Wissen
Wer fragt, was "signifikant" unter DORA bedeutet, bekommt die ehrliche Antwort: DORA verwendet "signifikant" nicht als eigenständige, definierte Schwelle. Die Verordnung arbeitet mit zwei präziseren Begriffen. Vorfälle werden als "schwerwiegend" eingestuft. IKT-Drittdienstleister werden als "kritisch" eingestuft. Die Frage, die die meisten eigentlich stellen - werden die Aufsichtsbehörden uns oder unseren wichtigsten Zulieferer als bedeutend genug ansehen, um das schwere Ende des Regimes zu treffen -, führt zur Einstufung als kritischer IKT-Drittdienstleister nach Artikel 31 der Verordnung (EU) 2022/2554. Dieser Leitfaden legt diesen Test offen: die Kriterien, die Entscheidungsträger, das zweistufige Verfahren, die Ausnahmen und das, was eine Einstufung tatsächlich auslöst.
| Wie DORA es tatsächlich nennt | |||||||||||||
| Rechtsgrundlage | Wer wird eingestuft | Wer entscheidet | Die vier Kriterien | Bei Einstufung | Signifikant, schwerwiegend, kritisch: drei verschiedene DORA-Begriffe
Die Verwirrung ist nachvollziehbar, denn DORA benutzt eine kleine Gruppe stark aufgeladener Begriffe in jeweils eng umrissener Bedeutung, und "signifikant" ist derjenige, den die Verordnung am wenigsten präzise verwendet. Wer sie sauber auseinanderhält, weiß, welchem Test er tatsächlich gegenübersteht.
Der Rest dieses Leitfadens dreht sich um den dritten Begriff, denn diese Einstufung hat die weitreichendsten Folgen und steht hinter der Frage "Sind wir oder ist unser Cloud-Anbieter signifikant im Sinne von DORA?". Die vier Kriterien für einen kritischen IKT-DienstleisterArtikel 31 Absatz 2 nennt vier Kriterien, die die ESAs prüfen, wenn sie über die Einstufung eines Dienstleisters als kritisch entscheiden:
Die eigentliche Arbeit leistet dabei die Substituierbarkeit. Die ersten drei Kriterien beschreiben, wie groß und wie stark vernetzt ein Dienstleister ist, was im Wesentlichen eine Zählübung bleibt. Das vierte fragt, ob der Markt seinen Ausfall auffangen könnte, und das ist eine Ermessensfrage, die den Ausschlag in Grenzfällen gibt. Es ist zugleich das Kriterium, in das Sie als Kunde am wenigsten Einblick haben, denn Ihr Dienstleister wird kaum von sich aus offenlegen, wie schwierig ein Ausstieg wäre. Das sind die primären Kriterien in der Verordnung selbst. Die genauen Unterkriterien, Formeln und quantitativen Schwellenwerte stehen eine Ebene tiefer, in der Delegierten Verordnung (EU) 2024/1502. Das zweistufige EinstufungsverfahrenDie Delegierte Verordnung (EU) 2024/1502 überführt die vier übergeordneten Kriterien in eine zweistufige Bewertung, die die ESAs bei allen in Betracht kommenden Dienstleistern einheitlich anwenden. Stufe 1 ist eine quantitative Hürde. Der Dienstleister wird an einer Reihe quantitativer Unterkriterien gemessen, die sich aus den vier Hauptkriterien ableiten: wie viele Finanzunternehmen ihn nutzen, welches systemische Gewicht und welche Bilanzsumme diese Unternehmen haben, in welchem Umfang er kritische oder wichtige Funktionen unterstützt und wie substituierbar er ist. Ein Dienstleister muss sämtliche Unterkriterien der Stufe 1 erfüllen, um weiterzukommen. Wer diese Hürde nicht nimmt, wird nicht eingestuft. Stufe 2 ist eine qualitative Bewertung. Für Dienstleister, die Stufe 1 überwinden, nimmt das Überwachungsforum eine umfassendere Bewertung vor und empfiehlt, ob der Dienstleister eingestuft werden sollte. Die ESAs treffen die endgültige Einstufung über den Gemeinsamen Ausschuss nur dann, wenn Stufe 1 erfüllt ist und Stufe 2 positiv ausfällt. Die exakten Unterkriterien und Schwellenwerte stehen in der Delegierten Verordnung; wer als Dienstleister oder Finanzunternehmen eine belastbare Antwort will, sollte diesen Text durcharbeiten statt sich auf Faustregeln zu verlassen. Für die meisten Finanzunternehmen ist dieses ganze Verfahren ein Zuschauersport. Sie können nicht beeinflussen, ob Ihr Dienstleister eingestuft wird, und Sie erfahren es in der Regel erst nach der Entscheidung. Steuern können Sie, ob Ihre Verträge und Ausstiegspläne diese Möglichkeit von vornherein einkalkulieren, und das ist eine deutlich günstigere Haltung als Nachverhandlungen unter einer Frist, die jemand anderes gesetzt hat.  Wer einstuft, und die Rolle des federführenden ÜberwachersDie Einstufung ist eine Entscheidung auf europäischer Ebene. Die drei ESAs - die Europäische Bankenaufsichtsbehörde, die Europäische Wertpapier- und Marktaufsichtsbehörde sowie die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung - handeln über ihren Gemeinsamen Ausschuss, auf Empfehlung des nach Artikel 32 eingerichteten Überwachungsforums. Wird ein Dienstleister eingestuft, benennen die ESAs eine der drei Behörden als seinen federführenden Überwacher. Federführend ist die ESA, die für jene Finanzunternehmen zuständig ist, die zusammen den größten Anteil an der Gesamtbilanzsumme aller Nutzer dieses Dienstleisters halten, gemessen an deren Einzelbilanzen. Wer von der Einstufung ausgenommen istArtikel 31 Absatz 8 nimmt mehrere Kategorien vom Einstufungsregime aus, selbst wenn sie sonst signifikant wirken würden:
Die gruppeninterne Ausnahme verdient besondere Aufmerksamkeit. Die eigene Shared-Services-Gesellschaft einer Gruppe außerhalb der direkten Überwachung zu halten, lässt sich auf dem Papier begründen, und es führt zugleich dazu, dass Konzentration innerhalb einer Bankengruppe weniger Prüfung auf sich zieht als identische Konzentration bei einem externen Anbieter. Ihre eigene Drittparteienrisikoarbeit sollte diese Unterscheidung bewusst nicht mitmachen, denn einem Ausfall ist es gleichgültig, wem das Rechenzentrum gehört. Die freiwillige SelbstmeldungDie Einstufung läuft nicht nur von oben nach unten. Nach Artikel 31 Absatz 11 kann ein Dienstleister, der nicht eingestuft wurde, darum ersuchen. Er reicht einen begründeten Antrag bei EBA, ESMA oder EIOPA ein, über den binnen sechs Monaten entschieden wird. Manche Anbieter wählen diesen Weg bewusst, weil eine einzige EU-Aufsichtsbeziehung leichter zu handhaben sein kann, als dieselben Zusicherungsfragen von jedem regulierten Kunden einzeln zu beantworten. Das gehört zu den klügeren Passagen im Drittparteienkapitel. Es eröffnet einem Dienstleister einen Weg, einen unberechenbaren Strom von Kundenprüfungen in eine einzige Aufsichtsbeziehung zu überführen, und es verschafft den ESAs Transparenz, um die sie sonst kämpfen müssten. Anbieter, die davon Gebrauch machen, werden das erfahrungsgemäß auch vermarkten. Was die Einstufung tatsächlich auslöstDie Einstufung verlagert einen Dienstleister von der indirekten Beaufsichtigung über seine Kunden aus dem Finanzsektor hin zur direkten Beaufsichtigung durch seinen federführenden Überwacher. Der federführende Überwacher kann Informationen anfordern, allgemeine Untersuchungen und Vor-Ort-Prüfungen durchführen und Empfehlungen aussprechen, die etwa IKT-Sicherheit, Unterauftragsvergabe und das Risikomanagement des Dienstleisters selbst betreffen. Eingestufte Dienstleister zahlen zudem Überwachungsgebühren, die die Kosten dieser Aufsicht decken. Zwei Folgen verdienen besondere Erwähnung. Erstens muss ein kritischer Dienstleister mit Sitz außerhalb der Union binnen zwölf Monaten nach der Einstufung eine Tochtergesellschaft in der EU errichten, sonst dürfen Finanzunternehmen ihn nicht weiter nutzen (Artikel 31 Absatz 12). Zweitens hat die Konstruktion auch auf Kundenseite Zähne: Folgt ein eingestufter Dienstleister einer Empfehlung des federführenden Überwachers zu einem ernsten Risiko nicht, können zuständige Behörden letztlich verlangen, dass Finanzunternehmen die Nutzung dieses Dienstleisters aussetzen oder beenden. Auch wenn also nicht das Finanzunternehmen eingestuft wird, verändert die Einstufung die Verträge und Ausstiegspläne, die es bereithalten muss. Behandeln Sie diese Aussetzungsbefugnis als Grund, Ausstiegsplanung ernst zu nehmen, statt als entfernte Möglichkeit. Einen belastbaren Ausstiegsplan für einen tief eingebetteten Dienstleister zu schreiben, bedeutet einen Monat lang Menschen hinterherzulaufen, die Ihnen nicht berichten, und es ist genau die Art Dokument, die sich in den Wochen nach einer ignorierten Empfehlung nicht aus dem Hut zaubern lässt. Häufig gestellte FragenStuft DORA mein Finanzunternehmen als "signifikant" ein?Über den Test nach Artikel 31 nicht. Dieser Test stuft IKT-Drittdienstleister als kritisch ein, während Finanzunternehmen davon nicht erfasst werden. Ihr Haus spürt die Einstufung als Nutzer eines kritischen Dienstleisters, nämlich über die vertraglichen Pflichten, Registerpflichten und Ausstiegsplanung, die mit dieser Abhängigkeit einhergehen. Wenn Sie wissen wollen, ob Ihr Haus ein "bedeutendes Institut" ist, gehört das zur Bankenaufsicht im Rahmen des SSM und ist von DORA getrennt. Wer entscheidet, ob ein IKT-Dienstleister unter DORA kritisch ist?Die drei ESAs (EBA, ESMA und EIOPA), handelnd über ihren Gemeinsamen Ausschuss auf Empfehlung des Überwachungsforums. Es handelt sich um eine einheitliche europäische Einstufung statt um eine nationale, und jedem eingestuften Dienstleister wird ein federführender Überwacher aus dem Kreis der drei ESAs zugewiesen. Worin unterscheiden sich "schwerwiegend" und "kritisch" unter DORA?"Schwerwiegend" beschreibt einen IKT-bezogenen Vorfall, der die Wesentlichkeitsschwellen der Delegierten Verordnung (EU) 2024/1772 überschreitet und nach dem Takt von 4 Stunden, 72 Stunden und einem Monat gemeldet werden muss. "Kritisch" beschreibt einen IKT-Drittdienstleister, der nach Artikel 31 für die direkte EU-Überwachung eingestuft wird. Das eine betrifft Ereignisse, das andere Lieferanten. Kann ein Dienstleister selbst um die Einstufung als kritisch ersuchen?Ja. Artikel 31 Absatz 11 erlaubt einem nicht eingestuften Dienstleister, einen begründeten Antrag bei EBA, ESMA oder EIOPA zu stellen, um als kritisch behandelt zu werden; die Entscheidung ergeht binnen sechs Monaten. Muss ein Cloud-Anbieter außerhalb der EU bei Einstufung eine EU-Gesellschaft gründen?Ja. Artikel 31 Absatz 12 verlangt von einem kritischen IKT-Drittdienstleister mit Sitz in einem Drittland, binnen zwölf Monaten nach der Einstufung eine Tochtergesellschaft in der Union zu errichten; andernfalls dürfen Finanzunternehmen seine Dienste nicht weiter nutzen. Mit Venvera auf das Regime für kritische Dienstleister vorbereitet seinUnabhängig davon, ob ein einzelner Dienstleister eingestuft wird, stützen sich die Kriterien auf genau die Nachweise, die DORA ohnehin von Ihnen verlangt: welche Dienstleister kritische oder wichtige Funktionen tragen, wie stark Sie auf jeden einzelnen konzentriert sind und wie ein Ausstieg aussähe. Das Venvera DORA-Modul hält diese Zuordnung aktuell, und das Drittparteienrisikoregister passt zum Informationsregister nach DORA, sodass dieselben Datensätze sowohl Ihre Auslagerungspflichten als auch jede Frage zur Kritikalität eines Dienstleisters beantworten. Wenn Sie schnell einschätzen wollen, wo Sie stehen, starten Sie einen kostenlosen Compliance-Check. PrimärquellenDieser Leitfaden stützt sich auf die Verordnung (EU) 2022/2554 (DORA), insbesondere Artikel 31 und Artikel 32, sowie auf die Delegierte Verordnung (EU) 2024/1502 der Kommission zu den Kriterien für die Einstufung kritischer IKT-Drittdienstleister. Die oben genannten Wesentlichkeitsschwellen für Vorfälle stehen in der Delegierten Verordnung (EU) 2024/1772 der Kommission. Prüfen Sie den jeweils geltenden Wortlaut, bevor Sie sich auf ein bestimmtes Kriterium stützen.  CEO and founder, Venvera Alexander is the founder of Venvera and a 20+ year veteran of European cybersecurity and compliance. He has led security and risk programmes for regulated financial institutions, fintechs and SaaS companies operating under DORA, NIS2, GDPR, ISO 27001 and the EU AI Act. Before Venvera, he founded Atlant Security, an offensive security consultancy that ran penetration tests, red-team exercises and ISO 27001 readiness programmes for clients across the EU and the Middle East. He writes on the cross-framework realities of running modern compliance: how to map one control to many obligations, where the spreadsheets fall apart, and what regulators are actually asking for once the auditor sits down. VERWANDTE ARTIKEL |
