DORA: Beschluss zu Fristen und Anforderungen an die Berichterstattung

Die europäischen Aufsichtsbehörden ESAs (EBA, EIOPA und ESMA) haben kürzlich einen neuen Beschluss im Rahmen des Digital Operational Resilience Act (DORA) bekanntgegeben:  

Bis zum 30. April 2025 müssen die zuständigen Behörden den Europäischen Aufsichtsbehörden (ESAs) detaillierte Informationsregister über die vertraglichen Vereinbarungen zwischen Finanzunternehmen und ihren kritischen Informations- und Kommunikationstechnologie (IKT)-Dienstleistern vorlegen. Dies bedeutet, dass die Unternehmen ihre Informationsregister den nationalen Behörden im Voraus innerhalb der von jeder nationalen Behörde festgelegten Fristen übermitteln müssen. Diese Fristen werden noch veröffentlicht werden.    

Die Entscheidung der ESA legt außerdem ein umfassendes Rahmenwerk für das Berichtwesen fest, in dem die Informationen zu den Zeitplänen und Stichtagen sowie zu den Verfahren zur Informationsübermittlung, Qualitätssicherung, Revisionswesen und Umgang mit vertraulichen Daten enthalten sind.   

Die Verabschiedung der technischen Standards für die Informationsregister steht zwar noch aus. Doch der wesentliche Teil der Anforderungen ist bereits seit der Veröffentlichung des Abschlussberichts der ESAs im Januar 2024 zugänglich.  

Es werden zwar keine großen Änderungen mehr erwartet, trotzdem bleibt eine gewisse Unsicherheit bestehen. So hat die Europäische Kommission kürzlich die vorgeschlagenen Durchführungsstandards (ITS) abgelehnt und sich gegen die verpflichtende Nutzung des Legal Entity Identifier (LEI) für die Identifizierung von IKT-Drittanbietern ausgesprochen. Stattdessen wird der European Unique Identifier (EUID) vorgeschlagen. Die ESAs äußerten Bedenken, weil diese Änderung zusätzliche Komplexität mit sich bringe.  

Um sich gegen die Unsicherheiten zu wappnen, ist es essenziell für Finanzunternehmen bereits jetzt mit der Erstellung ihrer Register zu beginnen. Insbesondere Daten, die nicht unmittelbar verfügbar sind, wie z. B. spezifische Identifikatoren von IKT-Anbietern, sollten frühzeitig erhoben werden.  

Informationsworkshop zu den Ergebnissen des DORA Dry Runs am 18. Dezember   

Im Frühsommer haben die ESAs einen DORA-Probelauf gestartet, für den wir cleversoft Kunden ein kostenloses Setup zur Verfügung gestellt haben. Weitere Informationen dazu finden Sie in unserem letzten Blogpost.  

In einem Informationsworkshop am 18. Dezember 2024 werden die ESAs über die Ergebnisse des Probelaufs berichten und zusätzliche Informationen zur Vorbereitung ihrer Register zu geben. Der Workshop findet virtuell von 10:00 bis 13:00 Uhr statt. Interessierte können sich bis zum 16. Dezember 2024 unter folgendem Link anmelden. 

Offizieller Link: Zeitplan zur Datensammlung unter DORA. 

 

DORA Reporting Service 

Neben unserer Rolle als IKT-Dienstleister, als der wir selbst DORA-konform agieren, hat cleversoft den DORA Reporting Service für Finanzinstitute entwickelt. 

Der Service hilft unseren Kunden, das erforderliche Vertragsregister zu verwalten – sei es durch die vollständige Registrierung von Verträgen oder durch die Anreicherung eines bestehenden Registers, um sicherzustellen, dass alle erforderlichen Daten erfasst werden. Neben der Registerverwaltung erstellt der Service auch die Register of Information Reports im vorgeschriebenen XBRL-Format, wie von DORA gefordert. Auch das Incident Reporting erfolgt auf die gleiche Weise, im erforderlichen XBRL csv-Format und Berücksichtigung der Meldezeitpunkte im Zusammenhang mit einem Vorfall. 

Um den Service weiter zu verbessern, haben wir ein Management Reporting integriert, das basierend auf den Vertragsdaten Benachrichtigungen zu auslaufenden Verträgen und automatischen Vertragsverlängerungen bereitstellt. 

cleversoft Compliance Package 

Für Finanzinstitute, die zusätzliche rechtliche und regulatorische Absicherung benötigen, gibt es das cleversoft Compliance Package. Dieses Service-Paket ist speziell für interne Revisionsabteilungen oder externe Prüfer konzipiert und liefert revisionssichere Nachweise für die Einhaltung der Standards von Aufsichtsbehörden wie FCA, EIOPA, BaFin, FINMA und weiteren. Das Paket umfasst detaillierte Berichte, die cleversoft´s Engagement für Compliance, technologische Exzellenz und die Einhaltung von Branchenstandards belegen. 

Wichtig: Um weitere Informationen zu erhalten oder die DORA-Addendum-Vereinbarung abzuschließen, abonnieren Sie bitte das Compliance Package. 

Wichtiger Hinweis: 

Validierungsregeln und Datenmodell 

• Um die Vorbereitungen seitens der Finanzunternehmen zu erleichtern, haben die ESAs bereits vorab eine Liste von Validierungsregeln für die Analyse der Informationsregister und eine visuelle Darstellung des Datenmodells veröffentlicht.
• Die endgültigen Regeln werden zusammen mit einem aktualisierten Datenpunktmodell, einer Taxonomie und einem technischen Berichtspaket im Dezember 2024 fertiggestellt und beschlossen. 

Welche Drittanbieter gelten als CTPPs? 

Als kritische IKT-Dienstleister (CTPPs) im Sinne von DORA gelten alle Anbieter, die von systemischer Bedeutung für die Finanzstabilität in der EU sind. Konkret: 

• IKT-Dienste in einer bestimmten Kategorie für mindestens 10% der in der EU tätigen Finanzunternehmen bereitstellen 

• deren Dienstleistungen wichtige Funktionen großer Finanzinstitute unterstützen 

• oder die nur schwer ersetzbare IKT-Dienste für das Finanzsystem zur Verfügung stellen. 

Die konkrete Benennung sowie die Beaufsichtigung der CTPPs erfolgt ab dem 17. Januar 2025. 

Sie haben Fragen zu den Fristen oder zur Umsetzung von DORA? Unsere Experten beraten Sie gerne zu den notwendigen Schritten und den passenden Tools. Kontaktieren Sie uns einfach über das Kontaktformular auf unserer Website.