MaRisk AT 9 und DORA im Dienstleister­management

Die Analyse sollte den unterstützten Geschäftsprozess, mögliche Unterbrechungen, betroffene Daten, rechtliche Risiken und die tatsächlichen Handlungsoptionen des Instituts verbinden. Eine teure, leicht ersetzbare Leistung kann anders zu bewerten sein als ein günstiger Dienst ohne kurzfristige Alternative. Maßgeblich ist die Auswirkung auf das Institut.

Für IKT-Dienste verlangt DORA insbesondere eine Vorprüfung, Due Diligence und die Betrachtung von Konzentrationsrisiken. Dazu gehört nicht nur der direkte Vertragspartner. Mehrere Anwendungen können auf denselben Cloud-Anbieter oder denselben Unterauftragnehmer angewiesen sein. Für Dienste mit kritischen oder wichtigen Funktionen konkretisiert die Delegierte Verordnung 2025/532 den Umgang mit Unterauftragsvergabe.

Eine nachvollziehbare Entscheidung hält fest, welche Informationen vorlagen, welche Annahmen unsicher bleiben und wer ein Restrisiko akzeptiert hat. Ausfallannahmen müssen zur Business-Impact-Analyse und zur Notfallplanung passen. Die Bewertung ist bei relevanten Änderungen der Leistung oder Lieferkette erneut aufzugreifen.

Für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen fordert DORA Art. 28 Abs. 8 dokumentierte und ausreichend getestete Ausstiegspläne. Die Strategie muss einen Ausstieg ermöglichen, ohne Geschäftsaktivitäten unvertretbar zu beeinträchtigen oder die Erfüllung regulatorischer Anforderungen zu gefährden. Die Vertragsregelungen nach Art. 30 Abs. 3 müssen einen angemessenen Übergang unterstützen.

Ein Exit-Plan benennt die Auslöser, etwa anhaltenden Ausfall, schwerwiegende Leistungsprobleme oder unerwartete Kündigung. Dazu kommen die Zielalternative, erforderliche Daten, Rechte an Konfigurationen, Ressourcen, Kostenannahmen, Zeitplan und Entscheidungsträger. Die Wiederherstellung beim bisherigen Anbieter ist ein anderer Anwendungsfall als der Wechsel auf eine unabhängige Lösung.

Bei wesentlichen Nicht-IKT-Auslagerungen sind die einschlägigen MaRisk-Vorgaben zu Handlungsoptionen und Ausstiegsstrategien zu berücksichtigen. Etwaige gruppenbezogene Erleichterungen aus AT 9 dürfen nicht ungeprüft auf DORA-Verträge übertragen werden. Die Zugehörigkeit zu einer Gruppe beseitigt eine Abhängigkeit technisch nicht.

Verträge bleiben während ihrer Laufzeit in Bewegung. Ein neuer Datenstandort, ein zusätzlicher Unterauftragnehmer, veränderte Servicezeiten oder ein schwacher Exit-Test können eine Neubewertung erforderlich machen. Die zuständigen Funktionen brauchen deshalb klare Meldewege und eine Verbindung zwischen Vertragsänderung, Risikobewertung, Register und Maßnahmen.

Berichte an die Geschäftsleitung sollten die für Entscheidungen relevanten Abhängigkeiten zeigen: schwer ersetzbare Leistungen, wiederholte Leistungsstörungen, Konzentrationen und überfällige Abhilfen. Ein Zertifikat des Anbieters beantwortet nicht automatisch jede Frage zum konkret bezogenen Dienst. Auch die europäische Einstufung eines Anbieters als kritische IKT-Drittpartei ersetzt die eigene Risikosteuerung nicht.