FAQ · Einordnung, Beschaffung und Risikoanalyse
Ist jede IKT-Dienstleistung zugleich eine Auslagerung oder Ausgliederung?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Zwei Einordnungen stehen nebeneinander und werden getrennt begründet. Nach DORA sind IKT-Dienstleistungen digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft bereitgestellt werden (Artikel 3 Nummer 21). Für Banken liegt nach AT 9 der MaRisk eine Auslagerung vor, wenn ein anderes Unternehmen Aktivitäten und Prozesse wahrnimmt, die die Bank ansonsten selbst erbringen würde. Bei Versicherern ist Ausgliederung nach § 7 Nummer 2 VAG eine Vereinbarung jeglicher Form, nach der ein Dienstleister eine Tätigkeit erbringt, die das Versicherungsunternehmen sonst selbst erbringen würde.
Das Drittparteienrisikomanagement nach DORA ergänzt diese sektoralen Regelungen, sie sind grundsätzlich parallel zu beachten. Beide Einstufungen können also zugleich zutreffen. Tragfähig wird jede Einstufung, wenn sie am Leistungsgegenstand hängt und nicht an der Bezeichnung Cloud oder Beratung.
In der Praxis
Führen Sie im Datensatz zwei eigene Klassifizierungsfelder mit Begründung und Prüfer.
- Beschreiben Sie den Leistungsgegenstand und die bisher intern erbrachte Tätigkeit.
- Begründen Sie die DORA-Einordnung und die Sektoreinordnung getrennt.
- Prüfen Sie jede Änderung des Leistungsumfangs erneut.
Nachweis: Als Nachweis dienen zwei getrennte Klassifizierungsentscheidungen.
Belege
- Management des IKT-Drittparteienrisikos, Begriff der IKT-Dienstleistung, BaFin
- MaRisk-Rundschreiben 06/2024 (BA), Modul AT 9, Begriff der Auslagerung, BaFin
- § 7 VAG, Begriffsbestimmungen, Gesetze im Internet
- § 7 Nummer 2 VAG, Ausgliederung, Gesetze im Internet
- FAQs zu DORA, Hinweis auf die MaRisk, BaFin
- FAQs zu DORA, Verhältnis zu Auslagerung und Ausgliederung, BaFin