Welche unternehmen sind von DORA betroffen?
Internationale reichweite, aktueller status und ausblick für DORA
Der Anwendungsbereich von DORA ist breit gefächert und deckt ein breites Spektrum an Finanzinstituten und -dienstleistungen in der EU ab. Zu den primär von DORA betroffenen Unternehmen gehören:
Kreditinstitute (Banken)
Zahlungsinstitute
E-Geld-Institute
Investmentfirmen
Versicherungen
Ratingagenturen
Diese traditionellen Akteure des Finanzsektors sind DORAs Hauptziel, da sie für wichtige Finanzdienstleistungen verantwortlich sind und große Mengen vertraulicher Kundendaten besitzen.
Anbieter von Crypto-Asset-Diensten (CASPs)
Crowdfunding-Dienstleister
Manager alternativer Investmentfonds (AIFMs)
UCITS-Verwaltungsgesellschaften
DORA deckt auch neuere Finanzmarktteilnehmer ab und erkennt damit deren wachsende Rolle bei der Bereitstellung von Dienstleistungen sowie die Notwendigkeit an, auch deren operative Resilienz sicherzustellen.
Cloud-Computing-Anbieter
Betreiber von Rechenzentren
Softwareanbieter
Datenanalyseunternehmen
DORA umfasst wichtige externe IKT-Dienstleister, die den Betrieb von Finanzunternehmen unterstützen. Diese Anbieter gelten als systemrelevant und müssen auch die Anforderungen von DORA erfüllen.
DORA ist breit gefächert und deckt ein breites Spektrum an Finanzinstituten und Dienstleistern in der EU ab. Der volle Anwendungsbereich geht jedoch über in der EU ansässige Institutionen hinaus – DORA deckt auch Finanzunternehmen außerhalb der EU ab, die auf europäischen Märkten tätig sind. Das bedeutet, dass eine Organisation auch dann den DORA-Vorschriften unterliegt, wenn sie ihren Hauptsitz außerhalb der EU hat, aber innerhalb der EU präsent ist oder Dienstleistungen erbringt.
DORAs breite Reichweite ist beabsichtigt, da die allgemeine operative Resilienz des gesamten europäischen Finanzsektors verbessert werden soll. Durch die Einbeziehung traditioneller Banken, aufstrebender Fintech-Akteure und wichtiger externer Dienstleister versucht DORA, systemische Risiken zu mindern, die durch Störungen oder Cybervorfälle in jedem Teil des Finanzökosystems entstehen können.
Ab Frühjahr 2024 befindet sich der Digital Operational Resilience Act in der Umsetzungsphase, die ab dem Zeitpunkt seines Inkrafttretens zwei Jahre dauert. Dies bedeutet, dass alle betroffenen Finanzunternehmen auf den EU-Märkten und ihre kritischen IKT-Anbieter darauf vorbereitet sein müssen, die Anforderungen von DORA bis Januar 2025 vollständig zu erfüllen.
Während die europäischen Regulierungsbehörden noch dabei sind, spezifische technische Details zu finalisieren, sind der Gesamtumfang und die Anforderungen von DORA jetzt klar. Im Januar 2024 veröffentlichten die europäischen Aufsichtsbehörden (ESAs) die ersten Anforderungen im Rahmen von DORA für das IKT- und Drittanbieter-Risikomanagement sowie die Klassifizierung von Vorfällen. Diese Regeln finden Sie auf der.