EU-Verordnung für einheitliches Rechts- und Aufsichtsrahmenwerk im Finanzwesen Was ist der „Digital Operational Resilience Act“ (DORA)?

Anbieter zum Thema

netfiles GmbH

Hyland Software Germany GmbH

Yorizon GmbH & Co. KG

Der Digital Operational Resilience Act, seit Januar 2023 in Kraft getreten, ist eine EU-Verordnung für Finanzunternehmen und IKT-Drittdienstleister. Ziel der Verordnung ist es, ein EU-weit einheitliches Rechts- und Aufsichtsrahmenwerk zu schaffen und die digitale operative Widerstandsfähigkeit der Finanzunternehmen und ihrer IKT-Dienstleister zu verbessern.

Der Digital Operational Resilience Act, abgekürzt DORA, ist am 16.1.2023 in der Europäischen Union in Kraft getreten. DORA ist Teil eines bereits im Jahr 2020 von der Europäischen Kommission vorgelegten Pakets zur Förderung der Wettbewerbsfähigkeit und Innovationen im EU-Finanzsektor.

Die DORA-EU-Verordnung 2022/2254 wurde im Dezember 2022 im Amtsblatt der EU veröffentlicht und trägt die Langbezeichnung „Digital operational resilience for the financial sector and amending regulations“. Ins Deutsche übersetzt bedeutet DORA „Verordnung über die digitale operative Widerstandsfähigkeit im Finanzsektor“. Es handelt sich um einen verbindlichen und unmittelbar wirkenden Rechtsakt, der zur Umsetzung keine weiteren nationalen Rechtsvorschriften benötigt. Als Umsetzungsfrist für die betroffenen Unternehmen, Institute und Organisationen gilt der 17.1.2025.

Ziel der Verordnung ist es, ein EU-weit einheitliches Aufsichts- und Rechtsrahmenwerk für die Finanzbranche zu schaffen und die digitale operative Widerstandsfähigkeit der gesamten Wertschöpfungskette des Finanzsektors sowie ihrer IKT-Dienstleister zu stärken. Neben den Finanzinstituten sind auch IKT-Drittdienstleister wie Anbieter von Cloud-Services von DORA betroffen. Bis zur endgültigen Umsetzungsfrist des Digital Operational Resilience Act Anfang 2025 arbeiten die ESAs (European Supervisory Authorities) noch Detaillierungen aus und konkretisieren die Vorgaben der Verordnung.

Die wichtigsten Ziele des Digital Operational Resilience Act

Der Digital Operational Resilience Act verfolgt zwei Kernziele. Erstes Ziel ist die Vereinheitlichung der bestehenden nationalen und europäischen Standards und Vorgaben für die digitale Betriebsstabilität des Finanzsektors. Die EU-weite Harmonisierung der Regelungen soll einen einheitlichen Aufsichts- und Rechtsrahmen für den Finanzsektor schaffen. Zweites Kernziel ist es, die digitale operative Widerstandsfähigkeit im Finanzsektor zu stärken. Der Digital Operational Resilience Act soll über die komplette Wertschöpfungskette des Finanzsektors und seiner Unternehmen, Organisationen und IKT-Dienstleister die Anfälligkeit für Cyberbedrohungen und Störungen der Informations- und Kommunikationstechnik reduzieren.

Durch eine angemessene Reaktion auf Störungen und entsprechende Sicherheitsvorkehrungen gegenüber Cyberbedrohungen minimieren die Finanzunternehmen und ihre IKT-Dienstleister die Risiken und negativen Folgen dieser Störungen und Cyberbedrohungen. DORA etabliert darüber hinaus einen Rechtsrahmen, mit dem sich für Finanzunternehmen tätige IKT-Drittanbieter wie Cloud-Computing-Anbieter von den zuständigen Aufsichtsbehörden direkt überwachen lassen. Zudem werden für den Finanzsektor einheitliche Verfahren zur Klassifizierung und Meldung von IKT-Vorfällen definiert und zusätzliche Anreize geschaffen, sich über Cyberbedrohungen auszutauschen. Die Finanzaufsichtsbehörden erhalten Zugang zu Informationen bezüglich der aufgetretenen IKT-Vorfälle.

Wesentliche inhaltliche Anforderungen des Digital Operational Resilience Act

Der Digital Operational Resilience Act greift zahlreiche Anforderungen bestehender Verordnungen auf und konkretisiert oder ergänzt sie. Die im Digital Operational Resilience Act definierten Anforderungen lassen sich fünf verschiedenen Themengebieten zuordnen. Diese Themengebiete sind:

• Schaffung eines Rahmenwerks für das IKT-Risikomanagement inklusive der Anforderungen an das betriebliche Kontinuitätsmanagement,

• Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle,

• Testen der operativen Resilienz (Widerstandsfähigkeit),

• Steuerung und Überwachung des IKT-Drittdienstleisterrisikos,

• Schaffung eines Rahmenwerks zur Überwachung kritischer IKT-Drittdienstleister.

Der Digital Operational Resilience Act verankert das IKT-Risikomanagement auf rechtlicher Ebene. Für das Risikomanagement trägt die Geschäftsleitung des Finanzunternehmens die grundsätzliche Verantwortung. Sie muss dafür sorgen, dass die IKT-Systeme auf dem aktuellen Stand sind und Pläne des betrieblichen Kontinuitätsmanagements und der Notfallwiederherstellung definiert und eingerichtet sind und kontinuierlich überprüft werden. Dokumente des Risikomanagements sind zu internen und externen Prüfungen schriftlich zu verfassen und vorzulegen. Potenzielle Quellen von IKT-Risiken sind zu identifizieren, zu klassifizieren, darzustellen und zu dokumentieren.

Auch aufgetretene IKT-bezogene Vorfälle sind zu klassifizieren. Die Finanzunternehmen sind dazu verpflichtet, schwerwiegende Vorfälle unter Einhaltung der vorgegebenen Fristen und unter Verwendung von Berichtsvorlagen den zuständigen Aufsichtsbehörden zu melden.

Die Vorgaben des Themengebiets „Testen der operativen Resilienz“ verpflichten die Unternehmen zur Prüfung der digitalen Betriebsstabilität. Sie müssen ein umfassendes Programm mit geeigneten Tests zur Prüfung der operativen Widerstandsfähigkeit einführen. Für bestimmte Finanzinstitute mit Systemrelevanz bestehen höhere Anforderungen bei der Prüfung ihrer IKT-Systeme, -Prozesse und -Instrumente. Sie haben in vorgegebenen Zeitabständen erweiterte Prüfungen durchzuführen.

Ein weiteres wichtiges Themengebiet des Digital Operational Resilience Act ist das Risikomanagement der IKT-Drittanbieter. Mögliche Risiken durch IKT-Drittdienstleister sind im Rahmen des Risikomanagements zu steuern. Unter anderem legt DORA verschiedene Bestimmungen für Dienstleister- und Outsourcingverträge fest. Diese betreffen zum Beispiel die Verantwortung und Haftung, Rechte zur Überwachung und zur Kündigung oder Strategien zum Ausstieg. In den Vertragsbestimmungen müssen die Rechte und Pflichten der IKT-Drittanbieter und der Finanzunternehmen eindeutig definiert, zugewiesen und vertraglich festgelegt sein.

Zur Überwachung besonders kritischer IKT-Drittanbieter des Finanzsektors schafft DORA ein Aufsichtsrahmenwerk. Im Digital Operational Resilience Act sind hierzu weitgehende und detaillierte Befugnisse definiert. Es ist umfassender Aufsichtsrahmen für im Finanzsektor tätige IKT-Drittanbieter wie Anbieter von Cloud-Computing-Diensten oder von Datenanalysediensten vorgesehen. Unter anderem werden Vor-Ort-Prüfungen oder die Verhängung von Zwangsgeldern ermöglicht. DORA führt quasi ein neues europäisches Überwachungsregime für kritische, im Finanzsektor genutzte IKT-Anbieter ein. Die Festlegung, ob ein Anbieter ein kritischer IKT-Drittdienstleister ist, erfolgt von den ESAs und ist von Kriterien wie der Substituierbarkeit, der Zahl der die Leistungen nutzenden EU-Staaten, den systemischen Auswirkungen auf die Finanzdienstleistungen und anderen abhängig.

Darüber hinaus ermöglicht der Digital Operational Resilience Act den Finanzunternehmen, sich untereinander bezüglich Cyberbedrohungen auszutauschen. Das Teilen von Informationen und Erkenntnissen trägt zur Stärkung der betrieblichen Stabilität bei.

Wer ist vom Digital Operational Resilience Act betroffen?

Vom Digital Operational Resilience Act betroffen sind Finanzunternehmen, Finanzinstitute und Finanzorganisationen in der EU und die von ihnen genutzten IKT-Drittanbieter. Dazu zählen neben Kreditinstituten, Zahlungsdienstleistern, Versicherungen, Rückversicherungen, Versicherungsvermittlern, Rückversicherungsvermittlern und Wertpapierfirmen auch Kapitalverwaltungsgesellschaften, Zahlungsinstitute, Ratingagenturen, Anbieter von Kryptodienstleistungen, E-Geld-Institute, Handelsplätze, Transaktions- und Verbriefungsregister, Kontoinformationsdienstleister, Zentralverwahrer, Wirtschaftsprüfungsgesellschaften und andere.

Als IKT-Drittanbieter definiert der Digital Operational Resilience Act Unternehmen, die digitale Dienste oder Datendienste für den Finanzsektor erbringen. IKT-Drittanbieter sind unter anderem Anbieter von Cloud-Computing-Services, Softwareanbieter, Rechenzentrumsbetreiber, Anbieter von Datenanalysediensten und andere.

Im Bereich der Förderinstitute, der Verwalter alternativer Investmentfonds oder der Einrichtungen der betrieblichen Altersversorgung bestehen zum Teil Ausnahmen. Die Ausnahmen des Geltungsbereichs lassen sich in bestimmten Bereichen auch auf nationaler Ebene definieren. In Deutschland könnte dies beispielsweise die Kreditanstalt für Wiederaufbau (KfW) oder staatliche Förderbanken einzelner Bundesländer betreffen.

Definition: EU-Verordnung für faire Datennutzung

Was ist der Data Act?

Microservices, Cloud Native, REST API , Kubernetes & Co.: Cloud Computing Wiki

Von AWS bis XaaS: Alle relevanten Schlagworte aus dem Bereich Cloud Computing finden Sie verständlich erklärt in unseren Definitionen. Ganz im Sinne eines kleinen, aber feinen Glossars lesen Sie hier neutral verfasste und leicht verständliche Erklärungen zu den wichtigsten Begriffen. Als Service für Sie haben wir die hier erklärten Begriffe in unseren Beiträgen auch direkt mit den zugehörigen Lexikoneinträgen verlinkt. So können Sie die wichtigsten Erläuterungen direkt dort nachschlagen.  

Zum Special: Definitionen rund um Cloud Computing

(ID:49725640)