Ein Jahr nach dem DORA-Day – und viele Finanzunternehmen scheitern noch immer an der Ermittlung kritischer oder wichtiger Funktionen (kwF)

❓ Der häufigste Fehler : Die kwF-Ermittlung wird ausschließlich auf die Business Impact Analyse (BIA) gestützt. Im Ergebnis werden kwF-relevante Funktionen systematisch übersehen. ❓ Das Grundproblem : Die gesetzliche kwF-Definition stellt nicht allein auf "zeitkritische Prozesse" ab.

• ❓ Der häufigste Fehler: Die kwF-Ermittlung wird ausschließlich auf die Business Impact Analyse (BIA) gestützt. Im Ergebnis werden kwF-relevante Funktionen systematisch übersehen.
• ❓ Das Grundproblem: Die gesetzliche kwF-Definition stellt nicht allein auf „zeitkritische Prozesse“ ab. Das ist nur eine Seite der Medaille. Auf der anderen Seite stehen zusätzlich die „regulatorisch wichtigen Prozesse“.
• Das heißt konkret: Eine kritische oder wichtige Funktion liegt vor, wenn

1. ihr Ausfall ein erhebliches Schadenpotenzial verursacht oder
2. ihre fehlerhafte oder unterlassene Erbringung die Einhaltung aufsichtsrechtlicher Verpflichtungen erheblich beeinträchtigt!

• ❓ Warum die BIA zu kurz greift: Die Methode entstammt dem Notfallmanagement und bewertet daher primär Ausfallszenarien und Schadenverläufe über die Zeit hinweg. Dieses zeitbezogene Konzept kennt DORA so jedoch nicht. Zusätzlich wird explizit die Bewertung des Szenarios von „aufsichtsrechtlichen Pflichtverletzungen“ eingefordert – eine Sicht, die in der klassischen BIA allenfalls indirekt berücksichtigt wird.
• Die Konsequenz: Funktionen wie Geldwäscheprävention oder Compliance fallen bei einer rein BIA-basierten Ermittlung der kwF einfach durchs Raster – obwohl sie offensichtlich kritische oder wichtige Funktionen eines Finanzunternehmens sind.

⁉️ Mein Lösungsvorschlag: Zwei Bewertungspfade statt einer Einheitslogik:
Ermittlung zeitkritischer kwF auf Basis der BIA + Ermittlung regulatorisch wichtiger Funktionen auf Basis einer „Pflichtenanalyse“.

Wie das konkret funktioniert habe ich in meinem Kurzleitfaden beschrieben ich bin gespannt auf eure Meinungen 🙂

Wie löst ihr die kwF-Ermittlung in euren Instituten? Nutzt ihr die BIA als alleinige Grundlage, oder habt ihr bereits eine ergänzende Methodik etabliert?