Die am 17. Januar 2023 in Kraft getretene und ab 17. Januar 2025 anzuwendende DORA-Verordnung wirft ihre Schatten voraus (Verordnung (EU) 2022/2554 vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011).

Bereits der Verordnungstext – als Level-I-Rechtsquelle künftig unmittelbar geltendes Recht – formuliert teils neue, teils detailliertere und darüber hinaus im Vergleich zum aktuellen VAIT-Rundschreiben der BaFin auch anders strukturierte aufsichtliche Anforderungen an die IT-Sicherheit.

Viele Details der Anforderungen wird die Kommission – basierend auf den Entwürfen der EU-Aufsichtsbehörden - in Form technischer Regulierungs- und Durchführungsstandards (Level II-Regulierung) sowie von Leitlinien der EU-Aufsichtsbehörden konkretisieren.

Am 17. Januar 2024 wurden durch die Europäischen Aufsichtsbehörden fünf finale Entwürfe technischer Regulierungs- und Durchführungsstandards an die Kommission übermittelt. Weitere Teile des Level-II-Regulierungspakets wurden am 8. Dezember 2023 bis zum 4. März 2004 zur Konsultation gestellt. Änderungen in Details der Level-II-Regulierungstexte sind zwar noch möglich. Insgesamt liegt aber bereits jetzt eine verlässliche Informationsbasis für die verbleibende Vorbereitungszeit vor.

Angesichts des Umfangs der sich abzeichnenden Änderungen an die Anforderungen an die IT-Sicherheit durch die DORA-VO, ist die Frage, ob und wie die BaFin-Rundschreiben (VAIT, BAIT, ZAIT, KAIT) über Mitte Januar 2025 fortbestehen werden, derzeit noch offen. Es ist aber davon auszugehen, dass die BaFin auch nach dem Wirksamwerden der DORA-Verordnung in bestimmten Bereichen noch Raum für aufsichtliche Orientierung sieht. So wurde etwa am 1. Februar 2024 – unter expliziter Bezugnahme auf die DORA-Verordnung – das  erstmals im Jahr 2018 von BaFin und Bundesbank veröffentlichte Merkblatt „Orientierungshilfe zu Auslagerungen an Cloud-Anbieter“ in überarbeiteter und erweiterter Form veröffentlicht, als „Aufsichtsmitteilung zu Auslagerungen an Cloud-Anbieter“.

Zielsetzung

Diese Workshop-Reihe – zusammen mit PwC und unterstützt v.a. durch die AG VAIT/DORA des aba-Fachausschusses Digitalisierung – will die EbAV bei der Vorbereitung auf die ab 17. Januar 2025 einzuhaltende DORA-Verordnung unterstützen und ihren Austausch dazu erleichtern.

Termine

In vier Terminen werden jeweils einzelne Themenschwerpunkte zur Umsetzung der DORA-Verordnung behandelt. Im Sinne einer Gap-Analyse sollen insbesondere Veränderungen im Vergleich zum VAIT-Rundschreiben herausgearbeitet werden. Die Einzelworkshops hängen zusammen, bauen aber inhaltlich nicht aufeinander auf. 

1. Workshop I
   Donnerstag, 14.03.2024 | 10:00 - 13:00 Uhr
   VAIT-Rundschreiben und DORA: Gap-Analyse und Handlungsbedarfe
   Grundlagen des IKT-Risikomanagements

2. Workshop II
   Dienstag, 09.04.2024 | 10:00 - 13:00 Uhr
   Praktische Fragen des IKT-Risikomanagements

3. Workshop III
   Dienstag, 07.05.2024 | 10:00 - 13:00 Uhr
   Drittparteienmanagement

4. Workshop IV
   Dienstag, 04.06.2024 | 14:00 - 17:00 Uhr
   Weitere Fragen der DORA-Umsetzung: IT-Vorfälle und Meldeverpflichtungen
   Testen der digitalen operationellen Resilienz

Zielgruppe

Der digitale aba-Workshop richtet sich an Verantwortliche und Umsetzer der DORA-Verordnung in Pensionskassen und Pensionsfonds, die Mitglied der aba sind.