Frequently Asked Questions (FAQ) zu DORA

Das ergibt sich aus Art. 2 Abs. 1 DORA:

• Kreditinstitute
• Zahlungsinstitute
• Kontoinformationsdienstleister
• E-Geld-Institute
• Wertpapierfirmen
• Anbieter von Krypto-Dienstleistungen und Emittenten wertreferenzierter Token
• Zentralverwahrer
• Zentrale Gegenparteien
• Handelsplätze
• Transaktionsregister
• Verwalter alternativer Investmentfonds
• Verwaltungsgesellschaften
• Datenbereitstellungsdienste
• Versicherungs- und Rückversicherungsunternehmen
• Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit
• Einrichtungen der betrieblichen Altersversorgung
• Ratingagenturen
• Administratoren kritischer Referenzwerte
• Schwarmfinanzierungsdienstleister
• Verbriefungsregister
• IKT-Drittdienstleister

Ja und Nein.

Nur die von den Überwachungsbehörden der EU (den sogenannten ESAs) als kritisch eingestuften IKT-Unternehmen unterliegen einer in DORA geregelten Überwachung und müssen dafür Gebühren enrichten.

Für alle übrigen IKT-Unternehmen ist es kein Gesetzesverstoß, wenn sie sich erst mal nicht um DORA kümmern. Es liegt an den urch DORA direkt verpflichteten Finanzunternehmen (das sind neben Banken u.a. auch Versicherungen), ihre IKT-Drittdienstleister vertraglich zur Einhaltung bestimmter Regeln zu verpflichten. Ab dann verlangt die Vertrags-Compliance von IKT-Unternehmen die Einhaltung der versprochenen Pflichten.

Gleichwohl wäre es unklug, wenn ein IKT-Unternehmen mit Finanzunternehmen als Kunden die DORA-Vorbereitung verspätet oder ignoriert. Ist der IKT-Dienstleister nicht rechtzeitig in der Lage, die zugehörigen Pflichten zu erfüllen, droht ihm ein Kundenverlust.

Die von DORA betroffenen Unternehmen belaufen sich in der EU auf mehr als 22.0000. In Deutschland sind es nach Schätzung der BaFIN rund 3.600 Unternehmen.

IKT-Drittdienstleister sind von DORA mittelbar betroffen und müssen sich rechtzeitig auf die vertraglichen Anforderungen durch Finanzunternehmen vorbereiten.

Die EU-Überwachungsbehörden haben daher untersucht, wie viele IKT-Dienstleister dies sind. Nach dieser Untersuchung handelt es sich um rund 15.000 IKT-Dienstleister in der EU, die rund 1.600 Finanzunternehmen direkt bedienen und deshalb die DORA-Vorgaben einhalten müssen.

Zählt man die Subunternehmer jener Unternehmen hinzu, gelangen die Behörden zu einer Zahl von rund 20.000 IKT-Dienstleistern, die letztlich DORA-Pflichten erfüllen müssen.

Ja. Das ergibt sich direkt aus Art. 5 Abs. 2 DORA. Zahlreiche Entscheidungen im DORA-Vorbereitungsprojekt müssen vom Leitungsorgan festgesetzt oder freigegeben werden. Alle DORA-Maßnahmen sind durch das Leitungsorgan zu überwachen und zu prüfen.

Deshalb betont die für Deutschland zuständige Aufsichtsbehrde BaFIN hier: "In der Verordnung wird betont, dass die Unternehmensleitung — also etwa die Geschäftsführung oder der Vorstand — verantwortlich ist für das Management der IKT-Risiken."

Letztendlich ist dies nur durch Aufnahme eines Mitglieds von Geschäftsführung/Vorstand in den Lenkungsausschuss des Vorbereitungsprojektes zu gewährleisten.

Ja. Der Aufsichtsrat bzw. dessen Prüfungsausschuss für Risikomanagement ist einzubinden.

Das folgt aus § 116 i.V.m. § 93 sowie § 107 Abs. 3 AktG.

Nein. DORA verlangt ausdrücklich die Analyse von Risiken für die Fortführung des Geschäfts und die genaue Beschreibung vertraglich ausgelagerter Dienste und Funktionen.

Von daher müssen zwingend alle Fachbereiche beteiligt werden, die IT-Funktionen nutzen bzw. einkaufen. Daneben ist die Revision einzubinden.

Ja. Das ergibt sich direkt aus Art. 6 Abs. 6 DORA.

Nein.

Mit künstlicher Intelligenz lässt sich das Fehlen der für alle Verträge erforderlichen Vorgaben leicht ermitteln. Schwierig wird es bei den Kernanforderungen von DORA. Diese betreffen (1) genaue Beschreibungen der Services und Funktionen, (2) angemessene Service Level mit (3) Sanktionen und Überwachung sowie (4) den jeweils nötigen Exit Support.

Ob diese Anforderungen in Verträgen und Leistungsscheinen ausreichend beschrieben sind, lässt sich mittels KI ohne Vorgabe der für jeden Vertrag geltenden Anforderungen nicht ermitteln.

Eine volle Automatisierung der Vertragsanalyse ohne Ermittlung der individuell erforderlichen Anforderungen an jeden Vertrag ist daher nicht möglich.

Nein.

Hier gilt dieselbe Einschränkung wie zur Frage zuvor: Nur die allgemeingültigen, für alle Verträge gleich lautenden Vorgaben aus DORA lassen sich automatisiert in bestehende Vertragstexte einfügen.

Kernelement der DORA-Vertragsanpassung sind jedoch (1) genaue Beschreibungen der jeweils eingekauften Services und Funktionen, (2) angemessene Service Level mit (3) Sanktionen und Überwachung sowie (4) der jeweils benötigte Exit Support.

Diese Anpassungen mögen sich mit entsprechend detaillierten Vorgaben an ein KI-Tool mehr oder weniger zuverlässig in Vertragstexte einfügen lassen. Der zeitaufwendige Teil der Vorbereitung entfällt damit jedoch nicht: Die Ermittlung der Vorgaben an Funktionsbeschreibungen und benötigte Service Level.

In Teilen ja, der Vorbereitungsaufwand sinkt jedoch nicht.

Service Now (SNOW) ist ein sehr leistungsfähiges ITSM-Tool. Mit ausreichender — und meist aufwendiger — Anpassung lassen sich viele der von DORA geforderten Prozesse damit automatisieren.

Auch lässt sich das Informationsregister aller IKT-Verträge mittels SNOW erstellen. Das setzt jedoch voraus, dass alle dafür nötigen Datenfelder in SNOW angelegt und gefüllt sind. Die aufwendige Vertragsanalyse lässt sich mit SNOW also nicht automatisieren.

Im Ergebnis lassen sich einige DORA-Prozesse mit SNOW automatisieren. Die Vorbereitung auf DORA lässt sich damit jedoch nur in geringem Umfang automatisieren.

Nein.

DORA ist nur die grundlegende Vorschrift zur Herstellung digitaler Resilienz.

Die näheren Details regeln sogenannte Delegierte Verordnungen, technische Regulierungs-Standards (RTS) und technische Durchführungs-Standards (ITS) zu DORA. RTS und ITS werden von einer Europäischen Aufsichtsbehörde ausgearbeitet. RTS und ITS haben zwar keinen Gesetzescharakter (so regelt es Art. 290 Abs. 1 Satz 1 AEUV), sind aber ebenso verbindlich einzuhalten wie die DORA. Denn sie konkretisieren die gesetzlichen Anforderungen.

Das sind folgende sogenannte Level-2 und Level-3-Rechtstexte:

Bereits final erlassen und veröffentlicht:

• RTS zum IKT-Risikomanagementrahmen (zu Art. 15 DORA) und zum vereinfachten IKT-Risikomanagementrahmen (zu Art. 16 Abs. 3 DORA)
• RTS zu Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen (zu Art. 18 Abs. 3 DORA)
• Durchführungsverordnung zur Festlegung technischer Durchführungsstandards (...) im Hinblick auf Standardvorlagen für das Informationsregister /zu Art. 28 Abs. 9 DORA)
• RTS zur Leitlinie zur Nutzung von IKT-Dienstleistungen (zu Art. 28 Abs. 10 DORA)
• Delegierte Verordung zu den Kriterien für die Auswahl von IKT-Drittdienstleistern, die unter das europäische Überwachungsrahmenwerk fallen werden (zu Art. 31 Abs. 6 DORA)
• Delegierte Verordnung zu den Gebühren des europäischen Überwachungsrahmenwerks für kritische IKT-Drittdienstleister (zu Art. 43 Abs. 2 DORA)

Konsultationsverfahren abgeschlossen und am 17.7.2024 bei der Kommission eingereicht:

• Leitlinien für die Schätzung der aggregierten Kosten und Verluste durch schwerwiegende IKT- bezogene Vorfälle (zu Art. 11 Abs. 11 DORA)
• RTS zur Präzisierung der Meldung von schwerwiegenden IKT-bezogenen Vorfällen (zu Art. 20 lit. a DORA)
• ITS zur Festlegung der Einzelheiten der Berichterstattung über größere IKT-bezogene Vorfälle (zu Art. 20 lit. b DORA)
• RTS zur Präzisierung von Aspekten des TLPT (zu Art. 26 Abs. 11 DORA)
• RTS zur Präzisierung von Aspekten der Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen (zu Art. 30 Abs. 5 DORA)
• Leitlinien für die Kooperation zwischen den ESAs und den zuständigen Behörden hinsichtlich der Struktur der Überwachung von kritischen IKT-Drittdienstleistern (zu Art. 32 Abs.7 DORA)
• RTS zur Präzisierung der Durchführung der Überwachung von IKT-Drittdienstleistern gemäß Art. 41 Abs. 1 Buchstabe (c) (zu Art. 41 Abs. 1 Buchstabe (c) DORA)
• RTS zur Präzisierung der Durchführung der Überwachung von IKT-Drittdienstleistern (zu Art. 41 Abs. 2 DORA)

Ja.

Die Anforderungen gehen wesentlich darüber hinaus, sie umfassen mehr Datensätze und mehr Datenpunkte für die meisten Datensätze

Die Details erheben sich aus dem ITS zur Erstellung einer Standardvorlage für das Informationsregister.

Pro IKT-Dienstleister sind rund 100 Attribute in 15 Untertabellen zu erfassen.

Die Daten sind ständig aktuell zu halten.

Sie müssen bis zu 5 Jahre nach Vertragsende verfügbar sein (Neu: Im am 2.12.2024 veröffentlichten finalen Stand nicht mehr gefordert!).

Nein, schnell und einfach ist das nicht möglich.

Viele Unternehmen nutzen erst einmal die als Muster bereitgestellte Excel-Liste, weil sie zu spät mit der DORA-Vorbereitung begonnen haben. Dagegen ist nichts einzuwenden, weil insgesamt 95 Datenpunkte für verschiedene Teilbereiche und rund 20 Datenpunkte pro IKT-Dienstleister erfasst und gesammelt werden müssen.

Auf Dauer ist Excel für diesen Zweck jedoch nicht empfehlenswert: Angesichts des Datenumfangs und der Komplexität würde eine Tabelle sehr unübersichtlich. Zudem lassen sich die Aktualisierungen pro Datensatz in Excel schlecht dokumentieren. Änderungen müssen nachvollziehbar sein, um sie rasch zu korrigieren. Das erfordert eine umfangreiche Versionierung. Außerdem ermöglichen entsprechende Programme die Konsistenzprfüung der vielen Querverweise, die im Register gefordert sind.

Nein.

Diese verbreitete Fehlinformation beruht auf einer irreführenden Meldung der fabasoft. Deren Meldung ist leider nicht ganz korrekt! Dabei geht es um den Beschluss der European Banking Authority (EBA) vom 8.11.2024 in der finalen Fassung vom 15.11.2024 (Dokumentenkürzel ESA 2024 22), gerichtet an die zuständigen Aufsichtsbehörden nach Art. 46 DORA.

Der Inhalt betrifft wie der Beschluss nur die nationalen Aufsichtsbehörden, in Deutschland also die Bafin. Und enthält zwei unterschiedliche Fristen:

• Die nationalen Aufsichtsbehörden müssen die Informationsregister von nationalen Finanzunternehmen 2025 erst zum 30.4.2025 an die ESAs übermitteln.
• Für Finanzunternehmen, die zu einem Konzern gehören dessen Mutterunternehmen außerhalb der EU niedergelassen ist, müssen die nationalen Aufsichtsbehörden die Informationsregister zum 31.3.2025 einreichen.

Nirgends steht, dass die Finanzunternehmen sich so lange Zeit lassen können. Auf der Website der BaFin findet sich kein einziges Wort zu diesem Beschluss.

Es blieb also zunächst dabei, was die deutsche Aufsichtsbehörde BaFIN auf ihrer Homepage schrieb: "Gemäß Digital Operational Resilience Act (DORA) müssen Unternehmen des Finanzsektors vom 17. Januar 2025 an Informationsregister führen.“

Die BaFIN hatte Anfang des Jahres indes Einsicht und gewährte für die erste Einreichung in einem gut versteckten Hinweis eine Fristverlängerung bis zum 11. April 2025. Jetzt – kurz vor dem verlängerten Termin – gibt es wieder eine Fristverlängerung: In dieser Mitteilung schiebt die BaFIN die Frist erneut nach hinten.

Nun kann das Register erst mal gar nicht hochgeladen werden, auch nicht testweise. Es besteht nur ein Zeitfenster vom 14. bis zum 28. April 2025.

Ja.

Die Verordnung ist im Januar 2023 erlassen und ausreichend bekannt gemacht worden. Die meisten Banken und Versicherungen in den deutschen Nachbarländern Niederlande und Österreich haben schon seit einem Jahr mit DORA-Vorbereitungsprojekten begonnen.

In Deutschland sind mittlere und kleinere Versicherungen oft noch ignorant: Sie verweisen auf fehlende Ressourcen doer Budgets und nehmen DORA nicht ernst.

Das wird sich Anfang 2025 bitter rächen. Es ist davon auszugehen, dass die Aufsichtsorgane (wie BaFin für die Banken) die Informationsregister aller Finanzunternehmen abrufen und dann auf Anhieb feststellen, wer sich gar nicht vorbereitet hat.

Das hängt stark von der Größe des Unternehmens und der Zahl seiner IKT-Dienstleister ab.

Als Richtwerte können gelten: Eine Bank mit 500 Mitarbeitern arbeitet mit externem Dienstleister und 6 internen Mitarbeitern ein Jahr lang vollzeit in der Vorbereitung – und kommt nur mit Mühe hin, weil ein Jahr zu spät begonnen wurde.

Ein großer Versicherungskonzern hat 60 Mitarbeiter fast vollzeit und externe Dienstleister zusätzlich mit der Vorbereitung beschäftigt.

Je später ein Unternehmen mit der Vorbereitung beginnt, desto mehr Personal braucht es, um bis zum 16.1.2025 wenigstens die wichtigsten Dinge vorbereitet und umgesetzt zu haben. Wer jetzt erst startet, wird bis zum Start aller DORA-Pflichten kaum noch mit allen Vorbereitungen fertig.

Nein. Die Vorbereitungsfrist von zwei Jahren (Art. 64 DORA) ist ausreichend bemessen.

Bis dahin muss ein „wirksames und umsichtiges Management“ (Art. 5 Abs. 1 DORA) der in DORA adressierten Risiken umgesetzt sein. Die Unternehmen müssen dafür „ausreichende Ressourcen und Kapazitäten“ (Art. 10 Abs. 3 DORA) bzw. „Kapazitäten und Personal“ (Art. 13 Abs. 1 DORA bereitstellen.

Das gilt auch für zu beschaffende Hard- und Software. Art. 12 Abs. 2 DORA sieht zwingend die Beschaffung von Datensicherungssystemen vor, die den DORA-Vorgaben genügen.

Ein Unternehmen kann sich also nicht auf fehlende Mittel oder Personalengpässe berufen.

Ja.

Das ist ausdrücklich so vorgeschrieben: Geschäftsführung bzw. Vorstand müssen angemessene Budgetmittel für Vorbereitung und laufende DORA-Maßnahmen zuzuweisen, Art. 5 Abs. 2 lit. g) DORA.

Und schon in Erwägungsgrund 46 heißt es klipp und klar: "Darüber hinaus geht der Grundsatz der uneingeschränkten und letztlichen Verantwortung des Leitungsorgans (…) mit der Notwendigkeit einher, einen bestimmten Umfang von IKT-Investitionen und ein Gesamtbudget sicherzustellen (…)."

Ja.

Die Revision muss mit ausreichend Wissen und Fähigkeiten im Bereich IKT-Risiken ausgestattet werden (Art. 6 Abs. 6 S. 2 DORA).

Außerdem muss das Vorbereitungsprojekt regelmäßigen Revisionen unterzogen werden (Art. 6 Abs. 6 S. 1 DORA)

Ja. Das schreibt Art. 5 Abs. 4 DORA vor.

Ja, außer Sie sind ein Kleinstunternehmen.

Das schreibt Art. 12 Abs. 4 DORA für alle Funktionen vor, die für den Geschäftsbedarf erforderlich sind.

Außerdem müssen Alternativlösungen geplant werden, um IKT-Dienstleistern für kritische oder wichtige Funktionen „Dienstleistung und die relevanten Daten zu entziehen und sie sicher und vollständig alternativen Anbietern zu übertragen oder wieder in eigene Systeme zu überführen“ (Art. 28 Abs. 8 DORA).

Ja, außer Sie sind ein Kleinstunternehmen.

Eine Betriebsunterbrechung darf es nicht geben. Dann wäre der Nachweis erbracht, dass die DORA-Vorgaben nicht erfüllt sind.

Die Tests sind in Art. 24 Abs. 1 DORA zwingend vorgeschrieben.

Ja.

Die EU hat eigens zwei Jahre Vorbereitungsfrist gesetzt. Ab dem 16.1.2025 gibt es keine weitere Übergangsfrist.

Für keines der in DORA vorgeschriebenen Dokumente gibt es Nachlauf- oder Kulanzfristen.

Nein.

Art. 28 Abs. 3 DORA fordert, dass sich das zu erstellende Informationsregister „auf alle vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen bezieht“.

In erster Linie Geschäftsführung und Vorstand, weil er seine Pflichten aus Art. 5 DORA nicht erfüllt hat.

Weil es um Pflichten zum Risikomanagement sind, haftet auch der Aufsichtsrat einer AG, der zur Risikoüberwachung berufen ist. Das folgt aus § 116 i.V.m. § 93 sowie § 107 Abs. 3 AktG.

Ja.

Die Aufsicht obliegt den Europäischen Aufsichtsbehörden (European Supervisory Authorities – ESAs). Das Europäische Finanzaufsichtssystem (European System of Financial Supervision – ESFS) umfasst drei Aufsichtsorgane für unterschiedliche Sektoren:

1. Europäische Bankenaufsichtsbehörde (European Banking Authority – EBA)
2. Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (European Insurance and Occupational Pensions Authority – EIOPA)
3. Europäische Wertpapier- und Marktaufsichtsbehörde (European Securities and Markets Authority – ESMA)

Daneben gibt es noch den Europäischen Ausschuss für Systemrisiken (European Systemic Risk Board – ESRB).

Schließlich gibt es noch die nationalen Aufsichtsbehörden. In Deutschland ist die zentrale Aufsichtsbehörde die Bundesanstalt für Finanzdienstleistungsaufsicht – BaFin.

Die Aufsichtsbehörden "verfügen über alle Aufsichts- Untersuchungs- und Sanktionsbefugnisse", die zur Durchsetzung von DORA erforderlich sind (Art. 50 Abs. 1 DORA). Daneben können sie jederzeit Inspektionen in den Geschäftsräumen von IKT-Dienstleistern vornehmen (Art. 39 DORA).

Bei Verstößen gegen die in DORA auferlegten Pflichten können die Aufsichtsbehörden Sanktionen und Strafen auferlegen. Gegen kritische IKT-Dienstleister können zudem tägliche Zwangsgelder in Höhe von 1% des weltweiten Tagesumsatzes verhängt werden (Art. 35 Abs. 6 bis 8 DORA).