Governance und Organisation des IKT-Risikomanagements

DORA konzentriert sich auf die Governance und Organisation des IKT-Risikomanagements. Ziel ist das wirksame und umsichtige Management der IKT-Risiken zur Stärkung der digitalen Resilienz von Finanzunternehmen durch einen internen Governance- und Kontrollrahmen.

Relevanz für IT-Dienstleister

Für IT-Dienstleister bedeutet dies, dass sie eng mit ihren Finanzkunden zusammenarbeiten müssen, um sicherzustellen, dass alle DORA-Anforderungen erfüllt werden. Dies umfasst die Implementierung robuster Sicherheitsmaßnahmen, die Einhaltung von Compliance-Vorgaben und die Bereitstellung detaillierter Dokumentationen und Berichte.

Am 17.01.2025 tritt DORA in Kraft und die Anforderungen müssen umgesetzt sein. Worum geht es bei der Umsetzung im Detail?

Umsetzungshinweise der BaFin zu DORA im IT-Betrieb

Die BaFin stellt die Anforderungen der DORA an den IT-Betrieb den bestehenden Anforderungen der BAIT/VAIT gegenüber. Hier sind die wesentlichen Punkte:

• Gestärkte Betriebsstabilität: DORA betont die Aktualität, Zuverlässigkeit und technologische Resilienz von IKT-Systemen stärker als BAIT/VAIT. Art. 7. DORA fordert, dass IKT-Systeme stets auf dem neuesten Stand gehalten werden.
• Kapazitätsmanagement: DORA erweitert und detailliert das Kapazitätsmanagement.
• Klassifizierung der IKT-Systeme und -Informationen: IKT-Systeme und -Informationen müssen identifiziert, klassifiziert und in einem Inventar geführt werden. Wechselwirkungen zwischen IKT-Assets und Geschäftsprozessen werden berücksichtigt.
• Änderungen an IKT-Systemen: DORA erweitert das Änderungsmanagement auf alle Änderungen an IKT-Systemen, nicht nur auf wesentliche Änderungen. Art. 9 DORA und Art. 17 RTS RMF legen detaillierte Anforderungen an das Änderungsmanagement fest.
• Datensicherung und Wiederherstellung: DORA erweitert die Anforderungen an die Datensicherung und Wiederherstellung. Richtlinien und Verfahren zur Sicherung und Wiederherstellung müssen entwickelt und dokumentiert werden. Art. 12 DORA fordert getrennte Systeme für Datensicherung und regelmäßige Tests zur Sicherstellung der Datenintegrität.
• Behandlung von IKT-bezogenen Vorfällen: DORA enthält umfangreiche Anforderungen zur Behandlung, Klassifizierung und Berichterstattung von IKT-bezogenen Vorfällen. Diese Anforderungen gehen über die bisherigen Vorgaben der BAIT/VAIT hinaus.

Fazit

DORA legt stärkere und detailliertere Anforderungen an den IT-Betrieb fest, um die digitale Resilienz von Finanzunternehmen zu stärken. Die BaFin unterstützt die Umsetzung dieser Anforderungen durch detaillierte Hinweise. Die Umsetzung von DORA stellt sicher, dass Finanzunternehmen eine hohe digitale operationale Resilienz erreichen.
IT-Dienstleister spielen dabei eine entscheidende Rolle, indem sie die notwendigen Technologien und Dienstleistungen bereitstellen, um diese Anforderungen zu erfüllen.