FAQ: DORA, Auslagerung, ISMS, BCM, Datenschutz

Zusammenarbeit und Angebot

Das Erstgespräch kostet nichts. Der Quick Check hat einen Festpreis. Das Gespräch dauert 45 Minuten. Stundensätze passen bei offenem Umfang. Der Quick Check liefert zwei Dokumente, eine Vorgehensskizze mit der Reihenfolge der Umsetzung und einen Anforderungskatalog mit allem, was zu liefern, zu belegen und zu beauftragen ist. Ein Festpreis passt, wenn sich Umfang und Ergebnis vorab beschreiben lassen, zum Beispiel nach einem Quick Check. Vertraulichkeit regeln unsere AGB. Das Erstgespräch findet per Videocall statt. Qvestcon arbeitet für Erstversicherer, Pensionskassen, Versorgungskassen, Zusatzversorgungskassen, Kreditinstitute, Förderbanken, Landesförderinstitute, Leasinggesellschaften und gesetzliche Krankenversicherungen in Deutschland sowie für deren IT-Dienstleister, mit Vorständen, Geschäftsführungen und den Verantwortlichen für Risiko, Betrieb, Informationssicherheit und Compliance als Ansprechpartnern.

Umsetzung in der Praxis

Wir setzen um, was verlangt ist. Goldrand ist Aufwand ohne Nachweiswert. Ein Verantwortlicher wird benannt. Prozesse werden im Alltag angewendet. Goldrand meint Kontrollen, Dokumente und Werkzeuge, die über die geltende Anforderung hinausgehen und Ihr Haus Zeit kosten, ohne dass ein Prüfer oder die Aufsicht sie verlangt. Ein Konzept allein genügt nicht, weil es nur beschreibt, was geschehen soll, und nicht belegt, dass es geschieht. Der Nachweis liegt dokumentiert vor. Eine Pflicht ist umgesetzt, wenn ein Verantwortlicher benannt ist, der Prozess im Alltag des Hauses angewendet wird und ein dokumentierter Nachweis vorliegt, den die Aufsicht oder die Prüfung einsehen kann.

Regelwerke im Überblick

DORA gilt seit Januar 2025. Der CRA gilt für Hersteller. Die MaRisk wurden neu gefasst. DORA ist eine EU-Verordnung. Der Cyber Resilience Act gilt für alle Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen, unabhängig davon, ob sie ihren Geschäftssitz innerhalb oder außerhalb der EU haben. Die MaGo gilt für Versicherer. NIS2 ist eine EU-Richtlinie. Das BSI-Gesetz führt NIS2, die Richtlinie (EU) 2022/2555, als NIS-2-Richtlinie und setzt damit höhere Anforderungen an die systematische Planung, Umsetzung und Überwachung von Cybersicherheitsmaßnahmen.

Fit and Proper und persönliche Haftung

Die Aufsicht kann verwarnen. Die Haftung kann persönlich werden. Das Haus zeigt die Bestellung an. Geschäftsleiter können verwarnt werden. Gegenstand der Verwarnung ist die Feststellung des entscheidungserheblichen Sachverhaltes und des hierdurch begründeten Verstoßes. Die Verwarnung steht in § 36 KWG. Versicherer zeigen die Bestellung an. Für Banken regelt § 24 Absatz 1 Nummer 1 KWG eine Anzeige der Absicht, bei der das Haus Tatsachen zu Zuverlässigkeit, fachlicher Eignung und zeitlicher Verfügbarkeit angibt.

DORA in der Praxis

DORA gilt verhältnismäßig. Vorfälle sind zu melden. Artikel 28 schreibt das Register vor. DORA verlangt ein Informationsregister. Die Anforderungen in DORA sind nach Artikel 4 risikoorientiert und proportional umzusetzen, die Dokumentation soll zur Größe und zum Gesamtrisikoprofil des Unternehmens passen. Artikel 4 verlangt Verhältnismäßigkeit. Die Mindestinhalte stehen in Artikel 30. Das Informationsregister soll alle Verträge mit Drittdienstleistern erfassen, die dem Finanzunternehmen IKT-Dienstleistungen bereitstellen, und bei kritischen oder wichtigen Funktionen auch die Unterauftragnehmer enthalten.

Auslagerung und Dienstleistersteuerung

Die Verantwortung bleibt beim Haus. Banken führen ein Auslagerungsregister. Konzernleistungen können Auslagerungen sein. Third Party Management umfasst den Lebenszyklus. Die zentrale Auslagerungssteuerung steuert Auslagerungen und ihre Dienstleister, ihre Bezeichnung steht in keinem Gesetz. Versicherer sprechen von Ausgliederung. Der Lebenszyklus endet mit dem Ausstieg. Third Party Management steuert die Beziehungen zu externen Dienstleistern über den ganzen Lebenszyklus, von der Auswahl über den Vertrag und die laufende Überwachung bis zum Ausstieg. Für Banken umfasst das Auslagerungsregister nach dem Rundschreiben zum Risikomanagement alle Auslagerungsvereinbarungen, einschließlich der Vereinbarungen mit Auslagerungsunternehmen innerhalb einer Gruppe oder eines Verbundes.

Datenschutz, Informationssicherheit und Notfallmanagement

Datenpannen sind zu melden. Das Bußgeld hat zwei Höchstbeträge. Die Schwelle liegt bei 20 Personen. Die Meldefrist beträgt 72 Stunden. Nach § 38 BDSG müssen der Verantwortliche und der Auftragsverarbeiter einen Datenschutzbeauftragten benennen, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Die Frist beginnt mit der Kenntnis. Bei hohem Risiko werden Betroffene informiert. Die Höhe des Bußgelds nennt der Europäische Datenschutzausschuss mit zwei Höchstbeträgen, der erste liegt bei 10 Millionen Euro oder 2 Prozent des weltweiten Gesamtumsatzes im vorangegangenen Geschäftsjahr. Eine Datenpanne ist der zuständigen Datenschutzbehörde so bald wie möglich und innerhalb von 72 Stunden nach Kenntnisnahme zu melden. Mit der Standard-Absicherung lässt sich ein kompletter Sicherheitsprozess umsetzen, sie ist kompatibel zur ISO 27001-Zertifizierung.

Aufsicht, Haftung und Strafen

Die Aufsicht benennt kritische Dienstleister. Auslagern ist unter Bedingungen möglich. Kritisch wird ein Dienstleister durch Benennung. EBA, EIOPA und ESMA benennen. Laut GwG können Kreditinstitute grundsätzlich die Aufgaben eines Geldwäschebeauftragten an einen externen Dienstleister auslagern. Die Liste veröffentlichen die Aufsichtsbehörden. Das GwG regelt die Auslagerung. Die Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA benennen die kritischen IKT-Drittdienstleister nach DORA und veröffentlichen die Liste.

Newsflow und Fristenticker

Der Newsflow läuft täglich. Jede Meldung nennt ihre Quelle. Ein Lauf ohne Freigabe veröffentlicht nichts. Die Quellen sind öffentlich. Der Lauf findet jeden Tag statt, doch auf der Seite erscheint nur, was die Redaktion geprüft und freigegeben hat. Meldungen tragen das Datum ihrer Quelle. Jede Meldung verlinkt das Original. Der Newsflow liest täglich Quellen von Aufsichtsbehörden, Behörden, Verbänden und Fachmedien und wertet dazu Fachnewsletter aus.

Einordnung, Beschaffung und Risikoanalyse

Ein Vorab-Check steht am Anfang. Der Start braucht fünf Objekte. Ein Vertrag kann mehrere Leistungen tragen. Fünf Objekte bilden den Bestand. Nach den Hinweisen der Aufsicht hängt der Umfang des Drittparteienrisikomanagements davon ab, welche IKT-Dienstleistungen Sie beziehen und ob sie kritische oder wichtige Funktionen unterstützen. Ein Vorab-Check entscheidet die Prüftiefe. Der Umfang hängt von der Leistung ab. Ein Bestand, der zu Einkauf, Vertragsverwaltung und Risikosteuerung passt, entsteht aus fünf getrennten Objekten: Rechtseinheit, Anbieter, Vertrag, bezogene Leistung und unterstützte Funktion.

Verträge und laufende Steuerung

Die Klauselmatrix steht vor der Verhandlung. Das Haus bleibt verantwortlich. Anbieter legen Standardanhänge vor. DORA und RTS geben Klauseln vor. Klare Verantwortung entsteht, wenn ein fachlicher Eigentümer die bezogene Leistung trägt und Risiko, Informationssicherheit, Datenschutz, Notfallmanagement, Einkauf und Recht als getrennte Prüfer mit je eigenem Freigabepunkt beitragen. Die Matrix entsteht aus der Einstufung. Ein fachlicher Eigentümer trägt die Leistung. Eine Klauselmatrix, die vor der ersten Verhandlungsrunde aus der Einstufung der Leistung entsteht, bringt die Anforderungen in den Vertrag, bevor der Anbieter seinen Standardanhang vorlegt.

Register, Daten und Steuerungswerkzeuge

Beide Register folgen einem Datenmodell. Zuerst kommen Kennungen und Pflichtfelder. Pflichtfelder waren nicht ausgefüllt. Das Datenmodell trennt Vertrag und Leistung. Für nach dem KWG und dem Zahlungsdiensteaufsichtsgesetz (ZAG) beaufsichtigte Häuser ist das Auslagerungsregister eine bestehende Pflicht. Identifizierungscodes waren oft fehlerhaft. Der Testlauf war im Sommer 2024. Am Anfang stehen eindeutige Kennungen und Pflichtfelder, denn dort zeigten sich die Lücken beim Testlauf der Aufsichtsbehörden im Sommer 2024.

Ausstieg, Notfall und Unterauftragnehmer

Der Ausstiegsplan beginnt bei kritischen Funktionen. Die Kette muss steuerbar bleiben. Der erste Exit-Test kommt ohne Wechsel aus. Die Kette nennt Standort und Datenzugriff. Der Ausstiegsplan beginnt bei den Dienstleistungen, die kritische oder wichtige Funktionen tragen, und für IKT-Dienstleistungen zur Unterstützung solcher Funktionen muss ein Haus eine Ausstiegsstrategie haben. Das Haus braucht eine Ausstiegsstrategie. Ein Exit-Test prüft den Ausstieg. Eine Untervergabekette bleibt steuerbar, wenn Ihr Haus für jeden Unterauftragnehmer Leistungsteil, Standort, Datenzugriff und Bedeutung für die unterstützte Funktion kennt. Unterauftragnehmer können wechseln. Weiterverlagerungen laufen über mehrere Stufen.

Konzern, Rollen und Mandanten

Jede Rechtseinheit bleibt erkennbar. Der Konzernbezug schließt Auslagerung nicht aus. Verträge liegen bei der empfangenden Einheit. Wir testen Dreiecksbeziehungen an Testfällen. Anbieter- und Vertragsstammdaten teilen wir nur dort, wo die Beziehung ausdrücklich modelliert ist, und die Gruppenübersicht bleibt eine Sicht auf die Einzelnachweise. Jede Rechtseinheit ist eigener Verpflichteter. Die Gruppenübersicht ist nur eine Sicht. Eine Leistung innerhalb der Gruppe wird tragfähig, wenn Vertrag und Risikobeurteilung bei jeder empfangenden Rechtseinheit liegen.

Schutzbedarf und Informationsverbund

Die Karte beginnt beim Geschäftsprozess. Ein geerbter Wert bleibt nachvollziehbar. Der Schutzbedarf vererbt sich. Der Vererbungsweg bleibt erkennbar. Wir dokumentieren eine begründete Abweichung mit Eigentümer, Begründung und Freigabe, und eine Änderung an einem übergeordneten Prozess stößt die Bewertung erneut an. Eine Differenz wird gezielt geprüft. Abweichungen brauchen eine Begründung. Die Strukturanalyse des IT-Grundschutzes fragt zuerst nach den wichtigen Aufgaben und Geschäftsprozessen, dann nach den benötigten Informationen und zuletzt nach den Anwendungen.

Anzeigen und Freigaben gegenüber der Aufsicht

Eine Anzeige ist keine Genehmigung. Die BaFin genehmigt keine Auslagerung. Der sektorale Pfad prüft die Anzeige. Banken zeigen den Vollzug an. Banken zeigen die Absicht einer wesentlichen Auslagerung und deren Vollzug an, Versicherer zeigen unverzüglich die Absicht an, wichtige Funktionen auszugliedern, unter Vorlage des Vertragsentwurfs. Eine Wartefrist gibt es nicht. Die interne Freigabe bleibt eine eigene Entscheidung. Der DORA-Pfad fragt nach dem geplanten Vertrag über IKT-Dienstleistungen für kritische oder wichtige Funktionen. Die Aufsicht erkennt Problemfelder früh. Die Eingangsbestätigung meldet die Übermittlung.

FAQ: Fragen und Antworten