Die wesentlichen Aspekte der DORA-Verordnung

Zeitschrift Risk, Fraud & Compliance (ZRFC)

• Die wesentlichen Aspekte der DORA-Verordnung

  Die Verordnung über die digitale operationelle Resilienz im Finanzsektor (Digital Operational Resilience Act, DORA) führt einen einheitlichen Rechtsrahmen für die IT- und Cybersicherheit nahezu aller Finanzmarktakteure in der Europäischen Union ein. Ziel ist es, ein hohes, harmonisiertes Sicherheitsniveau zu etablieren und die operationelle Widerstandsfähigkeit der Finanzbranche gegenüber Informations- und Kommunikationstechnologie-(IKT-)Risiken zu stärken. Hierzu normiert DORA Anforderungen in den Bereichen IKT-Risikomanagement, Meldung von Sicherheitsvorfällen, Testverfahren (inklusive Threat-Led Penetration Testing), Umgang mit IKT-Drittanbietern sowie Aufsichts- und Sanktionsmechanismen.

• Trends in der Datenschutzlandschaft

  Mit der Entwicklung der digitalen Landschaft muss der Datenschutz zu einem bestimmenden Geschäftsprinzip werden. Trotz der Bedeutung des Themas zeigt die ISACA-Studie "State of Privacy 2025", dass 45 Prozent der Datenschutzexperten das Gefühl haben, in unterfinanzierten Teams zu arbeiten, was ihre Unternehmen anfällig für Sicherheitsverletzungen macht. Ohne angemessene Investitionen und Unterstützung sind die Datenschutzteams überfordert und die Unternehmen unnötigen Risiken ausgesetzt. Zwar wurden durch neue Rechtsvorschriften Wege zur Lösung dieser Probleme aufgezeigt, doch ist die Einhaltung der Vorschriften für überlastete Mitarbeitende nach wie vor ein Problem.

• Intention zum Whistleblowing

  Das Hinweisgeberschutzgesetz wurde eingeführt, um Personen, die auf Missstände oder illegales Verhalten hinweisen, rechtlichen Schutz zu bieten. Trotz der rechtlichen Rahmenbedingungen und der steigenden Sensibilisierung für Whistleblowing in der Gesellschaft nutzen viele Mitarbeitende solche Systeme jedoch nicht, oftmals aus Angst vor negativen Konsequenzen oder mangelndem Vertrauen in die Institutionen. Der vorliegende Beitrag gibt auf der Basis von Beratungspraxis und psychologischer Forschung einen Überblick über Faktoren, die die Nutzung solcher Systeme verhindern, und entwickelt daraus entsprechende Maßnahmen.

• Compliance sichert negative Freiheit

  Der deutsche Philosoph Oskar Negt verstarb am 2. Februar 2024. Sicherlich werden einige Compliance-Verantwortliche nicht alle Thesen des eher linksgerichteten Negt teilen, dennoch hat er ein Konzept entwickelt, welches der Compliance Impulse zu vermitteln mag: das Konzept der gesellschaftliche Schlüsselqualifikationen. Zwar lässt sich sein Ansatz nicht eins zu eins auf die Compliance übertragen, dennoch sollten sämtliche Schlüsselqualifikation berücksichtigt werden - durch die Compliance als Organisation und durch den einzelnen Compliance-Officer. Insbesondere gilt es, die Kompetenzen in der Darstellung der Compliance als auch in Schulungen anzusprechen.

• NGO im Bereich Compliance

  Seit dem Siemens-Fall, also seit rund 20 Jahren, ist der Begriff Compliance in Deutschland etabliert. Im Nachgang haben sich verschiedene private Institutionen wie etwa Transparency International oder Berufsverbände wie der BCM gegründet, um als Interessenvertreter zu reagieren. Von wissenschaftlicher Seite wird dies durch die Zeitschriften CCZ, ZRFC und den Compliance-Berater begleitet. Also ein eher modernes Phänomen? Nein, tatsächlich haben sich schon vor 100 Jahren in Hamburg Kaufleute, Juristen und Politiker zusammengeschlossen, um im Interesse der Wirtschaft "den unlauteren Wettbewerb und das Schmiergeldunwesen" zu bekämpfen.

• EU-Änderungsvorschläge zum Bürokratieabbau

  Mit dem Ende Februar veröffentlichten Entwurf zur Omnibus-Richtlinie will die EU-Kommission die gerade erst kodifizierten Pflichten zur Transparenz der Unternehmen im Bereich Nachhaltigkeit wieder deutlich reduzieren, um die Unternehmen von Bürokratie zu entlasten. In den vergangenen Heften haben wir in der ZRFC immer wieder über die Entwicklungen berichtet. In diesem Beitrag stellen wir kompakt die Änderungsvorschläge der EU-Kommission zum Bürokratieabbau vor.

• HinSchG: Anspruch und Wirklichkeit

  Das LAG Niedersachsen konkretisiert mit seinem Urteil vom 11. November 2024 die Voraussetzungen für den Schutz durch das Hinweisgeberschutzgesetz (HinSchG). Nur wer den vorgeschriebenen Meldeweg einhält, kann sich auf das Gesetz berufen. Ein Urteil mit weitreichenden Folgen für das Verständnis des HinSchG in der Unternehmenspraxis.

• Informationspflichten nicht deckungsgleich

  Das angepasste Schweizer Bundesgesetz über den Datenschutz (DSG) trat am 1. September 2023 in Kraft. Haupttreiber dafür waren einerseits der technische Fortschritt und die zu große Abweichung vom Datenschutzniveau zur neueren Datenschutz-Grundverordnung (DSGVO). Auch wenn beide Erlasse die gleichen Ziele verfolgen, unterscheiden sich die Normen - die DSGVO verfolgt einen umfassenden Ansatz (auch mit Bezug auf das Sanktionsregime), während das DSG zwar auch sektorübergreifend gilt, zusammenfassend aber pragmatischere Regulierungen enthält.

• Benfordsche Gesetz: Betrug aufdecken

  Wie erhält man ehrliche Antworten auf unangenehme oder sehr persönliche Fragen? Es gibt zahlreiche Themen, die in diesem Zusammenhang relevant sein könnten, wie beispielsweise das immer aktuelle Thema Steuerhinterziehung. Um das Ausmaß und den damit verbundenen wirtschaftlichen Schaden zu beurteilen, ist es nicht unbedingt erforderlich, individuelle Angaben zu erhalten. Bereits ein prozentualer Wert innerhalb einer Population wäre äußerst hilfreich.

• Unternehmensrisiken einordnen

  Die Quantifizierung von Cyberrisiken markiert einen deutlichen Fortschritt im Risikomanagement, da sie Unternehmen erlaubt, Cyberbedrohungen - ähnlich wie finanzielle Risiken - zu bewerten und fundierte strategische Entscheidungen zu treffen. Der Häufigkeit- Schadenhöhe-Ansatz (Frequency-Severity-Ansatz) bietet eine datengetriebene Basis für Risikoabschätzungen, während der Bayessche-Ansatz zusätzliche Flexibilität in dynamischen Bedrohungsszenarien schafft.