Die EU-Verordnung zur digitalen Widerstandsfähigkeit von Finanzinstituten tritt in Kraft

Prag – Heute tritt die europäische Verordnung über die digitale operationelle Resilienz des Finanzsektors (DORA) in Kraft, die Finanzinstitute verpflichtet, ihre Informations- und Kommunikationssysteme gegen Cyberbedrohungen abzusichern. Die Regeln sollen den Finanzsektor vor Situationen schützen, in denen beispielsweise Banken sensible Daten bei einem der großen Cloud-Anbieter gespeichert haben, der Ziel eines Cyberangriffs wird. Laut Experten sind tschechische Banken, Versicherungen und Investmentgesellschaften auf die neuen Vorschriften vorbereitet.

DORA regelt die Bedingungen, unter denen Banken, Versicherungen oder Investmentgesellschaften Cloud-Dienste nutzen, die von Unternehmen wie Amazon, Google oder Microsoft betrieben werden. Finanzunternehmen werden verpflichtet sein, nachzuweisen, wie effektiv sie in der Lage sind, auf einen möglichen Hackerangriff zu reagieren, der ihre Datenspeicher betrifft. Die Norm entstand während der tschechischen EU-Ratspräsidentschaft im Jahr 2022.

Tschechische Finanzinstitute bereiten sich bereits seit über einem Jahr auf die neuen Vorschriften vor, laut Experten sind sie größtenteils vorbereitet. Vertreter von Versicherungen und Banken wiesen jedoch darauf hin, dass auf europäischer Ebene noch nicht alle Bereiche der Regulierung geklärt sind. Erst nach deren Abschluss können die einzelnen Finanzinstitute alle Vorschriften umsetzen. Die Kosten zur Erfüllung der neuen Vorschriften beziffern die Banken auf Millionen Kronen pro Institution.

„Die Verordnung ist in vier grundlegende Anforderungen strukturiert, die alle betroffenen Subjekte erfüllen müssen. Es geht um das Management von IKT-Risiken, die Prüfung der operationellen Resilienz, die Meldung von Vorfällen und das Management von Risiken Dritter“, sagte Tomáš Kubíček, Partner der Beratungsfirma BDO, gegenüber ČTK. Dies sei ein kontinuierlicher Prozess, der Wachsamkeit, Anpassung und ständige Verbesserung erfordere. Die Nichterfüllung der Anforderungen könnte Sanktionen gemäß den gesetzlichen Bestimmungen, Reputationsschäden und operationelle Verwundbarkeit zur Folge haben, die das Geschäft gefährden, fügte er hinzu. (17. Januar)