Stichwörter von D bis E

#DORA

Leistungen

• DORA: IKT-Register und Meldewege
• Schwerpunkte von Markus Junge

FAQ

• Was liefert Qvestcon für die Umsetzung von DORA und auf­sicht­li­chen Anforderungen?
• Seit wann gilt DORA und wen betrifft sie?
• Was ist das IKT-Infor­ma­ti­ons­re­gis­ter nach DORA, was gehört hinein und wie gelangt es zur Aufsicht?
• Was ist NIS2 und wie steht sie zu DORA?
• Was ist Third Party Management und was verlangt DORA dazu?
• Gelten für Nearshoring andere Regeln als für Outsourcing?
• Gilt das KRITIS-Dachgesetz für Banken und Versicherer?
• Welche IKT-Dienstleister gelten als kritisch und wer benennt sie?
• Wie hängen Fit and Proper und die Abhängigkeit von IKT-Dienst­leis­tern zusammen?
• Was heißt Ver­hält­nis­mä­ßig­keit unter DORA (Artikel 4) und wovon hängt der Umfang der Pflichten ab?
• Welche IKT-Vorfälle muss ein Haus nach DORA melden, an wen und in welchen Fristen?
• Welche Tests der digitalen operationalen Resilienz verlangt DORA und wer muss bedro­hungs­ori­en­tierte Pene­tra­ti­ons­tests (TLPT) durchführen?
• Was verlangt DORA an Aus­stiegs­stra­te­gien für IKT-Dienst­leis­tun­gen?
• Was ist eine kritische oder wichtige Funktion und welche Folgen hat die Einstufung für Verträge und Register?
• Was schreibt DORA für Verträge mit IKT-Dritt­dienst­leis­tern vor und wo stehen die Min­dest­in­halte (Artikel 30)?
• Wie verhalten sich VAIT, BAIT und KAIT zu DORA?
• Was bedeutet Kon­zen­tra­ti­ons­ri­siko bei IKT-Dienst­leis­tern und was verlangt DORA dazu?
• Wer trägt in einer Bank oder einem Versicherer die Verantwortung für DORA?
• Welche Kenntnisse und Fortbildung zu IKT-Risiken verlangt das Auf­sichts­recht von Geschäfts­lei­tern und Lei­tungs­or­ga­nen?
• Wie ist DORA im deutschen Auf­sichts­recht verankert und was gilt für Häuser außerhalb des DORA-Gel­tungs­be­reichs?
• Haftet die Geschäfts­lei­tung nach dem KRITIS-Dachgesetz persönlich und gilt das für Banken und Versicherer?
• Was verlangt das BSI-Gesetz nach NIS2 von Geschäfts­lei­tun­gen und gilt das für Banken und Versicherer unter DORA?
• Was regeln die MaGo für Versicherer und was hat die Neufassung geändert?
• Auslagerung, Ausgliederung, kritische oder wichtige Funktion: Welcher Begriff gilt für Banken, welcher für Versicherer und welcher nach DORA?
• Welche Register muss ein Haus für Auslagerungen führen und wie verhält sich das Aus­la­ge­rungs­re­gis­ter zum Infor­ma­ti­ons­re­gis­ter nach DORA?
• Was verlangt die BaFin bei Auslagerungen an Cloud-Anbieter?
• Gelten Auslagerungen innerhalb der Gruppe als Auslagerung?
• Wie gelingt ein Vorab-Check bei jedem neuen Fremdbezug, ohne jedes Mal die volle Prüfung zu durchlaufen?
• Ist jede IKT-Dienst­leis­tung zugleich eine Auslagerung oder Ausgliederung?
• Wann ist eine unterstützte Funktion kritisch oder wichtig?
• Welche Risikoanalyse steht vor der Unterschrift, damit sie den Vertrag wirklich prägt?
• Ist eine kurze oder einmalige Beauftragung automatisch keine IKT-Dienst­leis­tung?
• Wie bringt Ihr Haus regu­la­to­ri­sche Anforderungen rechtzeitig in Verträge mit IKT-Dienst­leis­tern, bevor die Verhandlung beginnt?
• Wie behält Ihr Haus die Kette im Blick, wenn ein Anbieter weitere Dienstleister einsetzt?
• Welche Kontrollen gelten nach Ver­trags­be­ginn?
• Wann bewertet Ihr Haus eine bezogene Dienst­leis­tung erneut?
• Was geschieht, wenn ein Anbieter erforderliche Ver­trags­klau­seln ablehnt?
• Welche Nachweise sammelt die laufende Dienst­leis­ter­steue­rung?
• Genügt ein ISO-Zertifikat als Nachweis für einen kritischen Dienst?
• Wie geht Ihr Haus mit einem schweren Verstoß gegen vereinbarte Leis­tungs­ziele um?
• Für welche Dienst­leis­tun­gen braucht Ihr Haus einen Ausstiegsplan und was verlangt die Aufsicht dafür?
• Wird ein Unter­auf­trag­neh­mer automatisch kritisch, weil die bezogene Leistung eine kritische oder wichtige Funktion unterstützt?
• Genehmigt die BaFin eine kritische IKT-Dienst­leis­tung oder wesentliche Auslagerung und was zeigt Ihr Haus ihr an?
• Wie halten DORA-Meldung, Aus­la­ge­rungs­an­zeige und interne Freigabe in Ihrem Haus zusammen, ohne durch­ein­an­der­zu­ge­ra­ten?
• Wie gelingt der Abgleich von Aus­la­ge­rungs­re­gis­ter und IKT-Infor­ma­ti­ons­re­gis­ter aus einem gemeinsamen Datenmodell?
• Welche Datenfelder bereinigt ein Haus zuerst?
• Wie bereitet ein Haus Register und Auf­sichts­mel­dun­gen verlässlich vor?
• Wie verbindet Ihr Haus jede erlaubte Tätigkeit mit den Prozessen, die sie tragen?
• Welche IT-Vorgaben der BaFin entfallen für Versicherer und weitere BaFin-regulierte Unternehmen und ab wann?
• Was entfällt für Banken von der BAIT? Und ab wann?
• Wer ist für ausgelagerte Funktionen zuständig? Und wohin eskaliert Ihr Haus?
• Wer macht bei einem Versicherer was, wenn eine wichtige Funktion ausgegliedert wird?
• Wer ist beim Cloud-Einsatz zuständig? Wohin eskaliert ein Mangel?
• Wie belegt die Geschäfts­lei­tung einer Bank, dass sie ihre Verantwortung für Cloud-Auslagerungen wahrnimmt?
• Wie starten Sie das IKT-Register nach DORA, wenn noch keine Vertragsliste vorliegt?
• Auf welchem Weg geben Sie das IKT-Register an die Aufsicht weiter?
• Welche Kennzahlen steuern einen Nearshoring-Dienstleister laufend?
• Wie testen Sie den Ausstiegsplan eines Nearshoring-Dienst­leis­ters, ohne den Betrieb zu stören?
• Wie erfassen Sie die Kette der Unter­auf­trag­neh­mer bei einem IKT-Dienstleister?
• Wer meldet nach DORA einen schwer­wie­gen­den IKT-Vorfall und wie bereiten Sie die Meldekette vor?
• Nach welchen Kriterien wählen Sie einen Nearshoring-Standort, bevor Sie einen Dienstleister beauftragen?
• Wie bauen Sie ein Shared-Service-Center zwischen Deutschland und Bulgarien so auf, dass Aufsicht und Revision es prüfen können?
• Was prüfen Sie rechtlich, bevor ein Standort für eine Auslagerung festgelegt wird?
• Wie bereiten wir uns auf DORA-Aufsicht 2027 vor?

Meldungen

• BeyondTrust Remote Support: Schwachstelle wird ausgenutzt
• EIOPA legt strategische Auf­sichts­prio­ri­tä­ten für 2027 bis 2029 fest
• SIA: Security-Chatbot mit Quel­len­be­le­gen für Banken
• DORA: Exit-Strategie für ausgelagerte Funktionen regeln
• Syonics: Ammerländer Versicherung bietet IT-Plattform an
• GDV fordert Vereinfachung von KI-Verordnung, DSGVO, DORA
• Lösch­pro­to­koll je Seriennummer: Nachweis bei Altgeräten
• AI Factory München: Messwerte für DORA-Exit und Risiko
• SonicWall SMA1000: CVE-2026-102255 wird ausgenutzt
• Patching: Reichen monatelange Zyklen noch aus?

#Dritt­dienst­leis­ter

Meldungen

• Dienstleister-Angriff: Verantwortung bleibt beim Betrieb

#Drittland

FAQ

• Welche Fehler passieren bei Cloud-Anbietern aus den Vereinigten Staaten?

#Dritt­land­zweig­stel­len

Fristen

• CRD VI: Zweig­stel­len­pflicht für Dritt­lands­ban­ken (Art. 21c) und neues Titel-VI-Regime

#Dritt­par­tei­en­ma­nage­ment

Leistungen

• Schwerpunkte von Markus Junge

#DSFA

Leistungen

• Schwerpunkte von Markus Junge

#DSGVO

Leistungen

• Datenschutz nach DSGVO

FAQ

• Wie hoch kann ein Bußgeld wegen Daten­schutz­ver­stö­ßen ausfallen?
• Wann muss ein Unternehmen einen Daten­schutz­be­auf­trag­ten benennen?
• Wer muss ein Ver­ar­bei­tungs­ver­zeich­nis führen und welche Angaben gehören hinein?
• Wann ist eine Datenschutz-Fol­gen­ab­schät­zung Pflicht?
• Was muss ein Vertrag zur Auf­trags­ver­ar­bei­tung regeln?
• Bis wann ist eine Datenpanne der Aufsicht zu melden?
• Wie gelingt es, den Datenschutz schon in der Dienst­leis­ter­steue­rung zu verankern, bevor der Vertrag steht?
• Wie sichert ein Unternehmen den Cloud-Vertrag daten­schutz­recht­lich ab, ohne die Datenschutz-Grund­ver­ord­nung zu lesen?
• Welche Fehler passieren bei Cloud-Anbietern aus den Vereinigten Staaten?
• Welche Datenschutz-Pflichten treffen einen Finanz­dienst­leis­ter beim Einsatz eines Nearshoring-Dienst­leis­ters?

Meldungen

• Dienstleister-Angriff: Verantwortung bleibt beim Betrieb

#EBA

FAQ

• Wie stufen Banken Konzernfirmen als Neben­dienst­leis­ter ein?

Meldungen

• BaFin übernimmt EBA-Leitlinien zu Anbietern von Neben­dienst­leis­tun­gen mit Aus­le­gungs­vor­be­halt
• ESAs mahnen zur Wachsamkeit bei externen Abhän­gig­kei­ten, Cyber­be­dro­hun­gen und Private-Credit-Risiken
• EU-Aufsicht warnt vor externen Abhän­gig­kei­ten und wachsenden Cyberrisiken
• EBA ver­öf­fent­licht endgültige Leitlinien zum Management von Dritt­par­tei­en­ri­si­ken: ver­hält­nis­mä­ßi­ger, einheitlicher und auf DORA abgestimmt
• EBA konsultiert zu Entwürfen technischer Standards für das operationelle Risi­ko­ma­nage­ment der Institute
• Rundschreiben 09/2026 (WA) - WpI MaRisk

#Eigenmittel

Fristen

• CRR3: Eigen­mit­tel­un­ter­grenze (Output Floor) steigt auf 60 Prozent

Meldungen

• BaFin spricht Eigen­mit­tel­emp­feh­lun­gen künftig risi­ko­ori­en­tiert aus
• Land­wirt­schaft­li­che Rentenbank: Bafin ordnet Sicher­stel­lung der ord­nungs­ge­mä­ßen Geschäfts­or­ga­ni­sa­tion und zusätzliche Eigen­mit­tel­an­for­de­run­gen an
• EBA konsultiert zu Entwürfen technischer Standards für das operationelle Risi­ko­ma­nage­ment der Institute
• Rundschreiben 06/2026 (BA)

#Eigen­mit­tel­emp­feh­lung

FAQ

• Wie prüfen wir die indikative Eigen­mit­tel­emp­feh­lung 2026?

#EIOPA

Meldungen

• ESAs mahnen zur Wachsamkeit bei externen Abhän­gig­kei­ten, Cyber­be­dro­hun­gen und Private-Credit-Risiken
• EU-Aufsicht warnt vor externen Abhän­gig­kei­ten und wachsenden Cyberrisiken

#Erstgespräch

FAQ

• Was passiert im kostenfreien Erstgespräch?

#Erst­ver­si­che­rer

FAQ

• Für wen arbeitet Qvestcon?

#ESG

Meldungen

• Rundschreiben 06/2026 (BA)

#ESMA

Meldungen

• ESAs mahnen zur Wachsamkeit bei externen Abhän­gig­kei­ten, Cyber­be­dro­hun­gen und Private-Credit-Risiken
• EU-Aufsicht warnt vor externen Abhän­gig­kei­ten und wachsenden Cyberrisiken
• ESMA setzt ab 2027 einen Auf­sichts­schwer­punkt auf KI und Tokenisierung
• Geopolitische und wirt­schaft­li­che Ver­wund­bar­kei­ten bleiben hinter dem starken Optimismus der Anleger verborgen
• EBA, EIOPA und ESMA fordern stärkere Governance und einheitliche Aufsicht, um IKT-Risiken durch Frontier-KI-Modelle im EU-Finanzsektor zu begrenzen

#etengo

Leistungen

• Einkauf über Preferred Supplier

#EUAIAct

Leistungen

• Schwerpunkte von Markus Junge

#EUNearshoring

Leistungen

• Schwerpunkte von Markus Junge

#Exit

FAQ

• Wie bewertet Ihr Haus eine gemeinsame Plattform, die mehrere Rechts­ein­hei­ten und Prozesse trägt?
• Wann ist eine unterstützte Funktion kritisch oder wichtig?
• Wie gelingt ein Anbie­ter­ver­gleich, ohne jedes Mal bei null anzufangen?
• Wie behält Ihr Haus die Kette im Blick, wenn ein Anbieter weitere Dienstleister einsetzt?
• Wie geht Ihr Haus mit einem schweren Verstoß gegen vereinbarte Leis­tungs­ziele um?
• Für welche Dienst­leis­tun­gen braucht Ihr Haus einen Ausstiegsplan und was verlangt die Aufsicht dafür?
• Wie gelingt ein erster Exit-Test, ohne dass Ihr Haus den Dienstleister sofort wechselt?
• Was gehört zur geordneten Beendigung einer Dienst­leis­tung?
• Woran erkennt Ihr Haus, ob ein Ausstiegsplan tatsächlich umsetzbar ist?