EU benennt 19 kritische IT-Drittdienstleister nach DORA

Die europäischen Aufsichtsbehörden (EBA, ESMA und EIOPA) haben die erste Liste von 19 kritischen IT-Drittdienstleistern gemäß der EU-Verordnung über die digitale operative Widerstandsfähigkeit (DORA) veröffentlicht. Diese Unternehmen, darunter große Cloud-Plattformen wie Amazon Web Services, Google Cloud und Microsoft, erbringen wesentliche Technologiedienstleistungen für Finanzinstitute in der gesamten EU.

DORA, das seit Januar 2025 in Kraft ist, zielt darauf ab, die digitale operative Widerstandsfähigkeit des Finanzsektors zu stärken, insbesondere im Hinblick auf Risiken, die mit der Konzentration von IT-Dienstleistern verbunden sind. Diese erste Liste stellt einen bedeutenden Schritt bei der Umsetzung des DORA-Rahmenwerks dar und umfasst neben Hyperscalern auch Anbieter von Netzwerk- und Rechenzentren sowie spezialisierte IT-Dienstleister.

Die benannten 19 Dienstleister, darunter Accenture, Bloomberg, Deutsche Telekom und SAP, unterliegen nun der direkten europäischen Aufsicht. Ihre Benennung basiert auf der Kritikalität ihrer Dienstleistungen für den Betrieb von Finanzinstituten und den potenziellen systemischen Auswirkungen etwaiger Störungen.

Der DORA-Aufsichtsrahmen sieht vor, dass eine der drei europäischen Behörden als federführende Aufsichtsbehörde ('Lead Overseer') für jeden Dienstleister fungiert, unterstützt durch gemeinsame Prüfungsteams. Kritische Dienstleister werden erweiterten Pflichten unterliegen, einschließlich der Meldung von Großstörungen, der Durchführung von Risikobewertungen und der Teilnahme an regelmäßigen Prüfungen.

Ungeachtet der verstärkten Aufsicht behalten Finanzinstitute ihre operative Verantwortung für ausgelagerte Dienstleistungen. DORA etabliert ein einheitliches EU-weites Aufsichtsregime, ohne die Rechenschaftspflicht der Finanzinstitute für die digitale operative Widerstandsfähigkeit zu mindern.