Die EU-Verordnung zur digitalen Betriebsresilienz (DORA), seit dem 17. Januar 2025 in Kraft, beschäftigt quasi alle von der österreichischen Finanzmarktaufsicht (FMA) beaufsichtigten Finanzunternehmen: Während große Institute mit ihren komplexen Strukturen kämpfen, könnten agile Fintech-Startups möglicherweise schneller auf die neuen Anforderungen reagieren. Unabhängig von ihrer Größe werden die Unternehmen die DORA-Herausforderungen zuverlässig meistern, die eine intelligente Dateninfrastruktur etabliert haben.
Foto: NetApp
Peter Hermann, Country Manager bei NetApp Austria
Der Digital Operational Resilience Act (DORA) zielt darauf ab, die digitale Betriebsresilienz im europäischen Finanzsektor zu stärken. Seit einigen Tagen müssen Finanzunternehmen die Anforderungen erfüllen, die ein einheitliches Niveau an Cybersicherheit und Widerstandsfähigkeit gewährleisten sollen. DORA betrifft nahezu alle Finanzinstitute und -unternehmen innerhalb der Europäischen Union (EU). Diese sind verpflichtet, Risiken in den Informations- und Kommunikationstechnologien (IKT) systematisch zu managen, Vorfälle zu melden und kritische Dienstleister zu überwachen. Zudem müssen sie regelmäßig Tests durchführen, um ihre operationale Resilienz zu überprüfen und sicherzustellen, dass sie auch in Krisensituationen funktionsfähig bleiben.
Traditionsreiche Finanzinstitute stehen auch in Österreich bei der DORA-Umsetzung vor vielschichtigen Herausforderungen: Oft erschweren veraltete IT-Systeme den Aufbau effektiver Risikomanagement-Frameworks. Wenn sie die geforderte digitale Resilienz erreichen wollen, müssen sie umfangreich in moderne Technologien investieren. Auch österreichische Unternehmen sind laut der Global Crisis and Resilience Survey 2023 von PwC gefordert, ihre Resilienzstrategie an ihre internen Prioritäten und Werte anzupassen. Erforderlich dafür ist zum einen ein umfassender Überblick über die aktuelle Risikolandschaft des Unternehmens. Zum anderen unterstützt der Einsatz moderner Technologien, ganz ohne Silodenken wichtige Informationen aus den vorhandenen Daten zu extrahieren – um eventuelle Störungen und Risiken frühzeitig zu erkennen, sich darauf vorzubereiten und sie im besten Fall zu verhindern. Auch die FMA setzte 2024 mit der Austrian Digital Landscape einen Schwerpunkt auf den Grad der Digitalisierung des Geschäftsbetriebs sowie auch auf die operative Resilienz in der IT.
Was die DORA-konforme Ausrichtung der IKT betrifft, profitieren Traditionsbanken von ihrer langjährigen Expertise im Umgang mit Regulierungsanforderungen. In der stark regulierten Finanzbranche haben sie über Jahrzehnte Erfahrungen mit Compliance-Prozessen gesammelt. Dieses Knowhow lässt sich auf die DORA-Vorgaben übertragen und erleichtert die Anpassung.
Dieser Wissensvorsprung fehlt vielen Fintechs und kleineren Technologieunternehmen. Für sie ist DORA möglicherweise eine der ersten großen Regulierungsanforderungen. Etablierte Rahmenwerke zur Einhaltung komplexer Vorschriften existieren oft noch nicht. Auch muss sich in vielen Fällen eine ausgereifte Compliance-Kultur erst noch entwickeln.
Die Flexibilität und Agilität junger Unternehmen können sich jedoch als Vorteile erweisen. Cloud-native Geschäftsmodelle erfüllen bereits viele DORA-Anforderungen. Wer moderne Technologien einsetzt, kann zudem vermeiden, dass sich Silostrukturen bilden. Denn Cloud-Lösungen und Unified-Communications-Tools ermöglichen flexible, skalierbare und sichere Infrastrukturen. Mit agilen Entwicklungsmethoden können IT-Systeme schnell an neue regulatorische Vorgaben angepasst werden. Daher sind Fintechs bei der Umsetzung der DORA-Regeln mitunter einen Schritt voraus. Vorausgesetzt, sie meistern den Kulturwandel hin zu einer strikten Compliance-Ausrichtung.
Wer offen und innovationsbereit ist, unterstützt die DORA-Umsetzung - unabhängig von der Unternehmensgröße. Großunternehmen sollten Compliance-Experten einbinden und die abteilungsübergreifende Zusammenarbeit fördern. Zudem gilt es, den Wissensvorsprung zu nutzen, über den sie dank der bestehenden Regularien verfügen. Jüngere Unternehmen hingegen sollten ihre Stärken als agile und cloudbasierte Organisationen ausspielen. Hier hat Priorität, transparente Prozesse zu implementieren, die dazu dienen, Compliance-Vorgaben einzuhalten.
Welcher Technologiepartner sie in der Umsetzung begleiten kann, hängt auch davon ab, ob dieser sich mit DORA auseinandergesetzt hat. Denn nur Anbieter, die selbst DORA-konform sind, können Finanzunternehmen effektiv unterstützen. Eine Schlüsselkompetenz für alle Beteiligten: eine intelligente Dateninfrastruktur mit dem Ziel, das Datenmanagement zu optimieren und in Hybrid-Cloud-Umgebungen Ressourcen über Cloud-Grenzen hinweg sicher zu verwalten.
DORA stellt nicht nur Finanzinstitute, sondern auch deren IKT-Dienstleister vor neue Aufgaben. Cloud-Anbieter müssen für mehr Resilienz sorgen: ihre Systeme widerstandsfähiger sowie ausfallsicherer machen und besser gegen Ransomware schützen. Mithilfe zeitgemäßer Lösungen werden Ransomware-Angriffe schnell erkannt und abgewehrt sowie Daten zuverlässig wiederhergestellt.
Österreichische Finanzunternehmen sollen gemäß DORA ebenso die einseitige Abhängigkeit von einzelnen Cloud-Anbietern verringern. Wichtig dafür sind Prozesse und Strategien, um Multi-Cloud-Konzepte zuverlässig umsetzen zu können, oder Ausstiegspläne samt der Betriebsfortführung nach Anbieterwechsel. Daher obliegt es den IKT-Dienstleistern, sicherzustellen, dass die Datenmigrationen zwischen den verschiedenen Cloud-Umgebungen problemlos erfolgen kann.
Außerdem muss gewährleistet sein, dass Daten bei Bedarf in die firmeneigene IT-Infrastruktur zurückgeholt werden können. Anbieter, die diese Anforderungen erfüllen, sind DORA-konform und erleichtern es ihren Kunden aus dem Finanzsektor, die Compliance einzuhalten und die digitale Widerstandsfähigkeit der Branche zu stärken.
Die Unternehmensgröße spielt eine entscheidende Rolle bei der DORA-Umsetzung in Österreich: Große Finanzinstitute profitieren von etablierten Compliance-Strukturen und umfangreicher Erfahrung, während kleinere Unternehmen oft mit unzureichenden Rahmenbedingungen kämpfen. Mit der passenden Infrastruktur und dem richtigen IT-Dienstleister an ihrer Seite können jedoch beide Seiten profitieren – vorausgesetzt, dieser kennt die spezifischen Herausforderungen und weiß, wie er ihnen begegnen kann. Die Zeit drängt: Wer die Unterschiede ignoriert, wird sich schwer tun mit der DORA-Konformität.
