AKTUALISIERUNG: Dieser Beitrag, der ursprünglich am veröffentlicht wurde 24. August 2023, wurde aktualisiert, um die aktuellsten verfügbaren Informationen über DORA-Vorschriften und die bevorstehende Durchsetzungsfrist diesen Monat widerzuspiegeln.
Der Digital Operational Resilience Act, oder DORA, ist ein bahnbrechender regulatorischer Rahmen für die Finanzdienstleistungsbranche , den die Europäische Union (E.U.) 2022 verabschiedete. Während er am in Kraft trat 16. Januar 2023, wurde er am vollständig durchsetzbar 17. Januar 2025.
DORA zielt darauf ab, die Widerstandsfähigkeit von Finanzinstituten gegen Risiken wie Ransomware, Lieferkettenangriffe und andere Cybersicherheitsbedrohungen zu verbessern. Die Vorschrift sieht vor, dass Finanzsektorunternehmen und ihre Informations- und Kommunikationstechnologie (ICT)-Dienstleister ihre Cybersicherheitspraktiken verbessern, insbesondere ihre Vorfallreaktions - und Ausfallsicherheitspläne.
Dieser Beitrag behandelt alles, was Sie über DORA wissen müssen. Wir beginnen mit der Definition von DORA und erläutern, wie sie sich von der Datenschutz-Grundverordnung (DSGVO) unterscheidet. Anschließend untersuchen wir die Vorteile, wichtigsten Ziele und die verschiedenen Branchen, auf die sie sich auswirken, einschließlich der spezifischen Auswirkungen auf Drittanbieter von ICT.
Abschließend stellen wir hochwertige Best Practices zur Verfügung, um die Einhaltung von DORA sicherzustellen. Lassen Sie uns die Bedeutung von DORA für die Verbesserung der digitalen Resilienz untersuchen und aufdecken.
Was ist DORA-Compliance?
DORA Compliance beseitigt Mängel und verhindert Störungen durch die Einrichtung robuster Risikomanagement-Frameworks und Reaktionspläne für Cyberbedrohungen. Diese Standards sollen sicherstellen, dass die Finanzinstitute der EU die Auswirkungen von Cybersicherheitsereignissen effektiv verwalten und mindern können, indem sie die betriebliche Belastbarkeit und Einhaltung der neuen regulatorischen Anforderungen aufrechterhalten – oder ernsthaften Auswirkungen ausgesetzt sind.
[Auch lesen: Was ist Compliance Management? Arten und Verbesserungstipps]
Strafen für DORA-Verstöße können steil sein. Während Geldbußen oder strafrechtliche Sanktionen nicht in der DORA-Verordnung enthalten sind, können einzelne EU-Staaten in ihren nationalen Gesetzen Strafen und strafrechtliche Sanktionen verhängen. Diese können Geldbußen von bis zu 2 % des gesamten weltweiten Jahresumsatzes eines Unternehmens oder bis zu 1 Million Euro und sogar steilere Strafen von bis zu 5 Millionen für kritische Drittanbieter von ICT beinhalten.
Glücklicherweise hat die Einhaltung von DORA erhebliche Vorteile. „Die Einhaltung von DORA bietet erheblichen Nutzen für diejenigen, die seine expliziten Anforderungen und zugrunde liegenden Prinzipien einhalten“, sagt Rois Ni Thuama, Leiter der Cyber Governance beim Sicherheitsanbieter Red Sift. „Die wirtschaftlichen Vorteile sind erheblich, was zu einer verbesserten Entscheidungsfindung führt und die Kosten vermeidet, die mit der Vernachlässigung bekannter Bedrohungen verbunden sind.“
Nachdem wir jetzt DORA definiert haben, fragen Sie sich vielleicht, ob wir so etwas nicht bereits kürzlich mit der DSGVO erlebt haben? Lassen Sie uns kurz DORA und DSGVO vergleichen, um ihre Ähnlichkeiten und Unterschiede zu verstehen und zu sehen, wie jede Vorschrift die digitale Resilienz und den Datenschutz auf einzigartige Weise verbessert.
Wie schneidet DORA im Vergleich zur DSGVO ab?
Da DORA bestehende Cybersicherheits-Frameworks nutzt und darauf aufbaut, um die operative Belastbarkeit von Finanzinstituten zu verbessern, enthält es viele der gleichen Prinzipien aus etablierten Standards wie DSGVO und dem Cybersicherheits-Framework des National Institute of Standards and Technology (NIST), um eine solide Grundlage für seine Anforderungen zu schaffen.
Während DORA und DSGVO jedoch wichtige EU-Vorschriften sind, unterscheiden sie sich in Fokus und Umfang. Die DSGVO ist breiter gefasst und konzentriert sich auf den Datenschutz und die Privatsphäre aller Organisationen, die mit personenbezogenen Daten umgehen. DORA richtet sich speziell an den Finanzsektor und konzentriert sich auf ICT-Risiken und operative Belastbarkeit, mit Zielen, die sicherstellen sollen, dass Finanzunternehmen allen ICT-bedingten Störungen und Bedrohungen standhalten, darauf reagieren und sich davon erholen können.
Durch die Fokussierung auf diese Kernziele zielt DORA darauf ab, die allgemeine Belastbarkeit und Sicherheit des Finanzsektors zu verbessern.
Was sind die wichtigsten Ziele von DORA?
Das letztendliche Ziel von DORA ist es, eine widerstandsfähigere Risikohaltung zu gewährleisten, indem die betrieblichen Resilienzanforderungen für Finanzinstitute standardisiert und eine einheitliche regulatorische Landschaft in der gesamten EU geschaffen werden.
Um dies zu erreichen, sind die DORA-Anforderungen präskriptiv und konzentrieren sich stark darauf, wie Organisationen effektive Risikomanagement-, Vorfallmanagement- und Berichterstattungs- und Governance-Praktiken implementieren, einschließlich:
- Stärkung des Risikomanagements: Finanzinstitute und alle betroffenen Unternehmen müssen umfassende Strategien zur Bewältigung und Minderung von Risiken, einschließlich Cyberbedrohungen und Betriebsstörungen von Informationssystemen, festlegen. Sie müssen auch regelmäßigeRisikobewertungen durchführen, um zu zeigen, wie sie ihre Risiken effektiv verwalten.
- Verbesserung des Vorfallmanagements und der Berichterstattung: Organisationen müssen über solide Vorfallmanagement- und Berichtsmechanismen verfügen, um Cybersicherheitsvorfälle und Geschäftskontinuitätspläne für ihren Betrieb zu handhaben und zu melden, einschließlich wichtiger Funktionen, die über Informations- und Kommunikationstechnologiedienstleister ausgelagert oder beauftragt wurden.
DORA verlangt auch von Finanzunternehmen, dass sie große ICT-bezogene Vorfälle in drei Phasen an die zuständigen Behörden melden: Erstmeldung innerhalb von 24 Stunden, Zwischenbericht innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Diese Berichte müssen Details wie die Art des Vorfalls, betroffene Bereiche, Auswirkungen und Lösungsmaßnahmen enthalten. Dies gewährleistet eine zeitnahe Kommunikation und ein effektives Vorfallmanagement und verbessert die allgemeine betriebliche Belastbarkeit. - Förderung digitaler betrieblicher Resilienztests: Regelmäßige Tests der digitalen operativen Resilienz sind vorgeschrieben, um sicherzustellen, dass Systeme und Prozesse Störungen standhalten und sich von Störungen erholen können. Die Durchführung von Threat-Led Penetration Testing (TLPT) ist ein wichtiger Bestandteil von Resilienztests in DORA, da sie reale Cyberangriffe simuliert, um Schwachstellen zu identifizieren. Finanzunternehmen müssen TLPT für hochwertige Vermögenswerte durchführen, um technische Kontrollen, organisatorische Prozesse und Vorfallreaktionsfähigkeiten jährlich unter Verwendung unabhängiger externer Unternehmen zu testen.
- Festlegung von Governance und Aufsicht: DORA verlangt von Finanzunternehmen, starke Governance- und Aufsichtspraktiken zu implementieren, um ein effektives Risikomanagement und die IT-Compliance mit regulatorischen Standards, Richtlinien und Kontrollen sicherzustellen. Gemäß DORA ist das Managementgremium der Finanzeinheiten für die Definition, Genehmigung, Überwachung und Umsetzung aller Vereinbarungen im Zusammenhang mit dem ICT-Risikomanagementrahmen verantwortlich, einschließlich der Festlegung von Richtlinien zur Aufrechterhaltung hoher Datensicherheitsstandards, der Festlegung klarer Rollen und Verantwortlichkeiten für ICT-bezogene Funktionen und der Sicherstellung einer effektiven Kommunikation und Koordination zwischen diesen Funktionen.
Firmen sollten darauf vorbereitet sein, ihr Rahmenwerk und interne Cybersicherheits-Governance- und Kontrollrahmen mit Regulierungsbehörden zu teilen, um zu zeigen, wie sie ICT-Risiken identifizieren, bewerten, überwachen und verwalten.
„Es ist gut, einen Fokus auf Resilienz zu sehen“, sagt Wim Remes, Operations Manager bei der Sicherheitsfirma Spotit. „Dieses Regelwerk zielt darauf ab, Unternehmen von der einfachen Ankreuzung der Kästchen in Bezug auf regulatorische Mandate zu einer ganzheitlicheren (und effektiveren) Compliance-Risikomanagementstrategie zum Schutz von Finanzsystemen zu bewegen“, sagt Remes.
Nachdem wir nun die wichtigsten Ziele von DORA untersucht haben, lassen Sie uns unseren Fokus auf die Branchen verlagern, auf die er sich auswirkt. Indem wir die betroffenen Sektoren identifizieren, können wir den umfangreichen Einfluss und die Bedeutung von DORA bei der Verbesserung der digitalen Resilienz in verschiedenen Bereichen besser erkennen.
Welche Branchen sind von der DORA-Verordnung betroffen?
DORA ist eine weitreichende EU-Verordnung, die Organisationen weltweit betrifft. Während es sich hauptsächlich auf den Finanzsektor konzentriert, erstreckt sich seine Wirkung auf eine Vielzahl von Branchen, die mit Finanzdienstleistungen verbunden sind, darunter Banken, Zahlungsanbieter, Anbieter elektronischer Gelder, Anbieter von Buchhaltungsinformationen, Investmentfirmen, Verwaltungsgesellschaften, Handelsgesellschaften, Broker, Krypto-Asset-Dienstleister, Versicherungsgesellschaften und andere Finanzinstitute.
„Es gibt keine DORA lite“, erklärt Ni Thuama. Für Unternehmen mit Sitz innerhalb oder außerhalb der EU ist „die Auswirkung gleich“.
Darüber hinaus haben die Anforderungen von DORA erhebliche Auswirkungen auf externe Dienstleister, die kritische ICT-Dienste für Finanzunternehmen anbieten. Diese Anforderungen beeinflussen ihre Betriebsabläufe und Verantwortlichkeiten stark, da diese Anbieter eine wichtige Rolle bei der Unterstützung des Finanzsektors spielen.
Wie wirkt sich DORA auf Drittanbieter von ICT aus?
DORA deckt auch Anbieter von Informations- und Kommunikationstechnologie oder ICT-Dienstleistungen ab, einschließlich Anbieter digitaler und Datendienste – Cloud-Anbieter, Datenanalyse- und Rechenzentrumsdiensteanbieter, Hardwaredienstanbieter und Anbieter elektronischer Kommunikationsdienste – sowie Anbieter von analogen Telefonleitungen.
Im Rahmen von DORA können ICT-Anbieter basierend auf ihren systemischen Auswirkungen, den Abhängigkeiten von Finanzunternehmen und anderen Faktoren als „kritisch“ bezeichnet werden. Die Europäischen Aufsichtsbehörden (ESAs), zu denen die Europäische Versicherungs- und Arbeitsrentenbehörde (EIOPA), die Europäische Bankenbehörde (EBA) und die Europäische Wertpapier- und Marktbehörde (ESMA) gehören, sind für die Ernennung von ICT-Anbietern als solche verantwortlich.
Kritische Drittanbieter von ICT-Diensten müssen ein verbessertes Aufsichtsrahmenwerk einhalten, einschließlich regelmäßiger Bewertungen und Audits, um ihre Fähigkeit effektiv zu demonstrieren, Risiken zu verwalten und ICT-bezogene Vorfälle zu mindern.
Finanzunternehmen, die sich auf die Auslagerung von ICT-Systemen verlassen, müssen jedoch auch sicherstellen, dass die Anbieter die Anforderungen von DORA erfüllen, indem sie eine gründliche Due Diligence durchführen und kontinuierlich auf Risiken Dritter überwachen.
Das Verständnis, wie DORA sich auf ICT-Drittdienstleister auswirkt, ist entscheidend, um den gesamten Umfang der Vorschrift zu erfassen. Gehen wir weiter zu einer übergeordneten Anleitung, wie diese Anbieter und andere betroffene Einheiten arbeiten können, um die Einhaltung der Anforderungen von DORA sicherzustellen.
Wie Sie DORA einhalten
Große Technologieanbieter wie Google Cloud haben bereits die notwendigen Änderungen vorgenommen, um DORA-konform zu werden. Beispielsweise haben sie Fachexperten aus den Bereichen Risiko und Compliance, Sicherheit, Recht, Regierungsangelegenheiten und Produktteams zusammengebracht, um bei Bedarf Compliance-Pläne zu erstellen.
Das Google Cloud-Team erklärte auch: „Diese Pläne bauen auf unserer starken Grundlage in Bereichen wie Sicherheit, Resilienz und Risikomanagement von Drittanbietern auf, die es unseren E.U.- Finanzdienstleistungskunden bereits ermöglichen, ihre strengen regulatorischen Erwartungen zu erfüllen.“
„Dieses Regelwerk zielt darauf ab, Unternehmen davon abzuhalten, einfach nur die Kästchen in Bezug auf regulatorische Vorschriften zu markieren.“Wim Remes, Betriebsleiter, Spotit
Google bereitete sich auch auf seine wahrscheinliche Ernennung als kritischer Technologieanbieter und die jährlichen Engagements vor, die erforderlich sind, indem es Aufsichtspläne, Inspektionen, Empfehlungen und Kundenberatung zur Meldung von Vorfällen bereitstellte. Das Google Playbook ist ein hervorragendes Handbuch: Unternehmen sollten ermitteln, wo ihre Fähigkeiten im Hinblick auf die Anforderungen von DORA vorhanden sind, und alle identifizierten Lücken schließen.
Das Tolle an DORA ist, dass es kein neuartiges Denken erfordert. „Tatsächlich erfordert es im Wesentlichen, dass Finanzunternehmen Best Practices befolgen“, sagt Ni Thuama.
Ni Thuama berät Finanzdienstleister und Technologieanbieter, die DORA einhalten müssen, um sich in diesen sechs Bereichen selbst zu bewerten:
- Governance
- Risikomanagement
- Berichterstellung
- Testen
- Risiko Dritter
- Informationsweitergabe
„Sie müssen diese Schlüsselbereiche darstellen, bestimmen, wo sie sich heute in Bezug auf jeden dieser Schlüsselbereiche befinden, und diese Lücken schließen, wenn es Lücken gibt“, rät sie.
Also, wo soll ich anfangen? Ni Thuama empfiehlt, dass Unternehmen dasICT Risk Management Framework überprüfen und ihre Testanforderungen identifizieren. Sie sagt, Unternehmen sollten „regelmäßige Tests von Tools und Systemen planen, um die Bereitschaft zu bewerten und Schwächen, Mängel oder Lücken zu beheben.“
Letztendlich verlangt DORA von Unternehmen, das zu tun, was sie bereits tun sollten, so Scott Crawford, Forschungsleiter für Informationssicherheit bei 451 Research. Wir sollten von den Regulierungsbehörden überall den gleichen Fokus auf Cyber-Resilienz erwarten. „Sie werden weiterhin Vorschriften sehen, die sicherstellen, dass Unternehmen auf bedeutende Cyber-Ereignisse reagieren können, egal ob es sich um Denial-of-Service-Angriffe oder Ransomware handelt – unabhängig davon, welche Form diese Ereignisse annehmen“, sagt er.
Tanium unterstützt Organisationen, die DORA-Vorschriften einhalten, indem es umfassende Lösungen bereitstellt, die die digitale Resilienz verbessern. Unsere neueste Verbesserung, Tanium Autonomous Endpoint Management (AEM), optimiert viele Verwaltungsprozesse mithilfe vereinfachter, nativer KI- und Automatisierungsfunktionen, um den Bedarf an qualifiziertem Fachwissen zu reduzieren, um eine Automatisierungsbibliothek selbst in den schwierigsten und dynamischsten Umgebungen zu erstellen, zu skalieren und zu pflegen.
Unsere integrierten Lösungen wurden unter Berücksichtigung der Sicherheit entwickelt, um Unternehmen dabei zu helfen, die wachsende Komplexität der heutigen Bedrohungslandschaft zu bewältigen. Unsere branchenführende, Echtzeitfunktionen wie die Integration von Organisationen, Community, und Bedrohungsinformationen von Drittanbietern mitTanium Incident Response und Nutzung proaktiver Risikobewertungen in derTanium Risk & Compliance Management-Lösung erzählen die Geschichte darüber, was derzeit in der Umgebung passiert, sodass Unternehmen ihre Bemühungen priorisieren können, digitale Abläufe zu schützen und die strengen Anforderungen von DORA zu erfüllen.
Mit Tanium können Sie die Komplexitäten der Compliance sicher bewältigen und gleichzeitig Ihre Bemühungen vereinfachen, Ihre allgemeine Cybersicherheitslage schnell zu stärken. Planen Sie noch heute eine kostenlose, angepasste Demo von Tanium in Ihrer Umgebung.
