MFSA DORA 2025 Autorisierungslektionen: IKT-Lücken, die Wirtschaftsprüfungsgesellschaften schließen müssen

Die Malta Financial Services Authority hat ein Rundschreiben veröffentlicht, das auf ihren Beobachtungen aus dem Autorisierungszyklus 2025 basiert, und die Botschaft an Finanzunternehmen ist direkt: Das Bewusstsein für den Digital Operational Resilience Act steigt, aber die Kluft zwischen dokumentierter Politik und gelebter Praxis bleibt groß. Für Wirtschaftsprüfungsgesellschaften, die Krypto-Kunden beraten, CFOs, die Digital-Asset-Operationen leiten, und alle Unternehmen, deren Krypto-Buchhaltungssoftware-Infrastruktur EU-regulierte Aktivitäten berührt, ist das Rundschreiben eine praktische Checkliste, die als aufsichtliche Reflexion getarnt ist.

Was das MFSA-Rundschreiben tatsächlich sagt

Die Behörde hat Autorisierungsanträge überprüft und häufige, wiederkehrende Mängel festgestellt, wie Antragsteller die Einhaltung von DORA – formell Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz des Finanzsektors – nachweisen. Das Rundschreiben nennt keine einzelnen Unternehmen. Stattdessen kartiert es die Landschaft, wo der Sektor noch hinterherhinkt und wo er anfängt, die Dinge richtig zu machen.

Die Kernfeststellung: Politik ohne Praxis

Die zentrale Beobachtung ist, dass viele Antragsteller mit vorhandener Dokumentation ankommen, aber nicht zeigen können, wie diese Richtlinien unter realen Bedingungen funktionieren. Die Behörde stellt ausdrücklich fest, dass digitale operationale Resilienz über die Erstellung von Richtlinien und Dokumentation hinausgeht. Prüfer wollen sehen, dass Resilienzmaßnahmen tatsächlich die Kontinuität, Sicherheit und Zuverlässigkeit der Geschäftstätigkeiten im Alltag unterstützen – nicht nur auf dem Papier, das einer Regulierungsbehörde vorgelegt wird.

Diese Unterscheidung ist enorm wichtig für Unternehmen, die digitale Asset-Buchhaltungssoftware-Umgebungen betreiben oder dazu beraten. Ein Richtliniendokument, das beschreibt, wie ein IKT-Vorfall eskaliert wird, ist nicht dasselbe wie ein getestetes, funktionierendes Vorfallmanagementverfahren mit definierten Rollen, dokumentierten Schwellenwerten und dem Nachweis mindestens einer Trockenübung.

Vier wiederkehrende Schwachstellenbereiche

Die MFSA gruppiert ihre Bedenken um vier Säulen, die direkt der Struktur von DORA entsprechen:

• Governance-Regelungen: Antragstellern fehlt häufig eine klare Verantwortlichkeit auf Vorstandsebene für IKT-Risiken. Die Verantwortung ist diffus, Eskalationspfade sind undefiniert, und das Senior Management kann keine aktive Aufsicht über den Resilienzrahmen nachweisen – nur passive Zustimmung zu einem Dokument.
• IKT-Risikomanagementprozesse: Risikoregister existieren, sind aber oft statisch, generisch oder vom tatsächlichen Technologie-Stack und Geschäftsmodell des Antragstellers losgelöst. Die Behörde erwartet, dass Register das spezifische Risikoprofil des Unternehmens widerspiegeln, nicht eine vorlagenhafte Liste generischer Cyber-Bedrohungen.
• Vorfallmanagementverfahren: Erkennungs-, Klassifizierungs- und Meldeabläufe sind schriftlich vorhanden, wurden aber nicht operationalisiert. Unternehmen können nicht nachweisen, wie sie einen schwerwiegenden IKT-Vorfall identifizieren, seine Schwere nach DORA-Kriterien klassifizieren oder die MFSA innerhalb der erforderlichen Fristen benachrichtigen würden.
• Überwachung von IKT-Drittdienstleistern: Dies wird als besonderer Schmerzpunkt identifiziert. Verträge mit Cloud-Anbietern, Datenverkäufern und ausgelagerten Technologiepartnern enthalten oft nicht die von DORA geforderten Klauseln, und die interne Überwachung dieser Anbieter ist dürftig oder völlig abwesend.

Wo Antragsteller es richtig machen

Das Rundschreiben ist nicht durchweg kritisch. Die MFSA stellt ausdrücklich fest, dass Antragsteller im Bereich der Tests der digitalen operationalen Resilienz im Allgemeinen ein stärkeres Maß an Vorbereitung gezeigt haben. Dies ist bedeutsam: Unternehmen scheinen mehr in Penetrationstests, Schwachstellenbewertungen und Kontinuitätsübungen investiert zu haben als in die Governance- und Vertragsinfrastruktur, die diese Tests umgibt.

Warum Tests allein nicht ausreichen

Ein Testergebnis ohne einen Governance-Rahmen, um darauf zu reagieren, Erkenntnisse zu eskalieren und Abhilfemaßnahmen zu verfolgen, hat nur begrenzten regulatorischen Wert. Die Beobachtung der Behörde deutet darauf hin, dass einige Antragsteller Tests als Liefergegenstand betrachten, nicht als Input in einen kontinuierlichen Risikomanagementzyklus. Für Unternehmen, deren Krypto-Buchhaltungssoftware oder Digital-Asset-Buchhaltungssoftware mit mehreren Drittanbieter-Datenfeeds, Börsen oder Verwahr-APIs verbunden ist, ersetzt ein Penetrationstest einer Komponente keinen integrierten Resilienzrahmen, der die gesamte Kette abdeckt.

DORAs Anwendungsbereich und warum EU-Krypto-Unternehmen ihn nicht ignorieren können

DORA gilt für den gesamten EU-Finanzsektor, einschließlich der unter MiCA zugelassenen Krypto-Asset-Dienstleister. Malta ist eine der aktivsten CASP-Zulassungsgerichtsbarkeiten in der EU, was die Beobachtungen der MFSA besonders signifikant als Frühindikator dafür macht, was andere nationale Aufsichtsbehörden ebenfalls feststellen. Unternehmen, die eine MiCA-Zulassung in Malta erhalten haben oder anstreben, oder die auf eine maltesische Einheit für den EU-Pass angewiesen sind, müssen dieses Rundschreiben als aufsichtliche Leitlinie mit direkter praktischer Wirkung behandeln.

Die MiCA-Verbindung

MiCA dupliziert DORA nicht, steht aber auch nicht isoliert davon. CASPs, die auch unter DORA fallen – aufgrund ihrer Größe, ihrer Rolle als bedeutende IKT-Drittdienstleister oder weil sie in einer Gruppe mit DORA-verpflichteten Unternehmen tätig sind – stehen vor einer doppelten Compliance-Belastung. Die Beobachtungen der MFSA deuten darauf hin, dass Unternehmen, die eine CASP-Zulassung beantragen, im Rahmen desselben Zulassungsprozesses auf ihre DORA-Bereitschaft geprüft werden, und Schwächen in einem Rahmen werden wahrscheinlich Fragen zum anderen aufwerfen.

Dies war auch anderswo in der EU ein Muster. Die belgische FSMA hat bereits nach der MiCA-Frist Maßnahmen gegen nicht autorisierte CASPs ergriffen, wie in unserem Artikel über Belgien FSMA markiert sechs nicht autorisierte CASPs nach MiCA-Frist behandelt. Der Trend ist klar: Regulierungsbehörden im gesamten Block verschärfen gleichzeitig die Zulassungsstandards für beide Rahmenwerke – das kryptospezifische und das sektorübergreifende für digitale Resilienz.

Praktische Auswirkungen für Wirtschaftsprüfungsgesellschaften und CFOs

Das Rundschreiben der MFSA ist allgemein adressiert, aber seine operativen Auswirkungen variieren je nach Position des Unternehmens im Ökosystem.

Für Wirtschaftsprüfungsgesellschaften, die DORA-verpflichtete Kunden beraten

Berater müssen verstehen, dass DORA-Compliance-Prüfungen zunehmend Teil der Pre-Autorisierungs-Due-Diligence, der jährlichen Aufsichtsinteraktion und möglicherweise des Prüfungsumfangs sein werden. Die von der MFSA identifizierten vier Schwachstellenbereiche übersetzen sich in Prüfungs- und Beratungsarbeitsströme:

• Governance-Gap-Analyse: Zuordnung der Vorstandsverantwortung für IKT-Risiken zu den Anforderungen von DORA und Identifizierung, wo die Verantwortung unklar oder nicht zugewiesen ist.
• IKT-Risikoregisterprüfung: Beurteilung, ob das Register die tatsächliche Technologiearchitektur des Kunden widerspiegelt, einschließlich aller Krypto-Buchhaltungssoftware- oder Digital-Asset-Buchhaltungssoftware-Komponenten, anstatt einer generischen Vorlage.
• Drittanbieter-Vertragsprüfung: Überprüfung von Anbietervereinbarungen auf DORA's zwingende Vertragsbestimmungen, insbesondere für cloudbasierte Infrastruktur und ausgelagerte Datenverarbeitung.
• Vorfallmanagement-Walkthrough: Durchführung einer Planübung, um zu testen, ob das dokumentierte Verfahren tatsächlich funktioniert, und Erstellung von Nachweisen, die einer Regulierungsbehörde vorgelegt werden können.

Für CFOs und interne Finanzteams bei Digital-Asset-Unternehmen

Die Feststellung der MFSA, dass Einreichungen oft nicht auf das spezifische Geschäftsmodell und Risikoprofil des Antragstellers zugeschnitten sind, ist ein direktes Signal an CFOs. Ein standardmäßiger DORA-Rahmen, der von der Stange gekauft oder von der Offenlegung eines größeren Instituts kopiert wurde, wird die Behörde nicht zufriedenstellen. Das Risikoprofil eines CASP, das eine Token-Handelsplattform betreibt, unterscheidet sich wesentlich von dem eines traditionellen Zahlungsinstituts, und die Dokumentation muss dies widerspiegeln.

Für Finanzteams ist die Lücke bei der Drittanbieter-Überwachung besonders akut. Digital-Asset-Operationen verlassen sich typischerweise auf ein Netz externer Anbieter: Blockchain-Datenfeeds, Börsenkonnektivität, Verwahrlösungen, Staking-Infrastruktur und die Krypto-Buchhaltungssoftware-Schicht, die über all dem liegt. Jede dieser Beziehungen benötigt einen DORA-konformen Vertrag und einen laufenden Überwachungsprozess. Die Beobachtungen der MFSA deuten darauf hin, dass dies der Bereich ist, in dem die meisten Unternehmen derzeit unterressourciert sind.

Das gleiche Muster zeigt sich darin, wie die französische AMF die Post-MiCA-Überwachung angegangen ist, detailliert in unserer Analyse darüber, wie die neue Aufsichtsrolle der AMF die CASP-Lizenzierung in Frankreich neu gestaltet. In allen EU-Gerichtsbarkeiten geht der Trend hin zu einer tiefergehenden, evidenzbasierten Prüfung anstelle einer Compliance durch Dokumentenannahme.

Buchhalterische und finanzielle Berichterstattungsaspekte

Die DORA-Compliance-Position eines regulierten Unternehmens hat finanzielle Berichterstattungsimplikationen, die leicht übersehen werden, bis ein Vorfall oder ein aufsichtlicher Befund sie unvermeidbar macht.

Rückstellungen und Eventualverbindlichkeiten

Wo ein IKT-Risiko identifiziert, dokumentiert, aber nicht behoben wurde, müssen Finanzteams prüfen, ob eine Rückstellung oder Offenlegung einer Eventualverbindlichkeit nach dem anwendbaren Rechnungslegungsstandard erforderlich ist. Eine bekannte Lücke in den Vorfallmanagementverfahren ist nicht nur eine operationelle Angelegenheit, wenn sie nach einem Vorfall eine wahrscheinliche Verpflichtung gegenüber der Regulierungsbehörde oder betroffenen Gegenparteien schafft. DORA-bezogene Sanierungskosten müssen ebenfalls geplant und budgetiert werden, und wesentliche Investitionsausgaben für IKT-Infrastruktur-Upgrades müssen möglicherweise in zukunftsgerichteten Risikoberichten offengelegt werden.

Kosten für Neuverhandlungen von Drittanbieterverträgen

Die Umstellung bestehender Anbieterverträge auf DORA-Konformität ist nicht kostenlos. Anwaltskosten, Kosten für Vertragsänderungen und die mögliche Notwendigkeit, zu einem konformen Anbieter zu migrieren, wenn ein bestehender Anbieter sich weigert, DORA-geforderte Bedingungen zu akzeptieren, sind alles finanzielle Posten, die die CFO-Funktion übernehmen muss. Für Unternehmen, die ihre Drittanbieter-Exposition noch nicht kartiert haben, ist der erste Schritt ein Inventar: Jede externe IKT-Abhängigkeit, die eine regulierte Aktivität unterstützt, muss identifiziert und bewertet werden.

IKT-Risiko im internen Kontrollrahmen

Die Anforderungen von DORA an das IKT-Risikomanagement sind substanziell genug, um im internen Kontrollrahmen eines Unternehmens und, wo anwendbar, im Prüfungsumfang der internen Revision berücksichtigt zu werden. Externe Prüfer werden zunehmend von Kunden und Regulierungsbehörden nach der Robustheit der IKT-Governance gefragt. Unternehmen, die einen gelebten, getesteten und vom Vorstand verantworteten DORA-Rahmen nachweisen können, werden sowohl in Aufsichtsinteraktionen als auch in Prüfungsgesprächen in einer wesentlich stärkeren Position sein als solche, die statische Dokumentation präsentieren.

Was Unternehmen vor dem nächsten Autorisierungsfenster tun sollten

Die MFSA erklärt, dass das Rundschreiben sowohl potenziellen als auch bestehenden Lizenzinhabern helfen soll, sich auf Autorisierungsprozesse vorzubereiten. Diese Rahmung ist wichtig: Dies ist keine retrospektive Kritik an früheren Antragstellern, sondern eine zukunftsgerichtete Anleitung für jeden, dessen Lizenzverlängerung oder Erstantrag ansteht.

Die praktische Abfolge für die meisten Unternehmen wird sein: Erstens, Bewertung der aktuellen IKT-Governance in jedem der vier von der MFSA identifizierten Schwachstellenbereiche. Zweitens, Beauftragung oder Durchführung einer Gap-Analyse aller IKT-Drittanbieterverträge. Drittens, Durchführung mindestens einer dokumentierten Vorfallmanagementübung und Aufbewahrung der Nachweise. Viertens, Sicherstellen, dass das Risikoregister neu aufgebaut oder überprüft wird, um die tatsächlichen Systeme des Unternehmens widerzuspiegeln, einschließlich aller Krypto-Buchhaltungssoftware-Komponenten, die Teil der regulierten Infrastruktur sind. Fünftens, die Ergebnisse dem Vorstand vorlegen und diese Diskussion dokumentieren.

Die Behörde hat klargestellt, dass sie maßgeschneiderte Einreichungen erwartet. Eine glaubwürdige DORA-Einreichung eines maltesischen CASP im Jahr 2025 oder 2026 wird sich wesentlich von einer Einreichung eines traditionellen Kreditinstituts unterscheiden. Das Geschäftsmodell, der Technologie-Stack und das Risikoprofil müssen den Inhalt bestimmen.

Quelle: Malta Financial Services Authority

Häufig gestellte Fragen

Worum geht es im MFSA-DORA-Rundschreiben?

Die Malta Financial Services Authority veröffentlichte ein Rundschreiben, das wiederkehrende Schwächen zusammenfasst, die sie bei der Prüfung von Autorisierungsanträgen nach dem Digital Operational Resilience Act (DORA) beobachtet hat. Es identifiziert Governance, IKT-Risikomanagement, Vorfallmanagement und Drittanbieter-Überwachung als die Hauptbereiche, in denen Antragsteller noch hinterherhinken, und stellt fest, dass Resilienztests der Bereich relativer Stärke sind.

Für welche Unternehmen gilt DORA?

DORA, formell Verordnung (EU) 2022/2554, gilt für den gesamten EU-Finanzsektor. Dies umfasst Kreditinstitute, Wertpapierfirmen, Zahlungsinstitute, unter MiCA zugelassene Krypto-Asset-Dienstleister und eine Reihe anderer Finanzunternehmen. Die spezifischen Verpflichtungen und Proportionalitätsschwellen variieren je nach Unternehmenstyp und -größe.

Betrifft DORA Krypto-Asset-Dienstleister in Malta?

Ja. CASPs, die in Malta unter MiCA zugelassen sind, sind Teil des EU-Finanzsektors und fallen in den Anwendungsbereich von DORA, wenn die relevanten Schwellen und Bedingungen erfüllt sind. Das MFSA-Rundschreiben stellt klar, dass die DORA-Compliance im Rahmen des Autorisierungsprozesses bewertet wird, was bedeutet, dass Schwächen in der IKT-Governance oder der Drittanbieter-Überwachung die Fähigkeit eines CASP beeinträchtigen können, seine Lizenz zu erhalten oder zu behalten.

Was sollte ein CFO als Reaktion auf das MFSA-Rundschreiben tun?

CFOs bei DORA-verpflichteten Unternehmen sollten die vier von der MFSA identifizierten Schwachstellenbereiche als praktische Checkliste behandeln: IKT-Governance und Vorstandsverantwortung, die Spezifität und Aktualität des IKT-Risikoregisters, die Operationalisierung von Vorfallmanagementverfahren sowie die vertraglichen und überwachenden Regelungen mit IKT-Drittanbietern. Jeder Bereich sollte anhand der aktuellen Praxis bewertet werden, nicht nur anhand der vorhandenen Dokumentation.

In welcher Beziehung steht das MFSA-Rundschreiben zur Infrastruktur von Krypto-Buchhaltungssoftware?

Jede Krypto-Buchhaltungssoftware oder Digital-Asset-Buchhaltungssoftware, die Teil der operativen Infrastruktur eines regulierten Unternehmens ist, ist für DORA-Zwecke ein IKT-System. Wenn diese Software von einem Drittanbieter gehostet wird, müssen die Vertrags- und Überwachungsregelungen die Anforderungen von DORA erfüllen. Wenn sie intern betrieben wird, fällt sie in den Umfang des IKT-Risikomanagements und der Resilienztests, den die MFSA von den Unternehmen zu dokumentieren und nachzuweisen erwartet.