FAQ · DORA in der Praxis
Was bedeutet Konzentrationsrisiko bei IKT-Dienstleistern und was verlangt DORA dazu?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Auch wenn zahlreiche Finanzunternehmen auf eine geringe Zahl von Dienstleistern auslagern, besteht nicht immer ein Konzentrationsrisiko. Nach der BaFin kommt es darauf an, ob das Angebot des Dienstleisters so speziell ist, dass die Finanzunternehmen bei ihren kritischen oder wichtigen Funktionen von ihm abhängig sind. Ein Abhängigkeitsverhältnis entsteht, wenn Finanzunternehmen die Dienstleistung faktisch nicht selbst erbringen können oder dies wirtschaftlich nicht sinnvoll erscheint und ein Wechsel mangels Alternativen nicht möglich oder praktisch sehr schwierig ist.
DORA verlangt, die Risiken aus der Abhängigkeit bereits vor Vertragsabschluss zu bewerten und die IKT-Vertragsbeziehungen in ein Informationsregister einzutragen. Mit dem Register erkennen Häuser Konzentrationen und geografische Abhängigkeiten. Die Aufsicht kann damit Konzentrationsrisiken auf Unternehmens-, Sektor- und Finanzmarktebene untersuchen.
Dazu kommt ein europäisches Überwachungsrahmenwerk für kritische IKT-Drittdienstleister. Die Verantwortung der Finanzunternehmen bleibt vollumfänglich bestehen.
Belege
- Nicht jede Konzentration ist ein Risiko, BaFin
- Nicht jede Konzentration ist ein Risiko, Konzentrationsrisiko, BaFin
- Nicht jede Konzentration ist ein Risiko, Abhängigkeit, BaFin
- Risiken im Fokus 2026, Konzentrationen bei der Auslagerung von IKT-Dienstleistungen, BaFin
- Informationsregister und Anzeigepflichten, Nutzen des Registers, BaFin
- Informationsregister und Anzeigepflichten, Nutzen für die Aufsicht, BaFin
- Risiken im Fokus 2026, Verantwortung der Finanzunternehmen, BaFin
- Digital Operational Resilience Act (DORA), Oversight, EIOPA