Lizenzierte Tätigkeiten, KWF und schwerwiegende IKT-Incidents

In den letzten Monaten haben wir intensiv darüber diskutiert, was genau unter kritischen oder wichtigen Funktionen (KWF) nach DORA zu verstehen ist und wie man diese korrekt identifiziert. Es gibt verschiedene Ansätze, die immer wieder aufgegriffen werden, und es scheint, dass wir noch nicht den einen endgültigen Lösungsansatz gefunden haben.

In den letzten Monaten haben wir intensiv darüber diskutiert, was genau unter kritischen oder wichtigen Funktionen (KWF) nach DORA zu verstehen ist und wie man diese korrekt identifiziert. Es gibt verschiedene Ansätze, die immer wieder aufgegriffen werden, und es scheint, dass wir noch nicht den einen endgültigen Lösungsansatz gefunden haben.

Im Rahmen des IKT-Incident Managements bin ich nun jedoch auf eine Formulierung im Entwurf der RTS zur Klassifizierung von IKT-Incidents gestoßen, die mir bislang entgangen war.

„[…] Moreover, the services that require authorisation/registration/supervision are deemed critical by the ESAs and already covered in the definition of critical or important functions […]“

Die ESAs gehen also davon aus, dass alle Dienstleistungen, die einer Erlaubnis oder Zulassung bedürfen oder überwacht werden, automatisch als KWF-relevant eingestuft werden, und haben uns glücklicherweise dazu auch eine hilfreiche Übersicht zur Verfügung gestellt, die eigentlich im Kontext des Informationsregisters verwendet werden sollte.

Im ITS zum Informationsregister findet sich Anhang 2, der eine detaillierte Übersicht zu den „lizenzierten Tätigkeiten“ enthält. Ein erster Blick darauf zeigt weit über 150 verschiedene Dienstleistungen, die von Unfall- und Krankenversicherungen über Darlehensgeschäfte und Finanzierungsleasing bis hin zu Crowdfunding-Dienstleistungen reichen.

Was genau sich hinter all diesen Punkten verbirgt, erschließt sich mir als Wirtschaftsinformatikerin (und vermutlich vielen Nicht-Finanzexperten) nur schwer bis gar nicht. Das wäre grundsätzlich auch kein Problem, wenn nicht das Thema „Meldung schwerwiegender IKT-Incidents“ im Raum stünde. Denn diese lizenzierten Tätigkeiten sind entscheidend für die Ermittlung der „Kritikalität der betroffenen Dienste“ (s.u.).

Wenn unsere IT-Experten also innerhalb von Minuten entscheiden müssen, ob ein neuer IKT-bezogener Vorfall, der gerade über das Ticketsystem gemeldet wird, meldepflichtig werden könnte, sollten sie auch ein klares Verständnis darüber haben, ob und in welchem Ausmaß die lizenzierten Tätigkeiten betroffen sind.

Das erscheint mir momentan ziemlich utopisch, und ich bin sehr gespannt, ob es in unserer Community bereits Lösungsansätze dafür gibt. Ich freue mich auf euer Feedback und eure Kommentare und wünsche einen schönen Abend!