Neue DORA-Verordnung betrifft Finanzinstitute in Luxemburg

Finanzinstitute mit Sitz in Luxemburg stellen sich auf signifikante operative Anpassungen ein, die durch die neue „Digital Operational Resilience Act“ (DORA) der Europäischen Union vorgeschrieben werden. Die Verordnung, die darauf abzielt, die Vorschriften für Cybersicherheit und operative Widerstandsfähigkeit in der gesamten EU zu harmonisieren, tritt im Januar 2025 in Kraft.

DORA wird Akteure im Finanzsektor breit beeinflussen, darunter Kreditinstitute, Zahlungsdienstleister, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen und Versicherungsunternehmen. In Luxemburg erfordert die Verordnung organisatorische Änderungen, die über das traditionelle ICT-Management hinausgehen. Besonderes Augenmerk wird auf klare Prozesse für die Überwachung und Kontrolle ausgelagerter kritischer oder wichtiger Geschäftsfunktionen gelegt.

Die Verordnung stärkt auch die Rechenschaftspflicht der Geschäftsleitung für die Einhaltung von Vorschriften, das Änderungsmanagement, die Aufsicht über Outsourcing-Vereinbarungen und das Management der Geschäftskontinuität. Finanzinstitute müssen sicherstellen, dass sie über einen umfassenden Rahmen für das ICT-Risikomanagement und eine dokumentierte Strategie zur digitalen operativen Widerstandsfähigkeit verfügen.

Zu den wichtigsten betroffenen Bereichen gehören das Management von Drittparteienrisiken, das Management und die Berichterstattung von ICT-Vorfällen, das Testen der digitalen operativen Widerstandsfähigkeit sowie die Anforderungen an Governance und ICT-Risikomanagement. Unternehmen müssen ihre Verträge mit externen ICT-Dienstleistern überprüfen und die Einhaltung sicherstellen, insbesondere bei kritischen Auslagerungen.

Finanzinstitute haben etwa 24 Monate ab der offiziellen Veröffentlichung der Verordnung (27. Dezember 2022) Zeit, um alle Anforderungen zu erfüllen. Es wird empfohlen, dass Institute umgehend mit einer Lückenanalyse der DORA-Anforderungen und der Gestaltung eines verbesserten Rahmens für die operative Widerstandsfähigkeit beginnen, da in den kommenden Monaten weitere technische Standards erwartet werden.