Titel VI – Maßnahmen für die Fortführung des Geschäftsbetriebs

Unbeschadet der geltenden Anforderungen im Rahmen von DORA sollten die Emittenten von ART im Rahmen der Umsetzung ihrer gemäß Artikel 34 Absatz 9 der Verordnung (EU) 2023/1114 festgelegten Strategien und Pläne zur Fortführung des Geschäftsbetriebs ein solides betriebliches Geschäftsfortführungsmanagement sowie Reaktions- und Wiederherstellungspläne erstellen, um sicherzustellen, dass sie in der Lage sind, kontinuierlich zu arbeiten, Vorfälle zu bewältigen, die die Durchführung kritischer Geschäftsabläufe im Einklang mit dem Risikoappetit und der Risikotoleranz des Emittenten von ART stören könnten, und um Verluste und Störungen bei der Erbringung von Dienstleistungen im Falle einer schwerwiegenden Betriebsunterbrechung zu begrenzen. Emittenten von ART können unter Berücksichtigung des in Titel I aufgeführten Grundsatzes der Verhältnismäßigkeit eine spezielle unabhängige Funktion für die Fortführung des Geschäftsbetriebs einrichten.

Die Geschäftstätigkeit eines Emittenten von ART hängt von verschiedenen entscheidenden Ressourcen (z. B. IT-Systeme, einschließlich Cloud-Diensten, Kommunikationssysteme, Stammpersonal und Gebäude) ab. Maßnahmen für die Fortführung des Geschäftsbetriebs zielen darauf ab, die operativen, finanziellen, rechtlichen, Reputations- und sonstigen wesentlichen Folgen eines Unglücks oder eines längeren Ausfalls dieser Ressourcen und der sich daraus ergebenden Unterbrechung der üblichen Geschäftsabläufe des Emittenten von ART zu mindern. Weitere Risikomanagementmaßnahmen könnten darauf abzielen, die Wahrscheinlichkeit solcher Zwischenfälle zu verringern oder deren finanzielle Auswirkungen auf Dritte zu übertragen (z. B. im Rahmen einer Versicherung).

Bei der Einrichtung solider Maßnahmen für die Fortführung des Geschäftsbetriebs sollte ein Emittent von ART eine sorgfältige Analyse der Risikofaktoren vornehmen und prüfen, inwieweit sie durch schwerwiegende Betriebsstörungen gefährdet ist, und deren potenzielle Auswirkungen (quantitativ und qualitativ) anhand von internen und/oder externen Daten und einer Szenario-Analyse bewerten. Diese Analyse sollte die Fähigkeit des Emittenten von ART testen, kritische Geschäftsabläufe auch bei einer Störung aufrechtzuerhalten, und sollte sich auf alle Geschäfts- und internen Bereiche, einschließlich der Risikomanagementfunktion oder Risikomanagementverfahren, erstrecken und deren Verflechtungen berücksichtigen. Die Ergebnisse der Analyse sollten einen Beitrag zur Definition der Prioritäten und Ziele bei der Wiederherstellung der Geschäftsabläufe des Emittenten von ART leisten.

Auf der Grundlage der vorstehend genannten Analyse sollte ein Emittent von ART Folgendes einrichten:

• a. Notfallpläne sowie Pläne zur Fortführung des Geschäftsbetriebs, damit ein Emittent von ART angemessen auf Notsituationen reagieren kann und in der Lage ist, seine wichtigsten Geschäftsabläufe und Datenspeicherung im Fall einer Störung seiner üblichen Geschäftsabläufe aufrechtzuerhalten;
• b. Wiederherstellungspläne für kritische Ressourcen und kritische oder wichtige Funktionen, um sich von Störungen zu erholen und den Emittenten von ART in die Lage zu versetzen, innerhalb eines angemessenen Zeitrahmens zu normalen Geschäftsverfahren zurückzukehren. Restrisiken aufgrund potenzieller Geschäftsunterbrechungen sollten mit dem Risikoappetit des Emittenten von ART vereinbar sein;
• c. für andere Tätigkeiten oder in Fällen, in denen die Fortführung kritischer wesentlicher Funktionen nicht gewährleistet werden kann, sollten Emittenten von ART über Verfahren für die zeitnahe Wiederherstellung von Daten und Funktionen und die rechtzeitige Wiederaufnahme ihrer Tätigkeiten verfügen.

Notfallpläne, Pläne zur Fortführung des Geschäftsbetriebs sowie Wiederherstellungspläne sind zu dokumentieren und sorgfältig umzusetzen. Die Dokumentation sollte innerhalb der Geschäftsbereiche, internen Einheiten und der Risikomanagementfunktion für die für Risikomanagementverfahren zuständigen Mitarbeiter zugänglich und auf Systemen gespeichert sein, die physisch getrennt und im Fall einer Notsituation problemlos zugänglich sind. Dazu sollten geeignete Weiterbildungsmaßnahmen angeboten werden. Die Pläne sollten regelmäßig getestet und aktualisiert werden. Probleme oder Störungen, die sich bei den Tests ergeben, sind zu dokumentieren und zu analysieren und die Pläne entsprechend zu überarbeiten.