DORA baut auf den bestehenden aufsichtsrechtlichen Anforderungen auf. Viele der Regelungen sind den betroffenen Unternehmen daher bereits aus den sektoralen IT-Vorgaben bekannt. DORA harmonisiert diese Regelungen, ist jedoch insgesamt detaillierter und schränkt bestehende Ermessensspielräume weiter ein. Die neuen regulatorischen Anforderungen lassen sich in fünf Hauptbereiche gliedern (orientiert an den Kollegen von POELLATH):

IKT-Risikomanagement und IKT-Governance:

Die Verantwortung für das Risikomanagement liegt bei der Geschäftsleitung. IKT-Risiken müssen in dieses Risikomanagement integriert werden. Während dies bereits den bisherigen aufsichtsrechtlichen Anforderungen entsprach, ist es nun gesetzlich festgeschrieben. Im Rahmen der IKT-Governance, also der rechtlichen und organisatorischen Rahmenbedingungen der IT, muss IKT in die Unternehmensstrategie eingebunden werden. Zudem werden verpflichtende Updates und Kontrollmechanismen für IKT-Systeme eingeführt. Strategien zur Datensicherung und -wiederherstellung müssen ebenfalls entwickelt werden, um Systemausfälle zu minimieren.

Meldepflicht für IKT-bezogene Vorfälle:

Die BaFin übernimmt künftig die Rolle eines nationalen Melde-Hubs für IKT-Vorfälle im Finanzsektor. Ein „IKT-bezogener Vorfall“ ist ein ungeplantes Ereignis, das die Sicherheit von Netzwerken und Informationssystemen beeinträchtigt und negative Auswirkungen auf die Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit von Daten oder Dienstleistungen eines Finanzunternehmens hat (Art. 3 Abs. 1 Nr. 8 DORA). Um Cyberangriffe frühzeitig zu erkennen und IKT-Vorfälle zu vermeiden, müssen Schutzmechanismen sowie Frühwarnsysteme implementiert werden. Alle IKT-bezogenen Vorfälle müssen protokolliert werden. Zusätzlich wird ein Verfahren zur Klassifizierung von Vorfällen eingeführt, und schwerwiegende Vorfälle müssen zwingend gemeldet werden.