ACADEMY

DORA – neue Verantwortung im Bereich Cyberresilienz für die Leitungsebene

Schulung für Geschäftsführung und Überwachungsgremien

Beschreibung

Die Erfordernisse des Digital Operational Resilience Act (DORA) sind in allen EU-Mitgliedstaaten ab dem 17. Januar 2025 verbindlich anzuwenden. Laut Erhebung des Branchenverbandes Bitkom e. V. lagen die im Jahr 2023 direkt durch Cyber-Angriffe verursachten gesamtwirtschaftlichen Schäden bei EUR 148 Mrd., mit gestohlenen Daten bei EUR 206 Mrd.. Hierdurch ergeben sich auch in Bezug auf die IT- und Cybersicherheit neue und aktuelle Überwachungserfordernisse für Geschäftsleitungen sowie die zuständigen Überwachungsgremien in der Finanzindustrie.

Das Seminar zielt darauf ab, Geschäftsführung und Überwachungsgremien einen ganzheitlichen Überblick über die wesentlichen DORA-Erfordernisse zu geben. Abgeleitet wird dieser aus der DORA-Basisverordnung, den ergänzenden Anforderungen wie RTS sowie dem Verantwortungsbereich und dem Handlungsbedarf im Institut.

Im Seminar werden Erfahrungen aus den aktuellen BaFin-Empfehlungen zur DORA-Umsetzung geteilt und erläutert, an welchen Stellen die kritischen Pfade für das Projektmanagement liegen und wie das Institut mit den Altlasten der BAIT umgehen kann. Es zeigt der Geschäftsleitung mögliche Beschleunigungsakzente für die Umsetzungsprojekte in DORA-Prio 1-Themen auf, die für Institute verringerten Projektaufwand und deutliche Kostenreduzierung bedeuten können. Erfahrungen aus Umsetzungsprojekten werden neutral erläutert und „Lessons-Learned“ aufgezeigt.

Eine unzureichende Erfüllung bzw. Umsetzung der DORA-Erfordernisse kann zu teils erheblichen Aufwendungen führen, wie:

• Schwächen in der Cyber-Resilienz (Risiken/ Schäden für das Institut)
• Bußgelder wg. verspäteter/ entfallender Meldungen (72 Std.-Regel bei der Meldung von schwerwiegenden Vorfällen)
• mögliche Sonderprüfungen durch die Aufsicht bzw. kontenintensive Nachbesserungsarbeiten etc.
• Ein fehlendes Testen der neuen DORA-Meldungen in der Praxis kann zur Nichteinhaltung bei den zeitlichen Fristen führen. Auch Tests im Informationsregister lohnen sich.

Inhalte

Einleitung

• Ziel von DORA
• Überwachung der Umsetzungsstände in den Instituten bzw. den Umsetzungsprojekten
• Aufsichtliche Erwartungshandlung bzgl. Umsetzung, Jahresabschluss, Sonderprüfungen

DORA-Kapitel II: IKT-Risikomanagement (Art. 5 - 16) 

• Neue DORA-Strategie (mögliche Zusammenfassung bestehender IT-Strategie (BAIT) und daraus abgeleitete Verantwortlichkeiten und Überwachungserfordernisse)
• Verstärkte Verantwortlichkeit der Geschäftsleitung sowie gremienseitige Überwachung
• Organisatorische Pflichten des Managements/ Skill-Matrix der Vorstände und Gremien 
• Überwachung der DORA-seitigen Anpassung des IKT-Risikomanagements sowie der IKT-Governance
• Gremienseitige Überwachung des IKT-Geschäftsfortführungsmanagements (Business Continuity Management, Notfallmanagement, Überwachungsverantwortung)

DORA-Kapitel III: Behandlung, Klassifizierung und Berichterstattung IKT- bezogener Vorfälle (Art. 17 - 23)

• Vorstands- und gremienseitige Überwachung von: IKT-Vorfällen, Schadensbewertung und notwendige Reaktion
• Kommunikationsstrategie und Verantwortlichkeiten bei Cybervorfällen 
• Überwachung der Meldepflichten von schwerwiegenden IKT-Vorfällen

DORA-Kapitel IV: Testen der digitalen operationalen Resilienz (Art. 24 - 27)

• Vorstands- und gremienseitige Überwachung der digitalen Betriebsstabilität (Pen-Tests sowie Qualifikation in- und externer Tester)

DORA-Kapitel V: Management des IKT-Drittparteirisikos (Art. 28 - 30)

• Vorstands- und gremienseitige Überwachung des Managements der IKT-Drittparteienrisikos
• Verstärkung der Rechtsposition des Instituts (effiziente Vertragsanpassungen an die DORA-Erfordernisse)
• Abstimmung des IKT-Geschäftsfortführungsmanagements mit kritischen/ wichtigen IKT-Dienstleistern (BCM, Notfallplanungen)
• Neues Informationsregister (wichtig: kritische/ wichtige IKT-Drittdienstleister)
• Vorstandsseitige Verantwortung der Strategie des IKT-Drittparteienrisikos  

Methodik

• Interaktiver Vortrag
• Offene Runde
• Praxisbeispiele

Teilnehmerkreis

Das Seminar richtet sich ausschließlich an Vorstände, Geschäftsführung, Verwaltungsräte, Aufsichtsräte, Führungsebene, Informationssicherheitsbeauftragte, externe Revision und Aufsicht.

Rabatte / Fördermöglichkeiten

• Mengenrabatt