Pia Streicher, Managing Consultant & Topic Lead, IT-Security, ADWEKO Consulting GmbH

Wer sich schon etwas intensiver mit DORA befasst hat, wird merken: An das Management von IKT-Drittdienstleistern werden hohe Anforderungen gestellt. Schon in der Vergangenheit haben aufsichtsrechtliche Anforderungen Preissteigerungen nach sich gezogen, vor allem kleinere Dienstleister haben das Handtuch geworfen und andere vielleicht „blind“ die Vorgaben akzeptiert – in der Wirksamkeitsprüfung zeigte sich aber, dass es an der Umsetzung hapert.

Was ist ein IKT-Drittdienstleister?

Es fängt bereits mit der Begrifflichkeit an. In Abgrenzung zum IT-Dienstleister werden unter dem Akronym „IKT“ auch Kommunikationstechnologien mit einbezogen. DORA definiert diesen Begriff als „digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzerinnen und Nutzern dauerhaft bereitgestellt werden“[1]. Genauer zu definieren ist hier vor allem der Begriff „dauerhaft“, über den der ein oder andere Dienstleister wohl auszuschließen sein wird.

In Anhang III des finalen Entwurfs der technischen Implementierungsstandards zum Informationsregister[2] findet sich eine Liste mit Dienstleistungen, die unter die Begrifflichkeit fallen. Schon bei der Lektüre wird bewusst – das Feld wird breiter.

Was muss in der Governance und der schriftlich fixierten Ordnung angepasst werden?

Die elementare Botschaft von DORA ist: Das IKT-Drittparteienrisikomanagement gehört zum IKT-Risikomanagement und ist dort als Bestandteil zu verorten[3]. Außerdem muss eine Funktion existieren, die verantwortlich ist für die dokumentierte Überwachung von Vereinbarungen mit und Risikoexpositionen durch IKT-Drittdienstleister.

Darüber hinaus ist eine Strategie zum Umgang mit dem IKT-Drittparteienrisiko[4] nötig, die auch eine Multivendorstrategie[5] umfassen kann. Benötigt wird ferner eine Vorgabe im Kontext der Vertragsbeziehungen zu Dienstleistern, die kritische und wichtige Funktionen unterstützen, sowie zur generellen Nutzung von IKT-Drittdienstleistungen[6].

Der bekannte Grundsatz, dass die Verantwortung für ausgelagerte Tätigkeiten beim Institut verbleibt,[7] sowie der Grundsatz der Verhältnismäßigkeit[8] gelten selbstverständlich auch unter DORA.

Verträge anpassen und den Überblick behalten

Die Anforderungen an die Vertragsgestaltung sind von DORA klar definiert[9] und setzen auch einen hohen Standard für Sachverhalte an, die bislang nicht als Auslagerung, Ausgliederung oder Outsourcing definiert wurden.

Anhand des Informationsregisters müssen IKT-Drittdienstleister akribisch erfasst und regelmäßig an die BaFin gemeldet werden. Dabei gilt es aufzuzeigen, welche Prozesse und welche kritischen und wichtigen Funktionen von IKT-Drittdienstleistern abhängig sind[10].

Was, wenn der Dienstleister die Anforderungen nicht erfüllen will?

Grundsätzlich steigen mit DORA die Anforderungen an Ausstiegsstrategien[11]. Im Idealfall befasst man sich bereits vor der Anpassung der Bestandsverträge – und natürlich vor dem Einkauf neuer Dienstleistungen – mit dem Exit. Steigt der Dienstleister dann aus, kann man über die bereits durchdachte Ausstiegsstrategie eine alternative Lösung herbeiführen.

Wie zuvor genannt, greift der Grundsatz der Verhältnismäßigkeit auch weiterhin. Startet man also mit den risikobehafteten IKT-Dienstleistungen, werden hier auch heute schon höhere Standards gelten. Das Risiko, dass ein Dienstleister die neuen Anforderungen nicht erfüllen kann oder will, besteht voraussichtlich vor allem bei kleineren Dienstleistern. Können diese nicht ersetzt werden, sollte der höchstmögliche Standard angelegt werden; für die nicht umsetzbaren Themen können kurz-, mittel- und langfristige Maßnahmen geplant werden. Dazu sollten die offenen Punkte transparent ins Risikomanagement einfließen und bewertet werden.

PRAXISTIPPS

• Starten Sie mit der Risikoanalyse. Bewerten Sie die bestehenden Dienstleistungen neu. Sind es IKT-Dienstleistungen? Wie kritisch sind Sie? Welche Prozesse werden unterstützt? Sind kritische und wichtige Funktionen betroffen?
• Risikoorientierter Ansatz. Gehen Sie auf Basis der verbundenen Risiken vor. Für Neuverträge lohnt es sich, frühzeitig auf die neuen Anforderungen umzusteigen. Bei der Anpassung des Bestandes sollten die wichtigsten Dienstleistungen erkannt und mit diesen begonnen werden.
• Das Informationsregister als Chance. Die Dokumentation aller IKT-Dienstleistungen inklusive der Verbindung zu Prozessen und Funktionen ist eine Chance, mehr Transparenz über die eigenen Prozesse und Abhängigkeiten zu gewinnen.
• Seien Sie mutig. Stand heute kann nicht final bewertet werden, welche Interpretation und Umsetzung aufsichtlich „richtig“ ist. Dokumentieren und begründen Sie Ihre Entscheidungen und lassen Sie sich nicht übermäßig von Unsicherheiten bremsen.