DORA und die Zeitvorgaben

Zeit ist relativ - oder etwa nicht? Spätestens mit DORA ändert sich die Einstellung der Finanzinstitute zum Thema " Zeit " wahrscheinlich drastisch, denn das neue Regelwerk bringt neue, mandatorische Zeitvorgaben mit sich.

Zeit ist relativ – oder etwa nicht? Spätestens mit DORA ändert sich die Einstellung der Finanzinstitute zum Thema „Zeit“ wahrscheinlich drastisch, denn das neue Regelwerk bringt neue, mandatorische Zeitvorgaben mit sich. Und nein – damit meine ich nicht nur den 17. Januar 2025 (den Tag, ab dem DORA Anwendung finden wird).

Eine (teilautomatisierte) Suche in der DORA-Verordnung brachte eine Vielzahl von konkreten Zeitvorgaben zum Vorschein, die ich den fachlichen Domänen im DORA Puzzle zugeordnet habe. So wird beispielsweise für wichtige oder kritische IKT-Assets festgelegt, dass

Firewall-Regeln mindestens alle 6 Monate verifiziert,automatische Schwachstellenscans auf Wochenbasis durchgeführt und IT-Berechtigungen alle 6 Monate rezertifiziert werden müssen.

Die Schriftgröße in dem ein oder anderen Puzzlestück bitte ich zu entschuldigen, denn die Verfasser des Regelwerkes meinen es teilweise wirklich gut mit dem Setzen von Zeitlimits. Die nachstehende Abbildung gibt es daher nochmal als PDF zum heranzoomen auf meiner Website 🙂

In meiner Wahrnehmung hatten die Häuser bislang wenig bis keine konkreten zeitlichen regulatorischen Vorgaben und konnten mit der Aufsicht gut über die individuelle, risikoorientierte Auslegung des Zeitbegriffs diskutieren. Das ändert sich nun drastisch und die Vorgabentiefe erreicht ein bisher nicht dagewesenes Niveau.

Ob das zu unserem Vorteil oder Nachteil ist? Ich weiß es nicht – aber ich freue mich auf eure Sichtweise dazu 🙂 Einen tollen Start in die neue Woche.