Definition
Der Digital Operational Resilience Act (DORA) ist eine Verordnung der Europäischen Union, die darauf abzielt, die digitale Betriebsresilienz von Finanzunternehmen zu stärken. Die Verordnung wurde im Jahr 2020 vorgeschlagen und ist Teil eines umfassenden regulatorischen Rahmens, der die Sicherheit und Stabilität des Finanzsektors in der EU verbessern soll.
DORA legt spezifische Anforderungen an die Informations- und Kommunikationstechnologie (IKT) von Finanzunternehmen fest. Dazu gehören unter anderem Anforderungen an das Risikomanagement, die Überwachung von IKT-Dienstleistern sowie die Berichterstattung über Vorfälle, die die digitale Betriebsfähigkeit beeinträchtigen könnten.
Was bedeutet das für Ihr Unternehmen?
DORA betrifft nicht nur Banken und Versicherer, sondern über Auslagerungsverträge auch deren IT-Dienstleister und Softwarelieferanten. Wenn Sie Finanzunternehmen beliefern oder selbst eines sind, sollten Verträge mit Hosting- und Softwarepartnern Regelungen zu Meldewegen bei Vorfällen, Prüfrechten, Ausstiegsszenarien und Notfalltests enthalten. Prüfen Sie außerdem, ob Ihre Anwendungen Protokolle, Backups und Wiederherstellungszeiten so dokumentieren, dass eine Prüfung sie nachvollziehen kann.
Hintergrund
Die Einführung von DORA ist eine Reaktion auf die zunehmende Abhängigkeit des Finanzsektors von digitalen Technologien und die damit verbundenen Risiken. Cyberangriffe, technische Ausfälle und andere Störungen können erhebliche Auswirkungen auf die Finanzstabilität haben. Die Verordnung wurde entwickelt, um sicherzustellen, dass Finanzunternehmen in der Lage sind, solche Risiken zu identifizieren, zu bewerten und zu bewältigen.
DORA ist Teil der EU-Strategie zur digitalen Finanzpolitik, die darauf abzielt, ein sicheres und innovatives digitales Finanzumfeld zu schaffen. Die Verordnung ergänzt andere regulatorische Maßnahmen, wie die Datenschutz-Grundverordnung (DSGVO) und die Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS-Richtlinie).
Funktionsweise
DORA fordert Finanzunternehmen, ein umfassendes IKT-Risikomanagementsystem zu implementieren, das alle Aspekte der digitalen Betriebsresilienz abdeckt. Dies umfasst die Identifizierung kritischer IKT-Systeme, die Bewertung von Risiken sowie die Entwicklung von Notfallplänen und Wiederherstellungsstrategien.
Ein weiterer zentraler Aspekt von DORA ist die Überwachung von Drittanbietern, die IKT-Dienstleistungen für Finanzunternehmen bereitstellen. Finanzunternehmen müssen sicherstellen, dass ihre Dienstleister ebenfalls hohe Standards in Bezug auf digitale Resilienz einhalten und im Falle von Störungen schnell reagieren können.
Einsatzgebiete
DORA gilt für eine Vielzahl von Finanzinstituten, darunter Banken, Versicherungen, Wertpapierfirmen und Zahlungsdienstleister. Die Verordnung betrifft sowohl große Unternehmen als auch kleinere Finanzdienstleister, die in der EU tätig sind. Ziel ist es, ein einheitliches Niveau an digitaler Resilienz im gesamten Finanzsektor zu gewährleisten.
Die Anforderungen von DORA sind nicht nur auf die internen Prozesse der Unternehmen beschränkt, sondern erstrecken sich auch auf die gesamte Lieferkette von IKT-Dienstleistungen. Dies bedeutet, dass Unternehmen proaktive Maßnahmen ergreifen müssen, um sicherzustellen, dass alle Partner und Dienstleister ebenfalls den Anforderungen der Verordnung entsprechen.
Abgrenzung
DORA unterscheidet sich von anderen regulatorischen Rahmenwerken, wie beispielsweise der DSGVO, die sich auf den Schutz personenbezogener Daten konzentriert. Während die DSGVO den Datenschutz in den Vordergrund stellt, legt DORA den Schwerpunkt auf die digitale Betriebsresilienz und die Sicherheit von IKT-Systemen im Finanzsektor.
Ein verwandter Begriff ist die NIS-Richtlinie, die ebenfalls Anforderungen an die Cybersicherheit von Unternehmen stellt, jedoch nicht spezifisch auf den Finanzsektor ausgerichtet ist. DORA ergänzt die NIS-Richtlinie, indem es spezifische Vorgaben für Finanzunternehmen formuliert, um deren digitale Resilienz zu stärken.