Die Europäische Zentralbank (EZB) hat den lange erwarteten finalen Leitfaden zur Auslagerung von Cloud-Diensten veröffentlicht. Ziel des Dokuments ist es, eine einheitliche Aufsichtspraxis sicherzustellen, Risiken besser zu kontrollieren und gleiche Wettbewerbsbedingungen für alle beaufsichtigten Institute zu schaffen. Der Leitfaden richtet sich an Banken und Finanzinstitute, die im Rahmen der zunehmenden Digitalisierung Cloud-Dienste in ihre Prozesse integrieren.
Warum dieser Leitfaden?
Cloud-Technologien sind für viele Banken ein wesentlicher Bestandteil moderner IT-Infrastruktur. Sie ermöglichen flexiblere Systeme, schnellere Skalierung und Kostenvorteile. Gleichzeitig entstehen neue operationelle Risiken, insbesondere in den Bereichen IT-Sicherheit, Cyber-Resilienz und Abhängigkeit von Drittanbietern.
Mit dem Leitfaden legt die EZB aufsichtliche Erwartungen fest, wie Banken ihre Auslagerungsstrategien gestalten und Risiken steuern sollen. Kernpunkte sind dabei:
-
Risikobasierter Ansatz: Institute müssen prüfen, ob die Auslagerung kritische Funktionen betrifft, und ein entsprechendes Risikomanagement implementieren.
-
Verhältnismäßigkeit: Anforderungen orientieren sich an Größe, Komplexität und Risikoprofil des Instituts.
-
Kontinuität und Ausfallsicherheit: Banken sollen Notfallpläne und Rückholstrategien vorhalten, um Cloud-Dienste bei Störungen schnell ersetzen zu können.
-
Transparenz und Kontrolle: Es muss sichergestellt sein, dass die Banken weiterhin Zugriff auf relevante Daten haben und Prüfungen durch Aufseher möglich sind.
Verbindung zum Digital Operational Resilience Act (DORA)
Der Leitfaden steht in direktem Zusammenhang mit dem DORA, der ab 2025 gilt und europaweit einheitliche Anforderungen an die digitale Betriebsstabilität von Finanzunternehmen einführt. Die EZB konkretisiert damit, wie Banken ihre Cloud-Strategien mit den Vorgaben des DORA in Einklang bringen.
Keine rechtliche Bindung – aber faktischer Standard
Obwohl der Leitfaden nicht rechtsverbindlich ist, markiert er einen aufsichtlichen Standard, an dem sich Institute künftig messen lassen müssen. Banken, die sich nicht daran orientieren, riskieren aufsichtsrechtliche Maßnahmen oder Einschränkungen bei der Nutzung von Cloud-Diensten.
Überarbeitung nach öffentlicher Konsultation
Nach einer Konsultationsphase wurde der Leitfaden überarbeitet und präzisiert, vor allem bei den Themen Verhältnismäßigkeit und Risikomanagement. Mehrere Marktteilnehmer hatten kritisiert, dass die Anforderungen an kleinere Institute zu streng seien.
Nächste Schritte für Banken
-
Überprüfung der bestehenden Auslagerungsverträge mit Cloud-Anbietern.
-
Anpassung interner Governance- und Kontrollsysteme.
-
Einrichtung von Monitoring-Mechanismen, um Compliance mit DORA und EZB-Vorgaben sicherzustellen.
Der vollständige Leitfaden sowie die Stellungnahmen zur Konsultation sind auf der Website der EZB abrufbar.
