EU-Regulierung ist für für IKT-Dienstleister in der Finanzbranche eine Herausforderung Wie sichern ITK-Anbieter ihre Zukunft unter Dora?

Anbieter zum Thema

PANDUIT

Fsas Technologies GmbH

Kentix GmbH

Sie entwickeln Software für regionale Banken, stellen Rechenzentren für die Archivierung zur Verfügung, übernehmen Analysedienste oder die Zahlungsabwicklung für kleinere Kreditinstitute: Mit der Umsetzung des Digital Operational Resilience Act (Dora) könnten IKT-Drittdienstleistern im Finanzsektor harte Zeiten bevorstehen.

In Deutschland gibt es schätzungsweise an die Hunderttausend kleinere Marktteilnehmer mit weniger als 200 Beschäftigten, die unter die erweiterte Definition von IKT-Drittanbietern in Artikel 2 lit. u (Dora) fallen. Vor allem diese kleinere Anbieter mit einem hohen Spezialisierungsgrad dürften Mühe haben, die hohen Anforderungen der EU-Verordnung zu erfüllen.

Bastian Krapf, Geschäftsführer Emagine Deutschland, und Julius Freiherr Grote, Geschäftsführender Gesellschafter der Eqvtes Advisory GmbH, sehen das Risiko von Marktaustritten sowie bislang ungelöste Probleme, welche die neue Regulierung geschaffen hat. Herausfordernd ist etwa der Umgang mit den teils außerhalb Europas ansässigen Softwareriesen und großen Cloud-Dienstleistern: Finanzunternehmen und IKT-Dienstleister müssen auch hier für die Einhaltung der Vorschriften sorgen und haben kaum Alternativen, falls sich diese Partner weigern, den Dora-Vorschriften nachzukommen.

Mit der Verordnung 2022/2554 über die digitale operationale Resilienz im Finanzsektor, besser bekannt unter der Abkürzung Dora, hat die Europäische Union einen Regulierungsrahmen vorgegeben, um die Resilienz von Finanzinstituten gegen Cyber-Angriffe und IT-Vorfälle zu stärken. „Die Verordnung verlangt von den Unternehmen explizit, nicht nur interne IT-Bedrohungen zu steuern, sondern auch solche, die besonders durch IKT-Dienstleister und deren Subunternehmer entstehen könnten, so genannte Drittparteienrisiken“, erläutert Krapf.

Und weiter: „Je höher die Spezialisierung, etwa eines kleineren Software-Anbieters, der eine maßgeschneiderte Anwendung für eine regionale Bank entwickelt hat, desto stärker wird die Abhängigkeit seines Kunden von ihm sein.“ Und damit werde es wahrscheinlicher, dass er oder seine Leistung im Sinne von Dora als kritisch eingestuft gilt.

Überprüfung der Verträge

Die Finanzinstitute müssten bestehende Verträge überarbeiten und Mindestvertragsinhalte für neue Geschäftsbeziehungen einführen, um neben den in Deutschland weiterhin geltenden Vorgaben für das Risiko-Management (MaRisk) zusätzlich Doro-Konformität zu gewährleisten. Könnten ihre Partner diese Hürden nicht oder nicht im Zeitrahmen nehmen, reichten die Sanktionen bis hin zur Zwangskündigung der Verträge durch die Behörden.

„Nicht wenige Dienstleister setzen sich diesem Risiko und den mit der Dora-Compliance verbundenen Aufwand aber gar nicht erst aus und signalisieren bereits, dass sie sich aus diesem Geschäft zurückziehen werden“, stellt Krapf fest.

Auch in der Vergangenheit hätten In der Finanzbranche tätige IKT-Dienstleister schon hohe Anforderungen erfüllen müssen. Die neue Dora-Regulierung gehe jedoch darüber hinaus, stellt Freiherr Grote heraus. In Zusammenarbeit mit Emagine hat Grote neben anderen Unternehmen aus der Finanzbranche zuletzt den deutschen Top 5 IKT-Dienstleister bei Erreichung seiner Dora-Compliance unterstützt, damit dieser auch künftig für einen der größten Finanzdienstleister Europas arbeiten kann.

Handlungsmöglichkeiten

Er sagt: „Zu den neuen Anforderungen gehören eine noch stärkere Einbindung der Geschäftsführung in das IKT-Risiko-Management, die Etablierung verpflichtender Meldungen schwerwiegender IKT-Vorfälle oder die Umsetzung erweiterter Anforderungen an das IKT-Drittparteienrisiko-Management, einschließlich davon betroffener Vertragsstrukturen.“

Mindestens alle drei Jahre müssen IKT-Dienstleister, die für ein Finanzunternehmen eine kritische oder wichtige Funktion unterstützen, dieses zudem dabei unterstützen, so genannte Threat-led Penetration Tests (TLPT) durchzuführen, die gezielte Angriffe durch hochentwickelte Bedrohungsakteure simulieren und von externen, zertifizierten Prüfinstanzen durchzuführen sind – ein weiteres Novum.

Noch lässt sich schwer abschätzen, wie viele kleinere, hochspezialisierte Anbieter am Ende von der Regulierung wirklich in vollem Umfang betroffen sind, weil sie Leistungen erbringen, die kritische oder wichtige Funktionen eines Finanzunternehmens unterstützen oder von den EU-Aufsichtsbehörden selbst als „kritisch“ eingestuft werden. Noch schwieriger ist die Vorhersage, wie viele deshalb aufgeben könnten.

Spezialisten könnten fehlen

Grote hält Bedenken dennoch für angebracht: „Man darf sich durchaus die Frage stellen, ob alle betroffenen Anbieter in der Lage sind, die hohen Umsetzungsaufwände zu stemmen und volle Dora-Konformität sicherzustellen, insbesondere unter dem gegebenen Zeitdruck.“

Denn bei Verstößen drohen bereits seit Januar dieses Jahres empfindliche Strafzahlungen: bei IKT-Dienstleistern immerhin bis zu fünf Millionen Euro. Die Folge könnte sein, dass Finanzinstituten in der Folge hochspezialisierte IKT-Dienstleistungen fehlen und zumindest kurzfristig keine praktikablen Alternativen existieren, was es ihnen wiederum zusätzlich erschwert, Dora-Konformität sicherzustellen.

Bewegung könnte aber auch in die Beziehungen zu großen, meist in den USA ansässigen Drittanbietern kommen, die Betriebssysteme, Software-Anwendungen oder Cloud-Dienste bereitstellen: Falls ihre Ressourcen für die Verarbeitung kritischer Daten genutzt werden, müssen Finanzunternehmen und ihre IKT-Dienstleister auch deren Compliance sicherstellen.

Compliance erfordert strategischen Ansatz

Allerdings zeigten große Cloud-Provider oder Software-Giganten, die ihren Sitz außerhalb der EU haben und eine globale Marktstrategie verfolgen, bislang wenig Neigung, sich an Dora-Standards zu orientieren. „Dies kann zu Schwierigkeiten in Vertragsverhandlungen führen“, so Grote, „und es für Finanzunternehmen oder ihre IKT-Dienstleister notwendig machen, alternative, Dora-konforme Anbieter zu identifizieren.“ Er setzt hinzu: „.. falls es diese überhaupt gibt.“

Krapf, der die Auswirkungen der regulatorischen Entwicklungen auf seine Kunden im Blick hat, rät betroffenen Unternehmen aus dem Finanzsektor, solchen Szenarien durch einen strategischen Ansatz zu begegnen: „Die Umsetzung neuer Regularien wie Dora hängt stark davon ab, wie das Risiko auf Vorstandsebene wahrgenommen und gemanagt wird. Manche Organisationen legten ihren Lieferanten übermäßig strenge Kontrollen auf, anstatt die Rahmenbedingungen an ihre spezifischen Abläufe anzupassen.“

Eine erfolgreiche Umsetzung von Regularien hänge aber immer davon ab, dass die Vorschriften auf das Unternehmen zugeschnitten würden, nicht umgekehrt. Betroffenen Drittparteien in Not rät Krapf zur kritischen Prüfung: „Wer nur über begrenzte Ressourcen verfügt, kann unter Umständen von Erleichterungen profitieren. Die Doroa-Verordnung führt hier eigens Ausnahmen auf.“ Und wo die personellen Kapazitäten oder das rechtliche Knowhow begrenzt sind, könne auch die Unterstützung durch spezialisierte Beratungsunternehmen eine gute Lösung sein.

(ID:50493762)