Am 26. Mai 2023 veröffentlichten die europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA – ESAs) ein Konsultationspapier, in dem sie die Interessengruppen um Beiträge zu Aspekten zur Einstufung kritischer IKT-Drittanbieter (Informations- und Kommunikationstechnik Drittanbieter) gemäß des Digital Operational Resilience Acts (DORA) bitten.  

Die Europäische Kommission hat die technische Beratung der ESAs angefordert, um die Kriterien für kritische IKT-Drittdienstleister (CTPPs) gemäß Artikel 31 DORA näher zu spezifizieren. Die ESAs müssen ihre gemeinsame Empfehlung bis zum 30. September 2023 vorlegen. Ziel des kürzlich veröffentlichten Konsultationspapieres ist es, die Marktteilnehmer in einer offenen und transparenten Weise zu konsultieren und das entsprechende Feedback in den Empfehlungen zu berücksichtigen.  

Die Konsultation bezieht sich auf die Konkretisierung der folgenden Kriterien:  

1. Auswirkungen auf die Bereitstellung von Finanzdienstleistungen 
2. Bedeutung der Finanzunternehmen 
3. Kritische oder wichtige Funktionen  
4. Grad der Substituierbarkeit 

Um potenziellen System- und Konzentrationsrisiken zu begegnen, die sich aus der Abhängigkeit des  

Finanzsektors von wenigen IKT-Dienstleistern ergeben, wird mit DORA ein Aufsichtsrahmen für Anbieter eingeführt, die als kritisch eingestuft werden. Als federführende Aufsichtsbehörden werden die drei Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) die Befugnis haben, die Tätigkeit der CTPPs in der Europäischen Union europaweit zu überwachen. Relevant sind hierfür die Tätigkeit der CTPPs im Zusammenhang mit den IKT-Dienstleistungen, die sie für Finanzunternehmen im Geltungsbereich der DORA erbringen. 

Insbesondere für das Outsourcing Management von Banken und Versicherungen ist die zeitnahe Veröffentlichung weiterer Konkretisierungen in Bezug auf den Umgang mit IKT-Drittdienstleistern relevant, um sich frühzeitig mit potenziellen Auswirkungen auf interne Prozesse und Leitlinien beschäftigen zu können.