Finanssiyhteisöjen tieto- ja viestintäteknologisten palveluiden ulkoistamista koskevat velvoitteet DORA-asetuksessa

Abstract

Tässä tutkielmassa tarkastellaan Euroopan unionin DORA-asetuksen asettamia velvoitteita finanssiyhteisöille erityisesti tieto- ja viestintäteknologisten palveluiden ulkoistamistilanteissa. Tutkimuksen kohteena on ulkoistamista koskeva sääntelykokonaisuus sekä sen taustalla vaikuttava rahoitussektorin toimintaympäristön muutos. Tutkimuksen tarkoituksena on analysoida velvoitteiden sisältöä, jäsentää niiden muodostamaa kokonaisuutta sekä arvioida niiden käytännön vaikutuksia finanssialalla.

Tutkielma perustuu lainopilliseen tutkimusmenetelmään, jossa keskeisenä tavoitteena on voimassa olevan oikeuden tulkinta ja systematisointi. DORA-asetuksen säännöksiä tarkastellaan sanamuodonmukaisen ja systemaattisen tulkinnan keinoin osana EU:n kyberturvallisuutta ja digitaalista häiriönsietokykyä koskevaa sääntelykehystä. Lisäksi tulkinnan tukena hyödynnetään säädöksen valmisteluaineistoa.

Tutkielmassa esitetään, että DORA-asetus yhtenäistää tieto- ja viestintäteknologisten palveluiden ulkoistamista koskevaa sääntelyä ja asettaa finanssiyhteisöille aiempaa yksityiskohtaisempia velvoitteita ulkoistamistilanteissa. Samalla sääntely jättää osin tulkinnanvaraa vaatimusten täsmällisen sisällön osalta. Tutkielmani perusteella sääntely lisää finanssiyhteisöjen hallinnollista taakkaa ja kustannuksia erityisesti lyhyellä aikavälillä, mutta pitkällä aikavälillä sen voidaan arvioida vahvistavan rahoitussektorin toimintavarmuutta ja digitaalista häiriönsietokykyä. Asetuksen käytännön vaikutukset riippuvat kuitenkin keskeisesti siitä, miten yhdenmukaisesti sen velvoitteita sovelletaan ja tulkitaan käytännössä.