IKT-Drittanbieter-Management nach DORA: Anforderungen und Umsetzung

Einleitung

Die Abhängigkeit von IKT-Drittdienstleistern ist in der Bankenbranche in den letzten Jahren massiv gestiegen. Cloud Computing, Software-as-a-Service und spezialisierte IT-Dienstleistungen sind unverzichtbar geworden. DORA (Artikel 28-44) widmet sich umfassend dem Management dieser Abhängigkeiten und führt ein neuartiges Oversight-Framework für kritische Anbieter ein.

Scope und Definitionen

Was sind IKT-Drittdienstleister nach DORA?

Definition (Artikel 3(22)): Ein Unternehmen, das IKT-Dienstleistungen erbringt.

IKT-Dienstleistungen umfassen:

• Cloud Computing Services (IaaS, PaaS, SaaS)
• Software-Lizenzen und -Wartung
• Datenanalyse und Data Analytics
• IKT-Support und Helpdesk
• Netzwerk- und Kommunikationsdienste
• Hosting und Rechenzentrumsdienstleistungen
• Cybersecurity-Services (SOC, Pentesting)

Nicht umfasst:

• Rein physische Infrastruktur ohne IKT-Komponente (z.B. Gebäudevermietung)
• Professionelle Beratungsleistungen ohne operativen IKT-Betrieb

Ausnahmen:

• Innerkonzernliche Dienstleistungen: Wenn Konzerngesellschaft vollkonsolidiert ist und gleicher Aufsicht unterliegt
• Finanzsektor-interne Arrangements: Bei Teilauslagerungen zwischen Finanzinstituten (unter bestimmten Voraussetzungen)

Anforderungen an Finanzinstitute

1. IKT-Drittanbieter-Register

Artikel 28(3) - Registerpflicht:

Jedes Finanzinstitut muss ein vollständiges Register aller IKT-Drittdienstleister führen.

Mindestinhalte:

Feld	Beschreibung	Beispiel
Anbieter-ID	Eindeutige Kennung	LEI (Legal Entity Identifier)
Firmenname	Vollständiger Name	Amazon Web Services EMEA SARL
Standort	Sitz des Anbieters	Luxemburg
Dienstleistung	Art der IKT-Dienstleistung	Cloud Hosting (IaaS)
Kategorie	Klassifizierung	Kritisch / Wichtig / Standard
Vertragsbeginn	Datum	01.01.2023
Vertragsende	Laufzeitende	31.12.2025
Datenlokalität	Wo werden Daten verarbeitet?	EU (Frankfurt, Irland)
Sub-Dienstleister	Liste von Sub-Prozessoren	Liste mit LEIs
Kritikalität	Bewertung	Kritisch für Zahlungsverkehr
Konzentrationsrisiko	Anteil am Gesamtbetrieb	15% der IT-Ausgaben

Öffentliche Verfügbarkeit:

• Register muss auf Anfrage der Aufsichtsbehörde bereitgestellt werden
• Aggregierte Informationen über kritische Anbieter werden ggf. veröffentlicht

Aktualisierung:

• Laufende Pflege bei Vertragsänderungen
• Mindestens jährliches Review

2. Due Diligence vor Vertragsabschluss

Artikel 28(2) - Umfassende Bewertung:

Vor Abschluss einer vertraglichen Vereinbarung muss das Institut eine Due Diligence durchführen.

Bewertungsbereiche:

Finanzielle Stabilität:

• Finanzlage des Anbieters (Jahresabschlüsse)
• Eigentümerstruktur
• Geschäftsmodell-Nachhaltigkeit
• Versicherungsschutz (Cyber-Versicherung, E&O)

Technische Kompetenz:

• Track Record (Referenzen)
• Zertifizierungen (ISO 27001, SOC 2, C5)
• Technologie-Stack
• Innovation und Zukunftsfähigkeit

Sicherheit und Compliance:

• Informationssicherheitskonzept
• Incident History (bekannte Sicherheitsvorfälle)
• Compliance mit relevanten Standards (DSGVO, NIS2)
• Penetrationstests und externe Audits

Operationale Resilienz:

• Business Continuity Pläne
• Redundanz und Failover-Mechanismen
• SLAs und historische Verfügbarkeit
• Disaster Recovery Capabilities

Rechtliche Aspekte:

• Jurisdiktion und anwendbares Recht
• Datenlokation und -transfers
• Rechte Dritter (z.B. behördliche Zugriffe nach CLOUD Act)
• Insolvenzrisiken und Schutzklauseln

Konzentrationsrisiko:

• Marktanteil des Anbieters
• Abhängigkeit anderer Finanzinstitute vom gleichen Anbieter
• Verfügbarkeit alternativer Anbieter (Substitutionsrisiko)
• Grad der Standardisierung vs. Customization

Dokumentation: Due Diligence muss vollständig dokumentiert und dem Leitungsorgan zur Entscheidung vorgelegt werden.

3. Vertragliche Anforderungen

Artikel 30 - Mindestvertragsinhalte:

DORA schreibt detaillierte Mindestinhalte für Verträge mit IKT-Drittdienstleistern vor.

Pflichtklauseln:

Service Level Agreements (SLAs):

• Klare, quantifizierbare Service-Levels (z.B. 99,95% Verfügbarkeit)
• Messpunkte und Messmethodik
• Konsequenzen bei SLA-Unterschreitung (Service Credits, Kündigungsrechte)

Vollständige Dienstleistungsbeschreibung:

• Detaillierte Beschreibung der erbrachten Leistungen
• Technologien und Methoden
• Prozesse für Änderungen (Change Management)

Datenlokation und -verarbeitung:

• Exakte Standorte der Rechenzentren
• Länder, in denen Daten verarbeitet werden
• Mechanismen für Datenübertragungen (z.B. SCCs bei Drittländern)
• Subprozessoren und deren Standorte

Zugangs- und Prüfrechte:

• Recht des Instituts auf Audits (eigene oder Dritte)
• Zugangsrechte für Aufsichtsbehörden (BaFin, ECB)
• Häufigkeit und Modalitäten von Audits
• Vertraulichkeitsschutz bei Audits

Informationspflichten:

• Unverzügliche Meldung von Sicherheitsvorfällen
• Vorabinformation bei wesentlichen Änderungen (Personal, Technologie, Sub-Dienstleister)
• Regelmäßige Berichterstattung (z.B. quartalsweise Performance-Reports)

Exit-Strategie:

• Kündigungsfristen
• Datenrückgabe-Modalitäten (Format, Vollständigkeit, Löschung beim Anbieter)
• Unterstützung bei Migration zu anderem Anbieter
• Übergangsservices nach Vertragsende

Sub-Auslagerungen:

• Zustimmungsvorbehalt für kritische Sub-Dienstleister
• Transparenz über alle Sub-Dienstleister
• Sicherstellung, dass Sub-Dienstleister gleiche Standards erfüllen

Kündigungsrechte:

• Außerordentliches Kündigungsrecht bei Compliance-Verstößen
• Ausstieg bei Verschlechterung der Finanzlage des Anbieters
• Change-of-Control-Klauseln

Haftung und Versicherung:

• Haftungsobergrenzen (möglichst unbegrenzt für kritische Services)
• Versicherungsnachweis
• Schadensersatzregelungen

Praktische Herausforderungen bei Hyperscalern:

Cloud-Hyperscaler (AWS, Azure, Google Cloud) bieten standardisierte Verträge:

• Individuelle Verhandlungen oft nur begrenzt möglich
• Nutzung von Financial Services Addenda (z.B. AWS FSI)
• Dokumentation von nicht-verhandelbaren Punkten mit Kompensationsmaßnahmen
• Akzeptanz-Dokumentation durch Leitungsorgan

Lösungsansätze:

• Pooled Audits (mehrere Institute gemeinsam)
• Akzeptanz vorkonfigurierter Audit-Reports (SOC 2 Type II, C5)
• Multi-Cloud-Strategien zur Risikominderung

4. Laufendes Monitoring

Artikel 28(6) - Kontinuierliche Überwachung:

Nach Vertragsabschluss ist ein strukturiertes Monitoring erforderlich.

Monitoring-Bereiche:

Performance-Überwachung:

• Tracking aller SLA-Metriken (Verfügbarkeit, Latenz, Fehlerquoten)
• Automatisiertes Alerting bei Schwellenwertüberschreitungen
• Trend-Analysen

Sicherheitsmonitoring:

• Review von Sicherheitsvorfällen beim Anbieter
• Bewertung der Incident-Response
• Überwachung von Security Bulletins und Patches

Finanzielle Stabilität:

• Jährliche Überprüfung Finanzlage (Jahresabschlüsse)
• Monitoring von Nachrichten über Anbieter (Mergers & Acquisitions, Insolvenzen)

Compliance und Zertifizierungen:

• Überwachung Gültigkeit von Zertifikaten (ISO 27001, SOC 2)
• Review von Audit-Reports
• Compliance mit neuen regulatorischen Anforderungen

Change Tracking:

• Dokumentation aller Änderungen beim Anbieter
• Bewertung der Auswirkungen auf eigene IT-Risiken
• Freigabeprozesse für kritische Changes

Governance:

Quartalsweise:

• Review SLA-Performance
• Bewertung Incidents
• Status Sub-Dienstleister

Jährlich:

• Umfassende Eignungsprüfung (Re-Due Diligence)
• Vertragsreview
• Exit-Strategie-Test (Desktop-Übung)
• Risikobewertung aktualisieren

Eskalation: Bei SLA-Verstößen oder Sicherheitsvorfällen:

1. Automatisches Alerting
2. Vendor Manager kontaktiert Anbieter
3. Bei kritischen Verstößen: Eskalation an Senior Management
4. Leitungsorgan informieren bei potentieller Vertragskündigung

5. Exit-Strategien

Artikel 28(8) - Ausstiegspläne:

Für alle wesentlichen IKT-Drittdienstleister muss eine dokumentierte Exit-Strategie vorliegen.

Komponenten:

1. Trigger-Events: Wann wird Exit-Strategie aktiviert?

• Vertragskündigung (geplant oder außerordentlich)
• Insolvenz des Anbieters
• Wesentliche SLA-Verstöße
• Regulatorische Anordnungen

2. Alternativen:

• Alternative Anbieter: Liste geprüfter Substitute
• In-House-Migration: Rückführung in eigene IT
• Hybrid: Teilweise Eigenerbringung, teilweise neuer Anbieter

3. Migrations-Roadmap:

• Zeitplan (realistisches Szenario: 6-18 Monate)
• Meilensteine
• Verantwortlichkeiten
• Ressourcenplanung (Personal, Budget)

4. Datenextraktion:

• Vollständige Extraktion aller Daten
• Validierung der Vollständigkeit
• Format-Konvertierung für neuen Anbieter
• Sichere Löschung beim alten Anbieter (Nachweis)

5. Parallelbetrieb:

• Testphase mit beiden Systemen
• Schrittweise Umschaltung (Big-Bang vs. phased)
• Rollback-Möglichkeit

6. Kosten:

• Exit-Kosten beim aktuellen Anbieter
• Migr ationskosten
• Onboarding neuer Anbieter
• Potentielle Betriebsunterbrechungen

Testing:

• Desktop-Übung jährlich (Durchsprache Exitplan)
• Datenextraktion-Test alle 2 Jahre (tatsächliche Datenrückgabe testen)

Kritische IKT-Drittdienstleister - Oversight-Framework

Designation-Prozess

Artikel 31 - Kriterien:

Die European Supervisory Authorities (ESAs) können IKT-Drittdienstleister als kritisch einstufen.

Bewertungskriterien:

Systemrelevanz:

• Anzahl global systemrelevanter Institute (G-SIIs), die den Anbieter nutzen
• Bedeutung für Finanzstabilität

Marktanteil:

• Prozentualer Marktanteil im relevanten Segment
• Dominanz (quasi-monopolistische Stellung)

Abhängigkeit:

• Fehlen von gleichwertigen Alternativen (Substitutionsrisiko)
• Grad der Customization (Wechsel erschwert)

Grenzüberschreitende Bedeutung:

• Anzahl der EU-Mitgliedstaaten, in denen Anbieter tätig ist
• Bedeutung für EU-weite Finanzinfrastruktur

Praktische Einschätzung:

• AWS, Microsoft Azure, Google Cloud: Sehr wahrscheinlich als kritisch eingestuft
• Große Softwareanbieter (SAP, Oracle Banking): Wahrscheinlich kritisch
• Spezialisierte FinTech-Provider: Ggf. kritisch bei hoher Marktdurchdringung
• Nischen-Anbieter: Unwahrscheinlich

Oversight durch ESAs

Artikel 35-40 - Aufsichtsbefugnisse:

Kritische IKT-Drittdienstleister unterliegen direkter Aufsicht durch ESAs.

Aufsichtsmaßnahmen:

Informationsrechte:

• ESAs können jederzeit Informationen und Dokumente anfordern
• Verpflichtung zur Beantwortung innerhalb definierter Fristen

On-Site-Inspektionen:

• ESAs können Inspektionen in Räumlichkeiten durchführen (auch ohne Vorankündigung)
• Zugang zu IT-Systemen, Dokumenten, Personal

Empfehlungen:

• ESAs können Empfehlungen zur Behebung von Mängeln aussprechen
• Anbieter muss binnen 6 Monaten umsetzen oder begründen, warum nicht

Sanktionen: Bei Nichteinhaltung:

• Bußgelder bis zu 1% des weltweiten Jahresumsatzes
• Öffentliche Bekanntmachung
• Empfehlung an Finanzinstitute, Verträge zu beenden

Bedeutung für Finanzinstitute:

Entlastung:

• Direkte Aufsicht über kritische Anbieter reduziert individuelle Audit-Last
• Vertrauenswürdigkeit durch ESA-Oversight

Neue Pflichten:

• Information der ESAs über Nutzung kritischer Anbieter
• Kooperation bei ESA-Untersuchungen

Konzentrationsrisiko

Artikel 29 - Konzentration auf wenige Anbieter:

DORA erkennt das Risiko der Abhängigkeit vieler Institute von wenigen Anbietern.

Identifikation:

Konzentrationsindikatoren:

• Prozentsatz der IT-Ausgaben bei einem Anbieter (> 20% = erhöht)
• Anzahl kritischer Prozesse bei einem Anbieter
• Marktanteil des Anbieters in der Branche

Maßnahmen zur Risikominderung:

Multi-Vendor-Strategie:

• Aufteilung kritischer Workloads auf mehrere Anbieter
• Vermeidung von Single-Vendor-Abhängigkeiten
• Beispiel: Multi-Cloud (AWS + Azure)

Interoperabilität:

• Nutzung standardisierter Schnittstellen (keine proprietären Lock-ins)
• Container-basierte Architekturen (Kubernetes für Cloud-Portabilität)
• Infrastructure-as-Code für einfache Migration

Kontinuitätsplanung:

• Detaillierte Exit-Strategien für konzentrierte Anbieter
• Regelmäßige Validierung der Alternativen

Berichterstattung:

• Konzentrationsrisiken in Risikoberichterstattung an Leitungsorgan
• Information der Aufsichtsbehörde

Praktische Umsetzung

Aufbau eines Third-Party-Risk-Management-Programms

Organisatorische Struktur:

Vendor Management Office (VMO):

• Zentrale Koordination aller IKT-Drittanbieter
• Betrieb des Registers
• Standardisierung von Prozessen (Due Diligence, Verträge, Monitoring)

Drei-Linien-Modell:

• 1. Linie (IT): Operative Steuerung der Dienstleister
• 2. Linie (Risk/Compliance): Überwachung, Risikoaggregation, Register
• 3. Linie (Interne Revision): Unabhängige Prüfung

Governance:

• Vendor-Risk-Committee (quartalsweise)
• Eskalation kritischer Themen ans Leitungsorgan

Toolunterstützung

Third-Party-Risk-Management-Plattformen:

Funktionalitäten:

• Zentrales Register mit Workflow-Unterstützung
• Due-Diligence-Questionnaires mit Standardisierung
• Contract Lifecycle Management
• Monitoring-Dashboards (SLAs, Audits, Zertifikate)
• Reporting und Analytics

Marktführende Tools:

• Archer (RSA)
• ServiceNow Vendor Risk Management
• ProcessUnity
• Prevalent (spezialisiert auf Third Party Risk)

Integration:

• SIEM-Integration für Sicherheitsmonitoring
• Ticketing-Systeme für Incident-Tracking
• GRC-Plattformen für ganzheitliches Risikomanagement

Vertragsmanagement

Standardisierung:

• Erstellung standardisierter Vertragsbausteine (DORA-konform)
• Legal-Playbooks für Verhandlungen
• Eskalationsprozess bei Nicht-Erfüllung von Mindestanforderungen

Contract Lifecycle:

1. Request: Fachbereich/IT initiiert Bedarf
2. Due Diligence: VMO/Risk führt Bewertung durch
3. Negotiation: Legal verhandelt mit standardisierten Klauseln
4. Approval: Leitungsorgan genehmigt kritische Verträge
5. Onboarding: IT integriert Dienst
6. Monitoring: Laufende Überwachung
7. Renewal/Exit: Rechtzeitige Entscheidung über Verlängerung

Herausforderungen und Lösungsansätze

Herausforderung	Lösungsansatz
Hyperscaler akzeptieren keine individuellen Verträge	FSI-Addenda nutzen, Kompensationsmaßnahmen, Multi-Cloud
Hohe Anzahl von Drittanbietern	Kategorisierung (kritisch/wichtig/standard), Fokus auf kritische
Ressourcenmangel für Monitoring	Toolautomatisierung, Pooled Audits, Externe Unterstützung
Sub-Dienstleister intransparent	Vertragliche Transparenzpflicht, Zustimmungsvorbehalte
Exit-Strategien unrealistisch	Regelmäßige Tests, realistische Zeitpläne, Budgetreserven
Konzentrationsrisiko unvermeidbar	Bewusste Risikoakzeptanz dokumentieren, Multi-Vendor wo möglich

Best Practices

1. Risikoorientierung: Nicht alle Anbieter gleich behandeln, Fokus auf kritische
2. Standardisierung: Prozesse und Dokumente standardisieren (Effizienz)
3. Zentrale Governance: VMO etablieren, nicht dezentrale Wildwuchs-Lösungen
4. Proaktives Monitoring: Nicht reaktiv, sondern vorausschauend
5. Relationship Management: Vendor Relations pflegen (nicht nur Compliance-Kontrolle)
6. Collaboration: Austausch mit anderen Instituten (Best Practices, Pooling)
7. Continuous Improvement: Regelmäßige Reviews und Anpassungen des Programms

Fazit

DORA transformiert Third-Party-Risk-Management von einer technischen IT-Aufgabe zu einem strategischen Governance-Thema. Die Anforderungen sind umfassend, aber notwendig angesichts der wachsenden Abhängigkeit von IKT-Drittdienstleistern. Das Oversight-Framework für kritische Anbieter ist innovativ und könnte langfristig zu einer Professionalisierung des Cloud-Provider-Marktes beitragen. Finanzinstitute sollten die DORA-Umsetzung nutzen, um ihr Third-Party-Risk-Management zukunftssicher aufzustellen.