Contents
Verfahren für das Kapazitäts- und Leistungsmanagement (inkl. Überwachung) (Art. 9 RTS RMF i.V.m. Art. 9 Abs. 2 DORA)
Ein robuster IKT-Betrieb erfordert nicht nur Sicherheit, sondern auch Skalierbarkeit und Leistungsfähigkeit. Die DORA-Verordnung verpflichtet Finanzunternehmen deshalb, formalisierte Verfahren für das Kapazitäts- und Leistungsmanagement zu etablieren. Ziel ist es, Engpässe frühzeitig zu erkennen, Ressourcen effizient zu nutzen und die Verfügbarkeit kritischer Systeme sicherzustellen.
Art. 9 RTS RMF konkretisiert diese Pflichten und ergänzt Art. 9 Abs. 2 DORA um technische Vorgaben.
Inhaltliche Anforderungen laut Art. 9 RTS RMF
1. Ermittlung von Kapazitätsanforderungen
- Identifikation der nötigen Rechen-, Speicher- und Netzwerkressourcen
- Betrachtung aktueller Nutzung und zukünftiger Bedarfe
- Planung unter Berücksichtigung von Spitzenlasten, Migrationen und Wachstumszielen
2. Ressourcenoptimierung
- Einsatz geeigneter Technologien zur Effizienzsteigerung (z. B. Virtualisierung, Load Balancing, Cloud-Autoscaling)
- Anpassung der Ressourcenverteilung an Nutzungsverhalten
- Technisch fundierte Nutzung von On-Premise-, Cloud- und hybriden Modellen
3. Überwachungsverfahren
- Laufende Messung und Analyse von:
• Systemverfügbarkeit
• Antwortzeiten
• Ressourcennutzung - Frühwarnmechanismen zur Vermeidung von Kapazitätsengpässen
- Performance-Dashboards mit Eskalationsroutinen bei Abweichungen
4. Sonderregelungen für kritische IKT-Systeme
- Besondere Vorkehrungen bei IKT-Systemen mit langen Beschaffungs-, Genehmigungs- oder Implementierungsphasen
- Berücksichtigung ressourcenintensiver IKT-Prozesse (z. B. Big Data, Künstliche Intelligenz, Echtzeitanalyse)
Verbindung zu Art. 9 Abs. 2 DORA
Das Kapazitäts- und Leistungsmanagement dient der Umsetzung der DORA-Ziele: Resilienz, Kontinuität und Verfügbarkeit der IKT-Systeme. Es trägt unmittelbar zur Sicherstellung von:
- Verfügbarkeit kritischer Funktionen
- Integrität der Verarbeitung
- Vermeidung von Ausfällen aufgrund technischer Überlastung
Prüfungserwartung
Aufsichtsbehörden erwarten:
- Schriftlich dokumentierte Verfahren mit klaren Rollen und KPIs
- Monitoring-Protokolle und Eskalationsverfahren
- Planungsszenarien bei steigender Nutzung oder Systemerweiterung
- Technische Nachweise zur Ressourcennutzung und -optimierung