Cyberrisiken im Fokus der Regulatoren – der DORA-Countdown läuft

Die Verordnung des Europäischen Parlaments und des Rates über die digitale operationale Resilienz im Finanzsektor (EU) 2022/2554 (Digital Operational Resilience Act; kurz DORA) ist bereits am 17. Januar 2023 in Kraft getreten. Das Ziel von DORA besteht in der Verbesserung der digitalen, operativen Widerstandsfähigkeit von EU-Finanzunternehmen, einschließlich IKT-Drittdienstleistern.

Die Verordnung wurde unlängst als „Game Changer“ bezeichnet, läutet sie doch einen Paradigmenwechsel im Finanzsektor ein: Mit DORA wurde erstmalig ein europaweit einheitlicher Rechtsrahmen (Single Rulebook) für ein effektives Risikomanagement von Cybersicherheits- und IKT-Risiken im Finanzsektor geschaffen, der zudem weitere Akteure – nämlich IKT-Drittdienstleister – in den Überwachungsrahmen der Europäischen Aufsicht einbezieht.

Die betroffenen Unternehmen haben nun bis zum 17. Januar 2025 Zeit, ihre Organisation, Prozesse und Systeme auf die Vorgaben von DORA einzurichten und umzustellen. In umfangreichen Abstimmungen werden derzeit die delegierten Verordnungen – sog. Level-2-Rechtsakte – der Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA, zusammen ESA) erarbeitet. Einzelne Regelungen der DORA werden durch technische Regulierungsstandards (Regulatory Technical Standards, RTS), technische Durchführungsstandards (Implementing Technical Standards, ITS) und Leitlinien (Guidelines) konkretisiert. Die ESA hat am 17. Januar 2024 die ersten finalen Entwürfe eines Teils der RTS und ITS veröffentlicht, die in den nächsten Monaten von der Euro päischen Kommission zu verabschieden sind. Die finalen Entwürfe der zweiten Konsultationsrunde sollen am 17. Juli 2024 veröffentlicht werden.