Sie sind hier: Home » Fachartikel » Entscheidungshilfen

DORA ist nicht nur eine gesetzliche Pflicht


DORA: Fünf Gelegenheiten, um Cybersicherheit und Resilienz zu erhöhen
DORA-Compliance: Wie der Finanzsektor und dessen IT-Dienstleister ihre DORA-Hausaufgaben jetzt erledigen können



Von Nicholas Jackson, Director of Cyber Security Services, Bitdefender

Der Digital Operational Resilience Act (DORA), der am 17. Januar 2025 in Kraft getreten ist, betrifft nicht nur Anbieter von Finanzdiensten, sondern auch deren IT-Dienstleister: Dazu gehören sowohl Partner und Distributoren, aber auch indirekte IT-Dienstanbieter, wie die Anbieter von IT-Sicherheitsplattformen. Der Kreis der Unternehmen, für die sich aus dem Gesetz neue Hausaufgaben ergeben, ist also größer als vermutet. Für alle ist DORA aber eine Chance, die Resilienz ihrer IT-Infrastruktur gegen Cyberangriffe jetzt zu erhöhen.

DORA zielt darauf ab, die operative Resilienz im gesamten Finanzsektor und in den EU-Mitgliedstaaten zu standardisieren, und legt deshalb eine Reihe von Best Practices für eine bessere Cyberresilienz fest. Bei Verstößen gegen die DORA-Richtlinien drohen in der EU tätigen Organisationen Geldstrafen und andere Sanktionen. Ähnlich wie bei der DSGVO sind Strafen für Unternehmen in einer Höhe von bis zu zwei Prozent des weltweiten Umsatzes möglich. Darüber hinaus können EU-Mitgliedstaten auch individuelle Bußgelder für hochrangige Personen und Dritte beschließen. Bestrafen ist aber in der Absicht der Gesetzgeber nur die Ultima Ratio. Vor allem sind Aufsichtsbehörden daran interessiert, zu sehen, welche Schritte nicht-konforme Organisationen unternehmen, um die operative Resilienz des gesamten Sektors weiter zu stärken. Alle Beteiligten sollten sich daher klarmachen, was die umfangreiche regulatorische Vorgabe konkret für in der EU tätige Finanzunternehmen und deren IT-Dienstleister bedeutet.

EU-Finanzbranche: Risiko durch eine stark vernetzte und abhängige IT
Die Finanzbranche ist stark von digitalen Technologien abhängig und beeinflusst fast alle anderen Wirtschaftsbereiche. Unterbrochene digitale Prozesse können den Fluss von Finanzmitteln für kritische Infrastrukturen zum Erliegen bringen, sich auf Versicherungspolicen in der gesamten EU auswirken oder den freien Verkehr von Waren und Dienstleistungen zwischen Mitgliedstaaten behindern. Die Fähigkeit, fast jede Art von Transaktion unabhängig von ihrer Größe oder ihrem Umfang über Grenzen hinweg nahezu sofort durchzuführen, ist das A und O für alle wirtschaftlichen Vorgänge.

Eine der größten Ansprüche an die operative Resilienz in der Finanzbranche ergibt sich aus ihrem ausgedehnten und den Prozessen zugrundeliegenden Netzwerk. Die dafür notwendigen automatisierten Prozesse hängen von komplexen Infrastrukturen ab, die sich über lokale Rechenzentren und Cloud-Dienstleister erstrecken. Diese Abhängigkeit von Drittparteien und Technologieanbietern stellt für Finanzorganisationen ein großes Risiko dar und setzt Drittanbieter in die Pflicht.

Wie lassen sich die daraus ergebenden Aufgaben einer DORA-Compliance lösen? IT-Sicherheitsanalysten im Finanzsektor und bei deren ITK-Dienstleistern müssen fünf Punkte berücksichtigen, um die neue Richtlinie gewährleisten zu können:

1. Risikomanagement für IT und Kommunikation
Niemand kann schützen, was er nicht kennt. Daher verlangt DORA von den IT-Sicherheitsverantwortlichen und -entscheidern, dass sie ihre IT-Infrastruktur und Systeme besser verstehen und erkennen, wie sie sich selbst und ihre Kunden gefährden: Welche digitalen Assets sind vorhanden? Wie wichtig sind sie für die operative Resilienz? Welche Folgen hätte eine kompromittierte oder ausgefallene Applikation? Wie sind Systeme miteinander verbunden? Über welche Kontrollen verfügt das Unternehmen, um sie zu schützen? Diese Fragen sind grundlegend, um zu schützende Assets zu identifizieren und das tatsächliche Risiko effektiv zu bewerten. Sich an Gefahren orientierende Penetrationstests spielen eine zentrale Rolle. Sie geben den IT-Sicherheitsteams Einblicke in den möglichen Verlauf eines Sicherheitsvorfalls und zu den Maßnahmen, um Gefahren abzuwehren und zu beheben.

2. Fokus auf Drittanbieter und deren Einfluss auf das Geschäftsrisiko
Heutzutage funktionieren Geschäfte oder Prozesse selten ausschließlich mit unternehmensinternen Beteiligten. Auftragnehmer, Zulieferer und andere Dienstleister spielen eine wichtige Rolle im Geschäftsbetrieb. Ohne das zugehörige Risikomanagement ist jede externe Organisation oder Lösung ein Risiko für IT-Betrieb und IT-Sicherheit. Wird einer dieser Zugangspunkte kompromittiert, können sich Angreifer auf der Suche nach weiteren Zielen auf andere Systeme ausbreiten.

DORA ist sich dieser Abhängigkeit von Dritten bewusst und verlangt daher von Unternehmen, dass sie die Effekte ihrer Dienstleister auf das Geschäftsrisiko besser verstehen. Hierzu zählen IT- und Telekommunikationsdienstleister, Managed-Service-Anbieter, Cloud-Service-Anbieter, Verkäufer, Software-as-a-Service-Plattformen (SaaS) und andere Unternehmen, die nicht verwaltete Applikationen, Dienste und Geräte nutzen. DORA verlangt, dass Finanzorganisationen die Effekte von Drittanbietern dokumentieren und sicherstellen, dass geeignete Sicherheitsmaßnahmen getroffen wurden, um miteinander verzahnte Prozesse von Anfang bis Ende zu schützen. Die Basisdokumentation sollte in einem Informationsregister (Register of Information) abgelegt und leicht zugänglich sein: In dem Register finden sich dann Identifikationsdaten der Drittanbieter, wie etwa Standort, Kontaktdaten, Vertragsinformationen, Leistungsumfang, Risikokategorien, Regeln zum Monitoring sowie Angaben zu internen Zuständigkeitsverhältnissen.

3. Incident Management
DORA verlangt von Finanzinstituten außerdem fest strukturierte Prozesse, um IT-Sicherheitsvorfälle zu erkennen, zu bearbeiten und zu melden. Klare Klassifikationskriterien, zeitnahe Eskalationsprozesse und ein einheitliches Reporting-Framework mit strengen Zeitvorgaben sind dafür notwendig. Tabletop-Simulationen zur operativen Resilienz unterstützen diese Abläufe. Solche Manöver stellen sicher, dass alle Beteiligten die Richtlinien zur Disaster Recovery und zur Kontinuität von Geschäftsprozessen kennen und im Ernstfall sofort Maßnahmen ergreifen können.

4. Change Management
Unternehmen und ihre digitalen Umgebungen unterliegen einem ständigen Wandel. Daher ist es wichtig, dass Sicherheitsteams Einblick in IT-Modifikationen und deren Folgen für das Betriebsrisiko haben. Dies alles müssen sie erkennen, neu bewerten und die sich ergebenden Konsequenzen umsetzen sowie überwachen. Ebenso wichtig ist es, bestehende Richtlinien zu autorisieren und durchzusetzen. Derart gesichert können Angreifer diese nicht unbefugt modifizieren. Als eine logische Konsequenz bewerten Lösungen und IT-Sicherheitsverantwortliche Software-Updates, Modifikationen der Infrastruktur und die Integration von Dritten. Sicherheitsteams sollten vor und nach dem Implementieren neuer Assets deren Integration testen. Letztendlich stellt DORA sicher, dass Change-Management-Prozesse streng moderiert sind und strukturierte Genehmigungsabläufe in Kraft sind.

5. Compliance dokumentieren
Einen weiteren Schwerpunkt legt DORA auf die Rechenschaftspflicht. Wer in der Pflicht für seine sämtlichen Systeme steht, muss insbesondere für seine kritischen Systeme kontinuierliche Schwachstellentests durchführen, Risiken bewerten und - vor allem - darüber berichten. Unternehmen sollten einheitliche Vorlagen verwenden, in denen Vorgaben und Zeitpläne festgelegt sind, und diese in das bereits erwähnte Informationsregister eingeben. Die dort gesammelten Informationen von Dritten, vertragliche Vereinbarungen, bewertete Risiken, Abhängigkeiten, Vorfällen und Notfallplänen übermitteln sie bei Bedarf an externe Prüfer.

Dafür reicht es nicht aus, Informationen zu sammeln. Angesichts heute immer komplexerer IT-Infrastrukturen bedarf es der Analyse und verwertbaren Aufbereitung dieser Informationen. Erst in einer hinreichenden Form dient das Informationsregister bei Angriffen oder anderen Vorfällen als Leitfaden und liefert der Sicherheitsteams den nötigen Kontext, um schnell und einschlägig zu agieren. Die Dokumentation kann zum Beispiel auch Schritt für Schritt vorgeben, wie Wissen und Expertise im Unternehmen verbleiben, wenn Mitarbeiter dieses verlassen.

DORA als Chance für eine gestärkte Resilienz
Bei so viel Vorgaben bleibt zu betonen: DORA ist nicht nur eine gesetzliche Pflicht. Sie bietet Finanzorganisationen und Dienstleistern eine hervorragende Möglichkeit, ihre Cyber- und operative Resilienz zu stärken sowie ihre Sicherheitsstrategien zu optimieren. Die Kriterien der neuen Vorschrift sind speziell auf die dynamischen Notwendigkeiten der Finanzbranche in der heutigen, vernetzten Geschäftswelt zugeschnitten und können mit anderen Standards oder Geschäftszielen harmonisieren. (Bitdefender: ra)

eingetragen: 05.08.25

Bitdefender: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Administration

  • Erfüllung der hohen Compliance-Anforderungen

    Die Implementierung von IT-Compliance-Vorgaben kann sich als wahre Mammutaufgabe erweisen. Dell erläutert fünf Best Practices, mit denen die Umsetzung gelingt. Die Einhaltung gesetzlicher Bestimmungen, regulatorischer Vorschriften, Standards und nicht zuletzt interner Regeln ist heute für alle Unternehmen ein zentrales Thema - seien es Behörden, Organisationen im Gesundheitswesen, Automobil- oder Maschinenbauer, Finanzdienstleister oder Einzelhändler. Eine wichtige Rolle spielen dabei Maßnahmen wie die Förderung eines Sicherheitsbewusstseins unter den Mitarbeitern inklusive fortlaufender Schulungen, klarer Regeln für die Zugriffe auf Daten sowie eine regelmäßiger Überprüfung und Anpassung der Sicherheitsregeln. Der folgende Fünf-Stufen-Plan von Dell ebnet Unternehmen den Weg zur Erfüllung der hohen Compliance-Anforderungen.

  • Schritthalten mit der Compliance

    Wir möchten alle glauben, dass unsere Netzwerke vollständig sicher sind und unsere Verfahren und Richtlinien voll und ganz den Vorschriften entsprechen, die unsere Branche regeln. Doch die Sicherheitslandschaft verändert sich viel zu schnell, als dass Organisationen jederzeit gegen alle Bedrohungen geschützt sein könnten. Im Jahr 2012 führten wir eingehende Sicherheitsprüfungen bei Netzwerken von 900 Organisationen weltweit durch und fanden heraus, dass 63 Prozent mit Bots infiziert waren, von denen sie nichts wussten. Diese kommunizierten mindestens alle zwei Stunden mit ihren externen Steuerungszentren - und zogen dabei aktiv Daten von den infizierten Netzwerken der Unternehmen ab.

  • PIM-Lösung: Fluch oder Segen?

    Die Vorteile einer zentralen Lösung zur automatischen Verwaltung privilegierter Accounts sind umfassend. Für das Unternehmen reichen sie von der Prozessoptimierung über die Einhaltung von Compliance-Anforderungen bis hin zu einer generellen Erhöhung der Sicherheit. Auch der einzelne Administrator profitiert von einer deutlichen Reduzierung seines Verwaltungsaufwandes.

  • Compliance bei der Softwarelizenzierung

    Erfolgreiche Geschäftsbeziehungen beruhen auf dem Vertrauen zwischen Käufern und Verkäufern. Für die Softwarebranche sind die Themen Vertrauen und faire Gegenleistungen traditionell eher schwierige Themen. Denn viele Unternehmen verstoßen trotz bester Absichten immer wieder gegen geltende Nutzungsbestimmungen. Anwendungshersteller stellen ihren Kunden Anwendungen im Rahmen bestimmter Berechtigungen zur Verfügung. Dieser Rahmen gibt vor, wie das Produkt unternehmensweit genutzt werden darf. Diese Nutzungsberechtigungen werden üblicherweise mit einem Lizenzierungsmodell durchgesetzt, das das geistige Eigentum der Softwareapplikationsshersteller gleichzeitig schützt und monetarisiert. Im Laufe der Zeit und je nach avisierten Märkten und Segmenten stellt der Hersteller bisweilen auf ein anderes Lizenzierungsmodell um, das den geänderten Kundenanforderungen besser gerecht wird. Möglicherweise werden auch mehrere Lizenzierungsmodelle zur Wahl gestellt. Diese Dynamik erschwert ein einwandfreies Compliance-Management erheblich.

  • Compliance und Software-Audits

    Software-Audits gelten seit langem als notwendiges "Übel", um sicherzustellen, dass Endkunden nicht gegen Lizenzrechte verstoßen. Denn Softwarehersteller setzen nach wie vor hauptsächlich auf diese Methode, damit Kunden nicht irrtümlich oder vorsätzlich mehr Softwarelizenzen nutzen, als sie erworben haben. In manchen Marktsegmenten werden Kunden von den jeweiligen Herstellern allerdings stärker geprüft als von anderen. Schon die Vorstellung, sich einem Audit unterziehen zu müssen, veranlasst die meisten Endkunden dazu, angemessene Vorkehrungen zur Einhaltung der Lizenzbestimmungen zu treffen.

Umsetzung einer Nachhaltigkeitsstrategie Anforderungen an Rechnungen laut UStG

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen