Delegierte Rechtsakte zu DORA in Bezug auf kritische IKT-Dienstleister

Sukzessive veröffentlicht nun die Kom zur VO (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (auch "Digital Operational Resilience Act" bzw DORA genannt) die lange erwarteten Level-2-Rechtsakte, hierunter Ende Mai zwei weitere DelVO:

Die gegenständliche, am 30. 5. 2024 im ABl veröffentlichte DelVO zur Ergänzung der DORA "durch Festlegung der Kriterien für die Einstufung von IKT-Drittdienstleistern als für Finanzunternehmen kritisch" beruht insb auf dem Mandat des Art 31 Abs 6 DORA. Gem Art 31 Abs 1 lit a DORA besteht eine der Aufgaben der ESAs in der Einstufung von IKT-Drittdienstleistern, die für Finanzunternehmen kritisch sind, nachdem sie eine entsprechende Bewertung unter Berücksichtigung der in Art 31 Abs 2 DORA genannten Kriterien durchgeführt haben. Die Einstufung hat über den Gemeinsamen Ausschuss auf Empfehlung des gem Art 32 Abs 1 DORA eingerichteten Überwachungsforums und unter Berücksichtigung der in Art 31 Abs 2 DORA angeführten Kriterien im Rahmen eines zweistufigen Bewertungsansatzes, und zwar unter Heranziehung von mehreren Unterkriterien, zu erfolgen. Angesichts der Vielzahl von IKT-Dienstleistungen und Finanzinstituten, die diese Dienstleistungen nutzen, sollte nach den Überlegungen der Kom ein solcher zweistufiger Ansatz zur Anwendung kommen, um die Population der IKT-Drittdienstleister zu filtern und jene IKT-Drittdienstleister zu ermitteln, die am kritischsten sind. Stufe 1 einer solchen Bewertung berücksichtigt quantitative Unterkriterien, während die eingehende Analyse nach Stufe 2 anhand qualitativer Unterkriterien erfolgt (vgl ErwGr 1 DelVO).