DORA (Digital Operational Resilience Act) und Readiness
Die Europäische Kommission verfolgt mit der DORA-Verordnung das Ziel, ein einheitliches IT-Sicherheitsniveau bei allen Finanzinstituten zu etablieren. Der Digital Operational Resilience Act (DORA) hat die beiden Kernbereiche der technologischen Widerstandsfähigkeit („Resilience“) sowie eines tragfähigen IT-Risikomanagements zum Gegenstand. Hierbei verschiebt sich aus einer regulatorisch strategischen Perspektive der Fokus von einer finanziellen Stabilität auf eine Gewährleistung der technologischen Belastbarkeit. DORA ist für alle Finanzinstitute der Europäischen Union ab Januar 2025 verbindlich umzusetzen. Neben den regulierten Finanzinstituten sind zusätzlich ihre zentralen IT-Dienstleister betroffen.
Die Einführung des DORA stellt für Finanzunternehmen sowohl eine Herausforderung als auch eine Chance dar. Viele formulierten Anforderungen sind grundsätzlich schon aus den EBA-guidelines, MaRisk oder BAIT bekannt. An einigen Stellen ist jedoch der Anwendungsbereich weiter gefasst oder das Anspruchsniveau gehoben.
So sind jetzt z.B. zentrale Systeme jährlich von unabhängigen Experten in Bezug auf ihre IT-Sicherheit zu analysieren. Das Spektrum der Analysen erstreckt sich von einer Schwachstellenanalyse der Systemarchitektur und deren Komponenten über Codereviews bis hin zu gezielten Penetrations Tests.
Eine weitere Erhöhung des Anspruchsniveaus liegt in Bezug auf die Meldung von wesentlichen IT-Sicherheitsvorfällen vor. Diese Vorfälle sind in der Regel taggleich, spätestens aber am Folgetag, meldepflichtig.
Besonderes Augenmerk liegt zukünftig darauf, die Kontinuität des Geschäftsbetriebs auch inmitten schwerwiegender Betriebsstörungen zu gewährleisten. Es sind Szenarioanalysen bei schwerwiegenden Störungen zentraler IT-Systeme durchzuführen und zu dokumentieren. Eine vierte zusätzliche Anforderung liegt in Bezug auf das IT-Risikomanagement vor. Über die bereits aktuell geltenden Anforderungen hinaus sind jetzt auch die aus dem Einsatz zentraler IT-Dienstleister resultierenden Risiken zu identifizieren, zu bewerten und aktiv zu steuern. Damit stehen die großen US-amerikanischen Cloud Plattformen zukünftig im aktiven Zentrum des Risikomanagements der europäischen Bankenaufsicht.
DORA Readiness – Abschließender Check
Es ist empfehlenswert, durch eine fokussierte Gap-Analyse, den erreichten Reifegrad in Bezug auf die DORA-Anforderungen zu prüfen. Auf diese Weise können Sie eventuell verbleibende Themen identifizieren, die zusätzliche Investitionen und eine gezielte Priorisierung erfordern.
DORA dient als Katalysator, die technologische Widerstandsfähigkeit auf ein hohes Niveau zu heben und von dort aus kontinuierlich gemäß unternehmensspezifischer Zielsetzung weiterzuentwickeln. Sowohl für die abschließende Bestandsaufnahme des DORA-Umsetzungsprojekts sowie für eine kontinuierliche Bestimmung des IT-Compliance-Niveaus ist eine fokussierte Reifegradanalyse wertstiftend. Für diesen Zweck haben wir einen Readiness Check entwickelt, der anhand von 80 Kriterien eine Beurteilung der gesamten DORA-Anforderungserfüllung vornimmt. Das folgende Schema stellt die Funktionsweise des DORA Readiness Checks prinzipiell dar:
Anforderung
Erfüllungsgrad
Maßnahme (bei Untererfüllung)
Jährlicher Bericht über zentrale IT-Risiken an mindestens einen Vorstand
Erstellung eines jährlichen Reportings, das einen konsolidierten Gesamtwert des IT-Risikos des Instituts sowie die Werte der zehn risikobehaftesten IT-Systeme enthält. Der Report ist für einen fachkundigen Top-Entscheider verständlich und adäquat detailliert (2 – 10 Seiten Umfang).
Existenz einer Kontrollfunktion neben dem IT-Risikomanagement und der Revision
Mindestens ein Mitarbeiter, der weder dem IT-Risikomanagement noch der Revision unterstellt ist, kontrolliert mit mindestens 20 % der Kapazität des IT-Risikomanagements seine Wirksamkeit und Effizienz. Die nachweisbaren Kontrollen decken sowohl Methoden, Prozesse als auch die IT ab.
Existenz einer IT-Risikorichtlinie/ IT-Risikostrategie
Es gibt mindestens ein Dokument in der Schriftlich Fixierten Ordnung, das sich im Schwerpunkt mit dem IT-Risikomanagement beschäftigt. Es werden unter anderem Schwellwerte und Akzeptanzniveaus für individuelle sowie konsolidierte IT-Risiken festgelegt. Der Beitrag des IT-Risikomanagements für das Erreichen der Geschäftsziele wird erläutert.
