Digitale Resilienz im Finanzsektor DORA-Studie – Mehr Schein als Sein bei der digitalen Resilienz

Anbieter zum Thema

KPMG AG Wirtschaftsprüfungsgesellschaft

RITTAL GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Kentix GmbH

Die Finanzbranche misst digitaler Resilienz eine hohe Bedeutung bei. Eine Studie von KPMG und Lünendonk zeigt jedoch Defizite bei Tests, Drittanbietermanagement und der operativen Umsetzung der DORA-Vorgaben.

Mit dem Digital Operational Resilience Act (DORA) macht die EU Finanz- und IT-Dienstleistern Vorgaben für das Management von Cyber- und IKT-Risiken (Informations- und Kommunikationstechnologie). Zu den Anforderungen zählen unter anderem regelmäßige Kontrollen von Sicherheitsvorkehrungen, die Pflicht, Störungen zu melden, sowie der verantwortungsvolle Umgang mit Drittanbietern. In Zusammenarbeit mit dem Marktforschungsinstitut Lünendonk hat KPMG rund 100 Banken, Versicherungen und IKT-Dienstleister zum Stand ihrer DORA-Umsetzung befragt.

Erfahrungen aus den ersten DORA-Audits

DORA ist keine Ressourcenfalle, sondern steigert Resilienz von Unternehmen

Die Ergebnisse sind überraschend: 94 Prozent der Institute stufen digitale Resilienz für ihr eigenes Haus als wichtig ein. Für das Jahr 2028 erhöht sich der Wert sogar noch und liegt bei 97 Prozent. Doch wie beurteilen Banken, Versicherer, Asset Manager und Zahlungsdienstleister ihren Status quo? Hier offenbart die Studie einen Gap: Zwölf Prozent der Finanzdienstleister stufen ihren Resilienz-Reifegrad als sehr hoch ein. Weitere 68 Prozent sehen ihr Unternehmen auf einem eher hohen Reifegrad. Zwar haben die Institute in den vergangenen Jahren bereits einiges getan, um ihre Resilienz zu stärken, allerdings hat sich die Bedrohungslage weiter verschärft. Reicht das bisherige Engagement also überhaupt aus?

Drei Prioritäten für mehr Resilienz

Während sich Finanzdienstleister in der Vergangenheit vor allem auf das Erfüllen regulatorischer Pflichten fokussiert haben, geht es nun darum, die Resilienz im Alltag umzusetzen. Drei Handlungsfelder stechen besonders heraus. Das erste ist die sogenannte Cyberhygiene. Unternehmen brauchen praxistaugliche Recovery-Pläne, sichere Backups und ausreichende Kapazitäten, um Systeme und Daten im Ernstfall schnell wiederherstellen zu können. Dabei darf sich der Blick auf die Ressourcen nicht auf die IT beschränken. Vielmehr müssen bereichsübergreifende Strukturen geschaffen werden, die auch Abteilungen wie die Unternehmenskommunikation einbinden, um Reputationsschäden im Krisenfall koordiniert vorzubeugen. Das spiegelt sich so auch in der Befragung wider: Gefragt nach den Investitionsschwerpunkten, landet „Cyber Security & Business Continuity“ mit 40 Prozent Zustimmung auf dem ersten Platz.

Das zweite zentrale Handlungsfeld für mehr Resilienz liegt bei regelmäßigen Simulationstests. Zwar überprüfen bereits 83 Prozent der Institute ihre IT-Systeme regelmäßig mithilfe von klassischen Penetrationstests. Aber nur etwas mehr als die Hälfte (56 Prozent) der Befragten geben an, szenariobasierte Ende-zu-Ende-Tests durchzuführen, die etwa den Ausfall eines IKT-Dienstleisters oder einen Systemausfall simulieren. Auch sogenannte Tabletop-Exercises, also simulierte Krisenszenarien, in die alle relevanten Fachbereiche eingebunden sind, praktizieren nur fünf von zehn Unternehmen (56 Prozent). Solche Tests sind jedoch unverzichtbar, um den Schritt von der rein formalen Compliance hin zur tatsächlichen Widerstandsfähigkeit zu vollziehen. Zudem tragen sie dazu bei, Schwachstellen zu erkennen, Maßnahmen abzuleiten und die cross-funktionale Zusammenarbeit zu verbessern.

Damit die Maßnahmen ihre volle Wirkung entfalten, darf die Resilienz nicht an den eigenen Systemgrenzen aufhören. Als drittes Handlungsfeld ergibt sich daher die Einbindung der IKT-Drittanbieter in Tests und Notfallszenarien. Nur so lässt sich in Resilienztests die gesamte potenzielle Angriffsfläche betrachten. Zwar geben 82 Prozent der Institute an, ihre IKT-Drittanbieter grundsätzlich in Resilienz-Überprüfungen zu integrieren. Mit Blick auf kommende Stresstests der Finanzaufsicht nennen jedoch erst 72 Prozent die stärkere Einbindung externer IKT-Dienstleister als Vorbereitungsmaßnahmen. Dabei sollte klar sein: Die Abstimmung darf nicht nur auf dem Blatt Papier existieren – sie muss sich im operativen Stresstest bewähren.

Die Silo-Falle bei der Dienstleistersteuerung

Diese operative Einbindung erfordert jedoch intern klare Verantwortlichkeiten – ein Punkt, an dem viele Häuser umdenken müssen. Derzeit liegt die Verantwortung für die IKT-Drittanbietersteuerung bei 47 Prozent der Unternehmen primär in der IT-Abteilung und zu 21 Prozent in den Fachbereichen. Das dedizierte Auslagerungsmanagement (acht Prozent) oder GRC-Funktionen (17 Prozent) sind noch zu selten involviert. Wenn kritische Dienstleister rein durch die technische IT-Brille verwaltet werden, entstehen gefährliche blinde Flecken bei den regulatorischen Risiken. DORA bricht dieses Silodenken auf.

2026 ist der eigentliche Startpunkt des Digital Operational Resilience Act

Ein Jahr Dora und die Schonfrist ist vorbei

Die Lösung liegt in einer organisatorischen Neuordnung hin zu einem integrierten Third-Party-Risk-Management (TPRM). Sourcing-Spezialisten, IT-Security- und GRC-Verantwortliche sollten an einen gemeinsamen Tisch sitzen, um komplexe Cloud-Risiken oder Ausfälle in der Subdienstleisterkette zentral und konsistent zu beherrschen.

Steuerung und Reporting effizienter gestalten

DORA ist jedoch nur eine Richtlinie. Auch durch die Vorgaben etwa des neuen EU AI Acts für die KI-Nutzung wird der Aufwand weiter zunehmen. Deshalb ist der Einsatz geeigneter Governance-, Risk- und Compliance- (GRC)-Tools für eine effiziente Steuerung der regulatorischen Vorgaben entscheidend. In der Praxis setzt knapp die Hälfte der Finanzdienstleister allerdings derzeit noch auf Microsoft Excel. Das mag vielfach dem Zeitdruck geschuldet sein. Die Praxis zeigt die Grenzen von Excel jedoch deutlich auf. Deswegen steigt die Notwendigkeit, eine praktikablere Lösung zu finden. Mögliche Alternativen sind Low-Code-Plattformen wie etwa die Microsoft Power Platform, die eine schnelle, sichere und skalierbare Umsetzung erlauben. Alternativ kommen individuell entwickelte GRC-Tools in Frage.

Ein weiterer Schlüssel für die effiziente DORA-Steuerung ist der Einsatz von KI und Automatisierungslösungen wie etwa Robotic Process Automation (RPA). Den größten Nutzen von KI sehen die Befragten zukünftig in der Risikoerkennung und -klassifizierung (95 Prozent) sowie in der Automatisierung von IT-Monitoring und -Compliance (93 Prozent). Ebenfalls einen hohen Mehrwert sieht die Finanzbranche in den Bereichen Cyber Security, Anomalie-Erkennung und Incident Prevention (91 Prozent). Doch im Alltag spielt KI noch eine untergeordnete Rolle: Erst 22 Prozent der Unternehmen nutzen KI-gestützte Prozesse für die Umsetzung regulatorischer Anforderungen. Noch ein Gap, der zunächst überraschen mag. Aber er lässt sich damit erklären, dass viele Institute in den vergangenen Jahren zunächst in businessbezogene KI-Use-Cases investiert haben, etwa im Kreditbereich. Der KI-Einsatz in den Kontrollfunktionen ist daher noch wenig verbreitet. Er dürfte aber angesichts der steigenden Reporting-Aufwände und des Fachkräftemangels in nächster Zeit deutlich zulegen.

Dora-Kompatibilität von Java-Umgebungen

Java lernt Dora kennen

(ID:50927991)