NIS2 für Finanzdienstleistungen: Wenn DORA und NIS2 auf kollidieren

Einleitung

Im Jahr 2025, ein Jahr voller Herausforderungen für das europäische Finanzsystem, hat eine europäische Bank einen Fall gehabt, der die Schlagzeilen durchzog: Die Bank wurde aufgrund mangelnder Informationssicherheitsmaßnahmen gehackt, was nicht nur für signifikante finanzielle Verluste von mehr als 10 Millionen EUR sorgte, sondern auch zu einer erheblichen Störung der Geschäftsabläufe führte. Dies war kein Einzelfall, sondern ein Schlüsselerlebnis, das die Notwendigkeit aufzeigt, die Zusammenarbeit zwischen den neuen Vorschriften der Digital Operational Resilience Act (DORA) und der Netz- und Informationssicherheitsverordnung (NIS2) ernst zu nehmen. Dies ist ein Alarmzeichen für alle Finanzinstitute in Europa und ein Grund, sich mit den Folgen des Versäumnis der nIS2- und DORA-Anforderungen auseinanderzusetzen.

In diesem Artikel befassen wir uns mit den Auswirkungen, wenn diese beiden Regelwerke kollidieren, und warum dies für europäische Finanzdienstleister von entscheidender Bedeutung ist. Die Vorschriften von DORA und NIS2 haben weitreichende Auswirkungen auf die Compliance, Cybersicherheit und Geschäftsabläufe in der Finanzbranche. Die Einhaltung dieser Vorschriften ist nicht nur erforderlich, um legal zu operieren, sondern auch, um den Ruf und die Kundenvertrauen der Institutionen zu wahren.

Das Kernproblem

Die Zusammenarbeit von DORA und NIS2 bedeutet, dass Finanzdienstleister nicht nur ihre interne Informations- und Technologieinfrastruktur, sondern auch die der Drittanbieter und Lieferketten auf Resilienzanforderungen überprüfen und sichern müssen. Dies ist ein Prozess, der nicht nur Kosten verursacht, sondern auch eine erhebliche Zeit und eine hohe technische Expertise erfordert. Die meisten Organisationen haben es bislang versäumt, die volle Auswirkung der Zusammenarbeit dieser beiden Regelwerke zu erfassen.

Die Realkosten sind hoch: Die durch mangelnde Compliance entstandenen EUR-Verluste können in Millionen gehen, die erforderliche Zeit, um auf die Vorschriften anzupassen, kann Geschäftsmöglichkeiten stören und das Risiko einer Cyberbedrohung erhöhen. Die häufigste Fehleinschätzung besteht darin, dass viele Organisationen nicht die Komplexität der Zusammenarbeit von DORA und NIS2 vollständig erkannt haben. Sie sind möglicherweise nicht bereit, die notwendigen Investitionen in Technologie und Compliance zu tätigen. Dies kann zu einer nicht zu überschauenden Menge an Paperwork, einer erhöhten Belastung für den Compliance-Teams und einer erhöhten Wahrscheinlichkeit von Audit-Misserfolgen führen.

Beispielsweise verlangt der Artikel 14 der NIS2-Verordnung von Finanzinstituten, dass sie ihre IT-Systeme und -Dienste auf ihre Fähigkeit, Cyberbedrohungen und -Angriffe zu widerstehen, hin überprüfen und sichern. Dies kann zur Notwendigkeit führen, teure IT-Systeme zu aktualisieren oder sogar zu ersetzen. Die DORA-Vorschriften hingegen betreffen die operative Resilienz der Finanzinstitute und verlangen, dass sie eine umfassende Risikobewertung durchführen und die internen Verfahren entsprechend anpassen.

Ohne eine gründliche Vorgehensweise zur Erfüllung der Anforderungen beider Vorschriften kann dies zu einer Situation führen, in der die Organisation Geld und Ressourcen verschwendet und gleichzeitig die Fähigkeit, Cyberbedrohungen effektiv zu bekämpfen, einbüßt.

Warum dies jetzt dringend ist

Die jüngsten regulatorischen Entwicklungen wie die Einführung der DORA und die Anpassung der NIS2-Verordnung haben die Notwendigkeit einer engeren Zusammenarbeit und Koordination der Compliance-Maßnahmen unterstreicht. Die Behörden wie BaFin und die BSI in Deutschland haben zunehmend strengere Vorschriften und Kontrollen implementiert, um die Einhaltung dieser Vorschriften sicherzustellen. Finanzinstitute, die hinter der Zeit zurückbleiben oder die Anforderungen nicht einhalten, sind einer Vielzahl von Risiken ausgesetzt.

Darüber hinaus wächst der Marktdruck, da Kunden immer häufiger Zertifizierungen und Compliance-Bestätigungen von ihren Finanzdienstleistern fordern. Eine Nicht-Einhaltung dieser Vorschriften kann zu einem Wettbewerbsnachteil führen, da Kunden möglicherweise ihre Geschäfte an Dienstleister verlagern, die demonstriert haben, dass sie die erforderlichen Sicherheitsmaßnahmen ergreifen.

Die Lücke zwischen der aktuellen Situation der meisten Organisationen und den Anforderungen von DORA und NIS2 ist beträchtlich. Eine Studie des Europäischen Ausschusses für Bankenaufsicht und Finanzaufsicht (EBA) hat gezeigt, dass weniger als die Hälfte der Finanzinstitute über ausreichende Vorkehrungen für die Umsetzung der NIS2-Verordnung verfügt. Gleichzeitig sind viele Institute noch nicht bereit, die zusätzlichen Anforderungen der DORA-Vorschriften zu bewältigen.

Zusammenfassend zeigt sich ein Bild, in dem Finanzinstitute in Europa schnell handeln müssen, um die Krise zu vermeiden und die erforderlichen Compliance- und Sicherheitsmaßnahmen einzuhalten, um wettbewerbsfähig zu bleiben und den Vertrauen der Kunden zu erhalten. In den folgenden Teilen des Artikels werden wir tiefer einsteigen und auf konkrete Beispiele eingehen, wie man DORA und NIS2 erfolgreich zusammenführt, um Compliance zu gewährleisten und gleichzeitig wettbewerbsfähig zu bleiben.

Die Lösungsstruktur

Um das Problem der Kollision von DORA und NIS2 erfolgreich anzugehen, ist ein schrittweiser Ansatz entscheidend. Hier sind einige handlungsreiche Empfehlungen, die Sie in die Praxis umsetzen können.

Schritt 1: Klären Sie die Anforderungen beider Vorschriften. Zunächst sollten Sie sich detailliert mit den Bestimmungen auseinandersetzen, sowohl des DORA als auch des NIS2. Dies ist entscheidend, um zu verstehen, inwiefern die Anforderungen überschneiden oder sich ergänzen. Artikel 14 NIS2 legt den Grundsatz der Risikoumgrenzierung fest, während Artikel 28(2) DORA die Erfordernisse für IT-Drittanbieter festschreibt. Beide sollten in Einklang miteinander stehen.

Schritt 2: Bilden Sie ein interdisziplinäres Team. Ein Team aus Compliance-Experten, IT-Spezialisten und Risikomanagern ist für eine erfolgreiche Umsetzung unerlässlich. Sie sollten zusammenarbeiten, um die spezifischen Anforderungen für Ihre Finanzdienstleistung zu identifizieren und umzusetzen.

Schritt 3: Bewerten und Priorisieren von Risiken. Risikobewertungen sind ein Kernstück bei der Umsetzung beider Verordnungen. Bewerten Sie die potenziellen Risiken, die Ihre Organisation durch DORA und NIS2 potenziell beeinflusst werden könnten. Priorisieren Sie dann die Risiken, die am dringendsten angegangen werden müssen.

Schritt 4: Entwickeln Sie einen Aktionsplan. Basierend auf Ihrer Risikobewertung sollten Sie einen umsetzbaren Aktionsplan entwickeln, der alle notwendigen Maßnahmen ergreift, um sowohl DORA als auch NIS2 einzuhalten. Dies sollte umfassen, von der Überarbeitung von Verfahren bis hin zur Einführung neuer Technologien.

Schritt 5: Überwachung und Anpassung. Schließlich ist es entscheidend, den Prozess fortlaufend zu überwachen und Anpassungen vorzunehmen, wenn sich die Bedingungen ändern oder wenn neue Risiken auftauchen. Dies erfordert eine starke interne Kommunikation und ein hohes Maß an Flexibilität.

Gute Umsetzung sieht aus, wenn Ihre Organisation nicht nur die Vorschriften einhält, sondern auch proaktiv ist, um potenzielle Änderungen und Anforderungen zu identifizieren und schnell zu reagieren.

Häufige Fehler, die zu vermeiden sind

Es gibt mehrere Fehler, die Organisationen häufig machen, wenn sie DORA und NIS2 umsetzen. Hier sind die drei größten:

1. Unklare Zuständigkeiten. Wenn die Verantwortlichkeiten für die Einhaltung von DORA und NIS2 nicht klar definiert sind, führt dies oft zu Missverständnissen und einer ineffizienten Umsetzung. Stattdessen sollten Sie klare Rollen und Zuständigkeiten festlegen und dokumentieren.

2. Unzureichende Risikobewertung. Viele Organisationen unterschätzen die Bedeutung einer gründlichen Risikobewertung. Sie überspringen wichtige Aspekte oder analysieren nicht die Auswirkungen ausreichend. Eine umfassende Risikobewertung ist jedoch unerlässlich, um die richtigen Maßnahmen zu treffen und Prioritäten zu setzen.

3. Fehlanpassung an neue Bedingungen. Dietechnische Landschaft und die Bedrohungslagen im Bereich der Informationssicherheit sind ständig in Bewegung. Organisationen, die sich nicht an neue Herausforderungen anpassen, sind gefährdet, nicht den hohen Anforderungen von DORA und NIS2 gerecht zu werden. Es ist entscheidend, kontinuierlich zu überwachen und Anpassungen vorzunehmen.

Anstatt sich auf diese Fehler einzulassen, sollten Organisationen stets auf der Suche nach Verbesserungen sein und proaktiv auf Veränderungen reagieren.

Werkzeuge und Ansätze

Die Umsetzung von DORA und NIS2 kann auf unterschiedliche Weise erfolgen. Hier sind einige der gängigsten Ansätze:

Manuelle Vorgehensweisen: Dies kann für kleinere Organisationen oder spezifische Prozesse sinnvoll sein. Die Vorteile liegen in der Flexibilität und der. Allerdings kann es zeitaufwändig und fehleranfällig sein, insbesondere wenn es um die Erfassung von Beweisen und die Berichterstattung geht.

Tabellenkalkulations-/GRC-Systeme: Diese Methoden sind besser für die Verwaltung und Überwachung von Prozessen. Sie bieten eine zentrale Benutzeroberfläche und können Daten über verschiedene Abteilungen hinweg integrieren. Die Hauptschwäche solcher Systeme besteht jedoch darin, dass sie manuelle Eingaben erfordern und möglicherweise nicht in der Lage sind, die Komplexität der heutigen IT-Umgebung zu bewältigen.

Automatisierte Compliance-Plattformen: Für Organisationen, die nach einer effizienteren Lösung suchen, bieten automatisierte Compliance-Plattformen wie Matproof Vorteile. Sie können AI-gestützte Richtlinienerstellung, automatisierte Beweisbeschaffung von Cloudanbietern und Endpunkt-Compliance-Agents für die Geräteüberwachung anbieten. Eine wichtige Eigenschaft solcher Plattformen ist die 100 %ige Datenaufbewahrung in der EU, was für Finanzdienstleistungen unerlässlich ist.

Beim Auswählen einer Compliance-Plattform ist es wichtig, nach folgenden Aspekten zu suchen: die Fähigkeit, alle relevanten Standards wie DORA, SOC 2, ISO 27001, GDPR und NIS2 abzudecken; Unterstützung in mehreren Sprachen, insbesondere Deutsch und Englisch; und die Fähigkeit, die Anforderungen changeder Finanzbranche rasch und flexibel zu erwarten.

Ehrlich gesagt, hilft Automatisierung, wenn es um die Effizienz und Genauigkeit geht, insbesondere bei der Richtlinienerstellung und Beweisbeschaffung. Sie ist jedoch nicht immer das beste Werkzeug für alle Compliance-Aufgaben, insbesondere bei situationsabhängigen Entscheidungen oder bei Prozessen, die eine hohe Maßanpassung erfordern. In diesen Fällen kann ein kombinierter Ansatz aus manuellen und automatisierten Methoden das beste Ergebnis liefern.

Getting Started: Ihre nächsten Schritte

Als Finanzdienstleister in der EU steht Ihnen viel Arbeit bevor, um sowohl die NIS2 als auch die DORA-Vorgaben zu erfüllen. Hier sind fünf konkrete Schritte, die Sie in dieser Woche unternehmen können:

1. Bewerten Sie Ihre gegenwärtige Compliance-Position. Überprüfen Sie, welche bestehenden Vorkehrungen Sie haben, die für beide Richtlinien relevant sind, und identifizieren Sie Bereiche, in denen Sie Verbesserungen vornehmen müssen.

2. Lesbar die offiziellen EU- und BaFin-Publikationen zu NIS2 und DORA. Eine detaillierte Analyse der Vorschriften wird Ihnen dabei helfen, die spezifischen Anforderungen besser zu verstehen.

3. Entwickeln Sie einen Maßnahmenplan. Legen Sie Prioritäten fest, basierend auf der Dringlichkeit und dem Umfang der Compliance-Aufgaben und entwickeln Sie entsprechende Strategien.

4. Überlegen Sie, ob Sie externe Hilfe benötigen. Wenn Sie in Bezug auf die technische Umsetzung oder die Ressourcen kurz kommen, ist es ratsam, sich externe Experten hinzuziehen.

5. Erreichen Sie einen schnellen Erfolg. Identifizieren Sie Aktionen, die Sie sofort umsetzen können, um Ihre Compliance-position zu verbessern. Dies kann die Schulung des Personals, die Überprüfung von Drittanbieter-Verträgen oder die Implementierung von Baseline-Sicherheitsmaßnahmen beinhalten.

Bei der Suche nach Ressourcen achten Sie bitte auf offizielle Publikationen wie die BaFin-Leitlinien oder die EU-Richtlinien selbst. Wenn Sie External Help in Betracht ziehen, denken Sie daran, dass es weniger darum geht, alle Aufgaben zu übernehmen, sondern sich auf diejenigen zu konzentrieren, die Ihre Kernkompetenzen ergänzen. Ein schneller Erfolg könnte darin bestehen, ein Schulungsprogramm für Ihr Team zu starten oder die Dokumentation Ihrer IT-Sicherheitsprotokolle zu überprüfen und auf den neuesten Stand zu bringen.

Häufig gestellte Fragen

Frage 1: Wie ermittelt man, ob meine Organisation unter NIS2 und DORA fällt?

Als Finanzdienstleister in der EU ist es sehr wahrscheinlich, dass Sie sowohl unter NIS2 als auch unter DORA fallen. Wenn Sie sich im Zweifel befinden, sollten Sie die offiziellen Richtlinien sorgfältig lesen und ggf. externe Compliance-Beratung einholen. Artikel 4 der NIS2-Verordnung und Artikel 2 der DORA-Verordnung definieren die Anwendungsbereiche und die spezifischen Kriterien für den Status einer kritischen.

Frage 2: Wie kann ich sicherstellen, dass meine Organisation die Anforderungen an die Dritte-Party-Risiken bei DORA und NIS2 erfüllt?

Zunächst müssen Sie eine detaillierte Dokumentation und Bewertung aller bestehenden Drittparteienbeziehungen vornehmen. Darüber hinaus sollten Sie ein Framework für die kontinuierliche Beurteilung und Überwachung dieser Beziehungen einrichten. Dies kann das Risiko von Cyberbedrohungen und -angriffen reduzieren und sicherstellen, dass Ihre Organisation den Vorgaben von NIS2 und DORA entspricht. Artikel 10 der NIS2-Verordnung und Artikel 22 der DORA-Verordnung fordern ausdrücklich die Bewertung und Überwachung von Drittanbieter-Risiken.

Frage 3: Wie kann ich die IT-Sicherheitskontrollen und -Maßnahmen in Einklang mit NIS2 und DORA anpassen?

Beginnen Sie mit einer gründlichen Bewertung Ihrer gegenwärtigen Sicherheitskontrollen und vergleichen Sie diese mit den Anforderungen von NIS2 und DORA. Setzen Sie dann ein Aktionsplanning ein, um alle Lücken zu schließen und sicherzustellen, dass alle erforderlichen Maßnahmen implementiert werden. Artikel 16 der NIS2-Verordnung und Artikel 25 der DORA-Verordnung enthalten detaillierte Anforderungen an die technische Sicherheit und den Schutz von Netzwerken und Informationen.

Frage 4: Gibt es spezifische Schulungsanforderungen für meine Mitarbeiter in Bezug auf NIS2 und DORA?

Ja, es ist äußerst wichtig, dass alle Mitarbeiter, die in Bereichen tätig sind, die von NIS2 und DORA betroffen sind, speziell geschult werden. Dies beinhaltet die Einhaltung der Compliance-Richtlinien, das Erkennen von Cyberbedrohungen und das Umgehen mit sensiblen Informationen. Schulungsprogramme können dazu beitragen, das Bewusstsein für Compliance und Sicherheit zu erhöhen und die Einhaltung der Vorschriften sicherzustellen.

Frage 5: Wie kann ich die Zusammenarbeit zwischen den verschiedenen Abteilungen und den Compliance-Teams verbessern, um die Anforderungen von NIS2 und DORA besser zu erfüllen?

Effektives Zusammenspiel ist entscheidend für die Compliance mit NIS2 und DORA. Ein interdisziplinäres Compliance-Team, das alle relevanten Abteilungen umfasst, kann dazu beitragen, die Kommunikation und Koordination zu verbessern. Dazu gehört auch, dass alle Beteiligten eng miteinander arbeiten, um potenzielle Risiken und Lücken zu identifizieren und die entsprechenden Maßnahmen zu ergreifen.

Schlüssesstakeaways

In diesem Artikel haben Sie gelernt, wie sich die NIS2- und DORA-Anforderungen für Finanzdienstleister überschneiden und wie Sie Ihre Compliance-position optimieren können. Hier sind die Hauptpunkte zusammengefasst:

• Beurteilen Sie Ihre aktuelle Compliance-Position und identifizieren Sie Bereiche, in denen Verbesserungen erforderlich sind.
• Legen Sie einen Maßnahmenplan zur Umsetzung der Vorgaben von NIS2 und DORA fest.
• Überlegen Sie, ob Sie externe Hilfe benötigen, insbesondere bei der technischen Umsetzung Ihrer Sicherheitsmaßnahmen.
• Schulen Sie Ihr Personal speziell in Bezug auf Compliance und Sicherheit.
• Stärken Sie die Zusammenarbeit zwischen den verschiedenen Abteilungen und den Compliance-Teams.

Wenn Sie bei der Umsetzung dieser Schritte Unterstützung benötigen, kann Matproof Ihnen helfen. Unser Compliance-Automations-Plattform ist speziell für EU-Finanzdienstleister konzipiert und unterstützt Sie bei der Erfüllung der Anforderungen von DORA, NIS2, SOC 2, ISO 27001, GDPR, NIS2. Weitere Informationen und eine kostenlose Bewertung finden Sie unter https://matproof.com/contact.