12.02.2025Allgemeines

DORA verpflichtet Finanzunternehmen zu hoher IT-Sicherheit

Cyberkriminalität stellt insbesondere für den Finanzsektor eine erhebliche Bedrohung dar, da dort hochsensible und wertvolle Daten verarbeitet werden. Bislang existierte kein einheitlicher Standard für den Schutz dieser Daten.

Mit der Einführung der EU-Verordnung zur digitalen operationalen Resilienz (DORA) im Januar 2025 wird sich dies ändern. Ziel der Verordnung ist es, die IT-Sicherheit im Finanzsektor auf ein neues Niveau zu heben und die Funktionsfähigkeit von Unternehmen auch bei schwerwiegenden Cybervorfällen sicherzustellen.

DORA betrifft nahezu alle Finanzunternehmen sowie deren IT-Dienstleister, darunter Rechenzentren und Cloud-Anbieter. Die Verordnung schreibt ein umfassendes Risikomanagement, strenge Meldepflichten und eine regelmäßige Überwachung von Drittanbieterrisiken vor.

Unternehmen müssen Strategien für IT-Sicherheit entwickeln, klare Verantwortlichkeiten definieren und Notfallpläne erstellen. Besonders herausfordernd ist die Überwachung von Risiken durch Drittanbieter, für die die Unternehmen letztlich haften. Schwerwiegende Vorfälle müssen innerhalb von 24 Stunden an die zuständigen Aufsichtsbehörden gemeldet werden.

Zusätzlich fordert DORA regelmäßige Tests der digitalen Resilienz, wie Penetrationstests, um Schwachstellen zu identifizieren und zu beheben. Die Harmonisierung der Anforderungen innerhalb der EU soll zudem eine einheitliche Cybersicherheitsstrategie gewährleisten.

Die Verordnung betrifft nicht nur klassische Banken und Versicherungen, sondern auch Zahlungsdienstleister, Wertpapierfirmen, Vermögensverwalter sowie Krypto-Dienstleister – insgesamt mehrere Tausend Organisationen in der EU. Auch FinTechs und kleinere Anbieter sind nicht ausgenommen, was bei vielen Unternehmen derzeit zu einem hohen Anpassungsdruck führt. Besonders IT-abhängige Geschäftsmodelle stehen nun vor der Herausforderung, komplexe Prozesse innerhalb kurzer Zeit in Einklang mit DORA zu bringen.

Ein zentrales Element ist die Einführung eines sogenannten IKT-Risikomanagement-Frameworks (IKT = Informations- und Kommunikationstechnologie). Dieses umfasst die Identifikation, Klassifikation und Bewertung von IT-Risiken sowie deren kontinuierliche Überwachung und Steuerung. Dabei ist ein besonderes Augenmerk auf kritische Funktionen zu legen, die bei Ausfällen den Geschäftsbetrieb massiv beeinträchtigen könnten. Unternehmen müssen diese Funktionen priorisieren und deren Schutzmaßnahmen regelmäßig evaluieren.

Hinzu kommen umfangreiche Anforderungen an das Incident Reporting: Neben der 24-Stunden-Regelung zur Erstmeldung verlangt DORA auch eine detaillierte Nachanalyse, bei der Ursachen und Auswirkungen systematisch aufgearbeitet werden müssen. Das Ziel: eine kontinuierliche Verbesserung der Abwehrmechanismen und eine rasche Wiederherstellung der Betriebsfähigkeit im Ernstfall.

Für IT-Dienstleister und Cloud-Anbieter bedeutet DORA ebenfalls eine stärkere Regulierung. Sie unterliegen künftig der direkten Aufsicht durch europäische Behörden wie der Europäischen Bankenaufsichtsbehörde (EBA) oder der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA). Dabei müssen sie unter anderem ihre eigenen Schutzmaßnahmen offenlegen, Sicherheitsvorfälle unverzüglich melden und sich regelmäßigen Prüfungen unterziehen.

Ein weiteres Schlüsselelement von DORA ist die Etablierung einer organisationsübergreifenden Krisenreaktion. Unternehmen müssen nicht nur intern klare Zuständigkeiten festlegen, sondern auch mit anderen Marktteilnehmern und Behörden zusammenarbeiten können – etwa im Rahmen sektorweiter Krisensimulationen oder länderübergreifender Notfallprotokolle.

Nicht zuletzt enthält DORA auch Vorgaben für die Schulung und Sensibilisierung der Mitarbeitenden. Sicherheitskultur und Bewusstsein für Cyberrisiken sollen auf allen Ebenen gestärkt werden, da menschliches Fehlverhalten nach wie vor eine der Hauptursachen für Sicherheitslücken ist.

Die Umsetzungsfrist bis Januar 2025 gilt bereits als ambitioniert – insbesondere für kleinere Marktteilnehmer. Dennoch wird DORA als ein entscheidender Schritt gesehen, um den Finanzsektor krisenfester, sicherer und zukunftsfähiger zu machen. Die Verordnung schließt damit eine bedeutende regulatorische Lücke und schafft erstmals ein konsistentes, europaweites Rahmenwerk für die digitale Resilienz im Finanzwesen.

_______________________

Hinweis: Dieser Artikel dient lediglich illustrativen Zwecken und ersetzt keine professionelle Beratung. Es wird empfohlen, individuelle Versicherungsbedürfnisse mit einem qualifizierten Versicherungsberater oder Versicherungsmakler wie z.B. „AMB Allfinanz Makler“ zu besprechen.