Die von der Europäischen Union verabschiedete DORA-Verordnung (Digital Operational Resilience Act) markiert einen Meilenstein in der Regulierung der digitalen Betriebsstabilität von Finanzinstituten. Ihr Hauptziel ist es, sicherzustellen, dass Banken, Versicherer, Wertpapierfirmen und andere Unternehmen des Finanzsektors in der Lage sind, Cyber- oder Technologiestörungen standzuhalten und sich schnell davon zu erholen. In einem Umfeld, in dem Cyberangriffe und technologische Ausfälle immer häufiger auftreten, unterstreicht DORA die Bedeutung eines umfassenden technologischen Risikomanagements im Finanzsektor. Wir erzählen Ihnen alles über die Auswirkungen von DORA auf den Finanzsektor.
Auswirkungen von DORA auf den Finanzsektor und wichtige regulatorische Änderungen
Mit der DORA-Verordnung werden klare und detaillierte Verpflichtungen für Finanzinstitute eingeführt, darunter:
- Risikomanagement im Bereich IKT (Informations- und Kommunikationstechnologien): Unternehmen müssen robuste Frameworks implementieren, um Technologierisiken zu identifizieren, zu verwalten und zu mindern. Dazu gehören die Bewertung kritischer Drittanbieter und der Schutz vor Cyber-Bedrohungen.
- Meldung von Vorfällen: Die Unternehmen sind verpflichtet, jeden Vorfall im Zusammenhang mit der Cybersicherheit, der sich auf ihren Betrieb auswirkt, rechtzeitig und strukturiert zu melden.
- Prüfung der Betriebsstabilität: Unternehmen sollten regelmäßige Tests durchführen, um sicherzustellen, dass ihre kritischen Systeme störenden Ereignissen standhalten.
- Überwachung durch Dritte: DORA verlangt eine strenge Kontrolle über externe IKT-Dienstleister und legt gemeinsame Verantwortlichkeiten für den Fall von Risiken fest, die sich aus ihrem Betrieb ergeben.
Diese Veränderungen verlangen von Banken, Versicherungen und anderen Unternehmen der Branche, ihre internen Strukturen und Prozesse an die neuen Standards anzupassen.
Operative Herausforderungen für Finanzunternehmen
Die Umsetzung der DORA-Verordnung bringt mehrere Herausforderungen mit sich:
- Technologische Anpassung: Viele Unternehmen werden ihre IT-Systeme modernisieren müssen, um die Anforderungen an Resilienztests und kontinuierliches Monitoring zu erfüllen. Dies erfordert erhebliche Investitionen und eine detaillierte strategische Planung.
- Kritisches Lieferantenmanagement: Unternehmen müssen ihre Verträge und Beziehungen zu Technologieanbietern verbessern, um sicherzustellen, dass sie die DORA-Standards erfüllen, was besonders für diejenigen eine Herausforderung sein kann, die auf große multinationale Unternehmen als Cloud-Service-Provider angewiesen sind.
- Schulung des Personals: Um sicherzustellen, dass interne Teams die Anforderungen von DORA verstehen und umsetzen können, sind spezielle Schulungsprogramme erforderlich.
- Verwaltungsgemeinkosten: Die neuen Berichts- und Überwachungspflichten können insbesondere für kleine und mittlere Unternehmen zu einem höheren Verwaltungsaufwand führen.
Beispiele für die Anpassung von Unternehmen
Einige Finanzinstitute ergreifen bereits Schritte, um sich an die DORA-Anforderungen anzupassen:
- Internationale Banken: Mehrere Finanzinstitute haben damit begonnen, Cyberangriffsübungen und Stresstests für ihre Technologiesysteme durchzuführen, um Schwachstellen zu erkennen und ihre Abwehrmaßnahmen zu stärken.
- Versicherung: Unternehmen in der Versicherungsbranche führen Systeme zur kontinuierlichen Risikoüberwachung in Echtzeit ein und stellen Teams auf, die sich ausschließlich dem technologischen Risikomanagement widmen.
- Zusammenarbeit mit Lieferanten: Kleinere Unternehmen konsolidieren strategische Allianzen mit IKT-Anbietern, um maßgeschneiderte Lösungen zu entwickeln, die den regulatorischen Standards entsprechen.
Zusammenfassend lässt sich sagen, dass die DORA-Verordnung zwar eine große Herausforderung für den Finanzsektor darstellt, aber auch eine einzigartige Gelegenheit bietet, das Vertrauen der Öffentlichkeit in die technologische Resilienz von Finanzinstituten zu stärken. Unternehmen, die es schaffen, sich effektiv anzupassen, werden besser aufgestellt sein, um den technologischen Risiken der Zukunft zu begegnen.