Question 1

Wie bringt Ihr Haus regulatorische Anforderungen rechtzeitig in Verträge mit IKT-Dienstleistern?

Accepted Answer

Eine Klauselmatrix, die vor der ersten Verhandlungsrunde aus der Einstufung der Leistung entsteht, bringt die Anforderungen in den Vertrag, bevor der Anbieter seinen Standardanhang vorlegt. DORA und die RTS geben vor, wie Verträge mit IKT-Drittdienstleistern zu gestalten sind und die BaFin führt in einer Übersicht auf, welche Bestimmungen mindestens in einem solchen Vertrag stehen müssen.

Unterstützt die Leistung kritische oder wichtige Funktionen, gelten nach Artikel 30 Absatz 3 DORA weitergehende Anforderungen an den Vertrag. Für Banken verlangt § 25b KWG bei einer Auslagerung eine schriftliche Vereinbarung mit Weisungs- und Kündigungsrechten. Für Versicherer schreibt § 32 VAG vor, sich die erforderlichen Auskunfts- und Weisungsrechte vertraglich zu sichern. Tragfähig wird die Umsetzung, wenn Ihr Haus jede Klausel mit dem tatsächlichen Leistungsmodell vergleicht und den Hauptvertrag samt Anhängen prüft.

Question 2

Wie legt Ihr Haus die Verantwortung fest, wenn mehrere Funktionen an einer bezogenen Leistung beteiligt sind?

Accepted Answer

Klare Verantwortung entsteht, wenn ein fachlicher Eigentümer die bezogene Leistung trägt und Risiko, Informationssicherheit, Datenschutz, Notfallmanagement, Einkauf und Recht als getrennte Prüfer mit je eigenem Freigabepunkt beitragen. Das Gesetz lässt die Verantwortung dabei beim auslagernden Haus.

Nach § 25b KWG darf die Auslagerung nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen. Nach § 32 VAG bleibt das ausgliedernde Versicherungsunternehmen für die Erfüllung aller aufsichtsrechtlichen Vorschriften verantwortlich. Für die Ausgliederung von Schlüsselfunktionen verlangt die Aufsicht bei Versicherern stets eine Ausgliederungsbeauftragte oder einen Ausgliederungsbeauftragten. Tragfähig bleibt die Rollenmatrix, wenn die zentrale Qualitätssicherung prüft und der Fachbereich das fachliche Risiko trägt.

Question 3

Welche Kontrollen setzt Ihr Haus nach Vertragsbeginn wirksam ein?

Accepted Answer

Wirksam wird die Steuerung, wenn Berichte fachlich gewürdigt werden und jede Abweichung zu einer Entscheidung mit Zuständigkeit und Termin führt. Finanzunternehmen müssen IKT-Drittparteienrisiken überwachen. Das gilt während des gesamten Lebenszyklus des Bezugs.

Für Versicherer verlangt die Aufsicht, die Risiken einer Ausgliederung im Vorfeld und im Anschluss zu identifizieren, zu bewerten, zu überwachen, zu steuern und zu berichten. Für wesentliche Auslagerungen von Banken verlangt § 25b KWG ein Risikomanagement, das die ausgelagerten Aktivitäten und Prozesse einbezieht. Eine grüne Kennzahl ersetzt keine Prüfung der Datenbasis. Eine rote Kennzahl wirkt erst mit Eskalation.

Question 4

Wann bewertet Ihr Haus eine bezogene Dienstleistung erneut?

Accepted Answer

Ein Änderungslog, das jedes auslösende Ereignis mit den geänderten Entscheidungen verknüpft, zeigt der Aufsicht, dass die Neubewertung greift. Als Auslöser eignen sich eine wesentliche Leistungs- oder Vertragsänderung, eine neue Untervergabe, ein Sicherheitsvorfall, ein veränderter Schutzbedarf und neue Abhängigkeiten.

Für Versicherer verlangt die Aufsicht bei wesentlichen Änderungen des Risikoprofils eine erneute Risikoanalyse und die Entscheidung über Fortführung oder Beendigung der Ausgliederung. Finanzunternehmen sind verpflichtet, Änderungen bei vertraglichen Vereinbarungen über genutzte IKT-Dienstleistungen umgehend in ihr Informationsregister einzutragen. Tragfähig wird die Neubewertung, wenn Klassifizierung, Risiken, Kontrollen und Registereintrag gemeinsam aktualisiert werden.

Question 5

Was geschieht, wenn ein Anbieter erforderliche Vertragsklauseln ablehnt?

Accepted Answer

Ein Eskalationsfall mit Klauselabweichung, Alternative, Risikobild und Entscheidungstermin bringt die Ablehnung auf die zuständige Ebene, bevor jemand unterschreibt. Zuerst klären Einkauf und Recht, ob die Leistung richtig eingeordnet ist und welche Klausel tatsächlich gilt.

Was DORA und die RTS als Mindestinhalt vorgeben, muss nach der BaFin im Vertrag stehen. Eine interne Risikoakzeptanz ersetzt diese Inhalte deshalb nicht. Für Banken sind nach § 25b KWG die Rechte des Hauses einschließlich der Weisungs- und Kündigungsrechte schriftlich zu vereinbaren, für Versicherer nach § 32 VAG die erforderlichen Auskunfts- und Weisungsrechte vertraglich zu sichern. Fachbereich und Risikofunktionen bewerten währenddessen Abhängigkeit, verbleibende Risiken und Wechselmöglichkeiten.

Question 6

Was prüft eine zentrale Steuerungsfunktion, wenn der Fachbereich die Risikoanalyse erstellt?

Accepted Answer

Bei jeder Auslagerung ist die Arbeit klar zugeordnet, wenn der Fachbereich Leistung, Abhängigkeiten und fachliche Risiken beschreibt und die operative Verantwortung trägt, während die zentrale Steuerungsfunktion Methode, Vollständigkeit, Stellungnahmen, Konsistenz mit Klassifizierung und Register sowie offene Maßnahmen prüft.

Für Versicherer verlangt die Aufsicht, die maßgeblichen Organisationseinheiten bei der Erstellung der Risikoanalyse einzubeziehen und die Ergebnisse zu dokumentieren. Für wesentliche Auslagerungen von Banken gilt nach § 25b KWG, dass das Risikomanagement des Hauses die ausgelagerten Aktivitäten und Prozesse einbezieht. Tragfähig bleibt die Aufteilung, wenn die zentrale Funktion Fachfragen im Fachbereich lässt.

Question 7

Welche Nachweise sammelt die laufende Dienstleistersteuerung in Ihrem Haus?

Accepted Answer

Ein Nachweisregister je Leistung macht die Steuerung prüfbar. Es hält Leistungsberichte, die Bewertung wesentlicher Serviceverletzungen, Eskalationen, aktuelle Zertifikate oder Prüfberichte, Änderungen der Untervergabekette und die Entscheidungen zu Maßnahmen zusammen. Für jedes Nachweisinstrument stehen Zweck, Häufigkeit, verantwortliche Person und Ablageort fest.

Die Aufsicht verlangt von Finanzunternehmen, IKT-Drittparteienrisiken während des gesamten Lebenszyklus des Bezugs zu überwachen. Bei Versicherern beurteilt und hinterfragt die oder der Ausgliederungsbeauftragte die Leistung des Dienstleisters unabhängig und objektiv. Bei Prüfberichten zählt die fachliche Würdigung von Feststellungen und Ausnahmen.

Question 8

Genügt ein ISO-Zertifikat als Nachweis für einen kritischen Dienst?

Accepted Answer

Zum Nachweis wird ein ISO-Zertifikat, wenn Ihr Haus belegt, dass der Geltungsbereich des Zertifikats die bezogene Leistung trägt. Für ein ISO 27001-Zertifikat auf Basis von IT-Grundschutz gilt nach dem BSI: Gegenstand der Zertifizierung muss nicht die gesamte Institution sein und der betrachtete Informationsverbund kann sich auf einzelne Geschäftsprozesse, Fachaufgaben oder Organisationseinheiten beschränken. Ein erteiltes Zertifikat ist drei Jahre lang gültig und wird in diesem Zeitraum durch ein jährliches Überwachungsaudit bestätigt.

Deshalb gehören Leistung, Standort, Zeitraum und eingebundene Unterauftragnehmer in den Abgleich mit dem Prüfbericht. Die Aufsicht verlangt vor dem Vertragsabschluss eine Ex-ante-Risikobewertung und Due-Diligence-Prüfung und danach die Überwachung über den gesamten Lebenszyklus. Das Zertifikat liefert dafür einen Teil der Prüfung.

Question 9

Wie geht Ihr Haus mit einem schweren Verstoß gegen vereinbarte Leistungsziele um?

Accepted Answer

Bei einer Auslagerung macht eine Vorfallakte mit Entscheidung, Maßnahme und Wirksamkeitsprüfung aus dem Verstoß eine Steuerungsentscheidung der Geschäftsleitung. Am Anfang steht die Auswirkung auf Prozesse, Kunden, Daten und Wiederanlauf. Betrifft der Verstoß einen IKT-bezogenen Vorfall, müssen Finanzunternehmen ihn anhand bestimmter Kriterien klassifizieren und jeden Vorfall melden, den sie als schwerwiegend einstufen.

Ursachenbericht und Zeitachse tragen die vertraglichen Rechte und die Maßnahmen mit Verantwortlichem und Fälligkeit. Ändert sich das Risikoprofil wesentlich, verlangt die Aufsicht bei Versicherern eine erneute Risikoanalyse und die Entscheidung über Fortführung oder Beendigung der Ausgliederung. Eine Vertragsstrafe allein behebt die Ursache nicht.

Question 10

Wie gelingt es, den Datenschutz schon in der Dienstleistersteuerung zu verankern bevor der Vertrag steht?

Accepted Answer

Der Datenschutz gehört an den Anfang der Beziehung: Vor der Auftragsvergabe hat der Verantwortliche zu prüfen, ob der Dienstleister geeignet ist. Er darf sich nur solcher Auftragsverarbeiter bedienen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Zuerst klärt die Steuerung deshalb die Rolle des Anbieters. Nach der Auffassung des Bayerischen Landesamts für Datenschutzaufsicht ist eine Dienstleistung, bei der die Datenverarbeitung nicht zumindest einen wichtigen Kernbestandteil ausmacht, keine Auftragsverarbeitung. Ob die Abgrenzung im Einzelfall trägt, ist gesondert zu prüfen (Artikel 28 Absatz 1 DSGVO).

Aus der Rolle folgt, was die Steuerung weitergibt: Der Auftragsverarbeiter verarbeitet nur auf Anweisung, auch bei einer Übermittlung in ein Land außerhalb des EWR. Er unterstützt bei Anträgen Betroffener und bei der Meldung von Datenschutzverletzungen. Weitere Auftragsverarbeiter setzt er nur mit vorheriger Genehmigung des Verantwortlichen ein und nach Ende der Leistung löscht er die Daten oder gibt sie zurück.

FAQ: Verträge und laufende Steuerung

Verträge und laufende Steuerung

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis