Was ist eine kritische oder wichtige Funktion?
Eine Funktion im Finanzunternehmen ist kritisch/wichtig, wenn ihr Ausfall finanzielle Leistungsfähigkeit, Solidität oder Geschäfts-/Dienstefortführung erheblich träfe oder Leistungsstörungen die stete Einhaltung von Zulassungsbedingungen/-pflichten oder sonstigen Finanzdienstleistungsrechtspflichten erheblich träfen.
Einordnung: Entscheidend ist damit die hypothetische erhebliche Auswirkung auf mindestens einen der gesetzlich genannten Schutzgegenstände. Die Einstufung betrifft eine Funktion und beruht nicht allein auf ihrer Bezeichnung, der verwendeten Technik oder dem Anbieter.
Der Normwortlaut
„kritische oder wichtige Funktion“ eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen eines Finanzunternehmens oder seiner sonstigen Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde;
Amtliche Fundstelle: Verordnung (EU) 2022/2554 (DORA), Artikel 3 Nummer 22. Der Wortlaut unterscheidet den Ausfall der Funktion von ihrer unterbrochenen, fehlerhaften oder unterbliebenen Leistung.
Für wen ist die Einstufung relevant?
Die Definition gilt für die Zwecke der DORA. Die darauf beruhenden Pflichten sind praktisch für Finanzunternehmen relevant, die in den Anwendungsbereich nach Artikel 2 fallen. Artikel 2 Absatz 3 nimmt die dort genannten Unternehmen aus; außerdem dürfen Mitgliedstaaten die in Artikel 2 Absatz 4 bezeichneten Institute in ihrem Hoheitsgebiet ausnehmen. Der konkrete Anwendungsbereich ist deshalb für jedes Unternehmen gesondert zu prüfen.
Wann ist eine Funktion als kritisch oder wichtig einzustufen?
Der allgemeine Maßstab ist die vorausschauende Auswirkungsprüfung nach Artikel 3 Nummer 22: Würde Ausfall oder mangelhafte Leistung eine der genannten erheblichen Beeinträchtigungen verursachen, erfüllt die Funktion die Definition. Zusätzlich muss ein Finanzunternehmen nach Artikel 28 Absatz 4 Buchstabe a vor Abschluss einer Vereinbarung über die Nutzung von IKT-Dienstleistungen beurteilen, ob die Vereinbarung IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion betrifft. Diese Vorabbeurteilung ist eine Pflicht im Vertragskontext, aber kein Bestandteil der Legaldefinition.
Welche Folgen hat die Einstufung für IKT-Verträge?
Artikel 30 Absatz 2 legt Mindestinhalte für vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen fest. Unterstützen die IKT-Dienstleistungen eine kritische oder wichtige Funktion, gelten nach Artikel 30 Absatz 3 zusätzliche Vertragsanforderungen. Absatz 3 ergänzt die allgemeinen Anforderungen des Absatzes 2; er ersetzt sie nicht.
Welche Fristen und Schwellenwerte gelten?
Die Legaldefinition enthält weder eine zahlenmäßige Schwelle noch eine eigene Einstufungsfrist. Artikel 28 Absatz 3 verlangt jedoch mindestens einmal jährlich Berichte an die zuständige Behörde über die Zahl neuer IKT-Vereinbarungen, die Kategorien der IKT-Drittdienstleister, die Arten der Vereinbarungen sowie die bereitgestellten IKT-Dienstleistungen und -Funktionen. Finanzunternehmen müssen die Behörde außerdem zeitnah über geplante Vereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen sowie darüber unterrichten, dass eine Funktion kritisch oder wichtig geworden ist. Für „zeitnah“ nennt diese Vorschrift keinen festen Zeitraum.
Wie ist die Funktion technisch einzuordnen?
Sie ist als wirkungsbezogene Funktionsklassifikation zu behandeln. Eine IKT-Dienstleistung kann eine solche Funktion unterstützen; dadurch wird weder die Dienstleistung automatisch selbst zur Funktion noch ihr Anbieter automatisch zu einem kritischen IKT-Drittdienstleister. Die Benennung kritischer IKT-Drittdienstleister folgt dem eigenständigen Verfahren nach Artikel 31 DORA.
Spezialregime: Nach Erwägungsgrund 70 erfasst der DORA-Begriff auch „kritische Funktionen“ im Sinne von Artikel 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU. Diese Einbeziehung ist keine eigenständige Ausnahme und ändert den Prüfmaßstab des Artikels 3 Nummer 22 DORA nicht.
Behördlich konkretisierte Regelung: Die nach der Delegierten Verordnung (EU) 2024/1773 erforderliche Leitlinie muss den geregelten Lebenszyklus entsprechender IKT-Vereinbarungen abdecken. Artikel 4 nennt dabei insbesondere Risikobewertung, Due Diligence, Genehmigung, Umsetzung, Überwachung und Management sowie Ausstiegsstrategien. Sie muss außerdem Verantwortlichkeiten und die gegebenenfalls erforderliche Beteiligung des Leitungsorgans festlegen.
Häufige Fehlannahmen
Vier Abgrenzungen sind besonders wichtig:
- „Jede geschäftswichtige Aufgabe erfüllt die DORA-Definition.“ Nein. Erforderlich ist mindestens eine der erheblichen Auswirkungen aus Artikel 3 Nummer 22.
- „Eine kritische Funktion und ein kritischer IKT-Drittdienstleister sind dasselbe.“ Nein. Die Funktion wird wirkungsbezogen bewertet; der Anbieter benötigt für diesen Status eine Benennung nach Artikel 31.
- „Die Zusatzanforderungen für kritische Funktionen stehen in Artikel 30 Absatz 2.“ Nein. Absatz 2 enthält die allgemeinen Mindestinhalte; die zusätzlichen Anforderungen stehen in Absatz 3.
- „DORA gibt einen Zahlenwert für die Kritikalität vor.“ Nein. Artikel 3 Nummer 22 verwendet den Maßstab der erheblichen Beeinträchtigung ohne zahlenmäßige Schwelle.
- „Das Leitungsorgan muss ausnahmslos jeden einzelnen IKT-Vertrag persönlich freigeben.“ Nein. Die Leitlinie legt Verantwortlichkeiten und eine gegebenenfalls erforderliche Beteiligung fest; daraus folgt keine ausnahmslose persönliche Einzelfallentscheidung.
Was die Geschäftsleitung tun sollte
Die folgenden Schritte sind Praxisempfehlungen; sie erweitern die gesetzlichen Pflichten nicht:
- In der Leitlinie Verantwortlichkeiten für die dokumentierte Vorabbeurteilung festlegen, ob IKT-Vereinbarungen kritische oder wichtige Funktionen unterstützen.
- Vor jedem einschlägigen IKT-Vertragsabschluss dokumentieren lassen, welche Funktion unterstützt wird und wie die Auswirkungsprüfung nach Artikel 3 Nummer 22 ausfällt.
- Das Ergebnis in IKT-Drittrisikosteuerung und Vertragsfreigabe einbinden und bei positiver Einstufung die zusätzlichen Inhalte aus Artikel 30 Absatz 3 prüfen.
- Änderungen einer Funktion als Kontrollauslöser definieren, damit die zeitnahe Unterrichtung und die mindestens jährliche Berichterstattung nach Artikel 28 Absatz 3 vorbereitet werden können.
- In der Leitlinie Zuständigkeiten, Due Diligence, Genehmigung, Überwachung, Ausstieg und die gegebenenfalls erforderliche Beteiligung des Leitungsorgans nachvollziehbar festlegen.
Für die Geschäftsleitung
Die Einstufung entscheidet nicht nur über eine Bezeichnung, sondern über nachgelagerte Risiko-, Vertrags- und Informationsprozesse. Die Geschäftsleitung sollte sicherstellen, dass der DORA-Anwendungsbereich einschließlich der Ausnahmen geprüft, jede Entscheidung anhand der erheblichen Auswirkungen getroffen und vor IKT-Vertragsabschluss dokumentiert wird. Nachweisbar sein sollten außerdem Verantwortlichkeiten, Vertragsfolgen, Änderungsüberwachung sowie die Vorbereitung der jährlichen Berichte und zeitnahen Unterrichtungen.
Quellen
- Verordnung (EU) 2022/2554 (DORA), insbesondere Erwägungsgrund 70, Artikel 2, Artikel 3 Nummer 22, Artikel 28 Absätze 2 bis 4, Artikel 30 Absätze 2 und 3 sowie Artikel 31.
- Delegierte Verordnung (EU) 2024/1773, insbesondere Artikel 4.
