Kritischer IKT-Dienstleister oder nicht – diese Frage ist von großer Bedeutung, nicht nur für Finanzunternehmen, sondern vor allem für IKT-Dienstleister selbst!

❓ Wie wahrscheinlich ist es also, dass ein Unternehmen von den Aufsichtsbehörden als „kritischer IKT-Dienstleister“ gemäß Artikel 31 der DORA eingestuft wird? Um diese Frage zu beantworten, habe ich ein neues Self-Assessment entwickelt, mit dem eine indikative Einschätzung getroffen werden kann – sowohl durch IKT-Dienstleister als auch durch Finanzunternehmen. 💡 Bevor ihr loslegt, würde ich abe…

• ❓ Wie wahrscheinlich ist es also, dass ein Unternehmen von den Aufsichtsbehörden als „kritischer IKT-Dienstleister“ gemäß Artikel 31 der DORA eingestuft wird?
• Um diese Frage zu beantworten, habe ich ein neues Self-Assessment entwickelt, mit dem eine indikative Einschätzung getroffen werden kann – sowohl durch IKT-Dienstleister als auch durch Finanzunternehmen.
• 💡 Bevor ihr loslegt, würde ich aber gerne einen wichtigen Punkt klarstellen, bei dem es häufig zu Missverständnissen kommt: Es gibt einen Unterschied zwischen

1. der Einstufung als kwF-relevanter IKT-Dienstleister durch die Finanzunternehmen, und
2. der Einstufung als kritischer IKT-Dienstleister durch die Aufsichtsbehörden.

Finanzunternehmen sind nach DORA verpflichtet, ihre IKT-Dienstleister zu bewerten und zu ermitteln, welche davon ihre „kritischen oder wichtigen Funktionen“ unterstützen. Diese Funktionen sind Geschäftsprozesse, deren Ausfall die finanzielle Stabilität oder die Fortführung der Geschäftstätigkeit des Unternehmens erheblich gefährden würde. Wir sprechen von „kwF-relevanten IKT-Dienstleistern„.

Im Gegensatz dazu erfolgt die Einstufung als „kritischer IKT-Dienstleister“ durch die drei europäischen Aufsichtsbehörden, auch ESAs genannt. Zu den ESAs zählen

1. die Europäische Bankenaufsichtsbehörde (EBA)
2. die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA), und
3. die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA).

Die Grundlage für die Einstufung durch die ESAs bilden die sogenannten „Informationsregister“, die von den Finanzunternehmen erstellt werden und die alle Informationen zu den IKT-Dienstleistern enthalten – auch zu denen, die kritische oder wichtige Funktionen unterstützen.

So erhalten die ESAs einen Überblick über die IKT-Dienstleister im Finanzsektor und können Entscheidungen darüber treffen, welche Anbieter als „kritisch“ gelten. Dazu folgen Sie einem mehrstufigen Verfahren, das in der Delegierten Verordnung 2024/1502 detailliert beschrieben wird.

Leider ist diese juristische Verfahrensbeschreibung ziemlich schwer verständlich, was zu einer Menge Unsicherheiten führt. Deshalb habe ich in meiner DORA-Werkstatt ein einfaches Self-Assessment entwickelt, das eine erste Einschätzung der „Kritikalität“ eines IKT-Dienstleisters ermöglicht.

So können wir frühzeitig abschätzen, was im zweiten Halbjahr 2025 passieren könnte, wenn die ESAs ihre Einschätzungen zur Kritikalität der IKT-Dienstleister bekannt geben.

Lasst mir gerne eure Kommentare und Feedback da – ich freue mich darauf!
Einen guten Start in die neue Woche und bis bald!