Was ist die DORA-Verordnung – und wie bereiten Sie Ihr Unternehmen darauf vor?

Die DORA-Verordnung (Digital Operational Resilience Act) der Europäischen Union soll die Cyberresilienz von Finanzunternehmen erhöhen. Die Zeit drängt, denn ab dem 17. Januar 2025 müssen Finanzdienstleister nachweisen können, dass sie alle Anforderungen umgesetzt haben. In diesem Artikel erfahren Sie, was genau DORA umfasst, warum die Verordnung auch eine Chance darstellt und wie Sie sich optimal vorbereiten.

Was ist die DORA-Verordnung?

DORA ist die Abkürzung für „Digital Operational Resilience Act“. Es handelt sich um einen Rechtsakt der Europäischen Union, mit dem die digitale, operationale Widerstandsfähigkeit von Finanzunternehmen gestärkt werden soll. Die Verordnung macht detaillierte Vorgaben, wie Finanzdienstleister die Risiken, die mit digitalen Systemen und Tools einhergehen, zu managen haben. Dabei müssen auch Dienstleister aus dem Bereich Informations- und Kommunikationstechnologie (IKT) einbezogen werden, mit denen das jeweilige Finanzunternehmen zusammenarbeitet.

Bereits am 14.12.2022 beschlossen das Europäische Parlament und der Europäische Rat die neue DORA-Verordnung. Am 17.01.2023 trat sie in Kraft, wobei eine zweijährige Umsetzungsfrist gilt. Das heißt – ab dem 17.01.2025 müssen Finanzunternehmen DORA-konform sein.

DORA ist Teil des „Digital Finance Package“, welches von der Europäischen Kommission am 24. September 2020 auf den Weg gebracht wurde. Die dort publizierte „Digital Finance Strategy“ definiert als eine von vier Säulen den Umgang mit digitalen Risiken. Die DORA-Verordnung setzt diesen Punkt nun praktisch um.

DORA basiert zum Teil auf den „Guidelines on ICT and security risk management“ der European Banking Authority (EBA). Die neue Verordnung geht aber in mehreren Bereichen deutlich über die EBA-Guidelines hinaus, insbesondere was das Business-Continuity-Management (BCM), das Threat-Led-Penetration-Testing (TLPT) und das Third-Party-Risk-Management (TPRM) betrifft. Generell betrachtet DORA das Thema Cyberresilienz nicht nur aus der Einzelperspektive des Unternehmens, sondern auch aus der gesamtgesellschaftlichen Perspektive.

Das sind die Kernziele der Verordnung

DORA verfolgt drei Hauptziele: 

1. Gewährleistung von Resilienz
Finanzunternehmen sollen ihre digitale, operationale Resilienz erhöhen. Die Anfälligkeit für Cyberbedrohungen soll reduziert werden.

2. Harmonisierung der Standards
Die unterschiedlichen nationalen Vorschriften zur IT-Sicherheit für Finanzunternehmen sollen angeglichen werden.

3. Überwachung von IKT-Drittanbietern
Es soll ein Rechtsrahmen für die Überwachung von IKT-Drittanbietern geschaffen werden, sobald diese für Finanzunternehmen tätig werden.

Die digitale Strategie für das Finanzwesen in Europa

DORA ist keine Einzelinitiative, sondern in das sog. Digital Finance Package der Europäischen Union eingebettet, welches im September 2020 vorgelegt wurde. Das Package definiert eine digitale Finanzstrategie, die vier Kernbereiche umfasst:

Digitale Marktvereinheitlichung: Es soll eine einheitliche Lösung für die digitale Identifizierung von Kunden innerhalb Europas geschaffen werden. Das wird sowohl Kunden-Prozesse (Onboarding) als auch interne Unternehmensprozesse erleichtern. Gleichzeitig soll auf diese Weise Geldwäsche-Verbrechen vorgebeugt werden. Regeln für digitale Innovationen: Die Chancen neuer Zahlungsmittel wie Krypto-Assets und Stablecoins sollen genutzt werden. Gleichzeitig sollen Regeln für Krypto-Anbieter, die in Europa operieren, geschaffen werden. Sie sollen beispielsweise für den Umgang mit Vermögenswerten von Verbrauchern haftbar gemacht werden können. Datengestützte Innovation: Um die europäischen Finanzmärkte weiter zusammenzuführen, soll der Austausch von Daten erleichtert werden. Einerseits sollen Verbraucher Einsicht in ihre Daten haben und entscheiden können, was mit diesen geschieht. Andererseits sollen Unternehmen mehr Zugriff auf Daten erhalten, um bessere Kundenlösungen anbieten zu können. Umgang mit digitalen Risiken: Die Risiken der digitalen Transformation für die Finanzmärkte sollen gemindert werden. Dafür müssen Unternehmen strenge Vorgaben zur digitalen, operationalen Resilienz einhalten. Diese Vorgaben sollen auch für IKT-Drittanbieter gelten, z. B. die Anbieter von Cloud-Computing-Services. Die DORA-Verordnung (Digital Operational Resilience Act) schafft den rechtlichen Rahmen dafür.

Wer ist von der DORA-Verordnung betroffen?

DORA ist eine Spezialverordnung für europäische Finanzorganisationen. Hier eine vollständige Liste der betroffenen Entitäten, wie sie in Artikel 2, „Persönlicher Geltungsbereich“, (1), der DORA-Verordnung aufgeführt wird:

(a) Kreditinstitute, (b) Zahlungsinstitute, (c) E-Geld-Institute, (d) Wertpapierfirmen, (e) Anbieter von Krypto-Dienstleistungen, Emittenten von Kryptowerten, Emittenten von an Vermögenswerte geknüpften Token und Emittenten signifikanter an Vermögenswerten geknüpfter Token, (f) Zentralverwahrer, (g) zentrale Gegenparteien, (h) Handelsplätze, (i) Transaktionsregister, (j) Verwalter alternativer Investmentfonds, (k) Verwaltungsgesellschaften, (l) Datenbereitstellungsdienste, (m) Versicherungs- und Rückversicherungsunternehmen, (n) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, (o) Einrichtungen der betrieblichen Altersversorgung, (p) Ratingagenturen, (q) Abschlussprüfer und Prüfungsgesellschaften, (r) Administratoren kritischer Benchmarks, (s) Crowdfunding-Dienstleister, (t) Verbriefungsregister, (u) IKT-Drittanbieter.

Die zuletzt aufgeführte Entität verdient besondere Beachtung. Denn die DORA-Verordnung wirkt sich nicht nur auf die Finanzunternehmen selbst, sondern auch auf deren IKT-Drittanbieter aus. Dazu gehören beispielsweise Managed-Service-Anbieter, die Technologien wie Cloud-Plattformen oder Datenanalysedienste bereitstellen. Die von DORA betroffenen Finanzinstitute müssen sich also nicht nur um die eigene IT-Sicherheit kümmern, sondern auch um die DORA-Konformität aller IKT-Anbieter, mit denen sie zusammenarbeiten.

Der Grundsatz der Verhältnismäßigkeit

In der Einleitung zu DORA heißt es unter 5., „Weitere Angaben“:

„Gleichzeitig wird in der Verordnung anerkannt, dass zwischen Finanzunternehmen in Bezug auf Größe, Unternehmensprofile oder das Ausmaß digitaler Risiken erhebliche Unterschiede bestehen. Da größere Finanzunternehmen über mehr Ressourcen verfügen, müssen nur Finanzunternehmen, die nicht als Kleinstunternehmen gelten, beispielsweise komplexe Governance-Regelungen und spezielle Verwaltungsfunktionen einführen und nach größeren Veränderungen an Netz- und Informationssysteminfrastrukturen eingehende Bewertungen sowie regelmäßige Risikoanalysen bei IKT-Altsystemen durchführen und die Prüfung von Plänen für Betriebskontinuität, Gegenmaßnahmen und Wiederherstellung ausweiten, um Szenarien für die Umstellung von ihrer primären IKT-Infrastruktur auf redundante Einrichtungen zu konzipieren. Darüber hinaus werden nur Finanzunternehmen, die für die Zwecke einer erweiterten Prüfung der digitalen Resilienz als bedeutend eingestuft wurden, bedrohungsorientierte Penetrationstests durchführen müssen.“

DORA gesteht also zu, dass Kleinstunternehmen nicht mit Großunternehmen gleichgesetzt werden sollten. Deshalb werden bestimmte DORA-Anforderungen für sie abgemildert. Als Kleinstunternehmen gelten dabei Finanzunternehmen mit weniger als 10 Mitarbeitern und einem Jahresumsatz von nicht mehr als 2 Millionen Euro.

Aber auch für „reguläre“ Finanzunternehmen gibt es eine Abstufung. Nur als „bedeutend“ eingestufte Organisationen müssen die besonders aufwendigen „bedrohungsorientierte[n] Penetrationstests“ durchführen.

Das sollte jedoch nicht als Freibrief missverstanden werden. Auch Kleinstunternehmen unterliegen grundsätzlich noch DORA. Und mit Blick auf die Zukunft ist es wahrscheinlich, dass auch diese Kleinstunternehmen noch stärker reguliert werden könnten.

Nichteinhaltung ist keine Option

Bei Nichteinhaltung der neuen Verordnung drohen schwerwiegende Strafen. Die zuständigen Behörden können gegen Finanzinstitute verwaltungsrechtliche und sogar strafrechtliche Sanktionen verhängen. Das Strafmaß obliegt dabei den Mitgliedstaaten.

IKT-Anbieter, die von der Europäischen Kommission als „entscheidend“ eingestuft wurden, werden zentral überwacht. Die Bußgelder liegen hier bei 1 % des durchschnittlichen weltweiten Tagesumsatzes des Anbieters im vorangegangenen Geschäftsjahr. Die Anbieter können täglich für bis zu sechs Monate mit einer Geldstrafe belegt werden, bis sie die Vorschriften umsetzen.

DORA bietet Ihrem Unternehmen aber auch Chancen. Der Compliance-Prozess ist eine Gelegenheit, die bestehenden Sicherheitsrichtlinien und -verfahren zu überprüfen. In Zeiten existenzbedrohender Ransomware-Attacken trägt dies entscheidend dazu bei, die eigene Security Posture abzuhärten.

Warum ist eine eigene Sicherheitsverordnung für den Finanzsektor wichtig?

Grundsätzlich sind Cyberattacken ein wachsendes Problem in allen Industrien. Im Finanzsektor kommen sie allerdings gehäuft vor. Wie der Internationale Währungsfonds (IWF) vor kurzem feststellte, betrifft fast jeder fünfte Angriff ein Finanzunternehmen. Insgesamt haben sich die Anzahl der Attacken seit der Zeit vor Corona fast verdoppelt. Parallel dazu ist auch das Risiko für Großschäden über 2,5 Milliarden Dollar gestiegen.

Die Deutsche Bundesbank und das Bundesministerium der Finanzen machten bereits 2022 in einem gemeinsamen Gastbeitrag in der FAZ darauf aufmerksam, dass Hackerangriffe die Finanzstabilität in Deutschland erheblich gefährden. In dem Beitrag hieß es:

Die Deutsche Bundesbank und das Bundesministerium der Finanzen halten diese Entwicklung für besorgniserregend. Ein schwerer Cyberangriff kann zum Beispiel eine Geschäftsbank in Schwierigkeiten bringen, wenn das Online-Banking gestört wird oder eigene Zahlungen nicht mehr geleistet werden können. Im schlimmsten Fall könnte dies die Existenz der Bank gefährden. Zudem blieben die Auswirkungen eines solchen Angriffs aufgrund der hohen Vernetzung im Finanzsektor nicht auf einzelne Banken beschränkt. Ähnlich wie in der Finanzkrise von 2008 könnten Schwierigkeiten einer Bank schnell auf andere Banken und Versicherungen überspringen und somit zu einer Krise des gesamten Finanzsystems führen.

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) schließt sich mittlerweile dieser Einschätzung an und bezeichnet Cyberattacken und IT-Pannen als die größten Risiken für den Finanzsektor. Dazu BaFin-Präsident Mark Branson während einer Pressekonferenz im Januar 2024: „Wir haben das Gefühl, diese Attacken kommen immer näher ans Herz des Finanzsystems. Wir müssen alles tun, um das abzuwehren.“ Und weiter: „Die Unternehmen des Finanzsektors müssen resilient sein – gegen finanzielle und operationelle Risiken.“

Diese Zahlen und Einschätzungen zeigen – die europäische DORA-Verordnung ist keine Bürokratieschikane, sondern im Gegenteil überfällig. Einerseits trägt sie zum wirtschaftlichen Fortbestand der einzelnen Unternehmen bei. Andererseits hat sie die gesamtgesellschaftlichen Konsequenzen im Blick – denn der Ausfall des Finanzsystems hätte fatale Folgen für uns alle.

Welche Bedrohungsszenarien gibt es?

Die Bedrohungslage für Finanzunternehmen ist äußerst real. Aber wie konkret gehen die Angreifer vor?

Laut der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) stellen Ransomware-Angriffe die größte Gefahr dar. Hierbei handelt es sich um Schadprogramme, welchen die Daten eines Unternehmens verschlüsseln und erst bei Zahlung eines Lösegelds (engl. Ransom) wieder freigeben. Alternativ können die Angreifer auch damit drohen, die Daten im Internet zu veröffentlichen, falls das Lösegeld nicht gezahlt wird.

Daneben sieht die BaFin sog. Distributed-Denial-of-Service-Angriffe (DDoS) als besonders kritisch. Hierbei erzeugen die Angreifer eine Flut von Datenanfragen, z. B. an die Website eines Unternehmens, bis das entsprechende System zusammenbricht.

Als Drittes listet die Bafin den Einsatz von Schad- und Spähsoftware, wie Trojaner, Viren und Würmer. Auch von diesen eher konventionellen Angriffsarten geht immer noch eine große Gefahr aus.

Eine Studie von KPMG und Lünendonk kommt zu einer ähnlichen Einschätzung. Nach den größten Risiken befragt, nannten Finanzdienstleister an erster Stelle DDoS-Attacken (71 %). Phishing- und Ransomware-Angriffe wurden in einer Kategorie zusammengefasst (64 %). Zur Einordnung: Bei Phishing-Angriffen versenden Cyberkriminelle gefälschte Nachrichten, die von vermeintlich vertrauenswürdigen Absendern stammen. Auf diese Weise versuchen die Angreifer zum Beispiel an Login-Informationen zu gelangen. Diese Angriffsart bildet oft das Einfallstor für weitergehende Ransomware-Attacken. Eine dritte Kategorie bildete die Nutzung unautorisierter Devices, z. B. wenn Mitarbeiter im Homeoffice private Geräte für das Arbeiten verwenden (ebenfalls 64 %).

Hinzu kommt die neue Bedrohungslage durch Entwicklungssprünge im Bereich der generativen KI. ChatGPT und Co. können z. B. dabei helfen, Codevorschläge für Malware zu erstellen. Oder sie verfassen massenhafte Phishing-Mails in verschiedenen Sprachen, um die einzelnen Ländergruppen eines globalen Finanzunternehmens parallel anzugreifen.

Und die nächste Bedrohung zeichnet sich schon am Horizont ab. Durch den Einsatz von Quantum-Computing wird es in Zukunft möglich sein, Passwörter zu knacken und kryptografische Verfahren zu entschlüsseln, die bisher als sicher galten. Dies stellt insbesondere eine Gefahr für die Endkunden von Finanzdienstleistern dar.

Die DORA-Anforderungen im Detail

Die Anforderungen des Digital Operational Resilience Act umfassen fünf Bereiche:

1. IKT-Risikomanagement und Verantwortlichkeiten

Finanzdienstleister sind dazu verpflichtet, ein IKT-Risikomanagement zu implementieren.

Zu den Anforderungen gehören unter anderem:

• Einrichtung eines internen Governance- und Kontrollrahmens
• Identifizierung kritischer Funktionen
• Schutz und Präventionsmaßnahmen
• Schnelle Erkennung von anomalen Aktivitäten
• Schnelle Reaktion auf Angriffe und rasche Wiederherstellung der Systeme
• Jährliche Überprüfung der Sicherheitsmaßnahmen
• Kontinuierliche Weiterentwicklung der Cybersicherheitsstrategie, unter Berücksichtigung von externen und internen Erkenntnissen
• Transparente Kommunikation, sowohl gegenüber den Aufsichtsbehörden als auch der Öffentlichkeit

Dabei wird ausdrücklich die Geschäftsführung in die Pflicht genommen – sie trägt die Letztverantwortung. Die Leitungsorgane müssen die Strategie festlegen und genehmigen sowie ausreichende finanzielle Mittel zur Verfügung stellen. Die Verordnung schreibt auch vor, dass sich die Geschäftsführung regelmäßig fortzubilden hat, was das IKT-Risikomanagement angeht.

2. Klassifizierung und Berichterstattung

Finanzunternehmen müssen über einen Managementprozess für die Protokollierung und Meldung von IKT-Vorfällen verfügen. Diese Vorfälle müssen vom Unternehmen nach bestimmten Kriterien klassifiziert werden.

In diesem Zusammenhang kommt einiges an Arbeit auf die Unternehmen zu. Die meisten Organisationen verfügen derzeit nicht über die erforderlichen Tools, um die quantitativen Auswirkungen von Vorfällen und die zugrundeliegenden Ursachen zu ermitteln. Hier kann die Zusammenarbeit mit einem spezialisierten Security-Provider Sinn machen.

Kommt es zu einem schwerwiegenden Vorfall, muss dieser an die zuständige Behörde gemeldet werden, z. B. wenn die Bereitstellung von zahlungsbezogenen Diensten beeinträchtigt wurde. Daneben führt DORA auch ein freiwilliges Meldewesen ein, um den Informationsaustausch zu fördern.

Zu den wesentlichen Forderungen gehören:

• Klare Prozesse für das Protokollieren und Klassifizieren von Cybervorfällen, z. B. nach Kritikalität, geografischer Lage und anderen in der Verordnung genannten Kriterien
• Die Erstellung eines Anfangs-, Zwischen- und Abschlussberichts für die zuständige Behörde

3. Digitale Betriebsstabilität testen

Finanzunternehmen müssen ihre IKT-Systeme regelmäßig überprüfen (mindestens einmal pro Jahr). Beispiele für solche Tests sind:

• Überprüfung der Netzsicherheit
• Überprüfung der physischen Sicherheit, z. B. Zutritt zu den Serverräumen
• Überprüfung von Open-Source-Software
• Quellcodeprüfungen
• Gap-Analysen
• Penetrationstests
• Szenariobasierte Tests
• Kompatibilitätstests

Für Kleinstunternehmen existieren Ausnahmen im Hinblick auf den Testumfang, jedoch nicht, was die grundsätzliche Testpflicht angeht.

Das sog. TLPT (= „Threat-Led Penetration Testing“) muss nur von „bedeutenden“ Finanzunternehmen durchgeführt werden, und zwar alle drei Jahre. Die Gestaltung dieser Tests lehnt sich eng an das europäische TIBER-EU-Rahmenwerk an.

Für die Durchführung der verschiedenen Tests dürfen auch externe Dienstleister beauftragt werden, sofern diese die DORA-Bestimmungen einhalten. Das kann den Aufwand für Unternehmen deutlich reduzieren.

Sollten im Rahmen dieser Tests Gefahren erkannt werden, müssen diese zeitnah behoben werden.

4. Management der IKT-Drittdienstleister

Finanzunternehmen müssen das Risiko, welches von IKT-Drittdienstleistern ausgeht, managen. Das umfasst unter anderem:

• Risikoanalyse und Due Diligence bereits vor Vertragsabschluss
• Analyse der Abhängigkeit vom IKT-Drittdienstleister
• Einhaltung von vertraglichen Mindestvorgaben zwischen dem Finanzunternehmen und dem IKT-Dienstleister, z. B.:
  • Vollständige Beschreibung des Leistungsumfangs
  • Angabe der Datenverarbeitungsstandorte
  • Meldepflichten bei Vorfällen
  • Kündigungsrechte
  • Berichtspflichten
  • Regeln zur Unterauftragsvergabe
  • Überwachungsrechte des beauftragenden Unternehmens
  • Entwurf einer Ausstiegsstrategie
  • Verpflichtung des IKT-Drittdienstleisters zur Unterstützung bei Vorfällen
• Eintrag der Vertragsbeziehung in ein Informationsregister
• Jährliche Aktualisierung der Informationen

Kritische IKT-Dienstleister werden durch DORA dem Aufsichtsrahmen der EU unterstellt. Ob ein Dienstleister als kritisch oder nicht-kritisch gilt, entscheiden die ESA: die drei „European Supervisory Authorities“ – EBA, EIOPA und ESMA. Die Beaufsichtigung umfasst z. B. das Recht der Behörden, Dokumente einzusehen, Prüfungen vor Ort durchzuführen sowie Empfehlungen und Anweisungen auszusprechen.

5. Regelmäßiger Austausch von Informationen

DORA schlägt vor, dass Finanzunternehmen untereinander Informationen austauschen, was Cyberbedrohungen angeht. Das umfasst z. B.:

• Indikatoren für Beeinträchtigungen
• Taktiken
• Techniken und Verfahren
• Cybersicherheitswarnungen
• Konfigurationstools

Dieser Austausch ist freiwillig. Verpflichtend ist jedoch eine Meldung an die BaFin über die Teilnahme oder die Beendigung entsprechender Vereinbarungen.

Wie Finanzdienstleister von der DORA-Verordnung profitieren

Der Digital Operational Resilience Act geht nicht nur mit neuen Verpflichtungen einher, sondern auch mit Chancen. Die Verordnung bildet die ideale Gelegenheit, die eigene IT-Sicherheitsstrategie zu überdenken und zu optimieren. Daraus resultieren konkrete Vorteile für Finanzunternehmen:

• Bessere Krisenbewältigung
  Wenn Ihr Unternehmen über ein robustes IKT-Risikomanagement verfügt, wird es souveräner mit Vorfällen und Krisen umgehen. Angriffe perlen einfach an Ihnen ab.

• Kostenreduzierung durch Prävention
  Indem Sie Ihre Security Posture abhärten, sparen Sie viel Geld, z. B. indem Sie teure Ransomware-Zahlungen oder lange Ausfallzeiten vermeiden.

• Vertrauenszugewinn
  Mehr Cybersicherheit erzeugt mehr Vertrauen bei Kunden und Investoren. Sie stärken so Ihre Marktposition und bleiben wettbewerbsfähig.

• Bessere Customer Experience
  Stabile IT-Systeme resultieren in einer besseren Customer Experience. Der Kunde kann sich darauf verlassen, dass Ihre Services immer erreichbar sind.

• Compliance
  Durch die rechtzeitige Umsetzung der DORA-Vorschriften schützen Sie sich vor Compliance-Verletzungen und hohen Strafzahlungen.

• Technologieverbesserungen
  DORA trägt dazu bei, die eigene IT-Infrastruktur zu überdenken und zu modernisieren. Das macht Ihr Unternehmen zukunftsfähiger.

Welche Herausforderungen es gibt – und wie ein MSSP helfen kann

Die Umsetzung der DORA-Verordnung geht mit einer Reihe von Herausforderungen einher.

Komplexität

DORA stellt ein hochkomplexes Regelwerk dar. Um ihm gerecht zu werden, müssen sich Finanzunternehmen tief in die Materie einarbeiten. Das verschlingt Ressourcen, die an anderen Stellen fehlen. Gleichzeitig kann es vorkommen, dass bestimmte Anforderungen versehentlich nicht oder falsch umgesetzt werden.

Eine Lösung ist die Zusammenarbeit mit einem Managed-Security-Services-Provider (MSSP). Diese Provider sind mit der Materie bestens vertraut und verfügen bereits über erprobte Prozesse, um Finanzunternehmen DORA-konform zu machen.

IKT-Drittanbieter-Management

DORA verlangt eine umfassende Kontrolle der IKT-Drittanbieter. Damit steigt die Abhängigkeit von diesen Dienstleistern. Der IKT-Drittanbieter muss eng mit dem Finanzunternehmen kooperieren und Absprachen zuverlässig umsetzen. Tut er dies nicht, begeht das Finanzunternehmen unter Umständen schwerwiegende (und kostspielige) Compliance-Verletzungen.

Auch hier kann ein MSSP helfen. Diese Provider müssen selbst DORA-konform sein und wissen daher genau, wie sich IKT-Drittanbieter richtig zu verhalten haben. Sie geben dieses Know-how an Ihr Unternehmen weiter.

IT-Infrastruktur

Viele Unternehmen müssen ihre IT-Infrastruktur modernisieren oder sogar komplett erneuern, um den Anforderungen von DORA gerecht zu werden. Das geht mit wesentlichen Investitionen einher. Dies gilt insbesondere, wenn sich der Großteil der IT-Infrastruktur on-premises befindet.

Hier ist es von Vorteil, mit einem MSSP zusammenzuarbeiten, der auch andere Managed Services anbietet, z. B. Cloud-Computing-Lösungen. So können Sie Ihre IT-Infrastruktur schnell und ohne hohe Anschaffungskosten auf den neuesten Stand bringen.

Mitarbeiterschulungen

Ihre Mitarbeiter müssen geschult und auf die neuen Systeme und Prozesse vorbereitet werden. Denn die beste Sicherheitsstrategie zeigt nur Wirkung, wenn sie korrekt angewandt wird. Solche Trainings bedeuten aber einen hohen Zusatzaufwand für Ihr Unternehmen.

Hinzu kommt, dass oft ein gewisses Silodenken im Unternehmen herrscht. Cyberresilienz wird als reines Projekt der IT-Abteilung abgetan. Dieses Silodenken aufzubrechen verlangt der Führung viel Geduld ab.

MSSPs unterstützen Sie auch hier. Der Provider kann umfassende Schulungsprogramme für Sie durchführen. Im Rahmen dieser Workshops macht er Ihrem Team deutlich, dass Cyberresilienz ein unternehmensweites Projekt ist, bei dem alle mitziehen müssen.

Proact ist Ihr Experte für Cyberresilienz. Unsere Managed-Security-Services heben Ihre IT-Sicherheit auf das nächste Level. Damit machen wir Ihr Finanzunternehmen nicht nur DORA-konform, sondern schützen Sie auch nachhaltig vor existenziellen Cyberbedrohungen, wie Ransomware- und DDoS-Attacken.

Wie Proact Sie bei der DORA-Umsetzung unterstützt

Das Herz unserer DORA-Maßnahmen bildet unser 7-stufiger-Resilienz-Plan. Er härtet Ihre Security Posture ab und stellt sicher, dass Sie noch vor der Deadline DORA-konform werden:

1. Stufe: Vorbereitung
Im ersten Schritt bewertet Proact die Risiken und Schwachstellen Ihrer IT-Infrastruktur und identifiziert kritische Systeme und Daten. Gemeinsam mit Ihrem Inhouse-Team werden Ziele und Strategien für die Wiederherstellung im Falle eines Cyberangriffes definiert (siehe Proact Cyber-Sicherheitscheck).
 

2. Stufe: Backup
Im zweiten Schritt implementieren wir für Sie eine robuste Backup-Strategie. Kritische Daten werden regelmäßig gesichert und auf verschiedenen Medien gespeichert. Das beinhaltet z. B. Immutable Backups, aber auch vom Netzwerk isolierte Sicherheitskopien (Air Gapping).
 

3. Stufe: Erkennung und Benachrichtigung
Wir etablieren für Sie einen Mechanismus zur frühzeitigen Erkennung (siehe Proact SOC) von Cyberangriffen. Kommt es zu einem Vorfall, erfolgt zeitnah eine Alarmierung aller wichtigen Stakeholder. Dazu gehören das Inhouse-IT-Team, das Management und die Kunden.

4. Stufe: Eindämmung und Wiederherstellung
Sobald der Angriff erkannt wurde, dämmen wir die Gefahr unverzüglich ein. Wir sorgen dafür, dass sich eingeschleuste Schadsoftware nicht weiter ausbreiten kann. Dafür isolieren wir betroffene Systeme und stellen diese schnellstmöglich wieder her (siehe auch Blogartikel „Ransomware-Recovery: Wie Sie Ihre Daten wiederherstellen“).

5. Stufe: Untersuchung
Nachdem der Angriff eingedämmt wurde, führen wir eine tiefgehende Analyse durch, um die Ursachen auszumachen. Durch das Aufdecken solcher Schwachstellen können wir Angriffen in Zukunft noch besser vorbeugen.
 

6. Stufe: Abhilfe
Auf Basis unserer Analyse helfen wir Ihnen bei der Problembehebung und schließen noch vorhandene Sicherheitslücken. Wir schulen auch Ihr Team, um es für neue Arten von Angriffen zu sensibilisieren.
 

7. Stufe: Wiederherstellung
Der letzte Schritt besteht in der vollständigen Wiederherstellung aller Systeme und Daten. Ihre IT ist nun wieder auf demselben Stand wie vor dem Angriff und Ihr Team kann wieder uneingeschränkt produktiv werden.

Nutzen Sie die Managed-Security-Services von Proact!

Sie möchten möglichst bald DORA-konform werden und gleichzeitig Ihre Cyberresilienz erhöhen? Dann sollten wir uns unterhalten. Mit unseren Managed-Security-Services adressieren wir alle Anforderungen der neuen EU-Verordnung. Der Vorteil – statt Ihr Inhouse-Team zu überlasten, geben Sie Aufgaben an einen hochspezialisierten Partner ab. Sie können sich auf Ihre Kernaufgaben konzentrieren, während wir Ihre IT-Sicherheit anheben. Gleichzeitig stehen wir in engem Kontakt zu Ihren Teammitgliedern, um effiziente Abläufe zu gewährleisten.

Das Herzstück unserer DORA-Strategie bildet unser erprobtes, siebenstufiges Resilienz-Framework, das wir bereits für zahlreiche Organisationen umgesetzt haben. Diese Unternehmen wissen sich nun beruhigt – ihre IT-Sicherheit ist auf dem neuesten Stand und hohen Strafzahlungen wurde vorgebeugt. Dieses gute Gefühl, alles getan zu haben, können wir auch für Sie erreichen.

Das hört sich interessant an? Dann kontaktieren Sie uns noch heute für eine kostenlose Beratung. Wir freuen uns, von Ihnen zu hören!