Sicherheitsbollwerk oder Overkill? DORA – Countdown für Finanzinstitute

Anbieter zum Thema

adesso SE

FTAPI Software GmbH

Pathlock Deutschland GmbH

TXOne Networks

Die EU-Verordnung zur digitalen operationalen Resilienz (DORA) verfolgt das Ziel, einen Rahmen für ein umfassendes Management von IKT-Risiken im Finanzsektor zu schaffen. Betroffene Unternehmen und Dienstleister müssen DORA bis zum 17. Januar 2025 umgesetzt haben. Doch welche Anforderungen gibt es überhaupt und was ist jeweils zu berücksichtigen?

DORA (Digital Operational Resilience Act) steht als Rufname für die EU-Verordnung 2022/2554, über die digitale operationale Resilienz im Finanzsektor. Mit ihr werden die derzeit heterogenen und teilweise lückenhaften oder sich überschneidenden Anforderungen zum Management von Risiken der Informations- und Kommunikationstechnologe (IKT) vereinheitlicht.

Kurz gesagt: IKT-Risiken sollen erkannt und Vorfälle bestmöglich vermieden werden. Wenn es trotz aller Vorsichtsmaßnahmen doch zu einem Vorfall kommt, soll dieser ohne nennenswerte Auswirkungen auf die Dienstleistungen des betroffenen Finanzinstituts behandelt werden können.

Neues eBook von Security-Insider

Neue Regulierung für Datenschutz und IT-Sicherheit

Was bedeutet das für die betroffenen Finanzinstitute?

Nahezu alle Finanzinstitute sind von DORA betroffen, mit Ausnahme von sehr kleinen Instituten und einigen Spezialfällen, wie beispielsweise Versicherungsvermittlern.

DORA legt großen Wert auf Angemessenheit und Verhältnismäßigkeit. Dies lässt einen gewissen Interpretationsspielraum dafür offen, wie DORA nun tatsächlich angewendet werden soll. Das sogenannte Proportionalitäts­prinzip sieht vor, dass bei der Anwendung der DORA-Vorschriften Unterschiede zwischen Finanzunternehmen in Bezug auf deren Größe und Gesamtrisikoprofil berücksichtigt werden müssen.

IKT-Risikomanagement

Der wesentliche Bestandteil der Verordnung sind die Anforderungen an das IKT-Risikomanagement. So wird ein umfassender IKT-Risikomanagementrahmen gefordert, der Teil des Gesamtrisikomanagementsystems eines Finanzunternehmens ist. Er soll es Finanzunternehmen ermöglichen, „IKT-Risiken schnell, effizient und umfassend anzugehen und ein hohes Niveau an digitaler operationaler Resilienz zu gewährleisten.“ (Art. 6 Abs. 1 DORA).

Die Geschäftsleitung ist verantwortlich für das Management der IKT-Risiken. Sie muss die Strategie für die digitale operationale Resilienz (DOR-Strategie) festlegen und ein angemessenes Budget dafür einplanen.

Das erforderliche Know-how muss bei allen beteiligten Akteuren immer auf dem neuesten Stand sein. Dies gilt auch für die Geschäftsleitung und geht mit nachweisbaren Schulungsverpflichtungen einher. Es muss außerdem eine unabhängige Risikokontrollfunktion eingerichtet werden. Das IKT-Risikomanagement wird durch DORA stärker akzentuiert und ist nicht der IT oder der Informationssicherheit untergeordnet. Die konkreten Anforderungen an das IKT-Risikomanagement orientieren sich an etablierten Best Practices und Standards. DORA ist aber standard- und technikneutral.

Wichtig ist, dass IKT-Systeme, -Protokolle und -Tools immer auf dem „neuesten Stand“ und mit „ausreichenden Kapazitäten ausgestattet“ sind (Art. 7 DORA). Der thematische Fokus liegt auf der Sicherheit von Netzwerk- und Informationssystemen. DORA verwendet hierfür die Begriffe

• „IKT-Asset“, eine Software oder Hardware in den Netzwerk- und Informationssystemen der Finanzunternehmen, und

• „Informationsasset“, eine Sammlung materieller oder immaterieller Informationen, die geschützt werden sollen. Schutzziele sind die bekannten Aspekte Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit.

IKT-Vorfallsmanagement

Ein „IKT-bezogener Vorfall“ ist ein nicht geplantes Ereignis, das „die Sicherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die vom Finanzunternehmen erbrachten Dienstleistungen hat“ (Art. 3 Absatz 1 Nr. 8 DORA).

IKT-Vorfälle müssen behandelt und gemäß der in Artikel 18 DORA genannten Kriterien klassifiziert und im Falle von schwerwiegenden Vorfällen an die zuständige Aufsichtsbehörde gemeldet werden. Kriterien sind unter anderem die Anzahl der betroffenen Kunden oder Transaktionen, Dauer des Vorfalls, geografische Ausbreitung, Verfügbarkeits-, Authentizitäts-, Integritäts- oder Vertraulichkeitsverluste von Daten und die wirtschaftlichen Auswirkungen des Vorfalls. Der Klassifikationsprozess wird in einem eigenen RTS „Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen“ detailliert dargestellt.

Regulierungsvorhaben der EU

Erheblicher Umsetzungs­aufwand durch neue Unternehmensregeln der EU

Testen der digitalen operationalen Resilienz

DORA verpflichtet alle Finanzunternehmen dazu, ein risikobasiertes, nach proportionalen Aspekten ausgerichtetes Testprogramm für ihre IKT zu erstellen und durchzuführen, beispielsweise die Analyse von Open-Source-Software oder die Prüfung der Netzsicherheit. Darüber hinaus sind szenariobasierte Tests, Kompatibilitätstests oder Penetrationstests Teil des Testprogramms.

Wichtige Finanzunternehmen und wesentliche Dienstleister werden dazu verpflichtet, bedrohungsorientierte Penetrationstests (Threat Led Penetration Tests – TLPT) durchzuführen. Diese Tests lehnen sich an das europäische Rahmenwerk TIBER-EU an und werden in einem RTS zum „Threat Led Penetration Testing“ weiter spezifiziert.

IKT-Drittparteirisiko

Finanzunternehmen lagern viele IKT-Aufgaben an Dienstleister aus. Um operationale Resilienz zu gewährleisten, ist es wichtig, die komplette Dienstleistungskette und das damit einhergehende Risko über den gesamten Lebenszyklus zu betrachten. Vor Vertragsabschluss muss eine Risikoanalyse durchgeführt, die Eignung des Dienstleisters und die Abhängigkeit zu diesem bewertet und gegebenenfalls eine Ausstiegsstrategie festgelegt werden.

Herausfordernd für Finanzunternehmen und IKT-Dienstleister wird die Erfüllung von definierten Mindestvertragsinhalten, die neben umfangreichen Prüf- und Auditrechten auch Verpflichtungen beinhalten, bei relevanten IKT-Vorfällen kostenfreie Unterstützung zu leisten. Finanzunternehmen müssen also alle IKT-Verträge prüfen und fristgemäß anpassen.

Alle IKT-Vertragsbeziehungen werden in einem Informationsregister dokumentiert, sodass die Aufsicht kritische IKT-Drittdienstleister zum Beispiel aufgrund von Oligopolen bestimmen kann.

Überwachungsrahmen für kritische IKT-Drittdienstleister

Einige IKT-Dienstleister werden von den Aufsichtsbehörden als „Kritische IKT-Drittdienstleister“ definiert und unterstehen deren Überwachung. Bei der Einstufung wird berücksichtigt, wie stark kritische oder wichtige Funktionen der Finanzunternehmen vom IKT-Drittdienstleister abhängen.

Die Überwachung erfolgt gemäß eines Bewertungsrahmens nach Artikel 33 Absatz 3 DORA und umfasst neben Governance-Regelungen und Risikomanagementprozessen insbesondere IKT-Anforderungen, um „die Sicherheit, Verfügbarkeit, Kontinuität, Skalierbarkeit und Qualität der Dienste zu gewährleisten“.

Die federführende Überwachungsbehörde hat gegenüber dem kritischen IKT-Drittdienstleister Informations-, Kontroll- und Prüfrechte. Sie kann auch hohe Zwangsgelder verhängen und von Finanzunternehmen die Aussetzung oder Kündigung von Diensten verlangen. Die verhängten Zwangsgelder und Sanktionen werden außerdem veröffentlicht – eine von der BaFin bereits bekannte Praxis.

Vereinbarungen über den Austausch von Informationen sowie Cyberkrisen- und Notfallübungen

DORA ermöglicht, dass Finanzinstitutionen ihre Erkenntnisse über Cybergefahren miteinander teilen und bei Notfallübungen zusammenarbeiten. Von einem Austausch zu Bedrohungen, Schwachstellen und zu Vorgehensweisen von Angreifern sollen alle Beteiligten profitieren und ihre eigene Resilienz optimieren können. Die BaFin hat die Absicht, ein zentraler Inputgeber für diesen Austausch zu sein, da sie aktuelle und detaillierte Informationen, beispielsweise über bestehende Bedrohungen und Störungen, aufgrund der Meldeverpflichtungen über IKT-Vorfälle bereitstellen kann.

Fazit

Keine Frage: Die Erfüllung aller DORA-Anforderungen wird aufwendig sein. Doch einige Finanzunternehmen sind bereits stark reguliert und somit in einer guten Ausgangslage. DORA enthält aber auch zahlreiche neue Anforderungen. Es gibt also für alle betroffenen Unternehmen viel zu tun und dafür bleibt nicht mehr viel Zeit.

Über den Autor: Tobias Dieter ist Experte für Regulatorik und Security-Awareness bei adesso. Er berät seine Kunden seit vielen Jahren in den Themenbereichen KRITIS und xAIT. Zudem bildet er IT-Sicherheitsbeauftragte aus und freut sich immer aufs Neue, wenn er Menschen für Informationssicherheit sensibilisieren und begeistern kann.

(ID:49998206)