Liebe DORA-Community, in den letzten zwei Wochen war es hier etwas ruhiger, denn mein neuestes DORA-Cheatsheet hat mich ordentlich Nerven gekostet. Worum ging es?
Weiterlesen: Cheatsheet Vertragsinhalte für IKT-Verträge (MaRisk + DORA, inkl. RTS Subcontracting)
Liebe DORA-Community, wir sollten über die Sache mit den IKT-Verträgen sprechen, denn es scheint noch einiges an Unsicherheit darüber zu bestehen, was Finanzunternehmen mit Blick auf die Mindestvertragsinhalte von ihren IKT-Dienstleistern erwarten dürfen und können.
❓ Wie wahrscheinlich ist es also, dass ein Unternehmen von den Aufsichtsbehörden als „kritischer IKT-Dienstleister“ gemäß Artikel 31 der DORA eingestuft wird? Um diese Frage zu beantworten, habe ich ein neues Self-Assessment entwickelt, mit dem eine indikative Einschätzung getroffen werden kann – sowohl durch IKT-Dienstleister als auch durch Finanzunternehmen.
Puh, dass ist schon krass und muss erstmal verdaut werden. Ein Frage, die mir sofort in den Kopf kommt, ist, ob wir mittels unserer aktuellen Methoden zur Ermittlung der kritischen oder wichtigen Funktionen (kwF) überhaupt jemals zu dieser Erkenntnis kommen würden?
Seit einigen Tagen beschäftige ich mich intensiv mit dem Thema IKT-Drittparteienrisikomanagement. Eine der zentralen und drängendsten Fragen dabei lautet: Wer oder was sind eigentlich IKT-Dienstleister? 💡 Dazu habe ich ein neues Werkzeug entwickelt – ein Self-Assessment, das Unternehmen dabei unterstützen kann, ihre Einstufung als IKT-Dienstleister zu überprüfen.
Habt ihr euch eigentlich bereits mit den DORA-Anforderungen auseinandergesetzt, die seit Januar 2025 für viele eurer Kundenunternehmen gelten und vermutlich auch für euch relevant werden?
Der erste Tag der Fachtagung IT-Regulatorik des FCH hat bereits viele spannende Erkenntnisse gebracht. Eine davon möchte ich gerne direkt mit euch teilen!
Die DORA-Verordnung führt neue Anforderungen für das Management von IKT-Drittparteirisiken ein. In der „alten“ BAIT-Welt umfasste dies sämtliche Aktivitäten rund um das Management von IT-Auslagerungen und IT-Fremdbezügen.
Weiterlesen: Deep Dive: Management des IKT-Drittparteirisikos
Die DORA-Anforderungen im Bereich Drittparteienrisikomanagement, Subcontracting Management und operative Dienstleistersteuerung sind keine leichte Kost, aber endlich sehe ich Licht am Ende des Tunnels. Heute nehmen wir das Puzzlestück „ICT Provider Management und Service Level Management“ unter die Lupe.
Vor genau vier Wochen haben die drei Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA (die ESAs) den letzten der noch fehlenden RTS zum Thema „Subcontracting“ unter DORA veröffentlicht – ein idealer Zeitpunkt, um den ursprünglichen DORA Deep Dive zu überarbeiten und die Anforderungen aus dem finalen Regelwerk systematisch abzuleiten.
