Fachwissen DORA - DORA Verordnung, Kapitel 3

Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 zur digitalen Betriebsstabilität des Finanzsektors und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014 und (EU) Nr. 909/2014 (Digital Operational Resilience Act – DORA)

Diese Verordnung wird allgemein als Digital Operational Resilience Act (DORA) bezeichnet und ist Teil des Digital Finance Package der Europäischen Union, das darauf abzielt, die digitale Resilienz von Finanzinstituten zu stärken und eine einheitliche Grundlage für IT-Sicherheitsstandards im Finanzsektor zu schaffen.

Kapitel 3 des Digital Operational Resilience Act (DORA) legt fest, wie Finanzunternehmen mit IKT-bezogenen Vorfällen umgehen, diese klassifizieren und an die zuständigen Behörden melden sollen. Ziel ist es, sicherzustellen, dass Finanzunternehmen auf Cyberbedrohungen und technische Störungen effektiv reagieren können und schwerwiegende Vorfälle zeitnah melden, um Risiken für das Finanzsystem frühzeitig zu erkennen und zu minimieren.

Die Anforderungen dieses Kapitels sind darauf ausgelegt, die Transparenz und Sicherheit in Bezug auf Vorfälle, die die digitale Infrastruktur von Finanzunternehmen betreffen, zu erhöhen. Durch eine klare Struktur für die Erkennung, Klassifizierung und Berichterstattung von Vorfällen soll ein besseres Krisenmanagement und eine optimierte Kommunikation mit Aufsichtsbehörden gewährleistet werden.

1. Prozess für die Behandlung von IKT-bezogenen Vorfällen
   • Finanzunternehmen müssen einen strukturierten und dokumentierten Prozess für die Behandlung von IKT-bezogenen Vorfällen entwickeln und implementieren. Dieser Prozess soll sicherstellen, dass alle IKT-bezogenen Vorfälle effizient erkannt, dokumentiert, kategorisiert und nachverfolgt werden.
     
     
   • Ein zentraler Aspekt ist die schnelle Identifikation und Reaktion auf Vorfälle. Dazu gehören Mechanismen wie Frühwarnsysteme, Eskalationsstufen und die klare Zuordnung von Verantwortlichkeiten, um sicherzustellen, dass Vorfälle schnell und effektiv gemanagt werden.
     
     
2. Klassifizierung und Priorisierung von Vorfällen
   • Finanzunternehmen sind verpflichtet, IKT-bezogene Vorfälle und Cyberbedrohungen nach bestimmten Kriterien zu klassifizieren und zu priorisieren. Zu den Kriterien gehören unter anderem die betroffene Kundenzahl, die geografische Reichweite, die Auswirkungen auf Datenintegrität und -vertraulichkeit sowie die wirtschaftlichen Auswirkungen.
     
     
   • Diese Klassifizierung hilft dabei, die Bedeutung und den potenziellen Schaden eines Vorfalls einzuschätzen und die notwendigen Maßnahmen zu priorisieren. Besonders kritische Vorfälle, die das Potenzial haben, den Geschäftsbetrieb erheblich zu beeinträchtigen, erhalten eine hohe Priorität und werden entsprechend schnell eskaliert.
     
     
3. Meldepflichten für schwerwiegende IKT-bezogene Vorfälle
   • Finanzunternehmen müssen schwerwiegende IKT-bezogene Vorfälle an die zuständigen Aufsichtsbehörden melden. Die Meldepflicht umfasst eine Erstmeldung, Zwischenberichte und eine Abschlussmeldung, die jeweils detaillierte Informationen über den Vorfall und die ergriffenen Maßnahmen enthalten.
     
     
   • Durch diese Meldepflicht sollen die Aufsichtsbehörden in die Lage versetzt werden, potenzielle systemische Risiken frühzeitig zu erkennen und eine koordinierte Reaktion sicherzustellen, insbesondere bei Vorfällen mit potenziellen Auswirkungen auf den gesamten Finanzsektor.
     
     
   • Die Berichterstattung erfolgt in einem standardisierten Format, das von den europäischen Aufsichtsbehörden (ESA) entwickelt wurde, um die Konsistenz und Vergleichbarkeit der Berichte zu gewährleisten.
     
     
4. Freiwillige Meldung erheblicher Cyberbedrohungen
   • Neben der Pflicht zur Meldung schwerwiegender IKT-bezogener Vorfälle können Finanzunternehmen auf freiwilliger Basis auch erhebliche Cyberbedrohungen melden, die möglicherweise eine ernsthafte Gefahr für den Finanzsektor darstellen.
     
     
   • Diese freiwilligen Meldungen tragen dazu bei, das Verständnis und die Präventionsmaßnahmen für Cyberbedrohungen zu verbessern, da dadurch wertvolle Informationen über aufkommende Bedrohungen gesammelt werden, die auch für andere Unternehmen und Behörden von Nutzen sein können.
     
     
5. Informationspflicht gegenüber Kunden
   • Falls ein schwerwiegender IKT-bezogener Vorfall die finanziellen Interessen von Kunden beeinflusst, sind Finanzunternehmen verpflichtet, ihre Kunden zeitnah über den Vorfall und die ergriffenen Maßnahmen zu informieren.
     
     
   • Dies stärkt das Vertrauen der Kunden und verbessert die Transparenz im Umgang mit Cyberbedrohungen. Bei erheblichen Cyberbedrohungen können Finanzunternehmen ihre Kunden ebenfalls über präventive Schutzmaßnahmen informieren, die diese ergreifen können.
     
     
6. Zentralisierung und Harmonisierung des Meldeprozesses
   • Die europäische Aufsicht arbeitet an einer Harmonisierung der Meldeverfahren für schwerwiegende IKT-bezogene Vorfälle, um die Berichterstattung effizienter zu gestalten. Langfristig soll eine zentrale Plattform eingerichtet werden, über die Finanzunternehmen ihre Meldungen einreichen können.
     
     
   • Die zentrale Plattform wird es den Aufsichtsbehörden ermöglichen, einen vollständigen Überblick über die IKT-bezogenen Vorfälle im Finanzsektor zu erhalten und so schnell und effektiv auf Bedrohungen zu reagieren.

Die Anforderungen an die Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle haben weitreichende Auswirkungen auf den Finanzsektor und erfordern sowohl technologische als auch organisatorische Anpassungen:

• Erhöhte Transparenz und Reaktionsfähigkeit bei Cybervorfällen
  Die strikte Einhaltung der Meldepflichten und die Implementierung klarer Prozesse zur Vorfallsbehandlung und -klassifizierung führen zu einer höheren Transparenz gegenüber den Aufsichtsbehörden. Dadurch wird sichergestellt, dass ernsthafte Vorfälle nicht nur erkannt, sondern auch angemessen gehandhabt und kommuniziert werden.
  
  
• Verstärkte Zusammenarbeit mit Aufsichtsbehörde
  Die Anforderungen zur Meldung schwerwiegender IKT-bezogener Vorfälle fördern eine engere Zusammenarbeit zwischen Finanzunternehmen und Aufsichtsbehörden. Finanzinstitute müssen den Informationsaustausch mit Behörden intensivieren, was eine größere Bereitschaft zur Offenlegung und Transparenz erfordert.
  
  
• Notwendigkeit eines klaren Eskalations- und Kommunikationsplans
  Um die Anforderungen von DORA zu erfüllen, müssen Finanzunternehmen detaillierte Eskalationspläne und Kommunikationsprozesse festlegen. Diese Pläne müssen sicherstellen, dass alle relevanten Stakeholder, einschließlich Kunden und Behörden, im Falle eines schwerwiegenden Vorfalls schnell informiert werden.
  
  
• Erhöhter administrativer Aufwand für Dokumentation und Berichterstattung
  Die Anforderungen zur detaillierten Berichterstattung und Klassifizierung von Vorfällen bedeuten einen erhöhten administrativen Aufwand. Finanzunternehmen müssen sicherstellen, dass alle Vorfälle sorgfältig dokumentiert und die relevanten Informationen in einer standardisierten Form an die Behörden gemeldet werden. Dazu gehören regelmäßige Zwischenberichte und Abschlussmeldungen, die detaillierte Informationen über den Vorfall und die ergriffenen Maßnahmen enthalten.
  
  
• Verbesserung der internen Sicherheitsprozesse
  Die strikten Anforderungen an die Klassifizierung und Behandlung von Vorfällen zwingen Unternehmen dazu, ihre internen Prozesse zur Erkennung und Reaktion auf Vorfälle zu optimieren. Dies umfasst die Einrichtung effizienter Monitoring- und Incident-Response-Systeme, die kontinuierliche Schulung von Mitarbeitern und die Investition in fortschrittliche Technologien zur Erkennung und Prävention von Cyberbedrohungen.
  
  
• Herausforderungen bei der Klassifizierung und Priorisierung
  Die Anforderungen zur Klassifizierung von Vorfällen basieren auf bestimmten Kriterien wie geografischer Reichweite, Kundenzahl und wirtschaftlichen Auswirkungen. Finanzunternehmen müssen daher klare Prozesse zur schnellen Einschätzung und Priorisierung von Vorfällen entwickeln, um sicherzustellen, dass die gravierendsten Vorfälle die höchste Aufmerksamkeit erhalten und zeitnah gemeldet werden.
  
  
• Potenzielle Auswirkungen auf den Kundenservice
  Da Finanzunternehmen bei schwerwiegenden Vorfällen verpflichtet sind, betroffene Kunden zu informieren, können solche Vorfälle das Vertrauen der Kunden beeinträchtigen. Andererseits bietet die transparente Kommunikation auch die Chance, das Vertrauen der Kunden in die Sicherheitsmaßnahmen des Unternehmens zu stärken und eine enge Kundenbeziehung aufrechtzuerhalten.
  
  
• Investitionen in Incident-Management-Systeme
  Um die Anforderungen an die Erkennung und Meldung von Vorfällen zu erfüllen, müssen Finanzunternehmen möglicherweise in spezialisierte Incident-Management-Systeme investieren, die eine kontinuierliche Überwachung und schnelle Eskalation ermöglichen. Diese Systeme helfen, Vorfälle schnell zu identifizieren und die notwendigen Informationen für eine standardisierte Berichterstattung zu sammeln.

Artikel 17 des DORA beschreibt den Prozess für die Behandlung IKT-bezogener Vorfälle. Hierbei müssen Finanzunternehmen Maßnahmen und Prozesse zur Erkennung, Bearbeitung und Meldung von IKT-bezogenen Vorfällen und Cyberbedrohungen festlegen und anwenden. Der Artikel stellt sicher, dass Finanzunternehmen nicht nur auf Vorfälle reagieren, sondern auch präventive Maßnahmen implementieren, um zukünftige Vorfälle zu verhindern.

Kerninhalte:

• Prozesse zur Vorfallerkennung und -meldung
  Finanzunternehmen sind verpflichtet, einen systematischen Prozess zur Erkennung und Meldung von IKT-Vorfällen zu etablieren. Dieser Prozess umfasst alle Schritte von der Identifikation bis zur Dokumentation und Berichterstattung.
  
  
• Erfassung und Dokumentation
  Alle IKT-bezogenen Vorfälle sowie erhebliche Cyberbedrohungen müssen vollständig erfasst und dokumentiert werden. Diese Dokumentation dient nicht nur der Transparenz, sondern auch der Ursachenanalyse, um künftige Vorfälle proaktiv zu vermeiden.
  
  
• Frühwarnindikatoren und Eskalationsstufen
  Zur präventiven Erkennung von Bedrohungen werden Frühwarnindikatoren eingeführt, die es ermöglichen, auf Anomalien schnell zu reagieren und Eskalationen entsprechend der Schwere des Vorfalls zu steuern.