Wer betroffen ist
Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, Anbieter von Krypto-Dienstleistungen und weitere in Artikel 2 genannte Finanzunternehmen. Kritische IKT-Drittdienstleister unterliegen der direkten Aufsicht der EU. Andere IKT-Dienstleister spüren DORA über die Verträge ihrer Kunden.
Die fünf Säulen
- IKT-Risikomanagement (Artikel 5 bis 16): ein dokumentierter Rahmen, für den das Leitungsorgan verantwortlich ist.
- Behandlung und Meldung IKT-bezogener Vorfälle (Artikel 17 bis 23): Vorfälle klassifizieren und schwerwiegende der Behörde melden.
- Tests der digitalen operationalen Resilienz (Artikel 24 bis 27): ein Testprogramm und, für benannte Unternehmen, bedrohungsorientierte Penetrationstests.
- IKT-Drittparteienrisiko (Artikel 28 bis 44): Vertragsanforderungen, ein Informationsregister und Ausstiegsstrategien.
- Informationsaustausch (Artikel 45): freiwilliger Austausch von Bedrohungsinformationen.
Wo man beginnt
- Bestätigen, dass Sie betroffen sind und ob eine vereinfachte Regelung gilt.
- Ihre kritischen Funktionen und die sie tragende IKT erfassen.
- Das Informationsregister zu Ihren IKT-Verträgen aufbauen.
- Ihren Vorfallprozess mit den Klassifizierungskriterien und Fristen der technischen Standards vergleichen.
- Verträge anhand von Artikel 30 überprüfen.
Fragen
- Ist DORA eine Richtlinie oder eine Verordnung?
- Eine Verordnung: Sie gilt unmittelbar in allen Mitgliedstaaten, anders als NIS2, die in nationales Recht umgesetzt wird.
- Ersetzt DORA für Finanzunternehmen NIS2?
- DORA ist der spezifische Rechtsakt für den Finanzsektor zu diesen Themen, daher haben seine Regeln für die erfassten Unternehmen Vorrang.