Definition von „kritisch oder wichtig“: In den einschlägigen aufsichtsrechtlichen Vorgaben finden sich immer wieder die Begriffe der „kritischen oder wichtigen Funktion“. Aus BaFin-Sicht wurde die Empfehlung ausgesprochen, die Begrifflichkeiten unternehmensindividuell auszulegen.

DORA–Auswirkungsanalyse: Die BaFin verwies darauf, dass derzeit noch an einer finalen Fassung einer DORA-Auswirkungsanalyse gearbeitet wird. Diese soll die maßgeblichen Änderungen bzw. Auswirkungen auf das IKT-Drittparteienmanagement darstellen. Ein Termin für die Veröffentlichung dieser Auswirkungsanalyse wurde noch nicht bekannt gegeben.  

Verpflichtende vertragliche Anforderungen:

• Die BaFin erarbeitet derzeit eine „Vertrags-Checkliste“, die potenzielle DORA-Fundstellen auflisten soll (u. a. Art. 30 Abs. 2 DORA), die im Rahmen einer Vertragserstellung zu berücksichtigen sind.
• Nach Erwägungsgrund 69 DORA müssen bestehende Verträge mit IKT-Drittdienstleistern nachverhandelt werden, damit es zu einer Angleichung an die in DORA vorgesehenen Vertragsbestimmungen kommt. Für diese Anpassungen sind keine Übergangsfristen vorgesehen.
• Bei Vertragsabschluss sollen die von den Behörden für bestimmte Dienstleistungen entwickelten Standardvertragsklauseln berücksichtigt werden (Art. 30 Abs. 4 DORA). Bisher liegen jedoch keine Standardvertragsklauseln vor. Die BaFin empfiehlt daher den beaufsichtigten Unternehmen, mit der Umsetzung der Mindestvertragsinhalte nicht bis zur Veröffentlichung von Standardvertragsklauseln zu warten.
• Es ist ein neues Informationsregister mit allen IKT-Vertragsbeziehungen zu erstellen (Art. 28 Abs. 3 DORA). Auf Basis dieser Informationen können die Europäischen Aufsichtsbehörden Konzentrationsrisiken und kritische IKT-Drittdienstleister identifizieren, womit das Informationsregister einen wesentlichen Beitrag zum europäischen Überwachungsrahmenwerk für kritische IKT-Drittdienstleister leistet.

X-AIT-Prüfungen: Ab Januar 2025 soll es keine X-AIT Prüfungen mehr geben. Stattdessen soll der Fokus auf die DORA-Vorgaben gelegt werden, verbunden mit dem Hinweis, dass diese an einigen Stellen die X-AIT Prüfungen ausweiten werden.