FAQ · Ausstieg, Notfall und Unterauftragnehmer
Wird ein Unterauftragnehmer automatisch kritisch, weil die bezogene Leistung eine kritische oder wichtige Funktion unterstützt?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Nein. Jeder Unterauftragnehmer wird für sich bewertet, ausgehend von der Funktion, die das empfangende Haus einstuft. Welche Funktionen kritisch oder wichtig sind, bewertet das Finanzunternehmen selbst; die Kriterien aus Artikel 3 Nr. 22 DORA sind so zu konkretisieren, dass sie zum Unternehmen passen. Beim Unterauftragnehmer zählen der übernommene Leistungsanteil und die Folgen seines Ausfalls.
Bei Banken legt das Haus für die Weiterverlagerung wesentlicher Auslagerungen fest, ob der weiter verlagerte Teil wesentlich ist. Bei Versicherern kommt es bei Teilausgliederungen darauf an, ob der für die Ausgliederung vorgesehene Teilbereich auch für sich gesehen wichtig ist und dieser Maßstab gilt für jede Stufe der Kette. Die Bewertung des Unterauftragnehmers ergänzt die Einstufung der Funktion und ersetzt sie nicht.
In der Praxis
Die Ausfallwirkung jedes Unterauftragnehmers wird bis zum Geschäftsprozess zurückverfolgt.
- Funktion und konkrete Leistung sind getrennt eingestuft.
- Leistungsanteil und Ausfallfolge sind je Unterauftragnehmer bestimmt.
- Konzentration und Austauschbarkeit sind geprüft.
Nachweis: Als Nachweis liegt eine kettenbezogene Analyse von Kritikalität und Ausfallwirkung vor.
Belege
- FAQ Management des IKT-Drittparteienrisikos, kritische Dienstleistungen, BaFin
- IKT-Risikomanagement und IKT-Drittparteienrisikomanagement, Kriterien, BaFin
- BaFin, Rundschreiben 06/2024 (BA), Modul AT 9, Weiterverlagerung
- BaFin, Rundschreiben 09/2025 (VA), Geschäftsorganisation, Randnummer 216