DORA Drittanbieter-Risikomanagement: IKT-Dienstleister regulieren

Art. 28 verpflichtet Finanzunternehmen, IKT-Drittanbieter-Risiken als integralen Bestandteil des eigenen IKT-Risikomanagements zu behandeln: vor Vertragsschluss ist eine Risikobewertung und Due Diligence durchzuführen, während der Vertragslaufzeit eine laufende Überwachung, und bei kritischen Anbietern zusätzlich eine Konzentrationsrisikoanalyse. Die Verantwortung für IKT-Risiken bleibt dabei vollständig beim Finanzunternehmen, unabhängig davon, ob Leistungen ausgelagert wurden.

Vorgeschrieben sind unter anderem Audit- und Zugangsrechte für das Finanzunternehmen und die Aufsichtsbehörde, klare Leistungsbeschreibungen mit Service-Levels, Regelungen zu Subunternehmern, sowie Kündigungsrechte und eine dokumentierte Exit-Strategie für den Fall eines Anbieterwechsels. Bei bestehenden Verträgen, die diese Klauseln nicht enthalten, ist eine Nachverhandlung notwendig, das betrifft in der Praxis häufig ältere Cloud- und Outsourcing-Verträge.

Konzentrationsrisiko entsteht, wenn viele kritische Funktionen von wenigen oder einem einzigen Anbieter abhängen, was bei den marktführenden Hyperscalern faktisch häufig der Fall ist. Die Bewertung umfasst eine Übersicht, welche kritischen Geschäftsfunktionen von welchem Anbieter abhängen, sowie eine Einschätzung, wie schnell im Ausfallfall auf einen Alternativanbieter umgestellt werden könnte. Vollständige Vermeidung ist selten realistisch; im Vordergrund steht eine dokumentierte, bewusste Risikoakzeptanz mit Notfallplan.

Sinnvoll ist eine risikobasierte Staffelung: Nicht jeder Anbieter benötigt dieselbe Überwachungstiefe. Für unkritische Standarddienstleister reichen meist jährliche Reviews, während kritische Anbieter mit hoher Ausfallwirkung kontinuierliches Monitoring, etwa über SLA-Kennzahlen und regelmäßige Statusberichte, erfordern. Diese Priorisierung nach Kritikalität verhindert, dass Ressourcen gleichmäßig über alle Anbieter verteilt werden, statt sich auf die tatsächlich risikorelevanten zu konzentrieren.

Das Register erfasst je Vertrag unter anderem den Anbieternamen, die Art der erbrachten Funktion, deren Kritikalitätseinstufung, den Standort der Datenverarbeitung sowie Angaben zu Subunternehmern. Es muss aktuell gehalten und auf Anfrage der Aufsichtsbehörde vorlegbar sein, ein Register, das nur zum Stichtag einer Prüfung aktualisiert wird, erfüllt die laufende Pflegepflicht nicht.

Notfallpläne für kritische Anbieter sollten regelmäßig durch simulierte Ausfallszenarien getestet werden, nicht nur auf dem Papier existieren. Das umfasst typischerweise eine Prüfung, ob alternative Bezugsquellen oder interne Ausweichlösungen innerhalb der definierten Wiederanlaufzeit tatsächlich verfügbar wären. Die Testergebnisse fließen in die laufende Bewertung des jeweiligen Anbieters ein und können bei wiederholten Schwachstellen Anlass für eine Anbieterüberprüfung sein.