Erklärung der DORA-Verordnung und was sie für Ihr Unternehmen bedeutet

DORA ist eine neue Ergänzung der EU-Vorschriften, die Unternehmen in der Finanzbranche dabei helfen soll, ihre Sicherheit zu erhöhen, indem sie Cyberangriffe überwachen und verhindern, indem sie Vorfälle überwachen, identifizieren und darauf reagieren, die eine Bedrohung für Finanzdaten darstellen könnten.

In diesem Artikel erklären wir die DORA-Verordnung, für wen sie gilt und wie Sie durch die Implementierung neuer Sicherheitsprotokolle und sichere Dienste von Drittanbietern zur DORA-Konformität beitragen können.

Inhaltsverzeichnis

• Was ist die DORA-Verordnung?
• Für wen gilt die DORA-Verordnung?
• Zusammenfassung der DORA-Verordnung: Fünf Grundprinzipien
• Für wen gilt die DORA-Verordnung?
• Anforderungen des DORA-Frameworks
• Best Practices für die DORA-Regulierung
• Wie Internxt Ihnen helfen kann, die DORA-Konformität zu erreichen

Was ist die DORA-Verordnung?

Der Digital Operational Resilience Act (DORA) ist eine Verordnung der Europäischen Union, die darauf abzielt, die Sicherheit und betriebliche Widerstandsfähigkeit von Finanzunternehmen innerhalb der EU zu erhöhen, zu verbessern und zu maximieren.

Das EU-Parlament hat DORA offiziell als Verordnung (EU) 2022/2554 bezeichnet. Das EU-Parlament stimmte im November 2022 für die Verordnung und sie wurde im Januar 2023 offiziell von der EU angenommen, bevor sie am 17. Januar 2025 von den Unternehmen vollständig umgesetzt wurde.

Seitdem hat die DORA-EU-Verordnung einen universellen Rahmen zur Verwaltung und Minderung von IT-Risiken wie zRansomware, Malware, Datenschutzverletzungen oder Serviceunterbrechungen in der Finanzlandschaft.

Für wen gilt die DORA-Verordnung?

Die DORA-Verordnung gilt für die folgenden Organisationen des Finanzsektors und wichtige Drittanbieter, die sie unterstützen.

Finanzinstitute

Nachfolgend sind die Finanzinstitute aufgeführt, für die die DORA-Vorschriften gelten, da es sich um Unternehmen oder Organisationen handelt, die an wirtschaftlichen Aktivitäten beteiligt sind, wie zum Beispiel:

• Banken und Kreditinstitute: Privat-, Geschäfts- und Investmentbanken.
• Versicherungsunternehmen: Lebens- und Nichtlebensversicherer.
• Pensionsfonds: Unternehmen, die Pensionspläne verwalten.
• Zahlungsinstitute: Einschließlich derjenigen, die Zahlungsdienste und E-Geld-Dienste anbieten.
• Wertpapierfirmen: Maklerunternehmen, Vermögensverwalter und andere investitionsbezogene Dienstleistungen.
• Handelsplätze: Börsen und multilaterale Handelseinrichtungen.
• Zentrale Gegenparteien (CCPs): Organisationen, die Finanzderivatetransaktionen verwalten.
• Anbieter von Krypto-Asset-Diensten: Institutionen, die sich mit dem Handel mit Kryptowährungen, Verwahrungsdiensten und Börsen befassen.

Drittanbieter von Dienstleistungen

Die DORA-Vorschriften können sich auch auf andere Sektoren erstrecken, die durch ihre Dienste oder Infrastruktur für die Aufrechterhaltung der Stabilität des Finanzsystems von entscheidender Bedeutung sind, darunter:

• Cloud-Anbieter: Jedes Unternehmen, das Finanzinstituten Cloud-Speicher, Computerdienste und Infrastruktur anbietet.
• IT-Dienstleister: Einschließlich derjenigen, die Rechenzentren, Softwareentwicklung, Cybersicherheit und Netzwerke verwalten.
• Outsourcing-Partner: Anbieter von ausgelagerten Dienstleistungen, die für den Betrieb von Finanzinstituten unerlässlich sind, wie z. B. Kundensupport, Compliance und Verwaltung.

Zusammenfassung der DORA-Verordnung: Fünf Grundprinzipien

In dieser Zusammenfassung der DORA-Vorschriften können Ihnen diese fünf Schlüsselprinzipien dabei helfen, die Vorschriften einzuhalten.

IKT-Risikomanagement

Organisationen müssen ein System dafür schaffenRisiken erkennen und bewertenDies könnte erhebliche Auswirkungen auf ihre Geschäftstätigkeit haben. Zu den Risiken, die diesen Kriterien entsprechen, gehören: Cyberangriffe wie Ransomware oder Malware, Naturkatastrophen, die zum Absturz von Servern führen könnten, oder menschliches Versagen, das versehentliche Datenlecks verursacht.

Zu den empfohlenen Maßnahmen zur Vermeidung dieser Risiken gehören:

1. Ergreifen von Maßnahmen zur Identifizierung und Reaktion auf Schwachstellen und Fehlkonfigurationen der Infrastruktur, deren Ausnutzung den Betrieb beeinträchtigen und stören könnte.
2. Auswahl und Wartung von Tools mit den erforderlichen Funktionen zur Unterstützung des Unternehmensbetriebs.
3. Entwerfen und automatisieren Sie Methoden zur kontinuierlichen Identifizierung potenzieller Cyberbedrohungen im Zusammenhang mit Geschäftsabläufen und IT-Systemen.

Management von IKT-Vorfällen

Das Prinzip des Managements von IKT-Vorfällen bedeutet, dass Organisationen über die Tools, Prozesse und Richtlinien verfügen müssen, um Vorfälle zu überwachen, zu identifizieren, zu lösen und an die Geschäftsleitung und Aufsichtsbehörden wie die Europäische Bankenaufsichtsbehörde (EBA) oder andere relevante Stellen zu meldenEU-Finanzaufsichtsbehörden.

Die Anforderungen der DORA-Vorschriften zur Erfüllung der Reaktion des Vorfallmanagements umfassen Folgendes:

• Melden Sie den Behörden Vorfälle, auch solche, die sich auf die Geschäftskontinuität oder die Finanzstabilität auswirken.
• Klassifizieren Sie Vorfälle oder Bedrohungen basierend auf der Anzahl der betroffenen Kunden, den betroffenen Transaktionen, der Dauer des Vorfalls und den Datenverlusten.
• Die Meldung von Risiken an Behörden ist freiwillig.
• Halten Sie die Frist für die Meldung des Vorfalls ein, die in die Erstmeldung, den Zwischenbericht und den Abschlussbericht nach Abschluss der Ursachenanalyse unterteilt wird.

Vereinbarungen zum Informationsaustausch

Ein weiterer Aspekt der DORA-EU-Verordnung ist die Anforderung, dass Organisationen Informationen, Erkenntnisse, Cyber-Bedrohungen und Schwachstellen mit Finanzinstituten und Behörden teilen müssen.

Dies fördert die Zusammenarbeit mit Institutionen und trägt dazu bei, ein Verständnis dafür zu erlangensich entwickelnde Technologienim Bereich Cybersicherheit, um zur Verbesserung, Vorbereitung und Reaktion auf diese Bedrohungen beizutragen.

Management von Drittrisiken

Finanzinstitute müssen sich bei kritischen Diensten wie Sicherheitsanwendungen und anderen häufig auf Drittanbieter verlassenCloud-Infrastrukturen. Die Zusammenarbeit mit Dritten ist oft unvermeidlich, daher betont die DORA-EU-Verordnung, wie wichtig es ist, die potenziellen Risiken dieser Dritten zu managen.

Durch die Verwaltung und Minderung der Risiken von Drittanbietern wird sichergestellt, dass diese nicht zu einer Belastung oder einem Risiko für die allgemeine Sicherheitslage eines Unternehmens werden. Finanzinstitute können dies erreichen, indem sie die Risiken des Drittanbieterdienstes bewerten und vertragliche DORA-Anforderungen in Bezug auf den Informationsaustausch und die Meldung von Vorfällen festlegen.

Digitale Betriebsresilienzprüfung

Organisationen müssen ihre Bereitschaft zur Bewältigung von Cyber-Vorfällen bewerten, um Schwächen, Mängel und Lücken in der Widerstandsfähigkeit zu identifizieren.

DORA bietet diese Tests für Resilienz undSicherheitstraining.

• Open-Source-Analyse
• Überprüfung des Quellcodes
• Szenariotests
• Kompatibilitätstests
• Leistungstests
• End-to-End-Tests
• Penetrationstests (mindestens alle drei Jahre)

Anforderungen des DORA-Frameworks

Die Artikel von DORA können in drei Kategorien eingeteilt werden:

1. Definition: Beschreibt Begriffe und den Umfang des Gesetzes.
2. Governance: Behandelt organisatorische Richtlinien und Verfahren für Risiken der Informations- und Kommunikationstechnologie (IKT).
3. Technisch: Spezifiziert technische Anforderungen an IKT-Systeme innerhalb einer Organisation.

Quelle:Dynatrace

Best Practices für die DORA-Regulierung

Wie DORA feststellt, liegt es in der Verantwortung des Managements, zu überwachen und sicherzustellen, dass das Unternehmen sicher, stabil und vor Störungen oder Cyberangriffen geschützt bleibt.

Obwohl dies eine Herausforderung sein kann, kann Ihr Management mit den richtigen Richtlinien, Tools und Überwachung ein sicheres Unternehmen mit Schwerpunkt auf Datenschutz führen, das zur Einhaltung der EU-Vorschriften von DORA beiträgt.

Richten Sie eine Zero-Trust-Richtlinie ein

Null Vertrauenentwickelt sich schnell zum neuen Standard für die Cybersicherheitsrichtlinie eines Unternehmens zum Schutz vor Datenschutzverletzungen, der im Jahr 2024 fast 5 Millionen US-Dollar erreichte.

Zero Trust entfernt sich vom traditionellen Sicherheitsmodell, das nie eine Verifizierung für Benutzer oder Geräte in einem Netzwerk verlangte, auch bekannt als Castle-and-Moat-Ansatz.

Allerdings birgt dieser Ansatz große Risiken. Wenn ein Hacker Zugriff auf das Netzwerk oder ein Gerät erhält, kann er seitliche Angriffe durchführen, um Informationen zu stehlen und ganze Netzwerke zu zerstören.

Stattdessen basiert Zero-Trust auf dem Konzept der geringsten Rechte und vertraut keinem Benutzer oder Gerät, es sei denn, er überprüft seine Anmeldeinformationen, um auf alles zuzugreifen, unabhängig davon, ob er zuvor auf diese Informationen zugegriffen hat oder nicht.

Daher kann Zero Trust in Ihre DORA-Regulierungsrichtlinien implementiert werden, um Software von Drittanbietern kontinuierlich zu überprüfen, auf potenzielle Gefährdungen zu prüfen und das Management so schnell wie möglich zu informieren. Es wird den Mitarbeitern auch dabei helfen, ihre Cybersicherheit zu stärken und vorzubeugenversehentliche Datenlecks.

Erfahren Sie mehr über Zero Trust

Belichtungsmanagement

Sicherheitstests und Sicherheitsmanagement sind notwendig, aber der Kampf um den Schutz Ihres Unternehmens hängt von der ständigen Überwachung Ihrer Umgebungen auf Gefährdungen und der anschließenden Bewertung der möglichen Auswirkungen ab.

Das Exposure-Management verbessert die Priorisierung und verhindert, dass Schwachstellen und Fehlkonfigurationen zu einem Problem werdenDatenschutzverletzung.

Führen Sie Bedrohungsjagden durch

Die regelmäßige Suche nach potenziellen Bedrohungen ist die einzige Möglichkeit, Anwendungsrisiken aufzudecken und zu beheben.

Dies gilt insbesondere für Zero-Day-Angriffe, bei denen ein Hacker eine Schwachstelle entdeckt, die das Unternehmen nicht bemerkt hat, und ihm erlaubt, den Angriff auszuführen. Zero-Day-Angriffe können unterschiedlich sein, beinhalten jedoch typischerweise das Einschleusen von bösartigem Code in das Netzwerk oder die Software.

Der Begriff „Zero-Day“ wird aufgrund der Schwere dieser Angriffe verwendet, da Unternehmen in unmittelbarer Gefahr sind und Maßnahmen ergreifen müssen, um Sicherheitsprobleme sofort zu beheben.

Erfahren Sie mehr über Zero-Day-Exploits

Wie Internxt Ihnen helfen kann, die DORA-Konformität zu erreichen

Wie bei jedem Unternehmen kann es überwältigend sein, auf dem Laufenden zu bleiben und sich über Compliance- oder Regulierungsbehörden im Klaren zu sein, da für die ordnungsgemäße Umsetzung umfassendes technisches Fachwissen und Ressourcen erforderlich sind.

Darüber hinaus stehen größere Unternehmen aufgrund der zu befolgenden erweiterten Sicherheitsprotokolle auch vor der Herausforderung, private oder hybride Cloud-Modelle zu verwalten und Datenlecks oder Dienstunterbrechungen bei der Migration ihrer Daten in die Cloud zu vermeiden. Um Ihnen bei der Migration Ihrer Daten zu helfen, lesen Sie unseren Artikel überCloud-Migrationsstrategien.

Für IhrCloud-Speicheranforderungen für Unternehmen, können Sie sensible Geschäfts- oder Kundeninformationen mit Internxt for Business oder S3 Object Storage schützen, einem 100 %Hot-Cloud-Speicherlösunggroße Datenmengen zu speichern und schnell darauf zuzugreifen.

Internxt Drive für UnternehmenAngebote:

• Post-Quanten- und Zero-Knowledge-verschlüsselter Cloud-Speicher, 2 TB/Benutzer bis zu 100 Benutzer
• Sicherer, verschlüsselter Dateiaustausch
• Remote-Sitzungsüberwachung
• Zugriffsprotokolle
• Beinhaltet VPN und Antivirus
• DSGVO-Protokolle

Internxt'sS3-Objektspeicherbeinhaltet:

• 7 €/TB/Monat, zahlen Sie nur für den Speicher, den Sie benötigen
• Keine Ein- und Ausstiegsgebühren
• Kompatibel mit AWS S3 und IAM API
• Bis zu 80 % günstiger als AWS, Azure oder Google Cloud
• Ende-zu-Ende-Verschlüsselung
• Datenredundanz für schnelle Dateiwiederherstellung

Alle Dienste von Internxt sind Open-Source- und DSGVO-konform, sodass Sie sicher sein können, dass Ihre Daten geschützt sind, was von der Open-Source-Community überprüft werden kann.

Um mit Internxt für Unternehmen zu beginnen, besuchen Sie unsere Website und erwerben Sie einen Plan. Wenn Sie weitere Informationen darüber wünschen, wie Internxt Sie bei Ihrer nächsten Cloud-Speicherlösung unterstützen kann, können Sie auch einen Anruf mit einem Mitglied unseres Vertriebsteams anfordern.

Die Zukunft der DORA-Regulierung

Mit Blick auf die DORA-Verordnung für die Zeit nach 2025 wird sie strengere Durchsetzungsmaßnahmen einführen, um eine kontinuierliche Einhaltung sicherzustellen, wie z. B. das regelmäßige Testen von IT- und Drittanbieter-Integrationen, das Melden und Prüfen von Vorfällen sowie das Eingehen der notwendigen Risiken, um Anbieter proaktiv zu verwalten.

Abonnieren Sie Internxt, um weitere Informationen darüber zu erhalten, was in der Welt der Sicherheit und des Online-Datenschutzes passiert, und vertrauen Sie unserem Cloud-Speicher.VPN, UndAntivirusum Sie vor Cyberbedrohungen zu schützen.