Die verborgenen DORA-Herausforderungen, denen Unternehmen nach wie vor gegenüberstehen

Die Gesetz zur digitalen Betriebsresilienz (DORA) Die Frist ist abgelaufen, und die Finanzinstitute sollten nun alle Anforderungen vollständig erfüllen. In der Praxis sehen sich viele Unternehmen jedoch bei der Umsetzung ihrer Rahmenkonzepte nach wie vor mit unerwarteten Hindernissen konfrontiert.

Von Compliance-Lücken bei Drittanbietern bis hin zu Unstimmigkeiten bei Audits – Unternehmen stellen fest, dass die formale Einhaltung der DORA-Vorgaben nicht immer zu einer reibungslosen Umsetzung führt. Werfen wir einen Blick auf die praktischen Herausforderungen, mit denen Unternehmen zu kämpfen haben – und warum die operative Widerstandsfähigkeit nach wie vor ein schwer zu fassendes Ziel ist.

1. Einhaltung der Vorschriften durch Dritte: nach wie vor ein Schwachpunkt

Trotz aller Bemühungen haben viele Finanzinstitute nach wie vor Schwierigkeiten, die Einhaltung der Vorschriften bei ihren Drittanbietern durchzusetzen.

Warum das immer noch ein Problem ist:

• Es gibt keine glasklaren Richtlinien dazu, wie die Anforderungen lauten; es geht vielmehr um die Auslegung des rechtlichen Rahmens.
• Eine Überprüfung aller betrieblichen Prozesse und Technologien von Drittanbietern ist nach wie vor unrealistisch.
• Die Kosten für die Einhaltung von Vorschriften und die Ressourcenzuweisung sind weiterhin ein Knackpunkt, wobei sich einige Anbieter nach wie vor gegen bestimmte Anforderungen wehren.

“Zwar regelt DORA das IKT-Management, doch ist es für Unternehmen praktisch unmöglich, alle betrieblichen Prozesse und Technologien ihrer Drittanbieter zu überprüfen.” – Tautvydas Jašinskas, Chief Information Security Officer (CISO) bei ConnectPay.

Unternehmen müssen nun von der Compliance-Planung zur aktiven Durchsetzung übergehen und sicherstellen, dass Risiken durch Dritte kontinuierlich überwacht und angegangen werden.

2. TLPT: Störungen und Verspätungen

Das „Threat-Led Penetration Testing“ (TLPT) war eine der mit größter Spannung erwarteten Herausforderungen und erweist sich nun in der Praxis als echter Wegbereiter.

Warum haben Unternehmen damit Schwierigkeiten? Vor allem deshalb, weil der Testprozess zu Betriebsunterbrechungen führt, insbesondere bei Unternehmen, die noch keine Erfahrung mit Red-Team-Tests haben.

“Wenn Unternehmen bisher keine Penetrationstests, Red-Team-Übungen oder TLPT-Tests durchgeführt haben, kann es zu Betriebsunterbrechungen oder Ausfallzeiten kommen.” – Tautvydas Jašinskas, CISO bei ConnectPay.

3. Unklarheiten bei der Prüfung: kein einheitliches Vorgehen

Da die Prüfungen nun im Gange sind, stellen die Unternehmen Unstimmigkeiten bei der Bewertung der DORA-Konformität fest.

Was ist der Grund für die Verwirrung?

• Verschiedene Dienstleister wenden selbst entwickelte Prüfungsmethoden an, was zu unterschiedlichen Auslegungen der Compliance führt.
• Risikobewertungen und Leistungskennzahlen (KPIs) unterscheiden sich je nach Sicherheitsreife stark von Unternehmen zu Unternehmen.
• Da es keinen einheitlichen Ansatz gibt, investieren manche Unternehmen in unnötige Maßnahmen, während andere möglicherweise entscheidende Lücken übersehen.

Ohne klare regulatorische Vorgaben müssen Unternehmen mit Wirtschaftsprüfern, Branchenkollegen und Aufsichtsbehörden zusammenarbeiten, um bewährte Verfahren zu etablieren. Im Grunde genommen fragen die Prüfer, was geprüft werden soll; daher liegt es an den Unternehmen zu entscheiden, ob sie hervorragende Ergebnisse erzielen wollen, indem sie Bereiche prüfen, die bereits gut funktionieren, oder ob sie die schwächeren Bereiche unter die Lupe nehmen und Verbesserungsmöglichkeiten aufzeigen wollen.

4. Aufsicht: Mehr als nur Geldbußen?

Nun, da die Durchsetzung begonnen hat, erkennen die Unternehmen, dass das auf Strafen ausgerichtete Modell von DORA ihnen nicht unbedingt dabei hilft, operative Herausforderungen zu meistern.

Was muss sich ändern?

• Die Strafen, die nicht nur für Unternehmen, sondern auch für Privatpersonen verhängt werden können, die für die Einhaltung der DORA-Vorschriften verantwortlich sind, können sich auf Millionen Euro belaufen, unabhängig davon, ob es sich um vorsätzliche oder unbeabsichtigte Handlungen handelt.
• Viele Unternehmen sind der Ansicht, dass automatisierte Instrumente zur Überwachung der Einhaltung von Vorschriften wirksamer wären als der alleinige Rückgriff auf Sanktionen.
• Ohne proaktive Unterstützung laufen Unternehmen Gefahr, für Fehlinterpretationen bestraft zu werden, anstatt zu bewährten Vorgehensweisen angeleitet zu werden.

Um Fortschritte zu erzielen, sollten Unternehmen auf eine stärkere Einbindung der Aufsichtsbehörden drängen, um sicherzustellen, dass die Einhaltung der Vorschriften ein fortlaufender Prozess bleibt und nicht nur eine einmalige Anforderung ist.

“Meiner Ansicht nach entsteht echte Sicherheit nicht durch die Verhängung von Geldbußen, sondern durch Investitionen in die Widerstandsfähigkeit. Wenn wir das Ökosystem wirklich stärken wollen, sollten Sanktionen darauf abzielen, Sicherheitslücken zu schließen, und nicht nur dazu dienen, Verstöße zu ahnden. Derzeit verschlingen Audits erhebliche Ressourcen, die sonst für sinnvolle Sicherheitsverbesserungen genutzt werden könnten. Ein klügerer Ansatz wäre es, die Durchsetzung mit einer nachhaltigen Risikominderung in Einklang zu bringen und so sicherzustellen, dass Unternehmen dauerhafte Abwehrmaßnahmen aufbauen, anstatt lediglich für ihre Schwachstellen zu bezahlen.” – Tautvydas Jašinskas, CISO bei ConnectPay.

Wie geht es weiter?

Bei der Einhaltung der DORA-Vorschriften ging es nicht nur darum, eine Frist einzuhalten – es geht vielmehr darum, langfristige Widerstandsfähigkeit aufzubauen. Sobald Unternehmen die erste Implementierungsphase hinter sich haben, besteht die eigentliche Herausforderung darin, die Compliance aufrechtzuerhalten und sich gleichzeitig an sich wandelnde Risiken anzupassen.

• Die Einhaltung der Vorschriften durch Dritte muss aktiv durchgesetzt und nicht nur dokumentiert werden.
• Da es keinen standardisierten Ansatz gibt, sollten Unternehmen zusammenarbeiten, um bewährte Verfahren für die Wirtschaftsprüfung zu etablieren.
• Rechtsabteilungen und Aufsichtsbehörden müssen eine proaktivere Rolle dabei übernehmen, Unternehmen bei der kontinuierlichen Einhaltung von Vorschriften zu unterstützen, indem sie klare Richtlinien vorgeben und weniger Interpretationsspielraum lassen.

Dennoch endet die DORA-Reise nicht mit Ablauf der Frist – sie ist vielmehr erst der Anfang einer neuen Ära der operativen Widerstandsfähigkeit.