Wer sind kritische IKT-Drittdienstleister?
Kritische IKT-Drittdienstleister sind Technologieunternehmen, die europäische Aufsichtsbehörden nach DORA förmlich benennen. Viele Finanzunternehmen hängen von ihren Diensten ab; ein schwerer Ausfall könnte das Finanzsystem treffen. Die Benennung betrifft den Anbieter auf EU-Ebene. Jede Bank bewertet zusätzlich, ob ein bezogener Dienst ihre eigene kritische oder wichtige Funktion stützt.
Kritische IKT-Drittdienstleister im Überblick
| Begriff | Kritische IKT-Drittdienstleister (CTPPs) |
|---|---|
| Benennung | Die europäischen Aufsichtsbehörden bewerten systemische Wirkung, Abhängigkeit und Ersetzbarkeit. |
| EU-Aufsicht | Ein Lead Overseer kann Informationen anfordern, prüfen und Empfehlungen aussprechen. |
| Bankpflicht | Verträge, Überwachung, Konzentration, Vorfälle und Exit bleiben Verantwortung des Finanzunternehmens. |
| Rechtsgrundlage | Artikel 31 bis 44 der DORA-Verordnung regeln Benennung und Überwachung. |
| Vertiefung | IKT-Drittparteienrisiken im Detail |
Wie werden kritische IKT-Drittdienstleister benannt?
Die europäischen Aufsichtsbehörden prüfen die mögliche systemische Wirkung eines Ausfalls, die Bedeutung der abhängigen Finanzunternehmen, die Nutzung für kritische Funktionen und die Ersetzbarkeit. Ein Lead Overseer darf Informationen anfordern, Untersuchungen durchführen und Empfehlungen aussprechen. Gemeinsame Prüfteams unterstützen ihn. Die Benennung ist keine Banklizenz.
Warum ist die EU-Überwachung für Banken relevant?
Der Rahmen behandelt Konzentrationsrisiken bei Banken, Versicherern, Zahlungsinstituten und Marktinfrastrukturen. Er betrifft mehr als Cloud-Plattformen: Auch Telekommunikation, Rechenzentren, Finanzdaten oder Unternehmenssoftware können systemweit wichtig sein. Banken nehmen benannte Anbieter in ihr Verzeichnis auf und bewerten jeden Dienst nach dem unterstützten Geschäftsprozess.
Welche Pflichten verbleiben bei der Bank?
EU-Überwachung ersetzt das eigene Drittparteienmanagement nicht. Das Finanzunternehmen prüft Anbieter, Verträge, Vorfälle, Konzentration und Ausstieg weiterhin selbst. Nicht jeder Dienst eines benannten Konzerns ist für jede Bank kritisch. Die Einstufung folgt der konkreten Funktion und den eingesetzten Unterauftragnehmern.
Welche DORA-Artikel gelten?
Artikel 31 bis 44 der DORA-Verordnung regeln Benennung und EU-Überwachung kritischer Anbieter. Artikel 28 bis 30 behandeln das Drittparteienrisiko und Verträge der Finanzunternehmen. Die erste Liste wurde im November 2025 veröffentlicht und wird jährlich überarbeitet. Die nationale Aufsicht über die einkaufenden Banken bleibt bestehen.
Was gilt in Deutschland, Österreich und der Schweiz?
BaFin und EZB beaufsichtigen deutsche Nutzer, die FMA österreichische Institute. Nationale Behörden berücksichtigen Erkenntnisse des EU Lead Overseer. Die Schweiz unterliegt DORA nicht; FINMA wendet eigene Regeln für Auslagerung und Betriebsrisiken an. In Frankfurt sitzen neben der EZB auch EIOPA und AMLA, also mehrere europäische Aufsichtsfunktionen in der Nähe großer Nutzer von IKT-Diensten.
Über Finance Loop: Kritische IKT-Drittdienstleister
Finance Loop verbindet Fachleute aus Banken, Technologie und Aufsicht, die IKT-Drittparteienrisiken bewerten. In Frankfurt sitzen mit EZB, EIOPA und AMLA mehrere europäische Behörden nahe großer Finanzinstitute.
Die Seite zu IKT-Drittparteienrisiken vertieft Pflichten und Verträge. Bei Finance-Loop-Veranstaltungen sprechen Fachleute über Auslagerungen und Betriebsstörungen. Die Verantwortung für Anbieter verbleibt dabei beim jeweiligen Finanzunternehmen.