DORA und die regulierten Tätigkeiten (Teil 1)

Seit über einem Jahr beschäftige ich mich intensiv mit der DORA-Verordnung – und noch immer gibt es Neues zu entdecken, zu durchdringen und manchmal auch zu enträtseln 😄Mein aktuelles Thema: Die Tätigkeiten und Dienstleistungen von Finanzunternehmen, die einer Zulassung, Registrierung oder laufenden Überwachung unterliegen. Der Einfachheit halber nenne ich sie „regulierte Tätigkeiten“ .

Seit über einem Jahr beschäftige ich mich intensiv mit der DORA-Verordnung – und noch immer gibt es Neues zu entdecken, zu durchdringen und manchmal auch zu enträtseln 😄Mein aktuelles Thema: Die Tätigkeiten und Dienstleistungen von Finanzunternehmen, die einer Zulassung, Registrierung oder laufenden Überwachung unterliegen. Der Einfachheit halber nenne ich sie „regulierte Tätigkeiten“.

Was haben regulierte Tätigkeiten mit DORA zu tun?

Um diese Tätigkeiten durchführen und damit verbundene Dienstleistungen am Markt anbieten zu dürfen, benötigen Kreditinstitute, Versicherungsunternehmen und Co. eine entsprechende Erlaubnis der zuständigen Aufsichtsbehörden. Die Tätigkeiten sind außerdem in mehrfacher Hinsicht für die DORA-Umsetzung relevant. Sie sind:

Grundlage für die Identifikation von „kritischen oder wichtigen Funktionen“ (kwF)
Bestandteil bei der Klassifikation meldepflichtiger IKT-Vorfälle bei der Ermittlung der „Kritikalität der betroffenen Dienste“, und
Basis für die Zuordnung von IKT-Dienstleistungen zu „genehmigten Tätigkeiten“ im Informationsregister

Die Herausforderung: Ein Mangel an Transparenz und Wissen

In vielen Finanzunternehmen fehlt den operativen Einheiten ein klares Bild davon, welche Tätigkeiten konkret reguliert sind bzw. für welche Tätigkeiten das Unternehmen eine Erlaubnis erhalten hat. Diese Einstufungen sind meistens nur den Mitarbeitenden der Rechts- oder Compliance-Abteilung bekannt.

Die praktische Umsetzung der DORA-Anforderungen erfolgt jedoch in der Regel durch Mitarbeitende der IT- oder Organisationsabteilung oder durch die dezentralen Fachbereiche. Ihnen fehlt es häufig an fundiertem Fachwissen zu den angebotenen Finanzdienstleistungen in Kombination mit der notwendigen juristischen Expertise, um eine Einschätzung zur Relevanz eines internen Prozesses für die regulierten Tätigkeiten treffen zu können.

Es besteht also eine Verständnislücke zwischen juristisch geprägten Begrifflichkeiten und operativem Prozessverständnis, die es zu schließen bzw. zu überbrücken gilt, um eine sachgerechte Umsetzung der DORA-Anforderungen sicherzustellen.

Ein zentraler Knackpunkt: Die kritischen oder wichtigen Funktionen

Die regulierten Tätigkeiten haben eine besondere Relevanz für die Ermittlung der sogenannten kritischen oder wichtigen Funktionen (kwF) des Finanzunternehmens. Dabei handelt es sich um

eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen eines Finanzunternehmens oder seiner sonstigen Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde;

Die kwF werden häufig durch die Prozessverantwortlichen in den Fachbereichen mittels Business Impact Analyse (BIA) ermittelt. Diese Methode liefert jedoch nur einen Teil der Antwort, denn die europäischen Aufsichtsbehörden haben unmissverständlich klargemacht: Auch die regulierten Tätigkeiten sind als kritische oder wichtige Funktionen zu betrachten – und das, unabhängig davon, ob sie aus Sicht des Finanzunternehmens als zeitkritisch gelten oder nicht.

Moreover, the services that require authorisation/ registration/ supervision are deemed critical by the ESAs and already covered in the definition of critical or important functions, hence the ESAs have decided to retain the reference in the specification of the criterion in order to provide greater clarity. The classification of the other services that support critical or important functions fall within the scope of the business impact analysis carried out by the FE.

Die Identifikation der regulierten Tätigkeiten

Zur Identifikation der regulierten Tätigkeiten stehen gleich mehrere Hilfsmittel bereit, die (zumindest in der Theorie) als Unterstützung hinzugezogen werden könnten:

Anhang II des ITS zum Informationsregister liefert eine abschließende Liste der Tätigkeiten nach Art des Finanzunternehmens, die gemäß europäischer Vorgaben genehmigungspflichtig sind.
Eine weitere Detaillierung zu diesen Tätigkeiten findet sich in einem von der EBA bereitgestellten Excel-Dokument, das bei der Erstellung des Informationsregisters Anwendung findet.
Zusätzlich finden sich auf der Website der BaFin Informationen zu den „erlaubnispflichtigen Geschäften und Dienstleistungen“ im Finanzsektor sowie eine „Unternehmensdatenbank“, die Auskunft darüber gibt, welche Finanzunternehmen welche Erlaubnis erhalten haben.

Leider sind diese Hilfsmittel für operative Einheiten in Finanzunternehmen nur eingeschränkt nutzbar. Die enthaltenen Informationen sind stark juristisch und fachlich geprägt und bieten kaum Unterstützung für Mitarbeitende, die nicht über tiefgehendes rechtliches oder regulatorisches Fachwissen verfügen.

Hinzu kommt, dass deutsche Finanzunternehmen auf Grundlage nationaler Gesetzgebungen wie dem KWG, VAG oder ZAG arbeiten. Eine direkte Zuordnung der deutschen Terminologie zu den genehmigungspflichtigen Tätigkeiten gemäß den europäischen Vorgaben fehlt bislang. So spricht die europäische Regelung etwa von der „Entgegennahme von Einlagen und sonstigen rückzahlbaren Geldern“, während auf der Website der BaFin schlicht vom „Einlagengeschäft“ die Rede ist.

Die Folgen von Intransparenz und fehlendem Fachverständnis

Das Begriffswirrwarr und die mangelnde Übersetzungsleistung zwischen rechtlichen Anforderungen und betrieblicher Realität bringen erhebliche Herausforderungen bei der Umsetzung von DORA mit sich:

IT-Mitarbeitende tun sich schwer, die Kritikalität der von einem IKT-Vorfall betroffenen Dienste zu bewerten. Das erschwert die Einstufung meldepflichtiger IKT-Vorfälle und kann zu Verzögerungen bei der Einhaltung der Meldefristen führen.
Vertragsverantwortliche haben Schwierigkeiten, IKT-Verträge den genehmigten Tätigkeiten zuzuordnen – mit der Folge, dass das Informationsregister fehlerhafte oder unvollständige Angaben enthalten kann.
Prozessverantwortliche sehen sich vor der Aufgabe, interne Prozesse als „kritische oder wichtige Funktionen“ einzuordnen, ohne den regulatorischen Hintergrund genau zu kennen. Falsche Einordnungen führen zu Folgeproblemen – etwa bei der Kritikalitätsvererbung auf unterstützende Assets wie IT-Systeme oder IKT-Drittanbieter.

Die Lösung: Praktikable Orientierungshilfen für die DORA-Umsetzung

Ich bin überzeugt: Es braucht dringend praxisnahe, verständliche Hilfestellungen – auch wenn sie juristisch nicht perfekt sind. Denn gerade Mitarbeitende ohne juristischen Hintergrund oder mit begrenztem Bezug zum Kerngeschäft benötigen Orientierung, um ihre Aufgaben im Rahmen von DORA verlässlich erfüllen zu können.

Was fehlt, ist eine Art Mapping-Tabelle – eine Brücke zwischen den europäischen Definitionen und der nationalen Realität. Ohne diese Grundlage bleibt DORA in der operativen Umsetzung schwer greifbar.

Mein Ziel ist es daher, eine einfach strukturierte Übersicht zu erstellen, die fachlichen Ansprechpartner:innen hilft, ihre Aufgaben zu bewältigen – etwa die Identifikation kritischer oder wichtiger Funktionen, die Klassifikation IKT-bezogener Vorfälle oder die Zuordnung von IKT-Verträgen zu genehmigten Tätigkeiten.

Die Erstellung dieser Übersicht ist jedoch leider eine wirklich große Herausforderung – und auch ich muss zugeben, dass mein Wissen über das Kerngeschäft im Finanzunternehmen noch nicht die nötige Tiefe erreicht hat… 😅 Aber: Es gibt definitiv Licht am Ende des Tunnels! ✨

Ich halte euch auf dem Laufenden, sobald es etwas Neues gibt. Bis dahin wünsche ich euch einen guten Start in die Woche!