DORA-Umsetzung für Leasing und Factoring

DORA betrifft künftig auch Leasing- und Factoringgesellschaften

Wussten Sie schon, dass die Anforderungen des Digital Operational Resilience Act (DORA), wenngleich mit Vereinfachungen, ebenso von Leasing- und Factoringgesellschaften umgesetzt werden müssen?

Warum ist das so?

Aufgrund der im Zuge des Finanzmarktdigitalisierungsgesetzes (FinmadiG) erfolgten Anpassungen im Kreditwesengesetz (KWG) wird der Kreis, der in den Geltungsbereich von DORA fallenden Unternehmen auf nationaler Ebene auf solche Institute erweitert, die kein CRR-Institut sind, jedoch ein erlaubnispflichtiges Geschäft i.S.d. KWG betreiben. Im Besonderen zählen hierzu eben auch Factoring- und Leasinggesellschaften.

Fristen und Erleichterungen im Überblick

Die Anforderungen an das IKT-Vorfallsmanagement und -meldewesen nach Kapitel III DORA waren bereits bis zum 17. Januar 2025 vollständig umzusetzen, denn nach Maßgabe des KWG greifen hier gegenüber jenen Instituten, die unmittelbar in den Geltungsbereich von DORA fallen, weder eine Übergangsfrist noch Erleichterungen. Im Hinblick auf die Umsetzung der weiteren maßgeblichen Anforderungen verbleibt dagegen noch Zeit bis zum 01. Januar 2027.

Wesentliche Erleichterungen

Umsetzung des vereinfachten IKT-Risikomanagementrahmens
Befreiung von der Durchführung bedrohungsorientierter Penetrationstests (Threat Led Penetration Testing) und
Befreiung von den Anforderungen an das Management des IKT-Drittparteienrisikos für Kleinstunternehmen i.S.d. Art. 3 Nr. 60 DORA

Welche Institute besonders betroffen sind

Denkbar sind vor allem Konstellationen, bei denen ihr Institut das Leasing- und Factoringgeschäft über eine eigene Tochtergesellschaft ausübt, die als rechtlich selbständiges Unternehmen folglich in die Erweiterung des Geltungsbereiches fällt.

Innerhalb von Finanzverbünden, wie auch der GFG, wird das Factoring- und Leasinggeschäft üblicherweise jedoch von spezialisierten Dienstleistern übernommen, so dass der Handlungsdruck eher Großkonzerne treffen wird.

Herausforderungen in der Praxis

Auch unter den gewährten Erleichterungen bleibt die Dokumentation, Implementierung und Umsetzung des (vereinfachten) IKT-Risikomanagementrahmens die tragende Säule, wenn es darum geht, ein hohes Niveau digitaler operationaler Resilienz zu erreichen.

IKT-Risikomanagement als zentrale Aufgabe

Gegenüber den Bankaufsichtlichen Anforderungen an die IT (BAIT) zeigt sich trotz der vorgesehenen Erleichterungen eine deutlich höhere Granularität hinsichtlich Anzahl, Umfang und Detailtiefe der Anforderungen.

So werden beispielsweise konkrete Anforderungen im Hinblick auf die Ausgestaltung der Governance- und Kontrollstrukturen, die Umsetzung des IKT-Risikomanagementprozesses, sowie die Definition und Umsetzung tragender IKT-Sicherheitsmaßnahmen formuliert.

Anforderungen im Überblick

Maßnahmen zur:

Zugangskontrolle,
IKT-Betriebssicherheit,
Daten-, System- und Netzwerksicherheit,
Durchführung von IKT-Sicherheitsaudits,
IKT-Projektmanagement,
IKT-Änderungsmanagement

Darüber hinaus sind angemessene und wirksame IKT-Geschäftsfortführungspläne vorzuhalten, um die digitale Betriebsstabilität auch im Falle von Störungen oder Notfällen aufrechterhalten zu können.

Verhältnismäßigkeit schafft Spielräume

Andererseits eröffnet der vereinfachte IKT-Risikomanagementrahmen an zahlreichen Stellen auch Freiheitsgrade bei der Umsetzung von Anforderungen.

Entsprechende Skalierungsmöglichkeiten ergeben sich u.a. im Hinblick auf die Umsetzung von Maßnahmen zur physischen Sicherheit von Räumlichkeiten, der Implementierung von Authentifizierungsmethoden oder der Durchführung automatisierter Schwachstellenscans, um einige Beispiele zu nennen.

Notwendig bleibt jedoch, dass die Umsetzung im Hinblick auf das Gesamtrisikoprofil und den ermittelten Schutzbedarf sowie die Bedeutung einzelner IKT-Assets für die Erbringung kritischer oder wichtiger Funktionen angemessen bleibt (Grundsatz der Verhältnismäßigkeit).

IKT-Vorfälle frühzeitig erkennen und behandeln

Im Fokus des Managements IKT-bezogener Vorfälle steht die frühzeitige Erkennung, Klassifizierung und Behandlung von Anomalien, Störungen sowie sonstigen ungeplanten Ereignissen, die die Sicherheit von Netzwerk- und Informationssystemen sowie die Erreichung der Informationssicherheitsziele gefährden könnten.

Ziel ist es, potenzielle Beeinträchtigungen der digitalen Betriebsstabilität frühzeitig zu erkennen, einzudämmen und deren Ursachen zu verstehen, um angemessene Verbesserungsprozesse einleiten zu können.

Anforderungen an IKT-Drittdienstleister

Die Befreiung, die Anforderungen des IKT-Drittparteienrisikomanagements umzusetzen, gilt ausschließlich für Kleinstunternehmen.

Kleinstunternehmen im Sinne von DORA

weniger als 10 Mitarbeitende
Jahresumsatz oder Bilanzsumme unter 2 Mio. Euro

Die Anforderungen des Kapitels V DORA werden insofern vollumfänglich auf die meisten Leasing- und Factoringgesellschaften anzuwenden sein. Hieraus resultieren zwangsweise Anpassungen von Verträgen zu IKT-Drittdienstleistern, die Führung eines Informationsregisters sowie die deutlich strengere Überwachung und Steuerung von IKT-Drittdienstleistern.

Digitale Resilienz regelmäßig testen

Ein Testprogramm zur digitalen Resilienz verfolgt das Ziel, die Wirksamkeit der umgesetzten IKT-Sicherheitsmaßnahmen bzw. die digitale Widerstandsfähigkeit der IKT-Systeme durch technische Tests zu stressen, um im Falle erkannter Schwachstellen, weitere Verbesserungsmaßnahmen zu implementieren und den IKT-Risikomanagementrahmen insofern als Ganzes zu validieren.

Auch hier zeigen sich in der Praxis große Herausforderungen, wenn es um eine begründete und nachvollziehbare Herleitung der angewiesenen Testarten, der verfolgten Testziele sowie der adressierten Bedrohungen und Risiken geht. Von der Anforderung bedrohungsorientierte Penetrationstests (TLPT) durchzuführen, bleiben Leasing- und Factoring dagegen befreit.

Wie wir Sie unterstützen können

Aus unserer täglichen Prüfungspraxis heraus sowie aus den Erfahrungen vielzähliger DORA-Umsetzungsprojekte kennen wir die Komplexität der umzusetzenden Anforderungen ganz genau. Unser Vorgehen garantiert eine strukturierte Bestandsaufnahme ihres Status-Quo, die im Ergebnis mit dem Aufzeigen der relevanten Abweichungen sowie der Erarbeitung konkreter Maßnahmen zur Erreichung der IT-Compliance abschließt. So können wir im Hinblick auf die DORA-Erstimplementierung nicht nur aufzeigen, was bisher noch nicht funktioniert, sondern auch praxisnahe und pragmatische Lösungen bieten, die sich bei unseren Mandanten bereits bewährt haben und die identifizierten Abweichungen schließen.

Bei Bedarf bieten wir Ihnen darüber hinaus gerne auch adäquate Lösungen zu einzelnen Teildisziplinen von DORA an, wie beispielsweise der Implementierung eines aufsichtsrechtlich konformen Testprogramms zur digitalen operationalen Resilienz oder der Implementierung eines Business Continuity Managements. Bei der Durchführung konkreter Tests zur digitalen operationalen Resilienz (bspw. regelmäßige Vulnerabilty Scans) unterstützen wir ebenfalls gerne.

Ihr Ansprechpartner

Sie haben Fragen zu den Auswirkungen von DORA auf Leasing- und Factoringgesellschaften oder möchten den Handlungsbedarf für Ihr Institut bewerten? Gerne steht Ihnen unser Experte für ein persönliches Gespräch zur Verfügung.