Verwaltung von DORA-Drittanbieter-IKT-Risiken mit KI

Übersicht

Sie erfahren, wie Sie die Anforderungen an das Management von Drittanbieter-IKT-Risiken gemäß DORA-Artikeln 28-30 mithilfe von KI umsetzen. Dieser Leitfaden behandelt den Aufbau und die Pflege des IKT-Drittanbieter-Registers, die Durchführung von vorvertraglichen Bewertungen, die Einbindung verbindlicher Vertragsklauseln, die Bewertung von Konzentrationsrisiken, die Entwicklung von Exit-Strategien und die Einrichtung einer kontinuierlichen Überwachung, mit spezifischen ISMS-Copilot-Prompts für die Erstellung jeder Komponente.

Zielgruppe

Dieser Leitfaden richtet sich an:

• Verantwortliche für Drittanbieter-Risiken und Fachleute für Lieferantenmanagement in Finanzinstituten
• Einkaufs- und Rechtsteams, die für Verträge mit IKT-Dienstleistern zuständig sind
• CISOs und CROs, die das IKT-Lieferkettenrisiko überwachen
• Compliance-Beauftragte, die sicherstellen, dass Drittanbieter-Vereinbarungen den DORA-Anforderungen entsprechen
• Berater, die Finanzinstitute zur Verwaltung von Drittanbieter-Risiken gemäß DORA beraten
• IKT-Drittanbieter, die die Verpflichtungen ihrer Kunden verstehen möchten

Vorbereitungen

Sie benötigen:

• Ein ISMS-Copilot-Konto (kostenlose Testversion verfügbar)
• Ihr IKT-Asset-Inventar aus Wie man einen DORA-IKT-Risikomanagement-Rahmen mit KI aufbaut (identifiziert, welche Assets von Drittanbietern abhängen)
• Eine Liste Ihrer aktuellen IKT-Drittanbieter und der von ihnen erbrachten Dienstleistungen
• Zugriff auf bestehende IKT-Dienstleistungsverträge zur Überprüfung
• Kenntnis darüber, welche IKT-Dienstleistungen Ihre kritischen oder wichtigen Funktionen unterstützen
• Zugriff auf Ihre Rechts-, Einkaufs- und Lieferantenmanagement-Teams

Verständnis der DORA-Anforderungen für Drittanbieter-IKT-Risiken

Artikelweise Aufschlüsselung

DORA Kapitel V, Abschnitt I (Artikel 28-30) etabliert das umfassendste Regime für das Management von Drittanbieter-IKT-Risiken in der EU-Finanzregulierung:

Article

Title

Key requirements

Key deliverables

Art 28

Allgemeine Grundsätze

Richtlinie für Drittanbieter-IKT-Risiken, Register aller Anbieter, vorvertragliche Bewertung, laufende Überwachung, Verantwortung des Leitungsorgans

Richtlinie für Drittanbieter-IKT-Risiken, Anbieterregister, Bewertungsverfahren

Art 29

Vorläufige Bewertung des IKT-Konzentrationsrisikos

Bewertung des Konzentrationsrisikos vor Abschluss neuer Vereinbarungen, Berücksichtigung der Austauschbarkeit, Datenstandort, operationelle Risiken der Konzentration

Bewertung des Konzentrationsrisikos, Abhängigkeitsanalyse

Art 30

Wesentliche vertragliche Bestimmungen

Verbindliche Vertragsklauseln: SLAs, Audit-Rechte, Datenstandort, Incident-Unterstützung, Exit-Bestimmungen, Subunternehmer-Kontrollen

Vertragsklausel-Bibliothek, Checkliste für Vertragsprüfung, Vorlagen für Änderungen

Der Umfang des Drittanbieter-IKT-Risikos gemäß DORA

DORA vertritt eine umfassende Sicht auf Drittanbieter-IKT-Risiken. Die Anforderungen gelten für alle von Dritten bezogenen IKT-Dienstleistungen, nicht nur für Outsourcing-Vereinbarungen. Dazu gehören:

• Cloud-Dienste: IaaS-, PaaS-, SaaS-Anbieter (AWS, Azure, Google Cloud, Salesforce usw.)
• Kernsystem-Anbieter: Kernbankensysteme, Zahlungsabwicklung, Handelsplattformen
• Managed Services: Managed Security (SOC), Managed IT-Betrieb, Managed Network Services
• Datendienste: Datenanalysen, Marktdatenanbieter, Bonitätsbewertungsdienste
• Kommunikationsdienste: SWIFT, Zahlungsnetzwerke, Messaging-Plattformen
• Softwareanbieter: Unternehmensanwendungen, Sicherheitstools, Regulierungstechnologie
• Infrastrukturanbieter: Data-Center-Ko-Lokation, Netzwerkkonnektivität, CDN-Dienste

Schritt 1: Aufbau Ihres IKT-Drittanbieter-Registers (Artikel 28)

Erstellung des Registers

Artikel 28(3) verlangt von Finanzinstituten, ein Register mit Informationen zu allen vertraglichen Vereinbarungen für IKT-Dienstleistungen zu führen und zu aktualisieren. Dieses Register muss der zuständigen Behörde auf Anfrage zur Verfügung gestellt und jährlich über standardisierte Vorlagen gemeldet werden.

1. Öffnen Sie Ihren DORA-Arbeitsbereich in ISMS Copilot

2. Generieren Sie die Registervorlage:

   "Erstellen Sie eine Vorlage für ein IKT-Drittanbieter-Register, die DORA Artikel 28(3) und die zugehörigen Regulatory Technical Standards erfüllt. Fügen Sie Felder hinzu für: Anbieteridentifikation (Rechtsname, LEI, Gerichtsstand, Muttergesellschaft), Vertragsidentifikation (Vertragsreferenz, Startdatum, Verlängerungsdatum, Kündigungsfrist), Dienstleistungsbeschreibung (erbrachte IKT-Dienstleistungen, Dienstleistungskategorie, Bereitstellungsmodell), unterstützte Funktion (kritische oder wichtige Funktion: ja/nein, Name der Geschäftsfunktion), Datenklassifizierung (verarbeitete Datentypen, Datenstandort einschließlich Land und Region, Datenübertragungsmechanismen), Subunternehmereinsatz (genutzte Subunternehmer, Standort der Subunternehmer, Details zu den subunternehmerischen Dienstleistungen), Risikobewertungszusammenfassung (Risikobewertung, Datum der letzten Bewertung, wichtige Erkenntnisse), Vertragskonformitätsstatus (vorhandene DORA-verbindliche Klauseln: ja/teilweise/nein), Exit-Strategie-Status (Exit-Plan entwickelt: ja/nein, Datum der letzten Prüfung) und Datum der letzten Überprüfung. Fügen Sie Erläuterungen zu jedem Feld hinzu und geben Sie Beispiel-Einträge für gängige Anbietertypen (Cloud, Kernbankensysteme, Managed Security)."

3. Füllen Sie das Register systematisch aus:

   "Helfen Sie uns, alle IKT-Drittanbieter für unser Register zu identifizieren und zu kategorisieren. Wir sind ein [Institutionstyp] und nutzen die folgenden IKT-Dienstleistungen: [Liste bekannter Dienstleistungen und Anbieter]. Helfen Sie uns für jeden Anbieter zu klassifizieren: ob er kritische oder wichtige Funktionen unterstützt, welche Daten er verarbeitet und wo diese sich befinden, welche Subunternehmer-Vereinbarungen wir untersuchen sollten, die Risikobewertung basierend auf der Kritikalität der Dienstleistung und der Anbieterabhängigkeit sowie die Priorität der Vertragsprüfung. Identifizieren Sie auch Kategorien von Anbietern, die wir möglicherweise übersehen haben: DNS-Anbieter, Zertifizierungsstellen, Zahlungsabwickler, Marktdatenfeeds, Tools für regulatorische Berichterstattung, Backup- und DR-Anbieter, Identitätsanbieter und Telekommunikationsanbieter."

Registerpflege und Berichterstattung

Das Register ist keine einmalige Übung. Richten Sie laufende Wartungsverfahren ein:

"Erstellen Sie ein Verfahren zur Pflege und Aktualisierung des IKT-Drittanbieter-Registers gemäß DORA. Enthalten sein sollten: Auslöser für Registeraktualisierungen (neue Verträge, Vertragsänderungen, Anbieterwechsel, Änderungen bei Subunternehmern, Neubewertung von Risiken), Verantwortlichkeiten und Arbeitsabläufe für Aktualisierungen, Qualitätskontrollen, jährlicher umfassender Überprüfungsprozess, Meldeanforderungen an die zuständige Behörde (jährliche Einreichung im RTS-Format), Berichterstattung an das Leitungsorgan (Zusammenfassung des Registerstatus, Risikokonzentrationen, Compliance-Lücken) und Integration in die Beschaffungsprozesse (Registeraktualisierung als obligatorischer Schritt bei neuen IKT-Beschaffungen). Stellen Sie eine Checkliste für die jährliche Registerüberprüfung bereit."

Schritt 2: Durchführung vorvertraglicher Bewertungen (Artikel 28)

Due-Diligence-Rahmenwerk

Vor Abschluss oder Verlängerung einer IKT-Dienstleistungsvereinbarung verlangt DORA eine gründliche Bewertung des Anbieters und der Vereinbarung. Die Tiefe der Bewertung sollte proportional zur Kritikalität der unterstützten Funktion sein.

1. Generieren Sie das Bewertungsrahmenwerk:

   "Erstellen Sie ein Rahmenwerk für die vorvertragliche Bewertung von IKT-Drittanbietern gemäß DORA Artikel 28. Berücksichtigen Sie folgende Bewertungsbereiche: finanzielle Stabilität und Lebensfähigkeit des Anbieters, IKT-Sicherheitsfähigkeiten und Zertifizierungen (ISO 27001, SOC 2, CSA STAR), Incident-Management- und Meldefähigkeiten, Business Continuity und Disaster Recovery-Fähigkeiten, Datenschutz- und Compliance mit der DSGVO, Subunternehmer-Praktiken und Transparenz, regulatorische Compliance-Historie, geografische Risikobewertung (Datenstandort, Gerichtsbarkeit, politische Stabilität), Exit- und Übergangsunterstützungsfähigkeiten sowie Reputation und Marktposition des Anbieters. Für jeden Bereich sollten enthalten sein: Bewertungsfragen, anzufordernde Nachweise, Bewertungskriterien (angemessen, verbesserungsbedürftig, unzureichend) und Warnsignale. Erstellen Sie zwei Bewertungstiefen: Standardbewertung (für nicht-kritische Dienstleistungen) und erweiterte Bewertung (für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen). Stellen Sie eine Vorlage für den Bewertungsbericht bereit."

2. Erstellen Sie einen Sicherheitsbewertungsfragebogen für Anbieter:

   "Erstellen Sie einen detaillierten IKT-Sicherheitsbewertungsfragebogen zur Evaluierung von Drittanbieter-IKT-Dienstleistern gemäß DORA. Berücksichtigen Sie folgende Themen: Governance und Organisation (Sicherheitsleitung, Richtlinien, Zertifizierungen), Zugriffsmanagement (Authentifizierung, Autorisierung, privilegierter Zugriff), Datenschutz (Verschlüsselung im Ruhezustand und während der Übertragung, Schlüsselmanagement, Datenklassifizierung), Netzwerksicherheit (Segmentierung, Überwachung, Intrusion Detection), Incident-Management (Erkennungsfähigkeiten, Reaktionsverfahren, Meldefristen), Business Continuity (BCP/DRP, RTO/RPO-Fähigkeiten, Testhäufigkeit), Schwachstellenmanagement (Scanning, Patching, Behebungsfristen), Change-Management (Testen, Genehmigung, Rollback), Personalsicherheit (Hintergrundprüfungen, Schulungen, Sensibilisierung), physische Sicherheit (Rechenzentrumssicherheit, Umgebungssteuerungen) sowie Subunternehmer- und Viertparteien-Risiko. Fügen Sie sowohl Ja/Nein- als auch offene Fragen hinzu. Geben Sie Bewertungsrichtlinien an."

Bewertung von Anbieterrisiken vor der Beauftragung

Nutzen Sie ISMS Copilot, um spezifische Anbieter oder Anbietertypen zu bewerten:

"Wir erwägen [Anbietername/-typ] für [Dienstleistungsbeschreibung], die [kritische/wichtige/Standardfunktion] unterstützt. Führen Sie eine DORA-konforme vorvertragliche Risikobewertung durch. Berücksichtigen Sie: die Fähigkeit des Anbieters, die Anforderungen an DORA-Vertragsklauseln (Artikel 30) zu erfüllen, Auswirkungen des Datenstandorts und der Datenübertragung, Transparenz bei Subunternehmern, Fähigkeit zur Incident-Meldung in Übereinstimmung mit unserer 4-Stunden-DORA-Meldefrist, Prüfbarkeit (Recht auf Audit, Zugriff auf Berichte), Machbarkeit des Exits (Datenportabilität, Übergangsunterstützung, Lock-in-Risiken), Auswirkungen auf das Konzentrationsrisiko (hängen wir bereits von diesem Anbieter oder seiner Muttergesellschaft für andere kritische Dienstleistungen ab?) und regulatorische Überlegungen für unsere zuständige Behörde. Geben Sie eine risikobewertete Einschätzung mit einer Empfehlung ab, ob wir fortfahren sollten."

Schritt 3: Umsetzung verbindlicher Vertragsklauseln (Artikel 30)

Verständnis der Anforderungen von Artikel 30

Artikel 30 legt verbindliche Elemente fest, die in Verträgen für IKT-Dienstleistungen enthalten sein müssen. Die Anforderungen sind noch detaillierter für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Dies ist oft der arbeitsintensivste Aspekt des DORA-Drittanbieter-Risikomanagements.

1. Generieren Sie die Vertragsklausel-Bibliothek:

   "Erstellen Sie eine umfassende DORA-Artikel-30-Vertragsklausel-Bibliothek für IKT-Dienstleistungsvereinbarungen. Für jede verbindliche Anforderung sollten enthalten sein: der DORA-Artikel-Verweis, eine Mustervertragsklausel (bereit zur rechtlichen Prüfung), Erläuterungen und Verhandlungsempfehlungen. Berücksichtigen Sie alle Anforderungen von Artikel 30: klare Dienstleistungsbeschreibung mit quantitativen und qualitativen Leistungszielen, Datenverarbeitungsstandorte (einschließlich Speicher-, Verarbeitungs- und Backup-Standorte) mit vorheriger Benachrichtigung bei Änderungen, Datenschutz- und Vertraulichkeitsverpflichtungen, Garantien für Datenverfügbarkeit, Authentizität, Integrität und Zugänglichkeit, Service Level Agreements (SLAs) mit messbaren Metriken, Incident-Meldepflichten (abgestimmt auf DORA-Meldefristen, die eine Anbietermeldung innerhalb von Zeiträumen erfordern, die unsere 4-Stunden-Frist unterstützen), Zusammenarbeit des Anbieters mit zuständigen Behörden, Audit-Rechte (Recht auf Durchführung von Audits und Inspektionen, einschließlich vor Ort, oder Vertrauen auf Drittzertifizierungen), Kündigungsbestimmungen und angemessene Übergangsfristen, Teilnahme an Schulungen zur IKT-Sicherheitsbewusstsein. Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, fügen Sie erweiterte Klauseln hinzu für: vollständige Dienstleistungsbeschreibung mit klaren Funktionen und Unterfunktionen, Leistungsziele mit entsprechenden Strafen, Verpflichtungen zu Business Continuity und Disaster Recovery sowie deren Testung, Meldepflichten (regelmäßige Berichte über Dienstleistungsperformance, Sicherheit und wesentliche Änderungen), Verpflichtungen zur Exit-Unterstützung (Datenrückgabe, Übergangsunterstützung, Migrationshilfe), Subunternehmer-Anforderungen (vorherige Genehmigung, Weitergabe der DORA-Klauseln, Widerspruchsrecht) und uneingeschränktes Recht des Finanzinstituts zur laufenden Überwachung."

2. Erstellen Sie eine Checkliste für die Vertragsprüfung:

   "Erstellen Sie eine Checkliste zur Überprüfung der DORA-Artikel-30-Konformität für bestehende IKT-Dienstleistungsvereinbarungen. Für jede Anforderung von Artikel 30 sollten enthalten sein: die Anforderungsbeschreibung, Bewertung der Konformität (konform/teilweise konform/nicht konform), spezifischer Klauselverweis im bestehenden Vertrag (falls vorhanden), Lückenbeschreibung (falls teilweise oder nicht konform), empfohlene Änderungssprache und Priorität (kritisch für Dienstleistungen, die kritische/wichtige Funktionen unterstützen, Standard für andere). Die Checkliste sollte von Rechts- und Einkaufsteams zur systematischen Überprüfung bestehender Verträge genutzt werden können. Fügen Sie einen Zusammenfassungsmechanismus hinzu, um zu identifizieren, welche Verträge sofort neu verhandelt werden müssen."

Verhandlungsstrategien

Nutzen Sie ISMS Copilot, um sich auf Vertragsverhandlungen vorzubereiten:

"Erstellen Sie eine DORA-Vertragsverhandlungsstrategie für Gespräche mit unserem [Anbietertyp, z. B. großer Cloud-Anbieter / Kernbankensystem-Lieferant / Managed-Security-Anbieter]. Gehen Sie auf häufige Einwände der Anbieter ein: 'Wir können nicht jedem Kunden individuelle Audit-Rechte gewähren' (diskutieren Sie die Nutzung von SOC 2/ISO 27001-Berichten, gemeinsamen Audits und Drittzertifizierungen gemäß Artikel 30(3)), 'Wir können keine spezifischen Datenstandorte garantieren' (DORA-Anforderungen, regulatorische Erwartungen, alternative Ansätze), 'Unsere Standard-SLAs sind nicht verhandelbar' (Mindestanforderungen von DORA, Eskalationsansätze), 'Wir akzeptieren keine unbegrenzte Haftung' (proportionale Ansätze, Verhandlungen über Haftungsobergrenzen), 'Unsere Meldefristen betragen 24-48 Stunden' (Notwendigkeit, die 4-Stunden-DORA-Frist zu unterstützen, gestufte Meldeansätze). Für jeden Einwand sollten enthalten sein: die rechtliche DORA-Anforderung, alternative Ansätze, die die Regulierung erfüllen, Kompromisspositionen und Eskalationsstrategien."

Schritt 4: Bewertung und Management von Konzentrationsrisiken (Artikel 29)

Verständnis von IKT-Konzentrationsrisiken

Artikel 29 verlangt von Finanzinstituten, IKT-Konzentrationsrisiken vor Abschluss von IKT-Dienstleistungsvereinbarungen und fortlaufend zu bewerten. Konzentrationsrisiken entstehen, wenn eine übermäßige Abhängigkeit von einem einzigen Anbieter (oder einer kleinen Gruppe von Anbietern) systemische Verwundbarkeiten schafft.

1. Generieren Sie das Rahmenwerk zur Bewertung von Konzentrationsrisiken:

   "Erstellen Sie ein Rahmenwerk zur Bewertung von IKT-Konzentrationsrisiken gemäß DORA Artikel 29. Enthalten sein sollten: Definition und Umfang des IKT-Konzentrationsrisikos, Bewertungsmethodik, die folgende Aspekte abdeckt: Abhängigkeit von einem einzigen Anbieter (wie viele kritische Funktionen hängen von einem Anbieter ab), Abhängigkeit von einer Anbietergruppe (Analyse der Muttergesellschaft, Tochtergesellschaften und verbundenen Anbieter), Abhängigkeit vom Technologie-Stack (Abhängigkeit von einer einzigen Technologieplattform), geografische Konzentration (alle kritischen Dienstleistungen in einer Region oder einem Rechenzentrum), Bewertung der Austauschbarkeit (Leichtigkeit, mit der jeder kritische Anbieter ersetzt werden kann), Konzentration in der Lieferkette (mehrere Anbieter, die von derselben vierten Partei abhängen), Marktkonzentration (begrenzte alternative Anbieter in einer Dienstleistungskategorie). Für jede Dimension sollten enthalten sein: Bewertungskriterien, Messmetriken, Risikobewertungsschwellen (niedrig, mittel, hoch, kritisch) und Minderungsstrategien. Erstellen Sie eine Vorlage für ein Konzentrationsrisiko-Dashboard zur Berichterstattung an das Leitungsorgan."

2. Führen Sie eine Analyse des Konzentrationsrisikos durch:

   "Basierend auf unserem IKT-Drittanbieter-Register führen Sie eine Analyse des Konzentrationsrisikos durch. Unsere Anbieter umfassen: [Liste der wichtigsten Anbieter und Dienstleistungen]. Analysieren Sie: welche Anbieter mehrere kritische Funktionen unterstützen (Einzelanbieter-Konzentration), ob Anbieter gemeinsame Muttergesellschaften oder Infrastrukturen nutzen (Gruppenkonzentration), die geografische Konzentration unserer kritischen IKT-Dienstleistungen, die Marktverfügbarkeit alternativer Anbieter für jede kritische Dienstleistung, das potenzielle systemische Risiko bei einem größeren Ausfall unseres kritischsten Anbieters und Abhängigkeiten von vierten Parteien (z. B. mehrere Anbieter, die dieselbe Cloud-Plattform nutzen). Bewerten Sie das Konzentrationsrisiko für jede identifizierte Abhängigkeit und empfehlen Sie Minderungsmaßnahmen."

Minderung von Konzentrationsrisiken

Wenn Konzentrationsrisiken identifiziert werden, entwickeln Sie Minderungsstrategien:

"Entwickeln Sie für jedes identifizierte hohe oder kritische Konzentrationsrisiko Minderungsstrategien. Berücksichtigen Sie: Mehr-Anbieter-Strategien (Verteilung kritischer Dienstleistungen auf mehrere Anbieter), Multi-Cloud- oder Hybrid-Ansätze, Aufrechterhaltung interner Fähigkeiten als Fallback, vertragliche Schutzmaßnahmen (erweiterte SLAs, Verpflichtungen zur Business Continuity, Escrow-Vereinbarungen), Maßnahmen zur Technologieportabilität (Vermeidung von proprietären Lock-ins, Nutzung portabler Formate und Standards), geografische Diversifizierung kritischer Dienstleistungen, Management von Viertparteien-Risiken (Sicherstellung, dass Anbieter ihre eigenen Konzentrationsrisiken mindern) und schrittweise Diversifizierungsroadmaps, wenn eine sofortige Änderung nicht machbar ist. Für jede Minderungsstrategie sollten enthalten sein: Umsetzungsschritte, Zeitschätzung, Kostenüberlegungen, verbleibendes Risiko nach der Minderung und Entscheidungspunkte für das Leitungsorgan."

Schritt 5: Entwicklung von Exit-Strategien (Artikel 28)

Anforderungen an Exit-Strategien

DORA verlangt von Finanzinstituten, Exit-Strategien für IKT-Dienstleistungen zu entwickeln, die kritische oder wichtige Funktionen unterstützen. Exit-Strategien müssen sicherstellen, dass die Beendigung oder der Wechsel von einem Anbieter die Dienstleistungen nicht stört, Daten nicht gefährdet oder die regulatorische Compliance beeinträchtigt.

1. Generieren Sie Exit-Strategie-Vorlagen:

   "Erstellen Sie Exit-Strategie-Vorlagen zur Einhaltung von DORA Artikel 28, die IKT-Dienstleistungen abdecken, die kritische oder wichtige Funktionen unterstützen. Für jeden kritischen Anbieter/Dienst sollte die Exit-Strategie enthalten: Auslöser für den Exit (Anbieterausfall, Vertragsverletzung, Konzentrationsrisiko, strategische Änderung, regulatorische Anforderung), Übergangsplanung (Zielzustandsoptionen: alternativer Anbieter, Inhouse, Hybrid), Übergangszeitplan und Meilensteine (realistisch für die Komplexität der Dienstleistung), Datenmigrationsplan (Datenextraktion, Formatkonvertierung, Validierung, Löschung beim Anbieter), Wissensübertragungsanforderungen (Dokumentation, Schulung, operativer Übergang), Parallelbetriebszeitraum (Mindestdauer, Akzeptanzkriterien für den Übergang), Ressourcenanforderungen (internes Team, externe Unterstützung, Budget), Kommunikationsplan (Kunden, Regulierungsbehörden, andere Stakeholder), Test und Validierung alternativer Vereinbarungen vor dem vollständigen Übergang, vertragliche Bestimmungen zur Unterstützung des Exits (Übergangsunterstützungszeitraum, Datenrückgabeverpflichtungen) und Risikobewertung des Exit-Prozesses selbst (Übergangsrisiken, Minderungsmaßnahmen). Erstellen Sie Vorlagen für gängige Szenarien: Exit von Cloud-Anbietern, Ersatz von Kernsystemen und Übergang von Managed Services."

2. Einrichtung von Exit-Strategie-Tests:

   "Erstellen Sie Verfahren zum Testen von Exit-Strategien für kritische IKT-Drittanbieter. Enthalten sein sollten: Testhäufigkeit (mindestens jährliche Überprüfung, Testen der Schlüsselkomponenten), Testarten (Tischübung zur Exit-Planung, teilweiser Datenextraktionstest, Proof of Concept mit alternativem Anbieter, vollständige Übergangssimulation), Testszenarien (geplanter Exit mit Kooperation, Notfall-Exit mit begrenzter Anbieterkooperation, Insolvenz des Anbieters), Erfolgskriterien für jede Testart, Dokumentation und Berichterstattung der Testergebnisse, Berichterstattung an das Leitungsorgan über die Exit-Strategie-Bereitschaft und Behebung identifizierter Lücken. Stellen Sie einen Testplan bereit, der auf unser gesamtes DORA-Resilienz-Testprogramm abgestimmt ist."

Schritt 6: Einrichtung einer kontinuierlichen Überwachung (Artikel 28)

Kontinuierliche Anbieterüberwachung

DORA verlangt eine kontinuierliche Überwachung von IKT-Drittanbietern, nicht nur punktuelle Bewertungen. Die Intensität der Überwachung sollte proportional zur Kritikalität der Dienstleistung sein:

1. Generieren Sie das Überwachungsrahmenwerk:

   "Erstellen Sie ein Rahmenwerk für die kontinuierliche Überwachung von IKT-Drittanbietern gemäß DORA Artikel 28. Enthalten sein sollten Überwachungsaktivitäten: Verfolgung der SLA-Leistung (Verfügbarkeit, Reaktionszeiten, Incident-Behebung, im Vergleich zu vertraglichen Zielen), Überwachung der Sicherheitslage (aufrechterhaltene Zertifizierungen, Schwachstellenmeldungen, öffentliche Incident-Meldungen), Überwachung der finanziellen Stabilität (Bonitätsbewertungen, Finanzberichte, Marktnews, Übernahmeaktivitäten), Incident-Meldungen von Anbietern (Zeitgerechtigkeit, Vollständigkeit, Übereinstimmung mit DORA-Anforderungen), Änderungen bei Subunternehmern (neue Subunternehmer, Standortänderungen von Subunternehmern), regulatorische Entwicklungen, die den Anbieter betreffen (Durchsetzungsmaßnahmen, Lizenzänderungen, Einstufung als kritischer Anbieter) und wesentliche Änderungen der Dienstleistungserbringung (Technologieänderungen, Rechenzentrumsmigrationen, Personalwechsel). Für jede Überwachungsaktivität sollten spezifiziert sein: Häufigkeit (kontinuierlich, monatlich, vierteljährlich, jährlich), Datenquellen, verantwortliche Rolle, Eskalationskriterien (wann Überwachungsergebnisse eine Neubewertung oder Vertragsprüfung auslösen) und Dokumentationsanforderungen. Erstellen Sie eine Vorlage für ein Überwachungs-Dashboard."

2. Definieren Sie Verfahren zur Leistungsüberprüfung von Anbietern:

   "Erstellen Sie ein Verfahren zur Leistungsüberprüfung von IKT-Drittanbietern zur Einhaltung von DORA. Enthalten sein sollten: Überprüfungshäufigkeit (vierteljährlich für kritische Anbieter, halbjährlich für wichtige, jährlich für Standardanbieter), Vorlage für die Tagesordnung der Überprüfung (SLA-Leistung, Sicherheitslage, Incidents und Meldungen, Subunternehmer, wesentliche Änderungen, Compliance-Status), Teilnehmer (Anbieterbeziehungsmanager, Sicherheit, Compliance), Eskalationsverfahren bei Unterperformance (Nachbesserungsaufforderungen, verstärkte Überwachung, Meldung an das Leitungsorgan, Vertragskündigungstrigger), Dokumentationsanforderungen (Protokolle, Maßnahmen, Zusagen des Anbieters) und jährliche Zusammenfassungsberichte für das Leitungsorgan und die zuständige Behörde. Stellen Sie eine Vorlage für den Leistungsüberprüfungsbericht bereit."

Überwachung von Subunternehmern

DORA verlangt die Überwachung von Subunternehmerketten. Ihre Überwachung muss über Ihre direkten Anbieter hinausgehen:

"Erstellen Sie ein Verfahren zur Überwachung von Subunternehmern zur Einhaltung von DORA. Enthalten sein sollten: vertragliche Anforderungen an die Transparenz von Subunternehmern (vorherige Benachrichtigung oder Genehmigung, Widerspruchsrecht), Verpflichtungen des Anbieters zur Offenlegung von Subunternehmern und deren Rollen, Bewertungskriterien für wesentliche Subunternehmer (gleiche Kriterien wie für den Hauptanbieter), Überwachung von Änderungen in der Subunternehmerkette, Verfahren bei Hinzufügung neuer Subunternehmer durch Anbieter (Bewertung, Risikoprüfung, Genehmigung oder Widerspruch), Bewertung von Viertparteien-Risiken (Subunternehmer von Subunternehmern), Weitergabe DORA-relevanter Vertragsanforderungen an Subunternehmer und Eskalationsverfahren, wenn Subunternehmer-Vereinbarungen das Konzentrationsrisiko erhöhen. Stellen Sie eine Vorlage für ein Subunternehmer-Register und einen Bewertungsworkflow bereit."

Schritt 7: Governance und Berichterstattung an das Leitungsorgan

Richtlinie für Drittanbieter-IKT-Risiken

Artikel 28(2) verlangt eine Richtlinie zur Nutzung von IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Diese Richtlinie muss vom Leitungsorgan genehmigt werden:

"Erstellen Sie eine Richtlinie für das Management von Drittanbieter-IKT-Risiken gemäß DORA Artikel 28(2). Enthalten sein sollten: Zweck, Geltungsbereich und Anwendbarkeit der Richtlinie, Verantwortlichkeiten des Leitungsorgans für die Aufsicht über Drittanbieter-IKT-Risiken, Risikoappetit für IKT-Drittanbieter-Dienstleistungen (akzeptable Konzentrationsniveaus, geografische Beschränkungen, Anbieterstandards), Anforderungen an vorvertragliche Bewertungen (Auslösekriterien, Bewertungstiefe nach Kritikalität), vertragliche Standards und verbindliche Klauseln, Verpflichtungen zur kontinuierlichen Überwachung und Überprüfung, Anforderungen an Exit-Strategien und Business Continuity, Rollen und Verantwortlichkeiten (Verantwortlicher für Drittanbieter-Risiken, CISO, Rechtsabteilung, Einkauf, Fachabteilungen), Eskalations- und Ausnahmeverfahren, Häufigkeit der Überprüfung und Aktualisierung der Richtlinie (mindestens jährlich) und Integration in den gesamten IKT-Risikomanagement-Rahmen. Die Richtlinie sollte zur Genehmigung durch das Leitungsorgan geeignet sein."

Berichterstattung an das Leitungsorgan

Halten Sie das Leitungsorgan durch strukturierte Berichterstattung über Drittanbieter-IKT-Risiken auf dem Laufenden:

"Erstellen Sie ein Berichterstattungspaket für das Leitungsorgan zu Drittanbieter-IKT-Risiken gemäß DORA. Enthalten sein sollten: Zusammenfassung des Anbieterregisters (Gesamtzahl der Anbieter, Anbieter, die kritische Funktionen unterstützen, neue/beendete Vereinbarungen), Konzentrationsrisiko-Dashboard (wichtige Abhängigkeitsmetriken, Änderungen gegenüber der Vorperiode), Vertragskonformitätsstatus (Prozentsatz der Verträge mit vollständiger DORA-Artikel-30-Konformität, Fortschritt bei der Behebung), Zusammenfassung der Anbieterleistung (SLA-Erfüllungsraten, wesentliche Incidents bei Anbietern, Änderungen der Sicherheitslage), Bewertung der Exit-Strategie-Bereitschaft, wichtige Risiken und aufkommende Themen (finanzielle Instabilität von Anbietern, regulatorische Maßnahmen, technologische Veränderungen) und empfohlene Entscheidungen des Leitungsorgans. Stellen Sie eine Vorlage für die vierteljährliche Berichterstattung und eine Vorlage für die jährliche umfassende Überprüfung bereit."

Schritt 8: Berücksichtigung grenzüberschreitender und gruppenweiter Aspekte

Gruppenweites Management von Drittanbieter-IKT-Risiken

Wenn Ihr Institut Teil einer Finanzdienstleistungsgruppe ist, muss das Management von Drittanbieter-IKT-Risiken gemäß DORA auf Gruppenebene koordiniert werden:

"Berücksichtigen Sie gruppenweite Aspekte für das Management von Drittanbieter-IKT-Risiken gemäß DORA. Unser Institut ist Teil von [Gruppenstruktur]. Helfen Sie uns: das Anbieterregister über alle Gruppengesellschaften hinweg zu konsolidieren (gemeinsame Anbieter identifizieren, gruppenweite Konzentrationsrisiken), Vertragsverhandlungen für Anbieter zu koordinieren, die von mehreren Gruppengesellschaften genutzt werden, Standards für vorvertragliche Bewertungen innerhalb der Gruppe abzustimmen, Überwachungsaktivitäten und -ergebnisse auszutauschen, Exit-Strategien zu koordinieren, wenn mehrere Gesellschaften von demselben Anbieter abhängig sind, und gruppenweite Drittanbieter-IKT-Risiken an das Leitungsorgan der Muttergesellschaft zu berichten. Stellen Sie ein Rahmenwerk für die gruppenweite Koordination bereit."

Grenzüberschreitende Anforderungen an den Datenstandort

DORA Artikel 30 verlangt, dass Verträge die Standorte der Datenverarbeitung spezifizieren. Für grenzüberschreitende Vereinbarungen sind die regulatorischen Auswirkungen zu berücksichtigen:

"Analysieren Sie die Anforderungen an den Datenstandort und grenzüberschreitende Aspekte unserer IKT-Drittanbieter-Vereinbarungen gemäß DORA Artikel 30. Unsere Anbieter verarbeiten Daten in [Liste der Länder/Regionen]. Bewerten Sie: die Einhaltung der Anforderungen zur Offenlegung des Datenstandorts, Angemessenheitsbeschlüsse der DSGVO und Übertragungsmechanismen für die Datenverarbeitung außerhalb der EU, regulatorische Beschränkungen für den Standort der Datenverarbeitung von Finanzdaten in unserer Gerichtsbarkeit, Risiken der Datenverarbeitung in Ländern mit schwächerem rechtlichen Schutz, Verpflichtungen der Anbieter, Änderungen des Datenstandorts zu melden, und vertragliche Kontrollen zur Aufrechterhaltung der Compliance mit dem Datenstandort. Geben Sie Empfehlungen für jeden Anbieter/Dienst, bei dem der Datenstandort ein Risiko darstellt."

Nächste Schritte

Sie verfügen nun über eine umfassende Fähigkeit zum Management von Drittanbieter-IKT-Risiken gemäß DORA:

• Vollständiges IKT-Drittanbieter-Register mit standardisierten Daten
• Rahmenwerk für vorvertragliche Bewertungen mit Sicherheitsfragebogen für Anbieter
• Umfassende Vertragsklausel-Bibliothek mit Checkliste zur Einhaltung von Artikel 30
• Rahmenwerk zur Bewertung von Konzentrationsrisiken und Minderungsstrategien
• Vorlagen für Exit-Strategien und Testverfahren
• Rahmenwerk für die kontinuierliche Überwachung mit Verfahren zur Leistungsüberprüfung
• Richtlinie für Drittanbieter-IKT-Risiken und Berichterstattung an das Leitungsorgan

Damit ist die fünfteilige DORA-Umsetzungsleitfaden-Serie abgeschlossen. Sehen Sie sich die gesamte Serie an:

• Wie man mit der DORA-Umsetzung beginnt – mit KI – Grundlagen: Geltungsbereich, Governance, Gap-Analyse, Fahrplan
• Wie man einen DORA-IKT-Risikomanagement-Rahmen mit KI aufbaut – Säule 1: Artikel 6-16 Rahmenwerk, Richtlinien, Kontrollen
• Wie man DORA-Incident-Berichterstattung mit KI umsetzt – Säule 2: Artikel 17-23 Klassifizierung, Berichterstattung, Ursachenanalyse
• Wie man DORA-Resilienztests mit KI plant – Säule 3: Artikel 24-27 Testprogramm, TLPT, Behebung
• Wie man DORA-Drittanbieter-IKT-Risiken mit KI verwaltet (dieser Leitfaden) – Säule 4: Artikel 28-30 Anbieter, Verträge, Konzentrationsrisiko

Für gebrauchsfertige Prompts zu jedem DORA-Artikel siehe die DORA-Compliance-Prompt-Bibliothek. Für den vollständigen regulatorischen Überblick verweisen wir auf den DORA-Compliance-Leitfaden für Finanzinstitute.

Hilfe erhalten

Für zusätzliche Unterstützung beim Management von DORA-Drittanbieter-IKT-Risiken:

• Fragen Sie ISMS Copilot: Nutzen Sie Ihren DORA-Arbeitsbereich, um anbieterspezifische Bewertungen, Analysen von Vertragsklauseln und Berichte zu Konzentrationsrisiken zu generieren
• Verträge hochladen: Erhalten Sie gezielte Analysen zur Einhaltung von Artikel 30, indem Sie bestehende IKT-Dienstleistungsvereinbarungen zur klauselweisen Überprüfung hochladen
• Vorbereitung auf Verhandlungen: Nutzen Sie ISMS Copilot, um Positionspapiere und alternative Klauselvorschläge vor Anbieterverhandlungen vorzubereiten
• Validierung der Ergebnisse: Lassen Sie alle Vertragsklauseln von Ihrem Rechtsteam prüfen und überprüfen Sie die Bewertungskriterien anhand von DORA-Artikeln 28-30 und den relevanten Regulatory Technical Standards