Kurzdefinition: Artikel 28 DORA regelt das Management des IKT-Drittparteienrisikos — also des Risikos, das aus der Nutzung von IKT-Dienstleistern entsteht. Es ist integraler Bestandteil des IKT-Risikomanagementrahmens. Das Finanzunternehmen bleibt für die Einhaltung aller Pflichten voll verantwortlich, führt ein Informationsregister über alle IKT-Dienstleistungs-Vereinbarungen und prüft Verträge vor Abschluss auf ihre Kritikalität und Risiken. [N-DORA-28]
Der Normwortlaut
Art. 28 Abs. 1 Buchstabe a DORA bestimmt: Finanzunternehmen, die vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen getroffen haben, „bleiben jederzeit in vollem Umfang für die Einhaltung und Erfüllung aller Verpflichtungen nach dieser Verordnung und nach dem anwendbaren Finanzdienstleistungsrecht verantwortlich“. [N-DORA-28]
Wer bleibt für ausgelagerte IKT-Dienste verantwortlich?
Das Finanzunternehmen. Nach Art. 28 Abs. 1 Buchstabe a DORA bleibt es jederzeit in vollem Umfang verantwortlich. Die Nutzung eines Dienstleisters — auch der Cloud — verlagert die aufsichtsrechtliche Verantwortung nicht. [N-DORA-28]
Was ist das Informationsregister?
Ein Verzeichnis aller IKT-Dienstleistungs-Vereinbarungen. Nach Art. 28 Abs. 3 DORA führen und aktualisieren Finanzunternehmen ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen und unterscheiden dabei zwischen Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, und sonstigen. Das Register ist der Aufsicht auf Verlangen vorzulegen. [N-DORA-28]
Was ist vor Vertragsschluss zu prüfen?
Kritikalität, Bedingungen, Risiken und Eignung. Nach Art. 28 Abs. 4 DORA müssen Finanzunternehmen vor Abschluss beurteilen, ob die Vereinbarung eine kritische oder wichtige Funktion betrifft, ob die aufsichtsrechtlichen Bedingungen erfüllt sind, alle relevanten Risiken ermitteln, der gebotenen Sorgfaltspflicht nachkommen und Interessenkonflikte bewerten. [N-DORA-28]
Welche Anforderungen gelten an den Dienstleister?
Angemessene Informationssicherheit. Nach Art. 28 Abs. 5 DORA dürfen Finanzunternehmen Verträge nur mit IKT-Drittdienstleistern schließen, die angemessene Standards für Informationssicherheit einhalten; bei kritischen oder wichtigen Funktionen ist zu berücksichtigen, ob sie die aktuellsten und höchsten Qualitätsstandards anwenden. [N-DORA-28]
Wie hängt Art. 28 DORA mit den kritischen Drittdienstleistern zusammen?
Er ist die unternehmensseitige Ebene. Art. 28 DORA regelt, wie das einzelne Finanzunternehmen sein Drittparteienrisiko steuert; die Einstufung besonders bedeutsamer Anbieter als kritische IKT-Drittdienstleister und deren direkte Überwachung durch die Aufsicht regelt Art. 31 DORA. [N-DORA-28] [N-DORA-31]
Häufige Fehlannahmen
- „Mit der Auslagerung endet die Verantwortung.“ Nein. Das Finanzunternehmen bleibt nach Art. 28 Abs. 1 DORA voll verantwortlich. [N-DORA-28]
- „Ein Informationsregister ist nicht erforderlich.“ Doch. Art. 28 Abs. 3 DORA verlangt ein Register aller IKT-Dienstleistungs-Vereinbarungen. [N-DORA-28]
- „Verträge können ohne Vorprüfung geschlossen werden.“ Nein. Art. 28 Abs. 4 DORA verlangt eine Vorabprüfung von Kritikalität, Bedingungen, Risiken und Eignung. [N-DORA-28]
- „Jeder IT-Dienstleister ist zulässig.“ Nein. Der Dienstleister muss angemessene Informationssicherheitsstandards einhalten (Art. 28 Abs. 5 DORA). [N-DORA-28]
- „Alle Vereinbarungen sind gleich zu behandeln.“ Nein. Zwischen Vereinbarungen für kritische/wichtige Funktionen und sonstigen ist zu unterscheiden. [N-DORA-28]
- „Das Register ist eine reine Innensache.“ Nein. Es ist der zuständigen Behörde auf Verlangen vorzulegen. [N-DORA-28]
Was die Geschäftsleitung tun sollte
- Register führen. Ein vollständiges Informationsregister aller IKT-Dienstleistungs-Vereinbarungen aufbauen und pflegen.
- Kritische Funktionen markieren. Vereinbarungen für kritische oder wichtige Funktionen gesondert kennzeichnen.
- Vor Abschluss prüfen. Kritikalität, Risiken, Sorgfaltspflicht und Interessenkonflikte vor jedem Vertrag bewerten.
- Standards fordern. Nur Dienstleister mit angemessenen Informationssicherheitsstandards beauftragen.
Für die Geschäftsleitung
Auslagern heißt bei DORA nicht abgeben: Das Finanzunternehmen bleibt voll verantwortlich. Das Informationsregister und die Vorabprüfung machen die Abhängigkeit von IT-Dienstleistern sichtbar und steuerbar — und sind zugleich der Nachweis, den die Aufsicht sehen will.
Quellen
- [N-DORA-28] Art. 28 DORA (Verordnung (EU) 2022/2554, IKT-Drittparteienrisiko, Allgemeine Prinzipien), Abs. 1 bis 6. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
- [N-DORA-31] Art. 31 DORA (Einstufung kritischer IKT-Drittdienstleister). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
