DORA – Die EU-Verordnung im Überblick
Wer sich die DORA-Kapitel zum ersten Mal zur Brust nimmt, ist ziemlich sicher erschlagen von der Fülle der Bestimmungen und komplexen Anforderungen. Daher haben wir diesen Beitrag verfasst, um den Einstieg zu erleichtern! Wir beginnen mit Hintergründen und stellen anschließend die Inhalte der einzelnen DORA-Kapitel in stark verkürzter Form vor. Schließlich blenden wir noch die Timeline ein von der ersten Veröffentlichung im EU-Amtsblatt bis zur verbindlichen Wirkung im Januar 2025.
Kontext: Digitale Resilienz
Finanzielle Services sind ohne IT-Infrastrukturen heute nicht mehr denkbar - diese Struktur müssen daher besonders geschützt werden. Den Kontext der neuen DORA-EU-Verordnung bilden daher Trends in Technologie und Cyberkriminalität sowie das Konzept der Resilienz.
- Finanzdienstleistungen basieren auf leistungsfähigen Netzwerken, Cloud-Technologien und abgesicherten Endkundenschnittstellen. Der gesamte Sektor profitiert von der Chance, digitale Services effizient durch Informations- und Kommunikationstechnologien (IKT) zu erbringen.
- Zu den großen Risiken zählen Cyberkriminelle, die gezielt nach Schwachstellen in der Organisation und der Infrastruktur suchen, um Schadcode einzuschleusen, Daten zu erbeuten und Systeme lahmzulegen. In diesem Zusammenhang gilt Digitale Resilienz als alternativlos.
- Digitale Resilienz lässt sich definieren als ein Bündel von Kompetenzen und Fähigkeiten, mit dem Finanzinstitute Ihre spezifischen IKT Dienste aufbauen, dauerhaft gewährleisten und – im Notfall - wiederherstellen können.
Inhalte: Die zentralen DORA-Kapitel
DORA umfasst acht Kapitel. Die vier für die Umsetzung zentralen Kapitel und Ihre wesentlichen Anforderungen stellen wir hier vor. Hierin beschreiben die Verfasser, welche Kapazitäten ein Finanzinstitut aufbauen muss, um ein aus Sicht der Regulatorik zufriedenstellendes Niveau für das IT-Risikomanagement zu erreichen. Es geht dabei um den organisatorischen Rahmen, um ein Erkennungs-, Bewertungs- und Meldesystem für auffällige und potenziell schädliche Ereignisse ("Incidents"), um Tests und Kontrollen für die Resilienz bestehender Systeme sowie um das Risikomanagement entlang der Kette im ausgelagerten IT-Betrieb. Im Detail:
Hintergrund: Digitale Resilienz
Wie jede EU-Verordnung tritt DORA in mehreren Schritten in Kraft. Mit der Verbindlichkeit ab Januar 2025 können auch Prüfungen starten, ob Institute den erforderlichen Rahmen umgesetzt haben. Das ist die bisherige Timeline:
- 27. Dezember 2022: Veröffentlichung des Digital Operational Resilience Act im Amtsblatt der EU (als Verordnung 2022/2554)
- 17. Januar 2023: Inkrafttreten der Verordnung
- 17. Januar 2025: Verbindliche Wirkung für alle betroffenen Marktteilnehmer in allen EU-Mitgliedsstaaten
Damit ist klar: Die Zeit für Versicherungsunternehmen und Banken, DORA umzusetzen, ist jetzt!
DORA mit matrix technology umsetzen
Wie die Ausführungen zeigen, erfindet DORA das Rad nicht neu. Soweit mit der Umsetzung von VAIT, BAIT oder KAIT bereits ein solides Compliance-Framework in Ihrem Unternehmen verankert ist, sind sie gut auf die Integration der DORA-Anforderungen vorbereitet. Andernfalls bietet DORA die Möglichkeit, bestehende Lücken in Ihrer IT-Compliance zu schließen und die Widerstandsfähigkeit Ihrer Geschäftsprozesse gegenüber Cyberrisiken zu optimieren. Gerne agieren wir in der Phase der DORA-Umsetzung als Partner!