Mobile-Menu

Vertragslawine rollt an DORA: Risiken mit ITK-Drittdienstleistern prüfen

Ein Kommentar von Dr. Frank Schmiedle,Account Executive DACH, Conga 2 min Lesedauer

Anbieter zum Thema

Conga GmbH
Fsas Technologies GmbH
EASY SOFTWARE AG
STACKIT GmbH & Co. KG

Bis zum 17. Januar 2025 muss die Finanzwelt den Digital Operational Resilience Act (DORA) umgesetzt haben. Um die Resilienz der Finanzwirtschaft gegen digitale Risikofaktoren, wie zum Beispiel Cyberangriffe zu stärken, müssen Unternehmen jetzt das Risikomanagement von Informations- und Kommunikationstechnologien stärker im Gesamtrisikomanagement verankern.

DORA verlangt eine regelmäßige Kontrolle aller vertraglichen Vereinbarungen mit ITK-Drittanbietern und der Beschreibungen des Leistungsumfangs.(Bild: Elnur - stock.adobe.com)
DORA verlangt eine regelmäßige Kontrolle aller vertraglichen Vereinbarungen mit ITK-Drittanbietern und der Beschreibungen des Leistungsumfangs.
(Bild: Elnur - stock.adobe.com)

Neben zahlreichen Studienergebnissen zum Anstieg von Cyberangriffen auf diverse Branchen, verdeutlicht auch jüngstes Beispiel eines Datenlecks bei Banken die Dringlichkeit für ein intensiveres Risikomanagement mit IKT-Drittanbietern: Im Juli 2023 trat ein Datenleck bei renommierten Instituten wie der Deutschen Bank, der Postbank, ING und Comdirect auf. Cyber-Kriminelle nahmen jedoch nicht die Institute selbst ins Visier, sondern einen ITK-Dienstleister, auf dessen Services die Banken zurückgriffen. Dieser setzte eine Software ein, die kritische Sicherheitslücken aufwies. Somit hatten die Cyberangreifer Zugriff auf personenbezogene Daten und die IBAN.

Verständnis für DORA schärfen

Die Einhaltung der DORA-Verordnung bedeutet jetzt aber nicht, dass Finanzunternehmen, die ITK-Dienstleistungen in Anspruch nehmen, die Verantwortung für die Einhaltung der Regelungen von DORA auf ihre ITK-Partner übertragen können. In Kapitel V der Verordnung ist explizit definiert, dass Finanzinstitute prüfen und sicherstellen müssen, dass auch ihre ITK-Dienstleister die Vorgaben der EU-Verordnung einhalten.

Dies setzt voraus, dass Finanzunternehmen, die Verträge mit ITK-Drittanbietern und die Leistungsdefinitionen überprüfen und gegebenenfalls überarbeiten. Laut DORA sind Finanzunternehmen dazu verpflichtet, vor Abschluss eines Vertrags alle relevanten Risiken im Zusammenhang mit der vertraglichen Vereinbarung zu ermitteln und zu bewerten. Darüber hinaus muss die zuständige Behörde mindestes einmal im Jahr über neue Vereinbarungen mit ITK-Drittdienstleistern sowie die Art der Verträge und deren Inhalt informiert werden.

Erheblicher Prüfungsaufwand als Herausforderung

Auf jedes Finanzunternehmen kommt jetzt ein erheblicher Prüfungsaufwand zu, da nun regelmäßig eine enorme Anzahl an Verträgen dahingehend überprüft werden muss, ob sie DORA-konform sind. Zu den zu bewertenden Vertragselementen gehören zum Beispiel die IT-Sicherheits- und Datenschutzmaßnahmen der Drittanbieter, der Speicherort für Kundendaten, ob auch die Dienstleister des Providers DORA-konform agieren, ob dies vertraglich abgesichert ist, und einiges mehr.

Eine manuelle Überprüfung dieser Verträge ist wegen des hohen personellen und zeitlichen Aufwands aber kaum praktikabel. In diesem Kontext ergibt der Einsatz Künstlicher Intelligenz durchaus Sinn, um die Analyse von Verträgen zu vereinfachen und zu beschleunigen. Eine KI-basierte Suchfunktion hilft IT- und Compliance-Fachleuten beispielsweise, per Eingabe spezifischer Schlagworte auch in großen Verzeichnissen gezielt einzelne Verträge aufzufinden. Vorausgesetzt, die Verträge sind bereits im Rahmen eines Vertragsmanagementsystems digitalisiert worden.

(ID:49631620)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte