Standpunkt: EU-Cybersicherheit (DORA)

Mit der DORA-Verordnung setzt die EU erstmals europaweit einheitliche IKT-Mindeststandards für Finanzmarktakteure, vor allem in Bezug auf das Risikomanagement. Ziel ist es, dadurch die Widerstandsfähigkeit gegen Cyber-Angriffe zu erhöhen. Dies ist im Grundsatz zu begrüßen. Denn bislang bestanden große Ungleichheiten bei den Sicherheitsstandards je nachdem in welchem Land sich ein Finanzunternehmen befand. Seit dem Inkrafttreten der Verordnung werden zu deren Konkretisierung sukzessive technische Standards veröffentlicht.

In Bezug auf die Kleinteiligkeit der Ausgestaltung des Regelwerks ist der Gesetzgeber übers Ziel hinausgeschossen. So müssen eine viel zu hohe Anzahl an Vorfällen dokumentiert und bewertet werden, die in der Praxis nicht sicherheitsrelevant sind. Zudem sind die Dokumentations- und Meldeanforderungen für das IKT-Risikomanagement zu detailliert und führen zu großem Aufwand bei den Banken. Auch das Management des IKT-Drittparteienrisikos verursacht viel Bürokratie. Hierbei sind sowohl der Inhalt als auch die Sinnhaftigkeit des Umfangs des Informationsregisters fraglich. Zudem entsteht hoher Druck auf die Banken durch kurze Umsetzungsfristen. Insgesamt berücksichtigen die IKT-Anforderungen viel zu wenig die Größe einer Bank sowie ihr Geschäftsmodell. Diese Faktoren sind jedoch entscheidend, um das damit verbundene Gefahrenpotential für die Finanzstabilität und letztlich auch für die Resilienz ganzer Volkswirtschaften zu quantifizieren. Durch die unverhältnismäßigen Vorgaben entstehen Kosten, die unbegründet sind und keinen verhältnismäßigen Mehrwert für die digitale Sicherheit der Banken und des Finanzsystems insgesamt bieten.

„One-size-fits-all“ – Regulierungen können auf dem so vielfältigen Bankenmarkt grundsätzlich keine befriedigende Lösung darstellen. Es muss daher in der Praxis der Bankenaufsicht Berücksichtigung finden, dass das systemische Risiko von Genossenschaftsbanken erheblich geringer ist als das von international vernetzten Großbanken. Gleichzeitig geht es darum, Meldepflichten auf ein Mindestmaß zu reduzieren. Beispielweise müssen Wesentlichkeitsschwellen angepasst werden, sodass keine Flut an irrelevanten Meldungen von IKT-Vorfällen entsteht. Außerdem ist besonders darauf zu achten, dass es gegenüber den Meldestellen nicht zu Doppelabfragen kommt. Bestehende Meldeanforderungen sind deshalb mit neuen Auflagen zusammenzulegen. Zudem sollte den Banken ausreichend Zeit für die Umsetzung der neuen Vorgaben gegeben werden. Verzögerungen bei der Veröffentlichung technischer Standards dürfen nicht zu einer Verkürzung der Umsetzungsfristen führen.