DORA-Verordnung: Die EU-Verordnung zur digitalen Sicherheit und Resilienz im Finanzsektor

Am 19. Juli 2024 kam es zur größten IT-Panne aller Zeiten. Weltweit standen rund 8,5 Millionen Windows-Computer still. Krankenhäuser mussten teilweise auf Notbetrieb umstellen und Operationen absagen. Flugzeuge konnten nicht abheben, weltweit wurden über 2.000 Flüge gestrichen und des kam zu langen Verzögerungen beim Check-in, besonders in Sydney, London, Seoul und Washington D.C. In Banken wie JPMorgan Chase konnten sich Trader nicht in ihre Systeme einloggen. Lebensmittelläden mussten schließen, weil ihre Kassensysteme nicht funktionierten, Geldautomaten und viele weitere Kommunikationsdienstleistungen fielen aus.

Sofort vermutete man einen Hackerangriff oder einen massiven, durch einen bösartigen Computervirus ausgelösten Crash, doch die Ursache war ein ganz lapidarer Fehler bei einem Software-Update. Allerdings ist dieser Fehler beim Cybersicherheitsanbieter CrowdStrike aufgetreten. Das Unternehmen mit Zentrale in Austin, Texas, gehört zu den führenden Anbietern von cloudbasierter Sicherheitsdienste und betreut mehr als 3.500 Kunden, darunter mehr als die Hälfte der Fortune 1000 Unternehmen.

Der Vorfall hat dramatisch vor Augen geführt, wie verwundbar die global vernetzte IT-Welt ist. Und dass auch einfache Probleme ein Systemrisiko darstellen können.

Die DORA-Verordnung der EU, der Digital Operational Resilience Act zur digitalen operationalen Resilienz im Finanzsektor, adressiert genau derartige Risiken. Die Bestimmungen, die mit 17. Jänner 2025 in Kraft treten, zielen darauf ab, Europas Finanzunternehmen und den Finanzmarkt der EU gegenüber Cyber-Risiken und IKT-bedingten Betriebsstörungen abzusichern. Von den Bestimmungen betroffen sind auch als kritisch eingestufte IKT-Drittanbieter. Die Details zu der DORA-Verordnung 2022/2554 vom 14. Dezember 2022 finden Sie hier.

„DORA ist ein ambitionierter regulatorischer Rahmen, der grundlegende und weitreichende Neuerungen mit sich bringt. Die betroffenen Finanzdienstleister und Drittanbieter müssen in den nächsten Wochen und Monaten die Vorbereitung auf das neue Aufsichtsregime abschließen, denn DORA ist ohne Übergangsfristen in vollem Umfang anwendbar“, betonen die Vorstände der österreichischen Finanzmarktaufsicht FMA, Helmut Ettl und Eduard Müller.

Um die betroffenen Unternehmen über ihre Pflichten im Rahmen der DORA-Verordnung zu informieren hat die FMA nun eine umfassende Informations-Website eingerichtet. Dort sind alle Regularien und Anforderungen zusammengefasst und die wesentlichen Informationen aufbereitet. Dazu gehören die technischen Regulierungs- und Durchführungsstandards, häufige Fragen werden im Q&A-Format beantwortet.

• DORA betrifft im Wesentlichen alle Finanzmarktsektoren und annähernd alle von der Finanzmarktaufsicht (FMA) beaufsichtigten Finanzunternehmen.

• Das Ziel ist insbesondere die bereits im FinTech-Aktionsplan 2018 der Europäischen Kommission adressierte Stärkung der Cybersicherheit des EU-Finanzsektors.

• Um das breite Spektrum der Vernetzungen mit Anbietern technologischer Lösungen (Rechenzentren, Cloud-Dienstleister, Softwareentwickler, Datenanalysten etc.) in die Aufsicht effizient einzubeziehen, wird ein europäisches Überwachungsregime für kritische IKT-Dienstleister geschaffen.

• Dafür sind neue Strukturen in und Kommunikationsschnittstellen zwischen den zahlreichen beteiligten Akteuren (z.B. beaufsichtigte Unternehmen, nationale und europäische Behörden) notwendig.

Mit der DORA-Verordnung werden Lücken in der Gesetzgebung für Finanzdienstleister geschlossen und weitreichende Berichts-, Informations- und Überwachungspflichten eingeführt. Unter anderem werden betroffene Finanzunternehmen und Drittanbieter zu folgenden Maßnahmen verpflichtet:

• Implementierung eines IKT-Risikomanagementrahmens und eines Business Continuity Managements.

• Berichte zu Verträgen mit Drittanbietern von IKT-Dienstleistungen oder auch von IKT-Vorfällen

• Regelmäßige Tests der digitalen Betriebsstabilität und Durchführung zentral gesteuerter Penetrationstests. Bedeutende Finanzunternehmen müssen Threat Led Penetration Tests durchführen, die auf die Kern-IT-Systeme des Unternehmens abzielen. Die konkrete Methodik wird in Österreich durch TIBER-AT umgesetzt.

• Streuung und Überwachung der IKT-Drittdienstleister-Risiken

• Regelmäßiger Informationsaustausch unter den betroffenen Unternehmen

Die DORA-Verordnung bringt für Unternehmen aber auch neue juristische Auflagen und Herausforderungen. So müssen mit Stichtag 17. Jänner 2025 alle Verträge mit IKT-Drittanbietern den neuen regulatorischen Anforderungen entsprechen. Als zusätzliche Pflicht muss der Finanzmarktaufsicht FMA ein Informationsregister zu allen Verträgen mit IKT-Drittdienstleistern übermittelt werden.

Die von DORA betroffenen Unternehmen müssen der FMA auch schwerwiegende Cyber-Vorfälle und IKT-bedingte Betriebsstörungen melden.