Dr. Dr. Fabian Teichmann, LL.M. (London), EMBA (Oxford), RA

Digital Operational Resilience Act (DORA) – EU-weit einheitliche IT-Sicherheitsregeln für Finanzinstitute

DORA (VO (EU) 2022/2554) etabliert einen unionsweit einheitlichen, sektorspezifischen Rahmen für die digitale operationale Resilienz von Finanzunternehmen. Der Beitrag ordnet DORA im Finanzaufsichtsrecht ein (lex specialis zu NIS2) und arbeitet die Kernpflichten zu Informations- und Kommunikationstechnologie (IKT)-Risikomanagement, Incident-Meldungen, Resilienz-Tests (einschließlich Threat-Led Penetration Testing (TLPT)) sowie IKT-Drittparteirisiken einschließlich Aufsicht über kritische IT-Dienstleister heraus. Im Fokus stehen die Umsetzungen in Deutschland und die praktischen Auswirkungen für Institute.

I. Einleitung

Die fortschreitende Digitalisierung des Finanzsektors hat dazu geführt, dass Banken, Wertpapierfirmen und Versicherer aktuell in hohem Maße von IKT abhängig sind. Gleichzeitig steigt die Bedrohung durch Cyberangriffe und IT-Störungen, die nicht nur einzelne Institute, sondern potenziell auch die Finanzstabilität insgesamt gefährden können. Regulierung und Aufsicht haben daher in den letzten Jahren verstärkt den Fokus auf operationale Resilienz gerichtet – also die Fähigkeit von Finanzinstituten, kritische Geschäftsprozesse auch unter widrigen IT-Bedingungen aufrechtzuerhalten.