Einhaltung des Digital Operational Resilience Act

Zusammenfassung

Der Digital Operational Resilience Act (DORA) ist ein EU-weit geltender Rechtsrahmen, der darauf abzielt, die digitale Betriebsstabilität von in der EU tätigen Finanzdienstleistungsinstituten (FSIs) zu verbessern. Er stellt sicher, dass diese Einrichtungen allen Arten von Störungen und Bedrohungen im Zusammenhang mit Informations- und Kommunikationstechnologien (IKT) standhalten, darauf reagieren und sich davon erholen können. DORA gilt für eine Vielzahl von in der EU tätigen Finanzunternehmen sowie für relevante IKT-Dienstleister, die für diese Finanzunternehmen tätig sind. Die Verordnung trat am 17. Januar 2025 in Kraft.

Da Genesys ein anerkannter IKT-Drittanbieter potenziell relevanter Dienstleistungen ist, wissen wir, dass es bei der Einhaltung von DORA darum geht, unsere Finanzdienstleistungskunden und -partner zu befähigen und zu unterstützen, damit sie ihren regulatorischen Verpflichtungen nachkommen können, während wir gleichzeitig ihre Resilienz stärken. Im Rahmen dieser gemeinsamen Verantwortung ist es unser Ziel, Klarheit über unseren Ansatz zu schaffen und zu zeigen, wie wir die Kontinuität und Sicherheit unserer Dienstleistungen effektiv aufrechterhalten.

Genesys hat sein Engagement für die Einhaltung von Vorschriften bereits früh mit der Einrichtung einer Taskforce für Regulierungsfragen begonnen. Dieses von der Geschäftsführung unterstützte funktionsübergreifende Team hat die Aufgabe, bestimmungsrechtliche Entwicklungen zu beobachten und die Umsetzung aller erforderlichen Kontrollen in unserer gesamten Organisation sicherzustellen. Die Taskforce sorgt dafür, dass unsere betrieblichen Verfahren den Anforderungen der geltenden Vorschriften, einschließlich DORA, in ihrer jeweils aktuellen Fassung entsprechen, und erleichtert unseren Kunden und Partnern den Weg zu deren Einhaltung.

Genesys bedient sich dabei eines soliden Sicherheits- und Compliance-Rahmens, der kontinuierlich durch unabhängige Dritte validiert wird. Diese Validierungen dienen dazu, die Sicherheit, den Datenschutz und die Resilienz unserer Lösungen zu gewährleisten. Da Genesys die komplexen Probleme kennt, mit denen Finanzinstitute bei der Einhaltung ihrer bestimmungsrechtlichen Anforderungen konfrontiert sind, verfügt das Unternehmen über ein dediziertes Contact Center as a Service (CCaaS)-Center of Excellence (COE), das sich aus Fachleuten für Sicherheit, Datenschutz und Compliance zusammensetzt, die in enger Zusammenarbeit mit unterschiedlichen Geschäftsbereichen und Interessengruppen strukturierte Beratung bereitstellen. Genesys hat außerdem ein Financial Services Addendum (FSA) entwickelt, das speziell auf die Compliance-Anforderungen unserer Kunden und Partner aus dem Finanzdienstleistungsbereich zugeschnitten ist, einschließlich derer, die durch Lieferantenvereinbarungen eingebunden sind.

Genesys bittet seine Kunden und Partner, die eine stärkere Betreuung oder maßgeschneiderte Beratung wünschen, sich an ihren zuständigen Kundenbetreuer oder Customer Success Manager zu wenden, um mit unserem COE in Kontakt zu treten. Unsere Experten stehen bereit, um detaillierte Einblicke und Empfehlungen zu geben, die dazu beitragen, die Einhaltung der DORA-Verpflichtungen sicherzustellen und die allgemeine Resilienz der von uns unterstützten digitalen Ökosysteme zu verbessern.

Einführung

Diese Publikation liefert einen umfassenden Überblick über die wichtigsten DORA-Anforderungen und zeigt auf, wie Genesys seine Aktivitäten auf diese Prinzipien ausrichtet. Es werden die fünf Säulen des DORA-Rahmens (IKT-Risikomanagement, Meldung von Vorfällen, betriebliche Resilienz, Management des Drittparteienrisikos sowie Informationsaustausch und -kontrolle) erläutert und erklärt, wie diese Säulen in die betrieblichen Abläufe von Genesys eingebettet sind. Damit erfüllt Genesys nicht nur die Anforderungen von DORA, sondern ist für seine Finanzdienstleistungskunden und -partner zudem ein vertrauenswürdiger Dienstleister, der sich für betriebliche Resilienz, Sicherheit und Datenschutz einsetzt.

Darüber hinaus enthält diese Veröffentlichung Angaben zu den Zertifizierungs- und Compliance-Programmen sowie zur Compliance-Strategie von Genesys. Außerdem werden häufig gestellte Fragen zu DORA beantwortet.

Die fünf Säulen von DORA

1. IKT-Risikomanagement: Genesys nutzt branchenführende Strategien, um IKT-Risiken zu managen, und um sicherzustellen, dass die Daten und Dienste unserer Kunden sicher und widerstandsfähig gegen Cyberbedrohungen und Betriebsstörungen bleiben.
2. Meldung von Vorfällen: Unsere Mechanismen zur Meldung von Vorfällen sind robust und stellen sicher, dass wir im Falle einer erheblichen Störung die entsprechenden Stellen schnell benachrichtigen und unseren Kunden zeitnah transparente Updates zur Lösung des Vorfalls bereitstellen können.
3. Betriebliche Resilienz: Resilienz ist der Kern des Servicedesigns von Genesys. Wir haben umfassende Resilienzprüfungen eingeführt, einschließlich Szenarioanalysen und Kontinuitätsplanungen, um einen unterbrechungsfreien Service und eine erstklassige Verfügbarkeit selbst bei unvorhergesehenen Problemen zu gewährleisten.
4. Management des Drittparteienrisikos: Genesys verfolgt beim Risikomanagement einen proaktiven Ansatz innerhalb unserer Lieferkette. Wir unterstützen die Ausrichtung entsprechender Subunternehmer und Drittanbieter auf unsere Compliance-Initiativen und fördern so eine reibungslose Integration in Ihre Resilienzstrategien.
5. Informationsaustausch und -kontrolle: Im Rahmen unseres Engagements für operative Exzellenz stehen wir in ständigem Dialog mit Finanzunternehmen und arbeiten mit den entsprechenden Interessengruppen zusammen, um die Kontrolle zu verbessern und relevante Informationen auszutauschen und so die Resilienz zu stärken.

So reagiert Genesys auf die wichtigsten DORA-Anforderungen

Vertragliche Absicherungen

• Anforderungen: Verträge zwischen Subunternehmern und Finanzunternehmen müssen klare Definitionen der gelieferten IKT-Dienstleistungen und der Bedingungen enthalten, unter denen eine nachgelagerte Unterauftragsvergabe zulässig ist. In diesen Verträgen sollten auch die Pflichten der Subunternehmer in Bezug auf die Einhaltung von DORA festgelegt werden.
• So reagiert Genesys: Genesys sieht sich selbst als Subunternehmer für relevante IKT-Dienstleistungen und hat seine Verträge überprüft und aktualisiert, um sicherzustellen, dass sie die in DORA festgelegten Verpflichtungen erfüllen. Dazu gehört die Festlegung des Leistungsumfangs, die Beschreibung der Pflichten von Subunternehmern und Kunden, wie z. B. Prüfungsrechte und Penetrationstests, sowie die Erläuterung der Prozesse zur Überwachung und Prüfung der Einhaltung von Vorschriften über die gesamte Dienstleistungskette.

Threat-Led Penetration Testing (TLPT)

• Anforderungen: DORA schreibt vor, dass bestimmte Finanzunternehmen regelmäßig TLPTs durchführen müssen, um die Widerstandsfähigkeit von IKT-Systemen gegen ausgeklügelte Cyberbedrohungen zu testen. Diese Tests sind unerlässlich, um Schwachstellen zu identifizieren und die allgemeine Sicherheitslage zu verbessern.
• So reagiert Genesys: Genesys verfügt für seine Genesys Cloud-Plattform über ein umfassendes Penetrationstestprogramm, das Kunden die Möglichkeit bietet, zusätzliche Tests basierend auf vom Kunden identifizierten Anforderungen durchzuführen.

Lieferkettenmanagement

• Anforderungen: DORA betont die Notwendigkeit von Transparenz und Rechenschaftspflicht in der gesamten Lieferkette, insbesondere bei der Vergabe von kritischen Dienstleistungen an Subunternehmer. Finanzunternehmen müssen sichergehen können, dass alle Subunternehmer in der Lieferkette die in der Verordnung festgelegten Standards einhalten.
• So reagiert Genesys: Genesys verfügt über ein umfassendes Lieferkettenmanagementprogramm, das Due-Diligence-Verfahren für die Auswahl und Einbindung von Subunternehmern, eine kontinuierliche Überwachung und regelmäßige Audits umfasst.

IKT-Risikomanagement-Framework

• Anforderungen: DORA schreibt die Einrichtung eines belastbaren IKT-Risikomanagement-Frameworks vor, das alle relevanten Funktionen umfasst. Dieser Rahmen muss dynamisch sein, sich mit neu auftretenden Bedrohungen weiterentwickeln können und übergreifend genug sein, um alle IKT-Aspekte abzudecken.
• So reagiert Genesys: Wir haben unser proaktives Risikomanagement-Framework verbessert, um Risiken kontinuierlich zu identifizieren, zu bewerten und zu senken. Dazu gehören die regelmäßige Überprüfung, Aktualisierung und Erprobung unserer Risikomanagementrichtlinien und die Integration der neuesten Bedrohungsinformationen und bewährten Verfahren in unser Framework.

Meldepflichten bei Vorfällen

• Anforderungen: DORA verlangt die rechtzeitige Meldung größerer IKT-bezogener Vorfälle an die betroffenen Finanzunternehmen. Die Verordnung legt Fristen und notwendige Informationen fest, die in solchen Berichten enthalten sein müssen.
• So reagiert Genesys: Genesys verfügt über ein fortschrittliches System zur Erkennung und Reaktion auf Vorfälle, das eine schnelle Identifizierung, Klassifizierung und Meldung gewährleistet. Dieses System ist in weitergehende Sicherheitsmaßnahmen bei Genesys eingebettet, um eine schnelle Kommunikation und die Einhaltung der DORA-Meldefristen zu gewährleisten.

Zertifizierungen und Compliance-Programme

Genesys hat sich der Einhaltung höchster Standards in den Bereichen Sicherheit, Datenschutz und betrieblicher Resilienz verschrieben. Zur Unterstützung unserer Compliance-Bemühungen und zur Sicherheit unserer Kunden haben wir die folgenden Zertifizierungen erhalten und erneuern diese ständig. Außerdem nehmen wir an anerkannten Compliance-Programmen teil.

Integrierte Compliance-Strategie von Genesys

Im Rahmen der integrierten Compliance-Strategie von Genesys gleichen wir die bestimmungsrechtlichen Anforderungen von DORA mit unseren bestehenden Compliance-Programmen ab, indem wir die Kernsäulen von DORA in unsere betrieblichen Prozesse integrieren. Dieser Ansatz stellt sicher, dass die Einhaltung von Vorschriften nicht als separate Funktion behandelt wird, sondern in unsere Geschäftspraktiken integriert ist. So können wir die DORA-Standards proaktiv erfüllen und gleichzeitig die Resilienz unserer Geschäftstätigkeit aufrechterhalten.

Einheitlicher Ansatz für das Risikomanagement

Genesys verfolgt einen umfassenden Ansatz beim Risikomanagement durch die Einbeziehung regulatorischer Rahmenbedingungen wie DORA, NIS2 und die KI-Verordnung der EU. Wir verfolgen einen ganzheitlichen Ansatz, der IKT-Risiken, KI-Governance, Geschäftskontinuität und Notfallwiederherstellung sowie Cybersicherheitsmaßnahmen in eine kohärente Strategie integriert. Dieser einheitliche Ansatz verbessert die Resilienz, treibt Innovationen voran und trägt dazu bei, unsere Dienstleistungen vor neuen Risiken in verschiedenen bestimmungsrechtlichen Bereichen zu schützen.

Zentralisierte Meldung von Vorfällen

Wir verfügen über ein System zur Meldung von Vorfällen, das nicht nur die Meldepflichten von DORA erfüllt, sondern auch anderen Vorschriften wie der NIS2-Richtlinie entspricht. Dies ermöglicht eine effiziente Kommunikation mit unseren Kunden und Partnern und stellt sicher, dass Vorfälle umgehend gemeldet und bearbeitet werden.

Verbessertes Management von Subunternehmern

Unser Prozess zur Verwaltung von Subunternehmern umfasst eine risikobasierte Due-Diligence-Prüfung, Maßnahmen zur Einhaltung von Verträgen und Audits in Übereinstimmung mit den identifizierten Risikoprofilen. Dieser Ansatz ermöglicht eine kontinuierliche Überwachung der Leistung und Compliance von Subunternehmern, sodass alle an der Erbringung kritischer Dienstleistungen beteiligten Parteien die höchsten Standards einhalten.

Schulung und Sensibilisierung

Unsere Schulungsprogramme werden regelmäßig aktualisiert, um die regulatorischen Entwicklungen abzudecken. Mitarbeiter im gesamten Unternehmen erhalten Schulungen, in denen die Bedeutung von Sicherheit und Datenschutz hervorgehoben wird. Dazu gehört auch die Sensibilisierung für die Verantwortlichkeit im Rahmen der geltenden Rechtsvorschriften. Die Mitarbeiter von Genesys haben Zugang zu dem Wissen, das sie benötigen, um bei ihren täglichen Abläufen und Entscheidungsprozessen die Vorschriften einzuhalten.

Organisatorische Koordination

Die Zusammenarbeit zwischen den Teams ermöglicht ein einheitliches Verständnis der Verpflichtungen von Genesys gemäß den Vorschriften wie DORA und gewährleistet eine koordinierte Reaktion. Diese gemeinsame Anstrengung überwindet Silos und sorgt dafür, dass alle Teams nach denselben Spielregeln arbeiten. Regelmäßige funktionsübergreifende Besprechungen und Systemaktualisierungen sorgen dafür, dass wir auch bei bestimmungsrechtlichen Änderungen flexibel bleiben, und fördern eine Kultur der proaktiven Compliance, die unsere Abläufe in allen Dienstleistungen und Regionen verbessert.

Über DORA hinaus: Überlegungen zu NIS2 und dem EU-Gesetz zur künstlichen Intelligenz

DORA steht zwar im Mittelpunkt dieser Veröffentlichung, doch es ist auch wichtig, die sich überschneidenden und ergänzenden Anforderungen von NIS2 und dem neuen EU-Gesetz zur künstlichen Intelligenz zu berücksichtigen.

NIS2: Als Richtlinie zur Verbesserung der Cybersicherheit in relevanten Bereichen innerhalb der EU verfolgt NIS2 mehrere gemeinsame Ziele mit DORA, insbesondere im Bereich des Risikomanagements für Cybersicherheit und der Meldung von Vorfällen. Genesys beobachtet die Umsetzung von NIS2 in einzelnen EU-Ländern aufmerksam und wird diese Entwicklungen gegebenenfalls im Rahmen unseres umfassenderen Risikomanagements berücksichtigen.

EU-Gesetz zur künstlichen Intelligenz: Das EU-Gesetz zur künstlichen Intelligenz führt Regeln zur Einführung und zum Einsatz von KI ein, insbesondere für KI-Systeme mit hohem Risiko. Für Genesys bedeutet dies, dass KI-gesteuerte Funktionen den Anforderungen des KI-Gesetzes entsprechen müssen, einschließlich Risikomanagement, Transparenz und menschlicher Aufsicht. Genesys verfolgt die Entwicklungen beim EU-Gesetz zur künstlichen Intelligenz genau, um die Übereinstimmung mit den Anforderungen von DORA sicherzustellen und die operative Integrität und das Vertrauen in seine Compliance-Maßnahmen zu wahren.

Weitere Informationen finden Sie hier.