Was heißt Ver­hält­nis­mä­ßig­keit unter DORA (Artikel 4) und wovon hängt der Umfang der Pflichten ab?

Antwort

Die Anforderungen in DORA sind nach Artikel 4 risi­ko­ori­en­tiert und proportional umzusetzen. Die Ausgestaltung und vor allem der Umfang der Dokumentation sollen nach den Hinweisen der Aufsicht zur Größe und zum Gesamt­ri­si­ko­pro­fil des Unternehmens passen.

Beim Management des IKT-Dritt­par­tei­en­ri­si­kos hängt der Umfang davon ab, welche IKT-Dienst­leis­tun­gen ein Haus bezieht und ob sie kritische oder wichtige Funktionen unterstützen. Für bestimmte Finanz­un­ter­neh­men gelten geringere Anforderungen, etwa aufgrund ihrer Größe oder wegen der Dienst­leis­tun­gen, die sie erbringen. Für Kleinst­un­ter­neh­men gibt es Ausnahmen.

Der IKT-Risi­ko­ma­nage­ment­rah­men schreibt vor, was Finanz­un­ter­neh­men erfüllen müssen, nicht unbedingt, wie. Ver­hält­nis­mä­ßig­keit ist keine Einbahnstraße: Bei Prüfungen kann die Aufsicht entscheiden, welche Maßnahmen sie unter diesem Gesichtspunkt für angemessen umgesetzt hält.

• #DORA
• #Ver­hält­nis­mä­ßig­keit
• #Third­Par­ty­Ma­nage­ment

Weiterlesen