Die Kurzantwort
Die Überwachung von Drittparteienrisiken nach DORA beginnt damit, zu wissen, welche IKT-Dienste das Finanzunternehmen unterstützen und wie sich deren Ausfall auf seinen Betrieb auswirken würde. Ein Leitungsorgan sollte ein vollständiges Register, eine belastbare Bewertung kritischer oder wichtiger Funktionen, klar ausgewiesene Vertragslücken, eine Konzentrationsanalyse und tragfähige Ausstiegsoptionen erwarten. Ein Anbieter, den die Europäischen Aufsichtsbehörden als kritisch eingestuft haben, ist begrifflich von einem Dienst zu unterscheiden, der eine Ihrer kritischen oder wichtigen Funktionen unterstützt. Weder durch Auslagerung noch durch die Überwachung von Anbietern wird die Verantwortung des Finanzunternehmens übertragen. Die folgenden praxisnahen Vorlagen helfen Mitgliedern des Leitungsorgans, aus dieser Verantwortung Entscheidungen und Folgemaßnahmen abzuleiten.
1. Beginnen Sie bei dem Dienst, den das Unternehmen weiter erbringen muss
Ein Beschaffungsbericht beginnt üblicherweise mit Anbietern, jährlichen Ausgaben und Verlängerungsterminen. Eine nützliche DORA-Diskussion im Leitungsorgan beginnt mit einem Ergebnis für den Kunden: einen Versicherungsanspruch auszahlen, eine Zahlung ausführen, einen Anlagennachweis führen oder einem Kunden Kontozugriff ermöglichen. Verfolgen Sie von dort aus zurück, welche Systeme, externen Dienste und Personen für dieses Ergebnis benötigt werden.
Dadurch ändert sich die Frage von „Haben wir unseren Cloud-Anbieter bewertet?“ zu „Was geschieht mit diesem Dienst, wenn die Plattform zur Identitätsverwaltung, die Hosting-Region oder der Supportanbieter nicht verfügbar ist?“ Die zweite Frage macht Abhängigkeiten sichtbar, die bei einer Lieferantenbewertung übersehen werden können. Der Ausfall eines kostengünstigen Authentifizierungsdienstes kann mehr Abläufe zum Stillstand bringen als der Ausfall von Leistungen aus einem großen Softwarevertrag.
Rechtlicher Ausgangspunkt ist, dass die Nutzung von IKT-Diensten die Verpflichtungen des Finanzunternehmens nicht auf den Lieferanten überträgt. DORA verankert das IKT-Drittparteienrisiko im Risikomanagementrahmen des Unternehmens. Siehe Artikel 28 der Verordnung (EU) 2022/2554. Die Auslegung und Arbeitsmethodik in diesem Leitfaden sind praktische Vorschläge; sie stellen keine vollständige Darstellung aller auf jede Art von Unternehmen anwendbaren Anforderungen dar.
Bitten Sie für eine Vorlage an das Leitungsorgan die verantwortliche Führungskraft, die betroffene Geschäftsdienstleistung, die intern verantwortliche Person, die tolerierbare Beeinträchtigung, die aktuelle Risikoexposition und die erforderliche Entscheidung zu benennen. Belassen Sie technische Details in den ergänzenden Unterlagen. Die Mitglieder des Leitungsorgans benötigen genügend Informationen, um Annahmen zu hinterfragen, ohne selbst zum Vorfallteam zu werden oder jede Vertragsklausel auszuhandeln.
2. Verwechseln Sie eine kritische Funktion nicht mit einem als kritisch eingestuften Anbieter
Zwei Bewertungen beantworten unterschiedliche Fragen. Ihr Unternehmen bestimmt, welche Funktionen im DORA-Rahmen kritisch oder wichtig sind. Die Europäischen Aufsichtsbehörden benennen für den Unions-Aufsichtsrahmen kritische IKT-Drittanbieter. Die ESMA erklärt, dass diese Aufsicht die eigene Verantwortung der Finanzunternehmen ergänzt, aber nicht ersetzt. Siehe die Erläuterung der ESMA zur DORA-Überwachung.
| Frage | Dienst, der eine kritische oder wichtige Funktion unterstützt | Als kritisch eingestufter IKT-Drittdienstleister |
|---|---|---|
| Was wird beurteilt? | Die Bedeutung einer Funktion für das Finanzunternehmen und die IKT-Dienstleistungen, die diese Funktion unterstützen. | Die Bedeutung des Anbieters im übergeordneten Aufsichtsrahmen für den Finanzsektor. |
| Welche Fragen sollte das Leitungsorgan stellen? | Warum ist diese Funktion so klassifiziert und welche Folgen hätte ein Ausfall? | Welche relevanten Überwachungsinformationen ändern unsere Bewertung dieser Abhängigkeit? |
| Was wird dadurch nicht belegt? | Dass der Lieferant von den Behörden als kritisch eingestuft wurde. | Dass jede vom Anbieter bezogene Dienstleistung eine kritische Funktion unterstützt oder dass der Kunde die geltenden Vorschriften einhält. |
Wenden Sie diese Unterscheidung auf einen kleinen Spezialanbieter an. Er kann Ihren einzigen Zugang zu einer wichtigen Finanzdienstleistung unterstützen, ohne auf einer Liste benannter Anbieter zu stehen. Umgekehrt entfällt die Prüfung der tatsächlichen Nutzung nicht dadurch, dass Sie eine geringfügige Dienstleistung von einem sehr großen benannten Anbieter beziehen. Halten Sie diese beiden Einstufungen getrennt fest, damit nicht ein irreführendes Feld „kritisch: ja/nein“ alle nachfolgenden Entscheidungen bestimmt.
3. Sorgen Sie für ein vollständiges, verknüpftes und verständliches Register
Das Register ist nicht auf Verträge beschränkt, die kritische oder wichtige Funktionen unterstützen. Artikel 28(3) erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, die von IKT-Drittdienstleistern erbracht werden. Dabei werden Vereinbarungen, die diese Funktionen unterstützen, gesondert ausgewiesen. Die Durchführungsverordnung (EU) 2024/2956 stellt die Standardvorlagen bereit, einschließlich zusätzlicher Informationen zur Bewertung und zur Lieferkette, die für kritische oder wichtige Funktionen relevant sind.
Eine praxisnahe Vollständigkeitsprüfung beginnt mit dem Abgleich des Registers mit Beschaffungsunterlagen, wiederkehrenden Zahlungen, dem Anwendungsverzeichnis und dem Wissen der Dienstverantwortlichen. Abweichungen müssen untersucht werden und belegen nicht automatisch einen Verstoß: Eine Rechnung kann eine Dienstleistung außerhalb der IKT betreffen, oder mehrere Rechnungen können zu einer Vereinbarung gehören. Dokumentieren Sie das Ergebnis, statt die Abweichung kommentarlos zu verwerfen.
Bitten Sie eine Person außerhalb des für die Registerpflege zuständigen Teams, eine Abhängigkeit von Anfang bis Ende nachzuvollziehen. Kann sie die vertragschließende Gesellschaft, den tatsächlichen Nutzer des Dienstes, den Anbieter, die unterstützte Funktion, die verantwortliche Person und den aktuellen Vertrag ermitteln? Kann sie eine externe Vereinbarung von der zugehörigen gruppeninternen Vereinbarung unterscheiden? Wenn sich die Verknüpfungen nicht erklären lassen, hat der Export einer technisch gültigen Datei das Steuerungsproblem nicht gelöst.
- Benennen Sie eine verantwortliche Person für offene Fragen zur Klassifizierung und zu Zuständigkeiten.
- Dokumentieren Sie Datum und Grund einer Änderung, insbesondere nach Übernahmen oder Dienstemigrationen.
- Gleichen Sie Änderungen ab, wenn ein neuer Service freigegeben wird, nicht nur vor Ablauf einer Einreichungsfrist.
- Zeigen Sie der Geschäftsleitung Lücken in der Abdeckung und wie lange diese bereits bestehen, statt nur die Gesamtzahl der Lieferanten zu nennen.
Der Vorstand muss nicht jede Tabellenzeile genehmigen. Er braucht das Vertrauen, dass die Vollständigkeit ein Verantwortlicher sicherstellt, Unsicherheiten erkennbar sind und wichtige Abhängigkeiten angemessen berücksichtigt werden.
4. Leiten Sie aus der Richtlinie zum Umgang mit Drittanbietern Entscheidungskriterien ab
Eine Richtlinie ist dann nützlich, wenn sie eine Entscheidung beeinflusst, bevor die Organisation abhängig wird. Für Unternehmen, die den einschlägigen Anforderungen an diese Richtlinie unterliegen, behandelt die Delegierte Verordnung (EU) 2024/1773 den Lebenszyklus von Vereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen. Das Leitungsorgan muss die Richtlinie mindestens jährlich überprüfen; bei Bedarf ist sie zu aktualisieren. Prüfen Sie Anwendbarkeit und Verhältnismäßigkeit anhand der aufsichtsrechtlichen Kategorie des Unternehmens.
Die folgenden Entscheidungskriterien bilden ein vorgeschlagenes Vorgehensmodell. Vor der Auswahl beschreibt die fachlich verantwortliche Person die Dienstleistung und die Folgen eines Ausfalls. Vor der Vertragsunterzeichnung ermitteln die Bereiche Risikomanagement, Sicherheit, Recht und Beschaffung gemeinsam offene Fragen. Vor der Inbetriebnahme weist der Betrieb nach, dass Vorkehrungen für Überwachung, Unterstützung und Wiederherstellung bestehen. Bei einer Verlängerung oder wesentlichen Änderung prüft die verantwortliche Person erneut, ob die ursprünglichen Annahmen noch gelten.
Unterscheiden Sie an jedem Entscheidungspunkt drei Dinge: eingeholte Nachweise, getroffene Beurteilung und akzeptierte Ausnahme. Der Prüfbericht eines Anbieters ist ein Nachweis. Die Schlussfolgerung, dass er Ihre Nutzung ausreichend abdeckt, ist eine Beurteilung. Trotz einer offenen Lücke fortzufahren, ist eine Ausnahme, die eine befugte Entscheidung, Bedingungen und ein Ablaufdatum braucht.
Lassen Sie nicht zu, dass jedes Problem pauschal als „vom Unternehmen akzeptiert“ gilt. Klären Sie, wer nach den Governance-Regelungen der Organisation befugt ist, welche Risiken zu akzeptieren. Eskalieren Sie Abhängigkeiten, deren Folgen über diese Befugnisse hinausgehen. Der wertvollste Beitrag des Leitungsorgans kann darin bestehen, eine fehlende Fähigkeit zur Wiederherstellung zu finanzieren oder einen übereilten Start abzulehnen, bei dem die Annahmen zur Resilienz noch nicht getestet wurden.
5. Hinterfragen Sie Konzentrationsrisiken über die Ausgabenübersicht nach Anbietern hinaus
Bei Konzentration geht es sowohl um miteinander zusammenhängende Ausfälle als auch um wirtschaftliche Abhängigkeit. Zwei Verträge mit unterschiedlichen Firmennamen können auf derselben zugrunde liegenden Hosting-Plattform, demselben Verbindungsanbieter, Identitätsdienst oder spezialisierten Unterauftragnehmer beruhen. Zwei Cloud-Regionen können weiterhin dieselbe Verwaltungsebene nutzen. Das sind Architekturfragen, die ein Kreisdiagramm zur Beschaffung nicht beantworten kann.
Artikel 29 von DORA behandelt die Bewertung von IKT-Konzentrationsrisiken. Bitten Sie das Management für eine praxisnahe Diskussion im Leitungsorgan, wenige plausible Ausfallszenarien entlang der Abhängigkeiten vorzustellen und zu zeigen, welche geschäftlichen Dienstleistungen gemeinsam ausfallen. Legen Sie die Annahmen offen: Verfügbarkeit von Personal, Zugang zu Schlüsseln, Konnektivität, Datenkonsistenz und Kapazität bei der vorgesehenen Alternative.
| Abhängigkeitsmuster | Kritische Nachfrage | Aussagekräftige Nachweise |
|---|---|---|
| Mehrere Anwendungen auf einer Plattform | Welche wesentlichen Dienste fallen gleichzeitig aus? | Eine Abhängigkeitskarte, verknüpft mit einem Störungsszenario. |
| Verschiedene Lieferanten mit demselben Subunternehmer | Ist unsere vermeintliche Diversifizierung tatsächlich gegeben? | Bestätigte Informationen zur Dienstleistungskette und eine Folgenabschätzung. |
| Alternative Plattform mit wenig freier Kapazität | Kann das System die erforderliche Arbeitslast während einer marktweiten Störung bewältigen? | Ein Kapazitätstest mit Messwerten und dokumentierten Einschränkungen. |
| Wiederherstellung abhängig vom selben Identitätsdienst | Können die für die Vorfallbewältigung zuständigen Personen auf die Wiederherstellungsumgebung zugreifen? | Ein kontrollierter Test von Notfallzugriff und Wiederherstellungsrechten. |
Mehrere Lieferanten können auch die Komplexität, die Betriebskosten und das Koordinationsrisiko erhöhen. Das praktische Ziel ist weder ein generelles Verbot von Konzentration noch die Forderung, überall doppelte Infrastruktur vorzuhalten. Es geht um eine fundierte Entscheidung zu einem konkreten Risiko, gestützt auf tragfähige Optionen und eine klar benannte verantwortliche Person. Dokumentieren Sie, warum die gewählte Risikominderung verhältnismäßig ist und welches Ereignis eine erneute Prüfung auslösen würde.
6. Gleichen Sie Vertragsnachweise mit dem tatsächlich genutzten Dienst ab
Die Angabe „DORA-Nachtrag unterzeichnet“ ist für eine wirksame Überwachung zu pauschal. Artikel 30 legt vertragliche Anforderungen fest, mit zusätzlichen Bestimmungen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Rechtsberater sollten prüfen, welche Anforderungen auf die konkrete Vereinbarung anwendbar sind. Der folgende Vergleich dient als praktische Prüfhilfe und ersetzt keine Vertragsformulierungen.
| Kritisch zu hinterfragender Bereich | Eine wenig belastbare Aussage zur Verlässlichkeit gegenüber dem Leitungsorgan | Eine zweckmäßigere Anforderung von Nachweisen |
|---|---|---|
| Serviceumfang | „Der Anbieter ist abgedeckt.“ | Ermitteln Sie genau, welche Dienstleistungen, juristischen Personen, Standorte und relevanten Bedingungen für die Unterauftragsvergabe die Vereinbarung abdeckt. |
| Unterstützung bei Vorfällen | „Support steht zur Verfügung.“ | Zeigen Sie, wie bei einem schwerwiegenden Vorfall Unterstützung angefordert und wie deren Kosten im Vertrag geregelt werden. |
| Leistung | „Das SLA ist Standard.“ | Erläutern Sie, ob anhand seiner Messgrößen und Eskalationswege ein Ausfall erkennbar wird, der unsere Geschäftsdienstleistung beeinträchtigt. |
| Prüfnachweise und Zugriff | „Der Lieferant ist zertifiziert.“ | Ermitteln Sie die geltenden Prüfungs- und Zugangsrechte, die erhaltenen Nachweise sowie wesentliche Einschränkungen hinsichtlich Umfang oder Zeitpunkt. |
| Kündigung und Übergang | „Wir können kündigen.“ | Zeigen Sie einen praktikablen Weg auf, um den Dienstbetrieb fortzuführen, den Datenzugriff zu erhalten und den Übergang kontrolliert zu gestalten. |
Beachten Sie beim Lesen von Prüfberichten deren Grenzen. Welchen Zeitraum decken sie ab? Welche Konfiguration des Dienstes wurde geprüft? Wird vorausgesetzt, dass Kunden bestimmte Aufgaben übernehmen? Schließt der Bericht eine Komponente aus, von der Ihr Plan zur Wiederherstellung des Betriebs abhängt? Ein aktuelles Zertifikat kann nützlich sein und dennoch eine konkrete betriebliche Frage offenlassen.
Führen Sie eine knappe Übersicht der Lücken und ordnen Sie jedem Problem eine geschäftliche Folge, eine ausgleichende Maßnahme, eine verantwortliche Person und einen Fälligkeitstermin zu. Legen Sie dem Leitungsorgan wesentliche ungelöste Risiken sowie Entscheidungen vor, die über die übertragenen Befugnisse hinausgehen. Verstecken Sie eine folgenreiche Lücke nicht hinter einem hohen Anteil als erledigt markierter Vertragsklauseln: Eine einzige fehlende Fähigkeit kann wichtiger sein als viele abgeschlossene Punkte mit geringen Auswirkungen.
7. Überprüfen Sie die Umsetzbarkeit des Ausstiegsplans
Das vertragliche Recht, eine Anbieterbeziehung zu beenden, und die praktische Fähigkeit dazu sind zwei verschiedene Dinge. Die DORA-Bestimmungen zum Ausstieg aus Diensten, die kritische oder wichtige Funktionen unterstützen, finden sich in Artikel 28(8). In der Praxis sollte das Leitungsorgan die Annahmen hinter dem Plan hinterfragen: Ziel, Daten, Personal, Zeit, Geld und die fortlaufende Erbringung der Dienste.
Unterscheiden Sie zwischen einer geplanten Migration und einer akuten Betriebsunterbrechung. Ein sechsmonatiges Migrationsprogramm kann wirtschaftlich realistisch sein, als Sofortreaktion auf einen Dienstausfall aber unbrauchbar. Der Wiederherstellungsplan kann den Dienstbetrieb aufrechterhalten, während der Ausstiegsplan die längerfristige Abhängigkeit angeht. Bitten Sie das Management, den Zusammenhang zu erläutern, statt eines der beiden Dokumente als Universallösung darzustellen.
- Wählen Sie einen repräsentativen Dienst und legen Sie fest, was den Ausstieg auslöst.
- Exportieren Sie eine kontrollierte Stichprobe der benötigten Daten mit angemessenem Schutz.
- Prüfen Sie, ob das Zielsystem die Daten lesen und abgleichen kann, statt nur eine Datei zu speichern.
- Überprüfen Sie Zugriffsrechte, Lizenzen, Fachkenntnisse und vertraglich vereinbarte Übergangsunterstützung.
- Messen Sie den Zeitaufwand und ermitteln Sie manuelle Arbeitsschritte, nicht erfasste Abhängigkeiten und ungeprüfte Annahmen.
- Aktualisieren Sie Kosten, Reihenfolge, verantwortliche Person und nächsten Testtermin.
Dies ist eine empfohlene Testabfolge, keine Anforderung, eine unkontrollierte Migration im Produktivbetrieb durchzuführen. Wählen Sie sichere Tests, die zum Dienst passen, und dokumentieren Sie deren Grenzen. Wenn nur eine kleine Stichprobe getestet wurde, geben Sie dies an. Ist eine Alternative noch nicht einsatzbereit, benennen Sie diese Einschränkung offen und legen Sie dar, welche Risikoentscheidung für die Übergangszeit getroffen wurde. Ein grüner Status sollte niemals lediglich bedeuten, dass ein Dokument vorhanden ist.
8. Verwenden Sie kurze Sitzungsunterlagen für das Leitungsorgan mit beigefügten Entscheidungen
Nützliche Unterlagen für die Überwachung lassen sich um fünf Fragen gliedern: Was hat sich geändert, was könnte gemeinsam ausfallen, welche Nachweise bieten weniger Sicherheit, welche Optionen bleiben und welche Entscheidung ist erforderlich? Dies ist ein Vorschlag für die Berichtsstruktur. Die Häufigkeit sollte sich nach den Risiken und den Führungs- und Kontrollstrukturen der Organisation richten, nicht nach einem erfundenen allgemeingültigen DORA-Quartalsrhythmus.
Nehmen Sie die wenigen Abhängigkeiten mit den größten geschäftlichen Auswirkungen auf. Berücksichtigen Sie auch jüngste Änderungen, die diese Abhängigkeiten betreffen, überfällige wesentliche Maßnahmen und die nächste relevante Vertrags- oder Migrationsentscheidung. Erläutern Sie Trends. Eine steigende Zahl von Lieferanten kann bedeuten, dass das Verzeichnis vollständiger ist, statt dass die Risiken zugenommen haben. Weniger offene Maßnahmen können auf tatsächlich behobene Mängel oder auf eine veränderte Zählweise zurückgehen.
- Verknüpfen Sie jedes wesentliche Risiko mit dem betroffenen Geschäftsdienst und der verantwortlichen Führungskraft.
- Unterscheiden Sie geprüfte Wiederherstellungsfähigkeiten von Zielwerten oder Versprechen eines Lieferanten.
- Zeigen Sie vertragliche Ausnahmen, offene Lücken bei den Prüfungsnachweisen und die Dauer ihres Bestehens.
- Ermitteln Sie Konzentrationsänderungen und Annahmen, für die neue Nachweise erforderlich sind.
- Nennen Sie die Entscheidung, die getroffen werden soll, die berücksichtigten Alternativen und die Folgen eines Aufschubs.
Nutzen Sie den Leitfaden zum Dashboard für die DORA-Berichterstattung an das Leitungsorgan als Hilfe, um diese Maßnahmen mit der übergreifenden Aufsicht über IKT-Risiken zu verknüpfen. Für eine praktische Übung zu einer Abhängigkeit mit schwerwiegenden Folgen nutzen Sie das Planspiel zur Reaktion auf Sicherheitsvorfälle für das Leitungsorgan. Das Leitungsorgan sollte in allen drei Diskussionen dieselben Bezeichnungen für Dienste, dieselben Risikoverantwortlichen und dieselben Annahmen zur Wiederherstellung wiedererkennen.
9. Bereiten Sie die nächste Diskussion rund um eine reale Abhängigkeit vor
Bitten Sie nicht gleich jedes Team, sämtliche Berichte neu zu gestalten. Wählen Sie einen wichtigen Dienst und fordern Sie eine schlüssige Nachweiskette an: Funktionsbewertung, Registereintrag, Vertrag, Prüfung der Sicherheitsnachweise, Wiederherstellungstest und Ausstiegsplan. Lassen Sie die verschiedenen Verantwortlichen diese Nachweiskette gemeinsam durchgehen. Widersprüchliche Kennungen, überholte Annahmen und Maßnahmen ohne zugeordnete Verantwortliche werden so schnell sichtbar.
Erstellen Sie aus den Feststellungen einen kurzen Verbesserungsplan. Klären Sie zunächst offene Zuständigkeiten und schließen Sie Lücken im Inventar. Bearbeiten Sie dann Entscheidungen, die aufgrund von Verlängerungen, Migrationen oder der Risikobelastung zeitkritisch sind. Verbessern Sie abschließend den regelmäßigen Überwachungsprozess, damit dieselben Lücken nicht erneut auftreten. Legen Sie für jede Maßnahme ein überprüfbares Arbeitsergebnis fest, statt lediglich anzuweisen, „die Governance zu verbessern“.
Auch Mitglieder des Leitungsorgans benötigen ein gemeinsames Verständnis ihrer Rolle. Unser Leitfaden zu den DORA-Schulungsanforderungen für Leitungsorgane erläutert, wie Lernen und Führungsverantwortung zusammenhängen. Der Kurs der BlueTeam Academy «DORA-Cybersicherheitsschulung für Leitungsorgane und Führungskräfte» bietet ein entscheidungsorientiertes Programm für Führungsteams von Finanzunternehmen im Anwendungsbereich von DORA. Das Programm ist keine Compliance-Bewertung der Organisation. Kombinieren Sie das Lernen mit eigenen dienstspezifischen Nachweisen, Entscheidungen und Folgemaßnahmen.
Fragen, die Führungskräfte stellen
Umfasst das DORA-Register nur kritische Lieferanten?
Nein. Artikel 28 Absatz 3 umfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, die von IKT-Drittdienstleistern erbracht werden. Vereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen müssen gesondert ausgewiesen werden; die Registervorlagen verlangen hierfür entsprechende zusätzliche Angaben. Die Einstufung als kritischer IKT-Drittdienstleister ist eine separate Bewertung.
Ist unser Unternehmen durch die Nutzung eines als kritisch eingestuften Anbieters konform?
Nein. Die europäische Überwachung eines benannten Anbieters ersetzt nicht die eigenen Verantwortlichkeiten des Finanzunternehmens. Ihre Organisation muss weiterhin verstehen, wie sie von der jeweiligen Dienstleistung abhängt, welche vertraglichen Vereinbarungen und Kontrollen bestehen und welche Möglichkeiten zur Wiederherstellung des Betriebs verfügbar sind.
Muss jedes Leitungsorgan jeden Lieferantenvertrag genehmigen?
Dieser Leitfaden behauptet nicht, dass jeder einzelne Vertrag grundsätzlich vom Leitungsorgan genehmigt werden muss. Legen Sie anhand der geltenden rechtlichen Anforderungen und Ihrer Regelungen zur Unternehmensführung fest, welche Befugnisse delegiert werden, wann eskaliert wird und welche Entscheidungen dem Leitungsorgan vorbehalten bleiben.
Reicht ein dokumentierter Exit-Plan aus?
Ein Dokument allein bietet nur begrenzte Sicherheit. Prüfen Sie kritisch, ob die Daten anderswo genutzt werden können, die Zielumgebung und die erforderlichen Fachkenntnisse verfügbar sind, die Unterstützung beim Übergang praktikabel ist und der Zeitrahmen den Anforderungen des Dienstes entspricht. Tests sollten sicher und verhältnismäßig sein und ausdrücklich benennen, was sie nicht nachgewiesen haben.
Quellen und weiterführende Informationen
Gesetzliche Grundlagen und Materialien der Aufsichtsbehörden. Die Praxisbeispiele und Vorlagen in diesem Leitfaden sind Vorschläge, keine aufsichtsrechtlich vorgeschriebenen Formulare.
- Verordnung (EU) 2022/2554: Artikel 28–30
- Delegierte Verordnung (EU) 2024/1773: Richtlinie zu Verträgen mit Drittanbietern
- Durchführungsverordnung (EU) 2024/2956: Vorlagen für das Informationsregister
- ESMA: DORA-Überwachung und als kritisch eingestufte Anbieter
Dieser Leitfaden dient der Schulung. Überprüfen Sie mit Ihrem Rechts- und Compliance-Team den Geltungsbereich, anzuwendenden Rahmen und aufsichtsrechtliche Anforderungen für Ihr Unternehmen.
