Auf einen Blick: DORA stellt Compliance-Herausforderungen für Mainframe-Teams im Finanzsektor der EMEA mit Schwerpunkt auf operative Widerstandsfähigkeit gegenüber Cyberbedrohungen. Wichtige Punkte sind mögliche Strafen bei Nichteinhaltung und die Notwendigkeit unabhängiger Sicherheitsbewertungen.
- Die Strafen können ein Prozent der Jahreseinnahmen betragen und beinhalten strafrechtliche Haftung.
- Organisationen setzen unveränderliche Backup-Lösungen ein, um die Cyber-Resilienz zu stärken.
Im vergangenen Monat hatte ich die Gelegenheit, den Digital Operational Resilience Act (DORA) der Europäischen Union mit den Mainframe-Teams von 14 der größten Finanzinstitute in EMEA und Großbritannien zu diskutieren. Hier sind meine wichtigsten Erkenntnisse aus diesen Gesprächen: Es herrscht allgemeine Einigkeit darüber, dass für Mainframe-Teams die DORA-Anforderungen von früheren regulatorischen Richtlinien abweichen:
- Strafen, die ein Prozent der Jahreseinnahmen und strafrechtliche Haftung umfassen, erregen die Aufmerksamkeit von Führungskräften und Vorstandsmitgliedern
- Während DORA "alle kritische Infrastrukturen" hervorhebt, richtet sich das Rampenlicht wie nie zuvor auf die Mainframe-Infrastruktur
- DORA verlangt einen unabhängigen Penetrationstest/Sicherheitstest aller kritischen Infrastrukturen. Nur einige Mainframe-Teams befolgen diesen Rat.
- Die größte Änderung der Anforderungen im Vergleich von DORA mit anderen Vorschriften ist die Möglichkeit nachzuweisen, dass Ihr Finanzinstitut sich von einem Cyberangriff erholen kann – was sich stark von einer Katastrophenwiederherstellung unterscheidet.
- Mindestens die Hälfte der Finanzinstitute hat bereits an Stresstests der Europäischen Zentralbank (EZB) teilgenommen, um ihre organisatorische Fähigkeit zur Erholung von einem Cyberangriff zu bewerten.
- Es gibt erhebliche Bedenken hinsichtlich der "Auslegung" der technischen/geschäftlichen/resilienzbezogenen Anforderungen für DORA, selbst nachdem der Abschlussbericht im Januar veröffentlicht wurde.
- Die meisten Finanzinstitute sind bereits dabei, unveränderliche Backup-Lösungen für ihre Mainframe-Umgebungen zu implementieren – ein wichtiger Schritt zur Widerstandsfähigkeit gegen Cyberangriffe.
- Für jene Organisationen, die unveränderliche Backups implementieren, erkennen fast alle die Herausforderung, zu bestimmen, welches unveränderliche Backup für ihre Wiederherstellung geeignet ist.
- Viele Finanzinstitute erkennen, dass die Erholung von einem unveränderlichen Backup ein kritisches Problem im Zusammenhang mit Datenverlusten darstellt, bei dem möglicherweise Stunden an Finanztransaktionen verloren gehen.
- Die meisten Finanzinstitute haben DORA-spezifische Arbeitsgruppen eingerichtet, um ihre IT-Teams bei geeigneten Maßnahmen zu unterstützen, aber selbst diese Teams haben Schwierigkeiten, regulatorische Anforderungen in IT-Richtlinien zu übersetzen.
Fazit: DORA stellt neue Herausforderungen für Mainframe-Teams dar, nicht nur weil das Cyberangriffsszenario neu ist, sondern auch, weil die EZB aktiv mit Finanzinstituten zusammenarbeitet, die in Europa tätig sind, um zu beweisen, dass sie die neuen Ziele erfüllen. Erfahren Sie mehr darüber, wie DORA-Richtlinien zur Erreichung der operativen Resilienz beitragen, im Podcast "Mainframe Operational Resilience: DORA and Beyond."
Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.