Sechs Monate nach Inkrafttreten des Digital Operational Resilience Act (DORA) stellten Finanzinstitute fest, dass der Aufbau von Resilienz nicht nur darum geht, regulatorische K\u00e4stchen abzuhaken \u2013 es geht darum, organisatorische Transformation voranzutreiben. Die Verordnung gestaltet neu, wie Firmen IKT-Risiken managen, das operative Risikomanagement st\u00e4rken, auf Vorf\u00e4lle reagieren und Drittanbieter beaufsichtigen, und macht Resilienz zu einer strategischen Priorit\u00e4t statt zu einer Compliance-\u00dcbung.<\/p>\n
F\u00fcr CISOs, Risikoverantwortliche und Governance-Fachleute markiert dieser Moment einen Wendepunkt. Governance ist keine Hintergrundfunktion mehr \u2013 sie ist das R\u00fcckgrat der digitalen Resilienz. F\u00fcr viele h\u00e4ngt die Erf\u00fcllung der regulatorischen Compliance im Bankwesen nun davon ab, wie sich Governance-Strukturen anpassen. Dieser Blog beleuchtet, warum Governance unter DORA in den Mittelpunkt ger\u00fcckt ist und wie Institute ihre Strategien anpassen k\u00f6nnen, um nicht nur konform zu sein, sondern in der neuen, resilienzgetriebenen \u00c4ra zu florieren.<\/p>\n
Governance ist unter DORA rasch zum Eckpfeiler der digitalen Resilienz geworden. Die Verordnung verlangt von Finanzinstituten, eine robuste Aufsicht \u00fcber f\u00fcnf zentrale S\u00e4ulen zu etablieren \u2013 IKT-Risikomanagement, Anforderungen an die Meldung von Vorf\u00e4llen, Frameworks f\u00fcr Resilienztests wie das bedrohungsgeleitete Penetrationstesting (TLPT), Drittparteienrisiko und den Austausch von Threat Intelligence \u2013 und r\u00fcckt damit Governance ins Zentrum von Compliance und operativer Resilienz (EIOPA<\/a>).<\/p>\n Zugleich ist die Last der Umsetzung erheblich: Studien zeigen, dass fast die H\u00e4lfte der Finanzinstitute \u00fcber 1 Mio. \u20ac in Compliance-Bem\u00fchungen investiert, w\u00e4hrend 79 % der Mitarbeitenden ein h\u00f6heres Stressniveau im Zusammenhang mit diesen Cyber-Resilienz-Vorgaben berichten (TechRadar<\/a>). Zusammen unterstreichen diese Belastungen, warum sich Governance-Strukturen weiterentwickeln m\u00fcssen \u2013 nicht nur, um regulatorische Fristen einzuhalten, sondern um Effizienz, Moral und langfristige Resilienz aufrechtzuerhalten.<\/p>\n DORA positioniert Governance als das R\u00fcckgrat der digitalen Resilienz und verlangt von Instituten, die Aufsicht \u00fcber diese f\u00fcnf Bereiche zu st\u00e4rken:<\/p>\n Governance stellt sicher, dass IKT-Risiko-Frameworks vom Vorstand genehmigt, regelm\u00e4\u00dfig aktualisiert und kontinuierlich \u00fcberwacht werden (digital-operational-resilience-act.com<\/a>, ESMA<\/a>).<\/p>\n Klare Protokolle, Rollen und Klassifizierungsstrukturen sind unerl\u00e4sslich, um die strengen Anforderungen von DORA an die Meldung von Vorf\u00e4llen zu erf\u00fcllen (EIOPA<\/a>).<\/p>\n Governance garantiert, dass Testsimulationen durchgef\u00fchrt, dokumentiert, \u00fcberpr\u00fcft und von Korrekturma\u00dfnahmen begleitet werden (EIOPA<\/a>).<\/p>\n Die Aufsicht umfasst Due Diligence der Anbieter, vertragliche Schutzma\u00dfnahmen und laufende \u00dcberwachung, um die Exposition durch externe Anbieter zu verringern (Skadden<\/a>).<\/p>\nWie sich DORA-Governance in Finanzinstituten umsetzen l\u00e4sst<\/h1>\n
Aufsicht \u00fcber IKT-Risiken<\/h2>\n
Verantwortlichkeit f\u00fcr die Meldung von Vorf\u00e4llen<\/h2>\n
Tests der operativen Resilienz (TLPT)<\/h2>\n
Aufsicht \u00fcber Drittanbieter f\u00fcr die DORA-Compliance<\/h2>\n
Informationsaustausch und regulatorische Koordination<\/h2>\n