DORA-Register: So führen Sie das Informationsregister für IKT-Drittanbieter
Was die Verordnung (EU) 2022/2554 zum Informationsregister vorschreibt
Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) verpflichtet alle erfassten Finanzunternehmen, ein vollständiges Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern zu führen und auf Anfrage der zuständigen Behörde vorzulegen (Quelle: Verordnung (EU) 2022/2554, Artikel 28). Das Register muss sowohl alle IKT-bezogenen Dienstleistungen abdecken als auch die Hierarchie der Subunternehmer erfassen, die kritische oder wichtige Funktionen unterstützen. Es ist auf drei Konsolidierungsebenen zu führen: Einzelunternehmen, teilkonsolidiert und vollkonsolidiert. Die Europäische Bankenaufsichtsbehörde (EBA) und die anderen Europäischen Aufsichtsbehörden (ESAs) haben die technischen Standards für das Format des Registers veröffentlicht. Optivalue.ai begleitet Finanzunternehmen dabei, das Register vollständig zu strukturieren, aktuell zu halten und in einem Behördenformat exportierbar zu machen.
Welche Pflichtfelder enthält das Register pro IKT-Vertrag?
Das Register enthält für jeden IKT-Drittdienstleister und jede vertragliche Vereinbarung eine definierte Menge von Pflichtfeldern, die in den Durchführungsstandards der ESAs festgelegt sind (Quelle: Durchführungsverordnung (EU) 2024/2956 der ESAs, Anhang). Zu den Pflichtfeldern gehören: eindeutige Identifizierung des Dienstleisters (LEI-Code, Name, Land, Konzernstruktur), Beschreibung der bezogenen IKT-Dienstleistung, Klassifizierung als kritische oder wichtige Funktion (KF), Vertragsdaten (Vertragsbeginn, Laufzeit, Kündigungsfristen), Subunternehmer, die KF unterstützen, Datenspeicherorte und anwendbares Recht. Die vollständige Ausfüllung jedes Feldes ist Pflicht: ein teilweise ausgefülltes Register gilt nicht als konform. NIS2 und DORA als zwei regulatorische Säulen der digitalen Resilienz zeigen, dass das Register Teil eines breiteren Resilienzrahmens ist.
Wie oft ist das Register zu aktualisieren und wann wird es der Behörde gemeldet?
Das Register ist kontinuierlich zu aktualisieren: Jede Änderung einer vertraglichen Vereinbarung, jede Neuaufnahme eines Anbieters und jede Beendigung einer Beziehung löst eine Aktualisierungspflicht aus (Quelle: Verordnung (EU) 2022/2554, Artikel 28, Absatz 3). Mindestens einmal jährlich ist das Register einer vollständigen Überprüfung zu unterziehen. Die zuständige nationale Behörde kann das Register jederzeit anfordern; zusätzlich sehen die technischen Standards regelmäßige Übermittlungen vor. Eine Software, die jede Vertragsänderung automatisch in das Register zurückspiegelt, reduziert das Risiko von Inkonsistenzen zwischen dem operativen Vertragsmanagement und dem regulatorischen Register erheblich. Der Business-Continuity-Plan, den das DORA-Register abdecken muss, ist mit dem Register verknüpft, da Ausfallszenarien von kritischen IKT-Anbietern im BCP adressiert werden müssen.
Wie klassifiziert man kritische IKT-Drittanbieter?
DORA unterscheidet zwischen IKT-Drittdienstleistungen, die kritische oder wichtige Funktionen unterstützen, und solchen, die das nicht tun (Quelle: Verordnung (EU) 2022/2554, Artikel 3 und Artikel 28). Die Klassifizierung als kritische oder wichtige Funktion (KF) hat weitreichende Konsequenzen: Sie bestimmt die Intensität der vertraglichen Anforderungen, die Pflicht zur Erfassung der Subunternehmer-Kette und die mögliche Einstufung des Anbieters als kritischen IKT-Drittanbieter auf EU-Ebene durch die ESAs. Das Finanzunternehmen trägt die Verantwortung für diese Klassifizierung und muss sie dokumentieren und begründen. Eine systematische Methodologie, die alle IKT-Verträge nach definierten Kriterien bewertet, ist Voraussetzung für eine verteidigungsfähige Klassifizierungsentscheidung.
Wie automatisiert Software die Führung des DORA-Registers?
Eine spezialisierte Software verbindet das Vertragsmanagement mit dem regulatorischen Register und hält beide synchron. Neue IKT-Verträge durchlaufen einen strukturierten Aufnahme-Workflow, der alle Pflichtfelder erfasst und die KF-Klassifizierung dokumentiert. Laufende Verträge werden bei Änderungen automatisch aktualisiert. Das Register ist in dem von den ESAs geforderten Format exportierbar. Subunternehmer-Ketten werden in der Lieferantenstruktur abgebildet. Optivalue.ai prüft vorhandene Register auf Vollständigkeit gegenüber den ESA-Durchführungsstandards und stellt sicher, dass jedes Pflichtfeld ausgefüllt und die Klassifizierungsentscheidungen begründet dokumentiert sind.
FAQ
Welche Finanzunternehmen unterliegen DORA und der Registerpflicht?
DORA erfasst einen breiten Kreis von Finanzunternehmen, darunter Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Versicherungsunternehmen, Rückversicherer, Vermögensverwalter, Handelsplätze und Zentralverwahrer (Quelle: Verordnung (EU) 2022/2554, Artikel 2). Kleinstunternehmen können unter bestimmten Voraussetzungen von vereinfachten Anforderungen profitieren.
Was sind kritische IKT-Drittanbieter nach DORA?
Kritische IKT-Drittanbieter werden von den ESAs auf der Grundlage systemischer Kriterien identifiziert und unterliegen einem direkten Aufsichtsrahmen auf EU-Ebene (Quelle: Verordnung (EU) 2022/2554, Kapitel V). Die Einstufung als kritischer Anbieter ist eine Entscheidung der ESAs, nicht der einzelnen Finanzunternehmen. Das Register liefert die Datenbasis für diese Identifizierung.
Was ist der Unterschied zwischen dem DORA-Informationsregister und einem Vertragsregister?
Ein allgemeines Vertragsregister erfasst alle Verträge des Unternehmens ohne spezifische Felder für IKT-Risiken. Das DORA-Informationsregister ist auf IKT-Drittdienstleistungen spezialisiert, folgt einem definierten Format der ESAs und enthält regulatorisch vorgeschriebene Felder wie KF-Klassifizierung, Datenspeicherorte und Subunternehmer-Ketten. Es ist ein regulatorisches Dokument mit Vorlagepflicht gegenüber der Aufsichtsbehörde.
Welche Konsequenzen drohen bei einem unvollständigen Register?
Die zuständigen nationalen Behörden können bei Verstößen gegen die DORA-Registerpflicht Aufsichtsmaßnahmen und Sanktionen verhängen (Quelle: Verordnung (EU) 2022/2554, Artikel 50 ff.). Ein unvollständiges oder veraltetes Register gilt als Verstoß gegen die operationale Resilienzanforderungen und kann die Zuverlässigkeitsbeurteilung des Unternehmens beeinflussen.
Fordern Sie eine Demo von Optivalue.ai an
Nach oben
Zum gleichen Thema