DORA: Versicherer fordern Klarheit zur EU-Cyberabwehr-Verordnung

Ab dem 17. Januar 2025 tritt der Digital Operational Resilience Act (DORA) der Europäischen Union in Kraft. Ziel der Verordnung ist es, die Widerstandsfähigkeit von Finanzunternehmen und Versicherern gegen Cyberbedrohungen und Betriebsstörungen zu stärken. Dabei müssen Versicherer ein umfassendes IKT-Risikomanagement etablieren, Resilienzstrategien entwickeln, Sicherheitsrichtlinien dokumentieren und Notfallpläne vorhalten.

Die neuen Regelungen fordern nicht nur technische Anpassungen, sondern auch ein Umdenken im Umgang mit Risiken durch Drittanbieter. Regelmäßige Prüfungen sollen sicherstellen, dass sowohl externe Angriffe als auch interne IT-Störungen bewältigt werden können. DORA ist ein wesentlicher Schritt, um die digitale Sicherheit in der Versicherungs- und Finanzbranche zu verbessern.

GDV: Versicherer sehen sich vorbereitet, fordern jedoch Klarheit

Laut dem Gesamtverband der Deutschen Versicherungswirtschaft (GDV) hat die Branche in den vergangenen Monaten umfassende Vorbereitungen getroffen. „Die deutschen Versicherer haben ihre Prozesse binnen kürzester Zeit an die bekannten Vorgaben angepasst“, betont Jörg Asmussen, Hauptgeschäftsführer des GDV. Dennoch bleiben wesentliche Fragen ungeklärt, insbesondere zur Vertragsgestaltung mit IT-Dienstleistern und Subunternehmern.

Ein zentraler Punkt ist das Management von Drittparteienrisiken. Unternehmen müssen nicht nur interne Risiken, sondern auch Gefahren durch externe Dienstleister und deren Subunternehmer berücksichtigen. Der GDV fordert, dass die noch ausstehenden Vorgaben zur Unterauftragsvergabe zügig finalisiert werden. „Ohne klare Regelungen bleibt das Vertragsmanagement ein Unsicherheitsfaktor“, so Asmussen.

Kontrolle kritischer IKT-Dienstleister

Ein weiterer Aspekt der Verordnung ist die Überwachung kritischer IT-Dienstleister, die für den Finanzsektor von besonderer Bedeutung sind. Während in der Vergangenheit die Finanzunternehmen selbst für deren Kontrolle zuständig waren, sollen diese Aufgaben künftig teilweise von europäischen Aufsichtsbehörden übernommen werden. Der GDV begrüßt diesen Schritt, fordert jedoch mehr Transparenz: „Die Ergebnisse der behördlichen Überwachung sollten den betroffenen Finanzunternehmen zugänglich gemacht werden, um die Zusammenarbeit zu verbessern“, erklärt Asmussen.