Bereit für den Wandel durch DORA?

Die EU-Verordnung 2022/2554 wurde am 16. Januar 2023 veröffentlicht.

Als Reaktion auf die Finanzkrise hatte die EU bereits im Jahr 2008 verschiedene Maßnahmen zur Stärkung der Resilienz im Finanzsektor ergriffen. Mit DORA (oder zu Deutsch: die Betriebsstabilität digitaler Systeme des Finanzsektors) weitet sich das Ansinnen um eine erhöhte Widerstandskraft auf den Einsatz von Informations- und Kommunikations-Technologien (IKT) aus, sind sie doch im Zuge der Digitalisierung von Finanzunternehmen zentrale Schlüsseltechnologien.

Da in dieser Branche die Bereitstellung, der Betrieb und die Wartung dieser Technologien nicht als Kernkompetenz der IT-Abteilungen der Finanzunternehmen verstanden wird, werden sie als IKT-Services am Markt häufig eingekauft.

Die eigene Widerstandsfähigkeit gerät in Abhängigkeit der Widerstandsfähigkeit der IKT-Dienstleister. Und da sowohl Finanz- als auch Dienstleistungsunternehmen häufig international agieren, unternimmt DORA den Anlauf vereinheitlichte Anforderungen auf europäischer Ebene zu formulieren.

Im Kern geht es um den Schutz vor Sicherheitslücken und Cyberangriffen sowie dem Umgang mit eingetretenen (schwerwiegenden) IKT-Sicherheitsvorfällen.

Im Verständnis von DORA ist der Sammelbegriff der "Finanzunternehmen" als Adressaten der neuen Anforderungen sehr weit gefasst.
Nach Art 2. Absatz 1 gilt die Verordnung u.a. für

• Kredit-, Zahlungs- und E-Geld-Institute,
• Anbieter von Krypto-Dienstleistungen,
• Wertpapierfirmen und Verwalter von Investmentfonds,
• Datenbereitstellungsdienste und Ratingagenturen sowie
• (Rück-) Versicherungsunternehmen, Versicherungsvermittler und Einrichtungen der betrieblichen Altersversorgung.

Eine Besonderheit von DORA liegt darin, dass bei Vorliegen entsprechende Voraussetzungen auch sogenannte kritische IKT-Dienstleister unter die direkte Überwachung der europäischen Aufsichtsbehörden gelangen können, und dies obwohl sie sich im Vergleich zu den beaufsichtigten Finanzunternehmen für die Ausübung ihrer Geschäftstätigkeiten keine Erlaubnis bei den Behörden einholen müssen.

Das wesentliche Kernziel von DORA liegt in der Harmonisierung und Vereinheitlichung der Lage der Betriebs- und Informationssicherheit der regulierten Finanzunternehmen in der EU und der hieran gestellten Anforderungen, und zwar einschließlich der damit verbundenen Risikobetrachtung.

Die bisherigen Regelungen erwiesen sich laut Analyse der EU als nur eingeschränkt wirksam, kostenintensiv und hemmend, weil

• sie erheblichen Spielraum für unterschiedliche Ansätze boten,
• nur ein begrenzter oder unvollständiger Schwerpunkt auf IKT-Risiken gelegt wurde, einzelne Cyberrisiken wurden nicht erkannt und angegangen,
• sich eine Vielzahl unkoordinierter nationaler  Regulierungsinitiativen und Aufsichtskonzepte entwickelt haben mit Inkohärenzen, Doppelanforderungen, hohen Verwaltungs- und Befolgungskosten insbesondere für grenzüberschreitend tätige Finanzunternehmen,
• Finanzaufsichtsbehörden nicht mit dem optimalen Instrumentarium ausgestattet wurden.

DORA verfolgt daher nun den Ansatz, das Management der Risiken der Digitalisierung/Cyberrisiken auf Basis eines einheitlichen Regelwerks ("single rulebook") in der gesamten EU zu gestalten.

Jedes Finanzunternehmen steht in der Verantwortung für sich selbst zu bestimmen, wie es den Begriff der Risikoorientierung belegt und anwendet.

Das beginnt mit der Selbsteinschätzung der Kritikalität der unterstützenden IKT-Systeme und der unterstützten Geschäftsprozesse. Ferner gilt es, die in diesem Zusammenhang seitens der ESAs (European Supervisory Authorities wie EBA, EIOPA und ESMA) und anderer nationaler Aufsichtsbehörden, wie z.B. der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) oder der FMA (Österreichische Finanzmarktaufsicht), vertretenen Sichtweisen zu berücksichtigen.

Und schließlich empfehlen wir, als weiteren Indikator zur Risikoorientierung die übergreifenden Feststellungen aus den jüngeren IT-Prüfungen zu berücksichtigen.

Die für deutsche Finanzunternehmen wie beispielsweise Banken und Versicherungen der derzeit noch geltenden BaFin-Rundschreiben zu aufsichtlichen Anforderungen an die IT wie BAIT, KAIT, VAIT und ZAIT (zusammenfassend kurz "XAIT") überschneiden sich inhaltlich vielfach mit den Anforderungen aus DORA.

Vereinfacht ausgedrückt ist DORA jedoch häufig detaillierter und strenger in der Ausgestaltung inhaltlich vergleichbarer Anforderungen und enthält auch darüber hinausgehende Abweichungen.

Das bedeutet aber zugleich, je höher die aktuelle Umsetzungsreife der XAIT im beaufsichtigten Unternehmen ist, desto höher ist die Wahrscheinlichkeit, dass auf vorhandene Strukturen zumindest aufgesetzt werden kann.

Mit Hilfe der Synopse sollten sich Abweichungen bzw. Übereinstimmungen mit dem DORA-Zielzustand schneller und einfacher bewerten lassen. Trotz der durch die BaFin geplanten Aufhebung der XAIT unterstützt der Vergleich mit den bestehenden Regelungen die Bestimmung des DORA-Reifegrades in deinem Unternehmen.

Zur Vermeidung von Doppelregelungen hat BaFin mit Ablauf des 16.01.25 Rundschreiben der BAIT, KAIT, VAIT und ZAIT aufgehoben. Finanzunternehmen sollten dennoch eine Gap-Analyse im Vergleich zu DORA vornehmen, um auf Grundlage dieser Ergebnisse ihren Handlungsbedarf zu erkennen.

DORA adressiert eine Reihe von Anforderungen, die inhaltlich mit denen der nachfolgend aufgeführten und für die (deutschen) Finanzunternehmen bereits geltenden Vorgaben korrespondieren.

• EBA-Leitlinien zum Management von IKT- und Sicherheits-Risiken (2019)
• EIOPA-Leitlinien zur Sicherheit und Governance im Bereich der Informations- und Kommunikations-Technologie (2020)
• BaFin-Rundschreiben zu aufsichtlichen Anforderungen an die IT (BAIT, VAIT, KAIT und ZAIT) (2017 ff)
  (Aufhebung geplant laut BaFin Aufsichtsmitteilung Hinweise zur Umsetzung von DORA im IKT-Risikomanagement und IKT-Drittparteienrisikomanagement Stand Juni 2024)
• BaFin-Rundschreiben für das Meldewesen für schwerwiegende Betriebs- und Sicherheitsvorfälle bei Zahlungsdienstleistern (2022)
• BaFin-Aufsichtsmitteilung zur Auslagerung an Cloud-Anbieter (2024)

Schätzungsweise zwei Drittel der Anforderungen aus DORA sind inhaltlich nicht komplett neu. Allerdings ist DORA inhaltlich vielfach detaillierter und schärfer.
Wie "nahe" oder wie "weit" als das eigene Unternehmen von der Erfüllung der Anforderungen aus DORA daher entfernt ist, ergibt sich auch aus dem bestehenden Grad der Umsetzung der Anforderungen aus den vorstehenden Regelwerken. Allerdings enthält DORA auch einige Abweichungen gegenüber diesen Regelwerken.

Unsere Landkarte schafft Orientierung in der Vielfalt der IKT-Anforderungen und visualisiert die nach DORA vorzuhaltenden Abhängigkeiten und Schnittstellen zwischen den Strategiepapieren, Richtlinien, Rollen und Prozessen sowie Verträgen.

Die DORA-Map hilft damit bei der Selbsteinschätzung des bereits erreichten Reifegrads in der unternehmenseigenen digitalen Resilienz und verdeutlicht wie ein Framework, aus welchen einzelnen Artefakten sich das übergeordnete Ziel verwirklichen lässt.

Auf diesen übergreifenden Blick legen wir viel Wert, wenn wir dich und dein Team in der Umsetzung von DORA begleiten. Denn auch wenn der Verordnungstext aufgrund seiner strikten und artikelbezogenen Trennung der Inhalte den Eindruck zunächst erweckt, diese Anforderungen stehen für sich isoliert, ist es erklärtes Ziel von DORA, unbedingt ein holistisches Vorgehen für die Umsetzung zu wählen.

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.

Der Steuerung und Kontrolle beauftragter IKT-Dienstleister kommt in DORA eine besondere Bedeutung zu, vor allem in der Überwachung der damit verbundenen Risiken. Denn trotz Fremdvergabe stehen die Finanzunternehmen weiterhin selbst in der Verantwortung, dass die Anforderungen ordnungsgemäß umgesetzt sind.

Damit ihr alle von den IKT-Drittdienstleistungs-Beziehungen ausgehenden Risiken immer im Griff behaltet, unterstützen wir euch u.a. mit:

• Strategie, Leitlinien und Prozesse zur Auswahl, Vergabe (Beschaffung), Risikobewertung und Überwachung von IKT-Dienstleistern
• Identifizierung von kritischen/wichtigen Funktionen (auch toolgestützt)
• Musterregelungen und Checklisten für DORA-konforme Alt- und Neuverträge inklusive einer unternehmensspezifischen Roadmap für die Vertragsanpassung
• Identifikation, Bewertung und Visualisierung von Konzentrationsrisiken
• Aufbau und Einbindung des Informationsregisters (auch toolgestützt)
• Inventarisierung der IKT-Systeme und IKT-Verträge für das Informationsregister
• Berichterstattung an Aufsichtsbehörden
• Ausstiegsstrategien für IKT-Dienstleistungen mit kritischen/wichtigen Funktionen
• Sicherstellung der Wirksamkeit der etablierten Prinzipien und Werkzeuge

Hierbei berücksichtigen wir laufend neue Entwicklungen sowie Hinweise und Auslegungen der nationalen Aufsichtsbehörden.

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.

Der Aufbau eines Registers für kritische IKT-Dienstleister ist eine der zentralen Vorgaben aus dem IKT-Drittpartei-Risikomanagement.

Bei der Konzeption eures Informationsregisters gilt es vor allem, die Regelungen aus dem technischen Durchführungsstandard zur Erstellung einer Standardvorlage für das Informationsregister (ITS JC 2023/85) umzusetzen, die die Kernanforderung aus Artikel 28.9 der Verordnung ergänzen. Neben der Frage, wer für das Register federführend verantwortlich ist, geht es bei der Inventarisierung der IKT-Verträge um die damit verbundenen Dienstleistungsketten ("supply chain"). Klarheit und Transparenz über nachgelagerte Sub-Dienstleister zu bekommen, ist eines der zentrale Ziele von DORA.

Dabei unterstützen wir euch u.a. bei folgenden Aspekten:

• Verzahnung des Informationsregisters mit eurem bestehenden Auslagerungs- und Beschaffungsmanagement (Checklisten, Prozesse, Tool etc.)
• Mapping und Migration gegebenenfalls bereits bestehender Registerinformationen zu IKT-Auslagerungen und -Fremdbezügen mit dem DORA-Informationsregister
• Bestimmung systemseitiger Abfragen (LEI, Testate und Zertifikate, TOMs etc.)
• Prozessdesign von der Informationserfassung bis zur Registerausgabe unter Berücksichtigung etwaiger Quell- und Nachsysteme
• Abbildung der Dienstleistungsketten und damit verbundene Zuordnung erkannter Konzentrationsrisiken.
   

Das Register muss für solche IKT-Verträge geführt werden, auf deren Grundlagen IKT-Dienstleistungen erbracht werden, die "kritische" oder "wichtige" Funktionen in eurem Unternehmen unterstützen. Daran knüpft wiederum die aus DORA für euch erwachsende Aufgabe, die Definitionen für "kritisch" und "wichtig" plausibel und risikoorientiert zu bestimmen, unter Berücksichtigung, dass "kritisch/wichtig" nicht gleichzusetzen ist mit den Kriterien für Auslagerungen/Ausgliederungen der nationalen Aufsichtsbehörden.

Das Informationsregister spielt eine entscheidende Rolle im Rahmen des IKT-Drittanbieter-Risikomanagements und der Überwachung der Einhaltung der DORA-Vorschriften.

Alles, was du zum Informationsregister wissen musst, haben wir in einem kostenlosen Whitepaper für dich zusammengefasst. Jetzt downloaden!

Im Rahmen des IKT-Drittpartei-Risikomanagements ist unter anderem eine Strategie zur Identifikation und Steuerung von IKT-Konzentrationsrisiken auf Unternehmensebene auszuarbeiten. Die im Zusammenhang stehende Risikobewertung der IKT-Fremdbezüge steht dabei in engem sachlichem Zusammenhang mit dem bisherigen IT-Auslagerungs- bzw. Ausgliederungs-Management. Die Dokumentation und Visualisierung der Dienstleistungsketten, die im Kontext der Konzentrationsrisiken erkannt werden und zu überwachen sind, sollte konzeptionell und funktional sinnvollerweise mit der Einführung des Informationsregisters zusammen erfolgen. Gleiches gilt für Informationen wie beispielsweise zu den jeweiligen Beendigungsplänen (Exit Management) oder die jeweilige Bewertung der Ersetzbarkeit der verpflichteten IKT-Dienstleister.

Nach Art. 3, Nr. 29 der Verordnung versteht sich der Begriff des IKT-Konzentrationsrisikos als "die Exposition gegenüber einzelnen oder mehreren verbundenen kritischen IKT- Drittdienstleistern, die zu einer gewissen Abhängigkeit von diesen Dienstleistern führt, sodass die Nichtverfügbarkeit, der Ausfall oder sonstige Defizite dieser Dienstleister die Fähigkeit eines Finanzunternehmens gefährden könnten, kritische oder wichtige Funktionen zu erfüllen, oder bei dem Finanzunternehmen andere Formen nachteiliger Auswirkungen, einschließlich großer Verluste, herbeiführen oder die finanzielle Stabilität der Union insgesamt gefährden könnten."

An dieser Stelle trägt die Umsetzung der DORA-Regelungen unternehmensübergreifend dem gesetzten Ziel der Vermeidung einer Cyberattacke als systemisches Risiko Rechnung.

Eine Besonderheit von DORA ist, dass sich die Verordnung nach Artikel 3 neben den Finanzunternehmen auch an kritische IKT-Dienstleister richtet.

Ähnlich wie bei den Finanzunternehmen greift hier ein sehr weites Verständnis: Demnach gehören dazu Anbieter von Digital- und Datendiensten, die über die IKT-Systeme einem oder mehreren internen oder externen Nutzern auf Dauer zur Verfügung gestellt werden, einschließlich Hardware als Dienstleistung und Hardware-Dienste, die technische Unterstützung durch Software- oder Firmware-Updates durch den Hardware-Anbieter umfassen. Ausdrücklich ausgenommen sind Anbieter analoger Telefondienste. Bei Vorliegen welcher Voraussetzungen ein IKT-Dienstleister als "kritisch" im Sinne der Verordnung eingestuft werden soll, entscheiden die verantwortlichen Aufsichtsbehörden EBA, EIOPA und ESMA.

Beim Auf- und Ausbau des IKT-Vorfall-Meldewesens helfen wir bei der Ausarbeitung, Einführung und Wirksamkeitskontrolle von:

• Richtlinien und Prozessen zur Aufdeckung, Klassifikation, Protokollierung und Überwachung IKT-bezogener Vorfälle
• Strategie und -Richtlinien zur Kommunikation IKT-bezogener Vorfälle
• Definition von Frühwarnindikatoren
• Verfahren zur Ursachenanalyse
• Zentralisierung des Incident Reportings

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.

Eine zentrale Herausforderung in der Umsetzung von DORA besteht darin, sachlich im Zusammenhang bereits bestehende Regelwerke (SfO) nicht einfach zu überschreiben. Umso wichtiger ist die vorherige, risikoorientierte Gap-Analyse, die im Ergebnis euren eigentlichen Handlungsbedarf ermittelt.

Als Enabler für komplexe Governance-, Risk- und Compliance-Strukturen in der IT bei beaufsichtigten Finanzunternehmen sind wir kontinuierlich gefordert, der Dynamik des Gesetzgebers und der Aufsichtsbehörden Rechnung zu tragen. Die Sicherstellung der Integrations- und Anschlussfähigkeit angepasster oder neuer Elemente in bestehende Aufbau- und Ablauforganisationen ist für uns daher geübte Praxis. Wir behalten das für euch im Blick!

Die Elemente zum Auf- bzw. Ausbau eines DORA-konformen Rahmens für das IKT-Risikomanagement sind vielfältig und müssen sich widerspruchsfrei in die bestehende Aufbau- und Ablauforganisation eures Unternehmens integrieren lassen. Dabei könnt ihr auf unsere langjährigen Expertise als IT-GRC-Spezialisten zählen.

Wir unterstützen dich und dein Team bei der Aus-/Überarbeitung, Einführung und Wirksamkeitskontrolle u.a. bei folgenden Elementen:

• Strategie für die digitale operationale Resilienz (DOR-Strategie)
• Festlegung und Zuordnung der Zuständigkeiten für das IKT-Risikomanagement inkl. Steuerung und Kontrolle durch das Leitungsorgan (Governance)
• Richtlinien, Funktionen und Prozesse zur Identifikation, Bewertung und Überwachung von IKT-Risiken (Schriftlich Fixierte Ordnung)
• IKT-Geschäftsfortführungsleitlinien sowie IKT-Reaktions- und Wiederherstellungspläne (Notfallmanagement)
• Überwachungs- und Kontrollsystem von Sicherheit und Betrieb der IKT-Systeme
• Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.

Die Artikel 5 bis 16 DORA regeln das Management der IKT-Risiken. Dabei nimmt Artikel 5 vor allem das Leitungsorgan des Finanzunternehmens in die zentrale Verantwortung, den Rahmen für das IKT-Risikomanagement zu ermöglichen, selbst aber auch Steuerung und Kontrolle auszuüben.

Die fortführenden Artikel gehen dann u.a. auf die eigentliche Ausprägung des IKT-Risikomanagement-Rahmen ein (Artikel 6), adressieren Vorgaben zu Schutz und Prävention (Artikel 9) sowie zur Reaktion und Wiederherstellung  (Artikel 10). Richtlinie und Verfahren zum Backup sowie Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung sind Gegenstand von Artikel 12, Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz in Artikel 13 geregelt.

Korrespondierend zu Artikel 15 sowie Artikel 16 Absatz 3 finden sich im technischen Regulierungsstandard (RTS) zudem ergänzende bzw. präzisierende Details zu Schutz und Prävention (Artikel 9), Erkennung (Artikel 10), Reaktion und Wiederherstellung (Artikel 11) sowie für einen vereinfachten IKT-Risikomanagement-Rahmen.

Die Artikel 17 bis 23 DORA adressieren Anforderungen zur Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle durch die Finanzunternehmen, die im Vergleich zu bestehenden Vorgaben (NIS-Richtlinie, PSD II-Richtlinie) harmonisiert und gestrafft werden. Zugleich wird die Berichtspflicht inhaltlich erweitert, die Vorfälle müssen überwacht und protokolliert werden. Die Meldung von Cyberbedrohungen ist hingegen gemäß Artikel 19 Absatz 2 freiwillig.

Nach Artikel 3 Nummern 8 und 10 ist ein IKT-bezogener Vorfall "ein von dem Finanzunternehmen nicht geplantes Ereignis […], das die Sicherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die vom Finanzunternehmen erbrachten Dienstleistungen hat."

Der technische Regulierungsstandard (RTS) zu Artikel 18 Absatz 3 präzisiert in diesem Zusammenhang den Klassifikationsprozess und die -Kriterien. Während sich der RTS zu Artikel 20 a auf  Inhalt und Fristen der damit verbundenen Meldung fokussiert, gibt der technische Durchführungsstandard (ITS) zu Artikel 20 b die Vorlage für die Meldung vor. 

Die Artikel 24 bis 27 DORA formulieren die Selbstverpflichtung des Finanzunternehmens zur (Über-) Prüfung der eigenen, digitalen operativen Widerstandsfähigkeit. Die Anforderungen schließen relevante IKT-Prozesse, -Systeme und -Technologien für kritische Funktionen sowie Dienste und Dienstleister ein. Im Kern geht es um Schwachstellenbewertungen und -Scans, Lückenanalysen, Bewertungen der Netzwerksicherheit,  Überprüfungen der physischen Sicherheit und sofern möglich auch um Prüfungen des Quellcodes.

Wie die in Frage kommenden Leistungs-, Szenario- und Penetrationstests etc. ausgestaltet werden sollen, legt der technische Regulierungsstandard (RTS) zu Artikel 26 Nummer 11 fest. Die Pflicht zur Durchführung bedrohungsorientierter Penetrationstests (TLPT) richtet sich dabei nur an die sogenannten "bedeutenden" Institute.

Third Party Risk Management
 

Die Artikel 28 bis 30 DORA regeln das Management von IKT-Drittparteirisiken (engl. Third Party Risk Management/TPRM). Dabei ist der gesamte Lebenszyklus des Bezugs der IKT-Dienstleistungen von den Finanzunternehmen zu berücksichtigen.

Die Identifikation und Bewertung der potenziell in Frage kommenden Risiken beginnt bereits im Rahmen einer Risikoanalyse und Due Diligence noch vor der eigentlichen Nutzung. Daneben werden Mindestinhalte an die IKT-Verträge formuliert, die Einbindung des IKT-Dienstleisters in das IKT-Vorfall-Meldewesen als verpflichtend adressiert und das Führen eines Informationsregisters über die abgeschlossenen IKT-Verträge geregelt.

Der technische Durchführungsstandard (ITS) zu Artikel 28 Nummer 9 enthält die Standardvorlage zur Erstellung des Informationsregisters. Das Informationsregister ist dabei auch zentrales Werkzeug zur Darstellung von Lieferketten ("supply chain") und möglicher Konzentrationsrisiken.

Die technischen Regulierungsstandards (RTS) enthalten Leitlinien zur Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer und wichtiger Funktionen (Artikel 28 Nummer 10) und zur Spezifizierung von Elementen bei der Untervergabe von kritischen oder wichtigen Funktionen (Art. 30 Absatz 5). Der Definition von Artikel 3 Nummer 22 folgend, sind Funktionen kritisch oder wichtig, "deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen eines Finanzunternehmens oder seiner sonstigen Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde."  

Nach DORA wird also beim IKT-Fremdbezug zwischen IKT-Dienstleistungen unterschieden, die kritische oder wichtige Funktionen unterstützen, und solchen, die dies nicht tun.

Artikel 45 DORA regelt den freiwilligen Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen mit anderen Marktteilnehmern.

Sofern sich Finanzunternehmen dazu entschließen, ist hierzu eine Vereinbarung untereinander zu treffen. Deutsche Finanzunternehmen sind in diesem Zusammenhang jedoch verpflichtet, die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) darüber zu informieren, sofern solche Vereinbarungen getroffen wurden. Gleiches gilt für den Fall der Beendigung der Teilnahmen an einem solchen Austausch.

Der Austausch "innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen" zielt darauf auf ab, "die digitale operationale Resilienz von Finanzunternehmen zu stärken, insbesondere indem für Cyberbedrohungen sensibilisiert, die Verbreitung von Cyberbedrohungen eingeschränkt oder verhindert wird und die Verteidigungsfähigkeiten, Techniken zur Erkennung von Bedrohungen, Abmilderungsstrategien oder Phasen der Reaktion und Wiederherstellung unterstützt werden."

Gerne begleiten wir deine Umsetzungsschritte, damit deine Organisation vorbereitet ist, wenn DORA kommt.

Im Seminar erfährst du und dein Team alles über die wichtigsten Begriffe, Regelungen und Zusammenhänge. Unsere ReferentInnen ordnen diese in bereits bestehende Anforderungen im IT-Outsourcing sowie in Anforderungen der Nutzung cloudbasierter Lösungen ein. Wir vermitteln, wie DORA mit dem Informationssicherheits-, IT-Risiko- und Betriebskontinuitäts-Management ineinandergreift und welche Handlungsbedarfe sich daraus ergeben. Dabei fokussieren wir auch auf die konkrete Ausgangssituation eures Unternehmens.

Im optionalen zweiten Seminar-Teil stellen wir den konkreten (Maßnahmen-) Bezug zur IT-Sicherheit her und vertiefen auf Experten-Niveau, wie sich die Anforderungen durch konkrete technische Lösungen in der Praxis bewältigen lassen.

Du brauchst weitere Infos zur Veranstaltung? Dann schau hier vorbei oder lade dir die Seminar-Infos direkt herunter: . Oder melde dich direkt bei uns!

Wir haben für euch alles vorbereitet, damit ihr unkompliziert und schnell ans Ziel kommt:

Unser Fragenkatalog berücksichtigt neben der bereits amtlich veröffentlichten und wirksamen Verordnung (Legal Act) auch die aktuellen Entwürfe der technischen Regulierungs- und Durchführungs-Standards (Regulatory Technical Standards / RTS und Implementing Technical Standards /ITS. Wir folgen damit den ausdrücklichen Empfehlungen der ESAs (European Supervisory Authorities wie EBA, EIOPA und ESMA) und anderer nationaler Aufsichtsbehörden, wie z.B. der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) oder der FMA (Österreichische Finanzmarktaufsicht), die Standards bei Analyse und Umsetzungsplanungen zu berücksichtigen, auch wenn sich diese noch im Entwurfsstadium befinden sollten.
Das Assessment können wir mit unserem CloudGate toolgestützt zur Verfügung stellen (keine dauerhafte Lizenzierung erforderlich).

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.

Wir stellen Musterregelungen für IKT-Verträge und im Zusammenhang stehende Richtlinien, die im IT-Outsourcing häufig vertraglich mitgelten, zur Verfügung. Daneben unterstützen wir bei der inhaltlichen Ausarbeitung solcher Richtlinien wie beispielsweise für das Informationssicherheits- und das IT-Notfall-Management.

Der Steuerung und Kontrolle beauftragter IKT-Dienstleister kommt infolge von DORA eine besondere Bedeutung zu. Denn bedienen sich Finanzunternehmen an solchen IKT-Fremdleistungen, stehen sie selbst weiterhin in der Verantwortung, dass die Anforderungen aus DORA umgesetzt sind. Gleiches gilt bei Nutzung von Diensten und Ressourcen aus der Cloud. Für letztere Fälle, in denen in der Regel kein IKT-Vertrag vom Unternehmen individuell verhandelt werden kann, weil die AGB des Cloud Anbieters greifen, stellen wir entsprechende DORA-Checklisten zur Verfügung.

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.

DORA bietet dir ausdrücklich die Möglichkeit, der Umsetzung der Anforderungen unter dem Gesichtspunkt der Verhältnismäßigkeit für dein Unternehmen zu gestalten. Damit wird z.B. deiner Unternehmensgröße, aber auch deinem Geschäftsmodell und dem Gesamtrisikoprofil in der Maßnahmenumsetzung Rechnung getragen.

Artikel 4 DORA umschreibt die Verhältnismäßigkeit als Berücksichtigung von Art, Umfang und Komplexität der Dienstleistung, Tätigkeiten und Geschäfte deines Unternehmens.

DORA benennt im Rahmen der IKT-Governance verschiedene Funktionen, die teilweise bereits in eurem Unternehmen vorhanden sein können. Dies umfasst

• die IKT-Risikokontrollfunktion
• die Krisenkommunikations-Funktion sowie
• die Drittpartei-Risikomanagementfunktion.

Wir unterstützen dich in der Ausgestaltung der Rollen in deinem Unternehmen unter Berücksichtigung deiner individuellen Anforderungen (Proportionalität). Dabei helfen wir bei der Entscheidungsfindung welche Aufgaben bestehenden Verantwortlichen zugeschlüsselt werden können beziehungsweise wo du neue Rollen und Funktionen aufbauen musst.  
In der BaFin-Aufsichtsmitteilung "Hinweise zur Umsetzung von DORA im IKT-Risikomanagement und IKT-Drittparteienrisikomanagement" verweist die Aufsichtsbehörde z.B. auf die Möglichkeit den Verantwortungsbereich des Informationssicherheitsbeauftragten (ISB) in Bezug auf das Management von IKT-Risiken weiter zu entwickeln.

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.

DORA fordert Transparenz und Nachverfolgbarkeit der vollständigen Dienstleisterkette inklusive Subdienstleister für IKT-Leistungen. Dies bedeutet zunächst, alle Dienstleister und Subdienstleister zu identifizieren.

Wir unterstützen bei der Abgrenzung von IKT-Leistungen zu sonstigen Dienstleistungen sowie bei der Benennung der für euch wichtigen und kritischen Dienstleister, welche zwingend an die Aufsichtsbehörden zu melden sind.

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.