DORA: 5 Fragen, die sich Finanzdienstleister jetzt stellen sollten

Der Countdown für die Umsetzung von DORA läuft. Mehr als acht Monate der zweijährigen Umsetzungsfrist sind bereits verstrichen. Finanzunternehmen sollten sich daher jetzt unbedingt mit den Neuerungen auseinandersetzen, die künftig auf sie zukommen. Wie gut ist die digitale Resilienz Ihrer Organisation heute bereits entwickelt? Die folgenden fünf Fragen helfen Ihnen, den Reifegrad Ihrer Strategie einzuschätzen und mögliche Lücken zu identifizieren.

Haben Sie kritische Funktionen im Bereich der Informations- und Kommunikationstechnologie (IKT) identifiziert und klassifiziert – und entsprechende Maßnahmen zur Risikominimierung implementiert? Dazu gehören beispielsweise Anomalie-basierte Sicherheitsverfahren, die Risikoquellen überwachen und verdächtige Aktivitäten schnell identifizieren und stoppen. Darüber hinaus erfordert ein umfassendes IKT-Risikomanagement maßgeschneiderte Business-Continuity-Maßnahmen wie individuell ausgearbeitete Notfall- und Wiederherstellungspläne. 

Auch mit den besten Security-Technologien lassen sich Sicherheitsvorfälle nicht vollständig ausschließen. Finanzdienstleister müssen in der Lage sein, alle Vorfälle professionell zu managen und zu dokumentieren. DORA schreibt vor, wie diese Berichte über IKT-bezogene Sicherheitsvorfälle auszusehen haben. Die betroffenen Unternehmen müssen diese Berichte in einem standardisierten Format erstellen und innerhalb bestimmter Fristen an die zuständigen Stellen übermitteln.

DORA verpflichtet alle betroffenen Einrichtungen, mindestens einmal jährlich grundlegende Sicherheitstests der IT- und Kommunikationssysteme durchzuführen. Dienste, die sich auf kritische Funktionen auswirken, sollen regelmäßig durch bedrohungsgesteuerte Penetration Tests (Threat Lead Penetration Testing = TLPT) überprüft werden. In diese Tests sind auch Drittanbieter von IT- und Kommunikationsleistungen einzubeziehen. Werden dabei Schwachstellen, Mängel oder Sicherheitslücken aufgedeckt, müssen Unternehmen umgehend geeignete Gegenmaßnahmen ergreifen. 

Ein besonderer Fokus von DORA liegt auf der Steuerung und Überwachung von IKT-Drittdienstleistern. Vorgeschrieben ist unter anderem, ein detailliertes Verzeichnis aller ausgelagerten Tätigkeiten zu führen, die Schlüsselelemente der Leistungen möglichst lückenlos zu überwachen und sicherzustellen, dass die Verträge mit IKT-Drittanbietern alle notwendigen Details zur Überwachung und Erreichbarkeit enthalten. Auch Konzentrationsrisiken, die sich aus dem IKT-Outsourcing ergeben, sollten berücksichtigt werden. Die Grundlage dafür ist die umfassende Überwachung aller administrativen Tätigkeiten. 

DORA ermöglicht Finanzunternehmen, Informationen und Erkenntnisse über Cyberbedrohungen mit anderen Organisationen ihrer Branche auszutauschen. Es ist daher ratsam, entsprechende Vereinbarungen zu schließen, vertrauenswürdige Netzwerke aufzubauen und Mechanismen zu etablieren, um die erhaltenen Informationen zu validieren. Finanzunternehmen können so schneller auf neue Bedrohungen reagieren, das Sicherheitsbewusstsein in der Branche stärken und sich gegenseitig bei der Abwehr von Cyberangriffen unterstützen.

Den aktuellen Stand der DORA-Verordnung finden Sie hier. Im Laufe des kommenden Jahres sollen die technischen Regulierungsstandards (Regulatory Technical Standards = RTS) und die technischen Durchführungsstandards (Implementing Technical Standards = ITS) der Verordnung weiter konkretisiert werden.

Wir empfehlen unseren Kunden, möglichst schon jetzt mit der Umsetzung der bereits bekannten DORA-Vorschriften zu beginnen. Nur so kann der enge Zeitplan zuverlässig eingehalten werden.

Unsere Experten unterstützen Finanzinstitute dabei, die Anforderungen der DORA-Verordnung zu erfüllen. In einem Security Assessment erfassen und bewerten wir den Ist-Zustand der Sicherheitsstrategie und zeigen mögliche Risiken auf. Mit konkreten Maßnahmen bringen wir dann die Cyber-Resilienz auf den neuesten Stand.

Sie möchten mehr darüber erfahren, was DORA für Ihre Organisation bedeutet? Vereinbaren Sie jetzt ein unverbindliches Erstgespräch mit unseren Experten.