Digital Operational Resilience Act (DORA)

Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die umfassende Anforderungen an das IKT-Risikomanagement für den Finanzsektor festlegt…

Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die umfassende Anforderungen an das IKT-Risikomanagement für den Finanzsektor festlegt. Ab dem 17. Januar 2025 harmonisiert DORA die Standards für digitale Resilienz in den EU-Mitgliedstaaten und stellt sicher, dass Finanzinstitute IKT-bedingte Störungen bewältigen und sich davon erholen können.

ISMS Copilot verfügt über spezifisches Wissen zu den DORA-Anforderungen. Sie können frameworkspezifische Fragen stellen, Richtlinien generieren, die mit den DORA-Säulen übereinstimmen, und Compliance-Lücken mithilfe des KI-Assistenten bewerten.

Wer benötigt DORA-Compliance?

DORA gilt für über 20.000 Finanzinstitute in der EU, darunter:

Banken und Kreditinstitute
Versicherungs- und Rückversicherungsunternehmen
Investmentfirmen und Handelsplätze
Zahlungsinstitute und E-Geld-Institute
Anbieter von Krypto-Dienstleistungen
Kritische IKT-Drittanbieter (Cloud-Anbieter, Rechenzentren, Softwareanbieter, die Finanzinstitute bedienen)

Sowohl große Institutionen als auch kleinere Finanzinstitute müssen die Vorgaben einhalten, wobei Verhältnismäßigkeitsaspekte je nach Größe, Geschäftsart und Risikoprofil berücksichtigt werden.

Die fünf Säulen von DORA

DORA strukturiert die Anforderungen in fünf zentrale Säulen:

IKT-Risikomanagement: Umfassende Rahmenwerke zur Identifizierung, Steuerung und Minderung von IKT-Risiken, einschließlich Governance, Risikobewertung und Geschäftskontinuität
Meldung von Vorfällen: Pflicht zur Meldung schwerwiegender IKT-bezogener Vorfälle an Aufsichtsbehörden innerhalb strikter Fristen (Erstmeldung, Zwischenberichte, abschließende Analyse)
Prüfung der digitalen operationellen Resilienz: Regelmäßige Testprogramme, einschließlich Schwachstellenanalysen, Szenarioanalysen und fortgeschrittenen, bedrohungsgesteuerten Penetrationstests (TLPT) für kritische Institute
Risikomanagement für Drittanbieter: Strenge Überwachung von IKT-Dienstleistern, einschließlich vertraglicher Anforderungen, Due-Diligence-Prüfungen, Monitoring und Exit-Strategien
Informationsaustausch: Freiwillige Vereinbarungen zum Austausch von Cyber-Bedrohungsinformationen und Best Practices zwischen Finanzinstituten

Wichtige Anforderungen

Finanzinstitute müssen mehrere verbindliche Maßnahmen umsetzen:

IKT-Risikomanagement-Rahmenwerk: Dokumentierte Richtlinien, Verfahren und Kontrollen, die mit den fünf Säulen übereinstimmen
Governance und Verantwortlichkeit: Aufsicht auf Vorstandsebene, klare Rollen und Verantwortlichkeiten sowie Einbindung des Leitungsorgans
Resilienzprüfungen: Jährliche Testprogramme, einschließlich TLPT für bedeutende Institute alle drei Jahre
Klassifizierung und Meldung von Vorfällen: Systeme zur Erkennung, Klassifizierung und Meldung schwerwiegender Vorfälle innerhalb festgelegter Fristen
Drittanbieter-Register: Führung umfassender Aufzeichnungen über alle IKT-Dienstleister und vertraglichen Vereinbarungen
Geschäftskontinuität und Notfallwiederherstellung: Pläne und Fähigkeiten zur Aufrechterhaltung des Betriebs während Störungen

DORA sieht erhebliche Strafen bei Nichteinhaltung vor, einschließlich Geldbußen von bis zu 2 % des globalen Jahresumsatzes bei schweren Verstößen.

Kritische IKT-Drittanbieter

DORA führt ein einzigartiges Aufsichtsrahmenwerk für kritische IKT-Drittanbieter (TPPs) ein. Diese Anbieter sehen sich folgenden Anforderungen gegenüber:

Direkte regulatorische Aufsicht: Beaufsichtigung durch die Europäischen Aufsichtsbehörden (ESAs)
Kriterien für die Einstufung: Basierend auf systemischer Bedeutung, Ersetzbarkeit und Dienstleistungen für mehrere Finanzinstitute
Erweiterte Verpflichtungen: Anforderungen an Risikomanagement, Vorfallsmeldung und Resilienzprüfungen

Falls Sie Cloud-, Rechenzentrums- oder kritische Softwaredienstleistungen für EU-Finanzinstitute erbringen, könnten Sie unter das TPP-Regime von DORA fallen.

Wie ISMS Copilot hilft

ISMS Copilot bietet umfassende Unterstützung für die DORA-Compliance:

Framework-spezifische Anleitung: Stellen Sie Fragen zu bestimmten DORA-Säulen, Artikeln oder Anforderungen
Richtlinienerstellung: Erstellen Sie prüffähige IKT-Risikomanagement-Richtlinien, Vorfallsreaktionsverfahren und Rahmenwerke für das Drittanbieter-Management
Lückenanalyse: Laden Sie bestehende Dokumentationen hoch, um Lücken gegenüber den DORA-Anforderungen zu identifizieren
Risikobewertungen: Erstellen Sie DORA-konforme IKT-Risikobewertungen für Systeme und Drittanbieter-Beziehungen
Vorfallsreaktionsplanung: Entwickeln Sie Klassifizierungsschemata für Vorfälle und Meldeworkflows
Arbeitsbereichsorganisation: Verwalten Sie DORA-Projekte getrennt von anderen Compliance-Initiativen

Die KI verfügt über direktes Wissen zur Struktur von DORA und den technischen Regulierungsstandards (RTS), sodass Sie in Ihren Prompts auf bestimmte Artikel oder Säulen verweisen können.

Probieren Sie folgende Fragen: "Erstellen Sie eine Vorlage für die IKT-Drittanbieter-Risikobewertung gemäß DORA Artikel 28" oder "Welche Fristen gelten für die Meldung von Vorfällen nach DORA?"

Erste Schritte

So beginnen Sie mit der DORA-Compliance in ISMS Copilot:

Erstellen Sie einen dedizierten Arbeitsbereich für die DORA-Compliance
Bitten Sie die KI, spezifische Säulen oder Anforderungen zu erklären, die für Ihren Organisationstyp relevant sind
Generieren Sie grundlegende Richtlinien für das IKT-Risikomanagement und die Vorfallsreaktion
Laden Sie bestehende IKT-Richtlinien zur Lückenanalyse hoch
Entwickeln Sie ein Drittanbieter-Register und einen Risikobewertungsprozess mithilfe der KI-Anleitung