Digital Operational Resilience Act DORA: Mehr Resilienz für den Finanzmarkt

Anbieter zum Thema

CSP GmbH & Co. KG

Fsas Technologies GmbH

Impossible Cloud GmbH

Der 17. Januar 2025 ist der Stichtag für DORA. Dieses Datum wurde europaweit als Beginn des Digital Operational Resilience Act festgelegt. Was soll DORA bewirken, wer ist betroffen und was müssen Betroffene jetzt tun? Eine Zusammenfassung.

DORA, der Digital Operational Resilience Act, ist ein Gesetz, das die digitale operationale Resilienz und Sicherheit des europäischen Finanzsektors stärken soll. Es wurde von der Europäischen Kommission beschlossen, da auch Finanzunternehmen immer häufiger angegriffen werden und ihre Cybersecurity so gefährdet ist. Durch die Stärkung der Sicherheitsmaßnahmen soll diese künftig selbst bei schweren, sicherheitsrelevanten Fremdeingriffen auf die kritische IT-Infrastruktur (KRITIS) gewährleistet bleiben. Die EU-Verordnung trat im Januar 2023 in Kraft und findet ab 17. Januar 2025 Anwendung, eine nationale Umsetzung ist hier, im Vergleich zu NIS2, nicht erforderlich.

Wer ist betroffen?

Von der neuen Regelung betroffen sind Finanzunternehmen und als kritisch eingestufte Drittanbieter von ITK-Services, dazu zählen:

• Kreditinstitute

• Zahlungsinstitute

• E-Geld-Institute

• Wertpapierfirmen

• Anbieter von Krypto-Dienstleistungen, Emittenten von Kryptowerten, Emittenten von an Vermögenswerte geknüpften Token und Emittenten signifikanter an Vermögenswerten geknüpfter Token

• Zentralverwahrer

• zentrale Gegenparteien

• Handelsplätze

• Transaktionsregister

• Verwalter alternativer Investmentfonds

• Verwaltungsgesellschaften

• Datenbereitstellungsdienste

• Versicherungs- und Rückversicherungsunternehmen

• Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit

• Einrichtungen der betrieblichen Altersversorgung

• Ratingagenturen

• Abschlussprüfer und Prüfungsgesellschaften

• Administratoren kritischer Benchmarks

• Crowdfunding-Dienstleister

• Verbriefungsregister

• IKT-Drittanbieter

Es gibt auch Ausnahmen bei den oben genannten Gruppen, das sind:

• Verwalter alternativer Investmentfonds im Sinne von Artikel 3 Absatz 2 der Richtlinie 2011/61/EU;

• Versicherungs- und Rückversicherungsunternehmen im Sinne von Artikel 4 der Richtlinie 2009/138/EG;

• Einrichtungen der betrieblichen Altersversorgung, die Altersversorgungssysteme mit insgesamt weniger als

• 15 Versorgungsanwärtern betreiben;

• gemäß den Artikeln 2 und 3 der Richtlinie 2014/65/EU ausgenommene natürliche oder juristische Personen;

• Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, bei denen es sich

• um Kleinstunternehmen oder kleine oder mittlere Unternehmen handelt;

• Postgiroämter im Sinne von Artikel 2 Absatz 5 Nummer 3 der Richtlinie 2013/36/EU.

• L 333/24 DE Amtsblatt der Europäischen Union 27.12.2022

• (4) Die Mitgliedstaaten können die in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU aufgeführten

Außerdem können die Mitgliedstaaten die in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU aufgeführten Stellen, die sich in ihrem jeweiligen Hoheitsgebiet befinden, vom Geltungsbereich dieser Verordnung ausnehmen.

Was müssen Betroffene jetzt tun?

Um die verbesserte Resilienz zu erreichen, müssen die betroffenen Unternehmen mehrere Punkte umsetzen. Sie müssen ein wirksames Risikomanagement für ihre Informationssysteme implementieren (IKT-Risikomanagement). Weiterhin sind Finanzunternehmen verpflichtet, Vorkommnisse zu überwachen und zu protokollieren sowie bedeutende Cybervorfälle unverzüglich zu melden. Regelmäßige Überprüfungen und Tests der digitalen Widerstandsfähigkeit sind vorgeschrieben. Neben der Risikoanalyse und sorgfältigen Prüfung wird eine strenge Aufsicht über IT-Dienstleister, mit denen eine vertragliche Bindung angestrebt wird beziehungsweise besteht, eingeführt. Für IT-Dienstleister, die nach festgelegten Kriterien als kritisch eingestuft werden, wird ein Überwachungsrahmen festgelegt. Eine weitere Pflicht ist der Austausch von Erfahrungen, Erkenntnissen sowie Informationen über Cyberangriffe. Zudem entwerfen die Aufsichtsbehörden Übungsszenarien zu möglichen Cyber-Notfällen.

Cybersicherheits-Gesetze

Schritt für Schritt DORA-konform

Durchblick im Gesetzes-Dschungel: Teil 3

NIS2 und DORA – jetzt ist Zeit zum Handeln

Navigieren durchs Regeldickicht

8 Regulierungen zur Cybersicherheit die Sie kennen müssen!

(ID:50286655)