DORA (Digital Operational Resilience Act) ist eine EU-weite Verordnung, die strenge Regeln für die operative Widerstandsfähigkeit von Finanzunternehmen und ihren IKT-Systemanbietern durchsetzt. Sie zielt darauf ab, ein harmonisiertes und sicheres Finanzökosystem zu schaffen, das gegenüber der sich ständig verändernden Risikolandschaft widerstandsfähig und für die digitale Zukunft gerüstet ist.

Aufgrund der zunehmenden Abhängigkeit von digitalen Dienstleistungen reguliert die EU ein breites Spektrum von Finanzunternehmen. Wenn eine Organisation an der finanziellen Wertschöpfungskette beteiligt ist, unterliegt sie wahrscheinlich der DORA-Verordnung.

Dazu gehören traditionelle Finanzunternehmen wie Kreditinstitute und Wertpapierfirmen, aber auch aufstrebende Dienstleister wie Krypto-Assets oder Crowdfunding-Dienste.

DORA gilt auch für kritische IKT-Drittanbieter, die den Finanzsektor unterstützen, darunter Cloud-Anbieter, Rechenzentren und Datenanalyseanbieter.

Um Unternehmen beim Aufbau eines robusten Rahmens für die betriebliche Resilienz zu unterstützen, definiert DORA 5 Säulen:

1. IKT-Risikomanagement: Stärkung des IKT-Risikomanagements zur Minimierung der Auswirkungen von IKT-Vorfällen.

2. Melden von IKT-Vorfällen: Einrichtung von Prozessen für die Identifizierung, Analyse und Meldung von IKT-bezogenen Vorfällen.

3. Testen der digitalen betrieblichen Ausfallsicherheit: Durchführung regelmäßiger Ausfallsicherheitstests, einschließlich bedrohungsgesteuerter Penetrationstests und Angriffssimulationen.

4. IKT-Risikomanagement für Dritte: Sicherstellung eines soliden Managements von IKT-Risiken Dritter durch strenge Aufsicht, Einhaltung von Verträgen und aufsichtsrechtlichen Meldepflichten.

5. Austausch von Informationen: Förderung der Zusammenarbeit zwischen Finanzinstituten durch den Austausch von Informationen über Bedrohungen und gewonnenen Erkenntnissen.

DORA legt Sanktionen für die Nichteinhaltung der Vorschriften fest und stellt sicher, dass die in ihren Anwendungsbereich fallenden Organisationen die Cybersicherheit und die betriebliche Widerstandsfähigkeit ernst nehmen. Die Europäischen Aufsichtsbehörden (ESAs) sind befugt, bei Nichteinhaltung der Vorschriften Geldbußen zu verhängen.

Unternehmen, die gegen die DORA-Anforderungen verstoßen, können je nach Schwere des Verstoßes mit Geldbußen von bis zu 2 % ihres weltweiten Gesamtjahresumsatzes belegt werden. Für Einzelpersonen kann die Höchststrafe bis zu 1 Million Euro betragen.

Bei Drittanbietern, die von den ESAs als kritisch eingestuft werden, können sogar noch höhere Geldstrafen verhängt werden - bis zu 5 Millionen Euro.

8 wesentliche Schritte zur Einhaltung von DORA:

1. Durchführen einer Gap-Analyse: Überprüfen Sie, ob Ihre aktuellen Cybersicherheitsstrategien und -richtlinien den DORA-Compliance-Anforderungen entsprechen und identifizieren Sie Potenzial für Verbesserungen.

2. Risikomanagement von Drittparteien optimieren: Entwickeln Sie eine umfassende Strategie für das Risikomanagement von Drittanbietern, einschließlich Due-Diligence-Verfahren, um sicherzustellen, dass alle Anbieter die DORA-Standards einhalten.

3. Investitionen in Cybersicherheitsschulungen einrichten: Richten Sie kontinuierliche Cybersicherheitsschulungen für alle Mitarbeitenden ein, um sie bezüglich bestehender Cyberrisiken zu sensibilisieren.

4. Umsetzen zuverlässiger Reaktionspläne für Zwischenfälle: Erstellen oder aktualisieren Sie Reaktionspläne für Zwischenfälle, um im Falle einer Cyberbedrohung oder eines Sicherheitsverstoßes schnell und effektiv handeln zu können.

5. Zusammenarbeit und  Informationsaustausch fördern: Treten Sie Branchenverbänden oder Foren bei, um den Austausch von Informationen zu aktuellen Bedrohungen und Best-Practices zu erleichtern.

6. Überprüfung und Aktualisierung der IT-Infrastruktur: Stellen Sie sicher, dass die IT-Systeme und -Infrastruktur auf dem neuesten Stand, sicher und in der Lage sind, Cyber-Bedrohungen gemäß den DORA-Anforderungen standzuhalten.

7. Zusammenarbeit mit den Aufsichtsbehörden: Informieren Sie sich über die neuesten Leitlinien der Aufsichtsbehörden zur Umsetzung von DORA und sorgen Sie bei Bedarf für Klärung.

DORA und die NIS2-Richtlinie (Richtlinie über Netz- und Informationssysteme) sind beides von der EU eingeführte Rechtsvorschriften, die die Cybersicherheit und die digitale Widerstandsfähigkeit in der EU verbessern sollen. Obwohl sie gemeinsame Ziele verfolgen, unterscheiden sie sich in Bezug auf den Anwendungsbereich, den sektoralen Schwerpunkt und die Ansätze.

1. Anwendungsbereich und Zielpersonen

DORA ist eine Verordnung, die speziell auf den Finanzsektor zugeschnitten ist und sich auf die digitale Widerstandsfähigkeit konzentriert. Sie stellt sicher, dass Finanzdienstleister - einschließlich Banken, Wertpapierfirmen und deren IKT-Dienstleister - IKT-bezogene Vorfälle wirksam bewältigen können.

Die NIS2-Richtlinie gilt für bestimmte Einrichtungen in verschiedenen Sektoren, wie Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur und einigen Finanzdienstleistungen. Ihr Hauptziel ist die Verbesserung der allgemeinen Cybersicherheit in der EU.

DORA ist eine Verordnung, die rechtsverbindlich ist und einheitlich in allen EU-Mitgliedstaaten gilt, ohne dass eine nationale Umsetzung erforderlich ist.

Die NIS2 ist eine Richtlinie. Sie gibt Ziele vor, welche die Mitgliedstaaten erreichen müssen. Es ist ihnen aber selbst überlassen,  wie sie diese in nationales Recht umsetzen. Dies kann zu Unterschieden in der Umsetzung in den einzelnen Mitgliedstaaten führen.

Lex-Specialis-Regel: In Fällen, in denen Finanzdienstleistungen sowohl in den Anwendungsbereich der DORA als auch der NIS2 fallen, hat die DORA aufgrund der lex specialis-Regel Vorrang. Infolgedessen müssen die Unternehmen in erster Linie die sektorspezifischen Anforderungen der DORA einhalten.

3. Zielsetzungen und Maßnahmen:

DORA konzentriert sich auf die digitale operative Widerstandsfähigkeit des gesamten Finanzsektors und schreibt Maßnahmen in fünf Schlüsselbereichen vor: IKT-Risikomanagement, Meldung von Vorfällen, Risikomanagement für Dritte, Prüfung der operativen Widerstandsfähigkeit und Informationsaustausch.

Die NIS2 zielt darauf ab, die Cybersicherheit aller kritischen Infrastrukturen und wesentlichen Dienste zu stärken, indem sie die Sicherheit der Lieferkette, die Behandlung und Meldung von Zwischenfällen, Cyberhygiene-Praktiken und umfassendere Strategieen für Risikomanagement fördert.

4. Operative Belastbarkeitstests:

DORA führt verpflichtende Belastbarkeitstests für IKT-Systeme und -Prozesse ein. Betroffene Unternehmen müssen sich bedrohungsgesteuerten Penetrationstests (TLPT) unterziehen, die von unabhängigen externen Prüfern unter strenger behördlicher Aufsicht durchgeführt werden. Dadurch wird sichergestellt, dass die Systeme gegen realistische, fortgeschrittene Cyber-Bedrohungen getestet werden.

Tests sind zwar Teil des NIS2-Rahmens, aber nicht so streng definiert wie in DORA. Stattdessen ist das Testen in umfassendere Risikomanagementstrategien integriert, wobei der Schwerpunkt auf Schwachstellenbewertungen und Systemprüfungen liegt und weniger auf der Simulation von Bedrohungen.

DORA betont die strenge Regulierung von IKT-Drittanbietern, die kritische Dienstleistungen für Finanzinstitute erbringen. Es schreibt spezifische vertragliche Anforderungen für Dienstleister und eine direkte behördliche Aufsicht für kritische IKT-Anbieter, wie Cloud-Anbieter und Rechenzentren, vor.

Die NIS2 befasst sich mit dem Risiko von Drittanbietern als Teil der Sicherheit der Lieferkette und konzentriert sich auf die allgemeine Sicherheit externer Partner und Anbieter. Sie erlegt den IKT-Anbietern jedoch nicht dieselben direkten regulatorischen Verpflichtungen auf wie die DORA.

6. Meldung von Vorfällen:

DORA zielt darauf ab, die Meldung von IKT-bezogenen Vorfällen zu vereinheitlichen Das schließt Datenschutzverletzungen, Dienstunterbrechungen, Ausfälle und IKT-Ausfälle Dritter ein. Finanzunternehmen müssen die folgenden Berichte über größere Vorfälle an ihre zuständigen nationalen Finanzaufsichtsbehörden übermitteln (die größere Vorfälle an die ESAs weiterleiten können):

• Erstmeldung: innerhalb von 4 Stunden, aber nicht später als 24 Stunden, mit einem kurzen Überblick über den Vorfall.
• Zwischenbericht: Innerhalb von 72 Stunden, mit Angabe der Ursache, die Auswirkungen auf das Geschäft und die Kunden.
• Abschlussbericht: Innerhalb eines Monats, einschließlich der endgültigen Lösung, der entstandenen Kosten und Verluste sowie der Abhilfemaßnahmen.

NIS2 sieht ebenfalls eine detaillierte Berichterstattung über Vorfälle vor, allerdings mit einem breiteren Fokus auf alle Cybersecurity-Ereignisse, die sich auf kritische Dienste auswirken, wie Cyberangriffe, Systemausfälle und Schwachstellen in der Lieferkette. NIS2 legt ähnliche Meldefristen für Vorfälle fest, die an die CSIRTs (Computer Security Incident Response Teams) zu übermitteln sind:

• Frühwarnung: Innerhalb von 24 Stunden.
• Benachrichtigung über einen Vorfall: Innerhalb von 72 Stunden, einschließlich einer ersten Bewertung der Auswirkungen und des Schweregrads des Vorfalls.
• Abschlussbericht: Spätestens einen Monat nach dem Vorfall.

Beide Rahmenwerke zielen darauf ab, die Meldeprozesse durch automatisierte Arbeitsabläufe, Vorlagen und benutzerfreundliche Schnittstellen zu vereinfachen.