Ihre Anforderungen an Dritte nach dem Digital Operational Resilience Act (DORA)

Gemäß DORA müssen Unternehmen Risiken, die von Dritten eingebracht werden, als ihre eigenen behandeln. Daher ist es wichtig, bei der Zusammenarbeit mit Drittanbietern die folgenden Punkte zu beachten.

Stufe 1: Vor der Auswahl eines Drittanbieters

• Sorgfältige Prüfung: Führen Sie eine umfassende Due-Diligence-Prüfung durch. Es ist wichtig zu prüfen, ob der Drittanbieter in der Lage ist, die Dienste zuverlässig und sicher zu erbringen und die regulatorischen Erwartungen zu erfüllen.
• Ausfallsicherheitstests: Testen Sie die operative Belastbarkeit des IKT-Drittanbieters, indem Sie Simulationen von Stresstests durchführen, um zu sehen, wie der Drittanbieter mit einem Cyberangriff umgehen kann. Dies kann vor oder nach der Auswahl des Drittdienstleisters erfolgen.

Phase 2: Ausarbeitung des Vertrags

• Der Vertrag sollte Bestimmungen zum Risikomanagement enthalten, um sicherzustellen, dass die Dritten (einschließlich der Unterauftragnehmer) für die Risikominderung verantwortlich gemacht werden und die Dienstleistung trotz der Unterbrechung weiter erbringen können.
• Es sollten Kündigungsrechte vorgesehen werden, damit das Finanzunternehmen aussteigen kann, wenn der Dritte die aufsichtsrechtlichen und betrieblichen Anforderungen nicht erfüllt.
• Ein Ausstiegsplan sollte überprüft und getestet werden. Er sollte unvorhergesehene und anhaltende Dienstunterbrechungen, eine unangemessene oder fehlgeschlagene Leistungserbringung und eine unerwartete Beendigung des Vertrags berücksichtigen.
• Die Einrichtung muss einen klaren schriftlichen Übergangsplan für den Fall haben, dass der Drittanbieter nicht zur Verfügung steht; sie muss Ausstiegsstrategien einüben, indem sie Übungen durchführt und Backups testet; und sie muss die betriebliche Widerstandsfähigkeit aufrechterhalten, damit der Betrieb auch nach einem Cyberangriff weiterlaufen kann.

Stufe 3: Einbindung einer Risikopolitik für Dritte in den Risikomanagement-Rahmen

• Finanzunternehmen müssen einen Rahmen für das IKT-Risikomanagement einführen und regelmäßig überprüfen, indem sie sicherstellen, dass sie über Richtlinien für Drittanbieter von IKT-Dienstleistungen (einschließlich gruppeninterner Dienstleister und Unterauftragnehmer) verfügen, die IKT-Dienstleistungen zur Unterstützung kritischer Funktionen erbringen.
• Das Ausmaß der Verpflichtungen und der Risikoexposition steht im Verhältnis zu den Auswirkungen und der Kritikalität des Drittanbieters für das Finanzinstitut.
• Erstellen und führen Sie ein Verzeichnis aller IKT-Drittanbieter und -Dienstleistungen. Das Register sollte Einzelheiten zu den Verträgen, den kritischen oder wichtigen Dienstleistungen und Risikobewertungen enthalten. Es muss regelmäßig aktualisiert werden und für die behördliche Überprüfung zur Verfügung stehen.
• Das Leitungsorgan, das für die Verwaltung des IKT-Risikomanagements des Finanzinstituts verantwortlich ist, sollte die Strategie kontinuierlich kontrollieren, überwachen, annehmen und mindestens einmal jährlich überprüfen.
• In der Strategie sollte die Rolle oder das Mitglied der Geschäftsleitung für die Überwachung der vertraglichen Vereinbarungen festgelegt werden.
• In der Strategie müssen die internen Zuständigkeiten für die Genehmigung, Verwaltung, Kontrolle und Dokumentation der vertraglichen Vereinbarungen über die Nutzung von IKT-Diensten, die kritische oder wichtige Funktionen unterstützen, die von einem Drittanbieter erbracht werden, eindeutig festgelegt und bestimmt werden.
• Die Richtlinie sollte vorsehen, dass im Rahmen der Due-Diligence-Prüfung die bestehenden Maßnahmen zur Risikominderung und zur Aufrechterhaltung des Geschäftsbetriebs sowie die Art und Weise, wie die Funktion des IKT-Dienstleisters sichergestellt wird, bewertet werden.
• In der Richtlinie sollte auch festgelegt werden, dass die von den IKT-Drittanbietern erbrachten Funktionen einer unabhängigen Überprüfung unterzogen und in den Prüfungsplan aufgenommen werden.
• Die Politik wird einen Leitfaden für den Due-Diligence-Prozess bei der Auswahl und Bewertung der potenziellen IKT-Drittdienstleister liefern und angeben, welche Elemente für das erforderliche Maß an Sicherheit in Bezug auf die Leistung des IKT-Drittdienstleisters herangezogen werden sollen.

Phase 4: Nach der Unterzeichnung des Vertrags

• Kontinuierliche Überwachung und Sicherstellung, dass der Dienstanbieter das erwartete Niveau an betrieblicher Belastbarkeit und die Einhaltung der Sicherheitsstandards aufrechterhält.
• Überwachen Sie die Konzentrationsrisiken von IKT-Drittanbietern. Es ist sicher, über Notfallpläne zu verfügen, um potenziellen Cyber-Störungen zu begegnen.
• Wiederherstellungs- und Notfallpläne: Die Unternehmen sollten verschiedene Risikoszenarien für Dritte analysieren, um Wiederherstellungs- und Notfallpläne für jede Störung zu entwickeln.
• Stellt das Finanzinstitut Mängel bei den IKT-Drittanbietern fest, sollte es in den Grundsätzen geeignete Maßnahmen für den Umgang mit der Situation und die Art und Weise der Umsetzung dieser Maßnahmen festlegen.

Es ist wichtig zu beachten, dass konzerninterne IKT-Dienstleister, die Teil des Finanzunternehmens sind (z. B. Tochtergesellschaften oder verbundene Unternehmen), wie externe Drittanbieter zu behandeln sind, auch wenn die von den konzerninternen Dienstleistern ausgehenden Risiken unterschiedlich sind. Darüber hinaus gilt die Richtlinie auch für konzerninterne Dienstleister und Unterauftragnehmer von Drittanbietern. Dadurch wird sichergestellt, dass die Risiken aller Anbieter ordnungsgemäß verwaltet und fair geprüft werden.