DORA wird wirksam - jetzt die Umsetzung vorbereiten!

Als Reaktion auf die Finanzkrise hatte die EU bereits im Jahr 2008 verschiedene Maßnahmen zur Stärkung der Resilienz im Finanzsektor ergriffen. Mit DORA (oder zu Deutsch: die Betriebsstabilität digitaler Systeme des Finanzsektors) weitet sich das Ansinnen um eine erhöhte Widerstandskraft auf den Einsatz von Informations- und Kommunikations-Technologien (IKT) aus, sind sie doch im Zuge der Digitalisierung von Finanzunternehmen zentrale Schlüsseltechnologien.

Da in dieser Branche die Bereitstellung, der Betrieb und die Wartung dieser Technologien nicht als Kernkompetenz der IT-Abteilungen der Finanzunternehmen verstanden wird, werden sie als IT-Services am Markt häufig eingekauft. Die eigene Widerstandsfähigkeit gerät in Abhängigkeit der Widerstandsfähigkeit der IKT-Dienstleister. Und da sowohl Finanz- als auch Dienstleistungsunternehmen häufig international agieren, unternimmt DORA den Anlauf vereinheitlichte Anforderungen auf europäischer Ebene zu formulieren.

Im Kern geht es um den Schutz vor Sicherheitslücken und Cyberangriffen sowie dem Umgang mit eingetretenen Sicherheitsvorfällen.

Im Verständnis von DORA ist der Sammelbegriff der "Finanzunternehmen" als Adressaten der neuen Anforderungen sehr weit gefasst. Nach Art 2. Absatz 1 gilt die Verordnung u.a. für Kredit-, Zahlungs- und E-Geld-Institute, Anbieter von Krypto-Dienstleistungen, Wertpapierfirmen und Verwalter von Investmentfonds, Datenbereitstellungsdienste und Ratingagenturen sowie (Rück-) Versicherungsunternehmen, Versicherungsvermittler und Einrichtungen der betrieblichen Altersversorgung.

Ausgenommen von DORA sind nach Absatz 3 "Kleinstunternehmen" mit weniger als 10 Beschäftigten und 2 Mio. € Jahresumsatz während nach den Absätzen 4 und 5 ein nationales Wahlrecht besteht, in dessen Folge beispielsweise die Kreditanstalt für Wiederaufbau (KfW) und die Förderbanken der Bundesländer ausgenommen werden können. Noch nicht abschließend entschieden ist, ob sich DORA auch an Prüfungsgesellschaften richtet.

Eine Besonderheit von DORA ist, dass sich die Verordnung nach Artikel 3 neben den Finanzunternehmen auch an kritische IKT-Dienstleister richtet.

Ähnlich wie bei den Finanzunternehmen greift hier ein sehr weites Verständnis: Demnach gehören dazu Anbieter von Digital- und Datendiensten, die über die IKT-Systeme einem oder mehreren internen oder externen Nutzern auf Dauer zur Verfügung gestellt werden, einschließlich Hardware als Dienstleistung und Hardware-Dienste, die technische Unterstützung durch Software- oder Firmware-Updates durch den Hardware-Anbieter umfassen. Ausdrücklich ausgenommen sind Anbieter analoger Telefondienste. Bei Vorliegen welcher Voraussetzungen ein IKT-Dienstleister als "kritisch" im Sinne der Verordnung eingestuft werden soll, entscheiden die verantwortlichen Aufsichtsbehörden EBA, EIOPA und ESMA.

Gerne begleiten wir deine Umsetzungsschritte, damit deine Organisation vorbereitet ist, wenn DORA kommt.

Im Seminar erfährst du und dein Team alles über die wichtigsten Begriffe, Regelungen und Zusammenhänge. Unsere ReferentInnen ordnen diese in bereits bestehende Anforderungen im IT-Outsourcing sowie in Anforderungen der Nutzung cloudbasierter Lösungen ein. Wir vermitteln, wie DORA mit dem Informationssicherheits-, IT-Risiko- und Betriebskontinuitäts-Management ineinandergreift und welche Handlungsbedarfe sich daraus ergeben. Dabei fokussieren wir auch auf die konkrete Ausgangssituation eures Unternehmens.

Im optionalen zweiten Seminar-Teil stellen wir den konkreten (Maßnahmen-) Bezug zur IT-Sicherheit her und vertiefen auf Experten-Niveau, wie sich die Anforderungen durch konkrete technische Lösungen in der Praxis bewältigen lassen.

Du brauchst weitere Infos zur Veranstaltung? Dann schau hier vorbei oder lade dir die Seminar-Infos direkt herunter: . Oder melde dich direkt bei uns!

Mithilfe unseres DORA Gap Assessments ermittelst du toolgestützt und anhand von Checklisten, in welchen Bereichen deine Organisation Handlungsbedarf hat. Wir haben für dich alles vorbereitet, damit du unkompliziert und schnell ans Ziel kommst.

Dabei arbeiten wir schnell und zuverlässig heraus, ob und welche der DORA-Anforderungen gegebenenfalls durch Umsetzung von BAIT, KAIT, VAIT oder ZAIT im Unternehmen schon realisiert sind, weil sie inhaltlich übereinstimmen. Im Ergebnis zeigt das Assessment, wo DORA über diese Regelwerke hinaus geht und wo Anpassungsbedarf besteht, weil neue Schutzmechanismen eingerichtet werden müssen. Damit du und dein Team schnell handlungsfähig bist, ist der Ergebnisreport in seiner Struktur klar kategorisiert (Informations-, IT-Risiko- oder betriebliches Kontinuitäts-Management) und in seinen Handlungsbedarfen priorisiert. Einen Schwerpunkt bildet die Betrachtung der an die IKT-Dienstleister vorgenommenen Auslagerungen bzw. Ausgliederung sowie die Nutzung cloudbasierter Lösungen.

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.

Wir stellen Musterregelungen für IKT-Verträge und im Zusammenhang stehende Richtlinien, die im IT-Outsourcing häufig vertraglich mitgelten, zur Verfügung. Daneben unterstützen wir bei der inhaltlichen Ausarbeitung solcher Richtlinien wie beispielsweise für das Informationssicherheits- und das IT-Notfall-Management.

Der Steuerung und Kontrolle beauftragter IKT-Dienstleister kommt infolge von DORA eine besondere Bedeutung zu. Denn bedienen sich Finanzunternehmen an solchen IKT-Fremdleistungen, stehen sie selbst weiterhin in der Verantwortung, dass die Anforderungen aus DORA umgesetzt sind. Gleiches gilt bei Nutzung von Diensten und Ressourcen aus der Cloud. Für letztere Fälle, in denen in der Regel kein IKT-Vertrag vom Unternehmen individuell verhandelt werden kann, weil die AGB des Cloud Anbieters greifen, stellen wir entsprechende DORA-Checklisten zur Verfügung.

Du möchtest mehr erfahren? Dann melde dich bei uns - wir freuen uns auf deine Anfrage.