Für die Einhaltung von Vorschriften wie dem Digital Operational Resilience Act(DORA) ist die Wahl der richtigen Cybersicherheitstools entscheidend. Dies erfordert ein umfassendes Verständnis der gesamten Cybersicherheitslandschaft und der besonderen Anforderungen, die in den Rechtsvorschriften festgelegt sind.
In diesem Artikel helfen wir bei der Aufschlüsselung der Kriterien und bieten ein umfassendes Verständnis der erforderlichen Cybersicherheitsmaßnahmen. Dies ist besonders wichtig im Hinblick auf die Umsetzung von DORA, die am 16. Januar 2023 in Kraft tritt.
Was ist DORA?
Das Digital Operational Resilience Act (DORA ) ist ein gesetzlicher Rahmen, der darauf abzielt, die Cybersicherheit und die operative Widerstandsfähigkeit im Finanzsektor zu stärken. Es erlegt den Finanzinstituten, Marktinfrastrukturen und Anbietern digitaler Dienste Verpflichtungen auf.
DORA ist am 16. Januar 2023 in Kraft getreten und wird ab dem 17. Januar 2025 gelten. Sie läutet eine neue Ära erhöhter Cybersicherheitsstandards ein, um digitale Risiken zu mindern und die Stabilität der Finanzsysteme zu gewährleisten.
Ziel von DORA ist es, die IT-Sicherheit von Finanzinstituten wie Banken, Versicherungsgesellschaften und Wertpapierfirmen zu stärken. Damit soll sichergestellt werden, dass der europäische Finanzsektor angesichts erheblicher operativer Störungen eine robuste Widerstandsfähigkeit beibehält.
Die betriebliche Widerstandsfähigkeit ist ein fest etablierter strategischer Eckpfeiler im Finanzdienstleistungssektor und erstreckt sich auf alle Informations-, Kommunikations- und Technologieunternehmen, die für Finanzinstitute tätig sind.
Zu den betroffenen Organisationen gehören Finanzunternehmen wie Banken, Versicherungen und Wertpapierfirmen.
Wer ist betroffen?
Artikel 2 der DORA-EU-Verordnung definiert die folgenden Einrichtungen, die die Anforderungen erfüllen müssen:
- Kreditinstitute
- Zahlungsinstitute
- Anbieter von Kontoinformationsdiensten
- E-Geld-Institute
- Wertpapierfirmen
- Anbieter von Krypto-Asset-Dienstleistungen
- Zentrale Wertpapierverwahrer
- Zentrale Gegenparteien
- Handelsplattformen
- Trade Repositories
- Verwalter von alternativen Investmentfonds
- Verwaltungsgesellschaften
- Anbieter von Datenübermittlungsdiensten
- Versicherungs- und Rückversicherungsunternehmen
- Versicherungsvermittler, Rückversicherungsvermittler und Vermittler von Versicherungsnebenleistungen
- Einrichtungen der betrieblichen Altersversorgung
- Kreditrating-Agenturen
- Verwalter kritischer Benchmarks
- Anbieter von Crowdfunding-Dienstleistungen
- Verwahrstellen für Verbriefungen
- ICT-Drittdienstleister
Die DORA-Gesetzgebung zielt darauf ab, die Cybersicherheit von Finanzinstituten zu verbessern und ihre Fähigkeit zu stärken, Cyberangriffen oder anderen IT-bezogenen Störungen zu widerstehen. Folglich umfasst die Gesetzgebung Vorschriften und Mandate in Bezug auf:
- IKT-Risikomanagement
- IKT-bezogenes Störungsmanagement
- Prüfung der digitalen operativen Belastbarkeit
- Verwaltung von Drittanbietern
- Informationsaustausch
DORA schreibt vor, dass Daten in Ruhe und in Bewegung geschützt werden müssen, unabhängig von der Umgebung. Der Datentransfer zwischen Finanzinstituten sollte immer gesichert sein, und die Daten sollten mit hoher Integrität und Vertraulichkeit gepflegt werden.
Lesen Sie den früheren Artikel von Utimaco über den EU Digital Operational Resilience Act (DORA), um mehr darüber zu erfahren, wer davon betroffen ist.
Artikel von DORA - Sicherung der Widerstandsfähigkeit durch Schutz und Prävention
Um die in DORA genannten Ziele zu erreichen, müssen Finanzunternehmen IKT-Lösungen und -Prozesse einsetzen. Diese Lösungen und Prozesse müssen:
Die Integrität und Vertraulichkeit der Daten gewährleisten, unabhängig davon, ob die Daten ruhen oder in Bewegung sind
Empfehlung
- Verwenden Sie ein Verschlüsselungswerkzeug, das sowohl ruhende als auch bewegte Daten schützt
- Sicherstellen, dass das Tool für die Mitarbeiter benutzerfreundlich ist (idealerweise mit transparenter Verschlüsselung für einen nahtlosen Betrieb)
Minimieren Sie das Risiko der Datenbeschädigung oder des Datenverlusts, des unbefugten Zugriffs und technischer Mängel, die den Geschäftsbetrieb behindern könnten
Empfehlung
- Sorgen Sie für ein Zugriffsmanagement nach Benutzerrollen und -gruppen, um sicherzustellen, dass bestimmte sensible Daten nur für autorisierte Benutzer zugänglich sind
- Für den Fall, dass Daten verloren gehen, muss sichergestellt werden, dass sie weiterhin verschlüsselt sind und dass unbefugte Benutzer die Informationen nicht lesen können (sei es intern oder extern)
Sicherstellen, dass die Daten vor Risiken geschützt sind, die sich aus der Datenverwaltung ergeben, einschließlich schlechter Verwaltung, verarbeitungsbedingter Risiken und menschlicher Fehler
Empfehlung
- Minimieren Sie das Risiko menschlicher Fehler, indem Sie nur im Wesentlichen administrative Rechte erteilen
- Befolgen Sie eine strikte Methodik der Rollentrennung, indem Sie die Verantwortlichkeiten für das Netzwerkmanagement von denen für das Sicherheitsmanagement trennen (Separation of Duties)
Stärken Sie Ihre Widerstandsfähigkeit und gewährleisten Sie Compliance mit LAN Crypt File and Folder Encryption von Utimaco
Die innovative Datei- und Ordnerverschlüsselungslösung LAN Crypt File and Folder Encryption von Utimaco stellt einen Meilenstein in der Datenschutztechnologie dar und bietet unvergleichliche Sicherheit für den Schutz sensibler Daten. Mit einer umfassenden Suite von Funktionen, darunter:
- Schutz von Daten im Ruhezustand und von Daten in Bewegung
- Minimierung des Risikos der Datenpreisgabe
- Sicherstellung der Vertraulichkeit zu jeder Zeit durch dauerhafte Verschlüsselung
- Vermeidung eines allmächtigen Administrators durch Aufgabentrennung
Weitere Einblicke und Details darüber, wie Sie Ihre Cyber-Resilienz und Sicherheit in Übereinstimmung mit DORA verbessern können, erhalten Sie in unserem Webinar zum Thema "How to Achieve DORA Compliance with Data Protection".
