Was ist IKT-Konzentrationsrisiko?
IKT-Konzentrationsrisiko ist die Exposition gegenüber einzelnen oder mehreren verbundenen kritischen IKT-Drittdienstleistern, die abhängig macht: Nichtverfügbarkeit, Ausfall oder Defizite könnten kritische/wichtige Funktionen gefährden, Nachteile bis zu großen Verlusten verursachen oder EU-Finanzstabilität gefährden.
Rechtliche Einordnung: Artikel 3 Nummer 29 DORA definiert den Begriff. Er verlangt eine Exposition, eine daraus entstehende Abhängigkeit und die Möglichkeit mindestens einer der genannten nachteiligen Folgen. Ein Schaden muss noch nicht eingetreten sein.
Der Normwortlaut
„IKT-Konzentrationsrisiko“ die Exposition gegenüber einzelnen oder mehreren verbundenen kritischen IKT-Drittdienstleistern, die zu einer gewissen Abhängigkeit von diesen Dienstleistern führt, sodass die Nichtverfügbarkeit, der Ausfall oder sonstige Defizite dieser Dienstleister die Fähigkeit eines Finanzunternehmens gefährden könnten, kritische oder wichtige Funktionen zu erfüllen, oder bei dem Finanzunternehmen andere Formen nachteiliger Auswirkungen, einschließlich großer Verluste, herbeiführen oder die finanzielle Stabilität der Union insgesamt gefährden könnten;
Quelle des exakten Ausschnitts: Artikel 3 Nummer 29 der Verordnung (EU) 2022/2554 (DORA). Die Definition enthält keine Ausnahme und keine quantitative Schwelle; sie ordnet für sich genommen keine Handlungspflicht an.
Für wen ist das IKT-Konzentrationsrisiko relevant?
Die einschlägigen Management- und Prüfungspflichten richten sich an Finanzunternehmen im Anwendungsbereich des Artikels 2 DORA. Die Ausnahmen in Artikel 2 Absatz 3 sowie eine nach Artikel 2 Absatz 4 mitgeteilte nationale Ausnahme bleiben zu beachten. Artikel 28 Absatz 4 Buchstabe c erfasst geplante Verträge über die Nutzung von IKT-Dienstleistungen allgemein; Artikel 29 Absatz 1 enthält zusätzliche Prüfungen für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen.
Wann muss das Risiko geprüft werden?
Vor Abschluss einer vertraglichen Vereinbarung müssen Finanzunternehmen alle relevanten Vertragsrisiken ermitteln und bewerten, einschließlich einer möglichen Erhöhung des IKT-Konzentrationsrisikos.
Für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen schreibt Artikel 5 Absätze 1 und 2 Buchstabe i der Delegierten Verordnung (EU) 2024/1773 eine Ex-ante-Risikobewertung auf Unternehmensebene und gegebenenfalls auf konsolidierter oder teilkonsolidierter Ebene vor. Sie umfasst IKT-Konzentrationsrisiken auf Unternehmensebene.
Welche Faktoren sind bei kritischen oder wichtigen Funktionen zu prüfen?
Nach Artikel 29 Absatz 1 DORA ist zu prüfen, ob der IKT-Drittdienstleister nicht ohne Weiteres ersetzbar wäre und ob mehrere Verträge mit demselben oder eng verbundenen IKT-Drittdienstleistern bestehen oder geplant sind. Finanzunternehmen müssen außerdem Nutzen und Kosten alternativer Lösungen abwägen.
Gibt es feste Obergrenzen, Schwellenwerte oder Fristen?
DORA bestimmt weder eine allgemeine numerische Konzentrationsschwelle noch eine starre Obergrenze oder allgemeine periodische Bewertungsfrist. Die Vertragsrisikobewertung muss vor Vertragsschluss erfolgen. Das „regelmäßig“ in Artikel 28 Absatz 2 betrifft die Strategieüberprüfung und legt keine feste Frequenz für eine allgemeine Konzentrationsrisikobewertung fest. Davon zu unterscheiden ist die Leitlinie für vertragliche Vereinbarungen über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen: Sie ist nach Artikel 3 Absatz 1 der Delegierten Verordnung (EU) 2024/1773 mindestens einmal jährlich zu überprüfen und erforderlichenfalls zu aktualisieren.
Welche Ausnahmen und Grenzen gelten?
Das Management des IKT-Drittparteienrisikos unterliegt nach Artikel 28 Absatz 1 DORA der Verhältnismäßigkeit. Dabei zählen Art, Ausmaß, Komplexität und Relevanz der IKT-Abhängigkeiten sowie Risiken und Folgen der Verträge. Nur die Strategiepflicht aus Artikel 28 Absatz 2 gilt nicht für die dort über Artikel 16 Absatz 1 Unterabsatz 1 erfassten Unternehmen und für Kleinstunternehmen. Diese begrenzte Ausnahme hebt andere anwendbare DORA-Pflichten, insbesondere die individuelle Vertragsrisikobewertung, nicht auf.
Wie unterscheidet sich das Konzentrationsrisiko vom IKT-Drittparteienrisiko?
Technische Einordnung: IKT-Drittparteienrisiko ist nach Artikel 3 Nummer 18 DORA der Oberbegriff für IKT-bezogene Risiken aus der Nutzung externer IKT-Dienstleistungen. IKT-Konzentrationsrisiko ist die besondere Abhängigkeitsdimension gegenüber einzelnen oder verbundenen kritischen IKT-Drittdienstleistern. Entscheidend sind Abhängigkeit und möglicher Ausfallimpact, nicht allein die Zahl der Anbieter.
Behördenpraxis: Eine über die amtlichen Primärtexte hinausgehende eigenständige Behördenpraxis wird in diesem Entwurf nicht behauptet.
Häufige Fehlannahmen
- „Ein einzelner Anbieter bedeutet automatisch einen DORA-Verstoß.“ Nein. DORA verlangt eine individuelle Bewertung und sieht keine starre allgemeine Obergrenze vor.
- „Mehrere Verträge verteilen das Risiko immer.“ Nein. Verträge mit demselben oder eng verbundenen Anbietern können die Abhängigkeit erhöhen.
- „Konzentration führt zwingend zum Anbieterwechsel.“ Nein. Zu prüfen sind Ersetzbarkeit sowie Nutzen und Kosten von Alternativen; ein automatischer Wechsel ist nicht angeordnet.
- „Für die Bewertung gilt eine feste jährliche Frist.“ Nein. Sie erfolgt vor Vertragsschluss; eine feste periodische Bewertungsfrist nennt DORA nicht.
- „Die Ausnahme von der Strategiepflicht befreit von allen DORA-Pflichten.“ Nein. Sie ist auf Artikel 28 Absatz 2 begrenzt.
Was die Geschäftsleitung tun sollte
Rechtliche Einordnung: Das Leitungsorgan trägt nach Artikel 5 Absatz 2 DORA die Verantwortung für die Governance des IKT-Risikomanagementrahmens. Die Leitlinie für vertragliche Vereinbarungen über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen ist nach Artikel 3 Absatz 1 der Delegierten Verordnung (EU) 2024/1773 mindestens einmal jährlich zu überprüfen und erforderlichenfalls zu aktualisieren.
Praxisempfehlung: Die folgenden Schritte konkretisieren Governance und Nachweisführung; sie sind nicht als zusätzliche gesetzliche Pflichten zu verstehen.
- Vertragsfreigaben so gestalten, dass die Ex-ante-Bewertung vor der Unterschrift dokumentiert ist.
- Ersetzbarkeit, Mehrfachbeziehungen zu verbundenen Anbietern und Alternativen als feste Entscheidungskriterien erfassen.
- Soweit Artikel 28 Absatz 2 anwendbar ist, die Konzentrationsperspektive in die Strategie für das IKT-Drittparteienrisiko aufnehmen.
- Entscheidungen einschließlich Annahmen, Nutzen, Kosten, Restrisiko und verantwortlicher Freigabe nachvollziehbar festhalten.
Für die Geschäftsleitung
Die Prüfung reicht von allgemeinen geplanten IKT-Verträgen bis zu den vertieften Anforderungen für kritische oder wichtige Funktionen. Entscheidend ist nicht eine Anbieterzahl, sondern ob eine Abhängigkeit entsteht, bei der Nichtverfügbarkeit, Ausfall oder sonstige Defizite mindestens eine der in Artikel 3 Nummer 29 genannten nachteiligen Folgen haben könnten. Das Leitungsorgan verantwortet die Governance des IKT-Risikomanagementrahmens; die einschlägige Leitlinie ist mindestens jährlich zu überprüfen und erforderlichenfalls zu aktualisieren. Nachweisbar sein sollten die rechtzeitige Risikobewertung, die Alternativenentscheidung, die anwendbaren Ausnahmen, die verantwortliche Freigabe sowie die Überprüfung und etwaige Aktualisierung der Leitlinie.
Quellen
- Verordnung (EU) 2022/2554 (DORA), insbesondere Erwägungsgrund 67 sowie Artikel 2, Artikel 3 Nummern 18 und 29, Artikel 5, Artikel 28 und Artikel 29.
- Delegierte Verordnung (EU) 2024/1773, insbesondere Artikel 3 Absatz 1 sowie Artikel 5 Absätze 1 und 2 Buchstabe i.
