Glossarbegriff
Lead Overseer (DORA)
Auch: Federführender Aufseher DORA, DORA Art. 32
Eine der drei europäischen Finanzaufsichts-Behörden (EBA, EIOPA, ESMA), die nach DORA Art. 32 für die direkte Aufsicht eines als kritisch eingestuften ICT-Drittanbieters zuständig ist. Wird vom Joint Committee der ESAs zugewiesen.
Der Lead Overseer übernimmt die kontinuierliche Aufsicht eines CTPP: jährlicher Aufsichts-Plan, Anforderung von Informationen, Vor-Ort-Inspektionen, Einsicht in technische Unterlagen, Befragung von Personal, Empfehlungen zur Risikominderung. Empfehlungen sind nicht direkt bindend, werden aber von den nationalen Aufsichten gegenüber Finanzunternehmen durchgesetzt.
Joint Examination Teams (JET) führen die operative Prüfung durch: Personal aus mehreren nationalen Aufsichten, koordiniert vom Lead Overseer. Sprachregelung: Englisch als Arbeitssprache der ESAs, nationale Sprachen für Vor-Ort-Audits.
In der Praxis
Praxis-Relevanz: Finanzunternehmen müssen damit rechnen, dass Lead-Overseer-Empfehlungen indirekt durch BaFin, BAFin-Pendants oder EZB-SSM weitergegeben werden. Ein als kritisch eingestufter Anbieter ohne kooperative Lead-Overseer-Beziehung wird für regulierte Kunden faktisch unbrauchbar.
Verwandte Begriffe
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
Critical ICT Third-Party Provider (CTPP)
ICT-Drittanbieter, der von der EU-Kommission nach DORA Art. 31 als kritisch eingestuft wird und unter direkte Aufsicht der drei europäischen Finanzaufsichts-Behörden (EBA, EIOPA, ESMA) fällt. Erste CTPP-Designations erwartet 2025/2026.
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
Lex Specialis
Rechtsgrundsatz, dass speziellere Regeln allgemeineren Regeln vorgehen. Im EU-Compliance-Kontext bedeutet das praktisch: DORA geht NIS2 vor für Finanzunternehmen, AI Act geht DSGVO vor für KI-spezifische Pflichten.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.