DORA 2025: Der Druck steigt – Finanzbranche sucht Orientierung

DORA 2025: Der Druck steigt – Finanzbranche sucht Orientierung

Seit dem 17. Januar 2025 ist DORA in Kraft. Doch viele Finanzunternehmen stehen vor offenen Fragen, unklaren Vorgaben und wachsendem Umsetzungsdruck. Was jetzt zählt – und wie man die digitale Resilienz strategisch stärkt.

Mit dem Inkrafttreten des Digital Operational Resilience Act (DORA) am 17. Januar 2025 hat die EU einen einheitlichen Rechtsrahmen geschaffen, um die digitale Widerstandsfähigkeit von Finanzunternehmen zu stärken. DORA gilt für nahezu alle Akteure der Branche: Banken, Versicherungen, Kapitalverwaltungsgesellschaften, Zahlungsdienstleister, Krypto-Anbieter – und auch deren IT-Dienstleister.

Aktueller Stand: Umsetzung in der Praxis bleibt herausfordernd

Obwohl DORA seit Januar 2025 gilt, haben viele Finanzunternehmen die Umsetzung noch nicht vollständig abgeschlossen. Eine Untersuchung von KPMG zeigt, dass keine der befragten Banken die DORA-Vorgaben bis Januar 2025 vollständig erfüllt hatte. Insbesondere die Anpassung von Verträgen mit IT-Dienstleistern und die Implementierung von Resilienz-Tests stellen Herausforderungen dar.

Zudem sind einige technische Details und Templates, wie z.B. für das Informationsregister, erst kurz vor oder nach dem Stichtag veröffentlicht worden. Dies hat zu Verzögerungen und Unsicherheiten in der Umsetzung geführt.

Die fünf Säulen von DORA – und was sie bedeuten

DORA basiert auf fünf zentralen Säulen, die die digitale Resilienz von Finanzunternehmen stärken sollen:

1. IKT-Risikomanagement: Einführung eines umfassenden Rahmens zur Identifikation, Bewertung und Steuerung von IKT-Risiken.
   2. Behandlung von IKT-bezogenen Vorfällen: Einrichtung von Prozessen zur Erkennung, Klassifizierung und Meldung von IKT-bezogenen Vorfällen.
   3. Digitale operationale Resilienztests: Regelmäßige Tests, einschließlich Threat-Led Penetration Testing, zur Überprüfung der Widerstandsfähigkeit gegenüber IKT-Störungen.
   4. Management von IKT-Drittparteirisiken: Strenge Anforderungen an Verträge mit IT-Dienstleistern und Überwachung kritischer Drittanbieter.
   5. Informationsaustausch: Förderung des freiwilligen Austauschs von Informationen über Cyberbedrohungen und -vorfälle zwischen Finanzunternehmen.

Häufige Stolpersteine – und wie man sie vermeidet

Die Umsetzung von DORA bringt verschiedene Herausforderungen mit sich:

– Vertragsmanagement: Schwierigkeiten bei der Anpassung bestehender IT-Dienstleisterverträge.
– Meldepflichten: Komplexe Fristen und Anforderungen für die Meldung von Vorfällen.
– Ressourcenmangel: Kleinere Institute haben oft nicht die Kapazitäten oder das Fachwissen.

Handlungsempfehlungen für Finanzunternehmen

Um den Anforderungen von DORA gerecht zu werden, sollten Finanzunternehmen folgende Schritte in Betracht ziehen:
1. Gap-Analyse durchführen
2. Vertragsprüfung
3. Schulungen und Sensibilisierung
4. Implementierung von Meldeprozessen
5. Zusammenarbeit mit Experten

Unterstützung durch Bexta GmbH

Die Bexta GmbH bietet umfassende Unterstützung bei der Umsetzung der DORA-Anforderungen:
– Beratung zur Identifikation und Schließung von Compliance-Lücken
– Maßgeschneiderte Schulungen
– Unterstützung bei der Prozessoptimierung

Jetzt kostenfreies Erstgespräch vereinbaren: [Kontaktformular]