Die vier Hauptsäulen von DORA erfordern logischerweise vier Lösungen, und für jede von ihnen existieren in unterschiedlichem Maße spezielle Produkte. Risikomanagement, Vorfallsmeldung, Resilienztests und Drittparteienrisiko funktionieren jedoch nicht unabhängig voneinander. DORA behandelt diese Themen aus gutem Grund gemeinsam und ohne Unterbrechung; Anbieter von Cybersicherheits- und anderen operationellen Risikolösungen sollten erwägen, es ihnen gleichzutun.

Zahlungsnetzwerke sind bestens vertraut mit der Notwendigkeit, „immer erreichbar“ zu sein, da sie Banken durch ihre Ersatzverarbeitungsdienste dabei unterstützen, die Anforderungen der starken Kundenauthentifizierung (SCA) während Bankausfällen und Ausfallzeiten zu erfüllen.

Doch neben der Zahlungsauthentifizierung und -autorisierung schützen Zahlungsnetzwerke auch kontinuierlich alle Daten in ihren Netzwerken. Dieser Schutz kann Transaktionen umfassen, die sich ausschließlich auf Kreditkartenzahlungen oder Echtzeit-Zahlungen zwischen Konten konzentrieren, oder er kann über Open Banking oder zunehmend Blockchain auch andere Finanzdaten einbeziehen.

Kontinuierliche Zyklen der Quantifizierung von Cyberrisiken ermöglichen es Zahlungsnetzwerken, operationelle Risiken für ihre Multi-Rail-Netzwerke und die Risiken für die von ihnen bedienten Finanzinstitute zu managen. Dieser quantifizierbare Ansatz für die erste Säule von DORA hebt die Cybersicherheit über eine Arcade-Spielmentalität hinaus, bei der man reaktiv Münzen in einen Automaten wirft, um einen unerbittlichen Ansturm von Angriffen einzudämmen. Interne Anpassungen können dann auf spezifische Geschäftsbedürfnisse eingehen, während externe Kontextualisierung Unterstützung auf der Grundlage sich ständig weiterentwickelnder dynamischer Bedrohungen bietet.

Resilienztests mittels Sicherheitslücken- und Angriffssimulationen ergänzen das Risikomanagement, indem sie das Verhalten böswilliger Akteure nachahmen. Die Simulationen können kontinuierlich innerhalb der Produktionsumgebung einer Organisation durchgeführt werden, um die zweite Säule von DORA zu adressieren, während der Geschäftsbetrieb ungestört weiterläuft. Sie können auch als kontinuierliches Validierungssystem dienen, das die Wirksamkeit der Sicherheitskontrollen überwacht. Die Ergebnisse liefern verbesserte Daten für das Risikomanagement, die wiederum weitere Resilienztests in einem sich selbst verstärkenden Kreislauf ermöglichen. Die aus den kontinuierlichen Tests resultierenden Berichte können dann bei Bedarf in die Mechanismen zur Meldung von Vorfällen für die dritte Säule von DORA einfließen.

Die vierte Säule, das Drittparteienrisiko, folgt im DORA-Modell auf Risikomanagement, Vorfallsmeldung und Resilienztests. Die Position scheint weniger ein Ausdruck von Wichtigkeit zu sein, sondern vielmehr eine Anerkennung dafür, wie sie die anderen drei Säulen eines Finanzökosystems untermauert.

In einer von Mastercard gesponserten Umfrage unter IT-Risikoteams in 20 Finanzinstituten in 20 EU-Ländern zwischen November 2022 und Februar 2023 wurde das Drittparteienrisiko als die größte Herausforderung der vier Hauptsäulen von DORA genannt.

Die Herausforderung ergibt sich aus dem wachsenden Bedarf an Resilienz des Ökosystems , da sich das Drittparteienrisiko von einer „Ich gegen die“-Mentalität zu einem kollektiven „Wir“ verlagert, das allen anderen Aspekten der Cybersicherheit zugrunde liegt. Das übergeordnete Ziel von DORA ist es, die Widerstandsfähigkeit des Ökosystems in der EU und idealerweise weltweit zu stärken.

Aus globaler Sicht verlangt DORA keine Datenlokalisierung hinsichtlich des Umgangs mit Daten, die in die EU gelangen und sie verlassen. Dennoch ist auch DORA nicht immun gegen den „Brüssel-Effekt“, der die Auswirkungen der EU-Gesetzgebung über ihre geografischen Grenzen hinaus bezeichnet.

Genauer gesagt, in Bezug auf DORA selbst und das Drittparteienrisiko, befassen sich die Artikel 36 und 44 mit den Aktivitäten europäischer Aufsichtsbehörden „außerhalb der Union“ und der Entwicklung bewährter Verfahren durch „internationale Zusammenarbeit“.

Der Anwendungsbereich bedeutet, dass die Fähigkeit von Finanzinstituten, DORA zu erfüllen, von ganzheitlichen Lösungen der Anbieter abhängt, wie z. B. globalen Zahlungsnetzwerken mit Partnerschaften, die das gesamte Finanzökosystem umfassen. Der positive Kreislauf aus Risikomanagement und Resilienz kann dann zusätzlich von den Skaleneffekten profitieren, die mit einem Finanzökosystem einhergehen, das von inhärenten Beziehungen zu Dritten geprägt ist. Spezielle Ansätze zur Bewältigung von Drittparteirisiken, wie die Überwachung der Online-Exposition und des Systemrisikos, ergänzen den Netzwerkansatz.

Der Digital Operational Resilience Act klingt unter seinem einprägsamen Akronym DORA deutlich zugänglicher. Finanzinstitute in der EU und anderswo müssen DORA bis Januar 2025, wenn die Durchsetzung in Kraft tritt, gut kennen.

Die von Mastercard in Auftrag gegebene Umfrage deutet darauf hin, dass Finanzinstitute nach Abschluss von Gap-Analysen Mitte 2023 mit der Umsetzung der Compliance-Vorgaben beginnen werden. Ein umfassendes oder „harmonisiertes“ Lösungspaket sollte ihnen dabei helfen, pünktlich zu liefern.

Diese Hilfe sollte jedoch über die bloße Bereitstellung vernetzter Lösungen zur Erfüllung der Compliance-Anforderungen hinausgehen. DORA ist auf mehr angewiesen, als dass sich einzelne Finanzinstitute lediglich an den Wortlaut des Gesetzes halten. Es hängt auch davon ab, dass Finanzinstitute die Notwendigkeit erkennen, sich im gesamten Finanzökosystem durch einen Netzwerkansatz zusammenzuschließen.

Ohne dieses Netzwerk wird es höchstwahrscheinlich zu einer Unterbrechung kommen. Ein ironisches Ergebnis für eine Maßnahme, die auf eine vernetzte Welt ausgerichtet ist.