In diesem Jahr hat die Europäische Union eine spezielle Verordnung eingeführt, die potenziellen Cyberbedrohungen entgegenwirken soll, von denen Unternehmen im Finanzsektor betroffen sein könnten.
Die sogenannte DORA-Verordnung beziehungsweise der Digital Operational Resilience Act (EU) 2022/2554 ist eine neue EU-Verordnung, die nach dem Willen des Gesetzgebers die digitale operationale Resilienz des Finanzsektors und der mit ihm verbundenen Organisationen gewährleisten soll. DORA wurde Ende 2022 verabschiedet, und während des gesamten Jahres 2023 lief eine Vorbereitungsphase zur Umsetzung der neuen Anforderungen. Sämtliche Bestimmungen der Verordnung traten am 17. Januar 2025 vollständig in Kraft.
Geltungsbereich der DORA-Verordnung
Ihr Hauptziel besteht darin, einheitliche Anforderungen und Standards festzulegen, mit deren Hilfe sich Finanzinstitute besser vor Cyberbedrohungen schützen sowie bei Cybervorfällen schnell reagieren und den Betrieb wiederherstellen können.
Die Verordnung gilt für zahlreiche Organisationen innerhalb des Finanzsektors oder mit Verbindung zu diesem, darunter Banken, Versicherungsunternehmen, Investmentfonds, Zahlungsdienstleister, Kryptobörsen usw. Sie erfasst sowohl Großunternehmen als auch kleine und mittlere Unternehmen des Finanzsektors.
Auch Dritte können in den Geltungsbereich von DORA fallen. Mit anderen Worten: Anbieter technologischer Dienstleistungen (beispielsweise Cloud-Dienste), die kritische Leistungen für Finanzorganisationen erbringen, könnten den Anforderungen von DORA unterliegen.
Im Gegensatz zu Ansätzen, die sich hauptsächlich auf finanzielle Risiken und Kapitalreserven konzentrieren, verlangt DORA eine systematische Strategie für digitale Resilienz. Finanzorganisationen müssen nicht nur ihre Abwehrmaßnahmen gegen Cyberbedrohungen verbessern, sondern auch Pläne zur Erkennung, Kontrolle und Behebung von Störungen ihrer Informations- und Kommunikationstechnologien (ICT) entwickeln.
DORA räumt ICT-Risiken daher Priorität ein und legt Anforderungen an das Risikomanagement, die Meldung von Vorfällen, Resilienztests und die Überwachung von Risiken im Zusammenhang mit externen IT-Dienstleistern fest. Dieser Ansatz unterstreicht die entscheidende Rolle der Technologie im Finanzsektor und die potenziellen systemischen Risiken, die aus ICT-Ausfällen entstehen können.
Von der DORA-Verordnung erfasste Sektoren
DORA betrifft zahlreiche Bereiche des EU-Finanzsystems. Die Bestimmungen erfassen verschiedene Arten von Organisationen:
- Finanzinstitute und Banken: Unternehmen, die Einlagen entgegennehmen, Kredite vergeben, Investitionen tätigen, Währungen tauschen usw.
- Technologieunternehmen, die mit Finanzdaten arbeiten: Organisationen, die Finanzinformationen verarbeiten oder speichern (einschließlich Zahlungsabwicklern und Fintech-Start-ups).
- Großunternehmen, die dem EU-Recht unterliegen: Große, in der EU tätige Konzerne, die umfassende finanzielle und regulatorische Vorschriften einschließlich DORA einhalten müssen.
- Kleine und mittlere Unternehmen im Finanzsektor: KMU, die Finanzprodukte und -dienstleistungen anbieten, unterliegen denselben DORA-Anforderungen wie größere Organisationen.
Wichtigste Anforderungen von DORA
Zu den zentralen Anforderungen der Verordnung gehören:
- Management von ICT-Risiken: Organisationen müssen Verfahren zur Identifizierung, Bewertung und Steuerung von Cyberrisiken einführen und regelmäßig aktualisieren. Ein solches System sollte den gesamten ICT-Lebenszyklus abdecken – von der Konzeption und Entwicklung über die Implementierung bis zur Außerbetriebnahme.
- Verpflichtende Überwachung und Prüfung: Dies umfasst regelmäßige Tests der IT-Infrastruktur (einschließlich Stresstests und Cyberübungen), um Schwachstellen frühzeitig zu erkennen. Der Umfang der Tests sollte dem Risikoniveau des jeweiligen Unternehmens entsprechen und kann von grundlegenden Prüfungen bis zu spezialisierten Tests reichen, die realen Cyberangriffen nachempfunden sind.
- Resilienz gegenüber Vorfällen: Organisationen müssen Kontinuitäts- und Wiederherstellungspläne für Cybervorfälle erstellen und pflegen, in denen interne Verfahren, Rollen und Verantwortlichkeiten für Notfallsituationen detailliert beschrieben sind.
- Meldung von Vorfällen: Einheitliche Regeln für die Benachrichtigung der Aufsichtsbehörden über Informationssicherheitsvorfälle und Cyberangriffe sollen die Transparenz und Wirksamkeit der Reaktionsmaßnahmen verbessern. Dadurch wird gewährleistet, dass ICT-bezogene Probleme schnell erkannt, umfassend dokumentiert und unverzüglich behoben werden, um potenzielle Schäden zu minimieren. Ein detailliertes Vorfallsregister muss geführt und den Aufsichtsbehörden auf Anfrage zur Verfügung gestellt werden.
- Zusammenarbeit mit Dienstleistern: Organisationen müssen Risiken kontrollieren und überwachen, die aus Abhängigkeiten von externen Technologiepartnern (z. B. Cloud-Anbietern) entstehen können. Sie sind dafür verantwortlich, sicherzustellen, dass diese Dienstleister das erforderliche Resilienzniveau aufrechterhalten können, und zu überprüfen, ob deren Tätigkeiten den DORA-Anforderungen entsprechen.
Ziele und Vorteile
DORA soll den Ansatz für Informationssicherheit und operationale Resilienz im Finanzsektor EU-weit vereinheitlichen und standardisieren. Durch die Festlegung eines einheitlichen Standards soll DORA den Schutz vor Cyberbedrohungen verbessern, die Widerstandsfähigkeit gegenüber Cyberangriffen erhöhen und die mit finanziellen Verlusten sowie Reputationsschäden verbundenen Risiken verringern.
Strengere Vorschriften und mehr Transparenz werden wiederum das Vertrauen der Kunden in Finanzorganisationen stärken. Ein einheitliches Regelwerk vereinfacht zudem das regulatorische Umfeld, da Unternehmen nicht gleichzeitig zahlreiche nationale Anforderungen berücksichtigen müssen.
Die DORA-Verordnung soll somit die Cyberresilienz stärken und die Zuverlässigkeit von Finanzdienstleistungen in der gesamten EU gewährleisten, um sowohl Organisationen als auch deren Kunden vor modernen Cyberbedrohungen und technologischen Risiken zu schützen.
Sanktionen bei Nichteinhaltung
Der Digital Operational Resilience Act (DORA) sieht bei Nichteinhaltung erhebliche Sanktionen vor. Dazu gehören Geldbußen, die bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes betragen können. Darüber hinaus kann sich die Geldbuße für jeden Tag der Nichteinhaltung erhöhen, bis sämtliche Verstöße behoben sind. Neben Geldbußen kann die Nichteinhaltung den Ruf eines Unternehmens schädigen und zum Vertrauensverlust bei Kunden, Investoren und anderen Interessengruppen führen.
Verstöße gegen DORA können eine verstärkte Überwachung durch die Aufsichtsbehörden nach sich ziehen. Die Nichterfüllung der DORA-Anforderungen kann außerdem zu Störungen von Dienstleistungen und Betriebsabläufen führen und sich negativ auf die Kundenzufriedenheit und den Ruf auswirken. In Ausnahmefällen mit schwerwiegenden Verstößen können Entscheidungsträger strafrechtlich haftbar gemacht werden.
Es ist wichtig zu verstehen, dass sich diese Sanktionen nicht gegenseitig ausschließen. Ein Unternehmen kann gleichzeitig mit mehreren Konsequenzen konfrontiert sein: Geldbußen, Reputationsschäden und möglichen strafrechtlichen Maßnahmen.
Kontaktieren Sie uns
Um solche Sanktionen zu vermeiden, müssen Finanzinstitute proaktiv für die Einhaltung von DORA sorgen. Dazu gehören regelmäßige Risikobewertungen, die Entwicklung von Reaktionsplänen für Vorfälle, Resilienztests und die Überwachung von Risiken durch Dritte.
Eesti Firma ist ein Unternehmen, das rechtliche Unterstützung und Beratung für Unternehmen anbietet, die auf dem Markt für digitale Vermögenswerte tätig sind. Unter Berücksichtigung der individuellen Besonderheiten jedes Kunden ist Eesti Firma bereit, Sie dazu zu beraten und zu erläutern, wie die DORA-Verordnung in der Praxis anzuwenden ist.
