Digital Operational Resistance Act (DORA) – Wie kann unsere AIOps helfen Ihre Pflicht(en) zu erfüllen

Die Digital Operational Resilience Act (DORA) ist eine Verordnung der Europäischen Union, die die Widerstandsfähigkeit von digitalen Systemen von Unternehmen in der Finanzbranche gewährleisten soll. Sie wurde am 27. Juni 2022 verabschiedet, soll am 17. Januar 2025 uneingeschränkt zur Anwendung kommen und wird ab dem 31. Dezember 2029 verbindlich.


Was verstehen wir unter DORA und welcher Handlungsrahmen wird vorgegeben? 

DORA (1, 2) enthält eine Reihe von Anforderungen, die Finanzunternehmen erfüllen müssen, um die Widerstandsfähigkeit (Resilienz) ihrer digitalen Systeme zu gewährleisten. Diese Anforderungen sind komplex und umfassend und erfordern eine umfassende Anpassung der IT-Systeme und der Geschäftsprozesse. 

Aufbauend hierzu hat die BaFin (Finanzdienstleistungsaufsicht) bereits am 3. März 2022 eine Novelle (4) veröffentlicht, welche eine Reihe von neuen Anforderungen und Maßnahmen festlegt, welche für alle Versicherungsunternehmen in Deutschland, die von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) beaufsichtigt werden, bindend ist. 

Die VAIT-Novelle (3) ist eine Verordnung der BaFin und damit verbindliches Recht. Versicherungsunternehmen, die die neuen Anforderungen nicht erfüllen, können von der BaFin sanktioniert werden. 

Die VAIT-Novelle ist am 3. März 2022 in Kraft getreten und muss bis zum 31. Dezember 2023 vollständig umgesetzt werden. Die zentrale Aufgabe beider Verordnungen (5) ist die Sicherheit und Resilienz (6) der IT-Systeme von Versicherungs- und Finanzunternehmen zu erhöhen.


Welche Anwendungsbereiche werden durch die VAIT-Novelle und DORA vorgegeben? 

DORA (Digital Operational Resilience Act) erweitert den Anwendungsbereich der VAIT-Novelle und gilt nun für alle Finanzunternehmen in Europäischen Union sowie ausländische Unternehmen, die im Finanzsektor tätig sind und Dienstleistungen für EU-Bürger oder -Unternehmen erbringen. 

DORA enthält nun zusätzlich Anforderungen an die Risikobewertung, die Notfallplanung und die Transparenz von IT-Prozessen

• Risikomanagement: Finanzunternehmen müssen ein umfassendes Risikomanagementsystem für ihre IT-Systeme einrichten. Dieses System muss alle potenziellen Risiken für die Resilienz der Systeme berücksichtigen, einschließlich Cyberangriffen, natürlichen Katastrophen und menschlichen Fehlern. 
• Notfallplanung: Finanzunternehmen müssen detaillierte Notfallpläne für den Ausfall oder die Beeinträchtigung ihrer IT-Systeme erstellen. Diese Notfallpläne müssen sicherstellen, dass die Unternehmen in der Lage sind, ihre Geschäftstätigkeit auch bei Störungen aufrechtzuerhalten. 
• Transparenz: Finanzunternehmen müssen über die Umsetzung der Anforderungen von DORA transparent gegenüber der Aufsicht und der Öffentlichkeit berichten. Diese Berichte müssen die Fortschritte der Unternehmen bei der Erfüllung der Anforderungen und die getroffenen Maßnahmen zur Risikominderung dokumentieren 

DORA sieht strengere Sanktionen für Unternehmen vor, die die Anforderungen nicht erfüllen. 

Beispiel: Bußgelder: Die Europäische Zentralbank (EZB) kann Finanzunternehmen, die gegen die DORA-Verordnung verstoßen, Bußgelder in Höhe von bis zu 10 % ihres weltweiten Jahresumsatzes verhängen. Zusätzlich hat die EZB hat angekündigt, dass sie Verstöße gegen die DORA-Verordnung rigoros verfolgen und anwenden wird. Jedoch übernimmt die EZB an dieser Stelle nur eine passive Rolle als Kontrollinstanz 


Das Hauptziel von DORA und auch der VAIT-Novelle besteht also darin, sicherzustellen, dass Finanzunternehmen und -dienstleister ausreichend widerstandsfähig gegenüber digitalen Bedrohungen und Betriebsunterbrechungen sind. In diesem Zusammenhang wird häufig auf den Begriff der Cyber-Resilienz (8) verwiesen. Aktuell befindet sich der Cyber-Resilience-Act noch in einen Entwurfsstadium wird. Es ist jedoch geplant, dass dieser spätestens 2024 in Kraft tritt und die Verordnungen wie z. B. DORA, AI-ACT auch begrifflich eingrenzt. 

Dieses bedeutet, das Unternehmen in dem oben aufgeführten Umfeld gesetzlich gezwungen sind sich auf die gegenwärtigen und zukünftigen Veränderungen strukturiert vorzubereiten und Maßnahmen umzusetzen. 


Wie und womit kann AIOps an dieser Stelle unterstützen?


AIOps (Artificial Intelligence for IT Operations)(7) Systeme können die Einhaltung der DORA-Verordnung (Digital Operational Resilience Act) unterstützen und helfen auch die gesetzlichen Vorgaben zu erfüllen. Dieses sind zum Beispiel: 


Risiken für die Resilienz der digitalen Systeme zu identifizieren und zu bewerten: AIOps-Systeme können große Datenmengen aus verschiedenen Quellen analysieren, um Muster und Trends zu erkennen, die auf potenzielle Risiken hinweisen. Diese Informationen können Finanzunternehmen dabei helfen, Risiken frühzeitig zu identifizieren und Maßnahmen zur Risikominderung zu ergreifen. 
 

Notfallpläne zu erstellen und zu implementieren: AIOps-Systeme können Finanzunternehmen dabei helfen, Notfallpläne zu erstellen, die auf den individuellen Bedürfnissen des Unternehmens basieren. Diese Pläne können Finanzunternehmen dabei helfen, schnell und effektiv auf Störungen zu reagieren. 
 

Ressourcen für die Umsetzung der Anforderungen von DORA bereitzustellen: AIOps-Systeme können Finanzunternehmen dabei helfen, Ressourcen für die Umsetzung der Anforderungen von DORA zu priorisieren und zuzuweisen. Diese Informationen können Finanzunternehmen dabei helfen, sicherzustellen, dass sie über die erforderlichen Ressourcen verfügen, um die Anforderungen von DORA zu erfüllen. 
 


Über die Umsetzung der Anforderungen von DORA transparent gegenüber der Aufsicht und der Öffentlichkeit zu berichten: AIOps-Systeme können Finanzunternehmen dabei helfen, Daten aus verschiedenen Quellen zu konsolidieren und diese Daten in einem formatierten Format zu präsentieren, das von der Aufsicht und der Öffentlichkeit leicht verstanden werden kann. Diese Informationen können Finanzunternehmen dabei helfen, die Anforderungen von DORA zu erfüllen und die Transparenz ihrer IT-Betriebsprozesse zu verbessern. 
 


Wie wir Ihnen helfen können? 

• Wir bei der Seven Principles Mobility GmbH verfolgen einen ganzheitlichen und nachhaltigen Ansatz für Ihr Unternehmen.  
• Wir unterstützen Sie bei der Analyse, Bewertung, Umwandlung und Neugestaltung Ihrer Geschäftsprozesse 
• Wir beraten, moderieren und vermitteln bei komplexen Fragestellungen und erarbeiten gemeinsam Lösungsansätze mit Ihren Mitarbeitern und anderen Akteuren 
• Wir betrachten und Durchleuchten Ihre IT-Bestandssysteme und erarbeiten gemeinsam mit Ihnen IT-Infrastruktur und mögliche Implementationsstrategien 
• Wir schulen und sensibilisieren Ihre Mitarbeiter und Fachbereiche für die anstehenden Veränderungen und gesetzlichen Vorgaben 
• Wir entwickeln gemeinsam mit Ihnen individuelle und technische Lösungsansätze, implementieren und betreiben diese innerhalb Ihrer Infrastrukturen 
• Wir kümmern uns um Wartung, Fortentwicklung und den fehlerfreien bzw. ausfallsicheren Betrieb 
• Wir übernehmen Verantwortung für ausgewählte Anwendungsbereiche und übernehmen Betrieb und Verantwortung gemäß den gesetzlichen Vorgaben 

Durch unsere Erfahrungen in dem AIOps Umfeld bei namehaften Unternehmen im Finanz- und Versicherungssektor und der Entwicklung eines eigenen Baukastenprinzips sowie Beratungskonzeptes verfolgen wir einen integrativen Ansatz.  

Hierbei legen wir viel Wert auf die sinnvolle Weiternutzung Ihrer Bestandsinfrastruktur und ergänzen diese mit eigenen Lösungen und Anwendungen.  

Wir verfolgen das Ziel möglichst viele Ihrer Anwendungen und Anwendungsbereich zu verbinden oder zu ergänzen und nicht komplett zu ersetzen.

Links zu Stichwörtern:

(1) DORA, (2) DORA, (3) VAIT-Novelle, (4) Novelle, (5) Verordnung, (6) Resilienz, (7) AIOps 7P, (8) Cyber Resilienz