In Zusammenhang mit der seit 17. Januar 2025 unmittelbar anzuwendenden Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA-Verordnung) sind im zweiten Quartal 2025 wichtige Fristen abgelaufen.

§  Bis 28. April 2025 mussten in Deutschland Finanzunternehmen im Anwendungsbereich der Verordnung ihre Informationsregister mit Angaben zu ihren Vertragsbeziehungen mit IKT-Dienstleistern bei der BaFin über das Melde- und Veröffentlichungsportal einreichen. Auf einer von der BaFin eingerichteten Themenseite wurden hierfür eine strukturierte Datei (xBRL), die der Taxonomie der ESAs entspricht, sowie eine Excel-Vorlage bereitgestellt, deren Überführung ins xBRL-Format die BaFin übernimmt. Zahlreiche EbAV, Versicherungen oder Finanzunternehmen haben auch Angebote von Dienstleistern in Anspruch genommen, um die umfangreichen und aufwändig zu kodierenden Informationen vollständig zusammen zu tragen. Als fristwahrend akzeptiert wurden von der BaFin die MVP-Rückmeldungen „Verarbeitung abgeschlossen“, „In Verarbeitung (extern)“, „Meldung fehlerhaft“ oder „In Verarbeitung“.

§  Am 23. Mai 2025 endete der Überganszeitraum für die Abarbeitung möglicher Fehlermeldungen. Zur Unterstützung des Prozesses der Validierung von Datenfeldern hatte die Europäischen Bankenaufsicht (EBA) bereits im Februar 2025 eine Excel-Tabelle mit Validierungsregelungen veröffentlicht, die danach fortlaufend aktualisiert wurde und in aktueller Form hier abgerufen werden kann.

Die von der BaFin bereitgestellten detaillierten Informationen zur Einreichung der Informationsregister bleiben weiterhin relevant für die von der DORA-VO geforderten jährlichen Einreichungen aktualisierter Informationsregister.

Wie geht es weiter? Bei den Europäischen Aufsichtsbehörden hat nun auf Basis der von den nationalen Aufsichtsbehörden übermittelten Informationsregister der Prozess der Bestimmung kritischer IKT-Dienstleister begonnen, für den die Art. 32 ff. der DORA-VO einen Überwachungsrahmen auf europäischer Ebene vorsehen. Ausführliche Informationen über den Prozess wurden von den Europäischen Aufsichtsbehörden am 15. April 2025 in einem Workshop präsentiert. Die Folien sind hier aufrufbar.

Mittlerweile schließen sich auch letzte Lücken bei den fehlenden Level II-Regulierungen, die wichtige Klarstellungen für den Umgang beaufsichtigter Finanzunternehmen mit IKT-Dienstleistern enthalten. Einer der letzten wichtigen Bausteine, der technische Regulierungsstandard über Aspekte, die ein Finanzunternehmen bei der Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen bestimmen und bewerten muss, wurde zwar noch nicht im Amtsblatt veröffentlicht. Die von der Kommission gebilligte Fassung ist aber hier aufrufbar. Eine vollständige Übersicht über den jeweils aktuellen Stand vermittelt auch weiterhin die DORA-Themenseite der BaFin.