Question 1

Wie gelingt der Start, wenn Verträge, Bestellungen und Risiken in verschiedenen Systemen liegen?

Accepted Answer

Ein Bestand, der zu Einkauf, Vertragsverwaltung und Risikosteuerung passt, entsteht aus fünf getrennten Objekten: Rechtseinheit, Anbieter, Vertrag, bezogene Leistung und unterstützte Funktion. Wir beginnen deshalb nicht mit einer Systemmigration, sondern mit diesen Objekten und ihren Beziehungen. Ein Vertrag kann mehrere Leistungen abdecken und eine Leistung kann mehrere Funktionen und Bestellungen betreffen, weshalb wir jede Beziehung einzeln festhalten. Die Bestände aus den drei Bereichen vergleichen wir über stabile Kennungen. Wo Kennungen fehlen, erfassen wir eine fachlich bestätigte Zuordnung samt Herkunft und Datum.

Sobald die Beziehungen stimmen, liefern Klassifizierung, Risikoanalyse und Register konsistente Ergebnisse. Vertrag und Leistung bleiben dafür getrennte Objekte.

Question 2

Wie gelingt ein Vorab-Check bei jedem neuen Fremdbezug, ohne jedes Mal die volle Prüfung zu durchlaufen?

Accepted Answer

Ein Vorab-Check am Beginn der Beschaffung entscheidet, wie tief die weitere Prüfung geht. Nach den Hinweisen der Aufsicht hängt der Umfang des Drittparteienrisikomanagements davon ab, welche IKT-Dienstleistungen Sie beziehen und ob sie kritische oder wichtige Funktionen unterstützen. Ein isolierter Warenkauf kann nach begründeter Abgrenzung aus dem vertieften Dienstleisterprozess ausscheiden. Eine IKT-Dienstleistung gehört dagegen unabhängig von ihrer Risikostufe in den Bestand, denn das Informationsregister soll alle Verträge mit Drittdienstleistern erfassen, die dem Finanzunternehmen IKT-Dienstleistungen bereitstellen.

Der Vorab-Check steuert die weitere Prüfung. Die endgültige Einordnung folgt in den späteren Schritten.

Question 3

Ist jede IKT-Dienstleistung zugleich eine Auslagerung oder Ausgliederung?

Accepted Answer

Zwei Einordnungen stehen nebeneinander und werden getrennt begründet. Nach DORA sind IKT-Dienstleistungen digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft bereitgestellt werden (Artikel 3 Nummer 21). Für Banken liegt nach AT 9 der MaRisk eine Auslagerung vor, wenn ein anderes Unternehmen Aktivitäten und Prozesse wahrnimmt, die die Bank ansonsten selbst erbringen würde. Bei Versicherern ist Ausgliederung nach § 7 Nummer 2 VAG eine Vereinbarung jeglicher Form, nach der ein Dienstleister eine Tätigkeit erbringt, die das Versicherungsunternehmen sonst selbst erbringen würde.

Das Drittparteienrisikomanagement nach DORA ergänzt diese sektoralen Regelungen, sie sind grundsätzlich parallel zu beachten. Beide Einstufungen können also zugleich zutreffen. Tragfähig wird jede Einstufung, wenn sie am Leistungsgegenstand hängt und nicht an der Bezeichnung Cloud oder Beratung.

Question 4

Woran erkennt Ihr Haus, ob eine unterstützte Funktion kritisch oder wichtig ist?

Accepted Answer

Die Einstufung gelingt an den Auswirkungen, nicht an einer einzelnen Kennzahl. Das Finanzunternehmen bewertet selbst, welche Funktionen kritisch oder wichtig sind. Die Definition in Artikel 3 Nummer 22 DORA bezieht sich auf die Auswirkungen eines Ausfalls und teilweise auf die Auswirkungen einer unterbrochenen, fehlerhaften oder unterbliebenen Leistung. Das ähnelt dem Schutzziel der Verfügbarkeit, ist aber damit nicht identisch, denn eine Funktion kann auch unter dem Aspekt der Vertraulichkeit kritisch oder wichtig sein. Eine kurze Wiederanlaufzeit ist deshalb ein Signal für Verfügbarkeit. Die Definition erschöpft sich darin nicht.

Mit der Einstufung stehen die weiteren Schritte fest: Bei Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen ist eine Ausstiegsstrategie nötig.

Question 5

Was gehört in einen frühen Sourcing-Check, damit Anforderungen vor der Anbieterauswahl feststehen?

Accepted Answer

Ein einseitiger Sourcing-Steckbrief vor Anfrage und Anbieterauswahl bringt die Anforderungen auf den Tisch, bevor die Vertragsverhandlung beginnt. Wir halten darin Zweck, Eigenleistung oder Fremdbezug, regulatorische Zulässigkeit, Datenarten, Schutzbedarf, betroffene Funktionen, mögliche Unterauftragnehmer und grobe Ausfallfolgen fest. Das reicht für eine erste Entscheidung, ob das Vorhaben weiterläuft. Wir vermerken auch, wer nach Vertragsbeginn die Leistung steuert und welche offenen Fragen bis zu welchem Termin beantwortet sein müssen.

Tragfähig wird der Check, wenn alle Pflichten schon vor der Auswahl des Anbieters bekannt sind, damit die Vertragsverhandlung mit geklärten Punkten beginnt. Der Steckbrief passt auf eine Seite.

Question 6

Wie gelingt ein Anbietervergleich, ohne jedes Mal bei null anzufangen?

Accepted Answer

Eine wiederverwendbare Kriterienmatrix macht jeden Vergleich schneller und die Entscheidung nachvollziehbar. Wir trennen Mindestanforderungen von Bewertungskriterien. Für die erste Auswahl nutzen wir wenige Ausschlusskriterien. Die verbleibenden Anbieter bewerten wir nach denselben nachvollziehbaren Kriterien zu Leistung, Sicherheit, Stabilität, Untervergabe, Kosten und Exit-Fähigkeit und Ausnahmen bewerten wir einzeln.

Tragfähig wird die Wertung, wenn eine starke Preiswertung keine fehlende Mindestanforderung verdeckt. Kontrollierbarkeit und Exit-Fähigkeit behalten dafür eigene Kriterien.

Question 7

Welche Risikoanalyse steht vor der Unterschrift, damit sie den Vertrag wirklich prägt?

Accepted Answer

Eine Risikoanalyse prägt den Vertrag, wenn ihre Ergebnisse in ihn einfließen. Nach den Hinweisen der Aufsicht nehmen Finanzunternehmen vor dem Abschluss eines Vertrags eine Ex-ante-Risikobewertung und Due-Diligence-Prüfung vor. Sie berücksichtigen dabei, wie sehr sie auf den Drittdienstleister angewiesen sind und welche weiteren Risiken aus der Vertragsbeziehung entstehen. Klar sein muss, welche Leistung tatsächlich bezogen wird, welche Funktionen und Daten betroffen sind und ob der Anbieter zuverlässig und kontrollierbar ist. Bewerten lassen sich dafür Ausfall, Informationssicherheit, Datenschutz, Untervergabe, Datenstandorte, Konzentration und Ersetzbarkeit.

Die Risikoanalyse ist ein Freigabeschritt, der vor der Unterschrift abgeschlossen wird.

Question 8

Woran erkennt Ihr Haus, dass eine Risikoanalyse mehr ist als eine Reihe von Ja-Nein-Feldern?

Accepted Answer

Eine Risikoanalyse trägt, wenn jedes wesentliche Risiko in einer Kette steht: von der konkreten Abhängigkeit über den Nachweis zur Maßnahme. Wir verknüpfen jedes wesentliche Risiko mit diesen Gliedern und prüfen dann, ob die Maßnahme im Vertrag vereinbart, im Betrieb kontrollierbar und einer Person zugeordnet ist. Diese Verbindung macht die Bewertung steuerbar.

Bei jedem Feld steht deshalb der Beleg, der die Antwort trägt. Vollständigkeit zeigt sich an den Belegen. Die Zahl der Felder sagt darüber nichts.

Question 9

Wie tief prüft Ihr Haus einen Anbieter und wann trägt ein Zertifikat?

Accepted Answer

Die Prüftiefe richtet sich nach Schutzbedarf, Kritikalität und Abhängigkeit. Ein Zertifikat trägt, wenn Geltungsbereich, betroffene Leistung, Standort, Zeitraum und wesentliche Ausnahmen zur genutzten Leistung passen. Nach den Hinweisen der Aufsicht kann es auch bei standardisierten Prüfungen sinnvoll sein, vom Drittdienstleister eine Erweiterung des Prüfungsumfangs zu verlangen. Damit sollen alle genutzten Dienstleistungen oder Orte der Leistungserbringung abgedeckt werden. Externe Prüfberichte kann Ihr Haus in der Regel zur Beurteilung heranziehen, aber erst die Würdigung des Inhalts macht ein Dokument zum Nachweis.

Question 10

Ist eine kurze oder einmalige Beauftragung automatisch keine IKT-Dienstleistung?

Accepted Answer

Maßgeblich ist der Leistungsinhalt, nicht die Bestelllaufzeit. Nach den Hinweisen der Aufsicht sind IKT-Dienstleistungen digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft bereitgestellt werden (Artikel 3 Nummer 21 DORA). Der Begriff ist weit auszulegen. Eine Laufzeitgrenze nennt die Aufsicht dort nicht. Eine starre interne Jahresgrenze ist deshalb keine allgemeine Definition und ersetzt die Prüfung des Leistungsinhalts nicht.

Ein isolierter Warenkauf unterscheidet sich von Betrieb, Wartung, Updates oder wiederkehrender Bereitstellung und bei aufeinanderfolgenden Kurzaufträgen betrachtet Ihr Haus die Gesamtbeziehung.

FAQ: Einordnung, Beschaffung und Risikoanalyse

Einordnung, Beschaffung und Risikoanalyse

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis