Neue RTS zu DORA herausgegeben
Article • Bank-, Versicherungs- und Wertpapieraufsichtsrecht
Dank DORA soll der europäische Finanzsektor den Bedrohungen des digitalen Zeitalters standhalten können, zentrale Fragen der Umsetzung sind aber noch offen. Um diese Lücke zu schließen, haben am 17. Jänner 2024 die europäischen Aufsichtsbehörden den endgültigen Entwurf technischer Regulierungsstandards ("RTS") veröffentlicht.
- Ziel der neuen RTS ist es, den von DORA erfassten Finanzunternehmen klare Auslegungs- und Umsetzungsregelungen für die Implementierung der Maßnahmen an die Hand zu geben. Veröffentlicht wurden dabei RTS zum Risikomanagementrahmen, zu den Kriterien für die Klassifizierung von Sicherheitsvorfällen sowie zu den Grundsätzen im Rahmen der Auslagerung.
- Im Entwurf der RTS zum Risikomanagementrahmen werden weitere Elemente zur Harmonisierung der Prozesse und Strategien festgelegt. Darüber hinaus legen die RTS einen vereinfachten Risikomanagementrahmen für jene Finanzunternehmen fest, die vereinfachte Regelungen im Rahmen von DORA vorhalten müssen. Die RTS sollen damit sicherstellen, dass die Anforderungen an das Risikomanagement zwischen den verschiedenen Finanzsektoren vereinheitlicht werden.
- Die RTS zur Bewertung von Sicherheitsvorfällen geben darüber hinaus klare Anhaltspunkte dafür, wann ein Vorfall als erheblich einzustufen ist. Die RTS umfassen zu diesem Zweck Kriterien für die Klassifizierung von Vorfällen und Cyber-Bedrohungen und legen entsprechende Erheblichkeitsschwellen fest. Die RTS enthalten daher eine Liste von sieben Kriterien, anhand derer bestimmt werden kann, ob ein Vorfall als bedeutendes Ereignis anzusehen ist.
- Darüber hinaus legen die RTS spezifische Anforderungen für Governance-Regelungen, das Risikomanagement und den internen Kontrollrahmen im Zusammenhang mit der Nutzung von Drittanbietern bei der Auslagerung von Dienstleistungen fest. Ziel ist es dabei, dass die Unternehmen während der gesamten Dauer der vertraglichen Vereinbarungen mit den Drittanbietern die Kontrolle über ihre operationellen Risiken, die Informationssicherheit sowie die Geschäftskontinuität behalten. Durch diese RTS erhalten Finanzunternehmen klare Leitlinien für die Ausgestaltung von Verträgen und Vereinbarungen mit Drittanbietern, insbesondere wenn die Dienstleister kritische oder wesentliche Funktionen erbringen. Zu beachten ist dabei, dass die RTS explizit auch gruppeninterne IKT-Dienstleister als Drittanbieter einbeziehen, für welche nur geringfügig abweichende Regelungen gelten.
- Die RTS befinden sich aktuell noch im Entwurfsstadium. Mit der Verbindlichkeit der RTS ist für Anfang 2025 zu rechnen.
