Am 8. Juli 2024 hat die Bundesanstalt für Finanzdienstleistung (BaFin) Umsetzungshinweise zum Digital Operational Resilience Act (DORA) veröffentlicht, die das Ergebnis einer engen Zusammenarbeit mit Vertreterinnen und Vertretern der Industrie sind. Ab dem 17. Januar 2025 müssen die von der BaFin beaufsichtigten Unternehmen des Banken- und Versicherungssektors DORA anwenden und ihre Risiken der Informations- und Kommunikationstechnologie (IKT) gemäß den Anforderungen aus DORA managen.

Die veröffentlichten Umsetzungshinweise sollen die betroffenen Unternehmen dabei unterstützen, die Anforderungen aus DORA u. a. an das IKT-Drittparteienrisikomanagement umzusetzen. Als wesentlicher Bestandteil des IKT-Drittparteienrisikomanagements enthalten die Umsetzungshinweise auch eine Übersicht über die Mindestvertragsinhalte, die beaufsichtigte Unternehmen mit IKT-Drittdienstleistern vereinbaren müssen.

Neben Konkretisierungen zu Vertragsanforderungen, Neuregelungen bei Unterauftragsvergaben und den umfangreichen Anforderungen an Risikoanalysen und Due-Diligence wird hier unter anderem auch die Abgrenzung zu Auslagerungen und Ausgliederungen thematisiert. Es wird deutlich darauf hingewiesen, dass die sektorspezifischen Auslagerungsanforderungen weiterhin zu beachten sind und die Vorgaben, die sich z. B. aus MaRisk oder MaGO ergeben, Anwendung finden. Auch die Bewertung von Funktionen als „kritisch oder wichtig“ ist methodisch und inhaltlich nicht identisch mit einer Wesentlichkeitsbestimmung bei Auslagerungen. In der Praxis besteht somit die Herausforderungen, für eine bestimmte Zeit beide Klassifizierungsergebnisse nebeneinander zu bestimmen und zu dokumentieren. Eine Harmonisierung der Anforderungen an Auslagerungen wird jedoch von Seiten der Aufsicht angestrebt.