News
DORA steht für mehr Resilienz auf dem Finanzmarkt
DORA ist der Digital Operational Resilience Act, ein Gesetz, das seit dem 17.01.2025 europaweit gilt und keiner nationalen Umsetzung bedarf. Betroffen sind Finanzunternehmen und als kritisch eingestufte Drittanbieter von ITK- Services (Informations- und Kommunikationstechnologie).
Die Europäische Kommission hat dieses Gesetz auf den Weg gebracht, da Finanzunternehmen zunehmend Opfer von Cyberkriminalität werden. Daher muss die Widerstandsfähigkeit der IT-Sicherheit gestärkt werden mit einschlägigen Maßnahmen zur Resilienz der Systeme.
Folgende Unternehmen sind im Einzelnen betroffen:
- Kreditinstitute
- Zahlungsinstitute
- E-Geld-Institute
- Wertpapierfirmen
- Anbieter von Krypto-Dienstleistungen, Emittenten von Kryptowerten, Emittenten
- von an Vermögenswerte geknüpften Token und Emittenten signifikanter an
- Vermögenswerten geknüpfter Token
- Zentralverwahrer
- zentrale Gegenparteien
- Handelsplätze
- Transaktionsregister
- Verwalter alternativer Investmentfonds
- Verwaltungsgesellschaften
- Datenbereitstellungsdienste
- Versicherungs- und Rückversicherungsunternehmen
- Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler
- in Nebentätigkeit
- Einrichtungen der betrieblichen Altersversorgung
- Ratingagenturen
- Abschlussprüfer und Prüfungsgesellschaften
- Administratoren kritischer Benchmarks
- Crowdfunding-Dienstleister
- Verbriefungsregister
- IKT-Drittanbieter
Welche Maßnahmen müssen umgesetzt werden?
Für die nachhaltige Widerstandsfähigkeit der Informationssysteme muss ein Risikomanagement eingerichtet werden, das die Überwachung der Systeme bezüglich kritischer Sicherheitsvorfälle enthält. Dazu zählen die Einrichtung eines Governance- und Kontrollrahmens, ein umfassendes Verfahren zur Identifikation, Klassifizierung und Meldung von IKT-bezogenen Vorfällen, ein IKT-Reaktions- und Wiederherstellungsplan und regelmäßige Schwachstellenanalysen und Penetrationstests.
Welche Sanktionen können drohen?
Art. 50 DORA besagt, dass die zuständigen Behörden umfassende Aufsichts- und Sanktionsbefugnisse innehaben. Bei Verstößen gegen die Verordnung drohen Korrektur- und Abhilfemaßnahmen, Verhaltensanweisungen oder die Erhebung von finanziellen Maßnahmen.
Bei weiteren Fragen steht Ihnen gerne Ihr Datenschutzbeauftragter zur Verfügung!
