Hübsch verpackt, schnell geplatzt

Die MaRisk AT 9/DORA‑Ausnahme

Ein Satz in der Erläuterung zu MaRisk AT 9 Tz. 1, und DORA-regulierte IKT-Dienstleistungen sind raus aus dem Auslagerungsregime der MaRisk. Die jüngste MaRisk-Novelle verpackt eine Seifenblase als Bürokratieabbau, und das KWG hält die Nadel. Man hätte es kommen sehen können. Schon in der Konsultation lag die Frage auf dem Tisch. Den Sommer über wurde viel diskutiert, in Instituten wie in Arbeitskreisen. Die Fragen sind überall dieselben, die Antworten bleiben rar. Statt sich für „Vertrauensvorschüsse“ an die Banken selbst zu loben, wäre sorgfältige Normabstimmung angebrachter gewesen. Nächste Runde: die überarbeiteten EBA-Leitlinien zu Auslagerungen. Neues Spiel, neues Glück. Vielleicht.

MaRisk AT 9 Tz. 1, Erläuterung:

Ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement gemäß Art. 28-30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9.

Der Satz wirkt eindeutig. Die Absicht ist nachvollziehbar: Seit DORA überlagern sich Auslagerung, sonstiger Fremdbezug und IKT-Dienstleistung bzw. IKT-Drittdienstleister.

Bürokratieabbau also? Keine Schublade „Auslagerung“ oder „sonstiger Fremdbezug“ mehr. Keine Wesentlichkeitsanalyse mehr. Keine doppelten Register. Aber dann schlägt man das KWG auf.

KWG interessiert sich für den Rückzug des AT 9 nicht

§ 25b KWG knüpft weiterhin an die Auslagerung von Aktivitäten und Prozessen auf ein anderes Unternehmen an. Keine DORA-Ausnahme. Vor allem verpflichtet die Vorschrift Institute weiterhin zur Führung eines Auslagerungsregisters, in dem sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen sind.

Die fehlende Abstimmung tritt bei den Anzeigepflichten ebenfalls hervor: § 24 Abs. 1 Nr. 19 KWG knüpft weiterhin ausdrücklich an die wesentliche Auslagerung an.

Damit bleibt eine vorgelagerte Entscheidung zwingend erforderlich: Ist die bezogene IKT-Dienstleistung zugleich eine Auslagerung im Sinne des KWG?

Und… das Gesetz verlangt auch weiterhin die zweite Klassifizierung: Ist eine Auslagerung, wenn festgestellt, wesentlich?

Das höherrangige KWG enthält keine generelle Herausnahme DORA-regulierter IKT-Dienstleistungen.

Und dann wird es besonders interessant: Die AnzV enthält ausdrücklich spezifische Informationsanforderungen für Auslagerungen zu Cloud-Anbietern.

Das ist für die systematische Auslegung schwer zu ignorieren. Eine Interpretation, nach der DORA-regulierte IKT-Dienstleistungen aufgrund ihrer Herausnahme aus MaRisk AT 9 zugleich aus dem nationalen Kreditwesengesetz ausgeschieden seien, stößt spätestens hier an ihre Grenzen.

Zwei regulatorische Taxonomien

Das Problem wäre überschaubar, wenn DORA lediglich die bisherigen MaRisk-Kategorien unter neuen Bezeichnungen fortführen würde. Das tut DORA jedoch nicht.

DORA arbeitet mit der IKT-Dienstleistung und insbesondere mit der Frage, ob eine IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt. Analyseobjekt ist der Prozess („Funktion“); die IKT-Dienstleistung teilt das Schicksal dessen Wichtigkeit bzw. Kritikalität (Anm.: Grad der Abhängigkeit hier mal außer Acht gelassen).

Das nationale Auslagerungsschema arbeitet(e) dagegen mit zwei anderen Klassifikationsachsen: Auslagerung / sonstiger Fremdbezug (Analyseobjekt ist die Drittleistung im Kontext des Bankprozesses). Dann: Wesentlichkeit der Auslagerung.

Diese Kategorien mögen sich überschneiden. Sie sind aber nicht identisch. Wurde viel diskutiert, hier daher keine Wiederholung.

Damit stehen Institute faktisch weiterhin vor zwei regulatorischen Taxonomien, denn KWG und AnzV knüpfen die Rechtsfolgen weiterhin an die ältere MaRisk-Taxonomie.

Die dogmatische Rettung hilft nur zur Hälfte

Normenhierarchisch lässt sich ein Teil des Problems lösen. DORA ist unmittelbar geltendes Unionsrecht. Das KWG ist formelles Bundesrecht, die AnzV eine Rechtsverordnung. Die MaRisk sind demgegenüber Verwaltungsvorschriften und Ausdruck der aufsichtsrechtlichen Verwaltungspraxis.

Eine DORA-regulierte IKT-Dienstleistung kann danach weiterhin eine Auslagerung im Sinne des § 25b KWG darstellen, obwohl MaRisk AT 9 auf sie nicht anwendbar ist. Der Auslagerungsbegriff wäre unmittelbar aus dem KWG zu bestimmen.

Es hat allerdings eine gewisse Ironie: MaRisk AT 9 wäre auf den Sachverhalt nicht anwendbar, müsste aber möglicherweise weiterhin konsultiert werden, um diejenigen gesetzlichen Kategorien zu bestimmen, die das KWG nach wie vor verlangt.

Denken wir an … Fachgremium MaRisk vom 15. März 2018:

Die MaRisk konkretisieren als Verwaltungsvorschrift die §§ 25a und 25b KWG und sind daher von den Instituten umzusetzen.

Oder: „Protokoll zur Sondersitzung des Fachgremiums MaRisk am 15.03.2018“:

Die Aufsicht fasst ihre Sichtweise hinsichtlich der Frage zusammen, wann der Anwendungsbereich des § 25b KWG eröffnet ist und wie sich Fremdbezug und Auslagerung voneinander abgrenzen. Es wird darauf hingewiesen, dass im Gesetzeswortlaut die wesentlichen Kriterien zur Unterscheidung enthalten sind.

Die Veröffentlichung stellt damit § 25b und MaRisk AT 9 ausdrücklich als zusammengehöriges aufsichtsrechtliches Auslagerungsregime dar.

Noch schwieriger wird die dogmatische Rettung bei der Wesentlichkeit. KWG und AnzV setzen weiterhin voraus, dass zwischen wesentlichen und nicht wesentlichen Auslagerungen unterschieden wird. Die AnzV verlangt sogar Informationen zur entsprechenden Bewertung und Begründung. Wird die Risikoanalyse nach MaRisk AT 9 aufgrund der Bereichsausnahme nicht mehr durchgeführt, stellt sich zwangsläufig die Frage: Nach welchem Maßstab soll dann für KWG- und AnzV-Zwecke die Wesentlichkeit einer DORA-regulierten IKT-Dienstleistung festgestellt werden?

Die BaFin selbst: „IKT-Auslagerungen“

Auf ihrer Website stellt die BaFin unter der Überschrift „Weitere Anzeigepflichten zur Nutzung von IKT-Dienstleistungen: BaFin vermeidet Doppelmeldungen“ klar, dass die sektoralen Anzeigepflichten aus KWG, VAG oder KAGB weiter gelten. Man möge seine IKT-Auslagerungen bitte weiterhin über das MVP-Fachverfahren „Anzeige von Auslagerungen“ anzeigen.

Die Überschrift klingt nach Entlastung. Der Text darunter weist vorsichtig auf „Überschneidungen“ hin. Und das Ganze steht in den FAQ ganz unten auf der Seite, fast kleinlaut.

https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/it-cybersicherheit/register-anzeigepflichten/register-anzeigepflichten_node.html

… „IKT-Auslagerungen“. Überblickt der Regulator die selbst gewählten Begriffe eigentlich auch nicht mehr oder entsteht hier stillschweigend gar ein neuer Begriff?

Bilanz

Nüchtern betrachtet stehen wir vor dem Ergebnis einer nicht zu Ende geführten Regimeabgrenzung.

Die Instrumente sind faktisch nicht weggefallen, „Schubladisierung“ und Wesentlichkeitsbestimmung bleiben faktisch erhalten. Hier hätte man Dopplungen einsparen können.

Die dann anschließenden Anforderungen an wesentliche Auslagerungen nach MaRisk AT 9 und an IKT-Dienstleistungen nach DORA unterscheiden sich nur in Nuancen. Hier war nichts zu holen. Schon im Konsultationsverfahren hieß es vielerorts zurecht, eine wesentliche Verringerung der Anforderungen sei nicht zu erwarten, weil die DORA-Anforderungen keineswegs geringer seien.

MaRisk AT 9 augenscheinlich zu entschlacken war der einfache Teil und die Pseudo-Erfüllung eines Entbürokratisierungsversprechens. Die Vorschriften zu entschlacken, die weiterhin auf seine Kategorien angewiesen sind, wäre der interessantere Teil gewesen.

Die jüngste MaRisk-Novelle reduziert Text. Aufwand reduziert sie nicht. Sie verlagert ihn: von der Textziffer in die Auslegung, und von der Aufsicht zu den Instituten.