DORA Art. 6 Abs. 6: Wer den IKT-Risikomanagementrahmen prüfen darf

Den IKT-Risikomanagementrahmen eines Finanzunternehmens, das kein Kleinstunternehmen ist, prüft nach Art. 6 Abs. 6 DORA eine interne Revision, regelmäßig und im Einklang mit dem Revisionsplan. Die Revisoren brauchen ausreichendes Wissen, ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie eine angemessene Unabhängigkeit. Art. 6 Abs. 10 DORA erlaubt, die Überprüfung der Einhaltung der IKT-Risikomanagementanforderungen an externe Unternehmen auszulagern. Nach unserer Auslegung gilt das auch für diese Revision. Die Verantwortung bleibt beim Finanzunternehmen.

Was verlangt Art. 6 Abs. 6 DORA?

Nach Art. 6 Abs. 6 DORA ist der IKT-Risikomanagementrahmen von Finanzunternehmen, die keine Kleinstunternehmen sind, im Einklang mit dem Revisionsplan regelmäßig einer internen Revision zu unterziehen. Auf die Prüfung folgt eine Pflicht: Art. 6 Abs. 7 DORA verlangt ein förmliches Follow-up-Verfahren, einschließlich Regeln für die rechtzeitige Überprüfung und Auswertung kritischer Erkenntnisse der IKT-Revision.

Dazu kommt die Trennung der Funktionen. Finanzunternehmen, die keine Kleinstunternehmen sind, sorgen nach Art. 6 Abs. 4 DORA für eine angemessene Trennung und Unabhängigkeit von IKT-Risikomanagementfunktionen, Kontrollfunktionen und internen Revisionsfunktionen, nach dem Modell der drei Verteidigungslinien oder einem internen Modell für Risikomanagement und Kontrolle. Praktisch heißt das: IKT ist ein eigenes Prüffeld im Revisionsplan, und jede Feststellung hat einen dokumentierten Weg bis zur Behebung. Was zum Rahmen gehört, regeln Art. 5 bis 15 DORA. Eine Übersicht bietet die Seite zu DORA.

Welche Qualifikation brauchen die Prüfer?

Art. 6 Abs. 6 DORA stellt drei Anforderungen: ausreichendes Wissen, ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie angemessene Unabhängigkeit. Der Wortlaut nennt keine bestimmte Zertifizierung und keine Mindestberufserfahrung. Das Finanzunternehmen muss die Eignung deshalb selbst begründen können.

Nach unserer Lesart gehört dazu ein Kompetenznachweis je Prüfung. Er beantwortet drei Fragen: Welche IKT-Themen prüfen wir (etwa Governance, Änderungsmanagement, Zugriffsrechte, Geschäftsfortführung)? Woraus ergibt sich die Erfahrung der Prüfer? Wo haben wir Fachwissen ergänzt? Reicht das Wissen der Revisionsleitung für ein Thema nicht aus, können Sie Fachwissen für einzelne Prüfungen zukaufen, etwa über den New Technologies Desk. Das Wort „angemessen“ verweist nach unserer Lesart auf den Grundsatz der Verhältnismäßigkeit: Art. 4 Abs. 1 DORA verlangt, die Vorschriften des Kapitels II nach Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Geschäfte anzuwenden.

Darf eine ausgelagerte Interne Revision prüfen?

Ja. Art. 6 Abs. 10 DORA erlaubt, die Überprüfung der Einhaltung der Anforderungen für das IKT-Risikomanagement im Einklang mit den sektorspezifischen Rechtsvorschriften an gruppeninterne oder externe Unternehmen auszulagern. Im Fall einer solchen Auslagerung bleibt das Finanzunternehmen uneingeschränkt für die Überprüfung der Einhaltung verantwortlich. Nach unserer Auslegung erfasst das auch die Revision nach Art. 6 Abs. 6 DORA.

Die Verantwortung liegt ohnehin oben: Nach Art. 5 Abs. 2 lit. a DORA trägt das Leitungsorgan die letztendliche Verantwortung für das Management der IKT-Risiken. Nach unserer Einschätzung braucht das Institut bei einer ausgelagerten Revision deshalb eine benannte Person, die den Dienstleister beauftragt und überwacht. Dazu kommen vertraglich gesicherte Prüfungs- und Zugangsrechte. Wie Sie eine solche Auslagerung aufsetzen, beschreibt die Seite zur ausgelagerten Internen Revision.

Wie oft muss geprüft werden?

Eine feste Frist nennt Art. 6 Abs. 6 DORA nicht. Die Revision erfolgt „regelmäßig“. Häufigkeit und Schwerpunkt der IKT-Revisionen müssen den IKT-Risiken des Finanzunternehmens angemessen sein. Der Takt folgt damit aus der Risikoanalyse und dem Revisionsplan, nicht aus einer Zahl. Ein Institut mit vielen IKT-Drittdienstleistern, eigener Softwareentwicklung oder jüngeren schwerwiegenden Vorfällen wird häufiger und tiefer prüfen lassen als eines mit schlankem IT-Betrieb.

Verwechseln Sie das nicht mit Art. 6 Abs. 5 DORA. Dort ist geregelt, dass der Rahmen mindestens einmal jährlich, bei Kleinstunternehmen regelmäßig, sowie nach schwerwiegenden IKT-bezogenen Vorfällen und nach aufsichtsrechtlichen Anweisungen oder Feststellungen aus Resilienztests oder Auditverfahren dokumentiert und überprüft wird. Nach unserer Lesart ist das die Überprüfung durch das Unternehmen selbst. Sie ersetzt die unabhängige Revision nach Abs. 6 nicht.

Wer prüft, wenn derselbe Dienstleister die Umsetzung gemacht hat?

Nach unserer Auslegung nicht derselbe Dienstleister. DORA regelt diesen Fall nicht ausdrücklich. Art. 6 Abs. 6 verlangt jedoch eine angemessene Unabhängigkeit der Revisoren, und Art. 6 Abs. 4 verlangt die Trennung von Risikomanagement-, Kontroll- und Revisionsfunktionen. Wer den Rahmen aufgebaut oder dessen Umsetzung verantwortet hat, würde sein eigenes Werk beurteilen.

Die Global Internal Audit Standards des IIA (2024) gehen in dieselbe Richtung. Standard 2.2 verlangt, dass Revisoren keine Tätigkeiten beurteilen, für die sie zuvor verantwortlich waren, und vermutet eine Beeinträchtigung der Objektivität, wenn Prüfungsleistungen für eine Tätigkeit erbracht werden, für die innerhalb der vorangegangenen 12 Monate Verantwortung bestand. Die Standards gelten ausdrücklich auch für externe Dienstleister, die Revisionsleistungen erbringen. Dass wir die Umsetzung eines IKT-Risikomanagementrahmens wie eine frühere Verantwortung im Sinne von Standard 2.2 behandeln, ist unsere Position. OptiRisk Consulting übernimmt deshalb für dasselbe Institut entweder die Umsetzung oder die Prüfung des IKT-Risikomanagementrahmens, nie beides. Wer beides braucht, beauftragt zwei getrennte Anbieter.

Was gilt für Kleinstunternehmen und den vereinfachten Rahmen nach Art. 16?

Ein Kleinstunternehmen ist nach Art. 3 Nr. 60 DORA ein Finanzunternehmen, das weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanzsumme 2 Mio. EUR nicht überschreitet. Handelsplätze, zentrale Gegenparteien, Transaktionsregister und Zentralverwahrer sind ausgenommen. Für Kleinstunternehmen entfällt die Pflicht zur regelmäßigen internen Revision nach Art. 6 Abs. 6. Das gilt nur für diesen Absatz und nicht für den vereinfachten Rahmen nach Art. 16 (siehe unten). Den Rahmen selbst müssen sie weiterhin führen und regelmäßig überprüfen (Art. 6 Abs. 5).

Der vereinfachte Rahmen nach Art. 16 DORA ist ein anderes Instrument. Art. 5 bis 15 gelten danach nicht für kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungsinstitute, ausgenommene E-Geld-Institute, nach der Richtlinie 2013/36/EU ausgenommene Institute, für die ein Mitgliedstaat die Ausnahmemöglichkeit des Art. 2 Abs. 4 DORA nicht nutzt, und kleine Einrichtungen der betrieblichen Altersversorgung. Der Katalog des Art. 16 Abs. 1 Unterabs. 2 nennt keine Revision. Art. 28 Abs. 5 der Delegierten Verordnung (EU) 2024/1774 verlangt jedoch auch für diese Unternehmen, den vereinfachten Rahmen im Einklang mit dem Revisionsplan einer internen Revision durch unabhängige Revisoren mit IKT-Fachkenntnissen zu unterziehen. Eine Ausnahme für Kleinstunternehmen sieht Art. 28 nicht vor. Kapitalanlagegesellschaften, AIFM und Kryptodienstleister werden in Art. 16 Abs. 1 nicht genannt. Prüfen Sie beide Kriterien, Kleinstunternehmen und Art. 16, getrennt.

Auch wo die DORA-Pflicht entfällt, bleibt sektorales Recht. Eine Kapitalanlagegesellschaft muss nach § 16 InvFG 2011 dauerhaft eine Innenrevisionsfunktion einrichten, unabhängig von ihrem DORA-Status. Registrierte kleine AIFM im Sinne von Art. 3 Abs. 2 AIFMD sind nach Art. 2 Abs. 3 lit. a DORA vom Anwendungsbereich ausgenommen. Mehr dazu auf der Seite für KAGs und AIFM.

Wenn Sie klären möchten, ob Art. 6 Abs. 6 DORA Ihr Institut betrifft und wer die Prüfung übernehmen kann, melden Sie sich für ein Erstgespräch. Dieser Beitrag ersetzt keine Rechtsberatung.

Quellen

• Verordnung (EU) 2022/2554 (DORA), Art. 2, 3, 4, 5, 6 und 16: EUR-Lex, CELEX 32022R2554
• Delegierte Verordnung (EU) 2024/1774, Art. 28 Abs. 5: EUR-Lex, ELI reg_del/2024/1774
• Richtlinie 2011/61/EU (AIFMD), Art. 3: EUR-Lex, CELEX 32011L0061
• Investmentfondsgesetz 2011, § 16: RIS, Gesetzesnummer 20007389
• Institute of Internal Auditors, Global Internal Audit Standards (2024), Standard 2.2: Standards-PDF