FRESH

PERSPECTIVE

Die Umsetzung von Anforderungen aus dem Digital Operational Resilience Act (DORA) steht für viele Unternehmen der Finanzbranche und IKT-Drittanbieter momentan an erster Stelle. Dies betrifft Finanzdienstleister, Kreditinstitute, Zahlungsdienstleister , Wertpapierfirmen, Versicherungen aber auch zum Beispiel Datenbereitstellungsdienste oder Ratingagenturen. IKT-Drittdienstleisters sind insbesondere Anbieter von Cloud-Computing- Services, Datenanalysediensten, Rechenzentren, und Softwareanbieter.

Im vergangenen Jahr wurden die Grundsteine für das Informationsregister und zahlreiche weitere durch DORA initiierte Maßnahmen gelegt. Vielen, gerade kleineren Finanzdienstleistern, fehlt es an erfahrenem Personal bei der DORA-Umsetzung.

Die Anbindung externer Datenquellen zur automatisierten Befüllung des Informationsregisters, die von nun an verpflichtende jährliche Einreichung der Register bei der BaFin, sowie die Etablierung eines Meldewegs für schwerwiegende IKT-Vorfälle, die Erfassung, Prüfung und Bewertung von Verträgen und Lieferanten zum Management von Drittparteienrisiken sind eine Herausforderung. ITC unterstützt bei der fachlichen Beratung, Datenbefüllung, Analyse von Verträgen und Lieferantenbeziehungen, technischen Integration in bestehende ITSM und GRC-Lösungen, oder Auswahl einer Standardsoftware für die Umsetzung der Anforderungen aus DORA.

• Drittanbieter-Risikomanagement: Überprüfung und Aktualisierung von Auslagerungsrichtlinien, Verträgen und Prozessen zur Risikoanalyse.
• IKT-Governance und Risiko-Management: Neue Compliance Anforderungen erfordern Anpassungen an internen Richtlinien und Prozessen.
• Überprüfung der digitalen Resilienz: Entwicklung und regelmäßige Durchführung von neuen Testing-Prozessen wie z.B. Thread-ledPen-Tests.
• Störfälle und Meldepflichten: Entwicklung eines internen Meldesystems für schwerwiegende IKT-Vorfälle.

Im Rahmen eines Projekts zur Verlegung der Konzernzentrale von Wien nach Frankfurt am Main und der Integration mehrerer ausländischer Tochtergesellschaften haben wir für eine ausländische Staatsbank folgende GRC-Maßnahmen durchgeführt:

• Erstellung einer IT-Risikostrategie und Aufbau eines KPI-Dashboards
• Begleitung der Sonderprüfungen durch den Wirtschaftsprüfer der BaFin
• Erweiterung von IT-Richtlinien und Arbeitsanweisungen zu einer zentralen schriftlich fixierten Ordnung
• Durchführung eines Neu-Produkt-Prozesses für Investmentbanking-Produkte und deren IT-Systeme

Diese Maßnahmen stellten sicher, dass die Bank den regulatorischen Anforderungen gerecht wurde und ihre IT-Risiken effektiv managen konnte.

Für ein IT-Systemhaus haben wir die Beratung und Umsetzung regulatorischer Anforderungen im Cloud-Bereich mit besonderem Fokus auf Endkunden in den Branchen Medical, Versicherung und Public Sektor durchgeführt. Eine besondere Herausforderung bestand im Design von Lösungen für die sichere Verarbeitung und Speicherung von Gesundheitsdaten in der Cloud.
Unsere Leistungen umfassten:

• Entwicklung von Cloud-Lösungen, die den strengen regulatorischen Anforderungen für Gesundheitsdaten entsprechen
• Beratung zur Einhaltung branchenspezifischer Compliance-Vorgaben für Medical, Versicherung und Public Sektor
• Implementierung von Sicherheits- und Datenschutzmaßnahmen, die den gesetzlichen Bestimmungen gerecht werden

Mit diesen Maßnahmen konnte das IT-Systemhaus sichere und konforme Cloud-Lösungen anbieten, die den hohen Anforderungen der Endkunden in sensiblen Branchen gerecht wurden.