Der 17. Januar 2025 markiert einen Wendepunkt für die Finanz- und Versicherungsbranche: Mit dem Inkrafttreten der Digital Operational Resilience Act (DORA) hat die EU einen neuen Meilenstein gesetzt. Was über Jahre hinweg in der BAIT, VAIT, KAIT, ZAIT und anderen nationalen Regelwerken vorbereitet wurde, ist nun auf europäischer Ebene verankert – und bringt Klarheit, aber auch Konsequenz.
Was bedeutet das für die bisherigen Regelwerke?
Viele Institute haben ihre IT- und Sicherheitsorganisation bislang stark an den Anforderungen der BAIT ausgerichtet. Doch eines ist klar: DORA überholt und ersetzt sukzessive einzelne nationale Anforderungen. Bestimmte Vorgaben der BAIT gelten künftig nicht mehr oder laufen schrittweise aus. An ihre Stelle treten die europaweit einheitlichen Standards, die ein noch höheres Maß an operationaler Resilienz und Meldepflichten einfordern. Wer jetzt noch rein national denkt, wird in den kommenden Monaten ins Hintertreffen geraten.
Die neue Realität: Audits stehen vor der Tür
Was viele unterschätzen: Die ersten Audits durch Aufsichtsbehörden sind nicht mehr weit entfernt. Die Prüfer werden dabei nicht nur auf Policies und Prozesse blicken, sondern deren gelebte Umsetzung überprüfen. Es geht um Resilienz in der Praxis – also um Nachweise, Tests, Reaktionsfähigkeit und vor allem um eine konsequente Steuerung von Drittparteien und (kritischen) IKT-Dienstleistern.
Was ist jetzt zu tun?
Für Institute bedeutet das:
- Gap-Analysen durchführen: Wo werden die neuen DORA-Anforderungen bereits abgedeckt, wo gibt es (noch) Lücken?
- Governance neu ausrichten: Rollen, Verantwortlichkeiten und Berichtswege müssen europäisch gedacht werden und miteinander korrespondieren.
- Technische Resilienz sicherstellen: Krisenübungen, Penetrationstests und die kontinuierliche Überwachung werden zur Routine.
- Dokumentation und Nachweise vorbereiten: Wer sauber dokumentiert und evidenzbasiert arbeitet, reduziert Risiken bei Audits erheblich.
Bewährtes bewahren – Neues annehmen
So wie es in unserer Branche Tradition ist, gilt es nun, die bewährten Strukturen und Prozesse nicht über Bord zu werfen, sondern sie weiterzuentwickeln und an die neuen europäischen Anforderungen anzupassen. Die Vergangenheit zeigt: Wer sich frühzeitig auf Veränderungen einstellt, gewinnt nicht nur Sicherheit, sondern auch Vertrauen bei Kunden, Partnern und Aufsicht.
DORA ist kein einmaliges Projekt. Es ist ein langfristiger Weg hin zu mehr Stabilität, und genau dieser Weg sollte jetzt mit Entschlossenheit beschritten werden.
WG-DATA unterstützt dabei die Institute wie bereits in der Vergangenheit in allen relevanten Belangen, insbesondere bei der Informationssicherheit beim Notfallmanagement sowie bei der Vertrags- und Dienstleistersteuerung, als auch beim Auslagerungs- und IKT-Drittdienstleistermanagement und bietet Support bei der Vorbereitung, Durchführung und Nachbereitung der bevorstehenden Audits.
