❓ Der häufigste Fehler : Die kwF-Ermittlung wird ausschließlich auf die Business Impact Analyse (BIA) gestützt. Im Ergebnis werden kwF-relevante Funktionen systematisch übersehen. ❓ Das Grundproblem : Die gesetzliche kwF-Definition stellt nicht allein auf "zeitkritische Prozesse" ab.
Heute hat die EIOPA eine Frage aus der Versicherungswirtschaft aus dem Jahr 2023 beantwortet. Die damaligen Einreicher wollten wissen, ob es eine detaillierte Liste kritischer oder wichtiger Funktionen gibt.
Nach einigen technischen Startschwierigkeiten sind wir mittendrin in der BaFin-Veranstaltung zur IT-Aufsicht im Finanzsektor – und bereits die ersten Diskussionen liefern wertvolle Impulse für die Praxis. Ein Punkt, den ich mir wirklich gewünscht und erhofft hatte, war die Position der BaFin zur FINMA-Aufsichtsmitteilung vom November 2025.
Die Diskussion über kritische oder wichtige Funktionen – kurz kwF – hat in den letzten Tagen deutlich an Fahrt gewonnen. Anlass ist die aktuelle Mitteilung der Schweizer Finanzmarktaufsicht FINMA, die einige Prozesse, die in der Praxis häufig als kwF-relevant eingestuft wurden, nicht als solche gelten lassen will.
Die aktuelle Aufsichtsmitteilung 05/2025 der FINMA zur operationellen Resilienz hat meine Sichtweise auf kritische oder wichtige Funktionen – und vor allem darauf, wie man sie identifiziert – grundlegend verändert. Bislang bin ich – wie wahrscheinlich viele von uns – davon ausgegangen, dass wir unsere Prozesslandkarten „einfach“ analysieren müssten und mithilfe von Methoden wie der Business Imp…
Weiterlesen: Kritisch-wichtige Funktionen sind kritische Prozesse – oder etwa nicht!?
Gestern hat die FINMA ihre neue Aufsichtsmitteilung 05/2025 zur Operationellen Resilienz veröffentlicht. ❓ Warum das für uns relevant ist – dazu eine kurze Einordnung: Die FINMA ist die schweizerische Bankenaufsicht und obwohl die Schweiz als Drittstaat nicht direkt DORA unterliegt, gibt es auch dort ein vergleichbares Regelwerk – das Rundschreiben 2023/1 „Operationelle Risiken und Resilienz – …
Liebe DORA-Community, liebe Auslagerungsbeauftragte, unscheinbar, aber relevant: Die EBA hat einen neuen Entwurf von Leitlinien zu Unternehmen, die Nebendienstleistungen erbringen , zur Konsultation gestellt. Die Leitlinien dürften für MaRisk- und DORA-Verantwortliche gleichermaßen von Interesse sein, da sie erstmals klar definieren, welche Tätigkeiten von Finanzinstituten – neben den eigentlic…
Es enthält eine Übersicht über die Tätigkeiten von Finanzunternehmen, die einer Genehmigung, Registrierung oder Beaufsichtigung bedürfen. Sie bilden das Fundament für mehrere wichtige DORA-Anforderungen, darunter: Die Identifikation kritischer und wichtiger Funktionen (kwF), Die Klassifikation meldepflichtiger IKT-Vorfälle, wenn es darum geht, die "Kritikalität betroffener Dienste" zu ermitteln…
Puh, dass ist schon krass und muss erstmal verdaut werden. Ein Frage, die mir sofort in den Kopf kommt, ist, ob wir mittels unserer aktuellen Methoden zur Ermittlung der kritischen oder wichtigen Funktionen (kwF) überhaupt jemals zu dieser Erkenntnis kommen würden?
In den letzten Monaten haben wir intensiv darüber diskutiert, was genau unter kritischen oder wichtigen Funktionen (KWF) nach DORA zu verstehen ist und wie man diese korrekt identifiziert. Es gibt verschiedene Ansätze, die immer wieder aufgegriffen werden, und es scheint, dass wir noch nicht den einen endgültigen Lösungsansatz gefunden haben.
Weiterlesen: Lizenzierte Tätigkeiten, KWF und schwerwiegende IKT-Incidents
