Dora Register Lösung

Fund XP’s DORA Register Lösung

Fund XP bietet eine umfassende Lösung, die Finanzunternehmen bei der effizienten Erstellung des DORA-Registers mit den von den Finanzbehörden geforderten Informationen unterstützt.

Fund XP vereinfacht diesen Prozess, indem es die Erstellung des Registers im vorgeschriebenen XBRL JSON/CSV ZIP-Format rationalisiert.

Wichtig ist, dass die ESA keine Tools oder Skripte für die Erstellung des Registers zur Verfügung stellen wird, wie dies während des Dry Run der Fall war. Fund XP bietet eine zuverlässige Lösung, um sicherzustellen, dass Ihr Register ohne zusätzlichen manuellen Aufwand korrekt formatiert und zur Einreichung bereit ist.

Wie funktioniert es?

Fund XP nutzt eine Excel-Vorlage und integriert fortschrittliche Funktionen, um eine nahtlose Datenproduktion, -validierung und -überprüfung zu gewährleisten. Unsere Lösung automatisiert den Prozess der Zusammenstellung und Überprüfung wichtiger Informationen, wodurch manuelle Fehler drastisch reduziert und die Effizienz verbessert werden. Da die Berichterstattung jährlich erfolgt und die Daten relativ stabil bleiben, ist es unser Ziel, eine einfache, effiziente und kostengünstige Lösung anzubieten, die unnötige Komplexität vermeidet und gleichzeitig zuverlässige Ergebnisse liefert. Alles wird lokal auf Ihrem System erledigt, so dass Sie die vollständige Kontrolle über Ihre Daten und Prozesse behalten.

Die Lösung ist multijurisdiktional und vollständig konform mit Jurisdiktionen, die eine Einreichung im CSV/JSON-Format verlangen.

Was ist das Dora-Register der Informationen?

Wer ist verpflichtet, dieses Informationsregister zu führen, und auf welchen Ebenen?

Die Verordnung gilt für alle Finanzunternehmen, die unter den Geltungsbereich der DORA fallen. Bei Finanzunternehmen, die Teil eines Konzerns sind, ist das Mutterunternehmen für die Festlegung des Konsolidierungskreises für das Register verantwortlich. Der Rahmen erlaubt es Konzernen, ein einziges, einheitliches Register auf konsolidierter oder unterkonsolidierter Ebene zu führen. Dieses einheitliche Register muss jedoch so strukturiert sein, dass jedes einzelne Finanzunternehmen innerhalb der Gruppe seinen eigenen Berichtspflichten nachkommen kann.

Was ist der Hauptzweck dieser neuen EU-Verordnung?

Diese Verordnung, die Durchführungsverordnung (EU) 2024/2956 der Kommission, zielt darauf ab, Standardvorlagen für ein Register von Informationen über vertragliche Vereinbarungen zur Nutzung von IKT-Diensten, die von Drittanbietern für den Finanzsektor erbracht werden, zu erstellen. Das Hauptziel besteht darin, die digitale operative Widerstandsfähigkeit zu verbessern, indem wichtige Informationen für das interne IKT-Risikomanagement von Finanzunternehmen, die wirksame Beaufsichtigung durch die zuständigen Behörden, die Beaufsichtigung kritischer IKT-Drittanbieter und den jährlichen Prozess der Benennung kritischer IKT-Drittanbieter durch die Europäischen Aufsichtsbehörden (ESAs) bereitgestellt werden.

DORA-Fehler : Leitfaden für Fehlermeldungen im RoI-Register

Luxemburgs Umsetzung von DORA

In Luxemburg ist die DORA ab Januar 2025 direkt anwendbar. Die CSSF und die CAA sind als Behörden benannt, die die Einhaltung der DORA sicherstellen. Spezifische Gesetze und Verordnungen, wie das Rundschreiben CSSF 24/847, sind bereits in Kraft, um die Meldung von Vorfällen zu verbessern und mit dem Rahmen von DORA in Einklang zu bringen.

Welche Finanzunternehmen fallen in den Anwendungsbereich von DORA?

(a) Kreditinstitute;
(b) Zahlungsinstitute, einschließlich Zahlungsinstitute, die gemäß der Richtlinie (EU) 2015/2366 ausgenommen sind;
(c) Anbieter von Kontoinformationsdiensten;
(d) E-Geld-Institute, einschließlich der E-Geld-Institute, die gemäß der Richtlinie 2009/110/EG ausgenommen sind;
(e) Wertpapierfirmen;
(f) Anbieter von Krypto-Vermögenswert-Dienstleistungen und Emittenten von vermögenswertbezogenen Token;
(g) zentrale Wertpapierverwahrer;
(h) zentrale Gegenparteien;
(i) Handelsplätze;
(j) Transaktionsregister;
(k) Verwalter von alternativen Investmentfonds;
(l) Verwaltungsgesellschaften;
(m) Anbieter von Datenübermittlungsdiensten;
(n) Versicherungs- und Rückversicherungsunternehmen;
(o) Versicherungsvermittler, Rückversicherungsvermittler und Vermittler von Versicherungsnebenleistungen;
(p) Einrichtungen der betrieblichen Altersversorgung;
(q) Kreditrating-Agenturen;
(r) Administratoren von kritischen Benchmarks;
(s) Anbieter von Crowdfunding-Dienstleistungen; und
(t) Verwahrstellen für Verbriefungen

Was ist ein direkter IKT-Drittdienstleister?

Ein IKT-Drittdienstleister oder ein konzerninterner IKT-Dienstleister, der eine vertragliche Vereinbarung unterzeichnet hat mit:
(a) einem Finanzunternehmen, um seine IKT-Dienstleistungen direkt für dieses Finanzunternehmen zu erbringen;
(b) einem Finanzunternehmen oder einem Nicht-Finanzunternehmen, um seine Dienstleistungen für andere Finanzunternehmen innerhalb desselben Konzerns zu erbringen;

Was ist eine IKT-Dienstleistungskette?

Eine Abfolge von vertraglichen Vereinbarungen im Zusammenhang mit der IKT-Dienstleistung, die von dem direkten IKT-Drittdienstleister für das Finanzinstitut erbracht wird, beginnend mit dem direkten IKT-Drittdienstleister, der einen oder mehrere andere IKT-Drittdienstleister als Vertragspartner (Unterauftragnehmer) hat;

Welche wichtigen Informationen über IKT-Dienstleistungen und Drittanbieter müssen in das Register aufgenommen werden?

Das Register muss umfassende Angaben zu IKT-Dienstleistungen und deren Anbietern enthalten. Dazu gehören allgemeine Informationen über das Finanzunternehmen, das das Register führt, Einzelheiten über Unternehmen innerhalb des Konsolidierungskreises und ihre Zweigniederlassungen sowie allgemeine und spezifische Informationen über vertragliche Vereinbarungen mit direkten IKT-Drittanbietern. Entscheidend ist, dass es auch Informationen über die IKT-Dienstleistungskette enthält, in der alle direkten IKT-Drittdienstleister und Unterauftragnehmer, die kritische oder wichtige Funktionen untermauern, identifiziert werden. Darüber hinaus müssen Einzelheiten zur Identifizierung von Funktionen, die durch IKT-Dienstleistungen unterstützt werden, Risikobewertungen dieser Dienstleistungen (einschließlich der Substituierbarkeit und der Auswirkungen einer Einstellung) sowie die von den Finanzunternehmen verwendete interne Terminologie bereitgestellt werden.

Was sind die wichtigsten Anforderungen an das Informationsregister?

Datenqualität und Formatierung

Welche Art von Informationen sollten bereitgestellt werden?

Wie werden IKT-Drittanbieter und ihre Positionen in der Lieferkette identifiziert und nachverfolgt?

Finanzunternehmen müssen jedem IKT-Drittdienstleister in der IKT-Dienstleistungskette einen „Rang“ zuweisen. Ein Rang von ‚1‘ wird direkten IKT-Drittdienstleistern zugewiesen, die eine direkte vertragliche Vereinbarung mit dem Finanzinstitut haben. Unterauftragnehmer erhalten einen höheren Rang als ‚1‘, wobei niedrigere Zahlen eine größere Nähe zum Finanzunternehmen in der Lieferkette anzeigen. Für juristische Personen sind eindeutige Identifikatoren wie der Legal Entity Identifier (LEI) oder der European Unique Identifier (EUID) vorgeschrieben, während natürliche Personen alternative Identifikationscodes verwenden können. Das Register verknüpft auch speziell konzerninterne vertragliche Vereinbarungen mit externen Drittanbietervereinbarungen, um die gesamte Lieferkette zu erfassen.

Welche Grundsätze der Datenqualität müssen Finanzunternehmen bei der Pflege des Registers einhalten?

Um die Konsistenz, Harmonisierung und Vergleichbarkeit der gemeldeten Informationen zu gewährleisten, müssen die Finanzunternehmen mehrere Grundsätze der Datenqualität einhalten. Dazu gehören Genauigkeit, Vollständigkeit, Konsistenz, Integrität, Einheitlichkeit und Gültigkeit. Die Informationen müssen regelmäßig überprüft und etwaige Fehler oder Unstimmigkeiten umgehend korrigiert werden. Für Konzerne ist die Konsistenz zwischen Informationen auf Unternehmensebene, unterkonsolidierten und konsolidierten Informationen ebenfalls ausdrücklich vorgeschrieben.

Welche Art von Risikobewertungen müssen Finanzunternehmen in Bezug auf IKT-Dienstleistungen durchführen und melden?

Finanzunternehmen müssen Risikobewertungen in Bezug auf IKT-Dienstleistungen Dritter durchführen und darüber berichten, insbesondere bei Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Dazu gehört die Bewertung der Art, des Umfangs, der Komplexität und der Bedeutung von IKT-bezogenen Abhängigkeiten sowie der Risiken, die sich aus vertraglichen Vereinbarungen ergeben. Zu den spezifischen Informationen, die erfasst werden müssen, gehören die Ersetzbarkeit des IKT-Drittanbieters, die Gründe für die Nicht-Ersetzbarkeit oder die hohe Komplexität bei der Ersetzung, das Datum der letzten Prüfung des Anbieters, das Vorhandensein von Ausstiegsplänen, die Möglichkeit der Wiedereingliederung der vertraglich vereinbarten IKT-Dienstleistungen und die Auswirkungen der Einstellung der IKT-Dienstleistungen. Sie müssen auch beurteilen, ob alternative IKT-Drittdienstleister ermittelt wurden.

Wie geht diese Verordnung mit der Komplexität der konzerninternen Erbringung von IKT-Dienstleistungen und der Vergabe von Unteraufträgen um?

Die Verordnung berücksichtigt speziell konzerninterne IKT-Dienstleister und Unterauftragsketten. Finanzunternehmen müssen Informationen über vertragliche Vereinbarungen sowohl mit konzerninternen Dienstleistern als auch mit externen IKT-Drittanbietern, einschließlich Unterauftragnehmern, melden. Eine spezielle Vorlage (B_02.03) ermöglicht den Abgleich von konzerninternen Verträgen mit Verträgen, an denen externe IKT-Drittanbieter beteiligt sind, wenn sie Teil derselben IKT-Dienstleistungskette sind. Bei IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, müssen die Finanzinstitute alle Unterauftragnehmer aufzeichnen, die diese Dienstleistungen tatsächlich untermauern. Wenn ein konzerninterner Dienstleister Unterauftragnehmer einsetzt, muss außerdem mindestens der erste konzernexterne Unterauftragnehmer erfasst werden, auch wenn dessen Dienstleistungen nicht als kritisch oder wichtig eingestuft werden.

Welche Arten von Finanzunternehmen fallen unter diese Verordnung, und welche Aktivitäten sind für ihre Berichterstattung relevant?

Die Verordnung gilt für ein breites Spektrum von Finanzunternehmen, einschließlich, aber nicht beschränkt auf Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Assets, zentrale Wertpapierverwahrer, zentrale Gegenparteien, Handelsplätze, Versicherungs- und Rückversicherungsunternehmen und Ratingagenturen. Für jede Art von Unternehmen wird in Anhang II eine spezifische Liste lizenzierter Tätigkeiten und Dienstleistungen bereitgestellt, die für die Identifizierung von Funktionen (Vorlage B_06.01) innerhalb ihrer internen Organisation, die durch IKT-Dienste unterstützt werden, relevant ist.

Glossar der Schlüsselbegriffe

• Rat der Aufseher (BoS): Das Leitungsgremium jeder Europäischen Aufsichtsbehörde (ESA), das an der Genehmigung wichtiger Entscheidungen wie der Benennung von kritischen Drittanbietern (CTPPs) beteiligt ist.
• Zuständige Behörde (CA): Nationale Behörden, die für die Beaufsichtigung von Finanzinstituten (FEs) in einem Mitgliedstaat zuständig sind. Sie arbeiten bei der DORA-Aufsicht mit den ESAs zusammen.
• Kritischer Drittanbieter (CTPP): Ein Drittanbieter von Informations- und Kommunikationstechnologie (IKT), der von den Europäischen Aufsichtsbehörden (ESAs) aufgrund seiner systemischen Auswirkungen auf den Finanzsektor als kritisch eingestuft wird.
• Digital Operational Resilience Act (DORA): Eine EU-Verordnung, die einen umfassenden Rahmen für das Management von IKT-Risiken im Finanzsektor schafft, einschließlich der Überwachung von CTPPs.
• Europäische Bankenaufsichtsbehörde (EBA): Eine der drei Europäischen Aufsichtsbehörden (ESAs), die im Rahmen der DORA für die Überwachung des Bankensektors zuständig sind.
• Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA): Eine der drei Europäischen Aufsichtsbehörden (ESAs) mit Aufsichtsverantwortung unter DORA, speziell für den Versicherungs- und Betriebsrentensektor.
• Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA): Eine der drei Europäischen Aufsichtsbehörden (ESAs) mit Aufsichtsverantwortung unter der DORA, speziell für den Wertpapier- und Marktsektor.
• Europäische Aufsichtsbehörden (ESAs): Die EBA, die EIOPA und die ESMA, die im Rahmen der DORA gemeinsam für die Beaufsichtigung von CTPPs auf gesamteuropäischer Ebene zuständig sind.
• Finanzielles Unternehmen (FE): Ein Unternehmen des Finanzsektors, das auf externe IKT-Dienstleistungen angewiesen ist.
• Allgemeine Ermittlungen: Formelle Überprüfungen, die von den Aufsichtsbehörden in einem oder mehreren Risikobereichen der CTPPs durchgeführt werden und darauf abzielen, Informationen darüber zu sammeln, wie die CTPPs mit Risiken umgehen.
• Informations- und Kommunikationstechnologie (IKT): Technologien und Dienstleistungen im Zusammenhang mit der Informationsverarbeitung, -speicherung und -kommunikation.
• Inspektionen: Eine sehr einschneidende Methode der Aufsicht, bei der die Räumlichkeiten, Systeme und Daten der CTPPs vor Ort oder außerhalb des Unternehmens untersucht werden, um ein tiefes Verständnis der Geschäftsabläufe, des Risikomanagements und der internen Kontrollen zu gewinnen.
• Gemeinsamer Ausschuss (JC): Der ranghöchste sektorübergreifende Ausschuss der drei ESAs, der für die Annahme relevanter Entscheidungen bezüglich der Aufsicht über CTPPs, einschließlich der Benennung, zuständig ist.
• Gemeinsame Prüfungsteams (JETs): Teams, die sich aus Mitarbeitern der ESAs und der relevanten zuständigen Behörden (CAs) zusammensetzen und die Lead Overseers (LOs) bei der Durchführung der DORA-Aufsichtsaktivitäten unterstützen.
• Gemeinsames Überwachungsnetzwerk (JON): Ein von den Overseers eingerichtetes Gremium, das die Durchführung von Aufsichtsaktivitäten über CTPPs koordiniert und Entscheidungen und Handlungen zur Vorlage beim Oversight Forum vorbereitet.
• Joint Oversight Venture (JOV): Eine operative Struktur, die von den drei ESAs eingerichtet wurde, um Synergien zu maximieren und die Konsistenz der täglichen DORA-Aufsichtsaktivitäten durch einen sektorübergreifenden integrierten Ansatz zu gewährleisten.
• Federführender Überwacher (LO): Die spezifische Europäische Aufsichtsbehörde (ESA), die mit der Durchführung der Aufsichtstätigkeiten für eine bestimmte CTPP beauftragt ist.
• Laufende regelmäßige Überwachung: Die kontinuierliche Interaktion zwischen den Aufsichtsbehörden und den CTPPs, die eine systematische Sammlung, Analyse und Bewertung von Informationen außerhalb spezifischer Untersuchungen oder Inspektionen beinhaltet.
• Aufsichtsforum (Oversight Forum, OF): Ein ständiger Ausschuss der ESAs, der sich der DORA-Aufsicht widmet, vorbereitende Arbeiten für einzelne Handlungen und kollektive Empfehlungen durchführt und einen einheitlichen Ansatz für das IKT-Drittrisiko fördert.
• Empfehlungen: Unverbindliche Vorschläge, die von den Aufsichtsbehörden an die CTPPs gerichtet werden, um festgestellte Mängel in bestimmten Bereichen der Bewertung zu beheben, in der Regel nach Prüfungen.
• Ersuchen um Informationen (RfI): Ein Instrument, das die Aufsichtsbehörden verwenden, um Informationen von CTPPs anzufordern, entweder durch eine „einfache Anfrage“ oder durch eine „Entscheidung“, ohne vollständige Untersuchungen oder Inspektionen einzuleiten.
• Sanierungsplan: Ein Plan, den eine CTPP den Aufsichtsbehörden vorlegt und in dem sie die Aktionen und Maßnahmen darlegt, die sie zu ergreifen gedenkt, um die festgestellten Mängel zu beheben und den ausgesprochenen Empfehlungen nachzukommen.