Neue Rechtsvorschriften im Finanzsektor für mehr Cybersicherheit in der EU

Bereits die Einführung der EU Datenschutz-Grundverordnung hat den Banken- und Finanzsektor vor eine enorme Herausforderung gestellt. Mit dem Digital Operational Resilience Act (DORA) hat die EU-Kommission für den Finanzsektor einen neuen Gesetzentwurf vorgelegt, der aktuell im Europäischen Parlament und Rat beraten wird. Das Gesetz wird voraussichtlich 2024 in Kraft treten. Zudem hat die europäische Bankenaufsicht (European Banking Authority kurz: EBA) eine 125-seitige Richtlinie zum Thema Outsourcing (EBA Leitlinien zu Auslagerungen) veröffentlicht, diese sind bereits am 30. September 2019 in Kraft getreten. Im Rahmen der Konsultationsphase werden die europäischen Papiere aktuell noch mit den nationalen Aufsichtsbehörden abgestimmt. Es ist zu erwarten, dass die Richtlinien in Kürze ohne signifikante Änderungen in das deutsche Regelwerk aufgenommen werden.

Cyberangriffe, die auf Finanzinstitute und verbundene IT-Drittanbieter abzielen, haben sich zu einer zentralen Bedrohung entwickelt. Die Finanzaufsichtsbehörden reagierten bereits mit einer Erhöhung der Anforderungen an die IT-Sicherheit und das IT-Risikomanagement. Diese Anforderungen sind bis dato jedoch EU-weit sehr unterschiedlich und sehr lückenhaft definiert, zudem sind die Aufsichtsbehörden von Land zu Land nicht überall mit den gleichen Befugnissen ausgestattet. Der Digital Operational Resilience Act und die Leitlinien zu Auslagerungen der europäischen Bankenaufsicht sollen diese Lücken jetzt schließen und EU-weit für einheitliche Vorgaben sorgen.

Compliance-Verantwortliche stehen wegen der neuen Rechtsvorschriften für Finanzdienstleister vor großen Herausforderungen, denn in den meisten Finanzunternehmen sind historisch gewachsene Anwendungs- und Datensilos ein großes Compliance-Risiko. Durch eine Verbesserung des Informationsflusses im gesamten Unternehmen können die mit den Silos verbundenen Risken auf ein Minimum reduziert werden. Der Versuch, alle Compliance-Verfahren auf jedes einzelne Silo anzuwenden, ist in der Regel ein teures und fehleranfälliges Unterfangen. Oftmals wird auch eine digitale Lösung in Form eines Compliance-Management-Systems (CMS) eingesetzt. Eine Software dieser Art muss rechtskonformes Arbeiten ermöglichen und sich nahtlos in vorhandene IT-Infrastrukturen eingliedern. Doch gerade hier zeigen die isolierten CMS-Lösungen ihre Schwächen, denn erst wenn alle Geschäftsprozesse digital in Übereinstimmung mit den Compliance-Vorschriften aufgesetzt sind und in einem zentralen System zusammenlaufen, können die vorgegebenen Transparenz- und Compliance-Standards erfüllt werden.

Genau hier setzt ein Enterprise Content Management-System (ECM) an. Optimal integriert in bestehende IT-Umgebungen sorgt die Digitalisierungslösung für übergreifende und effiziente Prozesse. Mitarbeiter können so ohne Medienbrüche in durchgehenden Geschäftsprozessen arbeiten, während die Gewährleistung der Compliance automatisch im Hintergrund erfolgt.