Drittdienstleistungen und Dienstleister steuern — von Intake bis Betrieb

• DORA Art. 28
• DORA Art. 29/30
• MaRisk AT 9
• FINMA-RS 2018/3
• EBA GL/2019/02
• DSGVO Art. 28

Ein Modul, zwei Pfade — DORA ICT Services und MaRisk-Auslagerungen

Avalon TPRM führt ICT Services bzw. IKT-Dienstleistungen nach DORA und Auslagerungen nach MaRisk AT 9 in einem Datenmodell. Die Einordnung bleibt getrennt: DORA-Pflichten knüpfen an IKT-Dienstleistungen, IKT-Drittdienstleister und kritische oder wichtige Funktionen an; MaRisk-Pflichten knüpfen an den Auslagerungstatbestand und die Wesentlichkeit an.

DORA (EU) 2022/2554 — Art. 28

Avalon adressiert Art. 28 über die Kritikalitätsableitung kritischer/wichtiger Funktionen (CIF), eine geführte Einordnung von IKT-Drittdienstleistungen und eine belastbare Datenbasis für Register, Reviews und Prüfungen. DORA bezieht sich auf vertragliche Vereinbarungen über IKT-Dienstleistungen mit IKT-Drittdienstleistern; Avalon behandelt diese deshalb nicht pauschal als MaRisk-Auslagerung, sondern führt die regulatorische Einordnung im Quick Check.

DORA Art. 29 / Del-VO (EU) 2024/1502 — Konzentrationsrisiko

Das Konzentrationsrisiko wird je Dienstleister aus mehreren regulatorisch hergeleiteten Faktoren ermittelt (u. a. Abhängigkeit kritischer Funktionen, Kosten-, Prozess- und Standort-Konzentration, Substituierbarkeit, Weiterverlagerungs-Tiefe), als Ampel ausgewiesen und durch eine Ausfallsimulation untermauert.

DORA Art. 30 — Vertragsanforderungen

Die Vertragsprüfung stellt die Pflichtklauseln regulierungsabhängig zusammen und prüft DORA-relevante IKT-Drittdienstleistungen gegen Art. 30(2)/(3): uneingeschränktes Audit-Recht, quantitative SLAs, getestetes Provider-BCP, Weiterverlagerung, Standortangaben, Exit-Unterstützung. Lücken werden als Findings, Auflagen oder Nachbesserungsbedarf sichtbar.

DORA Art. 28(8) / RTS 2024/1773 — Exit-Strategie, Exit-Plan und Tests

Avalon trennt drei Ebenen: Die Exit-Strategie ist die institutsseitige Ausstiegsentscheidung mit Triggern, Alternativen und Verantwortlichkeiten. Der Exit-Plan ist der konkrete, mit dem Dienstleister entwickelte Umsetzungsplan inklusive Datenrückgabe/-löschung, Transition-Schritten und Mitwirkungspflichten. Exit-Plan-Tests werden terminiert, dokumentiert, mit Findings versehen und als getesteter Planstand nachweisbar gemacht.

MaRisk AT 9 / AT 4.4.2

MaRisk AT 9 ist der Auslagerungspfad innerhalb des TPRM-Spektrums: Erst wenn der Leistungsbezug als Auslagerung einzuordnen ist, greifen die AT-9-Anforderungen und die Wesentlichkeitsprüfung. Der Quick Check unterscheidet wesentliche und nicht wesentliche Auslagerungen, berücksichtigt IKT-/CIF-Kontext, §25b KWG und liefert die Datenbasis für anzeigepflichtige Sachverhalte nach MaRisk AT 9.6. Meldungen und Anzeigen bleiben organisatorische Entscheidungen Ihrer Institution.

FINMA-RS 2018/3 – Outsourcing (Banken und Versicherer)

Für Schweizer Banken und Versicherer kann der TPRM-Prozess als strukturierter Nachweisraum für Outsourcing-Sachverhalte genutzt werden: Auslagerungsinventar, Risikoanalyse, Dienstleisterprüfung, Vertrags-/Kontrollnachweise, Weiterverlagerung, laufende Überwachung und Exit-/Rückführungslogik. Die Einordnung bleibt vom DORA- und MaRisk-Pfad getrennt und wird im kundenspezifischen FINMA-Perimeter bestätigt.

EBA GL/2019/02 · BaFin MaGo §12 · DSGVO Art. 28

Laufendes Monitoring und Risikoanalyse bei Änderungen folgen EBA GL/2019/02; für Versicherer greifen die MaGo-§12-Überwachungspflichten; die Datenschutz-Votierung prüft Auftragsverarbeitung und Drittlandtransfer nach DSGVO Art. 28/44-49.

Avalon unterstützt die Umsetzung dieser Rahmenwerke. Die Konformität bleibt in der Verantwortung Ihrer Organisation.