Die digitale Resilienz ist für den Finanzsektor von entscheidender Bedeutung, da er zunehmend auf Informations- und Kommunikationstechnologien (IKT) angewiesen ist. Der Digital Operational Resilience Act (DORA) stellt eine wesentliche Initiative dar, um das IKT-Drittparteirisikomanagement im Finanzsektor zu stärken. In diesem Blogbeitrag beleuchten wir, wie DORA die Landschaft des Risikomanagements im Finanzsektor verändert und insbesondere die Bedeutung der Risikobewertung und des Managements von Subdienstleistern hervorhebt.

DORA im Kontext des Finanzsektors

DORA zielt darauf ab, eine einheitliche und harmonisierte Herangehensweise an das Management von IKT-Risiken zu schaffen, die speziell auf die Bedürfnisse und Herausforderungen des Finanzsektors zugeschnitten ist. Die Regelung stellt sicher, dass Finanzinstitute ihre digitale Widerstandsfähigkeit stärken können, indem sie nicht nur ihre eigenen IKT-Risiken, sondern auch die ihrer Dienstleister und Subdienstleister effektiv managen.

Grundprinzipien des IKT-Drittparteirisikomanagements unter DORA

DORA baut auf zentralen Prinzipien auf, die Finanzinstitute dazu befähigen sollen, ihre IKT-bezogenen Risiken effektiv zu steuern:

• Verantwortungsübernahme: Die Verantwortung für die ausgelagerten IKT-Dienste bleibt beim Finanzinstitut.
• Proportionalität: Die Risikomanagementmaßnahmen müssen der Größe und dem Risikoprofil des Finanzinstituts entsprechen.
• Transparenz: Ein aktives Management und eine klare Kommunikation der IKT-Risiken sind erforderlich, um den Anforderungen von DORA gerecht zu werden.

Vertragsmanagement als Schlüsselelement

Die Verträge zwischen Finanzinstituten und ihren IKT-Dienstleistern spielen eine zentrale Rolle im Risikomanagementprozess. DORA fordert detaillierte Bestimmungen in diesen Verträgen, die Datenschutz, Servicequalität, Haftung und Überwachungsrechte abdecken.

Risikobewertung und -management im Fokus

Eine zentrale Forderung von DORA ist die umfassende Bewertung und das Management von IKT-Risiken. Dabei geht es nicht nur um die direkten Dienstleister, sondern auch um Subdienstleister, die in die Erbringung von IKT-Dienstleistungen involviert sind. Finanzinstitute müssen:

• Tiefe der Lieferkette erkunden: Ein Verständnis für die gesamte Lieferkette entwickeln, um potenzielle Risiken zu identifizieren, die von Subdienstleistern ausgehen können.
• Risiken bewerten: Alle Risiken, die sich aus der Beziehung zu Hauptdienstleistern und deren Subdienstleistern ergeben, sorgfältig bewerten.
• Strategien implementieren: Effektive Strategien zur Minderung identifizierter Risiken entwickeln, die sowohl direkte als auch indirekte IKT-Risiken abdecken.

Notfallpläne und Ausstiegsstrategien

DORA unterstreicht die Bedeutung von robusten Notfallplänen und Ausstiegsstrategien. Diese sollen sicherstellen, dass Finanzinstitute auch bei einem Ausfall eines IKT-Dienstleisters oder Subdienstleisters ihre Geschäftstätigkeiten fortsetzen können.

Schlussfolgerung: DORA als strategische Chance

DORA bietet dem Finanzsektor die Möglichkeit, seine digitale Widerstandsfähigkeit zu verbessern. Indem Finanzinstitute die Vorschriften von DORA umsetzen, können sie nicht nur die regulatorische Compliance sicherstellen, sondern auch ein umfassenderes Risikomanagement erreichen. Dies stärkt ihre Stabilität und Zuverlässigkeit in einer zunehmend digitalisierten Welt.

Die Implementierung von DORA ist somit nicht nur eine regulatorische Verpflichtung, sondern auch eine strategische Entscheidung, die die Wettbewerbsfähigkeit und Zukunftssicherheit von Finanzinstituten im digitalen Zeitalter maßgeblich beeinflusst.