Das Inkrafttreten der Verordnung über die digitale operationale Resilienz (DORA) markiert einen Wendepunkt in der europäischen Finanzregulierung. Diese Vorschrift verpflichtet Finanzinstitute, einschließlich Investmentgesellschaften und Crowdfunding-Plattformen, ihre digitale Resilienz zu stärken, technologische Risiken angemessen zu managen und ihre Reaktionsprotokolle gegen Cyberangriffe zu verbessern. Sie wird nicht nur die internen Abläufe dieser Akteure transformieren, sondern auch das gesamte Ökosystem, in dem sie agieren – einschließlich des Fintech- und Proptech-Sektors.
Urbanitae, als bedeutender Akteur im Bereich Investitionen, befindet sich im Zentrum dieses Wandels, was die Notwendigkeit unterstreicht, sich an ein immer anspruchsvolleres regulatorisches Umfeld anzupassen.
Was ist DORA?
DORA, oder Digital Operational Resilience Act, ist eine Verordnung der Europäischen Union, die einen einheitlichen Rechtsrahmen zur Sicherstellung der digitalen operativen Resilienz im Finanzsektor schafft. Ihr Hauptziel ist es, dass alle Finanzinstitute – von Banken bis hin zu Investmentgesellschaften und IT-Dienstleistern – robuste Systeme implementieren, die ihnen helfen, technologische und operationale Risiken zu managen, die Informationen ihrer Kunden zu schützen und die Kontinuität ihrer Dienstleistungen im Falle von Cyberangriffen oder disruptiven Vorfällen zu gewährleisten.
Die Verordnung trat am 16. Januar 2023 in Kraft und wurde am 17. Januar dieses Jahres wirksam. Die Institute haben nun eine zweijährige Übergangsfrist, um die anspruchsvollen Anforderungen zu erfüllen. Zu diesen gehören die Implementierung von Notfallplänen, regelmäßige Risikobewertungen und Tests der operativen Resilienz, allesamt zentrale Maßnahmen zur Erhöhung der digitalen Widerstandsfähigkeit und zum Schutz von Daten in einer zunehmend vernetzten und gefährdeten Umgebung.
Wie das spanische Ministerium für Wirtschaft, Handel und Unternehmen betont, ist diese Vorschrift besonders relevant für Investmentgesellschaften, da sie die Cybersicherheit im Umgang mit großen Mengen sensibler Informationen stärkt und einen Standard setzt, der die Praktiken in der gesamten EU harmonisiert.
Nach Einschätzung von Nacho Bautista, Leiter des Crowdfunding-Segments der AEFI (Spanische Vereinigung für FinTech und InsurTech) und CEO von Fundeen, „kommt DORA nicht mit Vorschlägen, sondern mit Verpflichtungen. Und sie verlangt, dass Investmentgesellschaften aufhören, Cybersicherheit als reine Pflichtübung zu betrachten, sondern sie als fundamentalen Bestandteil ihrer Geschäftstätigkeit behandeln. Es reicht nicht mehr, ein gutes Antivirenprogramm zu haben oder gelegentlich eine Datensicherung durchzuführen. Jetzt geht es darum, digitale Risiken mit der gleichen Ernsthaftigkeit zu verwalten wie finanzielle Risiken.“
Wie sollten sich Unternehmen auf die neue Regulierung vorbereiten?
Die Anpassung an DORA erfordert eine umfassende Transformation des Risikomanagements und der digitalen Abläufe. Finanzinstitute müssen eine vollständige Diagnose ihrer IT-Infrastruktur durchführen, um ihre kritischen Vermögenswerte und Prozesse detailliert zu identifizieren und zu klassifizieren. Dadurch können sie Schwachstellen aufdecken und Schutzmaßnahmen ergreifen, um Risiken zu minimieren.
„Das Risikomanagement wird proaktiver als reaktiv sein. Es geht nicht nur darum, Probleme zu lösen, wenn sie auftreten, sondern sie vorherzusehen und zu verhindern. Das bedeutet, kontinuierliche Kontrollen über alle kritischen Systeme einzuführen, regelmäßige interne Audits durchzuführen und eine ständige Überwachung potenzieller Schwachstellen zu gewährleisten“, erklärt Bautista.
Parallel dazu ist es entscheidend, die Beziehung zu externen Dienstleistern zu überarbeiten. Laut der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) legt DORA strenge Kontrollen für die gesamte Lieferkette von IT-Dienstleistungen fest, indem sie verlangt, dass jeder Anbieter die festgelegten Sicherheitsstandards einhält. Die Überprüfung und Aktualisierung von Verträgen mit klaren Klauseln, die Verantwortlichkeiten und Meldeprotokolle definieren, sind unerlässlich.
Darüber hinaus benötigen Unternehmen „spezialisierte Teams für Cybersicherheit – Fachleute, die sowohl die Technologie als auch die spezifischen Risiken des Finanzsektors verstehen“, betont der AEFI- und Fundeen-Vertreter. „Ebenso sind Echtzeit-Überwachungstools und Systeme zur Erkennung von Eindringversuchen erforderlich, die es ermöglichen, schnell auf jede Bedrohung zu reagieren.“
Wie betrifft DORA Unternehmen wie Urbanitae?
Urbanitae, als von der spanischen Finanzmarktaufsicht (CNMV) regulierte Crowdfunding-Plattform, unterliegt einem Rechtsrahmen, der die Transparenz und den Schutz der Anleger gewährleistet, aber sich nun auch den Anforderungen der neuen DORA-Verordnung anpassen muss.
„Plattformen für Immobilien-Crowdfunding und andere Sektoren sind aufgrund ihrer digitalen Natur besonders anfällig für technologische Risiken. Die Einhaltung von DORA mag anfangs eine Belastung sein (höhere Kosten, mehr Prozesse, zusätzliche Audits…), aber sie kann auch ein entscheidender Wettbewerbsvorteil sein“, erklärt Bautista.
Der Einfluss von DORA auf ein Unternehmen wie Urbanitae zeigt sich in der Notwendigkeit, Cybersicherheit und das Management technologischer Risiken zu stärken. Die Verordnung verlangt, dass Finanzinstitute, einschließlich Immobilien-Crowdfunding-Plattformen, robuste Systeme zur Identifizierung und Minderung von Schwachstellen in ihrer digitalen Infrastruktur implementieren.
Das bedeutet, dass Urbanitae nicht nur seine eigenen Systeme überprüfen und auditieren muss, sondern auch die gesamte Kette von Technologieanbietern, die für die Verarbeitung und Speicherung von Informationen über Anleger und finanzierte Projekte genutzt werden.
In diesem Zusammenhang erkennt Nacho Bautista an, dass „Anleger nicht nur nach guten Renditen suchen, sondern auch nach Vertrauen. Und in einer Welt, in der Cyberangriffe immer häufiger werden, ist die Gewissheit, dass Ihr Geld auf einer Plattform geschützt ist, die den höchsten Sicherheitsstandards entspricht, zweifellos ein Mehrwert.“
Die Anpassung an DORA bringt zwar Herausforderungen in Bezug auf Investitionen und technologische Aktualisierungen mit sich, aber bei Urbanitae wird sie als Gelegenheit gesehen, sich als Referenzunternehmen in der Branche zu positionieren und ein starkes Engagement für digitale Sicherheit und operationale Resilienz zu demonstrieren.
Anwendung von DORA in anderen Sektoren
Obwohl DORA hauptsächlich auf den Finanzsektor ausgerichtet ist, erstrecken sich ihre Auswirkungen auch auf andere Bereiche. Versicherungen, Cloud-Dienstleister und Telekommunikationsunternehmen werden gezwungen sein, ihre Schutzstandards zu erhöhen, wodurch die Standardisierung von Sicherheitspraktiken auf europäischer Ebene gefördert wird.
