⁉️ Why critical or important functions matter!
Die Diskussion über kritische oder wichtige Funktionen – kurz kwF – hat in den letzten Tagen deutlich an Fahrt gewonnen. Anlass ist die aktuelle Mitteilung der Schweizer Finanzmarktaufsicht FINMA, die einige Prozesse, die in der Praxis häufig als kwF-relevant eingestuft wurden, nicht als solche gelten lassen will.
Die Diskussion über kritische oder wichtige Funktionen – kurz kwF – hat in den letzten Tagen deutlich an Fahrt gewonnen. Anlass ist die aktuelle Mitteilung der Schweizer Finanzmarktaufsicht FINMA, die einige Prozesse, die in der Praxis häufig als kwF-relevant eingestuft wurden, nicht als solche gelten lassen will. Viele Institute fragen sich nun, ob ihre bisherige Einordnung weiterhin trägt.
Doch warum ist die korrekte Ableitung von kwF eigentlich so wichtig?
Weil mit jeder einzelnen kwF ein umfangreiches Bündel operativer Anforderungen verbunden ist – und jede zusätzliche kwF die Komplexität und den Aufwand zur Herstellung der DORA-Compliance spürbar erhöht… und weil umgekehrt jede sauber begründete Nicht-kwF den Aufwand deutlich senken kann.
Die Einstufung wirkt also wie ein Schalter: Sobald eine Funktion als kritisch oder wichtig gilt, werden die unterstützenden IKT-Assets, IKT-Dienstleister und sonstigen Ressourcen automatisch kwF-relevant. Und genau hierfür greifen zahlreiche zusätzliche Pflichten, beispielsweise in den Bereichen:
- IKT-Risikomanagement
- IKT-Incident Management
- IKT-Drittparteienrisikomanagement
- IKT-BCM und IKT-SCM
- Operative IKT-Sicherheit und dem
- Testen der digitalen operationalen Resilienz.
Im betrieblichen Alltag führt das zu mehr Dokumentation, mehr Abstimmungen und mehr Prüfhandlungen.
Um hier ein besseres Gefühl für die tatsächliche Tragweite der kwF-Relevanz zu vermitteln, habe ich ein neues Cheatsheet mit den operativen DORA-Anforderungen zusammengestellt, die direkt an diese Einstufung gekoppelt sind.
Wenn man die Vielzahl der Anforderungen betrachtet, wird schnell klar, dass die Einstufung von kwF keine akademische Methodendiskussion von Theoretikern ist. Sie ist vielmehr von zentraler Bedeutung für die gesamte Finanzbranche. Denn die richtige Auswahl entscheidet unmittelbar darüber, wie komplex, teuer und ressourcenintensiv die DORA-Umsetzung wird – – und zwar nicht nur in den Finanzunternehmen selbst, sondern auch bei Dienstleistern, die vermeintlich kwF-relevante IKT-Services erbringen.
💭 Aus meiner Sicht ist es daher entscheidend, diese Diskussion offen, konstruktiv und institutsübergreifend zu führen. Wenn wir unsere Perspektiven transparent teilen und unterschiedliche institutionelle Blickwinkel zulassen, entsteht ein europäisches Gesamtbild, das zeigt, welche Funktionen tatsächlich relevant für die digitale operationale Resilienz im Finanzsektor sind.
Wie seht ihr das? Ich bin wie immer gespannt auf eure Sichtweisen 😊