Dora gestartet: „Neuer Standard für Cybersicherheit“

20.1.2025 – Seit Freitag ist die Verordnung über digitale operationale Resilienz anzuwenden. Sie soll dafür sorgen, dass im Finanzmarkt eine möglichst hohe Widerstandsfähigkeit gegen Cyberangriffe und IT-Ausfälle herrscht.

Bild: Pete Linforth auf Pixabay

Ende 2022 war sie beschlossen worden, seit Freitag ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor („Digital Operational Resilience Act“, kurz Dora) nun unionsweit anzuwenden.

Das österreichische Dora-Vollzugsgesetz ist im Juli 2024 vom Parlament verabschiedet und im Bundesgesetzblatt kundgemacht worden.

In Österreich ist die Finanzmarktaufsicht (FMA) für die Überwachung der Einhaltung der Dora-Vorgaben zuständig. Sie arbeitet hierzu eng mit der Nationalbank zusammen.

Ziel: hohe Widerstandsfähigkeit gegen Störungen

Ziel des Regelwerks ist es, dass Europas Finanzunternehmen und der Finanzmarkt möglichst gut gegen Cyberrisiken und Betriebsstörungen der IKT-Systeme (IKT: Informations- und Kommunikationstechnologien) gewappnet sind.

Zu diesem Zweck formuliert es „Anforderungen für die Sicherheit von Netzwerk- und Informationssystemen, die die Geschäftsprozesse von Finanzunternehmen unterstützen“. Dazu zählen – mit Ausnahmen – auch Unternehmen im Versicherungssektor.

Es verpflichte betroffene Unternehmen unter anderem, einen IKT-Risikomanagementrahmen sowie ein Business-Continuity-Management zu implementieren und die digitale Betriebsstabilität regelmäßig zu testen. Es erlegt auch Berichtspflichten auf.

FMA verweist auf IT-Probleme aus den letzten Monaten

Letzte Woche bezeichnete die FMA das Regelwerk in einer Aussendung anlässlich des Starts als „bedeutenden Schritt zur Stärkung der digitalen Widerstandskraft von Banken, Versicherungen und Märkten“.

Sie verweist etwa auf den „Crowdstrike“-Vorfall vom Juli 2024, bei dem – verursacht durch ein fehlerhaftes Update – weltweit IT-Systeme gestört waren.

In Österreich wiederum seien in den letzten Monaten Ausfälle oder Störungen in der IKT-Infrastruktur einzelner Banken aufgetreten, die etwa zu falschen Kontoinformationen oder ausgefallenen Bankomaten führten.

Überwachungsrahmen für kritische IKT-Drittdienstleister

Mit Dora werde auch ein europäischer Überwachungsrahmen eingerichtet, der darauf abziele, die Risiken, die von der Konzentration der Abhängigkeiten von IKT-Drittdienstleistern ausgehen, „effektiv zu überwachen und zu minimieren“.

Im Fokus seien hier kritische IKT-Drittdienstleister, die für den europäischen Finanzsektor besonders wichtig seien, wie etwa große, global tätige Cloud-Service-Provider. „Die drei europäischen Aufsichtsbehörden (Eba, Esma und Eiopa) übernehmen hier die operative Überwachungstätigkeit.“

„Neuer Standard für Cybersicherheit“

„Die Einführung von Dora ist ein entscheidender Schritt, um Stabilität und Sicherheit des europäischen Finanzmarkts zu gewährleisten und das Vertrauen der Verbraucherinnen und Verbraucher in die digitalen Finanzdienstleistungen zu stärken“, heißt es aus dem FMA-Vorstand.

Mit Dora, so die beiden Vorstandsmitglieder Helmut Ettl und Eduard Müller, „wird ein neuer Standard für die Cybersicherheit im Finanzsektor gesetzt“.

Weiterführende Information

Die FMA hat auf ihrer Website einen Informationsbereich zum Thema Dora eingerichtet.