DORA – aktueller Stand der gesetzlichen Berichtsanforderungen.

Seit dem 17. Januar 2025 gilt die Digital Operational Resilience Act (DORA) für Finanzunternehmen in der gesamten Europäischen Union. Die Verordnung zielt darauf ab, ein hohes gemeinsames Niveau der digitalen operativen Widerstandsfähigkeit im Finanzsektor zu schaffen. 

Im Folgenden haben wir den aktuellen Stand sowie die für die Berichterstattung erforderlichen praktischen Erkenntnisse zusammengefasst. 

 

Register of Information (RoI) 

• Der ITS für das Informationsregister liegt vor

Der technische Durchführungsstandard für das Informationsregister (ITS) wurde angenommen und ist derzeit in Kraft.

• Das Datenpunktmodell der Taxonomie wurde aktualisiert, um den ITS widerzuspiegeln

Während die Version der Taxonomie, die für den Dry Run im Sommer 2024 verwendet wurde, 3.5 war, hat der Regulator eine aktualisierte Version – 4.0 – angenommen. Diese führte standardisierte Vorlagen für das Informationsregister ein, die vertragliche Vereinbarungen mit ICT-Drittanbietern und zusätzliche Spalten detailliert. Die neueste Version der Taxonomie kann hier heruntergeladen werden.  

• Die EBA veröffentlicht regelmäßig Updates zu den Q&A

Da es kontinuierlich Fragen aus der Branche zu verschiedenen Themen im Zusammenhang mit der ersten Register of Information (RoI) Berichterstattung gibt, haben die ESAs „Frequently Asked Questions“ veröffentlicht. Ziel der FAQs ist es, weitere Anleitung zur Berichterstattung zu geben und Punkte zu klären, die bisher noch nicht anderweitig geklärt wurden. Darüber hinaus werden einige Unterschiede zwischen der Beschreibung in ITS und der technischen Implementierung der EBA klargestellt. 

Ein Beispiel für solche Unterschiede wäre Spalte 0060 der Vorlage 05.02, die aus technischer Sicht für die Berichterstattung obligatorisch ist und laut EBA-Spezifikationen nicht leer gelassen werden kann. ITS besagt jedoch, dass, wenn der ICT-Drittanbieter (Feld B_05.02.0030) ein direkter ICT-Drittanbieter ist, d.h. bei „Rang“ r = 1 (Feld B_05.02.0050), Spalte 0060 leer gelassen werden sollte. DORA Q&A 147 klärt diese Diskrepanz, indem erklärt wird, dass Feld B_05.02.0060 mit dem gleichen Wert wie in B_05.02.0030 für Anbieter mit Rang „1“ ausgefüllt werden sollte. 

Unser RegWatch-Team hat alle Punkte im Dokument überprüft und die vollständige Implementierung in unserem Service sichergestellt. 

Meldung von IKT-bezogenen Vorfällen 

• PSD2-Meldeleitlinien wurden aufgehoben

Da jetzt die harmonisierte Vorfallmeldung im Rahmen von DORA gilt, hat die Europäische Bankenaufsichtsbehörde (EBA) ihre Leitlinien für die Meldung von schwerwiegenden Vorfällen im Rahmen der Zahlungsdiensterichtlinie (PSD2) aufgehoben. Die vollständige Veröffentlichung dazu finden Sie hier. 

• ITS für die Zwischenfallmeldung noch nicht verabschiedet

Der technische Umsetzungsstandard für die Meldung von Vorfällen wurde noch nicht verabschiedet, liegt aber als Entwurf hier vor.

• Technische Artefakte noch nicht veröffentlicht.

Die EBA hat noch keine technischen Artefakte für die Berichterstattung bereitgestellt.  Aus diesem Grund hat jede der lokalen Regulierungsbehörden begonnen, ihre eigenen technischen Leitlinien für die vorläufige Meldung zu erstellen, bis die endgültigen Artefakte veröffentlicht werden. Das am häufigsten verwendete Artefakt für die Meldung von Vorfällen ist die Excel-Datei, die von der EBA als Klarstellung veröffentlicht wurde.

• Studie zur Zentralisierung der Vorfallmeldung

Die ESAs hat eine Studie über die Durchführbarkeit einer weiteren Zentralisierung der Meldung IKT-bezogener Vorfälle veröffentlicht. Darin werden die verschiedenen Entwicklungsoptionen für die Meldung von Vorfällen skizziert – von einer vollständig dezentralisierten Meldung an die nationale Wettbewerbsbehörde bis hin zu einem zentralen EU-Hub. Das Europäische Parlament, der Europäische Rat und die Europäischen Kommission werden die Ergebnisse der Studie im Hinblick auf mögliche zukünftige Entwicklungen im Finanzsektor prüfen. 

  

Die nächsten Schritte 

• Bis zum 30. April muss die erste RoI-Meldung von den nationalen zuständigen Behörden abgeschlossen sein und an die EBA übermittelt werden. 

• Bis Ende Juli führen die ESAs die kritische Bewertung durch und teilen den IKT-Drittanbietern ihre Einstufung als kritisch mit.

• Bis zur ersten Septemberhälfte können die kritischen IKT-Drittanbieter (CTPPs) Einspruch gegen ihre Einstufung erheben.

• Bis Ende 2025 soll die endgültige Benennung der CTPPs abgeschlossen und veröffentlicht sein.
• Im Laufe des Jahres wird wahrscheinlich das IVS für die Meldung von Zwischenfällen angenommen und eine Entscheidung über die Zentralisierung (oder Nicht-Zentralisierung) der Meldung getroffen. 

• Ein technisches Format für die Meldung von Zwischenfällen soll veröffentlicht werden.

• Eine neue Taxonomie für die EBA wird veröffentlicht. Dies wird wahrscheinlich zu einer Änderung des Meldeformats für die RoI führen, da die ESAs voraussichtlich ab 2026 das einheitliche DPM-Meldeformat für alle Meldungen übernehmen werden.

  

Auf der sicheren Seite mit dem DORA Service von cleversoft.

Bleiben Sie compliant mit dem cleversoft DORA Reporting Service: 

• Anpassung an sich ändernde regulatorische Anforderungen 

• Bleiben Sie informiert über die neuesten Entwicklungen durch unser engagiertes Regulatory Watch-Team 

• Vollständige Transparenz, Prüfbarkeit und Rückverfolgbarkeit aller Daten 

• Effiziente Verwaltung von Vertragsinformationen an einem Ort, anstatt verschiedene Vorlagen durchzugehen 

• Informationen zur Beschreibung in ITS innerhalb des Systems 

Fragen zur DORA-Compliance oder unseren Services? Kontaktieren Sie unser Team über das Kontaktformular auf unserer Website. 

Wollen Sie mehr erfahren? Besuchen Sie unsere DORA Service Seite.