Proportionalität in der DORA-Umsetzung: Wie Leasing- und Factoring-Unternehmen ihre Anforderungen effizient erfüllen können

Die DORA-Verordnung betont in Artikel 4 den Grundsatz der Verhältnismäßigkeit. Dieser soll sicherstellen, dass kleinere und weniger komplexe Institute ihre Verpflichtungen in einem angemessenen Rahmen erfüllen können. Für Leasing- und Factoring-Unternehmen bedeutet dies:

• Erleichterte Anforderungen: Weniger strenge Vorgaben im Vergleich zu großen Finanzinstituten.
• Risikobasierte Anpassung: Maßnahmen müssen an die Größe, den Umfang und die Komplexität der Unternehmen angepasst werden.

2. Erleichterungen für Leasing- und Factoring-Unternehmen

Vereinfachter IKT-Risikomanagementrahmen (Artikel 16 DORA)

Leasing- und Factoring-Unternehmen müssen keinen umfassenden IKT-Risikomanagementrahmen implementieren, wie er in Artikeln 5–15 der DORA vorgesehen ist. Stattdessen gilt ein vereinfachter Rahmen:

• Grundlegende Mechanismen: Einfache Prozesse zur Identifikation, Bewertung und Steuerung von IKT-Risiken.
• Dokumentation und Monitoring: Verhältnismäßig reduzierte Anforderungen an die Dokumentation und Überwachung.

Ausnahme von TLPT-Tests (Artikel 26 und 27 DORA)

• Bedrohungsgeleitete Penetrationstests (Threat-Led Penetration Tests, TLPT) sind für diese Unternehmen nicht verpflichtend.
• Dadurch entfallen erhebliche technische und finanzielle Belastungen.

Längere Übergangsfristen

• Der vereinfachte IKT-Risikomanagementrahmen muss erst ab dem 1. Januar 2027 angewendet werden.
• Dies gibt Unternehmen Zeit, sich auf die Anforderungen vorzubereiten und interne Prozesse anzupassen.

3. Praktische Strategien zur Umsetzung

1. Priorisierung von Kernanforderungen

• Unternehmen sollten sich zunächst auf Meldepflichten und die Grundsätze des vereinfachten IKT-Risikomanagementrahmens konzentrieren.
• Ein Informationsregister zur Dokumentation von Vorfällen und Drittanbieterbeziehungen kann helfen, mehrere Anforderungen effizient abzudecken.

2. Nutzung externer Expertise

• Insbesondere kleinere Unternehmen können durch Zusammenarbeit mit spezialisierten Dienstleistern die Anforderungen schneller und kosteneffizienter erfüllen.
• Externe Beratung kann auch dabei helfen, die Meldepflichten gemäß Kapitel III DORA zu automatisieren.

3. Fokus auf Schulung und Awareness

• Die Einbindung der Mitarbeitenden ist essenziell, um Risiken frühzeitig zu erkennen und Prozesse effektiv umzusetzen.
• Schulungsprogramme zu IKT-Risiken und Meldeverfahren können dabei helfen, regulatorische Vorgaben in die tägliche Praxis zu integrieren.

4. Vorteile der proportionalen Umsetzung

Die verhältnismäßige Anwendung von DORA bietet Leasing- und Factoring-Unternehmen folgende Vorteile:

• Kostenersparnis: Durch den vereinfachten Rahmen und die TLPT-Ausnahme können erhebliche Kosten vermieden werden.
• Fokus auf das Wesentliche: Unternehmen können sich auf relevante Risiken und Meldepflichten konzentrieren, ohne mit unnötigen Anforderungen belastet zu werden.
• Zeitliche Flexibilität: Die Übergangsfristen ermöglichen eine schrittweise Implementierung, die intern besser koordiniert werden kann.

Fazit

Die DORA-Umsetzung bietet Leasing- und Factoring-Unternehmen dank des FinmaDiG die Möglichkeit, ihre Anforderungen proportional und kosteneffizient zu erfüllen. Mit einem vereinfachten IKT-Risikomanagementrahmen, klaren Prioritäten und einer strategischen Herangehensweise können auch kleinere Unternehmen die digitale Resilienz stärken und regulatorische Vorgaben erfüllen. Die lange Übergangsfrist bis 2027 bietet zusätzlichen Spielraum, um nachhaltige und effektive Lösungen zu entwickeln.