Digital Operational Resilience Act: Stellt DORA die Finanzindustrie auf die Probe?

Shownotes

Bis zum 17. Januar 2025 müssen Finanzunternehmen und ihre IT-Dienstleister umfassende Maßnahmen ergreifen, um sich gegen Cyberangriffe zu wappnen und im Ernstfall schnell zu reagieren. Dabei ist jede Maßnahme lückenlos zu dokumentieren. Wie steht es um die Umsetzung von DORA knapp drei Monate vor der Frist? Und welche Herausforderungen sind die größten Hürden? Diese und weitere Fragen diskutiert Moderator Jakob Zirm im „Presse Podcast“ mit Anna Muri, Senior-Spezialistin IT-Risiko-Aufsicht bei der Finanzmarktaufsicht (FMA), Florian Hagenauer, Vorstandsdirektor der Oberbank AG, und Robin Schmeisser, Geschäftsführer der Fabasoft Contracts GmbH.

Zwischen Chancen und bürokratischen Herausforderungen Die Digitalisierung bringt neben Vorteilen auch Risiken mit sich, die vor allem für die Finanzbranche von Bedeutung sind. „Digitalisierung steht für effiziente Prozesse und Weiterentwicklung, aber auch für IT-Risiken, gegen die es sich zu wappnen gilt“, sagt Anna Muri, Senior-Spezialistin IT-Risiko-Aufsicht bei der Finanzmarktaufsicht (FMA). Der von der EU verabschiedete Digital Operational Resilience Act (DORA) basiert auf vier Säulen: IT-Risikomanagement & Governance, Umgang mit Cybervorfällen, Testen der Resilienz und Drittparteien-Risikomanagement. Unternehmen müssen nicht nur ihre Cybersicherheit verbessern, sondern auch ihre IT-Drittdienstleister umfassend prüfen.

Robin Schmeisser, Geschäftsführer von Fabasoft Contracts, unterstreicht die Herausforderungen: „Es reicht nicht mehr aus, Finanzinstitute als singuläre Einheiten zu sehen. Ein Gesamtüberblick über die IKT-Drittdienstleister ist wichtig.“ Gleichzeitig sieht er in der Kategorisierung und dem Informationsregister einen Mehrwert, „um systemische Risiken zu identifizieren“.

Jedoch könnten fehlende Standards und eine mögliche Bürokratieüberlastung hinderlich sein. Florian Hagenauer von der Oberbank AG gibt zu bedenken: „Als Finanzunternehmen muss man auf jeden Dienstleister zugehen, um Verträge zu prüfen.“ Er betont auch, dass es eine „überbordende bürokratische Herausforderung“ werden könnte, da „jedes Unternehmen auf Mikroebene mit Problemen umgeht, die eigentlich vorab auf Makroebene durch Standards gelöst werden sollten“.

Unterstützung und Hürden für kleine Unternehmen Vor allem kleinere Unternehmen stehen vor Herausforderungen, da sie oft nicht über ausreichend Know-how oder Ressourcen verfügen. Ein „Dry Run“ der Europäischen Aufsichtsbehörden unterstützt die Unternehmen bei der Vorbereitung. „Die Motivation, am Dry Run teilzunehmen, war in Österreich sehr gut“, so Schmeisser, der DORA auch als Digitalisierungsauftrag interpretiert. „Vieles wurde richtig gemacht“, resümiert Hagenauer, gibt aber zu bedenken: „Die Frage ist, ob Europa mit seiner starken Regulierung langfristig die Innovationskraft und Wettbewerbsfähigkeit der Unternehmen gefährdet.“