Kurzdefinition: Artikel 31 DORA schafft eine direkte europäische Aufsicht über besonders bedeutsame IT-Dienstleister der Finanzbranche. Die Europäischen Aufsichtsbehörden (ESA) stufen IKT-Drittdienstleister, die für Finanzunternehmen kritisch sind, als kritische IKT-Drittdienstleister ein und benennen für jeden eine federführende Überwachungsbehörde. Die Einstufung folgt festen Kriterien wie den systemischen Auswirkungen und der Substituierbarkeit. [N-DORA-31]
Der Normwortlaut
Art. 31 Abs. 1 DORA bestimmt, dass die ESA über den Gemeinsamen Ausschuss die „Einstufung der IKT-Drittdienstleister, die für Finanzunternehmen kritisch sind“, vornehmen und für jeden kritischen IKT-Drittdienstleister eine „federführende Überwachungsbehörde“ ernennen. Nach Absatz 2 stützt sich die Einstufung unter anderem auf die systemischen Auswirkungen, die Bedeutung der abhängigen Finanzunternehmen, den Grad der Abhängigkeit und die Substituierbarkeit. [N-DORA-31]
Wer stuft einen Dienstleister als kritisch ein?
Die Europäischen Aufsichtsbehörden. Nach Art. 31 Abs. 1 DORA nehmen die ESA — über den Gemeinsamen Ausschuss und auf Empfehlung des Überwachungsforums — die Einstufung vor und ernennen die federführende Überwachungsbehörde. Die Einstufung erfolgt also auf europäischer Ebene, nicht durch das einzelne Finanzunternehmen. [N-DORA-31]
Nach welchen Kriterien wird eingestuft?
Nach vier Gruppen. Art. 31 Abs. 2 DORA nennt die systemischen Auswirkungen auf die Erbringung von Finanzdienstleistungen, den systemischen Charakter oder die Bedeutung der abhängigen Finanzunternehmen, den Grad der Abhängigkeit bei kritischen oder wichtigen Funktionen sowie den Grad der Substituierbarkeit des Dienstleisters. [N-DORA-31]
Was bedeutet die Substituierbarkeit?
Ob es Alternativen gibt. Nach Art. 31 Abs. 2 Buchstabe d DORA fließt der Grad der Substituierbarkeit ein — etwa der Mangel an echten Alternativen wegen begrenzter Anbieterzahl oder Marktanteil sowie die Schwierigkeit, Daten und Arbeitslasten zu einem anderen Dienstleister zu migrieren. Ein schwer ersetzbarer Anbieter erhöht das Konzentrationsrisiko. [N-DORA-31]
Was folgt aus der Einstufung als kritisch?
Eine direkte Überwachung. Der eingestufte Dienstleister wird einer federführenden Überwachungsbehörde unterstellt. Nach Art. 31 Abs. 5 DORA wird er über das Ergebnis der Bewertung unterrichtet und kann innerhalb von sechs Wochen eine begründete Erklärung abgeben. Gehört er zu einer Gruppe, benennt er eine Koordinierungsstelle (Art. 31 Abs. 4 DORA). [N-DORA-31]
Was bedeutet das für Finanzunternehmen als Kunden?
Sie profitieren von der Überwachung, bleiben aber verantwortlich. Die direkte Aufsicht über kritische Dienstleister ergänzt das eigene Drittparteienrisikomanagement nach Art. 28 DORA, ersetzt es aber nicht. Das Finanzunternehmen bleibt für seine Vereinbarungen und Risiken selbst verantwortlich. [N-DORA-31] [N-DORA-28]
Häufige Fehlannahmen
- „Das Finanzunternehmen stuft seinen Dienstleister selbst als kritisch ein.“ Nein. Die Einstufung nehmen die ESA vor (Art. 31 Abs. 1 DORA). [N-DORA-31]
- „Die Einstufung ist willkürlich.“ Nein. Sie folgt den festen Kriterien des Art. 31 Abs. 2 DORA. [N-DORA-31]
- „Ein kritischer Dienstleister hat keine Mitwirkungsrechte.“ Doch. Er kann nach Art. 31 Abs. 5 DORA binnen sechs Wochen eine begründete Erklärung abgeben. [N-DORA-31]
- „Mit der Einstufung entfällt die eigene Verantwortung des Finanzunternehmens.“ Nein. Das Drittparteienrisikomanagement nach Art. 28 DORA bleibt bestehen. [N-DORA-31] [N-DORA-28]
- „Die Substituierbarkeit spielt keine Rolle.“ Doch. Sie ist eines der Einstufungskriterien (Art. 31 Abs. 2 Buchstabe d DORA). [N-DORA-31]
- „Die Aufsicht über kritische Dienstleister ist rein national.“ Nein. Sie erfolgt über eine federführende Europäische Aufsichtsbehörde. [N-DORA-31]
Was die Geschäftsleitung tun sollte
- Abhängigkeiten kennen. Die eigenen kritischen IKT-Dienstleister und Konzentrationsrisiken identifizieren.
- Einstufungen verfolgen. Beobachten, ob genutzte Dienstleister als kritisch eingestuft werden.
- Substituierbarkeit prüfen. Ausweich- und Migrationsoptionen für schwer ersetzbare Anbieter bewerten.
- Eigene Verantwortung wahren. Das Drittparteienrisikomanagement nach Art. 28 DORA unabhängig von der Aufsicht pflegen.
Für die Geschäftsleitung
Mit den kritischen IKT-Drittdienstleistern zieht DORA erstmals eine direkte europäische Aufsicht über die großen IT-Lieferanten der Finanzbranche ein. Für Finanzunternehmen ist das eine Entlastung — aber kein Freibrief: Wer weiß, welche seiner Dienstleister systemkritisch und schwer ersetzbar sind, steuert sein Konzentrationsrisiko aktiv, statt sich allein auf die Aufsicht zu verlassen.
Quellen
- [N-DORA-31] Art. 31 DORA (Verordnung (EU) 2022/2554, Einstufung kritischer IKT-Drittdienstleister), Abs. 1 bis 5. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
- [N-DORA-28] Art. 28 DORA (IKT-Drittparteienrisiko). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
