Vor 6 Jahren brachten BaFin und Bundesbank ihre Orientierungshilfe zu Auslagerungen an Cloud-Anbieter heraus. Und man hatte an mancher Stelle den Eindruck, dass die Aufsichtsbehörde selbst noch nach Orientierung bei diesem komplexen Thema suchte. Und auch auf europäischer Ebene hatte sich lediglich die EBA dazu durchringen können, ihre Erfahrungen in Leitlinien zu verschriftlichen.
Nun ist 2024, aus der Orientierungshilfe ist eine Aufsichtsmitteilung zu Auslagerungen an Cloud-Anbieter geworden – und die Behörden zeigen, dass sie diese 6 Jahre ausgiebig dazu genutzt haben, Erfahrungen zu sammeln. In Gesprächen mit den beaufsichtigten Unternehmen, mit Cloud-Nutzern und mit den Cloud-Service-Providern selbst. Und sie kommen sogar zu der erfreulichen Aussage "Doch, die BaFin erlaubt das!".
Aus den damals 13 sind jetzt stattliche 31 Seiten geworden, zwei Kapitel wurden komplett neu geschaffen, um das Wissen und die Information aufnehmen zu können. Und dabei wurde auch nicht übersehen, dass von europäischer Seite die Umsetzung von DORA bereits vor der Türe steht.
Die Erstellung der Aufsichtsmitteilung war jedoch von Diskussionen geprägt – denn nicht immer stimmten die Banken, Versicherungen und sonstigen Finanzunternehmen mit der Sichtweise der Aufsicht überein. Und doch setzte sich die Aufsicht in den meisten Fällen durch. Einen großen Erfolg konnten die beaufsichtigten Unternehmen jedoch erringen – und der ist bereits in der ersten Fußnote der Aufsichtsmitteilung ersichtlich: Das offizielle Papier verweist nämlich hier auf die Protokolle des (Sonder)-Fach-gremiums Informationstechnologie. Diese stellen den Diskussionsstand auch aus Sicht der beaufsichtigten Unternehmen dar – und können und sollten auch im Falle einer Prüfung als gute Argumentationshilfe zur Diskussion mit der Aufsicht herangezogen werden.
... (weiterlesen im Whitepaper)