DORA-Umsetzung für Finanzunternehmen und IKT-Dienstleister

DORA gilt für nahezu alle Finanzunternehmen in der EU, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen und Versicherungen. IKT-Drittdienstleister sind mittelbar betroffen: über die vertraglichen Pflichten ihrer Kunden und – wenn sie als kritisch eingestuft werden – über eine direkte Überwachung durch die Europäischen Aufsichtsbehörden.

Nach Art. 28 Abs. 3 DORA führen Finanzunternehmen ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen mit Drittdienstleistern. Die Struktur ist durch technische Durchführungsstandards vorgegeben, die Aufsicht – in Deutschland die BaFin – fordert das Register regelmäßig an. Die größte Hürde ist meist die Datenqualität, vor allem bei Subunternehmern und IKT-Dienstleisterketten.

DORA ist als EU-Verordnung unmittelbar anwendbar und hat für betroffene Institute die BAIT abgelöst. Die MaRisk gelten weiter: Für Auslagerungen ohne IKT-Bezug bleibt insbesondere AT 9 maßgeblich, bei IKT-Auslagerungen greifen beide Regelwerke ineinander. Das eigene Regelwerk sollte diese Abgrenzung sauber abbilden.

Der Readiness Check gleicht den Ist-Stand mit den Anforderungen aus IKT-Risikomanagement, Vorfallmanagement und -meldung, Resilienztests, IKT-Drittparteienrisiko und Informationsaustausch ab. Ergebnis ist eine priorisierte Liste der Lücken mit konkreten Maßnahmen und Verantwortlichkeiten.

Ja. Finanzunternehmen müssen Verträge nach Art. 30 DORA anpassen und fordern von ihren Dienstleistern unter anderem Audit- und Zugangsrechte, Mitwirkung an Tests, Informationen zu Vorfällen und Daten zu Subunternehmern für das Informationsregister. Wer diese Anforderungen strukturiert bedienen kann, verkürzt Vertragsverhandlungen deutlich.