicherheitslage vereinfachen. Vereinbaren Sie noch heute eine kostenlose, individuell auf Ihre Umgebung zugeschnittene Demo von Tanium „ “.
