FAQ · DORA in der Praxis
Wie bereiten wir uns auf DORA-Aufsicht 2027 vor?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Die ESMA hat am 28. September 2026 ihr Arbeitsprogramm für 2027 veröffentlicht. Darin führt sie auf, dass sie gemeinsam mit den anderen Europäischen Aufsichtsbehörden kritische IKT-Drittdienstleister beaufsichtigt und die Einhaltung von DORA in allen ihren Aufsichtsbereichen weiter fördert. Was das für das eigene Haus bedeutet, ordnen COO, CISO und Leiter Compliance selbst ein.
Zuerst ist zu klären, welche IKT-Dienstleister kritische oder wichtige Funktionen unterstützen und im Informationsregister entsprechend geführt werden. Diese Einstufung im eigenen Haus ist von der Benennung kritischer IKT-Drittdienstleister durch die Aufsichtsbehörden zu unterscheiden. Die Reihenfolge zählt. Danach erhält jeder dieser Dienstleister einen Ausstiegs- und Notfallplan.
Aus unserer Erfahrung bei Kunden aus Versicherung und Bank liegt die Schwachstelle meist in der fehlenden Verbindung zwischen Register und Vertrag. Markus Junge empfiehlt, beides in einem Durchgang abzugleichen, bevor der Notfallplan geprüft wird.
In der Praxis
Gleichen Sie Informationsregister und Verträge für alle Dienstleister mit kritischen oder wichtigen Funktionen ab und ordnen Sie jedem einen Ausstiegs- und Notfallplan zu.
- Register, Vertrag und Notfallplan nennen für jeden dieser Dienstleister dieselben Angaben zu Leistung, Funktion und Ansprechpartner.
- Abweichungen gehen mit Verantwortlichem und Frist an das Vertragsmanagement und die Dienstleistersteuerung.
- Ein Vorstandsmitglied gibt den abgeglichenen Stand frei und lässt das Datum der Freigabe festhalten.
Nachweis: Als Nachweis dienen der Abgleich von Register, Vertrag und Notfallplan je Dienstleister sowie die datierte Freigabe durch das Vorstandsmitglied.