DORA-Verordnung der EU

• Der Digital Operational Resilience Act (DORA) ist im November 2022 verabschiedet worden und tritt im Januar 2025 in Kraft. Es gibt keine Übergangsfrist für die Umsetzung. Finanzunternehmen, die von der DORA-Verordnung betroffen sind, müssen die aufsichtsrechtlichen Anforderungen zum 17. Januar 2025 umgesetzt haben.
• Die DORA-Verordnung wird durch technische Durchführungsstandards (sog. Level-2-Rechtsakte) konkretisiert, die von den Europäischen Finanzaufsichtsbehörden (EBA, ESMA, EIOPA) entwickelt wurden. Sie sind bei der Umsetzung der DORA-Verordnung ebenfalls zwingend zu beachten.
• Finanzunternehmen müssen im Rahmen von DORA ihre digitalen Systeme und Prozesse nach bestimmten Risikokategorien bewerten und entsprechende Maßnahmen zur Risikominderung ergreifen. Dies umfasst u. a. einen angemessenen Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der verarbeiteten Informationen, Aufrechterhaltung der Betriebsfähigkeit bei IT-Störungen oder Cyberangriffen sowie das Drittparteienmanagement bei Auslagerungen von Informations- und Kommunikationstechnologie (IKT).
• Aus der Verordnung ergeben sich Chancen, die Finanzdienstleister nutzen können – insbesondere durch die Einführung standardisierter Sicherheitsmaßnahmen. Sie stärken das Vertrauen der Kunden und können die Wettbewerbsfähigkeit erhöhen.

„Der Digital Operational Resilience Act (DORA) soll die Betriebsstabilität und IT-Sicherheit im europäischen Finanzsektor stärken. So werden Verbraucher geschützt und der Finanzstandort Europa gesichert. Wir sind starker Partner des Finanzsektors bei der Umsetzung der DORA-Verordnung.“

Frank Mandalka, Partner bei Grant Thornton Deutschland 

Der Digital Operational Resilience Act (DORA) gibt Finanzunternehmen klare Anforderungen und Pflichten vor: Sie müssen ihre digitale Betriebsstabilität sichern und die Risiken im Bereich Informations- und Kommunikationstechnologie minimieren. Der Schwerpunkt liegt darauf, die Resilienz gegenüber Cyberangriffen, IT-Ausfällen und anderen Störungen zu erhöhen. So sollen das Vertrauen der Verbraucher in die digitalen Dienstleistungen gestärkt und die Stabilität des Finanzsektors gewährleistet werden.

DORA soll sicherstellen, dass Finanzdienstleistungen für die Bürgerinnen und Bürger der EU sicher und zuverlässig sind. Potenzielle Bedrohungen sollen proaktiv angegangen werden. Die Verordnung schreibt vor, dass Unternehmen angemessene Maßnahmen ergreifen, um ihre IT-Systeme und Daten zu schützen. Dazu gehören die Implementierung robuster Cybersicherheitspraktiken, regelmäßige Überprüfungen und die Verbesserung von Sicherheitsprotokollen sowie die Sicherstellung der Betriebskontinuität. Dadurch werden Gefahrenquellen minimiert und mögliche Risiken überschaubar gemacht, was gleichzeitig Chancen für Finanzunternehmen bietet. Denn durch die Einhaltung dieser Vorschriften können Unternehmen nicht nur ihre Sicherheitsstandards erhöhen, sondern auch ihre Marktposition stärken.

Die Verordnung folgt einem risikobasierten Ansatz, der Unternehmen dazu verpflichtet, ihre digitalen Systeme und Prozesse nach spezifischen Risikokategorien zu bewerten. Diese reichen von minimalen Risiken, die beispielsweise bei standardisierten IT-Lösungen auftreten können, bis hin zu hohen Risiken, die bei der Verwendung von Technologien in kritischen Infrastrukturen oder sensiblen Datenmanagementsystemen entstehen. Für hochriskante Bereiche gelten besonders strenge Anforderungen. Dazu gehören eine detaillierte Dokumentation, regelmäßige Risikobewertungen und die Implementierung von Maßnahmen zur Schadensbegrenzung im Falle eines Vorfalls. Unternehmen, die diese Standards nicht einhalten, können mit erheblichen Sanktionen rechnen.