{"id":39289,"date":"2025-07-16T11:03:47","date_gmt":"2025-07-16T11:03:47","guid":{"rendered":"https:\/\/2b-advice.com\/?p=39289"},"modified":"2026-04-14T15:25:53","modified_gmt":"2026-04-14T13:25:53","slug":"dora-leitfaden-zur-aufsicht-ueber-kritische-drittanbieter-ctpp","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2025\/07\/16\/dora-leitfaden-zur-aufsicht-ueber-kritische-drittanbieter-ctpp\/","title":{"rendered":"DORA-Leitfaden zur Aufsicht \u00fcber kritische Drittanbieter (CTPP)"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\n\t\t\t\t\t\"Bild\n\t\t\t\t<\/a>\n\t\t\t\n\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t

\n\t\t\t\t\t\t\t Aristotelis Zervos\t\t\t\t\t\t<\/h4>\n\t\t\t\t\t<\/a>\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

Aristotelis Zervos, Editorial Director bei 2B Advice, vereint juristische und journalistische Expertise in Datenschutz<\/a>, IT-Compliance und KI-Regulierung.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Seit Januar wird der Digital Operational Resilience Act (DORA) angewendet. Im Juli haben die europ\u00e4ischen Aufsichtsbeh\u00f6rden EBA, ESMA und EIOPA einen Leitfaden f\u00fcr die \u00dcberwachung kritischer IKT-Drittdienstleister vorgelegt. Besonders im Fokus stehen dabei kritische Drittanbieter von Informations- und Kommunikationstechnologien (Critical Third-Party Provider, CTPP).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Aufsichtsziel und Relevanz<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der DORA-Leitfaden konkretisiert die Aufsichtsbefugnisse der europ\u00e4ischen Aufsichtsbeh\u00f6rden \u00fcber CTPPs. Er ist eingebettet in den regulatorischen Gesamtansatz der Union zur St\u00e4rkung der digitalen Resilienz des Finanzsektors. Im Zentrum steht das Ziel, die Verwundbarkeit von Finanzm\u00e4rkten gegen\u00fcber IKT-Ausf\u00e4llen (Informations- und Kommunikationstechnologien) und Cyberrisiken strukturell zu reduzieren. Dabei verfolgt der Leitfaden mehrere miteinander verwobene Zielrichtungen:<\/p>

Es sollen systemische Risiken, die sich aus der zunehmenden Abh\u00e4ngigkeit vieler Finanzunternehmen von einer kleinen Zahl leistungsstarker IKT-Dienstleister ergeben, fr\u00fchzeitig erkannt und minimiert werden. Die sogenannte Konzentrationsrisiko-Problematik, also die kritische Abh\u00e4ngigkeit vieler Marktteilnehmer von einzelnen Anbietern, birgt erhebliche Gefahren f\u00fcr die Stabilit\u00e4t des gesamten Finanzsystems. Durch die aufsichtsrechtliche Erfassung und Bewertung dieser Risiken im Rahmen von DORA sollen solche Klumpenrisiken transparenter gemacht und besser steuerbar werden.<\/p>

Ferner soll ein Beitrag zur sektor\u00fcbergreifenden Stabilit\u00e4t des europ\u00e4ischen Finanzmarktes geleistet werden. Die einheitliche Definition und Bewertungskriterien f\u00fcr kritische Drittanbieter schaffen dabei nicht nur regulatorische Vergleichbarkeit, sondern auch eine Plattform f\u00fcr koordinierte Ma\u00dfnahmen. Dies unterst\u00fctzt die Konsistenz der aufsichtsbeh\u00f6rdlichen Ma\u00dfnahmen \u00fcber alle Teilsektoren hinweg.<\/p>

Schlie\u00dflich ist die St\u00e4rkung der betrieblichen Resilienz der Finanzunternehmen selbst ein zentrales Anliegen. Die Anforderungen aus DORA wirken komplement\u00e4r zu bestehenden internen IKT-Risikomanagementsystemen der FEs (Financial Entity). Die direkte Aufsicht \u00fcber CTPPs bedeutet nicht, dass sich Finanzunternehmen aus ihrer Verantwortung entlassen k\u00f6nnen. Vielmehr sollen sie durch die externen Erkenntnisse besser in die Lage versetzt werden, eigene Entscheidungen risikoorientierter zu treffen.<\/p>

In der Praxis bedeutet das: Die Aufsicht \u00fcber CTPPs erg\u00e4nzt die bestehende Aufsicht \u00fcber Finanzunternehmen und ersetzt diese nicht. Compliance-Verantwortliche m\u00fcssen k\u00fcnftig beide Ebenen, die eigene Organisation sowie deren Abh\u00e4ngigkeiten von kritischen Dritten, eng verzahnt im Blick behalten.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Governance-Struktur der DORA-Aufsicht<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die Governance-Struktur der DORA-Aufsicht basiert auf einer mehrstufigen und eng vernetzten Organisationsarchitektur, die sowohl sektor\u00fcbergreifende Koordination als auch operative Effizienz sicherstellen soll. Im Zentrum dieser Struktur stehen drei zentrale Akteure:<\/p>

Sogenannte Lead Overseer (LO)<\/strong> \u00fcbernehmen die federf\u00fchrende Rolle bei der Aufsicht \u00fcber kritische Drittanbieter. Jede der drei Europ\u00e4ischen Aufsichtsbeh\u00f6rden (EBA, ESMA, EIOPA) agiert als LO f\u00fcr jene CTPPs, die schwerpunktm\u00e4\u00dfig in ihrem jeweiligen Finanzsektor t\u00e4tig sind. Die Festlegung erfolgt auf Basis aggregierter Bilanzsummen der betroffenen Finanzunternehmen, die Leistungen dieses Drittanbieters in Anspruch nehmen. Der LO ist zust\u00e4ndig f\u00fcr die Planung, Durchf\u00fchrung und Nachverfolgung der Aufsichtsma\u00dfnahmen gegen\u00fcber dem jeweiligen Anbieter.<\/p>

Die Aufsichtsaktivit\u00e4ten werden durch Joint Examination Teams (JETs)<\/strong> operativ getragen. Diese Teams setzen sich aus Fachkr\u00e4ften der ESAs sowie der zust\u00e4ndigen nationalen Aufsichtsbeh\u00f6rden zusammen. Sie bringen sowohl technologische als auch regulatorische Expertise ein. Die JETs f\u00fchren Untersuchungen durch, bewerten Risiken und formulieren Empfehlungen. Je nach Risikoauspr\u00e4gung kann ihre Arbeit sowohl regelm\u00e4\u00dfig als auch anlassbezogen erfolgen.<\/p>

F\u00fcr die strategische Abstimmung sorgen das Joint Oversight Network (JON)<\/strong> und das Oversight Forum (OF)<\/strong>. Das JON dient der Koordination zwischen den beteiligten ESAs (European Supervisory Authorities) und stellt sicher, dass Informationen \u00fcber Risiken und Entwicklungen sektoren\u00fcbergreifend geteilt werden. Das Oversight Forum wiederum fungiert als beratendes Gremium, in dem hochrangige Vertreter der europ\u00e4ischen und nationalen Aufsicht zusammenkommen, um \u00fcbergreifende Entwicklungen zu diskutieren und die Harmonisierung der Aufsichtspraxis sicherzustellen.<\/p>

Diese Governance-Struktur gew\u00e4hrleistet eine abgestimmte, transparente und risikoorientierte \u00dcberwachung der CTPPs und f\u00f6rdert den effektiven Austausch zwischen den europ\u00e4ischen und nationalen Ebenen. F\u00fcr Compliance-Verantwortliche bedeutet dies, dass regulatorische Anforderungen nicht nur aus einer Quelle resultieren, sondern das Zusammenspiel mehrerer Akteure ber\u00fccksichtigt werden muss.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

DORA-Aufsichtsinstrumente im \u00dcberblick<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

1. Designation<\/h3>

Ein ICT-Drittanbieter wird nach einem zweistufigen Bewertungsprozess anhand quantitativer und qualitativer Kriterien (u. a. Systemrelevanz, Substituierbarkeit, Kundenstruktur) als kritisch eingestuft. Die Einordnung erfolgt j\u00e4hrlich anhand der bei den Aufsichtsbeh\u00f6rden registrierten Daten. Anbieter, die nicht gelistet sind, k\u00f6nnen eine freiwillige Neubewertung (Opt-in) beantragen.<\/p>

2. Risk Assessment & Oversight Planning<\/h3>

Im Rahmen des sogenannten Oversight Risk Assessment Process (ORAP) wird j\u00e4hrlich ein Risikoprofil erstellt. Daraus leiten sich ein individueller Aufsichtsplan sowie ein sektoraler Mehrjahresplan ab.<\/p>

3. Examinations<\/h3>

Diese umfassen:<\/p>