DIGITALE OPERATIVE RESILIENZ | Aktueller Stand rund um die delegierten Rechtsakte

In Artikel 43 definiert DORA, dass beaufsichtigte kritische IKT-Drittdienstleister eine Aufsichtsgebühr zu entrichten haben, die die Kosten der Beaufsichtigung decken soll. Hierzu sollen die ESAs Details zur Berechnung und der Bezahlweise definieren. Mangels Informationen zur Zahl der kritischen IKT-Drittdienstleister sowie diesen Dienstleistern im Allgemeinen und deren Dienstleistungen hat sich dies als Herausforderung gestaltet. Zunächst betrachten die ESAs daher den Umfang der Gebühren mit Fokus auf die geschätzten Aufsichtsausgaben und deren Anpassung. Anschließend geht das Papier auf die Berechnungsmethodiken ein, um die tatsächliche Gebühr zu kalkulieren, bevor sie sich der Bezahlung der Gebühr durch die Dienstleister widmet. Abschließend adressieren die ESAs den Umgang mit der Opt-in Klausel nach Artikel 31 Absatz 11 DORA.
Auch im zweiten Abschnitt werfen die Autoren Fragen auf und bitten die Marktteilnehmer, auf dieser einzugehen.
Das Diskussionspapier der ESAs finden Sie hier auf der Webseite der EBA.

Der Entwurf der ITS umfasst Vorlagen für ein Informationsregister der Vertragsverhältnisse zur Erbringung von IKT-Dienstleistungen durch IKT-Drittdienstleister, Art. 28 Abs. 9 DORA. Das Register soll Finanzunternehmen dabei unterstützen, Risiken aus Dienstleistungsbeziehungen angemessen zu steuern und den Aufsichtsbehörden die Überwachung der Abhängigkeiten zwischen Instituten und Dienstleistern erleichtern. Die Vorlagen schaffen ferner eine Grundlage für gemeinsame vertragliche Mindestinhalte, die im Risikomanagementprozess gemeinsam mit den notwendigen Informationen aus dem Register des Instituts ausreichend zu berücksichtigen sind.
Die Informationsanforderungen berücksichtigen den Grad der Abhängigkeit vom Dienstleister und sind daher inhärent proportional. Je nach dem, wie abhängig ein Institut von seinem Dienstleister ist, sind zusätzliche Informationen bspw. zur Risikobewertung, zur Lieferkette oder zu Subauslagerungen nötig. Bei der Erstellung wurden außerdem die Aufsichtspraxis verschiedener Behörden, Erfahrungswerte aus bereits erfolgten Datenaggregationen sowie der Datenaustausch zwischen Finanzunternehmen, den Aufsichtsbehörden und dem Aufsichtsforum bedacht.
Die Konsultation der ITS finden Sie hier auf der Webseite der ESMA.

Mit diesen RTS betrachten die ESAs die Klassifizierung erheblicher IKT-Vorfälle und Bedrohungen, Art. 18 Abs. 3 DORA. Zunächst gehen die ESAs dazu auf die verschiedenen Kriterien ein, die zur Klassifizierung der IKT-Vorfälle herangezogen werden, wie z.B. Datenverlust oder betroffene kritische Funktionen des Instituts. Zugleich betrachten sie die Anforderungen an die Erheblichkeitsschwelle. Sie schlagen vor, die Kriterien dabei unterschiedlich zu gewichten, um dem Proportionalitätsgrundsatz Rechnung zu tragen.
Neben den kritischen IKT-Vorfällen werden auch IKT-Bedrohungen adressiert. Als Kriterien herangezogen werden die Eintrittswahrscheinlichkeit, die potentielle Betroffenheit kritischer und wichtiger Funktionen sowie die Erfüllung der Kriterien eines erheblichen Vorfalls im Falle der Materialisierung der Bedrohung.
Die Konsultation der RTS finden Sie hier auf der Webseite der ESMA.

Diese RTS greifen die Harmonisierung der IKT-Risikomanagement-Tools, Methoden, Prozesse und Leitlinien gebündelt auf, Art. 15 und 16 Abs. 3 DORA. Die ESAs haben sich aufgrund der Themenverwanschaft dazu entschieden, die Anforderungen an den „normalen“ und den vereinfachten Risikomanagementprozess in einer Vorgabe zu bündeln.
Im Zuge der RTS betrachten die ESAs die verschiedenen Bestandteile der DORA-Anforderungen an das Risikomanagement näher und führen diese weiter aus. Beginnend mit der Governance arbeiten sie sich über das Risikomanagement, das Asset Management, die Verschlüsselung und Kryptographie, die operative Sicherheit, die Netzwerksicherheit, das Projekt- und Change Management, die physische Sicherheit, Schulungen und Awareness Trainings, Human Resources, das Identity und Access Management, den Umgang mit IKT-Vorfällen, das Business Continuity Management sowie das Reporting einmal durch die Vorgaben des DORA. In entsprechend reduzierter Form wird beim vereinfachten Risikomanagementrahmen vorgegangen.
In die Anforderungen sie bereits existierende Rahmenwerke, wie die EBA Leitlinien zum IKT- und Sicherheitsrisikomanagement von 2019 und die NIS2-Richtlinie mit eingeflossen. Sie sind als komplementierende Vorgaben zu DORA selbst zu sehen, wobei die hohe Bedeutung der Vorgaben zu betonen ist.
Die Konsultation der RTS finden Sie hier auf der Webseite der ESMA.

Der Entwurf enthält Spezifikationen zur Durchführung einer Subauslagerung von IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Der RTS konzentriert sich somit auf IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, die von IKT-Unterauftragnehmern erbracht werden.

Der Entwurf folgt dabei dem Lebenszyklus von Vereinbarungen zwischen Finanzunternehmen und IKT-Drittdienstleistern bei der Vergabe von Unteraufträgen und legt die wichtigsten Anforderungen an Finanzunternehmen für die Nutzung solcher Unteraufträge fest. Diese umfassen Folgendes:

• die Risikobewertung, die vor der Genehmigung der Vergabe von Unteraufträgen für mit kritischen oder wichtigen Funktionen verbundene IKT-Dienstleistungen durchgeführt werden muss,
• Anforderungen an die vertraglichen Vereinbarungen,
• die Überwachung der Unterauftragsvereinbarungen,
• die Unterrichtung über wesentliche Änderungen sowie
• Ausstiegs- und Kündigungsrechte.

Der RTS-Entwurf behandelt drei Aspekte:

1. Inhalt der Meldung für Berichte über schwerwiegende Vorfälle;
2. Fristen für die Einreichung einer Erstmeldung sowie von Zwischen- und Abschlussberichten;
3. Inhalt der Meldung erheblicher Cyber-Bedrohungen.

Dabei berücksichtigt sie den in der NIS2-Richtlinie verfolgten Ansatz zur Meldung von Vorfällen.

Was die Meldefristen betrifft, so schlägt der Entwurf harmonisierte Fristen für alle Finanzunternehmen vor:

• Erstmeldung: innerhalb von 4 Stunden nach der Einstufung als schwerwiegender Vorfall, spätestens jedoch 24 Stunden nach seiner Entdeckung
• Zwischenbericht: innerhalb von 72 Stunden nach der Einstufung oder wenn die regulären Tätigkeiten wieder aufgenommen wurden und der Geschäftsbetrieb wieder normal läuft
• Abschlussbericht: Spätestens 1 Monat nach der Einstufung.

Vorlagen und Formate für diese Berichte sind in den integrierten ITS zu finden, in denen auch die allgemeinen Meldeanforderungen enthalten sind.

In Bezug auf den Inhalt der Berichte über schwerwiegende Vorfälle zielt der Entwurf darauf ab, ein Gleichgewicht zu finden, das es den zuständigen Behörden ermöglicht, die wesentlichen Informationen zu erhalten, ohne die Finanzunternehmen mit einer hohen Berichtslast zu überlasten. In Bezug auf erhebliche Cyber-Bedrohungen sieht der Entwurf einen kurzen, einfachen und prägnanten Inhalt der Meldungen vor.

Der Entwurf der Leitlinien legt die Schätzung der aggregierten jährlichen Kosten und Verluste fest, die durch größere IKT-bezogene Vorfälle verursacht werden. Die Berechnung der jährlichen Kosten und Verluste im Rahmen der Leitlinien ist auf die Bewertung der Kosten und Verluste jedes einzelnen Vorfalls im Rahmen der RTS zur Meldung von Vorfällen abgestimmt.

Insbesondere sehen die Leitlinien eine Berichterstattung über die Bruttokosten und -verluste, die finanziellen Rückflüsse und die Nettokosten und -verluste nach größeren IKT-bezogenen Vorfällen vor. In den Leitlinien wird auch vorgeschlagen, den Bezugszeitraum für die Aggregation auf ein Geschäftsjahr zu konzentrieren, um sich auf verfügbare Zahlen aus den validierten Jahresabschlüssen stützen zu können.

Der Entwurf strebt ist die Harmonisierung der Anforderungen in allen Vorschriften und die Einführung effizienter Aufsichtsbedingungen für kritische Drittdienstleister, Finanzunternehmen und Aufsichtsbehörden in der gesamten EU an. So soll eine Fragmentierung der Rechtsvorschriften vermieden und gleichzeitig die Stabilität des Finanzsektors gewährleistet werden.

Der Leitlinienentwurf bezieht sich nur auf die Zusammenarbeit und den Informationsaustausch zwischen den ESAs und den zuständigen Behörden. Die Zusammenarbeit mit Finanzunternehmen, kritischen IKT-Drittanbietern, zuständigen Behörden untereinander, zwischen den ESAs und mit anderen EU-Institutionen fällt daher nicht in den Anwendungsbereich der Leitlinien.

Er deckt die folgenden vier Bereiche ab:

• Allgemeine Überlegungen
• Benennung von kritischen IKT-Drittanbietern
• Überwachungsaktivitäten
• Folgemaßnahmen zu den Empfehlungen