Register der IKT-Drittdienstleister und Auslagerungen: aktuell halten aus der Architektur

Ein verlangtes Register, selten aktuell gehalten

Ein reguliertes Unternehmen in der Europäischen Union führt eine Form von Register seiner IKT-Dienstleister und Auslagerungsvereinbarungen. DORA macht daraus ein Informationsregister über die vertraglichen Vereinbarungen zu IKT-Dienstleistungen, die von Drittdienstleistern erbracht werden. Die CSSF formuliert Erwartungen an die Dokumentation von Auslagerungen bei den von ihr beaufsichtigten Unternehmen. Für wesentliche und wichtige Einrichtungen kommt mit NIS2 die Sicherheit der Lieferkette hinzu.

Das Register einmal zu erstellen, ist selten das Schwierigste. Es danach richtig zu halten, schon: Eine Anwendung wird stillgelegt, ein Dienstleister wechselt, ein Unterauftragnehmer kommt hinzu, eine Funktion wird neu eingestuft. In einer Tabelle warten diese Änderungen auf die vierteljährliche Aktualisierung durch eine Person.

Dieser Text hilft bei der Dokumentation; eine Rechtsberatung ist er nicht. Der genaue Wortlaut und seine Anwendung auf Ihr Unternehmen sind Sache Ihrer Compliance-Funktion und qualifizierter Rechtsberatung.

Warum ein Register in einer Tabelle veraltet

Die Tabelle kopiert Fakten, die anderswo gepflegt werden: das Anwendungsinventar, die Verträge, die Kritikalitätsstufen. Jede Kopie kann abweichen. Die nützlichsten Beziehungen, etwa die von einem Dienstleister unterstützte Funktion oder der Unterauftragnehmer dahinter, landen als Freitext, der sich weder zählen noch abgleichen lässt.

In einem Repository stützt sich das Register auf die Objekte, die diese Fakten tragen. Die Funktion verweist auf ihre Anwendungen, die Anwendung auf ihre IKT-Dienste, der Dienst auf seinen Dienstleister und seinen Vertrag. Wechselt der Dienstleister einer Anwendung, lesen Kette, Expositionsanalyse und Register dasselbe Objekt. Jemand pflegt die Daten weiterhin; der Abgleich mehrerer Kopien entfällt.

Von den kritischen Funktionen bis zu Dienstleistern und Verträgen

Das Modell folgt der Logik der Verordnung. Kritische oder wichtige Funktionen wie Zahlungen, Kundenaufnahme, Fondsverwaltung oder aufsichtliches Meldewesen werden von Anwendungen getragen. Jede Anwendung beruht auf IKT-Diensten von Dritten: Softwareanbieter, Hoster, Cloud-Anbieter, externer Betreiber.

In ArchiLU bündelt der Funktionskatalog Kritikalität, Verantwortliche und die Anwendungen, die den Funktionen dienen. Eine eigene Ansicht verfolgt die Beziehungen bis zu den Anbietern und unterscheidet den Anbieter einer Anwendung vom Dienstleister eines IKT-Dienstes. Verträge, die diese Dienste abdecken, erscheinen in der Kette. Ein vorhandener Vertrag genügt nicht: Sein Leistungsumfang muss dokumentiert sein.

Das Repository stuft die Funktionen nicht anstelle des Unternehmens ein und entscheidet nicht, ob eine Vereinbarung in den Umfang des Registers fällt. Diese Beurteilungen bleiben bei Risiko und Compliance.

• Die Funktion, ihre Kritikalität im Sinne von DORA und ihre verantwortliche Person.
• Die Anwendungen und IKT-Dienste, die sie unterstützen.
• Der Dienstleister, seine Unterauftragnehmer, seine Ersetzbarkeit und sein Ausstiegsplan.
• Der Vertrag, seine Fälligkeit, seine Verlängerung und sein Leistungsumfang.

Unterauftragsketten und Konzentration

Der unmittelbare Dienstleister steht im Register. Der Unterauftragnehmer, von dem er abhängt, verschwindet leichter aus einer Tabelle: eine Notiz in einer Zelle, die niemand mehr liest. Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, verlangen dennoch die Kenntnis dieser Kette.

In ArchiLU reicht die Kette von der kritischen oder wichtigen Funktion bis zum Unterauftragnehmer und zum Vertrag. Die Expositionsanalyse beginnt bei einem Dienstleister, führt zu den Funktionen, die von ihm abhängen, und berechnet ihre Befunde, darunter die Konzentration. Jede Fähigkeit zeigt ihren dominanten Anbieter und dessen Anteil. Jeder Befund führt zu einer Anfrage, zu einem Risiko oder zu einer Entscheidung des Boards.

Die Beurteilung eines Dienstleisters, die Vertragsposition und etwaige Anzeigen bleiben Sache des Unternehmens und seiner Berater.

Das Register erstellen und Lücken schließen

In ArchiLU entsteht das DORA-Informationsregister wie ein regulatorischer Bericht aus der Kette. Jede fehlende Angabe geht an ihre verantwortliche Person, die sie ergänzt, bestätigt oder das Fehlen mit Begründung verantwortet. Jeder regulatorische Bericht wird mit seinem Fingerabdruck eingefroren.

Die Vorlagen des Registers legt die Durchführungsverordnung (EU) 2024/2956 fest. Das Unternehmen bleibt verantwortlich für die Vollständigkeit des Registers, die Einstufung seiner Vereinbarungen und die Einreichung bei der zuständigen Behörde.

Der Prüfer kommt über seinen Auftrag herein und liest dieselbe Kette nur lesend, begrenzt auf seinen Umfang und seinen Zeitraum. Sein Auftrag beginnt mit einem Nachweisdossier in acht Teilen, eingefroren mit seinen Fingerabdrücken.

Hosting und gemeinsames Lesen

Ein Register Ihrer kritischen Funktionen und der Dritten dahinter zeigt Ihre am stärksten exponierten Punkte. Jede Organisation hat ihre eigene ArchiLU-Instanz, gehostet in der Europäischen Union; eine Bereitstellung bei Ihnen ist optional nach Angebot möglich.

Risiko, Compliance, Einkauf, IT und Architektur arbeiten mit denselben Objekten und öffnen deren Einträge direkt aus der Ansicht der Kette. Die Angebote umfassen eine unbegrenzte Nutzerzahl, Lesende eingeschlossen.