Inhalt
Am 16. Januar 2023 ist der „Digital Operational Resilience Act“ (DORA) des EU-Parlaments in Kraft getreten. Diese Verordnung zielt darauf ab, das Risikomanagement für Informations- und Kommunikationstechnologien (IKT) der europäischen Finanzinstitute zu vereinheitlichen und damit die Resilienz dieser Organisationen gegen digitale Bedrohungen zu stärken. Finanzinstitute und weitere betroffene Unternehmen haben bis zum 17. Januar 2025 Zeit, die Anforderungen der DORA vollständig umzusetzen. Die DORA ist als Gesetz eine verbindliche Regelung mit hohem Strafmaß bei durch die Aufsichtsbehörden festgestellten Verstößen – einschließlich erheblicher Geldstrafen und potenziellen personellen Konsequenzen.
Eine aktuelle Herausforderung für die betroffenen Unternehmen bei der Umsetzung liegt in den fortlaufenden Konsultationen zu den Regulatory Technical Standards (RTS) und den Implementing Technical Standards (IST), die erst parallel zur Umsetzungsphase finalisiert werden.
Die fünf Kernthemen der DORA
Die DORA-Verordnung deckt fünf zentrale Themenfelder ab, die das Fundament eines robusten IKT-Risikomanagements für Finanzinstitute bilden:
- IKT-Risikomanagement: Das Risikomanagement steht im Zentrum der DORA und konzentriert sich auf den Schutz kritischer Geschäftsprozesse. Finanzinstitute sind angehalten, umfassende Maßnahmen zur Identifizierung, Bewertung und Steuerung von IKT-Risiken zu implementieren.
- Management von IKT-Vorfällen: Ein weiterer Schwerpunkt liegt auf dem Umgang mit IKT-bezogenen Vorfällen. DORA definiert klare Anforderungen zur Klassifizierung und Priorisierung von IKT-Vorfällen sowie zur Meldung dieser Vorfälle an die zuständige Aufsichtsbehörde, wie die BaFin in Deutschland.
- Digital Operational Resilience Testing: Dieser Bereich umfasst die Durchführung von Resilienztests, darunter „Threat-Led Penetration Tests“ (TLPT), die speziell auf die Schwachstellen der Institutionen abzielen. Auch das Schwachstellenmanagement ist ein wesentlicher Bestandteil dieser Testmaßnahmen.
- Management von Drittparteien: DORA sieht den Aufbau eines standardisierten Informationsregisters vor, um wesentliche IKT-Dienstleister europäischer Finanzinstitute zu erfassen. Das Management von Drittanbietern soll sicherstellen, dass auch externe Partner die Anforderungen an die digitale Resilienz erfüllen.
- Informationsaustausch: Der letzte Schwerpunkt bezieht sich auf den Austausch sicherheitsrelevanter Informationen zwischen den Finanzinstituten. Diese Kooperation soll zur besseren Abwehr und Früherkennung potenzieller Risiken beitragen.
Auswirkungen auf Security Operation Center (SOC)
Mit den neuen Anforderungen der DORA wächst auch die Verantwortung der Security Operation Center (SOC) in Finanzinstituten, die Überwachung und Bewertung kritischer Geschäftsprozesse rund um die Uhr zu gewährleisten. Dabei spielt das Security Information und Event Management (SIEM) eine wesentliche Rolle. SIEM-Systeme ermöglichen die anwendungsübergreifende Überwachung und die Echtzeitauswertung von Ereignissen in heterogenen IT-Infrastrukturen.
Zusätzlich ermöglichen moderne EDR– (Endpoint Detection and Response) und XDR-Systeme (Extended Detection and Response), wie Microsoft Defender, in diesem Zusammenhang eine Echtzeitüberwachung mit Möglichkeit einer direkten Reaktion bei der Überwachung der zentralen IT-Infrastrukturkomponenten.
Für eine umfassende Sicherheit ist jedoch neben der Analyse der Log-Daten eine kontinuierliche Alarmbewertung durch ein erfahrenes Team von Security-Analysten notwendig. Dies gewährleistet, dass potenziell schwerwiegende Sicherheitsvorfälle innerhalb der durch die DORA vorgeschriebenen Fristen an die Aufsichtsbehörde gemeldet werden können.
SECUINFRA: Unterstützung bei der Umsetzung der DORA-Anforderungen
SECUINFRA steht Unternehmen, die von der DORA-Verordnung betroffen sind, als kompetenter Partner zur Seite. Mit erfahrenen Cyber Defense Consultants unterstützt SECUINFRA bei der Operationalisierung der DORA-Anforderungen im Bereich SOC und SIEM. Darüber hinaus bietet SECUINFRA maßgeschneiderte Dienstleistungen für den 24/7 Managed- und Co-Managed-SOC-Betrieb, angepasst an die spezifischen Bedürfnisse der Kunden.
Fazit
Die DORA-Verordnung markiert einen Meilenstein für die digitale Resilienz europäischer Finanzinstitute. Die EU-weit einheitlichen Anforderungen an das IKT-Risikomanagement der Finanzinstitute und das einbeziehen wesentlicher IKT-Dienstleister schaffen eine neue Grundlage für Sicherheit und Resilienz in einer zunehmend digitalisierten Finanzwelt. Mit der Unterstützung spezialisierter Anbieter wie SECUINFRA können Unternehmen die Herausforderungen der DORA erfolgreich bewältigen und ihre digitale Widerstandsfähigkeit nachhaltig stärken.
