Was das Gesetz zur digitalen betrieblichen Resilienz für Sie bedeutet

Wir befinden uns in einer entscheidenden Phase der digitalen Transformation. Jedes Unternehmen ist bestrebt, neue Technologien – sei es künstliche Intelligenz, hybride Cloud-Architekturen oder fortschrittliche Datenanalyse – einzuführen und zu integrieren, um sich Wettbewerbsvorteile zu sichern und wichtige operative Ziele zu erreichen. Doch trotz der vielen positiven Entwicklungen und des laufenden Wandels nehmen Sicherheitsrisiken und Schwachstellen parallel zu diesen Innovationen zu. Cyberangriffe und Datenlecks können die IT-Systeme eines Unternehmens schwer schädigen und massive Kosten für die Schadensbehebung sowie langfristige Auswirkungen auf die Kunden verursachen, die das Wachstum eines Unternehmens über Jahre hinweg beeinträchtigen können.

Angesichts zunehmend komplexer Sicherheitsrisiken legen Regierungsbehörden Wert auf neue Vorschriften, die Unternehmen helfen sollen, ihre IT-Infrastruktur zu schützen und gleichzeitig IT-Sicherheitsstandards festzulegen. Gesetze wie der California Consumer Privacy Act (CCPA) oder die Datenschutz-Grundverordnung (DSGVO) haben die Dringlichkeit der Priorisierung von Sicherheitsinfrastrukturen bereits erheblich verstärkt.

Vor diesem Hintergrund wollen wir uns eine der neueren Sicherheitsrichtlinien ansehen, die unsere Sichtweise auf IT-Sicherheit und deren Umsetzung grundlegend verändern wird: den Digital Operational Resilience Act (DORA). Dieses Gesetz der Europäischen Union (EU) verpflichtet Unternehmen zur Einhaltung der Vorgaben bis Januar 2025. Sie haben also knapp ein Jahr Zeit, sich entsprechend vorzubereiten.

Doch was genau bedeutet diese Richtlinie für die IT-Sicherheit? Und wie können Unternehmen sicherstellen, dass sie darauf vorbereitet sind?

Was ist DORA?

Die 2020 eingeführte und 2022 in Kraft getretene DORA (Digital Operating Resistance Act) zielt darauf ab, ein einheitliches Niveau der digitalen operativen Resilienz für Finanzdienstleistungsunternehmen in der EU und mit Geschäftsbeziehungen zur EU zu etablieren. Das übergeordnete Ziel ist die Entwicklung eines Ansatzes, der eine standardisierte Struktur für die technologische Entwicklung fördert. Die Verordnung verpflichtet EU-Finanzinstitute und ihre kritischen IKT-Anbieter, umfassende Risikomanagementfunktionen für Informations- und Kommunikationstechnologie (IKT) in ihre Sicherheitsprozesse zu integrieren. Die Einhaltung der DORA erfordert die vollständige Beachtung der fünf in der Verordnung definierten Schwerpunkte:

• ICT-Risikomanagement – ​​Diese Leitlinie legt einen Standardrahmen für das Vorgehen von Organisationen im Falle eines ICT-Sicherheitsvorfalls fest.
• Meldung schwerwiegender Vorfälle im Zusammenhang mit Informations- und Kommunikationstechnologie – Die Verordnung legt fest, wie Organisationen künftig Sicherheitsvorfälle im Zusammenhang mit Informations- und Kommunikationstechnologie klassifizieren und melden müssen.
• Digitale operative Resilienzprüfung – Bietet Leitlinien für die Prüfung bestehender Wiederherstellungsstrategien zur Identifizierung potenzieller Schwachstellen.
• Informations- und Nachrichtenaustausch – Unternehmen sind verpflichtet, Informationen über Cyberbedrohungen und -schwachstellen auszutauschen, sobald diese identifiziert werden.
• Management von ICT-Drittanbieterrisiken – Unternehmen werden dazu verpflichtet, sicherzustellen, dass jeder Drittanbieter über die erforderlichen Sicherheits- und digitalen Resilienzfähigkeiten verfügt.

Wer muss sich also an die DORA-Richtlinie halten? Obwohl es sich um eine EU-Richtlinie mit Auswirkungen auf EU-Unternehmen handelt, werden die Folgen zweifellos weltweit spürbar sein. DORA legt einen starken Fokus auf Finanzinstitute in der EU – von Banken bis hin zu Versicherungen –, aber nicht nur diese Unternehmen müssen die Richtlinie einhalten. Jedes Unternehmen, das mit in der EU ansässigen Banken, Versicherungen oder Finanzinstituten zusammenarbeitet, muss die Bestimmungen ebenfalls erfüllen, selbst wenn es seinen Sitz nicht in der EU hat.

Vorbereitung

Die Zeit drängt für Unternehmen, ihre IT- und Mainframe-Sicherheitsinfrastruktur an die Bestimmungen des DORA anzupassen. Wo sollten sie also anfangen? Es gibt mehrere wichtige Bereiche, in denen sich das Risikomanagement verbessern lässt, darunter:

• Klare Rollen und Verantwortlichkeiten definieren: DORA legt fest, dass von den Managementorganen erwartet wird, eine aktive Rolle bei der Anpassung ihres ICT-Risikomanagementrahmens und ihrer gesamten Strategie zur operativen Resilienz zu übernehmen.
• Führen Sie regelmäßige Überprüfungen Ihrer IT-Business-Continuity- und IT-Disaster-Recovery-Richtlinien durch: Die regelmäßige Überprüfung dieser Richtlinien ist entscheidend für ein effektives Risikomanagement. Laut DORA müssen Finanzinstitute ihre IT-Business-Continuity-Richtlinien und IT-Disaster-Recovery-Pläne regelmäßig überprüfen und dabei die Ergebnisse von Tests berücksichtigen, die gemäß den Empfehlungen aus Audits oder aufsichtsrechtlichen Überprüfungen durchgeführt wurden.
• Überprüfen Sie regelmäßig das Budget für die Erfüllung der Anforderungen an die digitale operative Resilienz: Die Vorbereitung auf neue regulatorische Vorgaben erfordert die richtigen Ressourcen. Beispielsweise verlangt DORA eine Krisenmanagementfunktion mit klaren Verfahren zur Steuerung der internen und externen Krisenkommunikation.
• Implementieren Sie IT-Sicherheitstools und -prozesse: Alle DORA-bezogenen Vorbereitungen müssen Tools und Prozesse berücksichtigen. Unternehmen müssen Altsysteme wie Mainframes sowie Schwachstellen in Betracht ziehen, die das Unternehmen einem übermäßigen Risiko aussetzen könnten.

Zukünftig müssen Unternehmen ihre IT-Umgebungen deutlich genauer unter die Lupe nehmen. Regelmäßige Penetrationstests, Integritäts- und Compliance-Prüfungen sowie ein Schwachstellenmanagement, beispielsweise mit dem Rocket^® z/Assure^® Vulnerability Analysis Program, sind unerlässlich, um die von DORA geforderte strenge Compliance zu gewährleisten. Mit den richtigen Lösungen und Prozessen können Unternehmen proaktiv Schwachstellen in ihren IT-Umgebungen erkennen und diese beheben, bevor es zu einem Sicherheitsvorfall kommt.

Ist Ihre IT-Sicherheitsinfrastruktur für zukünftige Vorschriften gerüstet? Mit Rocket Software können Sie sicher sein, dass Sie über die Technologie, das Fachwissen, die Dienstleistungen und den Support für digitale Betriebssicherheit und ein robustes Risikomanagement verfügen.