01.03.2024 EU-Gesetz DORA

Worauf (Finanz-)Unternehmen achten sollten

Von: Hendrik Fundermann

Bereits im Januar dieses Jahres ist der Digital Operational Resilience Act (DORA), eine Verordnung der europäischen Union, in Kraft getreten. Umzusetzen ist das EU-Gesetz bis zum 17. Januar 2025.

DORA ist eine Maßnahme, die zu mehr Sicherheit und Resilienz der Systeme führen soll.

Obwohl es sich vorrangig an den Finanzsektor richtet, können auch andere Unternehmen wie beispielsweise IT-Dienstleister davon betroffen sein. Firmen, die in diese Kategorie fallen oder selbst im Finanzsektor tätig sind, sollten sich also frühzeitig mit der Verordnung befassen. Die D.velop AG gibt vier Tipps, wie sie dabei am besten beginnen.

Betroffenheit prüfen: Zunächst zielt die DORA-Verordnung auf das europäische Finanzsystem ab. In Deutschland sind davon in erster Linie alle BaFin-regulierten Unternehmen betroffen. Dies umfasst Banken und Versicherungsgesellschaften. Dazu kommen Wertpapierfirmen wie beispielsweise Broker. Außerdem sind Zahlungsdienstleister betroffen, darunter fallen auch E-Geld-Institute und nicht zuletzt weitere Finanzdienstleister. Darüber hinaus erstreckt sich DORA aber auch auf Unternehmen der Informations- und Kommunikationstechnik (IKT), falls diese für regulierte Unternehmen als Dienstleister tätig sind und als kritisch eingestufte Infrastrukturen bereitstellen.

Rechtzeitig handeln: Zwar haben Unternehmen noch bis 2025 Zeit, um DORA umzusetzen. Allerdings sollten sie sich nicht darauf ausruhen. Die Komplexität hinter der Compliance-gerechten Umsetzung sollte man nicht unterschätzen.

Mehrarbeit einkalkulieren: Neben dem Zeitbedarf sollte man auch den personellen Aufwand der Prüfungen und Anpassungen nicht unterschätzen und entsprechend frühzeitig planen. Den Aufwand, der hier geleistet werden muss, sollten Finanzunternehmen allerdings nicht nur als notwendiges Übel, sondern auch als Chance sehen, ein ganzheitliches Verständnis der technischen Infrastruktur eines Instituts zu erlangen.

Dies ist ein Artikel aus unserer Print-Ausgabe 12/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Partner einbeziehen: Banken und andere Finanzdienstleister sollten bedenken, dass auch ihre IT-Partner und (Sub-)Dienstleister von der Verordnung betroffen sein können. Das heißt, Verantwortliche sollten hier frühzeitig auf die Anbieter zugehen und gegebenenfalls gemeinsame Strategien abstimmen.

Bildquelle: Getty Images / iStock / Getty Images Plus