Stichtag 17.01.2025

DORA: Herausforderungen, rechtliche Absicherung, Umsetzung

Man hört und liest es immer wieder: Einbrüche in Firmennetze, Raub von Daten, Offenlegung interner Kommunikation. Das Klima im IT-Sektor wird immer rauer. Wirtschaftlich und politisch unsichere Zeiten verlangen nach mehr Cybersicherheit und IT-Resilienz – auch und gerade in der Finanzindustrie als eine der wichtigen Säulen unserer westlichen Ökonomie.

Ab dem 17. Januar 2025 sind in der Europäischen Union die Bestimmungen des Digital Operational Resilience Act (DORA) anzuwenden. Nach einer Vorlaufzeit von 24 Monaten tritt dann in Kraft, womit die EU die digitale operative Widerstandsfähigkeit im Finanzsektor dauerhaft fördern und sicherstellen will.

Konkret geht es darum, dass Finanzunternehmen und ihre Dienstleister in der Lage sind, Cyberbedrohungen und Systemausfällen standzuhalten und ihre Geschäftsabläufe auch unter extremen Bedingungen fortzuführen. Gleichzeitig wird mit DORA eine Harmonisierung nationaler Standards in der EU erreicht, was angesichts länderübergreifender Datenströme längst überfällig erscheint.

Wer ist betroffen?

DORA betrifft Finanzunternehmen wie bspw. Banken, Versicherungen, Einrichtungen der betrieblichen Altersvorsorge, Bausparkassen, Wertpapierfirmen, Kreditinstitute, Zahlungsdienstleister, sowie IKT-Dienstleister, die wesentliche Dienstleistungen für diese Unternehmen bereitstellen.

Das komplexe Regelwerk deckt explizit alle Kernbereiche von IKT-Sicherheit ab und zwingt betroffene Unternehmen zu handeln. Dies gilt insbesondere im Hinblick auf das IKT-Risikomanagement, den Umgang mit IKT-bezogenen Vorfällen, das Testen der digitalen operationalen Resilienz, das Management des IKT-Drittparteienrisikos und den Austausch relevanter Informationen.

Darum geht es bei DORA

• Einführung robuster Risikomanagementverfahren für IT-Systeme und Daten
• Etablierung von Prozessen für die Meldung und Bearbeitung von IT-Vorfällen
• Implementierung von Maßnahmen zur Prävention und Abwehr von Cyberangriffen
• Durchführung von regelmäßigen Penetrationstests und Simulationen, um die Widerstandsfähigkeit zu prüfen

Management der Risiken, die durch externe Dienstleister entstehen, insbesondere bei kritischen Dienstleistungen.

Abhängig davon, wie betroffene Unternehmen bislang aufgestellt waren, kann dies erhebliche Investitionen in IT-Infrastruktur, Sicherheitslösungen und Schulungen für Mitarbeitende erforderlich machen.

Grundlegende vs. kritische Dienstleistungen

IKT-Dienstleister wie Fact, die wesentliche Dienste für Finanzunternehmen bereitstellen, stehen vor der Herausforderung, ihre Dienstleistungen den neuen Vorgaben anzupassen. DORA trennt dabei zwischen grundlegenden und kritischen IKT-Dienstleistungen, wobei letztere noch einmal höheren Anforderungen unterliegen.

Die jeweilige Einstufung ihrer Dienstleister müssen Finanzunternehmen selbständig vornehmen. Als Maßstab gelten die Bedeutung und die Integration der erbrachten Fremdleistungen für das eigene operative Geschäft.

Rechtzeitig auf DORA eingestellt

Als Dienstleister für zahlreiche große und mittlere Finanzunternehmen beschäftigt sich Fact seit der gesetzgeberischen Verabschiedung von DORA im Europäischen Parlament 2023 intensiv mit dem Thema. Für uns bedeutet DORA u. a., dass wir unsere Sub-Dienstleister, etwa unseren Cloud-Provider Microsoft, fortlaufend überwachen. Zusätzlich dazu müssen wir beispielsweise:

• Passende Versicherungen abschließen
• Interne und externe Prüfungen durchführen

Außerdem stellt DORA erhöhte Anforderungen an die Dokumentation unserer Dienstleistung und der Dienstleistungsgüte, sowie der Zusammenarbeit mit Aufsichtsbehörden. Das geht insbesondere in Richtung Prüfungsrechte und einer fortlaufenden Überwachung.

Von unseren Kunden werden wir vermehrt nach Zertifizierungen, Notfallplänen und speziellen Maßnahmen zur IKT-Sicherheit gefragt. Aus dem Cloudbereich kommen Themen wie „Wo befinden sich unsere Daten?“, „Wo sind die Rechenzentren?“, „Welche Subdienstleister haben sie gewählt?“ und ähnliches hinzu.

Alle diese Maßnahmen und Dokumentationspflichten haben wir ergriffen, um die Anforderungen von DORA hinsichtlich des Betriebs unserer Produkte und Dienstleistungen zu erfüllen.

Rechtlichte Absicherung

Neben der operationellen Umsetzung steht aber auch die komplexe vertragliche Regelung mit unseren Kunden im Vordergrund. Nur darüber können sich beide Seiten gemäß den DORA-Anforderungen absichern. Im Lauf der vergangenen Monate hat sich folgende Vorgehensweise bewährt:

1. Abstimmung des Vorgehens zwischen dem Finanzunternehmen und Fact
2. Prüfung der aktuellen Vertragslage durch Fact
3. Einstufung von Fact als grundlegender oder kritischer Dienstleister durch das Finanzunternehmen
4. Erstellung eines zu dieser Einstufung passenden Rahmenvertrags-Entwurfs durch Fact
5. Verhandlung des Rahmenvertrags-Entwurfs und der Konditionen
6. Umsetzung der im Vertrag vereinbarten Maßnahmen

Fact setzt in diesem Prozess auf neue bzw. erweiterte Rahmenverträge. Sie decken neben den erweiterten Dienstleistungen ggf., falls nicht bereits in Einzelverträgen geregelt, auch unsere Verfügbarkeitsgarantien und zugehörigen Vertragsstrafen ab.

Unabhängig davon, welche und wie viele Produkte bzw. Dienstleistungen der Fact ein Kunde in Anspruch nimmt, können wir dadurch ein einziges globales und DORA-konformes Regelwerk anbieten – und unseren Kunden dadurch viel Arbeit abnehmen.
Branchenweite Herausforderung

Tatsächlich gibt es in den DORA-Vorschriften Sachverhalte, die für uns als IKT-Dienstleister nur schwer bzw. unmöglich umsetzbar sind. Etwa, weil sie auf eine Fremdbestimmung bei der Auswahl unseres Personals oder unserer Dienstleister hinauslaufen. Wir stellen diese kritischen Punkte in den Verhandlungen mit unseren Kunden deutlich heraus und bieten Lösungen an, die für das Finanzunternehmen und Fact umsetzbar und tragfähig sind.

In diesem Zusammenhang zeigt sich noch einmal deutlich, dass DORA eine branchenweite Herausforderung ist, die Finanzunternehmen und ihre Dienstleister nur gemeinsam bewältigen können. Die Aufgabe ist gewiss nicht klein, doch der Nutzen enorm.

Fazit

Keine Frage, Regulierung bedeutet immer Aufwand, ganz gleich, in welchem Bereich. Und sie kostet Geld. Doch angesichts der Herausforderungen unserer Zeit führt an den geforderten Maßnahmen von DORA kein Weg vorbei. Ab dem 17. Januar 2025 können Unternehmen vom Gesetzgeber in die Pflicht genommen werden. Übergangsfristen sind nicht vorgesehen. Lassen Sie diesen wichtigen Termin nicht untätig verstreichen. Nehmen Sie jetzt Kontakt mit unserem Experten Aleksandar Ivezić auf. Die Zeit dafür ist mehr als reif.

Aleksandar Ivezić
Senior Manager Sales
+49 2131 777 238
a.ivezic@fact.de

Viel mehr als ein Modewort: Was sich hinter Cloud-Computing verbirgt

Cloud-Computing erklärt: Definition, Vorteile und Einsatzmöglichkeiten für Unternehmen

Innovation und Wandel gelten seit jeher als maßgebliche Antreiber der IT-Industrie. Es muss kurz nach der Jahrtausendwende gewesen sein, als ich auf einer Branchenkonferenz zum ersten Mal in großen Lettern die Botschaft las: „Der PC ist tot. Es lebe die Cloud“.

Damals schien mir diese Aussage noch vermessen. In vielen Unternehmen eroberten PC-Server gerade erst das Feld und brachten bis dahin unbekannte Rechen- und Speicherleistung auf Abteilungsebene. Doch 20 Jahre später sind Cloud-Lösungen tatsächlich zum festen Bestandteil moderner IT-Landschaften avanciert. Denn Cloud-Dienste sind gereift: Sie funktionieren, werden extensiv genutzt und bringen Unternehmen und ihren Anwendern unübersehbare Vorteile.

IT-Ressourcen auf Abruf

Cloud-Computing steht heute vor allem als Synonym für die bedarfsabhängige Bereitstellung von IT-Ressourcen über das Internet. Unternehmen können nach Bedarf Rechenleistung, Speicher, Datenbanken und andere IT-Dienstleistungen in entfernten Rechenzentren eines Cloud-Anbieters in Anspruch nehmen, statt selbst physische Server zu erwerben, zu warten und zu unterhalten ‑ mit allem, was dazu gehört.

Das geschieht in der Regel „on demand“: Nur Dienstleistungen, die man tatsächlich abruft, stehen am Ende auf der Rechnung. Benötigt der Kunde eine Ressource nicht mehr, räumt er sie frei. Benötigt er mehr Leistung, wird diese unmittelbar zur Verfügung gestellt.

Der Cloud-Dienstleister garantiert die erforderliche Elastizität ohne nennenswerten zeitlichen Vorlauf. Kosten entstehen nur für verbrauchte Ressourcen. Das entlastet Budgets, schafft mehr Flexibilität und reduziert den Aufwand für die Anschaffung, Wartung und den Betrieb von IT-Infrastrukturen. Deshalb lieben viele IT-Abteilungen Cloud-Lösungen.

Anwendungen werden mobil

Aus Nutzersicht steht Cloud-Computing außerdem für die Loslösung von festen Arbeitsplätzen, vorgeschriebenen Endgeräten, Betriebssystemen und aufwändiger Software-Einrichtung. Cloud-Lösungen setzen auf moderne Internet-Standards, um ihre Angebote überall verfügbar zu machen. Sie funktionieren, wo Internet-Browser und schnelle Internet-Anbindungen zur Verfügung stehen. Mehr braucht es nicht.

Das ist der Grund, warum sich viele Menschen gar nicht mehr vorstellen können, ihre vertrauten Internet-Dienste und bevorzugten Anwendungen nur an einem bestimmten Ort oder mit einem vorgegebenen Endgerät zu nutzen. Das gilt heute fast schon als antiquiert.

In den Himmel geschaut

Nur was hat das alles mit einer Wolke (engl.: cloud) zu tun? Dieser Begriff kommt ins Spiel, weil das Internet in technischen Abbildungen häufig als Wolkensymbol dargestellt wird. Und wie bei einer Wolke am Himmel bleibt Nutzern auch der Blick in das Innere des Internets in der Regel verwehrt. Es lässt sich nicht so ohne Weiteres ausmachen, wo sich die vielen Server und Vermittlungsknoten befinden, die gemeinsam das erschaffen, was wir als Internet erleben. Aber sie sind da, sonst würde das Ganze nicht funktionieren.

Und das tut es. Schon in diesem Jahr 2021 werden weltweit mehr als 200 Milliarden US-Dollar mit Cloud-Dienstleistungen umgesetzt. Immer mehr Unternehmen und Privatnutzer nehmen Cloud-Dienste ganz selbstverständlich für sich in Anspruch – von Unterhaltungsdiensten über Kommunikationsangebote, Produktivitätsanwendungen, bis hin zu dedizierten Branchenlösungen. Und diese Entwicklung wird sich noch verstärken. Denn Cloud-Computing trifft einfach den Geist unserer Zeit.

 Eine geniale Idee und ihre Umsetzung: Die Bausteine des Cloud-Computings

Die Schlüsseltechnologien des Cloud-Computings: Grundlagen, Komponenten und Erfolgsfaktoren

„Das Ganze ist mehr als die Summe seiner Einzelteile“ sagt man gerne, wenn aus dem Zusammenspiel verschiedener Einzelkomponenten etwas ganz Neues und Größeres erwächst. Auch ein PKW ist letztendlich nur die Verbindung aus Motor, Getriebe, Lenkrad, Karosserie und Sitzen. Doch was daraus entsteht ist Mobilität: Die Möglichkeit zu reisen, Waren schnell über Grenzen hinweg zu transportieren, eine Kultur der Bewegung, ein Gefühl von Freiheit, mithin die Basis für unsere moderne Zivilisation.

Auch beim Cloud-Computing kommen verschiedene Elemente und Technologien zusammen, die für sich genommen bereits bekannt waren. Doch in ihrer geschickten Verbindung entstehen neue Potenziale, wie Software-Dienste realisiert, verteilt und genutzt werden. Hier sind es nicht mehr Menschen und Waren, die traditionelle Begrenzungen hinter sich lassen, sondern Anwendungen und Daten.

Doch was sind die Elemente, die die Grundlagen für das Cloud-Computing gelegt haben? Hardware- und Software-Komponenten gehen dabei Hand in Hand.

Daten auf der Überholspur

Da sind zum einen schnelle Datenverbindungen und die Standardisierung der Kommunikation durch das Internet (die sogenannten Internet-Protokolle). Glasfaseranschlüsse, DSL-Leitungen und Gigabit-Netzwerke in Unternehmen ermöglichen seit den 2000er Jahren einen extrem schnellen Zugriff auf entfernte Ressourcen.

Anwender spüren kaum noch einen Unterschied, ob Daten lokal oder auf einem entfernten Rechner gespeichert werden. Gleichzeitig machen Mobilfunkstandards wie 4G und 5G diese Verbindungen auch mobil an (fast) jedem Ort verfügbar.
Nicht nur sind die Datenübertragungsraten stark gestiegen, auch die Latenzen haben sich spürbar verringert. Und vor allem dieses Merkmal ist für die gefühlte Interaktivität entfernter Anwendungen von Bedeutung.

Galt in der Anfangszeit des Cloud-Computings noch: Textverarbeitung und Tabellenkalkulation funktionieren als Cloud-Anwendung über das Netz, Videoschnitt und 3D-Spiele hingegen nicht, gelten sogar diese Limitierungen mittlerweile überwunden.

Rechenleistung ohne Grenzen

Zusätzlich ist die Rechenleistung in modernen Servern ist in den letzten Jahren explosionsartig gewachsen. Moderne Server-Prozessoren sind völlig unterfordert, wenn sie gleichzeitig nur einen oder wenige Benutzer bedienen. Und parallel dazu sind die Kosten für CPU-Leistung reziprok gefallen.
Schon in Bezug auf die reine Hardware macht es betriebswirtschaftlich in vielen Szenarien keinen Sinn mehr, für eine überschaubare Anzahl von Nutzern extra einen Server im Unternehmen anzuschaffen. Von den damit verbundenen Personalkosten für Wartung und Betrieb ganz zu schweigen.

Software in Containern

Auf der Software-Seite ist der Siegeszug des Cloud-Computings eng mit der Container-Technik und dem Erfolg der Open-Source-Lösung Docker verbunden. Die Container-Technik ermöglicht es, Software-Anwendungen und ihre Komponenten in standardisierte Einheiten zu verpacken, die beliebig zwischen Servern und Rechenzentren hin- und hergeschoben und werden. Dies bleibt für die Anwender völlig transparent.
Die zugrunde liegende Hardware, die für die Ausführung dieser Software erforderlich ist, wird dadurch immer weniger zum begrenzenden Faktor. Außerdem lässt sich die verfügbare Leistung in Rechenzentren wesentlich besser ausnutzen, was für geringere Ausführungskosten sorgt. Und der Software-Einsatz lässt sich viel schneller und effizienter skalieren, wenn zu verschiedenen Zeitpunkten einmal mehr und einmal weniger Nutzer gleichzeitig eine Anwendung in Anspruch nehmen.

Freiheit bei den Endgeräten

Entscheidend für den Erfolg des Cloud-Computings ist aber auch die Loslösung von bestimmten Endgeräten, Betriebssystemen und Software-Anwendungen, was die Nutzung einer Cloud-Anwendung angeht. Denn viele Cloud-Dienste nutzen HTML, die Seitenbeschreibungssprache des World Wide Web, für den Aufbau und die Übertragung ihrer Benutzeroberflächen.

Nutzer benötigen dadurch nur noch einen aktuellen Webbrowser auf ihrem Endgerät, zusätzliche Software muss nicht installiert werden. Und es spielt bei geschickter Programmierung keine Rolle mehr, ob man mit einem Laptop, Desktop-PC, Tablet oder Smartphone arbeitet. Alle dieser Formate können aus einer einzigen Cloud-Anwendung heraus bedient werden.

So haben diese verschiedenen Elemente – schnelle Datenverbindungen, Verpackung von Software in Containern und die konsequente Nutzung von Internet-Standards – Cloud-Computing erst möglich gemacht und die Welt der Anwendungs-Dienste revolutioniert. Eine Welt ohne Kraftfahrzeuge und Mobilität scheint uns heute unvorstellbar – eine Welt ohne Cloud-Computing vielleicht schon bald auch.

Cloud-Computing leicht verständlich – die 20 wichtigsten Begriffe einfach erklärt

Cloud-Computing-Glossar