Please enable JavaScript.

Coggle requires JavaScript to display documents.

Digital Operational Resilience Act (DORA) EU-DORA-Digital-Operational…

- - - - Bewertung von Risiken, die mit dem Abschluss von Verträgen über IKT-Dienstleistungen:
        
        Abhängigkeit
        
        Abwägung Nutzen und Kosten
        
        Datenschutz und Rechtsdurchsetzung
        
        Überwachung und Beaufsichtigung
    - - Bei Unterstützung kritischer Funktionen wird zusätzlich empfohlen:
        
        Detaillierte Dienstleistungsgüte mit Leistungszielen
        
        Teilnahme an Tests der digitalen operationalen Resilienz
        
        Kontinuierliche Überwachung und Auditrechte
      - ESA entwickeln technische Regulierungsstandards zur Präzisierung der Bewertungskriterien
      - Anforderungen an Verträge:
        
        Beschreibung der IKT-Dienstleistungen
        
        Bestimmungen zu Datenschutz und Datensicherheit
        
        Unterstützung bei IKT-Vorfällen
        
        Kündigungsrechte und -fristen
        
        Zugang und Rückgabe von Daten im Insolvenzfall
    - - Vor Abschluss von IKT-Dienstleistungen dann Risikobewertungen; Kündigung bei Feststellung von erheblichen Verstößen
      - Unternehmen müssen eine Strategie für das IKT-Drittparteienrisiko innerhalb des Risikomanagementrahmens festlegen und prüfen. Führung Informationsregister
      - Unternehmen sind verantwortlich für Erhaltung der verpflichtungen gemäß der Verordnung
  - - - Anforderung aller Informationen für Überwachungsaufgaben. Verantwortung für Bereitstellung korrekter Informationen obliegt IKT-Drittdienstleistern
    - - Aufzeichnungen prüfen, Kopien anfertigen, Vertreter des Dienstleisters vorladen, Erklärungen anfordern, andere Personen befragen, etc.
      - Untersuchungsbefugnisse werden schriftlich mit Angaben zu Gegenstand/Zweck erteilt
    - - Schließung Kooperationsvereinbarungen zwischen EBA, ESMA, oder EIOPA mit Behörden von Drittländern, für Erleichterung Inspektionen
      - Überwachungstätigkeiten außerhalb der EU nicht durchführbar, Nutzung verfügbarer Informationen
      - Umfassen Auskunftsersuchen und allgemeine Untersuchungen
    - - Inspektion der Geschäftsbehörde seitens Behörde möglich
      - Inspektionen umfassen alle relevanten IKT-Systeme und -Daten
      - Widersetzt sich ein IKT-Drittdienstleister der Inspektion, informiert Überwachungsbehörde über Konsequenzen, einschließlich Kündigung
    - - Behörde hat die Befugnis, Informationen anzufordern, Inspektionen durchzuführen, Berichte anzufordern und Empfehlungen zu IKT-Sicherheits- und Qualitätsanforderungen abzugeben
      - Verpflichtung kritische IKT-Drittdienstleister mit Behörde zusammenzuarbeiten und Anforderungen erfüllen
      - Bei Nichteinhaltung Zwangsgelder, die täglich bis zur Erfüllung der Anforderungen bis zu 1% weltweiten Tagesumsatzes
    - - Empfehlungen an IKT-Drittdienstleister 3 Monaten nach Inspektion
      - Empfehlungen werden IKT-Drittdienstleister + Behörden mitgeteilt
    - - Erstellung eines Überwachungsprotokolls, für schnellen Informationsaustausch, tägliche Koordination, etc. dient
      - Mögliche Zusammenarbeit mit EZB und ENISA
      - Gemäß Artikel 31 richten die drei federführenden Behörden ein JON ein für eine kohärente Überwachungsstrategie
    - - Regulierungsstandards, um:
        
        Informationen festzulegen, die von IKT-Drittdienstleistern in einem freiwilligen Antrag auf Einstufung als kritisch bereitgestellt werden müssen.
        
        Inhalt, Struktur und Format der Informationen zu bestimmen
        
        Einzelheiten der Bewertung durch zuständige Behörden über die Maßnahmen zu klären.
    - - Überwachung umfasst IKT-Anforderungen, Risikomanagementprozessen, Governance-Regelungen, Systemtests, Datenübertragbarkeit, etc.
      - Vor Annahme Überwachungsplan wird ein Entwurf zur Stellungnahme dem IKT-Drittdienstleister übermittelt
    - - Maßnahmen berücksichtigen Schwere/Dauer des Verstoßes sowie die potenziellen Auswirkungen
      - Behörden können verlangen, Nutzung von Dienstleistungen kritischer IKT-Drittdienstleister auszusetzen oder Verträge zu kündigen
      - Behörden informieren Unternehmen über identifizierte Risiken
    - - Aufgaben:
        
        Erarbeitung gemeinsamer Positionen und Maßnahmen
        
        Jährliche Bewertung der Überwachungsergebnisse
        
        Entwicklung von Referenzwerten
      - Zusammensetzung Überwachungsforum: ESA, nationale Behörden, Vertreter der Kommission, EZB, ESRB und ENISA
      - Ziel: Arbeit im IKT-Drittparteienrisiko unterstützen + kohärenter Überwachunsansatz
    - - Kritische IKT-Drittdienstleister müssen Gebühren zahlen, die die notwendigen Ausgaben der Behörde für die Durchführung ihrer Überwachungsaufgaben decken
    - - Einstufung erfolgt seitens ESA afugrund Kriterienkatalog:
        
        Systemische Auswirkungen auf Dienstleistungen bei Betriebsstörungen
        
        Systemrelevanz der Finanzunternehmen, die IKT-Dienstleister nutzen
        
        Abhängigkeit von Unternehmen von Leistungen des IKT-Dienstleisters
        
        Substituierbarkeit des IKT-Dienstleisters
      - Jährlich Veröffentlichung einer Liste kritischer IKT-Drittdienstleister
      - Kritische IKT-Dienstleister mit Sitz in Drittländern müssen innerhalb von 12 Monaten nach ihrer Einstufung ein Tochterunternehmen in der EU gründen
    - - Alle fünf Jahre Erstellung eines Berichts, der Fokus auf die Entwicklung des IKT-Drittparteienrisikos und dessen Auswirkungen auf Finanzstabilität, Marktintegrität legt
- - - - Berücksichtigung wiederkehrender Vorfälle:
        Zeitraum der letzten drei Monate die Schwellen erfüllen. Wiederkehrende Vorfälle müssen min. 2x auftreten, dieselbe Ursache haben und in Art und Auswirkung ähnlich
      - Signifikante Cyber-Bedrohungen:
        
        Auswirkungen auf kritische Funktionen
        
        Hohe Wahrscheinlichkeit der Materialisierung
        
        Erfüllung der Bedingungen für bedeutende ICT-bezogene Vorfälle
        => alle Bedingungen müssen erfüllt sein
      - Materialitätsschwellen für bedeutende Vorfälle und signifikante Cyber-Bedrohungen:
        
        Datenverluste (Artikel 13)
        
        Betroffene kritische Dineste (Artikel 14)
        
        Wirtschaftliche AUswirkungen (Artikel 15)
        
        Wiederkehrende Vorfälle (Artikel 16)
      - Meldepflichten und Informationsaustausch:
        
        Bedeutung von Vorfällen für Behörden in Mitgliedstaaten (Artikel 18)
        
        Details zu bedeutenden Vorfällen, die gemäß Artikel 19(6) und (7)
        
        Einheitliche Anwendung der Meldepflichten
        
        Proportionalitätsprinzip -> klare + konsistente Kriterien
        
        Ausrichtung an bestehenden Rahmenwerken
      - Klassifizierungskriterien für IKT-bezogene Vorfälle:
        
        Betroffene kritische Dienste
        
        Wirtschaftliche Auswirkungen
        
        Materielle Schwellenwerte
        
        Wiederkehrende Vorfälle
    - - Stufe der Zusicherung im Due-Diligence-Prozess:
        
        Zielsetzung der Zusicherung -> Zusicherung zwecks Geschäftsreputation, Zuverlässigkeit, Risikomanagementrahmens
        
        Nutzung unabhängiger Informationsquellen (Objektivität und Zuverlässigkeit)
        
        Durchführung von Audits, falls Zusicherung nicht ausreichend
        
        Risiko unzureichender Unabhängigkeit
      - Konfliktquellen:
        
        Option A: Spezifische Konfliktquellen und Managementanforderungen identifizieren
        
        Option B: Anforderungen bzgl Konfliktquellen bereits durch Verordnung abgedeckt
        
        Kosten-Nutzen-Analyse
      - Unterschiedliche Sorgfaltspflicht für IKT-Dienstleister innerhalb der Gruppe und Drittanbieter:
        leichterer Ansatz für IKT-Dienstleister zu rechtfertigen, da das ausgehende Risiko durch das interne Kontrollsystem abgedeckt
      - Vertragliche Klauseln
    - - Physische- und Umgebungssicherheit:
        
        Schutz Räumlichkeiten, Datenzentren, ...
        
        Sicherung von IKT-Vermögenswerten
        
        Sicherstellung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit
      - Zugangskontrollen:
        
        Lebenszyklusmanagement
        
        Zugriffskontrolle und -rechte
        
        Authentifizierungsmethoden
        
        etc.
      - Management von IKT-bezogenen Vorfällen:
        
        Aufbewahrung von Beweismitteln
        
        Überprüfung der Politik
      - Sicherheit des IKT-Betriebs, Richtlinien:
        
        Installation, Konfiguration, Deinstallation von Vermögenswerten
        
        Management von Vermögenswerten, einschließlich Verarbeitung und Handhabung
        
        Identifizierung und Kontrolle von veralteten IKT-Systemen
      - IKT-Risikomanagementprozess:
        Einrichtung von Verfahren und Protokolle, um auf Vorfälle zu reagieren
      - Daten-, System- und Netzwerksicherheit:
        
        Implementierung von Sicherheitsmaßnahmen für Software, Datenspeichermedien, Systeme und Endgeräte
        
        Sichere Übertragung, Löschung und Entsorgung von Daten
      - Klassifizierung von Informations- und IKT-Vermögenswerten für fundierte Entscheidungsgrundlage für Zuweisung von Ressourcen und Anwendung von Sicherheitsmaßnahmen
      - Priorisierung von IKT-Sicherheitstests