Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 9 Ausla ... / 3.10 Risikoanalyse nach dem Digital Operational Resilience Act (DORA)

Rz. 208

Mit Anwendung des Digital Operational Resilience Acts (DORA) ab dem 17. Januar 2025 müssen Institute, die Aktivitäten und Prozesse auslagern und dabei gleichzeitig als Finanzunternehmen eine vertragliche Vereinbarung über IKT-Dienstleistungen abschließen, bei der Durchführung der Risikoanalyse und Due-Diligence-Prüfung zusätzliche Anforderungen gemäß Art. 28 Abs. 4 und 5 DORA hinsichtlich des Inhalts und der Tiefe der Analyse erfüllen. Die BaFin hat in ihrer Aufsichtsmitteilung mit Umsetzungshinweisen zur DORA-Implementierung ermittelt, welche Aspekte dabei zu berücksichtigen sind. Dies umfasst

• die Beurteilung der Einhaltung aufsichtsrechtlicher Bedingungen,
• die Ermittlung und Bewertung aller relevanten Risiken, einschließlich des IKT-Konzentrationsrisikos,
• die Eignung des IKT-Drittdienstleisters im Rahmen einer Due-Diligence-Prüfung,
• die Ermittlung und Bewertung von Interessenkonflikten und
• die Einhaltung angemessener Standards der Informationssicherheit.^[1]

Rz. 209

Darüber hinaus bestehen weitergehende Anforderungen an die Risikoanalyse von IKT-Dienstleistungen, die eine kritische oder wichtige Funktion unterstützen, da dann von einer besonderen Bedeutung der damit verbundenen IKT-Drittparteienrisiken ausgegangen wird.^[2] In diesen Fällen hat die BaFin weitere zu analysierende Sachverhalte ermittelt, die deutlich über die bisherigen nationalen Anforderungen hinausgehen.^[3] Danach erwartet der europäische Gesetzgeber von Finanzunternehmen

• die konkrete Benennung eines Mindestkatalogs an Risiken, die im Rahmen der Ex-ante-Risikoanalyse zu berücksichtigen sind,^[4]
• die konkrete Benennung eines Mindestkatalogs an Faktoren, die der IKT-Drittdienstleister erfüllen soll,^[5]
• die Abwägung der Vorteile und Risiken im Zusammenhang mit Unterauftragsvergaben und die Bewertung la...