Was ist ein IKT-Altsystem?
Ein IKT-Altsystem ist nach DORA ein weiterhin genutztes IKT-System, das Funktionen eines Finanzunternehmens unterstützt und entweder sein Lebenszyklusende erreicht hat, aus technologischen oder wirtschaftlichen Gründen nicht für Upgrades oder Fehlerbehebungen in Frage kommt oder nicht mehr unterstützt wird.
Der Normwortlaut
„Für die Zwecke dieser Verordnung bezeichnet der Ausdruck
3. ‚IKT-Altsystem‘ ein IKT-System, das das Ende seines Lebenszyklus (Ende seiner Lebensdauer) erreicht hat, aus technologischen oder wirtschaftlichen Gründen nicht für Upgrades oder Fehlerbehebungen in Frage kommt oder nicht mehr von seinem Anbieter oder einem IKT-Drittdienstleister unterstützt wird, das allerdings weiterhin genutzt wird und die Funktionen des Finanzunternehmens unterstützt;“
Quelle des Wortlauts: Verordnung (EU) 2022/2554 (DORA), Artikel 3 Nummer 3.
Auslegung: Lebenszyklusende, fehlende Eignung für Upgrades oder Fehlerbehebungen aus technologischen oder wirtschaftlichen Gründen und fehlende Unterstützung sind alternative Zustandsmerkmale. Stets hinzukommen müssen die fortdauernde Nutzung und die Unterstützung von Funktionen des Finanzunternehmens.
Für wen ist der Begriff relevant?
Rechtliche Einordnung: Die Begriffsbestimmung gilt für die Zwecke von DORA. Der allgemeine Geltungsbereich ergibt sich aus Artikel 2 Absätze 1 bis 4: Er umfasst grundsätzlich die in Absatz 1 genannten Unternehmensarten; die ausdrücklich in Absatz 3 genannten Unternehmen und Personen sind ausgenommen, und Mitgliedstaaten können die in Absatz 4 bezeichneten Stellen ausnehmen. Davon zu trennen ist die besondere Bewertungspflicht aus Artikel 8 Absatz 7: Sie richtet sich nur an Finanzunternehmen, die keine Kleinstunternehmen sind.
Wann muss das Risiko eines IKT-Altsystems bewertet werden?
Finanzunternehmen, die keine Kleinstunternehmen sind, müssen alle ihre IKT-Altsysteme spezifisch auf ihr IKT-Risiko bewerten. Die Bewertung muss regelmäßig, mindestens jedoch einmal jährlich, sowie in jedem Fall vor und nach dem Anschluss von Technologien, Anwendungen oder Systemen an ein IKT-Altsystem erfolgen. Kleinstunternehmen werden von Artikel 8 Absatz 7 nicht erfasst.
Welche Fristen und Schwellen gelten?
DORA legt weder ein allgemeines Mindestalter noch eine Laufzeit-, Risiko- oder Ablöseschwelle für IKT-Altsysteme fest. Für die spezifische Bewertung durch Nicht-Kleinstunternehmen gelten der mindestens jährliche Turnus und die zusätzlichen Zeitpunkte vor und nach jedem Anschluss. DORA ist seit dem 17. Januar 2025 anwendbar.
Muss jedes IKT-Altsystem ersetzt oder abgeschaltet werden?
Nein. Artikel 8 Absatz 7 ordnet für Nicht-Kleinstunternehmen eine spezifische IKT-Risikobewertung an, aber keine automatische Stilllegung, Ablösung oder eigenständige Migrationsfrist. Auch die technischen Regeln verlangen das Management einschlägiger Risiken, begründen jedoch keine pauschale Ersatzpflicht. Eine Entscheidung über Weiterbetrieb, zusätzliche Kontrollen oder Ablösung sollte daher risikobasiert getroffen werden.
Wie sind IKT-Altsysteme technisch zu behandeln?
Technische Konkretisierung: Die Delegierte Verordnung (EU) 2024/1774 verlangt Lebenszyklusmanagement für IKT-Assets und bei Nicht-Kleinstunternehmen die erforderlichen Aufzeichnungen für die Bewertung von Altsystemen. Richtlinien und Verfahren für IKT-Vorgänge müssen Anforderungen zur Ermittlung und Kontrolle von IKT-Altsystemen enthalten. Im vereinfachten IKT-Risikomanagementrahmen nach Artikel 34 sind, sofern anwendbar, der Support durch IKT-Drittdienstleister zu überwachen und Risiken veralteter, nicht unterstützter oder als Altsystem eingestufter IKT-Assets zu managen.
Häufige Fehlannahmen
- „Jedes alte System ist ein IKT-Altsystem.“ Falsch: Alter allein genügt nicht. Die fortdauernde Nutzung, die Unterstützung von Funktionen des Finanzunternehmens und mindestens eines der drei alternativen Zustandsmerkmale müssen vorliegen.
- „Das Ende des Lebenszyklus ist immer erforderlich.“ Falsch: Es genügt alternativ auch, dass Upgrades oder Fehlerbehebungen aus technologischen oder wirtschaftlichen Gründen nicht in Frage kommen oder der Anbieter beziehungsweise ein IKT-Drittdienstleister das System nicht mehr unterstützt.
- „Die jährliche Bewertungspflicht gilt für jedes Finanzunternehmen.“ Falsch: Artikel 8 Absatz 7 adressiert nur Finanzunternehmen, die keine Kleinstunternehmen sind; außerdem sind die Ausnahmen und mitgliedstaatlichen Ausnahmemöglichkeiten des Artikels 2 zu prüfen.
- „Eine jährliche Prüfung reicht stets aus.“ Falsch: Zusätzlich ist die Bewertung in jedem Fall vor und nach dem Anschluss von Technologien, Anwendungen oder Systemen erforderlich.
- „DORA setzt eine feste Ablösungsfrist.“ Falsch: Die einschlägigen Vorschriften enthalten keine allgemeine Ablösungsfrist und keine automatische Ersatzpflicht.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Das Leitungsorgan muss die Vorkehrungen des IKT-Risikomanagementrahmens definieren, genehmigen und überwachen und trägt die Verantwortung für ihre Umsetzung. Daraus lassen sich folgende konkrete Schritte ableiten:
- IKT-Systeme vollständig erfassen und anhand sämtlicher Merkmale aus Artikel 3 Nummer 3 nachvollziehbar als IKT-Altsystem einordnen oder davon abgrenzen.
- Prüfen und dokumentieren, ob DORA und insbesondere Artikel 8 Absatz 7 auf das Unternehmen anwendbar sind oder eine Ausnahme greift.
- Für Nicht-Kleinstunternehmen mindestens jährliche Bewertungen aller IKT-Altsysteme sowie verbindliche Prüfzeitpunkte vor und nach jedem Anschluss organisatorisch sicherstellen.
- Lebenszyklus, Supportstatus, Upgrade- und Fehlerbehebungsmöglichkeiten, Abhängigkeiten, Kontrollen und verbleibende Risiken in belastbaren Aufzeichnungen festhalten.
- Über Weiterbetrieb, kompensierende Kontrollen oder Migration risikobasiert entscheiden und keine pauschale Ersatzpflicht unterstellen.
Für die Geschäftsleitung
Entscheidend sind drei Ebenen: Zuerst ist zu klären, welche Systeme die vollständige DORA-Definition erfüllen und ob die besonderen Pflichten für Nicht-Kleinstunternehmen gelten. Danach ist über Kontrollen, Weiterbetrieb oder Ablösung anhand des konkreten IKT-Risikos zu entscheiden. Als Nachweis sollten Einordnung, Anwendbarkeitsprüfung, mindestens jährliche und anschlussbezogene Bewertungen sowie die getroffenen Risikobehandlungsentscheidungen dokumentiert sein.
Quellen
- Verordnung (EU) 2022/2554 (DORA), insbesondere Artikel 2 Absätze 1 bis 4, Artikel 3 Nummer 3, Artikel 5 Absatz 2, Artikel 8 Absatz 7 und Artikel 64.
- Delegierte Verordnung (EU) 2024/1774, insbesondere Artikel 4 Absatz 2, Artikel 8 Absatz 2 Buchstabe a Ziffer iii und Artikel 34.
