FAQ · Ausstieg, Notfall und Unterauftragnehmer
Wie behält Ihr Haus die Kette im Blick, wenn ein Anbieter weitere Dienstleister einsetzt?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Eine Untervergabekette bleibt steuerbar, wenn Ihr Haus für jeden Unterauftragnehmer Leistungsteil, Standort, Datenzugriff und Bedeutung für die unterstützte Funktion kennt. Unterstützen die IKT-Dienstleistungen kritische oder wichtige Funktionen, verlangt die Aufsicht von Finanzunternehmen, die Risiken aus der Untervergabe zu überwachen und zu steuern und dabei den entsprechenden RTS zu beachten. Die Delegierte Verordnung (EU) 2025/532 regelt diese Unterauftragsvergabe.
Das Informationsregister soll für solche Dienstleistungen sämtliche Unterauftragnehmer enthalten, die die Erbringung wirksam unterstützen; nach dem Rundschreiben 09/2025 (VA) der BaFin muss bei Versicherern zumindest das zuständige Mitglied der Geschäftsleitung die Sub-Delegation einer wichtigen Funktion vorab genehmigen.
In der Praxis
Lösen Sie bei jeder Änderung der Untervergabekette eine Neubewertung aus.
- Erfassen Sie Leistungsteil und Datenzugriff je Unterauftragnehmer.
- Prüfen Sie, ob Änderungs- und Kontrollrechte in der Kette durchsetzbar bleiben.
- Melden Sie jede Kettenänderung zur Neubewertung an die zuständigen Stellen.
Nachweis: Als Nachweis dient die aktuelle Untervergabekette mit Verantwortlichem.
Belege
- BaFin, IKT-Risikomanagement und IKT-Drittparteienrisikomanagement, Untervergabe
- BaFin, IKT-Risikomanagement und IKT-Drittparteienrisikomanagement, RTS Untervergabe
- BaFin, Mindestvertragsinhalte DORA, Delegierte Verordnung (EU) 2025/532
- BaFin, FAQs zu DORA, Informationsregister und Unterauftragnehmer
- BaFin, Rundschreiben 09/2025 (VA), Geschäftsorganisation, Abschnitt Ausgliederung
- BaFin, Rundschreiben 09/2025 (VA), Titel der Veröffentlichung