So bereiten Sie sich auf DORA vor: Was Sie wissen müssen

‍Bank- und Finanzdienstleistungsorganisationen sind ein wichtiger Bestandteil der lokalen und globalen Infrastruktur — fast jeder ist jeden Tag in irgendeiner Weise auf die Geschäftstätigkeit der Finanzbranche angewiesen. Und mit der rasanten digitalen Transformation der letzten Jahre sind Finanzdienstleister und ihre Kunden zunehmend von IKT (Informations- und Kommunikationstechnologie) und digitalen Informationen abhängig. Dies macht sie zu einem Hauptziel für Bedrohungsakteure, die Kundendaten stehlen, den Bankbetrieb einstellen und weitreichende Störungen verursachen wollen.

Finanzunternehmen müssen in der Lage sein, den Auswirkungen von IKT-Vorfällen standzuhalten, darauf zu reagieren und sich von ihnen zu erholen, ohne dass kritische und wichtige Funktionen beeinträchtigt werden und die Kunden und das Finanzsystem nur minimal beeinträchtigt werden.

Die der EU Gesetz über digitalen Betrieb und Resilienz (DORA) Das Mandat zielt darauf ab, die Widerstandsfähigkeit des Finanzsektors gegenüber IKT-bedingten Vorfällen zu stärken, und führt sehr spezifische und präskriptive Anforderungen ein, die in allen EU-Mitgliedstaaten einheitlich sind.

Illumio ermöglicht Bank- und Finanzdienstleistungsunternehmen, die in der EU tätig sind, die DORA-Konformität durch risikobasierte Transparenz und Zero-Trust-Segmentierung zu erreichen.

Was ist DORA und warum ist es wichtig?

Der Bankensektor stützt die Weltwirtschaft, und ohne strenge Cybersicherheitsmaßnahmen können Sicherheitslücken schnell katastrophal werden.

DORA verlangt von Banken, die in der EU tätig sind, ihre Cyber-Resilienz zu stärken, damit sie Sicherheitslücken abwehren, darauf reagieren und sich von ihnen erholen können. Dies stellt sicher, dass sie Kundendaten schützen, den Betrieb trotz unvermeidlicher Verstöße aufrechterhalten und die Auswirkungen von Sicherheitsverletzungen so gering wie möglich halten können, um die Weltwirtschaft zu erhalten.

DORA wird zwar spezifische Compliance- und technische Spezifikationen für Finanzinstitute durchsetzen, das allgemeine Ziel besteht jedoch darin, die Cyber-Resilienz in der Branche zu stärken. Unternehmen, die jetzt auf eine bessere Cyber-Resilienz hinarbeiten, werden ihrer Zeit voraus sein, wenn spezifische Anforderungen verfügbar sind.

Erfahre wie DORA unterscheidet sich von NIS2.

Fakten zur DORA-Richtlinie der EU

Das neue Mandat trat am 16. Januar 2023 in Kraft und ist 24 Monate nach seinem Inkrafttreten durchsetzbar. Das bedeutet Finanzunternehmen müssen bis zum 17. Januar 2025 DORA-konform sein.

Im Laufe des Jahres 2024 werden die Europäischen Aufsichtsbehörden (ESAs) mehrere technische Regulierungs- und Umsetzungsstandards definieren und herausgeben, die Finanzorganisationen Spezifikationen und Anleitungen zur Umsetzung spezifischer DORA-Anforderungen an die Hand geben.

Unternehmen mit Sitz im Vereinigten Königreich und anderen internationalen Gebieten können der DORA-Regelung unterliegen, wenn sie auf EU-Märkten tätig sind (z. B. über lokal gegründete Konzernunternehmen). IKT-Drittdienstleister unterliegen ebenfalls den DORA-Anforderungen, sobald sie vertragliche Vereinbarungen mit Unternehmen getroffen haben, für die DORA gilt.

Während DORA weder Umfang noch Form von Sanktionen vorhersieht, steht es den EU-Mitgliedstaaten frei, Sanktionen und Verstöße gegen DORA in ihrem nationalen Recht vorzusehen.

Lesen Sie die DORA-Direktive hier.

Die 5 Kernpfeiler von DORA: Aufbau betrieblicher Resilienz

Die Richtlinie ist aufgeteilt in 5 Kernpfeiler um Finanzdienstleistungsorganisationen eine umfassende Rahmen für Cyber-Resilienz. Obwohl die spezifischen technischen Mandate von DORA noch nicht verfügbar sind, werden sie sich direkt auf diese Kernpfeiler beziehen und Unternehmen die Möglichkeit bieten, sich jetzt auf die Einhaltung der Vorschriften vorzubereiten.

• IKT-Risikomanagement: Richten Sie belastbare IKT-Systeme ein, identifizieren Sie kontinuierlich IKT-Risiken und schützen Sie sich davor, erkennen Sie ungewöhnliche Aktivitäten, implementieren Sie umfassende Pläne zur Geschäftskontinuität und fördern Sie das kontinuierliche Lernen und Verbessern aus externen Ereignissen und internen ICT-Vorfällen.
• Reaktion auf IKT-bezogene Vorfälle: Richten Sie einen umfassenden Managementprozess für die Überwachung, Klassifizierung, Meldung und Weitergabe von Berichten über IKT-bezogene Vorfälle gemäß den regulatorischen und aufsichtsrechtlichen Anforderungen ein.
• Digitale betriebliche Belastbarkeitstests: Der Rahmen für das IKT-Risikomanagement sollte regelmäßig getestet werden, um die Vorsorge sicherzustellen und Schwächen und Lücken durch Gegenmaßnahmen zu beheben, und die Testanforderungen sollten in einem angemessenen Verhältnis zu den Merkmalen des Unternehmens stehen; dazu gehört auch die Durchführung von Threat Led Penetration Testing (TLTP) für Szenarien mit höherem Risiko.
• IKT-Drittrisiko: Sorgen Sie für eine solide Überwachung der mit IKT-Drittanbietern verbundenen Risiken, die durch die Harmonisierung der Beziehungen, umfassende Verträge und die Umsetzung eines Aufsichtsrahmens der Union zur Förderung der Aufsichtskonvergenz erreicht wird.

• Informationsaustausch: Förderung der Zusammenarbeit zwischen Finanzunternehmen zur Verbesserung der digitalen Betriebsstabilität, zur Sensibilisierung für IKT-Risiken, zur Verringerung der Ausbreitung von IKT-Bedrohungen und zur Unterstützung verschiedener Abwehr- und Eindämmungsstrategien durch den sicheren Austausch von Informationen über Cyberbedrohungen.

Was kannst du jetzt tun, um dich auf DORA vorzubereiten?

Jetzt ist es an der Zeit, über Projekte, Budgetanforderungen und organisationsweite Initiativen nachzudenken, um sich auf die vollständige Durchsetzung von DORA im Januar 2025 vorzubereiten. Sicherheitsteams können proaktive Maßnahmen ergreifen, um bereit zu sein, beim Aufbau von Widerstandsfähigkeit und der Einhaltung der DORA-Vorschriften sofort loszulegen.

1. Identifizieren Sie Risiken mithilfe der Netzwerkkartierung

Die erste Säule des Mandats konzentriert sich auf die Identifizierung von Risiken, die für den Erfolg mit den anderen Säulen von grundlegender Bedeutung sind. Falls Sie das noch nicht getan haben, sollte das Sicherheitsteam Ihres Unternehmens Anwendungsabhängigkeiten zuordnen für die gesamte Infrastruktur. Einige Sicherheitslösungen wie Illumio bieten diese Art der Kartierung sogar als Teil ihres breiteren Plattformangebots an.

Verwenden Sie die Karte, um Ihre kritischen und unkritischen Prozesse zu finden und Ihre Abhängigkeiten von Drittanbietern zu identifizieren. Sie werden wahrscheinlich auf bisher unbekannte Risiken stoßen, die von Ihrem Sicherheitsteam sofort behoben werden können.

2. Verbessern Sie die Erkennungsfunktionen

Mit einem besseren Verständnis der Umgebung können Sie sich darauf konzentrieren, Ihre Erkennungsfähigkeiten zu verbessern. Lösungen wie Illumio können Informationen in Ihr Security Information Management System (SIM) einspeisen und Ihrem Sicherheitsteam dabei helfen, Daten abzurufen, um Bedrohungen schneller zu erkennen.

3. Bereite dich proaktiv darauf vor, Sicherheitslücken einzudämmen

DORA bezeichnet ausdrücklich die Eindämmung von Sicherheitsverletzungen als Schlüssel zur Widerstandsfähigkeit. Technologien zur Eindämmung von Sicherheitsverletzungen wie Mikrosegmentierung, auch genannt Zero-Trust-Segmentierung, helfen Sicherheitsteams dabei, das Netzwerk in Zonen zu unterteilen, um die Kommunikation zwischen Workloads und Geräten so zu steuern, dass nur das zugelassen wird, was notwendig und gewünscht ist.

Beispielsweise können Sie Mikrosegmentierung verwenden, um die Kommunikation von Server zu App, von Entwicklung zu Produktion oder von IT zu OT einzuschränken. Auf diese Weise können Sie wertvolle Ressourcen proaktiv isolieren oder kompromittierte Systeme während eines aktiven Angriffs reaktiv eindämmen, um die Ausbreitung einer Sicherheitsverletzung zu verhindern.

Wie entspricht Illumio den DORA-Anforderungen?

Bank- und Finanzdienstleistungsorganisationen sollten beginnen mit Illumio Zero Trust-Segmentierung um Resilienz aufzubauen und auf die DORA-Konformität hinzuarbeiten.

Hier sind drei Möglichkeiten, wie Illumio Sie auf Ihrem Weg zu betrieblicher Belastbarkeit und DORA-Konformität unterstützen kann

1. Zuordnung der Anwendungsabhängigkeiten ‍

Benutzen Die Karte von Illumio um eine Lückenanalyse durchzuführen, in der die aktuellen Sicherheitsinitiativen und Risiken Ihres Unternehmens mit den wichtigsten Säulen von DORA verglichen werden.

Verschaffen Sie sich einen schnellen, leicht verständlichen Einblick in den Anwendungs- und Workload-Traffic und die Kommunikation auf der gesamten hybriden Angriffsfläche. Finden Sie beispielsweise heraus, welche Server mit geschäftskritischen Ressourcen kommunizieren oder welche Anwendungen offene Verbindungen zum Internet haben, sodass böswillige Akteure problemlos auf das Netzwerk Ihres Unternehmens zugreifen können.

Diese Transparenz ermöglicht es Ihrem Sicherheitsteam, seine Arbeit im Hinblick auf die DORA-Konformität zu priorisieren. Sie können sehen, wo das Unternehmen bereits die Vorschriften einhält und wo bessere Sicherheitskontrollen eingeführt werden müssen.

2. Flexible, granulare Segmentierungsrichtlinie

Nachdem Sie Einblick in Ihr Netzwerk erhalten haben, können Sie der Festlegung fundierter Sicherheitsrichtlinien, die Ihre Cyber-Resilienz und Compliance erhöhen, Priorität einräumen.

Mit Illumio können Sie automatisch flexible, granulare Segmentierungsrichtlinien festlegen, die die Kommunikation zwischen Workloads und Geräten steuern. Dies trägt dazu bei, den Zugriff mit den geringsten Rechten zu erreichen, sodass nur auf das zugegriffen werden kann, was erforderlich und gewünscht ist. Sie können beispielsweise die Kommunikation zwischen Servern und Anwendungen, zwischen Entwicklern und Herstellern oder zwischen IT und OT einschränken.

3. Isolieren Sie proaktiv Ressourcen oder verhindern Sie reaktiv die Ausbreitung von Sicherheitslücken

Die Segmentierung Ihres Netzwerks mit Illumio bietet sowohl proaktiven als auch reaktiven Schutz vor unvermeidlichen Sicherheitslücken und stellt sicher, dass Sicherheitslücken nicht zu katastrophalen Störungen in Ihrem Unternehmen führen.

Mit Illumio können Sie wertvolle Ressourcen proaktiv vom Rest des Systems isolieren, sodass sich Sicherheitslücken nicht auf diese Ressourcen ausbreiten, den Betrieb stoppen und Schäden anrichten können.

Während eines aktiven Angriffs können Sie die Ausbreitung einer Sicherheitsverletzung reaktiv stoppen und sie innerhalb weniger Minuten auf einen kleinen Teil des Netzwerks eindämmen. In der Tat ein Emulation von Cyberangriffen von Bishop Fox stellte fest, dass Illumio die Ausbreitung einer Sicherheitslücke in weniger als 10 Minuten stoppen kann. Das ist viermal schneller als Lösungen für Endpoint Detection and Response (EDR) allein.

Lesen Sie wie Frankfurter Volksbank verwendet Illumio, um ihre Sicherheitslage zu verbessern.

Erfahren Sie mehr über Wie Illumio den Bankensektor schützt.

Kontaktieren Sie uns noch heute für eine kostenlose Demo und Beratung.