Betreiber-, Eigentümer-, Mieter-, Arbeitgeber- und Auftraggeberpflichten sind vollständig identifiziert, eindeutig zugeordnet, wirksam delegiert und jederzeit nachweisbar erfüllt.
Banken und Versicherer dürfen sich nicht darauf verlassen, dass Pflichten durch die Beauftragung eines Dienstleisters verschwinden. Auch bei Fremdvergabe verbleiben Auswahl-, Organisations-, Kontroll- und Überwachungspflichten. Für digitale und IKT-bezogene Drittleistungen stellt DORA ausdrücklich klar, dass das Finanzunternehmen verantwortlich bleibt.
Verantwortlich: Fachverantwortliche; unabhängige Kontrolle durch Compliance/Revision
Eskalationsregel
Eine unmittelbar sicherheits-, genehmigungs- oder aufsichtsrelevante Abweichung führt zu Sofortmaßnahme, Risikobewertung und Information der zuständigen Führungsebene. Ein Weiterbetrieb ist nur auf Basis dokumentierter Ersatzmaßnahmen und formaler Risikoakzeptanz zulässig.
