Glossarbegriff
Critical ICT Third-Party Provider (CTPP)
Auch: Kritischer ICT-Drittanbieter, DORA CTPP, Lead Overseer-pflichtiger Anbieter
ICT-Drittanbieter, der von der EU-Kommission nach DORA Art. 31 als kritisch eingestuft wird und unter direkte Aufsicht der drei europäischen Finanzaufsichts-Behörden (EBA, EIOPA, ESMA) fällt. Erste CTPP-Designations erwartet 2025/2026.
Kriterien für die CTPP-Einstufung nach DORA Art. 31 und Delegiertem Rechtsakt (EU) 2024/1502: systemische Bedeutung im EU-Finanzsektor, Anzahl bedienter Finanzunternehmen, Substituierbarkeit, kritische Funktionen, Interkonnektivität. AWS, Microsoft Azure, Google Cloud, Oracle, IBM, SAP, Salesforce gelten als wahrscheinliche Kandidaten.
Folge der CTPP-Einstufung: direkte Aufsicht durch einen Lead Overseer (eine der drei ESAs), Recht zur Vor-Ort-Prüfung, Sanktions-Befugnis, Anordnung von Risikominderungs-Maßnahmen. CTPPs zahlen Aufsichts-Gebühren. Bußgelder bis 1 Prozent des durchschnittlichen Tages-Welt-Umsatzes pro Tag der Verstoss-Fortsetzung.
In der Praxis
Folge für Finanzunternehmen als Kunden: Verträge mit CTPPs unterliegen verschärften Anforderungen. Die Informations-Anforderungen wachsen, weil der Lead Overseer auch beim Finanzunternehmen prüfen kann. CTPP-Beziehungen sind im Informationsregister gesondert zu kennzeichnen.
Verwandte Begriffe
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
Lead Overseer (DORA)
Eine der drei europäischen Finanzaufsichts-Behörden (EBA, EIOPA, ESMA), die nach DORA Art. 32 für die direkte Aufsicht eines als kritisch eingestuften ICT-Drittanbieters zuständig ist. Wird vom Joint Committee der ESAs zugewiesen.
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
ICT-Konzentrationsrisiko
Risiko aus der Abhängigkeit von wenigen oder einzelnen ICT-Drittanbietern. DORA Art. 29 verlangt von Finanzunternehmen eine explizite Analyse und Steuerung. Die Aufsicht prüft besonders bei Cloud-Hyperscalern und Kernbankensystem-Anbietern.
CASB
Sicherheits-Layer zwischen Nutzern und SaaS, der Sichtbarkeit (Shadow-IT-Discovery), Datenschutz (DLP), Compliance und Threat-Protection über SaaS-Apps hinweg liefert. Vier Funktionen nach Gartner: Visibility, Compliance, Data Security, Threat Protection.
CNAPP
Plattform-Kategorie nach Gartner, die CSPM, CWPP, CIEM, KSPM, DSPM und IaC-Scanning in einem Tool zusammenführt. Antwort auf Tool-Fragmentierung in Cloud-Security-Stacks.
Confidence Score
Eine quantifizierte Einschätzung, wie belastbar die Aussage eines Entscheidungs-Memos ist, getrennt vom Readiness Score. Niedriger Confidence Score bedeutet: das Memo ist zwar formell vollständig, aber Evidenz oder Stakeholder-Eingabe sind dünn.
Confidential Computing
Hardware-basierte Isolation, die Daten während der Verarbeitung verschlüsselt hält (data-in-use). Ergänzt Verschlüsselung at-rest und in-transit. Technologien: Intel SGX, Intel TDX, AMD SEV-SNP, ARM CCA, Nvidia H100 Confidential Computing.