Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat eine neue Aufsichtsmitteilung veröffentlicht, in der sie betroffenen Unternehmen praxisnahe Hinweise zur Umsetzung der vereinfachten Anforderungen aus dem Digital Operational Resilience Act (DORA) gibt. Der Schwerpunkt liegt dabei auf dem IKT-Risikomanagement und dem IKT-Drittparteienrisikomanagement.
Ziel der Aufsichtsmitteilung
Mit der Veröffentlichung will die BaFin Unternehmen dabei unterstützen, die Vorgaben aus Artikel 16 DORA (vereinfachter IKT-Risikomanagementrahmen) sowie Artikel 28–30 DORA (IKT-Drittparteienrisikomanagement) praxisgerecht umzusetzen. Dabei berücksichtigt die Behörde auch die einschlägigen technischen Regulierungsstandards (RTS).
Adressaten der BaFin-Hinweise
Die Mitteilung richtet sich an zwei Gruppen von beaufsichtigten Unternehmen:
-
Institute außerhalb der CRR (Capital Requirements Regulation)
-
Für sie gelten ab Januar 2027 die Vorgaben zum vereinfachten IKT-Risikomanagement sowie zum IKT-Drittparteienrisikomanagement.
-
Diese Vorgaben lösen die bisherigen Bankaufsichtlichen Anforderungen an die IT (BAIT) ab.
-
-
Kleine Einrichtungen der betrieblichen Altersvorsorge (EbAV), kleine Wertpapierinstitute und Versicherungsholdings
-
Diese Unternehmen müssen die Anforderungen aus Artikel 16 DORA bereits seit Anfang 2025 beachten.
-
Sie haben ihre IKT-Risiken gemäß den vereinfachten Regelungen zu managen.
-
Vergleich mit bestehenden Regelwerken
Ein Schwerpunkt der Mitteilung liegt im Vergleich von BAIT und VAIT (Versicherungsaufsichtliche Anforderungen an die IT) mit den neuen europäischen Vorgaben aus DORA.
-
IKT-Risikomanagementrahmen: DORA sieht teilweise weitreichende Vereinfachungen vor.
-
IKT-Drittparteienrisikomanagement: Die Erleichterungen fallen hier zwar geringer aus, bieten aber dennoch Vorteile für kleinere Unternehmen.
Zur besseren Transparenz hat die BaFin außerdem die Übersicht zu den Mindestvertragsbestandteilen erweitert: Eine zusätzliche Spalte zeigt, welche Vereinfachungen Unternehmen nach Artikel 16 DORA nutzen können.
Dokumentationsanforderungen
Ergänzend hat die BaFin eine eigene Übersicht zu den Dokumentationspflichten nach Artikel 16 DORA veröffentlicht. Diese Zusatzinformation richtet sich an Finanzunternehmen, die ihre internen Prozesse an die neuen Anforderungen anpassen müssen.
Abgrenzung zu anderen Aufsichtsanforderungen
Die Hinweise der Aufsichtsmitteilung gelten ausschließlich für BAIT- und VAIT-regulierte Unternehmen. Sie sind nicht relevant für Institute, die den ZAIT (Zahlungsdiensteaufsichtliche Anforderungen an die IT) oder KAIT (Kapitalverwaltungsaufsichtliche Anforderungen an die IT) unterliegen. Diese fallen nicht in den Anwendungsbereich von Artikel 16 DORA.
Europäischer Kontext
Mit DORA hat die Europäische Union ein sektorübergreifendes Regelwerk geschaffen, das die digitale operationale Resilienz, das IKT-Risikomanagement und die Cybersicherheit im Finanzsektor europaweit vereinheitlichen soll. Ziel ist es, die Widerstandsfähigkeit der Finanzmärkte gegenüber Cyberangriffen und IKT-Störungen deutlich zu erhöhen.
