Neue DORA- & Aufsichts-Anforderungen an (IKT-)Notfallmanagement & BCM am 28.01.2027

Die neuen DORA-Vorgaben in Verbindung mit den MaRisk fordern eine deutliche Verbesserung des IKT-Notfallmanagements und der Notfallkonzepte sowie des Business Continuity Managements (BCM) und des IT Service Continuity Management (ITSCM) der Institute und Dienstleister(!), um gravierende Risiken und Bedrohungen frühzeitig zu erkennen und Maßnahmen dagegen zu etablieren.

Verantwortlichkeiten der Notfallbeauftragten und des Krisenstabs sowie Maßnahmen und Vorgehensweisen im Notfall müssen genauer festgelegt, dokumentiert und ggü. den Mitarbeitern kommuniziert werden.

Zudem erwartet die Aufsicht regelmäßigere (GESAMT-)Notfalltests und die Einbindung der Dienstleister in Notfallübungen und Notfallkonzepte. Veränderungen in der Bedrohungslage sowie in der Wirksamkeit des Notfallkonzeptes müssen umgehend im Risikomanagement erfasst und im Notfallplan ergänzt werden.

Das BCM muss daher so aufgesetzt sein, dass die Widerstandsfähigkeit der (zeit-)kritischen Geschäftsprozesse ständig verbessert wird, auf Schadensereignisse angemessen reagiert werden kann (SIEM) und die Geschäftstätigkeiten nach einem Notfall so schnell wie möglich wieder aufgenommen werden können. Eine ganzheitliche Betrachtung ist daher ausschlaggebend.

Die Referierenden geben ausschließlich ihre persönliche Auffassung und nicht notwendigerweise die eines bestimmten Instituts, der Deutschen Bundesbank, der BaFin oder einer anderen Aufsichtsbehörde wieder. Die Referierenden nehmen auch keine offizielle aufsichtliche Auslegung regulatorischer Sachverhalte vor.