DORA IKT Drittrisiko: Ein Leitfaden zur Gremienaufsicht

1. Beginnen Sie mit dem Service, den das Unternehmen unbedingt weiter bereitstellen muss

Ein Beschaffungsbericht beginnt üblicherweise mit Anbietern, jährlichen Ausgaben und Verlängerungsdaten. Eine nützliche DORA-Vorstandsdiskussion beginnt mit dem Kundenresultat: Auszahlung eines Anspruchs, Ausführung einer Zahlung, Verwaltung eines Investmentkontos oder Kundenzugang zu einem Konto. Arbeiten Sie dann rückwärts durch die Systeme, externen Dienste und Personen, die zur Erreichung des Ergebnisses notwendig sind.

Dadurch ändert sich die Fragestellung von „Haben wir unseren Cloud-Anbieter bewertet?“ zu „Was geschieht mit diesem Service, wenn die Identity Platform, die Hosting-Region oder der Support-Anbieter nicht verfügbar ist?“ Die zweite Frage offenbart Abhängigkeiten, die ein Lieferantenbewertungsbogen übersehen kann. Ein günstiger Authentifizierungsdienst kann mehr Aktivitäten stoppen als ein großer Softwarevertrag.

Rechtlicher Ausgangspunkt ist, dass die Nutzung von IKT-Services die Verpflichtungen des Finanzinstituts nicht auf den Lieferanten überträgt. DORA ordnet IKT-Drittrisiken in den Risikorahmen der Organisation ein. Siehe Artikel 28 der Verordnung (EU) 2022/2554. Die Auslegung und Arbeitsmethodik in diesem Leitfaden sind praktische Vorschläge; sie stellen keine vollständige Darstellung aller auf jede Art von Unternehmen anwendbaren Anforderungen dar.

Bitten Sie bei einem Vorstandsbericht den unterstützenden leitenden Angestellten, den betroffenen Geschäftsbereich, den verantwortlichen internen Eigentümer, die tolerierbare Störung, das aktuelle Risiko und die zu treffende Entscheidung zu benennen. Technische Details bleiben in den Hintergrundmaterialien. Direktoren benötigen ausreichend Informationen, um Annahmen infrage zu stellen, aber sie sollen nicht selbst das Incident-Team darstellen oder jeden Vertragsabschnitt im Detail verhandeln.

2. Verwechseln Sie eine kritische Funktion nicht mit einem benannten kritischen Anbieter.

Zwei Bewertungen beantworten unterschiedliche Fragen. Ihr Unternehmen bestimmt, welche Funktionen im DORA-Rahmen kritisch oder wichtig sind. Die Europäischen Aufsichtsbehörden benennen für den Unions-Aufsichtsrahmen kritische IKT-Drittanbieter. Die ESMA erklärt, dass diese Aufsicht die eigene Verantwortung der Finanzunternehmen ergänzt, aber nicht ersetzt. Siehe ESMA’s Erläuterung zur DORA-Aufsicht.

Unterscheiden Sie dies für einen kleinen Spezialanbieter. Möglicherweise stellt er den einzigen Zugang zu einem wichtigen Finanzdienst bereit, ohne auf einer Designated-Provider-Liste zu erscheinen. Umgekehrt hebt eine kleine Leistung eines großen Anbieters die tatsächliche Nutzungsprüfung nicht auf. Speichern Sie beide Klassifikationen getrennt, um zu verhindern, dass ein „kritisch: ja/nein“-Feld alle Folgeentscheidungen dominiert.

3. Machen Sie das Register vollständig, nachvollziehbar und verständlich

Das Verzeichnis ist nicht auf Verträge zu kritischen oder wichtigen Funktionen beschränkt. Artikel 28(3) umfasst alle Vertragsbeziehungen für von IKT-Drittparteien erbrachte IKT-Dienste und unterscheidet die Vereinbarungen, die diese Funktionen unterstützen. Durchführungsverordnung (EU) 2024/2956 stellt die Standardvorlagen bereit, einschließlich zusätzlicher Bewertungen und Lieferketteninformationen, die für kritische oder wichtige Funktionen relevant sind.

Eine praxisnahe Vollständigkeitsprüfung beginnt mit dem Abgleich des Registers mit Einkaufsunterlagen, wiederkehrenden Zahlungen, der Anwendungsinventur und dem Wissen der Serviceverantwortlichen. Abweichungen sind Prüfgegenstände, nicht automatisch Hinweis auf einen Vorfall: Eine Rechnung kann einen Nicht-IT-Service betreffen, oder mehrere Rechnungen können zu einer Vereinbarung gehören. Dokumentieren Sie das Ergebnis anstatt die Abweichung wortlos auszublenden.

Bitten Sie eine Person außerhalb des Registerwartungsteams, eine Abhängigkeit von Anfang bis Ende nachzuvollziehen. Kann diese Person das Vertragsunternehmen, den tatsächlichen Dienstnutzer, Anbieter, unterstützte Funktion, verantwortlichen Owner und aktuellen Vertrag identifizieren? Ist eine externe Vereinbarung von der entsprechenden gruppeninternen Lösung unterscheidbar? Wenn dies nicht klar ist, ist ein technisch richtig exportiertes File kein Lösungsnachweis fürs Management.

• Weisen Sie offenen Fragen zur Klassifikation und Eigentümerschaft einen namentlich benannten Verantwortlichen zu.
• Dokumentieren Sie Datum und Grund einer Änderung, insbesondere nach Übernahmen oder Dienstemigrationen.
• Gleichen Sie Änderungen ab, wenn ein neuer Service freigegeben wird, nicht nur vor Ablauf einer Einreichungsfrist.
• Führen Sie den Führungskräften Abdeckungs- und Alterslücken vor statt nur die Gesamtzahl der Lieferanten.

Der Vorstand muss nicht jede Tabellenzeile genehmigen. Er braucht das Vertrauen, dass die Vollständigkeit ein Verantwortlicher sicherstellt, Unsicherheiten erkennbar sind und wichtige Abhängigkeiten angemessen berücksichtigt werden.

4. Machen Sie Regelungen Dritter zu Entscheidungskriterien

Eine Richtlinie wird nützlich, wenn sie eine Entscheidung beeinflusst, bevor die Organisation davon abhängig wird. Für Einheiten, die den entsprechenden Richtlinienanforderungen unterliegen, Delegierte Verordnung (EU) 2024/1773 behandelt den Lebenszyklus von Regelungen zur Unterstützung kritischer oder wichtiger Funktionen. Sie verpflichtet zur jährlichen Überprüfung der Richtlinie durch das Leitungsorgan und gegebenenfalls zur Aktualisierung. Anwendbarkeit und Verhältnismäßigkeit sind gegen die regulatorische Einordnung des Unternehmens zu prüfen.

Die folgenden Meilensteine sind ein empfohlenes Betriebsmodell. Vor der Auswahl beschreibt der Geschäftsverantwortliche den Service und die Folgen eines Ausfalls. Vor der Unterschrift identifizieren Risiko-, Sicherheits-, Rechts- und Beschaffungsabteilung gemeinsam offene Themen. Vor der Inbetriebnahme weist der Betrieb Monitoring, Support und Wiederherstellung nach. Bei Verlängerung oder wesentlicher Veränderung prüft der Service-Eigner, ob die ursprünglichen Annahmen noch gelten.

Trennen Sie an jeder Entscheidungsschranke drei Aussagen: Nachweis erbracht, Urteil gefällt und Ausnahme akzeptiert. Ein Sicherheitsaudit-Bericht eines Anbieters ist ein Nachweis. Eine Schlussfolgerung, dass er Ihren Serviceeinsatz ausreichend abdeckt, ist ein Urteil. Das Fortfahren trotz ungelöster Lücke ist eine Ausnahme, die eine autorisierte Entscheidung, Bedingungen und ein Ablaufdatum erfordert.

Lassen Sie nicht jedes Problem zu „vom Unternehmen akzeptiert“ werden. Identifizieren Sie, wer auf Grundlage der Unternehmensrichtlinien befugt ist, welches Risiko zu akzeptieren. Eskalieren Sie Abhängigkeiten, deren Konsequenzen diese Befugnisse überschreiten. Der wertvollste Beitrag des Vorstands kann darin liegen, eine fehlende Wiederherstellungsfähigkeit zu finanzieren oder einen übereilten Start abzulehnen, sofern die Resilienzannahmen noch ungetestet sind.

5. Analysieren Sie Risiken über die Anbieterkonzentration hinaus

Konzentration betrifft sowohl korrelierte Ausfälle als auch kommerzielle Abhängigkeit. Zwei Verträge mit unterschiedlichen Firmennamen können dennoch auf derselben Hosting-Plattform, beim gleichen Konnektivitätsanbieter, Identitätsdienst oder einem spezialisierten Subunternehmer basieren. Zwei Cloud-Regionen können dennoch dasselbe Administrationssystem nutzen. Das sind Architekturfragen, die ein Ausgaben-Diagramm nicht beantwortet.

DORA Artikel 29 behandelt die Bewertung von ICT-Konzentrationsrisiken. Für eine praxisnahe Vorstandsbesprechung sollte das Management eine kleine Zahl plausibler Abhängigkeitsausfälle präsentieren und aufzeigen, welche Geschäftsprozesse zusammen betroffen wären. Legen Sie die Annahmen offen: Verfügbarkeit von Personal, Zugang zu Schlüsseln, Konnektivität, Datenkonsistenz und Kapazitäten an der geplanten Alternative.

Mehrere Lieferanten steigern auch Komplexität, Kosten und das Abstimmungsrisiko. Ziel ist nicht ein generelles Verbot von Konzentration oder überall doppelte Infrastruktur, sondern eine informierte Wahl zu einer konkreten Exponierung – gestützt auf glaubwürdige Alternativen und eine eindeutige Verantwortlichkeit. Dokumentieren Sie, warum die gewählte Maßnahme angemessen ist und welches Ereignis eine Neubewertung auslösen würde.

6. Vertragsnachweise mit tatsächlich genutztem Dienst abgleichen

Eine Kennzeichnung mit der Aufschrift „DORA-Zusatz unterzeichnet“ ist für eine wirksame Aufsicht zu grob. Artikel 30 legt vertragliche Anforderungen fest, mit zusätzlichen Bestimmungen für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen. Juristische Berater sollten die anwendbaren Anforderungen auf die tatsächliche Vereinbarung übertragen. Der Vergleich unten dient als praktisches Prüftool und ersetzt keine Vertragsklauseln.

Lesen Sie Prüfberichte, indem Sie deren Grenzen berücksichtigen. Für welchen Zeitraum gelten sie? Welche Servicekonfiguration wurde bewertet? Werden Kundenverantwortungen vorausgesetzt? Schließt der Bericht eine Komponente aus, auf die Ihr Wiederherstellungsplan angewiesen ist? Ein aktuelles Zertifikat kann nützlich sein und dennoch eine konkrete operative Frage offenlassen.

Führen Sie ein prägnantes Gap-Logbuch, das jedes Problem mit einer geschäftlichen Folge, Kompensationsmaßnahme, zuständiger Person und Fälligkeitstermin verknüpft. Legen Sie dem Vorstand nicht gelöste Risiken und Entscheidungen außerhalb delegierter Zuständigkeit vor. Vermeiden Sie es, eine gravierende Lücke unter einem hohen Prozentsatz als erledigt markierter Klauseln zu verstecken: Eine fehlende Fähigkeit kann wichtiger sein als zahlreiche abgeschlossene Punkte mit geringer Auswirkung.

7. Überprüfen Sie die Umsetzbarkeit des Ausstiegsplans

Das vertragliche Recht zu gehen und die operationelle Fähigkeit dazu sind unterschiedliche Werte. DORAs Ausstiegsregelungen für Dienste, die kritische oder wichtige Funktionen unterstützen, finden sich in Artikel 28(8). In der Praxis sollte ein Vorstand die zugrunde liegenden Annahmen des Plans hinterfragen: Ziel, Daten, Personen, Zeit, Geld und fortgesetzte Dienstleistung.

Trennen Sie eine geplante Migration von einer Notfallunterbrechung. Ein sechsmonatiges Migrationsprogramm kann wirtschaftlich sinnvoll, als Sofortreaktion auf einen Dienstausfall aber unbrauchbar sein. Der Wiederherstellungsplan hält den Service am Laufen, während der Exit-Plan die langfristige Abhängigkeit adressiert. Bitten Sie das Management, die Beziehung zwischen beiden zu erläutern, anstatt eines der Dokumente als Universallösung zu präsentieren.

1. Wählen Sie einen repräsentativen Dienst und bestimmen Sie den Ausstiegsauslöser.
2. Exportieren Sie eine kontrollierte Stichprobe der benötigten Daten mit angemessenem Schutz.
3. Stellen Sie sicher, dass das Ziel die Daten lesen und abstimmen kann und nicht nur eine Datei speichert.
4. Überprüfen Sie Zugriffsrechte, Lizenzen, Fachkenntnisse und vertraglich vereinbarte Übergangsunterstützung.
5. Messen Sie Zeitaufwand und identifizieren Sie manuelle Arbeit, fehlende Abhängigkeiten und ungetestete Annahmen.
6. Update the cost, sequence, accountable owner and next test date.

Dies ist eine empfohlene Testreihenfolge, kein Zwang zu unkontrollierten Produktivmigrationen. Wählen Sie sichere, zum Service passende Tests und dokumentieren Sie deren Grenzen. Wurde nur eine kleine Stichprobe getestet, machen Sie dies transparent. Ist eine Alternative nicht bereit, berichten Sie diese Einschränkung offen und zeigen Sie die Übergangsrisiko-Entscheidung. Ein grüner Status sollte niemals bedeuten, dass nur ein Dokument existiert.

8. Kurzes Vorstands-Paket mit Entscheidungen bereitstellen

Ein nützliches Oversight-Paket kann um fünf Fragen aufgebaut werden: Was hat sich geändert, was könnte zusammen ausfallen, welche Sicherheiten haben sich verschlechtert, welche Optionen bleiben, und welche Entscheidung ist zu treffen? Dies ist ein vorgeschlagener Berichtsaufbau. Die Häufigkeit sollte sich nach den Risiken und der Governance der Organisation richten und nicht an einem erfundenen universellen DORA-Quartalsrhythmus.

Nehmen Sie die wenigen wichtigsten Abhängigkeiten mit maximalen Geschäftsauswirkungen, aktuelle Änderungen daran, überfällige wesentliche Maßnahmen und die nächste relevante Vertrags- oder Migrationsentscheidung auf. Erklären Sie Trends: Ein steigender Lieferantenbestand kann auf eine bessere Inventur, nicht zwangsläufig auf größere Gefährdung hinweisen. Weniger offene Maßnahmen können echte Behebung oder veränderte Zählweise bedeuten.

• Verknüpfen Sie jedes wesentliche Risiko mit einem unterstützten Geschäftsservice und einem verantwortlichen Executive.
• Unterscheiden Sie geprüfte Wiederherstellungsfähigkeiten von Zielwerten oder Versprechen eines Lieferanten.
• Vertragsausnahmen, ungeklärte Zusicherungslücken und deren Alter anzeigen.
• Ermitteln Sie Konzentrationsänderungen und Annahmen, für die neue Nachweise erforderlich sind.
• Nennen Sie die erbetene Entscheidung, berücksichtigte Alternativen und die Auswirkung eines Aufschubs.

Nutzen Sie die Leitfaden für Gremien-Dashboard-Berichte um diese Maßnahmen mit einer übergeordneten Überwachung von ICT-Risiken zu verknüpfen. Für eine praktische Übung nehmen Sie eine Abhängigkeit mit gravierenden Auswirkungen in die Vorstands-Tabletop zur Incident Response. Der Vorstand sollte dieselben Dienstnamen, Risikoverantwortlichen und Wiederherstellungsannahmen in allen drei Diskussionsrunden wiedererkennen.

9. Bereiten Sie die nächste Diskussion rund um eine reale Abhängigkeit vor

Beginnen Sie nicht damit, jedes Team zu bitten, jeden Bericht neu zu gestalten. Wählen Sie einen wichtigen Dienst und fordern Sie eine nachvollziehbare Nachweiskette: Funktionsbewertung, Registereintrag, Vertrag, Prüfbericht, Wiederherstellungstest und Ausstiegsplan. Lassen Sie verschiedene Verantwortliche den Prozess gemeinsam durchgehen. Konfliktierende Kennungen, überholte Annahmen und nicht zugeordnete Maßnahmen werden so schnell sichtbar.

Machen Sie aus den Feststellungen einen kurzen Verbesserungsplan. Klären Sie zunächst Verantwortlichkeiten und Inventarlücken. Gehen Sie dann zeitkritische Entscheidungen an, z.B. wegen Verlängerung, Migration oder exponierter Systeme. Verbessern Sie abschließend den laufenden Kontrollprozess, damit identifizierte Lücken nicht erneut auftreten. Geben Sie jeder Maßnahme einen überprüfbaren Nachweis als Ergebnis – keine bloße Anweisung, die Governance zu "verbessern".

Auch Direktoren benötigen ein gemeinsames Verständnis ihrer Rolle. Die Leitfaden zu den DORA-Schulungsanforderungen für Vorstände erklärt, wie Lernen mit Governance-Verantwortlichkeiten verbunden wird. BlueTeam Academy’s DORA Board & Executive Training bietet ein entscheidungsorientiertes Programm für Führungsteams von Finanzunternehmen im Anwendungsbereich von DORA. Das Programm ist keine Compliance-Bewertung der Organisation. Kombinieren Sie das Lernen mit eigenen dienstspezifischen Nachweisen, Entscheidungen und Folgemaßnahmen.