Start Your Expedition
Der Digital Operational Resilience Act
Mit dem Digital Operational Resilience Act (DORA) reagiert die EU auf die zunehmende Bedrohung der Finanzbranche durch Cyberattacken auf Dienstleister für Informations- und Kommunikationstechnologien (IKT).
Digital Operational Resilience Act der EU
Mit der DORA verfolgt die EU die Stärkung der Widerstandsfähigkeit von Finanzdienstleistungsinstituten gegenüber IKT- und Cyberrisike
DORA bezieht sich ausdrücklich auf IKT-Risiken und legt Regeln für das Risikomanagement, die Meldung von Vorfällen, die Prüfung der operativen Belastbarkeit und die Überwachung von IKT-Risiken durch Dritte fest. Durch DORA sind Finanzinstitute und ihre Leitungsorgane in der Pflicht, diesen Regeln nachzukommen.
Was müssen Finanzdienstleister nun tun?
Die Schaffung einer widerstandsfähigen digitalen Infrastruktur erfordert eine klar definierte Strategie für digitale operationale Resilienz und die Implementierung einer Leitlinie zur Geschäftsfortführung für Information- und Kommunikationstechnologie (IKT). Notwendig sind zudem systematische Maßnahmen zur Erkennung von IKT-Vorfällen sowie ein Prozess zur ständigen Aktualisierung und Anpassung von Frühwarnindikatoren.
Die Etablierung eines IKT-Vorfall-Managementprozesses und die Festlegung von Bewertungskriterien für IKT-Vorfälle sind weitere kritische Handlungsfelder. Ein umfassendes Testprogramm für IKT-Tools stellt sicher, dass Schwachstellen frühzeitig erkannt werden. Darüber hinaus ist eine Anpassung der Strategie und Dokumentation für IT-Ausgliederungen erforderlich, um das Management von Drittanbieter-Risiken zu stärken. Ferner müssen jährliche Penetration-Tests für IKT-Systeme erfolgreich absolviert werden, ggf. sogar mit Unterstützung spezieller Dienstleister ein Programm für „Advanced Threat Led Penetration Tests (TLPT).
Was ändert sich?
Im Rahmen des Digital Operational Resilience Act werden Unternehmen nun stärker in die Pflicht genommen, ein effektives IKT-Risikomanagement zu etablieren. Hierbei liegt die Verantwortung für die Einhaltung eines regulatorisch konformen IKT-Risikomanagements nunmehr auch persönlich bei den Leitungsorganen. Dies umfasst die Einrichtung und fortwährende Pflege von robusten IKT-Systemen, die auch unter Stressbedingungen funktionsfähig bleiben. Außerdem ist die Etablierung von Prozessen zur Erkennung, Behandlung, Überwachung und Protokollierung von IKT-bezogenen Vorfällen essenziell.
Die Verwendung standardisierter Vorlagen für die Berichterstattung schwerwiegender Vorfälle wird ebenso vorgeschrieben wie intensivierte Tests zur Überprüfung der Betriebsstabilität. Zudem ist eine durchgängige Überwachung des Risikos, das von Drittparteien ausgeht, entlang des gesamten Ausgliederungslebenszyklus notwendig. Die Überwachung kritischer IKT-Drittdienstleister wird durch neue Befugnisse der Europäischen Aufsichtsbehörden harmonisiert.
" Wir bei 4C verstehen die Anforderungen, die DORA an Finanzdienstleistungsinstitute stellt, und begleiten Unternehmen bei der Bewältigung der damit verbundenen Herausforderungen. "
Daniel Lovric | Partner CCO Advisory 4C GROUP
Ihre Vorteile
- Die Nutzung des 4C Reifegradmodells ermöglicht die Bestimmung des Reifegrades gemäß den DORA-Anforderungen.
- Die Abbildung sämtlicher DORA-Anforderungen sowie der Abgleich mit zusätzlichen Vorgaben.
- Unsere schlagkräftigen Teams zeichnen sich durch ihre Fähigkeit aus, unabhängige und objektive Beratung auf Augenhöhe zu bieten.
- Die ideale Kombination aus Branchen-Know-how, Regulatory- und IT-Management ermöglicht es uns, maßgeschneiderte Lösungen anzubieten, die den spezifischen Anforderungen unserer Kunden gerecht werden.
Unser Leistungsumfang
" The Banking industry is already following strong compliance and regulatory standards, however compliance management systems are yet not so established in other industry sectors. Dr. Heiko Mauterer and Daniel Lovric from 4C GROUP joined my team to give us a presentation on the recent market developments and [..] offering the opportunity to make professional Compliance Management a real asset."
- Anna Issel Head Anti-Financial Crime International Private Bank | Deutsche Bank
Unser Ansatz
1. Bestandsaufnahme
- Relevante aktuelle/ geplante Governance-Strukturen & Prozesse
- Berücksichtigung Zielstrukturen (regulatorischer) Umsetzungs-projekt
- Priorisierung von DORA-Schwerpunkten gem. Geschäftsmodell
2. GAP-Analyse
- Individualisierung 4C-Reifegrad-modell
- Auswahl zusätzlicher relevanter regulatorischer Anforderung
- Dokumentation des wahr-genommenen Ist-Zustandes
- Bewertung des Reifegrades als Abstand zum Soll-Zustand („neue Anforderung" bis hin zu bereits „erfüllt")
3. Maßnahmendefinition
- Gemeinschaftliche, risikoorientierte Priorisierung d. Anpassungsbedarfe
- Maßnahmenableitung aus Reifegrad je identifiziertem GAP
- Inhaltliche Zieldefinition gemeinsam mit umsetzendem Fachbereich inkl. indikativer Aufwandsschätzung
- Erarbeitung von Entscheidungs-vorlagen für Gremien
4. Operationalisierung
- Abgleich mit Ist-Projektportfolio und Priorisierung
- Integration in bestehende Projekte/ Aufsetzen von Umsetzungsinitiativen
- Fortschritts- und Erfolgskontrolle (via Tendenz im Reifegradmodell) und Darstellung im 4C-Dashboard
- Begleitung beim Change-Management inkl. Kommunikation
