Compliance-Lexikon · DORA
Finanzsektor-Cyberresilienz – Praxis
Finanzsektor-Cyberresilienz wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Existiert eine sektorübergreifende Sicht auf die eigene Cyberresilienz im Vergleich zu Peer-Institutionen im Finanzsektor?
Häufige Fehler in der Praxis
- Cyberresilienz wird isoliert betrachtet, ohne Bezug zu sektorweiten Bedrohungslagen
- Keine Teilnahme an Informationsaustausch-Initiativen zwischen Finanzunternehmen
- Systemische Risiken durch gemeinsame Abhängigkeiten (z.B. gleiche Cloud-Anbieter) werden nicht erkannt
Praxis-Tipp
DORA fördert explizit den freiwilligen Informationsaustausch zwischen Finanzunternehmen über Bedrohungen und Schwachstellen. Diese Vereinbarungen sind rechtlich abgesichert und in der Praxis wertvoll.
Systemische versus individuelle Resilienz
Cyberresilienz im Finanzsektor ist nicht nur eine individuelle, sondern eine systemische Frage: Der Ausfall eines großen IKT-Anbieters kann mehrere Institute gleichzeitig treffen. DORA adressiert dieses systemische Risiko über die Aufsicht kritischer IKT-Drittanbieter.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Nachweis der Teilnahme an Informationsaustausch-Vereinbarungen, dokumentierter Vergleich eigener Kennzahlen mit Branchenwerten. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Finanzsektor-Cyberresilienz über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.