Der Digital Operational Resilience Act (DORA) ™

„DORA ist ab dem 17. Januar 2025 für Prüfungen anzuwenden“ - Quelle Bafin

Are you READY für DORA-Verordnung?
Kontaktieren Sie Cristie, um zu erfahren, wie wir Ihnen mit DORA helfen können. Entdecken Sie, wie das Gesetz zur digitalen Betriebsresilienz (DORA) bis 2025 die Cybersicherheit im Finanzsektor revolutionieren wird und erfahren Sie, wie Ihre Organisation in Sachen betrieblicher Resilienz und Compliance einen Schritt voraus bleiben kann für DORA-Verordnung.

Was ist die DORA-Richtlinie?

Das Gesetz zur digitalen Betriebsresilienz (DORA) ist ein Vorschlag der Europäischen Kommission, um einen umfassenden Rahmen für die Gewährleistung der betrieblichen Resilienz digitaler Dienste im Finanzsektor innerhalb der Europäischen Union zu schaffen. Die DORA-Verordnung zielt darauf ab, die Cybersicherheit und betrieblichen Fähigkeiten von Finanzakteuren, einschließlich Banken und anderen Finanzinstitutionen, zu verbessern und die Kontinuität kritischer Finanzdienstleistungen sicherzustellen.

INHALT

Was ist die DORA-Richtlinie?
Wann tritt DORA vollständig in Kraft?
Was sind die Schlüsselaspekte der vorgeschlagenen DORA-Verordnung?
Wie kann Ihnen Cristie Data bei der Einhaltung der DORA-Vorschriften helfen?
Warum macht DORA betriebliche Resilienz zu einer Priorität für Organisationen im Finanzdienstleistungssektor?
Wird DORA auf Ihre Organisation anwendbar sein?
Was sind die Verpflichtungen und Auswirkungen von DORA für betroffene Organisationen?

Wann tritt DORA vollständig in Kraft?

Das Gesetz zur digitalen Betriebsresilienz (DORA) wurde am 27. Dezember 2022 offiziell im Amtsblatt der Europäischen Union veröffentlicht. Es zielt darauf ab, die digitale betriebliche Resilienz des Finanzsektors in der Europäischen Union zu verbessern. Das Gesetz trat am 16. Januar 2023 in Kraft und wird ab dem 17. Januar 2025 vollständig umgesetzt.

Was sind die Schlüsselaspekte der vorgeschlagenen

DORA-Verordnung?

Betriebliche Resilienz:
DORA konzentriert sich darauf, die betriebliche Resilienz digitaler Dienste, die von Finanzakteuren bereitgestellt werden, sicherzustellen. Dies umfasst Maßnahmen zur Prävention und Reaktion auf Cybersicherheitsvorfälle und Störungen.
Incident Reporting:
Die Verordnung schlägt verpflichtende Meldepflichten für Vorfälle für Finanzakteure vor, um sicherzustellen, dass die zuständigen Behörden umgehend über wesentliche Vorfälle informiert werden, die die Kontinuität digitaler Dienste beeinträchtigen.
Drittanbieter:
DORA befasst sich auch mit der betrieblichen Resilienz von Drittanbietern, die eine entscheidende Rolle im Finanzökosystem spielen. Von Finanzakteuren wird erwartet, dass sie die mit ihrer Abhängigkeit von Drittanbietern verbundenen Risiken bewerten und verwalten.

Tests und Szenarien:
Finanzakteure werden ermutigt, regelmäßige Tests und Simulationen durchzuführen, um ihre betriebliche Resilienz und ihre Fähigkeit, auf verschiedene Cybersicherheitsszenarien zu reagieren, zu bewerten.
Kooperation und Informationsaustausch:
DORA fördert die Zusammenarbeit und den Informationsaustausch zwischen Unternehmen, zuständigen Behörden und anderen relevanten Stakeholdern, um die allgemeine Cybersicherheit und betriebliche Resilienz im Finanzsektor zu verbessern.

Wie kann Ihnen Cristie Data bei der Einhaltung der DORA-Vorschriften helfen?

Cristie Data verfügt über jahrzehntelange Expertise in den Bereichen Datensicherung, Systemwiederherstellung und Cybersicherheit, die alle Schlüsselelemente für die Erreichung betrieblicher Resilienz sind. Für Unternehmen im Finanzsektor, bei denen die Kontinuität kritischer Finanzdienstleistungen unweigerlich den Schutz und die Wiederherstellung von Anwendungsservern in die Tausende einbezieht, kann Cristie helfen, die Komplexität der Automatisierung von großangelegten Systemwiederherstellungen zu lösen. Dies geschieht durch ihre eigene Cristie Recovery (BMR)-Software in Verbindung mit Backup-Lösungen von führenden Anbietern wie Rubrik, Dell Technologies, IBM und Cohesity.

Unsere möglichen Beteiligungen im Kontext der Erfüllung der DORA-Anforderungen umfassen:

Unsere Daten- und Cybersicherheits-Spezialisten stehen immer zur Verfügung, um Ihre Fragen zu beantworten.

Wird DORA auf Ihre Organisation anwendbar sein?

Schlüsselentitäten, auf die DORA wahrscheinlich anwendbar sein wird, umfassen:

Kreditinstitute:
Dies umfasst Banken und andere Finanzinstitutionen, die Kreditdienstleistungen anbieten.
Investmentfirmen:
Entitäten, die in Investmentdienstleistungen und -aktivitäten tätig sind, einschließlich Brokerage und Anlageberatung.
Zentrale Gegenparteien (CCPs):
Entitäten, die Clearing- und Abwicklungsdienste für Finanztransaktionen erleichtern.
Zentrale Wertpapierverwahrstellen (CSDs):
Entitäten, die für die Verwahrung und Verwaltung von Wertpapieren verantwortlich sind.

Zahlungsdienstleister (PSPs):
Entitäten, die in der Bereitstellung von Zahlungsdiensten tätig sind, einschließlich Banken, elektronischen Geldinstituten und anderen Zahlungsdienstleistern.
Elektronische Geldinstitute (EMIs):
Entitäten, die elektronisches Geld ausgeben und damit verbundene Finanzdienstleistungen anbieten.
Kritische Drittanbieter:
DORA befasst sich auch mit der betrieblichen Resilienz von Drittanbietern, die eine entscheidende Rolle im Finanzökosystem spielen. Finanzakteure sollen die mit ihrer Abhängigkeit von kritischen Drittanbietern verbundenen Risiken bewerten und verwalten.

Es ist wichtig zu beachten, dass die Anwendung von DORA einen risikobasierten Ansatz beinhalten kann, wobei die Größe, Komplexität und Kritikalität der von den Entitäten erbrachten Dienstleistungen berücksichtigt werden. Die Verordnung zielt darauf ab, sicherzustellen, dass diese Entitäten betriebliche Resilienz, Cybersicherheit und die Fähigkeit aufrechterhalten, effektiv auf Vorfälle zu reagieren, die die Kontinuität ihrer digitalen Dienste beeinträchtigen könnten.

Sehen Sie sich hierzu unser informatives Video auf LinkedIn an

Was sind die Verpflichtungen und Auswirkungen von DORA

für betroffene Organisationen?

Die DORA-Verordnung umfasst in ihren ersten Vorschlägen Bestimmungen bezüglich der Selbstbewertung und des Testens durch Finanzakteure. Obwohl die spezifischen Anforderungen zur Selbstbewertung während des Gesetzgebungsprozesses noch verfeinert werden können, waren im Allgemeinen folgende Aspekte abgedeckt:

Bewertung der betrieblichen Resilienz:
Von Finanzakteuren wurde erwartet, dass sie Selbstbewertungen ihrer betrieblichen Resilienz durchführen. Dies beinhaltet die Bewertung und Sicherstellung der Wirksamkeit von Maßnahmen, um Vorfälle, die die Kontinuität digitaler Dienste beeinträchtigen könnten, zu verhindern, darauf zu reagieren und sich davon zu erholen.
Test- und Simulationsübungen:
Die Verordnung ermutigt Finanzakteure, regelmäßige Tests und Simulationsübungen zur Bewertung ihrer betrieblichen Resilienz durchzuführen. Diese Übungen zielen darauf ab, verschiedene Cybersicherheitsszenarien zu simulieren und die Fähigkeit der Entität zu bewerten, effektiv darauf zu reagieren.

Bewertung der Reaktion auf Vorfälle:
Finanzakteure waren wahrscheinlich verpflichtet, ihre Pläne und Verfahren zur Reaktion auf Vorfälle zu bewerten und zu testen. Dies beinhaltet die Bewertung der Bereitschaft der Entität, bedeutende Vorfälle umgehend und effektiv zu handhaben.
Dokumentation und Berichterstattung:
Entitäten könnten verpflichtet sein, die Ergebnisse ihrer Selbstbewertungen und Testaktivitäten zu dokumentieren. Zusätzlich könnten sie Berichtspflichten gegenüber den zuständigen Behörden haben, wobei relevante Details über die Art und Auswirkung von Vorfällen sowie die ergriffenen Maßnahmen bereitgestellt werden.

Wir raten Organisationen, sich über den Fortschritt des Gesetzgebungsprozesses und Änderungen an der DORA-Verordnung auf dem Laufenden zu halten. Die endgültigen Anforderungen und Verpflichtungen zur Selbstbewertung könnten in der verabschiedeten Verordnung festgelegt werden. Für die aktuellsten und genauesten Informationen empfiehlt es sich, auf offizielle Quellen der Europäischen Union zurückzugreifen.