DORA-Meldepflichten: Zwei Vorfälle in sechs Monaten können als schwer gelten

Die europäische Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) gilt seit dem 17. Januar 2025. In der Praxis stellt das Regelwerk Institute jedoch weiterhin vor anspruchsvolle Aufgaben.

Laut einer Analyse von PwC Legal Germany liegt die zentrale Hürde vor allem in der integrierten Steuerung verschiedener Pflichtbereiche: Demnach müssen das Risikomanagement für Informations- und Kommunikationstechnologien (IKT), das Drittparteien-Risikomanagement (TPRM), das Business Continuity Management (BCM) sowie die Informationssicherheit über gemeinsame Objekte gesteuert werden. Dazu zählen Geschäftsprozesse, IKT-Assets, Drittanbieter, operative Vorfälle und Risiken.

Unklare Verantwortlichkeiten und Datenprobleme im Betriebsalltag

In den Instituten führen historisch gewachsene Strukturen bei der Umsetzung häufig zu Reibungsverlusten. Zu den typischen Praxisproblemen gehören redundante Datenbestände, abweichende Bewertungsskalen in verschiedenen Abteilungen sowie unklare Abgrenzungen der Zuständigkeiten zwischen der ersten und zweiten Verteidigungslinie.

Der Einsatz von Softwareplattformen für Governance, Risikomanagement und Compliance (GRC) allein kann diese strukturellen Mängel nach Brancheneinschätzung nicht beheben. Empfohlen wird daher eine festgelegte Reihenfolge, bei der zunächst die fachliche und organisatorische Klärung erfolgt, bevor entsprechende IT-Werkzeuge eingeführt werden.

Die zunehmende Digitalisierung und neue Verordnungen wie DORA verschärfen die Anforderungen an die Unternehmenssicherheit massiv. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Cyber-Bedrohungen Unternehmer jetzt kennen müssen. Aktuelle Cyber Security Trends jetzt kostenlos herunterladen

Dennoch lässt sich der regulatorische Rahmen ab einer gewissen Institutsgröße kaum ohne Softwarelösungen effizient bewältigen, was insbesondere auf die vorgeschriebenen Meldepflichten im XBRL-Format zurückzuführen ist.

Umfassende Pflichten für Risikomanagement und Altsysteme

Die regulatorischen Anforderungen an das IKT-Risikomanagement sind in den Artikeln 5 bis 16 des zweiten DORA-Kapitels sowie in den technischen Regulierungsstandards der delegierten Verordnung (EU) 2024/1774 verankert. Gemäß Artikel 6 Absatz 5 ist das institutseigene Rahmenwerk mindestens einmal jährlich sowie nach jedem schweren IKT-Vorfall zu überprüfen.

Zusätzliche Prüfpflichten betreffen ältere IKT-Infrastrukturen. Artikel 8 Absatz 7 verlangt von Instituten – mit Ausnahme von Kleinstunternehmen – eine mindestens jährliche IKT-Risikobewertung aller Altsysteme. Dies gilt sowohl im laufenden Betrieb als auch vor und nach der Anbindung neuer Technologien.

Wer die IT-Sicherheit seines Unternehmens nachhaltig stärken möchte, muss auch die regulatorischen Rahmenbedingungen im Blick behalten. Ein gratis E-Book zeigt, wie Sie bestehende Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen proaktiv erfüllen. Gratis-Ratgeber zur Cyber-Security sichern

Die Definition von Altsystemen regelt Artikel 3 Absatz 3, während Artikel 8 Absatz 6 vorschreibt, das Inventar sämtlicher IKT-Assets bei jeder wesentlichen Änderung unverzüglich zu aktualisieren.

Strenge Vorgaben zur Vorfallklassifizierung

Hohe operative Anforderungen ergeben sich zudem aus den Meldevorgaben. Nach Artikel 18 in Verbindung mit den Schwellenwerten der delegierten Verordnung (EU) 2024/1772 erfolgt die Vorfallklassifizierung anhand von sechs Kriterien.

Treten Vorfälle auf, die einzeln als nicht schwer eingestuft werden, können sie aggregiert dennoch als schwerer Vorfall gelten: Dies greift, wenn sie innerhalb von sechs Monaten mindestens zweimal mit derselben Ursache auftreten und gemeinsam die Kriterien erfüllen. Institute müssen entsprechende Ereignisse daher monatlich überprüfen.

Flankiert werden die Bestimmungen durch überarbeitete Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA) zur Umsetzung der Richtlinie (EU) 2024/1619 (CRD VI) auf Basis von Artikel 74 der Richtlinie 2013/36/EU. Diese verlangen eine präzise Zuordnung der Pflichten und Zuständigkeiten innerhalb der Leitungsorgane und für Inhaber von Schlüsselfunktionen sowie ein strukturiertes Rahmenwerk für Drittlandfilialen.