Der Digital Operational Resilience Act (DORA) wurde von der Europäischen Union im Jahr 2022 verabschiedet. Ziel des Gesetzes ist es, grundlegende Lücken innerhalb der bereits bestehenden Vorgaben für den Banken- und Finanzdienstleistungssektor zu schließen. Insbesondere in Bezug auf die operationelle Resilienz. Bislang waren Banken und Finanzdienstleister zwar dafür verantwortlich, andere Arten von operationellen Risiken zu senken, nicht aber für solche in Zusammenhang mit der Informations- und Kommunikationstechnologie (IKT). DORA umreißt unterschiedliche Regeln zum Schutz, zur Erkennung, Eindämmung, Wiederherstellung und Behebung von IKT-bezogenen Vorfällen.
Für die betroffenen Organisationen – alle in der EU tätigen Finanzinstitute – gilt es, die DORA-Vorgaben zu erfüllen und über die Zeit aufrechterhalten. Die Branche sollte ein grundlegendes Verständnis dafür entwickeln, worum es in diesem Gesetz genau geht, welche Anforderungen im Einzelnen damit verbunden sind und wie man sie am besten umsetzt.
DORA – Die wichtigsten Punkte auf einen Blick
Ähnlich wie andere auf Cybersicherheit ausgerichtete Vorgaben, etwa die DSGVO und NIS2, zielt auch DORA darauf ab, bestimmte Vorgaben zu standardisieren und zu kodifizieren. Der Vorschlag erweitert die bestehenden Vorschriften (wie MaRisk/MaGo/KAMaRisk, BAIT/ VAIT/ KAIT usw.) und legt einen besonderen Schwerpunkt auf die Anforderungen in Bezug auf Cybersicherheit und andere digitale Risiken.
Die bislang geltenden Vorschriften hatten sich als unzureichend erwiesen, weil konkrete Richtlinien für die IKT-Sicherheit fehlten. Dazu kommen unterschiedliche Sicherheitsvorschriften für den Finanzsektor in verschiedenen Mitgliedsstaaten. Es fehlte also eine EU-weite Standardisierung. DORA wurde ins Leben gerufen, um die Vorgaben für IKT-Sicherheit zu konkretisieren und zu vereinheitlichen. Zu den Schlüsselelementen gehören die Harmonisierung der Vorschriften für das Risikomanagement der Informations- und Kommunikationstechnologie (IKT), die Meldung von Sicherheitsvorfällen, Tests und Prüfungen sowie die Berichterstattung und das Management von IT-Drittanbietern.
Der ursprünglich lediglich 20-seitige Vorentwurf wurde in den technischen Regulierungsstandards (RTS) und den technischen Durchführungsstandards (ITS) von DORA im Hinblick auf detaillierte und konkrete Anforderungen erweitert. RTS und ITS sollen zukünftig als Leitlinien für die Branche dienen.
Der Geltungsbereich von DORA geht allerdings über die in der EU tätigen Finanzinstitute hinaus. Das Gesetz betrifft ebenfalls solche, die kritische IKT-Dienstleistungen für Organisationen des Finanzsektors in der EU erbringen. Das bedeutet, dass auch nicht in der EU tätige Unternehmen betroffen sein können, ebenso wie solche aus anderen Branchen. Es ist im Übrigen nicht ungewöhnlich, dass Rechtsvorschriften, die ihren Ausgang in der EU nehmen, sich auf externe Organisationen, auch weltweit, ausdehnen, sobald sie als EU-Standard Gültigkeit erlangt haben.
Die DORA-Anforderungen gelten nach dieser Definition für über 22.000 in der EU tätige Finanzunternehmen. Dazu zählen im Einzelnen Kredit- und Zahlungsinstitute, Kontoinformationsdienstleister, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Zentralverwahrer, aber auch Ratingagenturen, Handelsplätze, Transaktionsregister, Datenbereitstellungsdienste sowie Versicherungs- und Rückversicherungsunternehmen und Einrichtungen der betrieblichen Altersversorgung.
Zusätzlich schafft DORA einen Rechtsrahmen für die digitale operative Resilienz. Alle betroffenen Unternehmen müssen sich an die Vorschriften und den vorgegebenen Rahmen halten und gewährleisten, dass sie in der Lage sind, »allen Arten von IKT-bezogenen Störungen und Bedrohungen standzuhalten, darauf zu reagieren und sich davon zu erholen«.
DORA im Detail
Bevor wir uns mit den Einzelheiten befassen, ist es wichtig, einige der wichtigsten Bestimmungen, Anforderungen und Empfehlungen von DORA zu verstehen. Das Gesetz findet ab dem 17. Januar 2025 Anwendung und legt die Anforderungen an die digitale Widerstandsfähigkeit fest.
Nach diesem Datum können Finanzinstitute bei Nichteinhaltung mit empfindlichen Strafen belegt werden, etwa Geldbußen von bis zu fünf Millionen Euro. Je nach Verstoß können auch strafrechtliche Sanktionen und individuelle Bußgelder verhängt werden. Diese sind durchaus geeignet, die betroffenen Unternehmen und Organisationen existenziell zu gefährden. Die Branche sollte DORA trotzdem weniger als zusätzliche Belastung wahrnehmen, denn als Chance, digitale Resilienz aufzubauen und zu gewährleisten.
Das Gesetz enthält Regelungen und Empfehlungen zu einer Reihe von Themen im Bereich Cybersicherheit, darunter:
- Incident Response/Vorfallsreaktion: Organisationen müssen Maßnahmen zur Überwachung, Protokollierung und Reaktion auf IKT-Sicherheitsvorfälle in Übereinstimmung mit bestimmten Standards implementieren, z. B. Maßnahmen zum Schutz vor E-Mail-Bedrohungen umsetzen.
- Meldung von Vorfällen: Jeder Vorfall sowie Informationen über die Ursache und die Behebung müssen den zuständigen Stellen und den von einem Vorfall Betroffenen gemeldet werden, z. B. Regulierungsbehörden, Kunden und Partner. Geeignete Protokoll- und Monitoring-Lösungen können dazu beitragen, den Meldeprozess zu vereinfachen.
- Risikomanagement: Betroffene Organisationen müssen umfassende IKT-Risikomanagementmaßnahmen und -praktiken einführen, einschließlich dem Mapping von IKT-Systemen, der Aufdeckung kritischer Bereiche und der kontinuierlichen Risikobewertung.
- Governance: Innerhalb einer Organisation sind die jeweiligen Führungskräfte für das IKT-Management verantwortlich, einschließlich von Mitgliedern des Vorstands und der Geschäftsleitung; sie sind es auch, die bei Nichteinhaltung der Vorschriften zur Rechenschaft gezogen werden.
- Risikomanagement bei Drittanbietern: Organisationen müssen gewährleisten, dass sie die Risiken, die mit bei Dritten eingesetzten Tools und Funktionen verbunden sind, aktiv senken. Dazu zählt es auch, die Beziehung zu Dritten zu dokumentieren und nur mit vertrauenswürdigen IKT-Anbietern zusammenzuarbeiten, die ebenfalls die DORA-Standards erfüllen.
- Verträge: Verträge mit Drittanbietern müssen den DORA-Standards entsprechen, dies betrifft beispielsweise Regelungen für Audits sowie Leistungsziele in verschiedenen Bereichen.
- Testen: Die betroffenen Unternehmen sind verpflichtet, regelmäßige Tests durchzuführen, um sicherzustellen, dass ihre IKT-Systeme gut geschützt sind. Mithilfe solcher Tests werden Sicherheitslücken und Schwachstellen aufgedeckt, damit sie anschließend zeitnah behoben werden können.
- Austausch von Threat Intelligence-Daten: Auch wenn dies nicht ausdrücklich vorgeschrieben ist, ermutigt DORA die betroffenen Einrichtungen nachdrücklich, Vereinbarungen über den Austausch von Threat Intelligence-Daten zu treffen. So soll die Zusammenarbeit gefördert und die Sicherheit auf der Grundlage von Wissen über interne und externe Vorfälle verbessert werden. Daten wie sie eine Protokollierungs- oder Monitoring-Software liefert und die Berichterstattung zu Sicherheitsvorfällen, unterstützen auch andere Organisationen in ihren Bemühungen.
IKT-Risiken gemäß DORA managen
Gemäß DORA müssen die betroffenen Unternehmen Sicherheitslösungen und -richtlinien einführen, um das IKT-Risiko in Einklang mit den Bestimmungen zu managen. Der Finanzsektor ist wie das Gesundheitswesen und der Rechtsbereich eine Hochrisikobranche, die Cyberkriminelle häufig ins Visier nehmen und die gleichzeitig besonders strengen Sicherheitsstandards unterliegt.
Es gibt eine Vielzahl von Instrumenten und Maßnahmen, die Unternehmen nutzen können, um ihre IKT-Risiken besser zu managen und zu senken:
- Effektive Security Awareness Trainings, die speziell wichtige Themenbereiche wie die Einhaltung regulatorischer Compliance und sichere E-Mail-Praktiken abdecken
- Endpoint Detection and Response (EDR)-Lösungen für die schnelle Beseitigung potenzieller Bedrohungen
- E-Mail-Sicherheitsmaßnahmen, um Angriffe und Verstöße zu verhindern sowie zum Herausfiltern verdächtiger und potenziell schädlicher Nachrichten, bevor sie in den Posteingang der Zielperson gelangen
- Fördern Sie aktiv eine Cybersicherheits-Kultur und machen Sie deutlich, dass jeder einzelne Mitarbeitende zur Sicherheit von IKT-Ressourcen eines Unternehmens beiträgt.
Organisationen, die unter die DORA-Regelungen fallen, sollten ausschließlich mit zuverlässigen Drittanbietern für kritische IKT-Tools und -Dienstleistungen zusammenarbeiten. Das heißt, man sollte seine IKT-Anbieter entsprechend gründlich unter die Lupe nehmen und überprüfen, ob sie sich zur Einhaltung der Vorschriften verpflichten. Die Vertragswerke müssen so ausgehandelt werden, dass sie ebenfalls den DORA-Standards genügen. Die betroffenen Organisationen sollten sich nicht scheuen, bei Branchengremien und spezialisierten Juristen Rat zu suchen. Der Teufel steckt bekanntlich im Detail, das ist auch bei DORA nicht anders.
Jörn Koch, VIPRE Security Group
75 Artikel zu „DORA“
Was mit der DSGVO begann, setzt die EU mit NIS2 und DORA konsequent fort. Sie reglementiert die Datenindustrie und die digitalen Prozesse vieler Firmen, um Daten und Netze robuster zu machen gegen Angriffe. Gleichzeitig lassen sich aus der Einführung der DSGVO einige wichtige Schlüsse zum Umgang mit den neuen Regeln für Unternehmen ziehen. Welche das…
Ein Kommentar von Markus Koerner, Deutschlandchef von Kyndryl: »In weniger als einem Jahr, ab dem 17. Januar 2025, gilt der Digital Operational Resilience Act (DORA) EU-weit für Finanzunternehmen und ihre IT-Partner. Da es sich um eine Verordnung der europäischen Union handelt, findet die Umsetzung in nationales Recht nicht statt. Die Zeit für betroffene Unternehmen wird…
Im Kontext steigender Cyberbedrohungen gewinnt die strikte Einhaltung bzw. Umsetzung entsprechender Compliance-Vorschriften stetig an Bedeutung. Als Bereitsteller kritischer Infrastruktur gilt insbesondere für Finanzunternehmen, IT-Ausfälle und sicherheitsrelevante Vorfälle zu verhindern, um für die Aufrechterhaltung des Betriebs zu sorgen. Mit dem Digital Operational Resilience Act (DORA) erließ die EU ein Regelwerk zur Sicherstellung der digitalen Betriebsstabilität sowie…
Bereits im Januar dieses Jahres ist der Digital Operational Resilience Act (DORA), eine Verordnung der europäischen Union, in Kraft getreten. Umzusetzen ist das EU-Gesetz bis zum 17.01.2025. Obwohl es sich vorrangig an den Finanzsektor richtet, können auch andere Unternehmen, wie beispielsweise IT-Dienstleister davon betroffen sein. Firmen, die in diese Kategorie fallen oder selbst im Finanzsektor…
Ob wir es wollen oder nicht – generative künstliche Intelligenz (KI) findet ihren Weg in immer mehr Unternehmen und gehört bereits fast zum Mainstream. Dabei gehen Unternehmen sehr unterschiedlich mit den Tools um und verfolgen individuelle Ansätze bei der Einführung. Warum ist es dringend notwendig, eine verbindliche KI-Richtlinie zu entwickeln und welche Aspekte sollten dabei…
Der Einsatz künstlicher Intelligenz (KI) in Unternehmen nimmt zu. Fast drei Viertel der Unternehmen setzen inzwischen KI ein (31 Prozent) oder prüfen den Einsatz (43 Prozent) [1]. Auch Entwickler können von der Technologie profitieren davon: KI-gesteuerte Entwicklungstools helfen dabei, schneller zu Ergebnissen zu kommen. Sie sorgen für eine automatische Vervollständigung von Codes, das Erkennen von…
Backup-Appliances entlasten IT-Teams, da sie die Sicherung von Daten erheblich vereinfachen. Durch die optimal aufeinander abgestimmte Hardware und Software sind sie sehr zuverlässig und leicht zu bedienen, doch die Lösungen unterscheiden sich teilweise deutlich voneinander. Dell Technologies erklärt, worauf Unternehmen bei der Auswahl achten sollten. Regelmäßige Backups sind Pflicht, um vor Datenverlusten zu schützen.…
Die junge Kundengeneration stellt andere Anforderungen an Dienstleister als ihre Eltern, sie will eine größere Flexibilität, individuellere Produkte und besseren Service. Mit einer eventbasierten Softwareplattform können Versicherer und Finanzdienstleister die technische Seite dieser Anforderungen umsetzen: Über intelligente Antragsstrecken werden Vertragsabschlüsse vom Smartphone in Echtzeit möglich – inklusive Validierung und Plausibilisierung der Daten im Hintergrund –…
Mehr Klarheit bei grundlegenden Anforderungen an Cybersecurity sowie zu den Normen, die sich im Rahmen des Cyber Resilience Act anwenden lassen – dazu trägt eine neue Veröffentlichung der Agentur der Europäischen Union für Cybersicherheit (ENISA) bei. »Das neue Paper gibt erstmals Einblicke in den Normungsprozess im Rahmen des Cyber Resilience Act. So liefert die ENISA…
Lori Niles-Hofmann ist seit 25 Jahren Lernstrategin im Bereich Learning & Development (L&D). Ihr Spezialgebiet sind digitale Lerntransformationen. Die Kanadierin tritt auf der diesjährigen LEARNTEC als Keynote-Speakerin auf. Im Gespräch verrät sie vorab, welche Unterschiede es im Umgang mit künstlicher Intelligenz zwischen Europa und Kanada gibt, warum Jobtitel nicht mehr so wichtig sind und wie…
Die Umsetzung der europäischen NIS-2-Richtlinie ist derzeit etwas ins Stocken geraten. Dennoch drängt die Zeit: Unternehmen müssen jetzt damit beginnen, ihre IT-Security anzupassen. Eine gute Möglichkeit, um sich über die kommenden Herausforderungen zu informieren, bietet der NIS-2-Congress vom 10. bis 11. Juli 2024 in Stuttgart.
https://de.statista.com/infografik/31863/erwerbsarbeit-und-unbezahlte-arbeit-von-personen-ab-18-jahren-in-deutschland/ »Frauen ab 18 Jahren arbeiten pro Woche rund 1,5 Stunden mehr als Männer«, so eine Auswertung des Statistischen Bundesamtes zur Zeitverwendung in Deutschland. Demnach arbeiten Frauen im Schnitt 45,18 Stunden pro Woche und Männer 43,52 Stunden. Dabei gibt es indes einen wesentlichen Unterschied: die Entlohnung. Frauen arbeiten fast 30 Stunden pro Woche unbezahlt…
NIS2 soll die Cyber- und Informationssicherheit EU-weit maßgeblich stärken. Zum Stichtag am 17. Oktober 2024 muss die Direktive in nationales Recht umgewandelt werden. Angesichts der sich zuspitzenden Cyber-Security-Lage ist das auch absolut notwendig, weiß Ali Moniri, Senior Sales Engineer bei Gigamon. Für Unternehmen bedeutet das: ranklotzen! Denn es bleibt nur noch wenig Zeit für die…
In unserer digital vernetzten Welt sind Unternehmen und Organisationen ständig mit komplexen IT-Sicherheitsbedrohungen konfrontiert. Laut dem aktuellen Allianz Risk Barometer und dem Digitalverband Bitkom sind Cybervorfälle das größte Risiko für Unternehmen weltweit, mit Schäden in Milliardenhöhe. In diesem Kontext bietet Security as a Service (SECaaS) eine flexible und effektive Lösung, um auf die dynamische Bedrohungslage…
Datensilos und Datenqualität sind (überwindbare) Herausforderungen, wenn IT-Teams weltweit ihre Data Stacks auf generative KI vorbereiten. Eine neue Studie von Alteryx, der AI Platform for Enterprise Analytics, zeigt, dass Unternehmen aufgrund ihrer Daten noch nicht bereit sind, das Potenzial generativer künstlicher Intelligenz (KI) auszuschöpfen [1]. Die Ergebnisse der Studie »Data Stack Evolution: Legacy Challenges…
Entwicklung und Einsatz von KI-Tools und Absicherung der Software-Lieferkette sind die wichtigsten Trends in der IT-Security. Künstliche Intelligenz (KI) ist fraglos der derzeit wichtigste Trend in der IT, der auch in der IT-Security in vielen Bereichen längst zum Einsatz kommt. Leider auch auf der Seite der Cyberkriminellen. Denn diese sind wie so oft Vorreiter…
Wie Prozessmonitoring Organisationen und Unternehmen unterstützt bei dynamischen Risikomanagement und zeitnahem Geschäftsprozess-Reporting. Um ein höheres Maß an Cybersicherheit für Netz- und Informationssysteme in Organisationen zu erreichen, erließ das Europäische Parlament im Juli 2016 die Richtlinie über Netz- und Informationssysteme (NIS). Sie schuf einen Rahmen für Cybersicherheitskapazitäten in allen Mitgliedstaaten und baute wichtige Sicherheitsvorkehrungen in…
Betriebliche Notwendigkeit und rechtliche Vorgaben wie NIS2 und DORA machen belastbare Data-Protection-Konzepte und konkrete SLAs unverzichtbar. Markus Grau, Enterprise Architect im EMEA CTO-Office von Pure Storage, erläutert wie und warum die Leistungsfähigkeit einer Data-Protection-Umgebung präzisiert und gesteigert werden kann, um sich verschärfende Anforderungen zu erfüllen. Er kommentiert anlässlich des World Backup Day 2024: Da…
Das Jülich Supercomputing Centre (JSC) am Forschungszentrum Jülich und das Siegener Start-up eleQtron bauen gemeinsam einen weltweit einzigartigen modularen Superrechner, der aus einem Quantenmodul und einem klassischen digitalen Modul besteht. Der Name des Projekts ist »Entwicklungspartnerschaft Ionenfallen-Quantencomputer in NRW«, oder kurz EPIQ. eleQtron entwickelt dafür einen Ionenfallen-Quantencomputer, dessen Qubits mit Hilfe einer revolutionären Mikrowellen-Steuerung rechnen,…
Mit der Richtlinie über Netz- und Informationssicherheit (NIS2) tritt in diesem Jahr eine neue Richtlinie in Kraft, die sich erheblich auf Organisationen auswirkt. NIS2 legt detaillierte Cybersicherheitsvorschriften fest, deren Nichteinhaltung die EU mit hohen Geldstrafen sanktionieren wird. Im Herbst läuft die Vorbereitungsfrist ab — auf folgende Punkte müssen IT-Verantwortliche besonders achten. Gesetzliche Regularien sind…