DORA einfach erklärt: So bleiben Unternehmen im Finanzsektor langfristig compliant

Wie Finanz- und Finanzdienstleistungsunternehmen durch ein nachhaltiges Risikomanagement ihre digitale operative Widerstandsfähigkeit (Resilienz) steigern

Mit dem Digital Operational Resilience Act (DORA) hat die EU eine Verordnung geschaffen, die Unternehmen der Finanzbranche dabei unterstützt, ihre Widerstandsfähigkeit gegen Störungen in der Informations- und Kommunikationstechnologie (IKT) zu stärken. Auf den ersten Blick erscheint DORA komplex, doch bei genauerem Hinsehen zeigt sich: Aus der Verordnung lässt sich ein klarer und strukturierter Fahrplan ableiten, um Risiken zu minimieren und Sicherheit zu gewährleisten. Wichtig ist bei der Planung entsprechender Maßnahmen vor allem eine kontinuierliche Überprüfung und systematische Aktualisierung.

Digitales Zeitalter: Chance und Risiko für Finanz- und Finanzdienstleistungsunternehmen

Die digitale Transformation hat den Finanzsektor nachhaltig verändert. Mit neuen Technologien wie Cloud-Computing und künstlicher Intelligenz steigen allerdings nicht nur die Möglichkeiten, sondern auch die Risiken. Die Akteure sind zunehmend Cyberangriffen wie Phishing, Ransomware und DDoS-Attacken ausgesetzt. Gleichzeitig wachsen die Abhängigkeiten von komplexen IKT-Systemen und externen Dienstleistern. IKT umfasst alle Technologien, die zur Verarbeitung, Speicherung und Übertragung von Informationen genutzt werden.

Diese Entwicklung birgt Gefahren für den reibungslosen Betrieb, das Vertrauen der Kunden und letztlich für die Stabilität des gesamten Finanzsystems. Die EU-Verordnung DORA, die ab Januar 2025 vollständig angewendet werden muss, greift daher genau hier an.

Das steckt hinter DORA

DORA-Maßnahmen sollen nicht nur IKT-Störungen vorbeugen, sondern auch sicherstellen, dass Unternehmen im Krisenfall schnell wieder handlungsfähig sind. Eine klare Kernaussage zieht sich dabei durch die Verordnung: Unternehmen müssen ihre IKT-Risiken kennen und realistisch einschätzen sowie in der Lage sein, Notfälle zu überstehen.

Dabei fordert DORA von jedem Finanzunternehmen eine umfassende und risikobasierte Herangehensweise an die IKT-Sicherheit. Dies ermöglicht die gezielte und verantwortungsvolle Nutzung von Handlungsspielräumen. Das ist entscheidend, um den unterschiedlichen Anforderungen der jeweiligen Branche gerecht zu werden. Denn:

• Für Banken sind Störungen im Zahlungsverkehr äußerst relevant; diese können hohe finanzielle Schäden und Reputationsverluste zur Folge haben.
• Für Versicherungen ist beispielsweise der Schutz sensibler Daten, die für Cyberkriminelle attraktiv sein können, zentral.
• Finanzdienstleister bieten durch ihre breite Palette an Angeboten und Schnittstellen eine nicht zu unterschätzende Angriffsfläche.

Zentrale Maßnahmen für DORA-Compliance

Um den Anforderungen von DORA gerecht zu werden, müssen Finanzunternehmen auf mehreren Ebenen aktiv sein. Die wichtigsten Schritte sind daher:

• Risikomanagement: IKT-Risiken systematisch erfassen und bewerten; technische, organisatorische und personelle Maßnahmen zur Risikominderung festlegen
• Detaillierte Notfallpläne erstellen: um auf IKT-Störungen schnell reagieren zu können
• Schwere IKT-Sicherheitsvorfälle melden: an die zuständigen Aufsichtsbehörden; fördert Transparenz und hilft, systemische Risiken frühzeitig zu erkennen
• Regelmäßige Cybersecurity-Übungen und Simulationen durchführen: um Mitarbeiter zu schulen und die Effektivität der getroffenen Maßnahmen zu testen
• Externe Dienstleister und Partner auf Sicherheitslücken prüfen: sicherstellen, dass diese den strengen Anforderungen ebenso gerecht werden wie das eigene Unternehmen

Langfristige DORA-Compliance mit dauerhafter Lösung

All diese Maßnahmen erfordern nicht nur einmalige Anstrengungen. Neue Technologien, veränderte gesetzliche Rahmenbedingungen und immer sophistiziertere Bedrohungen machen es unerlässlich, Sicherheitsmaßnahmen regelmäßig zu prüfen und zu aktualisieren. Um dauerhaft compliant zu bleiben, müssen Unternehmen die Sicherstellung ihrer DORA-Compliance daher als fortlaufenden Prozess verstehen.

So können sie:

• Risiken frühzeitig erkennen und reduzieren,
• das Vertrauen ihrer Kunden stärken und
• empfindliche Strafen oder Reputationsverluste vermeiden.

Fehlen Ihnen die internen Ressourcen, um DORA-Maßnahmen erfolgreich und kontinuierlich umzusetzen?

Lassen Sie sich von uns als externem Spezialisten unterstützen und fokussieren Sie sich weiterhin auf Ihr Kerngeschäft. Im Detail können wir unter anderem folgende Themen mit Ihnen prüfen und wenn erforderlich auf ein neues Niveau heben:

• Anweisungswesen
• Auslagerungsmanagement
• Business Continuity Management (BCM)
• Corporate & Regulatory Compliance
• Governance
• Incident Management
• IT-Risikomanagement
• Krisenmanagement
• Third Party Risk Management
• Resilience

Gehen Sie es mit uns an, als einem im Regulatorik-Umfeld erfahrenem, zuverlässigen Partner für die Konzeption, Umsetzung und den Betrieb sicherer und passender IKT-Systeme. Sprechen Sie gerne mit unserem Experten Dr. Rainer Knippschild.

Entdecken Sie unsere Regulatory Factory Services