Art. 3 IKT-Risikomanagement | RTS on ICT risk management framework | DORA

This article sets out the detailed requirements for ICT risk management policies and procedures that financial entities must develop, document, and implement.

It builds directly on the broader ICT risk management framework established under DORA (Regulation (EU) 2022/2554), translating its high-level obligations into concrete procedural requirements.

The article covers the full lifecycle of ICT risk management: from establishing a risk tolerance level and conducting risk assessments, through implementing treatment measures, to handling residual risks that remain after those measures are applied.

A notable element is the structured approach to residual risk, which must be inventoried, justified, assigned to responsible owners, and reviewed at least annually.

The article also requires ongoing monitoring of the threat landscape and vulnerabilities, and ensures that any changes to the financial entity's business or digital resilience strategy feed back into the risk management process.

Important points:

Develop, document, and implement ICT risk management policies and procedures covering the entire risk lifecycle, from assessment through treatment to residual risk management.
Maintain an inventory of accepted residual ICT risks with written justifications, and review those accepted risks at least once a year to confirm the reasons for acceptance remain valid.
Continuously monitor changes to the ICT risk and cyber threat landscape, internal and external vulnerabilities, and ensure shifts in business or digital resilience strategy are reflected in the risk management framework.

Die Finanzunternehmen entwickeln, dokumentieren und implementieren Richtlinien und Verfahren für das IKT-Risikomanagement, die alle folgenden Elemente umfassen:
1. einen Verweis auf die Genehmigung der nach Artikel 6 Absatz 8 Buchstabe b der Verordnung (EU) 2022/2554 festgelegten Risikotoleranzschwelle für IKT-Risiken;
2. ein Verfahren und eine Methodik für die Durchführung der IKT-Risikobewertung, um Folgendes zu ermitteln:
  Schwachstellen und Bedrohungen, die die unterstützten Unternehmensfunktionen, die IKT-Systeme und die IKT-Assets, die diese Funktionen unterstützen, beeinträchtigen oder beeinträchtigen könnten,
  die quantitativen oder qualitativen Indikatoren zur Messung der Auswirkungen und der Wahrscheinlichkeit eines Auftretens der unter Ziffer i genannten Schwachstellen und Bedrohungen;
3. das Verfahren zur Ermittlung, Implementierung und Dokumentation von Maßnahmen für die Behandlung von IKT-Risiken mit Blick auf die ermittelten und bewerteten IKT-Risiken, einschließlich der Festlegung von Maßnahmen für die Behandlung von IKT-Risiken, die erforderlich sind, um diese unter die Risikotoleranzschwelle nach Buchstabe a zu senken;
4. für IKT-Restrisiken, die nach der Implementierung der Maßnahmen für die Behandlung von IKT-Risiken gemäß Buchstabe c weiter bestehen:
  Bestimmungen über die Ermittlung dieser IKT-Restrisiken,
  die Zuweisung von Aufgaben und Verantwortlichkeiten mit Blick auf
  das Eingehen von IKT-Restrisiken, die die Risikotoleranzschwelle nach Buchstabe a des Finanzunternehmens überschreiten,
  das Überprüfungsverfahren gemäß Buchstabe d Ziffer iv,
  die Erstellung eines Inventars der eingegangenen IKT-Restrisiken, einschließlich einer Begründung, weshalb sie eingegangen wurden,
  Bestimmungen über die Überprüfung der eingegangenen IKT-Restrisiken, die mindestens einmal jährlich vorgenommen wird, einschließlich zur
  Ermittlung etwaiger Änderungen der IKT-Restrisiken,
  Bewertung der verfügbaren Abhilfemaßnahmen,
  Bewertung, ob die Gründe für das Eingehen der IKT-Restrisiken zum Zeitpunkt der Überprüfung noch gültig und anwendbar sind;
5. Bestimmungen über die Überwachung
  jeglicher Änderungen der IKT-Risiken und der Cyberbedrohungslage,
  interner und externer Schwachstellen und Bedrohungen,
  des IKT-Risikos des Finanzunternehmens, damit Änderungen, die sich auf sein IKT-Risikoprofil auswirken könnten, rasch erkannt werden können;
6. Bestimmungen über ein Verfahren, mit dem sichergestellt wird, dass alle Änderungen der Geschäftsstrategie und der Strategie für die digitale operationale Resilienz des Finanzunternehmens berücksichtigt werden.
Für die Zwecke von Absatz 1 Buchstabe c stellt das dort genannte Verfahren sicher, dass
1. die Wirksamkeit der implementierten Maßnahmen für die Behandlung von IKT-Risiken überwacht wird;
2. bewertet wird, ob die festgelegten Risikotoleranzschwellen des Finanzunternehmens erreicht wurden;
3. bewertet wird, ob das Finanzunternehmen tätig geworden ist, um diese Maßnahmen erforderlichenfalls zu korrigieren oder zu verbessern.