Kritische oder wichtige Funktionen unter DORA
Warum Sparkassen ihre Methodik jetzt überprüfen sollten
Haben Sie bereits geprüft, ob Ihre Methodik zur Identifikation kritischer oder wichtiger Funktionen noch den aktuellen regulatorischen und verbandsseitigen Anforderungen entspricht?
Mit dem Digital Operational Resilience Act (DORA) gewinnt die Identifikation kritischer oder wichtiger Funktionen erheblich an Bedeutung. Sie bildet die Grundlage zahlreicher weiterer Anforderungen, unter anderem an den IKT-Risikomanagementrahmen, die Business Impact Analyse, das IKT-Assetmanagement und das IKT-Drittparteienrisikomanagement. Die Definition kritischer oder wichtiger Funktionen ist in Art. 3 Nr. 22 DORA festgelegt.
Vor diesem Hintergrund hat die Sparkassen-Finanzgruppe ihre Methodik zur Ermittlung kritischer oder wichtiger Funktionen grundlegend überarbeitet. Ziel ist eine nachvollziehbare, reproduzierbare und regulatorisch belastbare Vorgehensweise. In die Überarbeitung flossen unter anderem Erkenntnisse aus Informationsveranstaltungen der BaFin, Hinweise von Bundesbankprüfern sowie Erfahrungen aus der Sparkassenorganisation ein.
ETL consit unterstützt Sparkassen dabei, den daraus entstehenden Handlungsbedarf zu bewerten.
Was ändert sich durch die überarbeitete Methodik?
Viele Sparkassen haben ihre kritischen oder wichtigen Funktionen bereits identifiziert. Die überarbeitete Methodik stellt jedoch höhere Anforderungen an die Herleitung, Nachvollziehbarkeit und Dokumentation der Ergebnisse.
Während sich frühere Vorgehensweisen häufig stark an den Ergebnissen der Business Impact Analyse (BIA) orientierten, berücksichtigt die neue Methodik zusätzliche qualitative und quantitative Kriterien. Dazu zählen beispielsweise regulatorische Anforderungen, Schutzbedarfe sowie Abhängigkeiten zwischen Prozessen, Unterstützungsfunktionen und IKT-Services.
Entscheidend ist daher, ob die bisherige Vorgehensweise diese Kriterien angemessen berücksichtigt und die Ergebnisse nachvollziehbar dokumentiert.
Welche Folgen kann eine unvollständige Identifikation haben?
Eine unvollständige oder nicht nachvollziehbare Identifikation kritischer oder wichtiger Funktionen kann sich auf zahlreiche nachgelagerte DORA-Prozesse auswirken. Dazu gehören insbesondere:
- der IKT-Risikomanagementrahmen,
- die Business Impact Analyse,
- das IKT-Assetmanagement,
- das Informationsregister,
- das IKT-Drittparteienrisikomanagement sowie
- die Planung und Durchführung von Tests der digitalen operationalen Resilienz.
Auch die Aufsicht misst diesem Thema eine hohe Bedeutung bei. Erste Erkenntnisse aus DORA-Prüfungen weisen darauf hin, dass kritische oder wichtige Funktionen vollständig und anhand klarer, umfassender Kriterien ermittelt werden müssen. Ebenso werden vollständige Inventare und nachvollziehbare Abhängigkeiten gefordert.
Auswirkungen auf den IKT-Risikomanagementrahmen
Die Überarbeitung der Methodik wirkt sich regelmäßig nicht nur auf die Ermittlung kritischer oder wichtiger Funktionen selbst aus. Werden Kriterien, Bewertungsmaßstäbe oder Vorgehensweisen angepasst, sollte geprüft werden, welche Auswirkungen sich daraus auf den bestehenden IKT-Risikomanagementrahmen ergeben. Für viele Sparkassen bedeutet dies eine anlassbezogene Überprüfung ihrer Verfahren und Vorgehensweisen, um sicherzustellen, dass die aktualisierte Methodik konsistent in den organisatorischen Regelungen verankert ist.
Dabei sind insbesondere folgende Fragen relevant:
- Entspricht die angewandte Methodik den aktuellen verbandsseitigen Vorgaben?
- Sind alle relevanten Funktionen vollständig und nachvollziehbar identifiziert
- Werden qualitative und quantitative Kriterien angemessen berücksichtigt?
- Sind Abhängigkeiten zwischen Prozessen, IKT-Services und Unterstützungsfunktionen vollständig erfasst?
- Müssen Richtlinien, Verfahrensanweisungen oder Rollenbeschreibungen angepasst werden?
- Sind die Herleitung der Ergebnisse und die zugrunde liegenden Verfahren nachvollziehbar dokumentiert?
Vor allem die Dokumentation der Methodik und ihrer Anwendung gewinnt künftig weiter an Bedeutung. Sie schafft Transparenz, unterstützt eine einheitliche Anwendung innerhalb des Instituts und bildet eine wesentliche Grundlage für einen belastbaren IKT-Risikomanagementrahmen.
Wie unterstützt ETL?
ETL consit – ein Unternehmen der Gruppe ETL Prüfung & Beratung – unterstützt Institute dabei, den Anpassungsbedarf im Zusammenhang mit der überarbeiteten Methodik zu ermitteln. Im Rahmen einer GAP-Analyse prüfen die Experten, ob die bisherige Vorgehensweise den aktuellen regulatorischen und verbandsseitigen Anforderungen entspricht. Dabei berücksichtigen sie auch mögliche Auswirkungen auf den IKT-Risikomanagementrahmen sowie die zugehörigen Verfahren, Regelungen und Dokumentationen.
Auf Basis der Ergebnisse zeigt ETL consit Optimierungspotenziale auf und begleitet Institute bei der Aktualisierung ihrer Methodik und der Umsetzung erforderlicher Anpassungen. Darüber hinaus unterstützt das Unternehmen Institute beratend sowie bei unabhängigen BCM-, DORA- und Revisionsprüfungen.
