Quartalsweise oder laufend? Was DORA wirklich zur Frequenz sagt

Fragt man Praktiker, wie oft die Risikobewertung von IKT-Dienstleistern anzupassen ist, kommt fast immer dieselbe Antwort: quartalsweise. Fragt man nach, wo das steht, wird es still. Zeit, die Frage sauber zu beantworten — denn die Antwort hat Folgen für die Organisation Ihres Drittparteienmanagements.

Was DORA verlangt

DORA arbeitet bei der Frequenz bewusst ohne feste Fristen. Artikel 28 verlangt, die Strategie für das IKT-Drittparteienrisiko regelmäßig zu überprüfen, und die Risiken sind über den gesamten Lebenszyklus der vertraglichen Vereinbarung zu bewerten und zu überwachen — von der Due Diligence vor Vertragsschluss bis zur Beendigung. „Regelmäßig" heißt: in einem Turnus, den das Institut selbst risikoorientiert festlegt und begründen kann. Eine Drei-Monats-Frist steht nicht in der Verordnung.

Woher der Quartalstakt wirklich kommt

Die Quelle liegt im deutschen Aufsichtsrecht: Nach den MaRisk (BaFin-Rundschreiben 06/2024) muss die Geschäftsleitung das Aufsichtsorgan mindestens vierteljährlich schriftlich über die Risikosituation informieren. In diesen Quartals-Risikobericht ziehen die Institute ihre wesentlichen Risiken hinein — einschließlich der Risiken aus Auslagerungen und IKT-Drittbezug. So wird aus einer Berichtspflicht an das Aufsichtsorgan ein faktischer Bewertungstakt für die Dienstleistersteuerung. Das ist etablierte und sinnvolle Praxis — aber es ist deutsche Verwaltungspraxis, keine DORA-Vorgabe.

Warum die Unterscheidung praktisch relevant ist

Wer den Quartalstakt für eine DORA-Pflicht hält, optimiert auf den Stichtag: Viermal im Jahr werden Bewertungen aktualisiert, dazwischen herrscht Ruhe. Das erfüllt die MaRisk — aber es passt nicht zur Risikorealität. Eine Schwachstelle, die im April ausgenutzt wird, wartet nicht auf den Bericht zum 30. Juni.

DORAs offene Formulierung ist deshalb kein Mangel, sondern eine Ansage: Die Bewertung soll sich am Risiko orientieren, nicht am Kalender. Eine belastbare Praxis kombiniert beides — den festen Takt für die Berichterstattung und eine anlassbezogene Aktualisierung, wenn sich die Risikolage eines Dienstleisters tatsächlich ändert.

Die praktikable Formel

Für die meisten Häuser bewährt sich eine dreistufige Frequenz: das Self-Assessment jedes Dienstleisters jährlich sowie bei wesentlichen Änderungen; die zusammenfassende Risikobewertung quartalsweise im Takt der MaRisk-Berichterstattung; und dazwischen eine anlassbezogene Überwachung, die bei konkreten Ereignissen anschlägt — etwa wenn eine Softwarekomponente eines Dienstleisters von einer aktiv ausgenutzten Schwachstelle betroffen ist.