DORA für Fintechs: IKT-Risiko und Drittparteienrisiko

Was es ist

DORA ist eine Verordnung und gilt daher unmittelbar in allen Mitgliedstaaten, ergänzt durch technische Standards. Sie beruht auf fünf Säulen. Das IKT-Risikomanagement verlangt einen dokumentierten Rahmen für Identifizierung, Schutz, Erkennung, Reaktion und Wiederherstellung, Lernen sowie Kommunikation, wobei das Leitungsorgan die letztendliche Verantwortung trägt. Das Management IKT-bezogener Vorfälle verlangt eine Klassifizierung von Vorfällen und die Meldung schwerwiegender Vorfälle an die zuständige Behörde innerhalb festgelegter Fristen. Das Testen der digitalen operationalen Resilienz verlangt ein dem Unternehmen angemessenes Testprogramm; bestimmte von den Behörden benannte Unternehmen müssen sich zudem nach besonderen Regeln bedrohungsorientierten Penetrationstests unterziehen. Das Management des IKT-Drittparteienrisikos verlangt ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen, eine Risikobewertung vor Vertragsabschluss, bestimmte Vertragsbestimmungen und Ausstiegsstrategien. Der Austausch von Informationen über Bedrohungen innerhalb vertrauenswürdiger Gemeinschaften wird gefördert. Durchgängig gilt der Grundsatz der Verhältnismäßigkeit, und eine festgelegte Liste kleinerer Unternehmen, etwa kleine und nicht verflochtene Wertpapierfirmen sowie bestimmte ausgenommene Zahlungs- und E-Geld-Institute, kann den vereinfachten IKT-Risikomanagementrahmen nach Artikel 16 anwenden.

Für wen es gedacht ist

Dieser Leitfaden richtet sich an:

• Zahlungs-, E-Geld-, Kryptowerte-, Wertpapier- und andere lizenzierte Fintechs, die unter die in DORA aufgeführten Finanzunternehmen fallen
• Verantwortliche für Compliance, Risiko und Technologie, die ein DORA-Programm aufbauen oder überprüfen
• IKT-Anbieter und Softwarehersteller, die Finanzunternehmen beliefern und DORA-Vertragsanforderungen erhalten
• Gründer, die Investoren oder Aufsichtsgremien die Erwartungen von DORA erklären müssen

Was es zu klären hilft

Die Betrachtung der Säulen hilft zu klären:

• welche kritischen oder wichtigen Funktionen Ihr Unternehmen unterstützt und von welchen IKT-Systemen sie abhängen
• ob Ihr Drittparteienregister und Ihre Verträge das enthalten, was DORA erwartet
• was Ihr Resilienz-Testprogramm angesichts Ihrer Größe und Ihres Risikoprofils umfassen sollte
• wo technische Belege fehlen, um Governance-Dokumente zu untermauern

Was ist enthalten

• Governance: Billigung und Überwachung des IKT-Risikorahmens durch das Leitungsorgan bestätigen und Rollen dokumentieren
• Zuordnung von Assets und Funktionen: kritische oder wichtige Funktionen sowie die dahinterliegenden Systeme, Daten und Anbieter identifizieren
• Schutz und Erkennung: Zugriffskontrolle, MFA, Protokollierung und Überwachung für diese Systeme prüfen
• Management von Vorfällen: Klassifizierungskriterien, Entscheidungsträger und Meldeablauf für schwerwiegende Vorfälle festlegen
• Kontinuität: Backup, Wiederherstellung und Wiederherstellungsziele für kritische Funktionen testen
• Testprogramm: Schwachstellenbewertungen, Szenariotests und Penetrationstests risikoangemessen planen
• Drittparteienregister: alle IKT-Vereinbarungen mit Funktion, Daten, Standort und Angaben zur Unterauftragsvergabe auflisten
• Verträge: auf vorgeschriebene Bestimmungen prüfen, etwa Leistungsbeschreibungen, Datenstandort, Prüfungs- und Zugangsrechte, Unterstützung bei Vorfällen und Ausstiegsbedingungen
• Ausstiegsstrategien: dokumentieren, wie Sie sich von einem kritischen Anbieter lösen würden
• Konzentrationsrisiko: festhalten, wo mehrere kritische Funktionen von einem Anbieter abhängen

Was nicht enthalten ist

• Rechtsberatung oder aufsichtsrechtliche Auslegung für Ihre konkrete Lizenz
• Bedrohungsorientierte Penetrationstests nach einem von der Aufsicht vorgegebenen Rahmen
• Einreichung von Vorfallmeldungen oder Registern bei Behörden
• Zertifizierung oder Compliance-Freigabe

Wann man es wählt

Nutzen Sie diesen Leitfaden, wenn Sie Ihr DORA-Programm vorbereiten oder überprüfen, bevor Sie Verträge mit wichtigen IKT-Anbietern verlängern und bevor Ihr jährlicher Testplan feststeht. Hat Ihre zuständige Behörde spezifische Leitlinien oder Anforderungen herausgegeben, folgen Sie zuerst diesen. Anbieter, die Finanzunternehmen beliefern, sollten den Abschnitt zu Drittparteien nutzen, um Vertrags- und Prüfungsanfragen vorwegzunehmen. Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung.

Unser Ansatz

Die meisten Fintechs stellen fest, dass Dokumentation vorhanden ist, technische Belege aber dünn sind. Beginnen Sie damit, kritische Funktionen Systemen und Anbietern zuzuordnen; diese eine Übung bestimmt Register, Testumfang und Kontinuitätsplanung. Sammeln Sie dann Belege dafür, wie wichtige Kontrollen tatsächlich funktionieren. Unser Security Baseline Review kann eine schriftliche, nach Schweregrad gestufte Einschätzung vereinbarter Assets liefern, die zeigt, wo Konfiguration und Zugriffskontrollen stehen. Für Tests von Anwendungen und APIs innerhalb des Resilienz-Testprogramms arbeitet unser Service Penetration Testing auf Grundlage eines schriftlichen Scopes und einer Autorisierung und liefert nach Schweregrad gestufte Befunde, mit Nachtest vereinbarter Befunde, sofern vereinbart. Beide ergänzen von der Aufsicht vorgegebene bedrohungsorientierte Tests, Rechtsberatung und eine Compliance-Freigabe, die eigenen Verfahren folgen. Versehen Sie jeden Beleg mit einem Datum und verknüpfen Sie ihn mit der Funktion, die er stützt, damit Überprüfungen durch die Geschäftsleitung und Fragen der Aufsicht anhand von Aufzeichnungen statt aus dem Gedächtnis beantwortet werden können.

Security Baseline Review

Häufig gestellte Fragen

Verwandte Artikel