Drittparteienrisikomanagement: Pflicht, Inhalt, Stolpersteine

Seit DORA gilt, ist das Management von IKT-Drittparteienrisiken keine Kür mehr, sondern Teil des IKT-Risikomanagementrahmens. Artikel 28 der Verordnung verpflichtet jedes Finanzunternehmen, die Risiken aus der Nutzung von IKT-Dienstleistungen Dritter als integralen Bestandteil des eigenen Risikomanagements zu steuern — über den gesamten Lebenszyklus einer Vereinbarung hinweg, von der Auswahl bis zur Beendigung. Die Verantwortung bleibt dabei stets beim Finanzunternehmen; sie lässt sich nicht an den Dienstleister auslagern.

Was dazugehört

Die Verordnung erwartet eine Strategie für IKT-Drittparteienrisiken, eine Bewertung vor Vertragsschluss (Due Diligence, Kritikalität der unterstützten Funktion, Konzentrationsrisiko nach Artikel 29), vertragliche Mindestinhalte nach Artikel 30, laufende Überwachung der Leistung und Risiken des Dienstleisters, Ausstiegsstrategien für kritische oder wichtige Funktionen sowie das Informationsregister als dokumentarische Grundlage. Kurz: Es reicht nicht, einen Vertrag zu haben — man muss den Dienstleister bewerten, überwachen und im Ernstfall ersetzen können.

Woran es in der Praxis scheitert

Die typischen Probleme sind selten juristischer Natur, sondern operative.

Überblick. Wer seine Dienstleister nicht vollständig kennt, kann ihre Risiken nicht steuern. IKT-Dienstleistungen verstecken sich in Fachbereichsverträgen, in Tochterunternehmen, in längst vergessenen Bestellungen — und damit außerhalb jeder Bewertung.

Kontinuität. Drittparteienrisikomanagement ist kein einmaliges Onboarding, sondern ein laufender Prozess. Änderungen beim Dienstleister, neue Unterauftragnehmer, Sicherheitsvorfälle oder eine veränderte Kritikalität müssen erkannt und neu bewertet werden — sonst dokumentiert die Bewertung den Stand von gestern, und genau das fällt in der Prüfung auf.

Bewertungstiefe. Eine belastbare Risikoeinordnung entsteht nicht aus dem Vertrag, sondern aus einer strukturierten Bewertung des Dienstleisters: Sicherheitsniveau, Subunternehmerkette, Standorte, Ausfallszenarien. Das kostet bei Dutzenden Dienstleistern die Kapazität, die kaum ein Haus übrig hat.

Was hilft

Drei Prinzipien machen das Drittparteienrisikomanagement beherrschbar: Erstens eine einzige Quelle der Wahrheit — Bewertungen, Klassifizierungen, Verträge und Überwachungsergebnisse an einem Ort statt in drei Excel-Dateien. Zweitens standardisierte Erhebung — wenn jeder Dienstleister dieselben Fragen in derselben Struktur beantwortet, werden Antworten vergleichbar und Risiken sichtbar. Drittens Wiederverwendung — die meisten Ihrer Dienstleister arbeiten auch für andere Institute; eine Bewertung, die bereits vorliegt, muss niemand neu erheben.