Fünf zentrale Überlegungen zum Digital Operational Resilience Act (DORA) (Omkar Nisal)

Am 24. September 2020 veröffentlichte die Europäische Kommission den ersten Entwurf eines Vorschlags für einen Digital Operational Resilience Act (DORA) als Teil des Digital Finance Package (DFP). Ziel ist es, Finanzinstitute durch die Komplexität von Krypto zu führen
Vermögenswerte, Blockchain-Technologie und digitale Betriebsstabilität sowie Beratung zu einer erneuerten Massenzahlungsstrategie. Trotz der Vorteile, die DORA mit sich bringt, wird es für viele Unternehmen eine Herausforderung sein, die erforderlichen Änderungen zu bewältigen.
Hier sind fünf wichtige Punkte, die bei der Gewährleistung der Einhaltung des Gesetzes zu berücksichtigen sind.

 1.       Was ist DORA und warum ist es wichtig?

 Das neue Gesetz wird großen europäischen Finanzakteuren die notwendigen Schutzmaßnahmen bieten, um Cyberangriffe und andere IKT-bezogene oder IT-basierte Risiken abzuschwächen.

 Das DORA wird bald ein verbindliches Gesetz sein, das alle EU-Mitgliedstaaten und die dort tätigen Finanzdienstleistungsinstitute betrifft. Warum ist das für das Vereinigte Königreich wichtig?

 Obwohl Großbritannien nicht mehr Mitglied der EU ist, bleibt es eines der wichtigsten europäischen Finanzzentren. Britische Finanzdienstleistungsorganisationen, die auf dem europäischen Markt tätig sind – ob privat oder öffentlich – und innerhalb der EU tätig sind, müssen sich bald an diese Regeln halten
Vorschriften – was die DORA zu einem wesentlichen Element aller Geschäftspraktiken im Vereinigten Königreich macht.

 2.       Das gesetzgeberische Gewicht der DORA

 Die große gesetzgeberische Bedeutung, die diesem neuen europäischen Gesetz zukommt, ist ein weiterer wichtiger Grund, warum britische Finanzdienstleistungsorganisationen über Compliance nachdenken sollten. Die Finanzdienstleistungsbehörden jedes europäischen Landes werden die Rolle der Compliance übernehmen
Überwachung und Durchsetzung der Vorschriften bei Bedarf. Für Institute, die sich nicht an die neuen Vorschriften halten, werden hohe Geldstrafen verhängt, was zu Gewinneinbußen und potenziellen Reputationsschäden führen kann.

 Das bedeutet, dass der leitende Aufseher bei Nichteinhaltung erhebliche Strafen verhängen kann. Diese erheblichen Strafen erfolgen in Form einer regelmäßigen Strafzahlung in Höhe von 1 % des durchschnittlichen täglichen weltweiten Umsatzes der Organisation im vorangegangenen Geschäft
Jahr. Dies wird vom leitenden Aufseher täglich angewendet, bis die Einhaltung für einen Zeitraum von höchstens sechs Monaten erreicht ist.

 3.       Verstehen Sie Ihren Zustand der Verletzlichkeit

 Wenn es um Cyber-Risiken und -Resilienz geht, reicht eine „Cyber-Versicherung“ allein einfach nicht aus – auch ständige Informationen über die Risikolage sind von entscheidender Bedeutung. Die Allgegenwart der Technologie in den heutigen Geschäftsaktivitäten und ihre Konnektivität erstrecken sich über den gesamten Standard
physische technologische Ressourcen, die im täglichen Betrieb vorhanden sind: von IKTs, Geldautomaten, Laptops, Konferenzraumkameras bis hin zu allen virtuellen Domänen der Cloud, vor Ort, KI und Quanteninnovationen.

 Das Gesetz hilft Stakeholdern und Entscheidungsträgern dabei, ein tieferes Verständnis für die interne Situation der Risiken und Anfälligkeiten ihrer Unternehmen zu entwickeln. In seiner neuesten Version

Bericht über das Geschäft mit der Resilienz, bestätigte die britische Regierung, dass die Lücke beim Versicherungsschutz im Cyber-Bereich weiterhin groß sei – „90 % aller Cyber-Schäden bleiben unversichert“.

 Das DORA wird britischen Finanzinstituten dabei helfen, die umfassendere Herausforderung zu meistern, Stakeholdern und verantwortlichen Entscheidungsträgern die richtige Sichtbarkeit der kritischen Vermögenswerte und der Vermögenslage zu bieten, die die Zuverlässigkeit und Wirksamkeit von bestimmen
ihre Dienste.

 4.       Was fällt in den Geltungsbereich des Gesetzes?

 Nach seiner Fertigstellung wird das Gesetz für eine Vielzahl von Finanzinstituten gelten, darunter Kreditinstitute, E-Geld-Institute, Wertpapierfirmen, Versicherungsunternehmen und Rückversicherungsunternehmen. Aber es sind nicht nur Finanzdienstleistungsinstitute
die betroffen sind. Im Rahmen des DORA fallen „kritische IKT-Drittanbieter“ (CTPPs), einschließlich Cloud-Dienstanbieter (CSPs), in den Regulierungsbereich EU-weiter Standards für die Prüfung der digitalen Betriebsstabilität.

 Ein weiteres Novum ist die Standardisierung der IKT-Risikomanagementrichtlinien, der Klassifizierung von Vorfällen und der Berichterstattung in allen Finanzdienstleistungssektoren. Die Harmonisierung dieser kritischen Vermögenswerte öffnet Finanzunternehmen die Tür, sich zu etablieren
innerhalb der sicheren Grenzen eines einheitlichen EU-Hubs gegen Cyberbedrohungen.

 Alle britischen Unternehmen, die auf dem europäischen Finanzmarkt tätig sind, müssen das Gesetz einhalten, da dies ein grundlegendes Vorrecht zur Wahrung der Sichtbarkeit auf dem Markt und als Legitimität für den Beginn von Partnerschaften innerhalb des Marktes darstellt.

 5.       Spezialtools, die Sie bei der Umsetzung eines DORA-Plans unterstützen können

 Einige Unternehmen verwenden immer noch manuelle Prozesse und Tabellenkalkulationen, um unternehmensweite Compliance, Risikomanagement und regulatorische Änderungen im gesamten Unternehmen zu erfassen, zu verwalten und zu melden. Diese statischen Tabellenkalkulationen fallen bei der Verwaltung und Nachverfolgung schnell auseinander
alle komplexen Governance-, Risiko- und Compliance-Bemühungen innerhalb einer Organisation.

 Institutionen müssen eine strikte Einhaltung der DORA sicherstellen und benötigen daher möglicherweise angemessene Unterstützung durch spezialisierte IT-Tools, die bei der Suche, Dokumentation, Verwaltung und Klassifizierung von Vermögenswerten helfen und gleichzeitig das Risikoniveau der darunter fallenden Vermögenswerte bewerten können
Umfang.

 Spezialisierte Sicherheitsplattformen können die kostengünstigste Lösung zur Bewältigung dieser Probleme sein und gleichzeitig der sich entwickelnden regulatorischen Finanzlandschaft Rechnung tragen. Diese Spezialplattformen helfen bei der Identifizierung neuer Arten von Endpunkten (z. B. Konferenzraumkameras).
und kann mit vorhandenen Tools (sofern vorhanden) verbunden werden, um ein genaues Asset-Register bereitzustellen. Das Hauptziel dieser Plattformen besteht darin, blinde Flecken in der betrieblichen Belastbarkeit nahtlos zu reduzieren und die Belegschaft vor widrigen betrieblichen Ereignissen zu schützen
durch Antizipation, Vorbeugung und Anpassung an solche Ereignisse.

 Abschließend

 Zusammenfassend lässt sich sagen, dass Finanzinstitute sicherstellen müssen, dass sie die Vorschriften des DORA einhalten, andernfalls riskieren sie nicht unerhebliche regelmäßige Strafzahlungen. Um die Vorschriften einzuhalten, müssen Unternehmen alle derzeit vorhandenen Vermögenswerte identifizieren
ein Risiko für Schlüsselprozesse. Dann müssen Unternehmen den Grad des Risikos verstehen, das jeder Vermögenswert darstellt, um sicherzustellen, dass Abhilfemaßnahmen in Betracht gezogen werden. Es gibt spezielle Tools auf dem Markt, die Unternehmen bei der Suche, Dokumentation, Verwaltung und Klassifizierung unterstützen können
ihr Vermögen. Sprechen Sie mit einem IT-Spezialisten, um herauszufinden, wie er Ihrem Unternehmen bei all diesen Problemen helfen kann.