Worauf es ankommt
In fast jedem Richtlinienwerk steht ein Satz wie: „Die Ausgestaltung erfolgt angemessen und verhältnismäßig unter Berücksichtigung von Größe, Risikoprofil sowie Art, Umfang und Komplexität der Geschäftstätigkeit.“ Inhaltlich sagt er nichts. Er sagt weder, wo das Haus im Vergleich steht, noch was daraus für Richtlinien, Tools und Beschlüsse des Leitungsorgans folgt.
Art. 4 Abs. 1 DORA nennt vier Parameter: Größe, Gesamtrisikoprofil, Art und Umfang der Dienstleistungen, Tätigkeiten und Geschäfte sowie deren Komplexität. Die Größe ist schnell bestimmt. Die anderen drei brauchen Kenngrößen, die sich bewerten lassen.
Über die Angemessenheit entscheidet zuerst das Finanzunternehmen selbst. Die Aufsicht prüft nach Art. 4 Abs. 3, wie der Grundsatz angewendet wurde, anhand des Berichts zur Überprüfung des IKT-Risikomanagementrahmens. Wer schlanker ausgestaltet, braucht deshalb eine dokumentierte Begründungskette. Den Schutzbedarf senkt das nicht: Eine Kundenstammdatei bleibt schutzbedürftig, auch wenn das Institut klein ist.
Im DORA-Navigator: 9 Sollmaßnahmen, die Verhältnismäßigkeit nennen
Jede mit Fundstelle im Wortlaut und Zuordnung zu ISO 27001. Lizenzen und Preise
Was die Aufsicht sagt
Hilfsmittel zum Thema
-
Verhältnismäßigkeitsprofil nach Art. 4 DORA
Vier Parameter aus Art. 4 Abs. 1 DORA, aufgelöst in zwölf Kenngrößen mit vierstufiger Skala — dazu die Kreuzung von Art und Umfang und ein ausgefülltes Profil einer Musterbank. Alle Kenngrößen sind so gewählt, dass die Daten im Haus schon vorliegen.
PDF · 10 Seiten · 137 KB
Herunterladen