Was sind kritische IKT-Drittdienstleister?
Die EU-Verordnung Digital Operational Resilience Act (DORA) hat vor allem das Management von Risiken zum Ziel, die sich aus der Zusammenarbeit mit IKT-Dienstleistern ergeben. Welche Unternehmen dazu zählen und als kritisch gelten, erfahren Sie hier.
Was sind IKT-Dienstleister?
Dies sind Anbieter von Services aus dem Bereich der Informations- und Kommunikationstechnologien (IKT). Zu IKT-Dienstleistungen zählen:
- Cloud-Dienste
- Managed Services
- Software as a Service (SaaS)
- Infrastructure as a Service (IaaS)
- Platform as a Service (PaaS)
- IT-Sicherheitsdienste
- Datenanalyse und Business Intelligence
- Backup und Disaster Recovery
- Helpdesk und technischer Support
- IT-Beratung
- Netzwerkmanagement
- Virtualisierungsdienste
- Hardware und Infrastrukturkomponenten (z. B. Server, Speicherlösungen oder Netzwerkausrüstung) als Dienstleistung und Hardwaredienstleistungen inkl. Technischem Support.
Was bedeutet kritisch nach ESA?
Während in den Mindestanforderungen an das Risikomanagement (MaRisk) von wesentlichen Auslagerungen gesprochen wird, verwendet DORA den Begriff kritische IKT-Dienstleister. Nach welchen Kriterien nehmen die Europäischen Aufsichtsbehörden (ESA) diese Einstufung vor?
Die folgenden Kriterien geben vor, welche IKT-Dienstleister als kritisch gelten und somit einer besonders strengen Überwachung und strikteren Anforderungen gemäß DORA unterliegen:
- Systemische Auswirkungen:Die möglichen Folgen einer umfassenden Betriebsstörung des IKT-Drittdienstleisters auf die Stabilität, Kontinuität oder Qualität der Finanzdienstleistungen.
- Systemischer Charakter der Finanzunternehmen:Die Bedeutung und systemische Relevanz der Finanzunternehmen, die auf den IKT-Dienstleister angewiesen sind, einschließlich der Anzahl der Institute und deren Vernetzung.
- Abhängigkeit von den Dienstleistungen:Das Ausmaß, in dem Finanzunternehmen von den Diensten des IKT-Drittdienstleisters für kritische oder wichtige Funktionen abhängig sind.
- Substituierbarkeit des Dienstleisters:Die Möglichkeit, den IKT-Drittdienstleister zu ersetzen, unter Berücksichtigung von Marktbeschränkungen, technischer Komplexität oder proprietären Technologien.
Die ganzheitliche Betrachtung soll sicherstellen, dass das Risiko, das von kritischen IKT-Drittdienstleistern ausgeht, effektiv überwacht und reguliert wird, um die Resilienz und Stabilität des Finanzsystems zu stärken.
