Am 17. Januar 2025 ist der Digital Operational Resilience Act (DORA) in Kraft getreten. Die niederländische Finanzaufsichtsbehörde (AFM) hat im Februar 2025 ein Auskunftsersuchen an alle Unternehmen gerichtet, die über eine AFM-Zulassung verfügen und unter DORA fallen. „Viele Akteure sind ratlos“, sagen Ronald Plompen und Michel Steenbergen von der Beratungsorganisation FLYzone, einem Partner von Fully In Control.
Digitale Resilienz
Finanzinstitute werden immer häufiger zum Ziel von Cyberangriffen. DORA ist eine europäische Verordnung, deren Ziel es ist, die digitale Widerstandsfähigkeit des Finanzsektors zu stärken. DORA konzentriert sich auf das IT-Risikomanagement, IT-Vorfälle, die regelmäßige Überprüfung der digitalen Betriebsresilienz, die Risikokontrolle bei der Auslagerung an (kritische) Dritte sowie die Zusammenarbeit beim Austausch von Informationen über Cyberbedrohungen. Darüber hinaus führt DORA einen Rahmen für die europäische Aufsicht über kritische Drittanbieter von IT-Dienstleistungen ein.
Die Frist rückt näher
Eine der Anforderungen im Rahmen von DORA ist daher, dass Finanzinstitute ein Informationsregister über alle vertraglichen Vereinbarungen mit IT-Dienstleistern führen müssen. Dieses Register umfasst eine Vielzahl von Einträgen (z. B. welche Prozesse welche Systeme nutzen und die Unterlieferanten der IT-Dienstleister), und die Frist rückt schnell näher.
Die AFM wird das Informationsregister in Kürze anfordern, damit sie die Register rechtzeitig bei den europäischen Aufsichtsbehörden einreichen kann. Dies muss spätestens am 17. April geschehen. DORA verlangt darüber hinaus eine breite Palette von Maßnahmen, darunter die Einrichtung eines Risikorahmens, Kontinuitätspläne und das Risikomanagement bei Dritten. Dabei müssen sich die Finanzinstitute auf Stressszenarien vorbereiten, bei denen kritische Funktionen innerhalb kurzer Zeit wiederhergestellt werden können müssen.
„Das stellt hohe Anforderungen an Finanzinstitute, und ein Großteil von ihnen hat bei der DORA-Umsetzung noch einen langen Weg vor sich. Viele Institute haben zwar bereits mit DORA begonnen, liegen aber oft im Rückstand. Das ist verständlich, denn es handelt sich um komplexe Themen. Es ist jedoch keine Option, sondern eine Verpflichtung, daher drängt die Zeit“, betont Ronald. „Außerdem tut man es nicht, weil es das Gesetz vorschreibt, sondern weil man sein Unternehmen und seine Kunden schützen will“, unterstreicht Michel noch einmal.
Vereinfachung der DORA-Implementierung und der IT-Steuerung
Um die Umsetzung von DORA zu verdeutlichen, hat NOREA, der Berufsverband der IT-Auditoren, im vergangenen Jahr ein sogenanntes DORA-Kontroll-Framework entwickelt. Dieses Framework fasst die 400 Seiten Gesetzestexte in 8 übersichtliche Bereiche, 29 Unterbereiche und 90 zugrunde liegende Kontrollen zusammen. Dadurch wird es für Institutionen einfacher, die Anforderungen zu verstehen, anzuwenden und Lückenanalysen durchzuführen. Es hilft dabei, Ausstiegspläne und Kontinuitätstests in konkrete Maßnahmen umzusetzen.
Darüber hinaus hat NOREA die Initiative ergriffen, einen Berichtsstandard zu entwickeln, mit dem Organisationen Rechenschaft über ihre IT-Kontrollen ablegen können. Dieser Standard, die sogenannte NOREA-Berichtsinitiative (NRI), bietet dem Management einen Leitfaden, um in einem IT-Kontrollbericht Rechenschaft abzulegen und Stakeholder über Governance, Risk and Compliance sowie wesentliche IT-Themen zu informieren. In den Beschreibungen wird für jedes IT-Thema stets auf den von der Organisation eingerichteten Managementzyklus (Plan-Do-Check-Act) eingegangen. Ronald und Michel sehen die NRI als positive Entwicklung: „Mit diesem künftigen Berichtsstandard gibt es nun eine solide Grundlage für Organisationen unterschiedlicher Größe, um auf einheitliche Weise über ihre IT zu berichten.“
Unterstützende Software
Unterstützende Software sorgt für einen klaren Überblick über alle für DORA erforderlichen Maßnahmen. Die Integraal Management Platform von Fully In Control bietet eine Lösung, um die operativen und informationssicherheitstechnischen Anforderungen von DORA innerhalb der ISMS-Lösung zu verwalten. „Diese Informationen können dann beispielsweise dazu verwendet werden, das Informationsregister zu füllen und zu pflegen. Die Vorlage eines Informationsregisters ist also keine einmalige Angelegenheit. Man muss nachweisen, dass man auf Basis des Plan-Do-Check-Act-Zyklus kontinuierlich an Verbesserungen arbeitet und die DORA-Anforderungen erfüllt“, erklärt Frank Walraven von Fully In Control.
Um es den Nutzern zu erleichtern, hat FLYzone zusätzlich eine Wissensdatenbank undBest-Practices-Leitfäden entwickelt. „Damit kann der Nutzer die bestehenden Kontrollen leichter beispielsweise mit den DORA-Anforderungen vergleichen und gezielte Maßnahmen ergreifen, um eventuelle Lücken zu schließen“, so Frank.
Möchten Sie wissen, wie Ihre Organisation die DORA-Anforderungen erfüllt? Dann lesen Sie unseren praktischen Leitfaden zur ISMS-Implementierung und stärken Sie Ihre digitale Widerstandsfähigkeit.