Raus aus dem DORA-Dschungel: Wie ein IT Service Management bei der Umsetzung unterstützt.

Der Finanzsektor ist einer der anfälligsten Branchen für Cyberattacken laut dem Bundeslagebild Cybercrime 2023 des Bundeskriminalamts. Auch der Wirtschaftsschutzreport 2023 von Bitkom identifiziert, dass vor allem Mitarbeiter- und Kundendaten im Fokus von Datendiebstahl stehen. Insgesamt steige die Bedrohungslage, nicht zuletzt, weil komplexe Szenarien wie Phishing oder Ransomware zunehmen.

Um die digitale Betriebsstabilität zu erhöhen und IT-Risiken zu minimieren, hat die EU den Digital Operational Resilience Act (DORA) eingeführt. Die Verordnung trat zum 17. Januar 2023 in Kraft und wird ab dem 17. Januar 2025 angewendet. Sie bringt strenge Sorgfalts- und Berichtspflichten mit sich, wie revisionssichere Dokumentation, rechtskonforme Verträge und Auskunftsfähigkeit zu jeder Zeit. Was müssen IT-Führungskräfte von Organisationen im Finanzsektor jetzt beachten? Wie kann ein IT-Service-Management-System (ITSM) dabei unterstützen, diese EU-Vorgaben effizient und schnell umzusetzen?

Wie gut ist der Finanzsektor auf die DORA-Verordnung vorbereitet? Während große Banken und Versicherungen sich gut vorbereitet zeigen, finden sich kleinere Finanzinstitute und Drittanbieter in einem DORA-Dschungel wieder. Große Institutionen haben bereits umfassende Maßnahmen zur Steigerung ihrer IT-Resilienz implementiert und sind somit in der Lage, den neuen Vorschriften relativ problemlos nachzukommen. Anders gestaltet sich die Situation bei kleineren Firmen des Finanzsektors. Diese hatten bisher weniger Berührungspunkte mit derartigen Regularien und sehen sich nun vor erhebliche Herausforderungen gestellt. Die Umsetzung der DORA-Verordnung ist für sie mit einem hohen administrativen Aufwand verbunden. Besonders die Durchführung von Resilienztests stellt für viele IT-Abteilungen Neuland dar und erfordert erhebliche Anstrengungen in Bezug auf Planung und Durchführung.

Eine große Aufgabe für IT-Führungskräfte. Die DORA-Verordnung stellt IT-Führungskräfte vor eine der bislang größten Aufgaben ihrer Karriere. Neben Ressourcenplanung, Weiterbildung von Fachpersonal und dem Koordinationsaufwand kommen neue operative Aufgaben hinzu. Die DORA-Verordnung verlangt eine detaillierte Analyse und Überwachung der gesamten Lieferkette, um sicherzustellen, dass alle beteiligten Dienstleister die notwendigen Sicherheitsstandards erfüllen. Viele Unternehmen haben komplexe und verzweigte Netzwerke von Drittanbietern, in welche Verantwortliche detaillierte Einblicke in alle Ebenen der Lieferkette gewinnen müssen. Dieser Aspekt erfordert nicht nur technische Expertise, sondern auch eine enge Zusammenarbeit mit den Lieferanten und eine gründliche Überprüfung ihrer Prozesse und Sicherheitsmaßnahmen. Die Ermittlung der Supply Chain von IT-Dienstleistern ist somit eine der größten aktuellen Herausforderungen für den Finanzsektor.

Schließlich muss das IT-Management auch darauf vorbereitet sein, jederzeit auskunftsfähig zu sein, insbesondere im Falle von Anfragen oder Vor-Ort-Überprüfungen durch Aufsichtsbehörden wie die BaFin. Nach der harten Deadline vom 17. Januar 2025 wird die BaFin beginnen, die Informationsregister der Finanzinstitute einzusammeln. Im Laufe des Jahres 2025 werden die Aufsichtsbehörden mit den DORA-Überprüfungen beginnen, um sicherzustellen, dass alle Unternehmen die neuen Regularien einhalten und ihre IT-Sicherheitsstandards entsprechend angepasst haben. Dies erfordert von den IT-Führungskräften nicht nur eine gründliche Dokumentation aller Maßnahmen und Prozesse, sondern auch die Fähigkeit, schnell und präzise auf behördliche Anforderungen zu reagieren.

Mit einem ITSM-basierten Ansatz lassen sich alle Aspekte von DORA abbilden. DORA wurde mit dem zentralen Aspekt entwickelt, dass Cyber Security eine wichtige Grundlage ist, aber darüber hinaus die Cyber Resilience sichergestellt werden muss, sodass IT-Strukturen auch bei teilweise erfolgreichen Angriffen widerstandsfähig bleiben und sich »wehren« können. Diese Fähigkeit erfordert vor allem aktuelle operative Informationen und darauf aufbauende operative Funktionalitäten wie zum Beispiel die Generierung von Wiederherstellungsplänen. Deswegen kann ein IT-Service-Management-System auch ein hervorragendes »Überlebensequipment« im Dschungel der DORA-Umsetzung sein.

Die BaFin greift unter DORA sechs wesentliche Themenbereiche auf. Bei vier der sechs Handlungsfelder kann das GRC-Modul eines IT-Service-Management-Systems die IT-Abteilung umfassend unterstützen. Dazu zählt ein integriertes Risikomanagement, ein Incident Management, Schwachstellenmanagement beziehungsweise Audit- und Pentestplanung sowie das Continuity Management und die Möglichkeit, direkt ein Informationsregister herstellen zu können.

Wie ein leistungsstarkes IT-Service-Management-System DORA einfach macht. Das ideale IT-Service-Management-System ist auf den operativen Einsatz ausgerichtet und stellt den IT-Service mit Prozessen wie Incident, Problem und Change in den Mittelpunkt. Damit liefert es die passende Grundlage für das Hinzufügen weiterer Datenebenen, zum Beispiel von GRC-Aspekten (Governance, Risk und Compliance). Diese sind dann direkt mit den Service-Beschreibungen verbunden und nicht in einem separaten Werkzeug oder innerhalb desselben Werkzeugs in eigenen Datenstrukturen ausgelagert. So kann der berühmte Medienbruch vermieden werden und es wird sichergestellt, dass GRC-Informationen für die wirklich im Einsatz befindlichen Strukturen erfasst und gepflegt werden.

Diese Grundidee erlaubt darüber hinaus noch weitere Vorteile. So können vielfach GRC-Informationen wie das Informationsregister oder Wiederherstellungspläne interaktiv generiert und genutzt werden. Des Weiteren können dann entsprechende Konsistenzprüfungen sehr effektiv umgesetzt werden, die sicherstellen, dass Risikobetrachtungen vollständig sind oder ein Wiederherstellungsplan keine inhaltlichen Fehler aufweist. Dieses Kriterium, die enge Bindung von GRC-Informationen an die Service Records des IT-Service-Management-Systems, sollte für IT-Führungskräfte von entscheidender Bedeutung sein.

Gibt es eine Lichtung im DORA-Dschungel? Neben vielen Herausforderungen kann DORA auch ein wichtiger Hebel für den Finanzsektor darstellen. Die Verordnung verpflichtet Finanzinstitute einerseits, das Risiko durch Drittparteien über das Informationsregister der BaFin zu melden. Ein wesentlicher Vorteil der DORA-Verordnung liegt damit in der vollständigen Rückverfolgbarkeit der Lieferketten. Durch die detaillierte Erfassung und Überwachung der IT-Dienstleister können häufig genutzte Anbieter identifiziert werden. Dies ermöglicht es, potenzielle systemische Risiken frühzeitig zu erkennen und zu adressieren. Sollte ein solcher Anbieter ausfallen, könnten die Auswirkungen auf den gesamten Finanzsektor erheblich sein. DORA hilft dabei, solche Risiken zu verhindern und die Stabilität der Finanzinfrastruktur zu sichern.

Ein weiterer entscheidender Vorteil von DORA ist die Stärkung des Finanzplatzes Europa. Durch die Einführung homogener Sicherheitsstandards im Bereich der Informationssicherheit wird ein Wettbewerbsvorteil gegenüber anderen Regionen geschaffen. Einheitliche und hohe Sicherheitsstandards erhöhen das Vertrauen in europäische Finanzinstitute und machen den europäischen Finanzmarkt attraktiver für Investitionen.

DORA schlägt die Brücke zwischen IT und Business. DORA ist kein reines IT- oder Sicherheitsprojekt, sondern ein cross-dimensionales Unterfangen, dass sowohl IT als auch Geschäftsprozesse integriert. Für IT-Führungskräfte wird die Einbindung aller Akteure von entscheidender Bedeutung sein, um die vollen Vorteile der Verordnung zu realisieren. Trotz der vielen Herausforderungen schaffen Unternehmen mit der DORA-Umsetzung eine Governance-Struktur, die nicht nur den Anforderungen von DORA genügt, sondern auch die Agilität und Innovation fördert. USU liefert mit dem integrierten GRC-Modul in die USU IT Service Management Suite genau die notwenigen Funktionen, damit Unternehmen DORA aktiv gestalten können [1]. So lässt sich DORA einfach und effektiv umsetzen, sodass positive Effekte schnell sichtbar werden.

DORA bietet auch eine große Chance: Die Verordnung bringt viel mehr Transparenz und Klarheit, und kann die Finanzbranche in die Position versetzen, ein internationaler Vorreiter für Cyber Security und Resilience zu werden. Die ehemalige IT-Chefin eines großen Bankinstituts sagte 2018: »most dysfunctional company I ever worked for« – ein Zustand, den DORA helfen kann, zukünftig zu vermeiden.

Frauke Hübner-Kirsch, ITSM Product Expert,
USU Software AG

Dr. Tobias Hüttner, Geschäftsführer,
Cloud Incubator GmbH, www.cloudincubator.eu

[1] https://www.usu.com/de-de/it-service-management/governance-risk-compliance-grc/

Illustration: Aleksey Derin, Domen Colja S.p. | Dreamstime.com

1742 Artikel zu „IT-Sicherheit Finanz“

News | Business Process Management | IT-Security | Services

IAM im Finanzwesen: Den Spagat zwischen Usability und IT-Sicherheit bewältigen

24. Oktober 2020

Das Finanzwesen ist im Umbruch. Schon längst werden Transaktionen nicht mehr am Schalter in den Filialen getätigt, sondern sowohl Kunden als auch Berater wollen von überall und jederzeit Zugriff auf Informationen und Anwendungen haben. Damit die Benutzer-Administration trotzdem höchste Sicherheitsansprüche erfüllt, brauchen Banken moderne IAM-Lösungen, die auch regulatorische Anforderungen flexibel umsetzen können. Vom Smartphone…

Frauke Hübner-Kirsch, ITSM Product Expert, USU Software AG

Dr. Tobias Hüttner, Geschäftsführer, Cloud Incubator GmbH, www.cloudincubator.eu

[1] https://www.usu.com/de-de/it-service-management/governance-risk-compliance-grc/

1742 Artikel zu „IT-Sicherheit Finanz“

Frauke Hübner-Kirsch, ITSM Product Expert,
USU Software AG

Dr. Tobias Hüttner, Geschäftsführer,
Cloud Incubator GmbH, www.cloudincubator.eu