Wer muss sich an DORA halten? Anwendungsbereich und betroffene Unternehmen

Einleitung

Die Verordnung zur Überwachung, zur Risikoreduzierung und zur Aufsicht von digitalen Operationalen Risiken (DORA) trägt dazu bei, die europäische Finanzmarktinfrastruktur stärker gegen digitale Risiken zu machen. Zwar gibt es legitime Gründe, warum einige Institutionen alternative Ansätze zur Compliance verfolgen mögen. Doch angesichts der steigenden Anzahl von Cyber-Bedrohungen und der wachsenden Bedeutung der Technologie in den Finanzdienstleistungen, ist die Einhaltung der DORA-Regelungen für viele Unternehmen in Europa von entscheidender Bedeutung. Nicht nur, weil die finanziellen Bußgelder beträchtlich sein können, sondern auch wegen der potenziellen Auditfehler, operativen Störungen und dem Schaden an der Unternehmensreputation. In diesem Beitrag möchten wir Ihnen die Anwendungsbereiche von DORA klären und darlegen, welche Unternehmen betroffen sind und welche Konsequenzen die Nichteinhaltung haben kann.

Dieses Thema ist besonders für europäische Finanzdienstleister relevant, da sie aufgrund ihrer zentralen Rolle in der Wirtschaft eine hohe Verantwortung für die Stabilität der Finanzsysteme tragen. Die Einhaltung von DORA kann nicht nur dazu beitragen, Risiken zu minimieren, sondern auch das Vertrauen der Kunden in die steigern. Wir möchten, dass Sie nach dem Lesen dieses Beitrags ein klares Verständnis darüber haben, wie DORA Ihnen und Ihrem Unternehmen betroffen ist und welche Schritte Sie unternehmen müssen, um der Anforderungen gerecht zu werden.

Das zentrale Problem

Wenn wir uns mit DORA befassen, geht es nicht nur darum, Vorschriften zu erfüllen, sondern auch darum, die Effizienz und Sicherheit der Finanzdienstleistungen zu gewährleisten. Tatsächlich können die tatsächlichen Kosten der Nichteinhaltung von DORA erheblich sein. Angenommen, eine Bank, die 1 Milliarde EUR an Vermögen verwaltet, verliert durch die Nichtanwendung von DORA-Maßnahmen durchschnittlich 5 Millionen EUR pro Jahr, weil sie riskantere Investitionsentscheidungen trifft oder nicht in ausreichendem Maße gegen Cyber-Angriffe schützt. Darüber hinaus verschlechtert die mangelnde Einhaltung von DORA auch die operative Effizienz, da sie zu mehr Zeit für Compliance-Aufgaben führt und die Flexibilität bei der Entscheidungsfindung einschränkt.

Die meisten Organisationen gehen jedoch falsch darin vor, dass sie DORA nur als bürokratisches Hindernis betrachten. Sie übersehen die Tatsache, dass DORA dazu beiträgt, die Widerstandsfähigkeit der Organisation gegen externe Bedrohungen zu erhöhen und gleichzeitig die interne Verwaltung zu verbessern. Wie in der Verordnung DORA Art. 28(2) festgelegt, müssen Finanzdienstleister ihre IT-Infrastrukturen ständig aktualisieren und die Compliance mit den neuesten Sicherheitsstandards gewährleisten.

In manchen Fällen kann die Nichteinhaltung von DORA auch zu schwerwiegenden rechtlichen Konsequenzen führen. Wenn eine Institution nicht in der Lage ist, ihre Einhaltung der Vorschriften nachzuweisen, kann sie von der Finanzaufsicht BaFin oder anderen zuständigen Behörden Bußgelder in Höhe von bis zu 10 Millionen EUR oder 20% des jährlichen Gesamtumsatzes erhalten, abhängig von welcher Summe größer ist. Dies zeigt die Schwere der Vorschriften und die Notwendigkeit, sich aktiv an die Einhaltung von DORA zu beteiligen.

Warum dies jetzt dringend ist

Die dringende Notwendigkeit der Compliance mit DORA resultiert nicht nur aus den gesetzlichen Anforderungen, sondern auch aus den jüngsten regulatorischen Veränderungen und Durchsetzungsaktionen. Im Jahr 2023 hat die Europäische Union die DORA verabschiedet, die für alle Finanzdienstleister in der EU, die digitalen Technologien einsetzen, gilt. Diese Verordnung soll die Stabilität der Finanzsysteme gewährleisten und gleichzeitig den europäischen Markt für Finanzdienstleistungen wettbewerbsfähig halten. Die Einhaltung dieser Verordnung ist daher für alle Unternehmen, die in diesem Markt agieren, von entscheidender Bedeutung.

Außerdem nimmt der Marktdruck zu, da immer mehr Kunden von Finanzdienstleistern verlangen, dass sie bestimmte Zertifizierungen und Compliance-Standards erfüllen. Die Fähigkeit, die Anforderungen von DORA nachzuweisen, kann somit auch als Wettbewerbsvorteil dienen und den Marktanteil einer Organisation erhöhen.

In der Praxis bedeutet dies, dass Unternehmen, die nicht über die notwendigen Compliance-Maßnahmen verfügen, einen Wettbewerbsnachteil haben können. Es ist daher entscheidend, dass Sie sich schnell anpassen und die entsprechenden Investitionen in Compliance-Lösungen treffen, um den Anforderungen von DORA gerecht zu werden und gleichzeitig die Wettbewerbsfähigkeit aufrechtzuerhalten.

Zusammenfassend zeigt sich, dass die Einhaltung von DORA nicht nur aufgrund gesetzlicher Anforderungen, sondern auch aufgrund der wachsenden Bedeutung von Compliance in der Finanzbranche von großer Bedeutung ist. In Teil 2 dieses Beitrags werden wir daher näher auf die spezifischen Anforderungen von DORA eingehen und Ihnen zeigen, wie Sie Ihre Organisation effektiv auf die Einhaltung dieser Verordnung vorbereiten können.

Das Lösungsframework

Um die Herausforderungen der DORA-Einhaltung zu meistern, sollte eine schrittweise Vorgehensweise verfolgt werden. Zuerst besteht die Notwendigkeit, die Anforderungen der Verordnung zu analysieren und festzustellen, welche Bestimmungen für Ihre Organisation relevant sind. Hierbei sind insbesondere DORA Artikel 4, 5 und 28 von Bedeutung, die die Einhaltung der IT- und Cyber-Sicherheitsstandards regeln.

Erstellen Sie zuerst eine Liste der spezifischen Pflichten gemäß DORA. Bietet Artikel 4 hierzu detaillierte Informationen darüber, welche allgemeinen Sicherheitsmaßnahmen getroffen werden müssen, um Risiken in Bezug auf den Geschäftsbetrieb zu minimieren. Artikel 5 deckt den Zugang zur Tätigkeit und das Betriebsverbot ab, sollte eine Finanzdienstleistungsunternehmen die Anforderungen nicht erfüllen. Artikel 28 legt die Verpflichtung fest, IT-Systeme und IT-Dienstleistungen auf ihre Zuverlässigkeit und die Einhaltung von Sicherheitsstandards hin zu überprüfen.

Als nächstes sollten Sie eine Compliance-Roadmap entwickeln, die detailliert die Umsetzung dieser Anforderungen für jedes betroffenen Geschäftssegment und jede Prozesskette enthält. Definieren Sie klare Ziele, wie zum Beispiel die Verringerung der Zeit zur Audit-Vorbereitung von sechs Wochen auf fünf Tage, und messen Sie die Fortschritte kontinuierlich.

Die Qualität der Compliance-Implementierung sollte auf einer Skala von "gut" bis "nur ausreichend" bewertet werden. "Gut" bedeutet, dass die Organisation nicht nur die Compliance-Mindestanforderungen erfüllt, sondern proaktiv ist, um potenzielle Schwachstellen zu identifizieren und zu beheben. Dazu gehört auch die kontinuierliche Überwachung und Verbesserung der Compliance-Prozesse.

häufige Fehler, die zu vermeiden sind

Unternehmen machen häufig Fehler in der DORA-Compliance. Hier sind die Top 3 Fehler und wie Sie vermeidet werden können:

1. Unzureichende Risikobewertung: Viele Organisationen führen keine umfassende Risikobewertung durch und übersehen so mögliche Compliance-Schwachstellen. Um dies zu vermeiden, sollten Sie regelmäßige Risikoanalysen durchführen und ein Framework für die Identifizierung, Bewertung und Behandlung von Risiken implementieren.

2. Fehlinterpretation von Anforderungen: Es ist nicht selten, dass Unternehmen die spezifischen Anforderungen der DORA falsch interpretieren. Statt sich auf die eigenen Einschätzungen zu verlassen, sollten Sie sich an die offiziellen Dokumente und der Finanzaufsichtory Stellen wie BaFin oder BSI halten.

3. Konformitätsüberprüfungen nur auf Papier: Einige Unternehmen haben zwar Compliance-Verfahren, die sie nicht in der Praxis umsetzen. Um dies zu beheben, sollten Sie eine echte Kultur der Compliance fördern, die es als eine Priorität behandelt und nicht nur als Compliance-Überprüfungen auf Papier.

Tools und Ansätze

Es gibt mehrere Ansätze, die Organisationen zur Umsetzung von Compliance-Maßnahmen einsetzen können. Jede Methode hat ihre eigenen Vor- und Nachteile und ist in verschiedenen Situationen wirksam.

Manuelle Vorgehensweise: Dies kann für kleinere Unternehmen oder Teams unter 20 Personen funktionieren. Es ist kosteneffizient und erfordert keine großen Investitionen in Technologie. Jedoch ist es zeitaufwändig und führt oft zu Menschenfehlern. Es ist wichtig, die Prozesse zu dokumentieren und regelmäßig zu überprüfen, um die Effektivität zu gewährleisten.

Tabellenkalkulations-/GRC-Vorgehensweise: Eine Verbesserung der manuellen Methode ist die Verwendung von Tabellenkalkulationen und Governance, Risk & Compliance (GRC) -Tools. Diese bieten eine zentrale Datenbank für alle Compliance-Daten und ermöglichen eine bessere Datenverwaltung und -analyse. Allerdings haben diese Tools ihre Grenzen: Sie können kompliziert zu bedienen sein und bieten oft nicht genügend Funktionalität, um alle Aspekte der Compliance zu behandeln.

Automatisierte Compliance-Plattformen: Für Unternehmen, die nach einer skalierbaren und effizienteren Compliance-Lösung suchen, bieten sich automatisierte Compliance-Plattformen wie Matproof an. Diese nutzen künstliche Intelligenz, um Richtlinien in deutscher und englischer Sprache zu generieren und automatisiert Beweise von Cloud-Anbietern zu sammeln. Sie bieten auch einen Endpunkt-Compliance-Agent für das Monitoring von Geräten und gewährleisten eine 100 % Datenaufenthaltsrechte in der EU.

Ein entscheidender Faktor für die Auswahl einer Compliance-Plattform ist die Anpassungsfähigkeit und Benutzerfreundlichkeit. Eine Plattform sollte einfach zu bedienen sein und in der Lage sein, schnell an die sich ändernden Compliance-Anforderungen anzupassen. Es ist auch wichtig, auf die Datenschutzaspekte zu achten und sicherzustellen, dass die gesammelten Daten gemäß der GDPR und anderen relevanten Gesetze verarbeitet werden.

Ehrlich gesagt, hilft Automatisierung, wenn es um die Effizienz und Genauigkeit der Compliance-Arbeit geht. Sie ist jedoch nicht die Lösung für alle Probleme. Manchmal ist es besser, auf eine Kombination aus automatisierten Tools und manuellen Prozessen zu setzen, um eine robuste Compliance-Strategie zu gewährleisten.

Fazit

Die Einhaltung der DORA ist eine komplexe Aufgabe, die eine sorgfältige Planung und Umsetzung erfordert. Es ist entscheidend, die spezifischen Anforderungen der Verordnung zu verstehen und ein angemessenes Compliance-Framework zu implementieren. Durch Vermeiden von häufigen Fehlern und die Nutzung der richtigen Tools können Organisationen sicherstellen, dass sie nicht nur die Mindestanforderungen erfüllen, sondern auch proaktiv sind, um potenzielle Schwachstellen zu identifizieren und zu beheben. Eine gut durchdachte Compliance-Strategie ist entscheidend, um den Geschäftsbetrieb sicherzustellen und die Vertrauenswürdigkeit in den Finanzdienstleistungsmarkt aufrechtzuerhalten.

Wer muss sich an DORA halten? Anwendungsbereich und betroffene Unternehmen

In den ersten beiden Teilen dieser Serie haben wir die Digital Operational Resilience Act (DORA) und ihre Auswirkungen auf das Risikomanagement und die Geschäftsprozesse von Unternehmen im Finanzsektor eingehend besprochen. Im dritten und letzten Teil dieser Reihe möchten wir Ihnen einen konkreten Aktionsplan geben, um mit der Umsetzung zu beginnen, häufig gestellte Fragen beantworten und die wichtigsten Erkenntnisse zusammenfassen.

Getting Started: Ihre nächsten Schritte

Um mit der Umsetzung von DORA loszulegen, empfiehlt es sich, einen 5-Schritt-Aktionsplan zu folgen.

1. Grundlagen befassen: Informieren Sie sich über die Anforderungen von DORA. Lesen Sie die offiziellen EU-Veröffentlichungen zur DORA, z. B. das Entwurfsvotum des Europäischen Parlaments oder die entsprechenden BaFin-Leitlinien.

2. Risikoanalyse durchführen: Bewerten Sie Ihre bestehenden IT-Systeme und Geschäftsprozesse auf potenzielle Risiken, die von DORA adressiert werden müssen. Dies beinhaltet die Identifizierung von kritischen Outages und den Schutz vor Cyberbedrohungen.

3. Kompetenz aufbauen: Schaffen Sie im Unternehmen ein Verständnis für die Complianceanforderungen von DORA. Organisieren Sie Schulungen für Ihre Mitarbeiter, insbesondere für die Compliance- und IT-Teams.

4. Strategie entwickeln: Entwickeln Sie eine spezifische Compliance-Strategie für Ihre Organisation. Berücksichtigen Sie sowohl technische als auch organisatorische Maßnahmen.

5. Praxis einbinden: Integrieren Sie die Anforderungen von DORA in Ihre täglichen Geschäftsprozesse und Überwachungssysteme. Testen Sie regelmäßig, um mögliche Schwachstellen aufzudecken.

Zu Resourcen, die Sie nutzen können, gehören die BaFin-Leitlinien und die EU-Verordnung selbst. Beachten Sie, dass externe Hilfe in anspruchsvollen Fällen oder bei begrenzten internen Ressourcen ratsam sein kann. Ein schnelles Erfolgserlebnis, das Sie in den nächsten 24 Stunden erreichen können, besteht darin, eine erste Risikobewertung durchzuführen und eine Liste der Maßnahmen zu erstellen, die unmittelbar ergriffen werden müssen.

Häufig gestellte Fragen

1. Welche Unternehmen sind von DORA betroffen?
   Unternehmen im Finanzsektor, die in der Europäischen Union tätig sind oder DORA. Dies schließt auch Tochtergesellschaften und Zweigniederlassungen außerhalb der EU ein, die für EU-Bürger anbieten.

2. Wie kann meine Organisation schnell identifizieren, welche Anforderungen von DORA relevant sind?
   Beginnen Sie mit einerzwischen Ihren aktuellen Compliance-Praktiken und den Anforderungen von DORA. Fokussieren Sie sich auf kritischen Bereichen wie IT-Risikomanagement,. Verwenden Sie die bewährten Methoden, um zu bewerten, welche Bereiche Verbesserungen erfordern.

3. Muss ich alle IT-Systeme und Prozesse meiner Organisation auf DORA konformstellen?
   Ja, alle IT-Systeme und Prozesse, die unterstützen, müssen den Anforderungen von DORA entsprechen. Dies beinhaltet sowohl Ihre internen Systeme als auch die von Drittanbietern, die

4. Wie kann ich sicherstellen, dass meine Compliance-Maßnahmen von DORA akzeptiert werden?
   Stellen Sie sicher, dass Ihre Compliance-Maßnahmen spezifisch, messbar und nachweisbar sind. Dokumentieren Sie alle Schritte und Ergebnisse Ihrer Compliance-Aktivitäten, und führen Sie regelmäßige Audits durch, um die Effektivität Ihrer Maßnahmen zu überprüfen und zu bestätigen.

5. Welche Ressourcen brauche ich, um DORA erfolgreich umzusetzen?
   Sie benötigen eine Mischung aus technischen Experten, die mit IT-Risiken und -Sicherheitsaspekten vertraut sind, und Compliance-Spezialisten, die die Details der DORA-Verordnung kennen. Dies kann intern oder extern besorgt werden, abhängig von Ihrer Organisationsgröße und -komplexität.

Schlüsselerkenntnisse

In diesem dritten Teil unserer Serie über DORA haben wir besprochen, wie Sie mit der Umsetzung beginnen, welche Fragen Sie häufig haben und welche Schlüsselerkenntnisse Sie mitnehmen sollten. Hier sind die wichtigsten Punkte:

• DORA betrifft alle Finanzdienstleister in der EU, einschließlich Tochtergesellschaften und Niederlassungen außerhalb der EU.
• Einezwischen Ihren bestehenden Compliance-Praktiken und den Anforderungen von DORA ist ein guter Ausgangspunkt.
• Alle IT-Systeme und Prozesse, die unterstützen, müssen den Anforderungen von DORA entsprechen.
• Dokumentation und regelmäßige Audits sind entscheidend, um die Akzeptanz Ihrer Compliance-Maßnahmen sicherzustellen.
• Die richtige Kombination aus internen und externen Ressourcen ist für eine erfolgreiche Umsetzung von DORA unerlässlich.

Wenn Sie Unterstützung bei der Umsetzung von DORA benötigen, kann Matproof dabei helfen. Unser Compliance-Automations-Plattform ist speziell für die Anforderungen der EU und des Finanzsektors konzipiert. Besuchen Sie https://matproof.com/contact für eine kostenlose Bewertung und weitere Informationen.