Neues zu den kritischen oder wichtigen Funktionen von der BaFin

Liebe DORA-Community, viele von euch hatten gestern die Gelegenheit, bei der BaFin-Veranstaltung „ IT-Aufsicht im Finanzsektor – das erste Jahr DORA “ dabei zu sein. Die Aufsicht sprach von mehr als 4.500 Menschen in diesem interessanten Livestream.

Liebe DORA-Community, viele von euch hatten gestern die Gelegenheit, bei der BaFin-Veranstaltung „IT-Aufsicht im Finanzsektor – das erste Jahr DORA“ dabei zu sein. Die Aufsicht sprach von mehr als 4.500 Menschen in diesem interessanten Livestream.

Es wurde viel Spannendes berichtet und ich habe fleißig mitgeschrieben. Ein Thema, das ich mit besonderer Priorität verfolgt habe, waren die Aussagen zu den kritischen oder wichtigen Funktionen – ein wirklich intensiv diskutiertes Thema in den letzten Monaten.

Für alle, die gestern nicht dabei sein konnten oder die mit technischen Problemen gekämpft haben, stelle ich gerne meine Zusammenfassung zur Verfügung:

1. Definition und Abgrenzung der kwF: Kritische oder wichtige Funktionen werden als die „Kronjuwelen“ des Unternehmens bezeichnet. Ohne diese kann der Fortbestand des Unternehmens oder die Einhaltung regulatorischer Anforderungen nicht gewährleistet werden.

2. Definition von „Funktion“: Unter Bezugnahme auf die Q&A DORA 019 wurde klargestellt: Funktionen sind Prozesse, Aktivitäten oder Dienstleistungen. Es sind keine Personen, Organisationseinheiten oder Schlüsselfunktionen wie aus dem VAG bekannt.

3. Bedeutung der sachgerechten Identifikation: Die Identifikation von kwF ist der wichtigste erste Schritt, da viele DORA-Anforderungen (z. B. Incident Management, Business Continuity Management, Third Party Risk Management) darauf aufbauen.

3. Relevanz des Kerngeschäfts: kwF müssen nicht nur Kerngeschäftsaktivitäten sein. Auch Unterstützungsfunktionen können als kritisch oder wichtig eingestuft werden (siehe Q&A der Kommission zum Begriff „unterstützen“).

4. Relevanz des „erlaubnispflichtigen Geschäfts“: kwF müssen sich nicht nur auf das erlaubnispflichtige Geschäft des Finanzunternehmens beziehen. Auch andere Aktivitäten und Prozesse eines Finanzunternehmens können zu den kwF zählen.

6. Analyse-Ebene (Granularität): Es ist entscheidend, auf welcher Ebene der Prozesslandkarte man die kwF-Relevanz analysiert. Wählt man die Prozessebene „zu hoch“, läuft man Gefahr, durch pauschale Vererbung fast alles als kritisch einzustufen. Wählt man die Prozessebene „zu tief“, verliert man sich in tausenden Kleinstprozessen.

7. Aufsichtlicher Plausibilitäts-Check: Wenn ein Unternehmen nur „sehr wenige“ kwFs identifiziert, ist das für die Aufsicht ein Warnsignal, dass das Finanzunternehmen etwas übersehen haben könnte.

8. Aufsichts-Tipp: Die Aufsicht empfehlt ein Interview mit dem Leitungsorgan: „Mit welchen Themen hat sich dieses in den letzten Jahren intensiv beschäftigt?“ – dies gibt oft Hinweise auf die wahren kritischen Funktionen im Finanzunternehmen.

9. Prozessinventar als Basis: Die Identifikation der kwF steht und fällt mit der Qualität des Prozessinventars. Es ist wichtig, dort auch die Prozessabhängigkeiten dokumentiert zu haben, damit man neben den Kernprozessen auch die relevanten Unterstützungsprozesse (z. B. IT-Support, Major Incident Management, Backup & Recovery) auf kwF-Relevanz hin bewertet.

10. Erkenntnisse und Fehler aus den ersten Prüfungen: Die Prüfer berichteten, dass die Identifikation der kwFs häufig zu Diskussionen und Feststellungen führte. Folgende Mängel wurden bislang beobachtet:

• Unzureichende Dokumentation: Der Prozess der Herleitung der kwF war oft nicht nachvollziehbar dokumentiert.
• Fehlerhafte Übernahme aus der BIA: Viele Unternehmen nutzten einfach die Ergebnisse ihrer BIA (Business Impact Analyse), um die kwF zu ermitteln. Das Problem daran ist, dass die BIA oft nur auf Verfügbarkeit fokussiert und dadurch „lediglich“ zeitkritische Prozesse erkannt werden. kwF können aber auch bestehen, wenn Vertraulichkeit und Integrität besonders relevant sind. Ein bloßes „Copy-Paste“ der zeitkritischen Prozesse reicht also nicht. Vielmehr können auch Prozesse kritisch oder wichtig sein, wenn sie nicht zeitkritisch sind, jedoch besonders hohen Schutzbedarf bei Vertraulichkeit und Integrität genießen. Es ist im Übrigen auch unplausibel, wenn zeitkritische Prozesse gemäß BIA nicht als kritisch-wichtige Funktionen nach DORA eingestuft werden. Derartige Abweichungen müssten ggf. nachvollziehbar erläutert werden.
• Vererbung der kwF-Relevanz auf Unterstützungsprozesse: Unterstützungsprozesse wie z. B. IT-Support oder Datensicherung wurden oft bei der Bewertung der kwF vergessen. Die Aussage war zwar nicht, dass die genannten Prozesse automatisch als kwF einzustufen sind, jedoch sollten sie die kwF-Relevanz erben, wenn die eigentlich kritische oder wichtige Funktion ohne den jeweiligen Unterstützungsprozess „nicht überlebensfähig“ ist.
• I nformationsverbund: Die Verknüpfung zwischen kwF und den unterstützenden Ressourcen (z. B. IKT-Assets oder IKT-Dienstleistungen) war in den Prüfungen oft unvollständig.
• Asset-Abhängigkeit: Die Abhängigkeit von Prozessen und unterstützenden Assets wurde oft nicht sachgerecht dokumentiert. Es muss klar werden, ob eine Ressource für die kwF zwingend erforderlich ist oder nur „erleichternd“ wirkt (z. B. IDV). Besonders wichtig ist es dabei, den Grad der Abhängigkeit sauber und nachvollziehbar herzuleiten und diese Herleitung auch „ordentlich“ zu dokumentieren.
• kwF im Kontext der operativen Sicherheit: kwF-relevante IKT-Assets und -Systeme müssen erweiterte Sicherheitsanforderungen erfüllen. Alle Assets, die kritische oder wichtige Funktionen unterstützen, sind an das zentrale Überwachungssystem (SIEM) anzuschließen und müssen häufiger im Kontext des Schwachstellenmanagements gescannt werden. Die Logdaten von kwF-relevanten Ereignissen sind besonders zu schützen und ggf. entstehende Alarme sind auch außerhalb der Geschäftszeiten zu bearbeiten.
• kwF im Kontext des IKT-Drittparteienrisikomanagements: Es gibt eine harte Anforderung in DORA, dass für IKT-Dienstleistungen, die kwFs unterstützen, Exit-Strategie und Exit-Pläne vorliegen müssen. Die Beobachtung der Aufsicht dazu ist: Hier gibt es deutlichen Verbesserungsbedarf denn es fehlen oft die Ausstiegspläne.

Ein Punkt, den ich mir wirklich gewünscht und erhofft hatte zu hören, war die Position der BaFin zur FINMA-Aufsichtsmitteilung vom November 2025. Die Schweizer Aufsicht hatte darin einige aus unserer Sicht relevante Funktionen nicht als kritisch eingestuft und angemerkt, dass die Schweizer Finanzunternehmen aus ihrer Sicht nicht zu stark auf unterstützende Prozesse und Ressourcen abstellen sollen.

Die Antwort der BaFin dazu war bemerkenswert klar: DORA-relevante Finanzunternehmen sollten nicht versuchen, die Schweizer Sichtweise auf kritische Funktionen zu übernehmen. Schweizer Institute unterliegen einem eigenen Regelwerk. Dadurch ergeben sich abweichende Definitionen und ein anderer Blick auf die Einstufung kritischer Funktionen.

Wir in der EU schauen stärker auf Aktivitäten, Prozesse und Dienstleistungen von Finanzunternehmen – inklusive der unterstützenden Ressourcen – und wir müssen unsere Ermittlung der kritischen oder wichtigen Funktionen konsequent an der Definition nach DORA ausrichten.

Danke Bafin für diese wichtigen Hinweise und Impulse 🙂