Cloud-Lösungen für Finanzinstitute zur Einhaltung von DORA

Am 17. Januar 2025 ist der Digital Operational Resilience Act (DORA) der Europäischen Union in vollem Umfang in Kraft. Finanzinstitute und ihre kritischen Dienstleister für Informations- und Kommunikationstechnologie (IKT) muss nun diese Verordnung einhalten. DORA verbessert die Cybersicherheit im gesamten Finanzsektor, indem es einheitliche Anforderungen für die digitale betriebliche Widerstandsfähigkeit festlegt. In diesem Blog untersuchen wir, was DORA ist, welche möglichen Folgen eine Nichteinhaltung der Vorschriften hat und wie Lösungen wie Impossible Cloud Finanzunternehmen dabei helfen können, die Einhaltung von Vorschriften zu erreichen und aufrechtzuerhalten.

Was ist der Digital Operational Resilience Act (DORA)?

Der Digital Operational Resilience Act (DORA) ist ein von der Europäischen Union eingeführter Regulierungsrahmen, der darauf abzielt, die Widerstandsfähigkeit von Finanzunternehmen gegen digitale und Cyberbedrohungen zu verbessern. Die DORA-Verordnung geht auf Bedenken hinsichtlich zunehmender digitaler Abhängigkeiten und Cyberangriffe zurück und schreibt strenge digitale Risikomanagementprotokolle vor. Durch die Einführung einheitlicher Regeln in der gesamten EU konzentriert sich das Gesetz auf die Reduzierung von Betriebsstörungen und die Verbesserung der digitalen Widerstandsfähigkeit der Finanz- und IKT-Systeme im Dienstleistungsbereich.
DORA stellt sicher, dass Finanzunternehmen ICT-Störungen standhalten, darauf reagieren und sich von ihnen erholen können. Das Gesetz deckt verschiedene Elemente ab, wie z. B. die Meldung von Vorfällen, Risikomanagementstrategien und Resilienztests, um die Dienste zu schützen, auf die sich die Verbraucher verlassen. Es wurde 2023 eingeführt und trat Anfang 2025 in Kraft.
Im Gegensatz zu früheren Richtlinien ist DORA rechtlich durchsetzbar und erweitert seinen Geltungsbereich sowohl auf interne Systeme als auch auf externe Dienstleister, einschließlich Cloud-Speicherplattformen.

Strafen bei Nichteinhaltung

Die Nichteinhaltung von DORA birgt erhebliche finanzielle, betriebliche und Reputationsrisiken. Institute, bei denen Verstöße festgestellt werden, können mit Folgendem konfrontiert werden:

• Bußgelder bis zu 2% des weltweiten Jahresumsatzes oder 1% des durchschnittlichen Tagesumsatzes
• Individuelle Strafen erreicht 1.000.000€
• Für wichtige IKT-Drittanbieter werden Bußgelder von bis zu 5.000.000€ oder 500.000€ für Einzelpersonen verhängt
  

Die Allgemeine Datenschutzverordnung (GDPR) und der Digital Operational Resilience Act (DORA) sind beide von der Europäischen Union festgelegte Rechtsrahmen, die jeweils erhebliche Strafen für Verstöße vorsehen. Hier ist ein vergleichender Überblick über ihre jeweiligen Strafstrukturen:

Während die DSGVO höhere Höchststrafen vorsieht, führt DORA spezifische Strafen für Einzelpersonen und wichtige ICT-Dienstleister ein, was ihren gezielten Ansatz zur Sicherstellung der Widerstandsfähigkeit der digitalen Abläufe im Finanzsektor widerspiegelt.

Maßnahmen für Finanzinstitute zur Einhaltung von DORA

Der Digital Operational Resilience Act (DORA) hat weitreichende Auswirkungen auf den Finanzsektor, insbesondere in Bezug auf die Art und Weise, wie Institutionen ihre Beziehungen zu IKT- und Cloud-Dienstanbietern verwalten. Im Folgenden sind die wichtigsten Maßnahmen aufgeführt, die Finanzinstitute ergreifen sollten, um die Einhaltung der Vorschriften sicherzustellen:

• Risikobeurteilungen durchführen: Überprüfen und kategorisieren Sie alle ICT- und Cloud-Dienstanbieter, um festzustellen, ob sie als kritische Drittanbieter (CTPPs) gelten. Ein entscheidender erster Schritt ist es, zu verstehen, welche Anbieter unter die strengeren Aufsichtspflichten von DORA fallen.
• Implementieren Sie digitale betriebliche Resilienztests: DORA verlangt von Finanzunternehmen, regelmäßig zu testen, ob sie in der Lage sind, IKT-Störungen standzuhalten und sich von ihnen zu erholen. Dies beinhaltet die Simulation einer Vielzahl von Bedrohungsszenarien — wie Cyberangriffe und Systemausfälle —, um die Robustheit interner Systeme und Verfahren zu bewerten.
• Wählen Sie den richtigen Cloud-Anbieter: Finanzinstitute sollten mit Anbietern zusammenarbeiten, die strenge Compliance-Anforderungen erfüllen können, einschließlich robuster Informationssicherheitspraktiken, regelmäßiger Audits und Belastbarkeitstests.

Cloud-Anbieter, die als entscheidend für die Geschäftstätigkeit des Finanzsektors erachtet werden, können als CTPPs eingestuft werden, sodass sie der direkten Aufsicht durch die Europäischen Aufsichtsbehörden (ESAs) unterliegen. Diese Bezeichnung schreibt die Einhaltung strenger Compliance-Anforderungen vor.

Wie Impossible Cloud die DORA-Compliance unterstützt

Bei Impossible Cloud sind Compliance und Sicherheit grundlegende Elemente unseres Serviceangebots.

• Hergestellt in Deutschland: Alle Daten werden gespeichert in DSGVO-konform, ISO-zertifizierte Rechenzentren, die die Datenhoheit gewährleisten und sich nahtlos an die Datenstandort- und Datenschutzvorschriften von DORA anpassen.
• Branchenführende Sicherheit: Zu den Funktionen gehören Multifaktor-Authentifizierung (MFA), Objektsperre, dreifache Verschlüsselung, Unveränderlichkeit, programmierbares Identitäts- und Zugriffsmanagement (IAM) und Unterstützung für Cross-Origin Resource Sharing (CORS).
• Nahtlose Integration mit führenden Backup-Lösungen: Wir haben Integrationen mit Partnern wie Veeam, Veritas und Acronis eingerichtet, um Finanzdienstleistern die Implementierung gesetzeskonformer, sicherer Backup- und Disaster Recovery-Lösungen zu erleichtern.

Sind Sie bereit, Ihre Cloud-Strategie DORA-konform zu gestalten?

Impossible Cloud ermöglicht es Finanzunternehmen und IT-Dienstleistern, die heutigen Compliance-Standards zu erfüllen und sich gleichzeitig auf die digitalen Anforderungen von morgen vorzubereiten. Wenn Sie sich für Impossible Cloud entscheiden, entscheiden Sie sich nicht nur für einen leistungsstarken, S3-kompatiblen Speicher, sondern machen auch einen strategischen Schritt hin zu einer belastbaren, sicheren und gesetzeskonformen digitalen Infrastruktur.
Wenn Sie weitere Unterstützung benötigen oder spezielle Fragen zur DORA-Konformität haben, können Sie sich gerne an unser Team wenden.

Quelle:
[1] Europäische Kommission, Durchführungs- und delegierte Rechtsakte - DORA
[2] Europäische Union, Digitale betriebliche Resilienz für den Finanzsektor
[2] N2WS, Die DORA-Verordnung erklärt: Anforderungen, Strafen und Einhaltung
[3] Der Guardian, Bußgelder der DSGVO

‍