Neues aus der DORA-Werkstatt: 3 aktuelle Antworten der ESAs, die viele Diskussionen beenden!

Die ESAs haben vergangene Woche drei neue DORA-Q&As veröffentlicht. Ich habe sie mir in meiner DORA-Werkstatt angesehen und praxisnah eingeordnet – jeweils entlang von drei Fragen: Was wurde gefragt?

Sind Behörden IKT-Drittanbieter unter DORA? (Q&A 2025_7466)

❓ Erwägungsgrund 63 nimmt staatliche Behörden von DORA aus, wenn sie IKT-bezogene Dienstleistungen im Rahmen staatlicher Aufgaben erbringen. Unklar war, ob diese Ausnahme nur punktuell oder generell gilt.
Die ESAs stellen klar: Alle Behörden, die im Rahmen hoheitlicher Aufgaben IKT-bezogene Dienstleistungen für Finanzunternehmen erbringen, gelten grundsätzlich nicht als IKT-Drittanbieter im Sinne der DORA.
✅ Praxis: Für diese Leistungen müssen keine vertraglichen Mindestanforderungen vereinbart werden. Das Informationsregister sollte entsprechend überprüft werden.

Fällt Glasfaser unter die Ausnahme für analoge Telefondienste? (Q&A 2025_7539)

❓ Art. 3 Nr. 21 DORA nimmt „traditionelle analoge Telefondienste“ vom Begriff der IKT-Dienstleistungen aus. Da Glasfaser häufig als reine Infrastruktur eingeordnet wird, stellte sich die Frage, ob auch Glasfaserdienste ausgenommen sind.
Die Antwort der ESAs: Nein – entscheidend ist die Übertragungstechnologie, nicht das physische Medium. Glasfaser überträgt digitale optische Signale und ist damit eine IKT-Dienstleistung. Das gilt auch für Dark Fiber, sobald sie aktiviert wird.
✅ Praxis: Glasfaser-Provider – auch reine Infrastrukturanbieter – sind als IKT-Dienstleister zu behandeln und im IKT-Drittparteienrisikomanagement zu berücksichtigen.

Ist Phishing beim Kunden ein meldepflichtiger IKT-Vorfall? (Q&A 2025_7613 – eingereicht von der BaFin)

❓ Wenn ein Kunde auf einen Phishing-Link in seinem privaten E-Mail-Postfach klickt und Zugangsdaten kompromittiert werden, stellte sich die Frage, ob dies bereits ein IKT-bezogener Vorfall des Instituts ist.
Die ESAs differenzieren klar: Phishing in der Privatsphäre des Kunden ist kein IKT-Vorfall nach DORA, solange die Systeme und Services des Instituts nicht betroffen sind. Wird das Institut selbst Ziel, etwa durch Mitarbeiter-Phishing oder groß angelegte Kampagnen mit Auswirkungen auf den Geschäftsbetrieb, kann ein schwerwiegender IKT-bezogener Vorfall vorliegen.
✅ Praxis: Diese Klarstellung ist von hoher praktischer Relevanz, denn ohne sie hätten wir bei strenger Auslegung nahezu jede erfolgreiche Phishing-Attacke gegen Kunden melden müssen.

In diesem Sinne: Ich freu mich auf eure Kommentare und wünsche einen guten Start in die neue Woche 😊