Digital Operational Resilience Act (Dora)

Zukünftig sollen die Geschäftsstrategie und das IKT-Risikomanagement von Finanzunternehmen besser aufeinander abgestimmt sein. Hierfür werden die Leitungsorgane betroffener Unternehmen in die Verantwortung genommen, in der Entwicklung des IKT-Risikomanagements und der Gesamtstrategie für die digitale operationale Resilienz eine zentrale und aktive Rolle einzunehmen. Dazu gehört neben der Steuerung und der Bereitstellung entsprechender Ressourcen auch die Definition, Genehmigung, Überwachung und Rollenzuweisung im Zusammenhang mit dem IKT-Risikomanagement. Die durch das Leitungsorgan definierte Gesamtstrategie ist zunächst in einem übergeordneten Grundsatz festzuhalten, der dann in eine Reihe spezifischer Anforderungen aufzuspalten ist. Inhaltlich soll der Umgang mit unternehmensinternen IKT-Systemen und -Datenbeständen festgelegt werden, inklusive deren kontinuierlicher Überwachung. Es sind Regelungen für den Aufbau und die stetige Weiterentwicklung des IKT-Risikomanagements zu definieren sowie Melde-, Genehmigungs- und Kontrollverfahren festzulegen. Dies inkludiert auch IKT-Reaktions- und -Wiederherstellungspläne. Die erstellte Leitlinie soll auch als Grundlage für die Nutzung von IKT-Dienstleistungen, zur Schulung von IKTProzessen inklusive damit verbundener Rollen und Verantwortlichkeiten sowie für die Erstellung von Revisionsplänen herangezogen werden. Letztere müssen dann durch das zuständige Leitungsorgan genehmigt und fortlaufend überprüft werden

Im Rahmen eines IKT-Risikomanagements sollen IKT-Risiken und deren Ursachen zunächst identifiziert und passende Schutz- und Präventionsmaßnahmen definiert werden. Um den Geschäftsbetrieb zu gewährleisten, gilt es, anormale Aktivitäten zeitnah aufzudecken und dedizierte Strategien für die Fortführung des Geschäftsbetriebs und das Notfallmanagement zu entwickeln. Dies gilt nicht nur für die logische IKT-Infrastruktur, sondern auch für die Integrität, Sicherheit und Robustheit physischer Infrastrukturen und Einrichtungen. Das IKT-Risikomanagement soll durch geeignete Überprüfungs- und Überwachungsverfahren stets weiterentwickelt werden, um die digitale Betriebsstabilität auch in einer sich dynamisch ändernden Bedrohungslage zu sichern (siehe auch Abbildung 2). Die Verordnung selbst gibt bei der Umsetzung und Entwicklung eines Risikomanagements keinen Standard vor. Die Komponenten des IKT-Risikomanagements können in bereits etablierte operative Gesamtrisikomanagementsysteme eingegliedert werden.

Vergleich von DORA mit MaRisk, xAIT und dem IT-Sicherheitsgesetz

Für bereits regulierte Unternehmen ergeben sich verglichen mit bestehenden EU-Regularien wie der MaRisk, dem IT-Sicherheitsgesetz 2.0 oder den xAIT-Regelungen in Bezug auf die IKT-Governance und das IKT-Risikomanagement kaum neue Anforderungen aus der DORA. Die Anforderungen sollten bereits in bestehenden Organisationsstrukturen und Gesamtrisikomanagementsystemen etabliert sein. Ein detaillierterer Abgleich der DORA-Verordnung mit den bereits existierenden Regularien im Hinblick auf die Einführung einer angemessenen IKT-Governance und eines IKT-Risikomanagements ist im Anhang aufgeführt.

Image

Neben der Definition und Einführung eines angemessenen IKT-Risikomanagements auf der Grundlage einheitlicher Vorgaben soll auch die Berichterstattung an die Aufsichtsbehörden mit der Einführung von DORA harmonisiert und vereinheitlicht werden. Zudem sollen regelmäßige Funktionstests sicherstellen, dass das IKT-Risikomanagement und damit einhergehende implementierte Sicherheitsvorkehrungen auch tatsächlich effektiv sind und der Betrieb und die Funktionsweise des Finanzunternehmens stets sichergestellt ist. DORA fordert somit implizit einen auf EU-Ebene harmonisierten Business-Continuity-Management-Standard.

"Viele Inhalte von DORA sind bereits mit bestehenden EU-Regularien abgedeckt. Trotzdem ist DORA nicht zu unterschätzen."

Sebastian Mayer, Managing Director

Im Interesse einer einheitlichen Berichterstattung bzw. Vorfallsmeldung sind Finanzunternehmen zukünftig verpflichtet, einen Prozess zur Überwachung und Protokollierung von IKT-bezogenen Vorfällen zu etablieren. Alle protokollierten Vorfälle sind zu klassifizieren und als schwerwiegend geltende IKT-Vorfälle fristgerecht und unverzüglich^[3],^[4] unter der Verwendung einer einheitlichen Formatvorlage an die zuständigen Behörden^[5] zu melden. Die Klassifizierung erfolgt anhand festgeschriebener Kriterien wie beispielsweise der Dauer des Vorfalls, der Anzahl betroffener Kunden oder der geografischen Ausbreitung der vom IKTVorfall betroffenen Gebiete. Die genauen Kriterien inklusive der Wesentlichkeitskriterien werden durch die ESA in Abstimmung mit der EZB und der ENISA präzisiert und veröffentlicht. Zusätzlich sollen Finanzunternehmen über eine regelmäßige Berichterstattung in Form von Erst-, Folge- und Abschlussberichten auch ihre Kunden*innen oder Nutzer*innen informieren, sofern die Vorfälle Auswirkungen auf deren finanzielle Interessen haben. Sobald die Erstmeldung oder sonstige Meldungen bei den Behörden eingegangen sind, wird dies bestätigt und, wenn möglich, eine Rückmeldung mit sachdienlichen Orientierungshilfen aus ähnlichen Bedrohungslagen anderer, anonymisierter Finanzinstitute gegeben.

Durch die Meldung von schwerwiegenden IKTVorfällen wird es für die ESA möglich, jährlich in anonymisierter und aggregierter Form über solche Vorfälle zu berichten. Dadurch können Finanzinstitute von den Erfahrungen anderer Finanzunternehmen profitieren und im besten Fall vorbeugende Sicherheitsmaßnahmen zur Vermeidung ähnlicher Vorfälle etablieren. Zusätzlich gibt die ESA Warnungen heraus und erstellt allgemein gehaltene Statistiken, um die Bewertungen von Bedrohungen und Schwachstellen im IKT-Bereich zu unterstützen.

Funktionstest der digitalen operationalen Resilienz

Zur Sicherstellung der Funktionsweise und Angemessenheit des etablierten IKT-Risikomanagements, der IKT-Systeme und zugehöriger Kontrollen sollen einzelne kritische Komponenten regelmäßig – mindestens jährlich – durch angemessene Tests überprüft werden. DORA sieht dabei nicht nur das Testen organisatorischer Kontrollen vor, sondern explizit auch das Prüfen technischer Komponenten, zum Beispiel durch Penetrationstests, Open-Source- Tests oder Netzwerksicherheitsbewertungen. Die ESA erarbeitet im Einvernehmen mit der EZB gemeinsame technische Regulierungsstandards^[6]. In diesen wird präzisiert, inwieweit Tests durch interne oder externe Tester durchgeführt werden, welcher Umfang und welche Testmethodik für Tests notwendig sind, welche Anforderungen an das Testkonzept und für die einzelnen Testphasen gelten und wie die Behebungsphasen für die Schwachstellen, die potenziell durch den Test identifiziert wurden, zu gestalten sind.

Image

Für die Umsetzung der Anforderungen können Unternehmen einen risikobasierten Testplan eta- blieren. Hierbei gilt es, verschiedene Bedrohungsszenarien zu simulieren und die Abwehrbereitschaft zu testen. Sofern von Bedrohungsszenarien betroffene Prozesse und Systeme ausgelagert sind, kann es notwendig werden, diese Tests auch bei externen IKT-Dienstleistern durchzuführen. Deren Kooperation in Bezug auf verpflichtende Tests wird künftig erforderlich sein. Dies sollte im besten Fall vertraglich festgehalten sein (siehe hierzu auch Kapitel zu „Ausgereiftes IKT-Risikomanagement für Drittparteien“). Die bei den Tests ermittelten Schwachstellen, Mängel oder Lücken sind umgehend durch Korrekturmaßnahmen zu schließen. Die Testergebnisse sollen protokolliert und an die europäischen Aufsichtsbehörden übermittelt werden.

Zusammenfassend kommen mit der zweiten Säule von DORA neue Anforderungen an die Protokollierung und Meldung von signifikanten IKT-Vorfällen auf betroffene Unternehmen zu. Des Weiteren soll ein festes Rahmenwerk für die Durchführung von Resilienztests deren Qualität erhöhen. Der Austausch von Protokollen zu Testergebnissen soll zudem den Informationsaustausch des Finanzmarktes auf EU-Ebene fördern. Ziel ist es, auf diese Weise zeitnahe und einheitliche Maßnahmen zum Schutz vor Cyberangriffen auf EU-Ebene einführen zu können.

Vergleich von DORA mit MaRisk, xAIT und dem IT-Sicherheitsgesetz

Bestehende EU-Regularien beinhalten bereits Anforderungen an die Berichterstattung über Informationssicherheitsvorfälle und die Durchführung von Stresstests. Mit der Einführung von DORA werden diese nun spezifiziert. Die Berichtsvorgaben und die Verpflichtung zur Durchführung regelmäßiger Stresstests gelten zudem bis dato nur für unternehmensinterne Bereiche. Externe IKT-Dienstleister unterlagen bisher nicht diesen Vorgaben. Mit DORA werden die geltenden Anforderungen nun auch für externe IKT-Dienstleister rechtskräftig. Als Folge der neuen Regelungen zur verpflichtenden IKT-Vorfallsmeldepflicht sollten Finanzunternehmen ihr aktuell implementiertes Meldewesen für Informationssicherheitsvorfälle erweitern, um den Meldepflichten an die Behörden nachzukommen. Des Weiteren sollten die aktuellen unternehmensinternen Vorgaben zur Durchführung und Protokollierung von Stresstests darauf geprüft werden, ob sie dem neuen Rahmenwerk vollständig entsprechen, und ein Prozess zur fristgerechten Meldung der Stresstestergebnisse etabliert werden. Eine detaillierte Gegenüberstellung bereits bestehender Anforderungen für Vorfallsmeldepflichten und an die Durchführung von Tests zur Betriebsstabilität geknüpfter Vorgaben aus der MaRisk, xAIT und dem IT-Sicherheitsgesetz im direkten Vergleich zu DORA ist im Anhang aufgeführt.

Die dritte Säule des DORA spezifiziert Anforderungen an das IKT-Risikomanagement für Drittparteien. Für einen ausgereiften Schutz vor Cyberangriffen soll das interne Risikomanagement von Finanzinstituten auf ihre IKT-Dienstleister ausgeweitet werden.

Gefordert ist ein Überwachungsprozess, der das ganzheitliche Management von IKT-Risiken, die durch die Auslagerung von Services an Dritte entstehen, möglich macht – während der Vertragsverhandlungen, des Vertragsabschlusses, der Leistungserfüllung und der Nachvertragsphase. Wichtig ist hierbei, dass die Verantwortung für das IKTRisikomanagement auch bei der Auslagerung von Prozessen an Dienstleister stets bei dem Finanzinstitut verbleiben muss. Um dies standardisiert umsetzen zu können, definiert DORA verpflichtende Mindestvorgaben zu Vertragsinhalten zwischen Finanzinstitut und IKT-Dienstleistern. So müssen Verträge neben einer vollständigen Beschreibung der Leistungen inklusive Leistungszielen auch Angaben zu den Orten enthalten, an denen die Daten verarbeitet werden. Darüber hinaus müssen Berichtspflichten, insbesondere die Gewährleistung des Vertragspartners, bei IKT-Vorfällen Unterstützung zu leisten, sowie eine Exit-Strategie schriftlich in den Dienstleistungsverträgen vereinbart werden. Zukünftig fallen auch IKT-Dienstleister aus dem eigenen Unternehmensverbund, also beispielsweise Tochter- oder Muttergesellschaften betroffener Finanzinstitute, unter diese Regelungen.

DORA soll dafür sorgen, dass kritische IKTDienstleister einem durch die ESA verantworteten Aufsichtsrahmen unterworfen werden. Welche IKT-Dienstleister als kritisch eingestuft sind, legt die ESA fest und veröffentlicht jährlich eine entsprechende Liste. Ein neues Überwachungsgremium, bestehend aus den Vorsitzenden der ESA, Exekutivdirektor*innen von europäischen Aufsichtsbehörden und anderen Vertreter*innen, erhält ein weitreichendes Informations-, Kontrollund Überprüfungsrecht gegenüber diesen kritischen IKT-Dienstleistern. Das Überwachungsgremium bewertet, ob kritische IKT-Dienstleister über fundierte und wirksame Vorschriften, Verfahren, Mechanismen und Vorkehrungen zum IKT-Risikomanagement verfügen. Sollten Standards und Vorgaben durch die kritischen IKT-Dienstleister nicht eingehalten werden, kann das Gremium eingreifen und Finanzinstitute als letzte Konsequenz auch auffordern, nicht mehr mit bestimmten Dienstleistern zusammenzuarbeiten.

Image

"Die Ausweitung von Prüf‑, Informationsund Kontrollrechten gegenüber kritischen IKT‑Dienstleistern und die Unterstützung der ESA bei deren Überwachung bietet Finanzinstituten eine Chance für mehr Cybersicherheit."

Christopher Chassée, Director

Zusammenfassend soll DORA durch die Anforderungen an die Vertragsinhalte zwischen Finanzinstituten und IKT-Dienstleistern sowie die Einführung eines Kontroll- und Überwachungsrahmens für als kritisch definierte IKT-Dienstleister eine ganzheitliche Überwachung von IKT-Dienstleistern auf gesamteuropäischer Ebene fördern.

Vergleich von DORA mit MaRisk, xAIT und dem IT-Sicherheitsgesetz

Bereits in bestehenden EU-Regularien werden Unternehmen verpflichtet, die Auslagerung von IKT-Prozessen oder die Bereitstellung von IKTKomponenten durch Drittparteien in ihr IKT-Risikomanagement einzubeziehen, Mindestinhalte in Dienstleistungsverträgen aufzunehmen und deren Einhaltung sicherzustellen. Mit DORA werden die Mindestinhalte für die Dienstleistungsverträge erweitert. Die Tatsache, dass zukünftig auch IKTDienstleister aus dem eigenen Unternehmensverbund den gleichen Anforderungen wie das regulierte Finanzinstitut unterliegen, erhöht die Reichweite entsprechender Anforderungen an das IKT-Risikomanagement und damit verbundener Prozesse. Neu ist außerdem die Schaffung des Kontrollgremiums für als kritisch festgelegte IKT-Dienstleister. Einen detaillierteren Vergleich finden Sie im Anhang. Als Maßnahme zur Umsetzung der neuen DORARegelungen sollten Finanzinstitute daher für ihre bestehenden IKT-Dienstleistungsverträge überprüfen, inwieweit diese die Mindestinhalte gemäß DORA abdecken, und die Verträge ggf. nachschärfen. Mittelfristig haben Finanzinstitute zukünftig die Möglichkeit, bei der Auswahl ihrer IKT-Dienstleister auf die Liste der von der ESA als kritisch klassifizierten Dienstleister zurückzugreifen. Deren Risikomanagement wird durch das Aufsichtsgremium der ESA regelmäßig auf seine Angemessenheit und Wirksamkeit geprüft, was sich wiederum positiv auf die Risikomanagement- und Überwachungspflichten der beauftragenden Finanzinstitute auswirkt.