Startseite / EU-Verordnung
EU-Verordnung
DORA für IKT-Anbieter
DORA regelt Finanzunternehmen und verschärft deren Anforderungen an IKT-Dienstleister.
Auswirkung dieser Anforderung
Diese Regel ist nicht isoliert zu lesen.
- Übermittlungen
- Bilaterale Beziehung
- Länderquellen überprüft am
Annahmen, Grenzen und Quellen dieser Einschätzung
Lesepunkt
Der Vertrag macht die Abhängigkeit steuerbar
Die Art des IKT-Dienstes, seine Kritikalität und seine Unterauftragskette bestimmen die zu prüfenden Themen.
- Art des Finanzkunden
- Erbrachte IKT-Dienstleistung und Kritikalität
- Klauseln, Audit, Kontinuität und Unterauftragsvergabe
- Erwartete betriebliche Nachweise
Verantwortungskaskade
Die DORA-Anforderung verfolgen, ohne dem Lieferanten die Rolle des Finanzunternehmens zuzuschreiben.
Finanzunternehmen
Sie bleibt für ihr eigenes IKT-Risiko verantwortlich.
IKT-Dienstleistungsvertrag
Rechte, Zusammenarbeit, Lokalisierung, Kontinuität und Ausstieg werden je nach Dienstleistung präzisiert.
Internationaler Anbieter
Er übersetzt die Klauseln in Fähigkeiten, Verantwortliche, Fristen und Nachweise.
Unterauftragsvergabe
Wichtige Abhängigkeiten und Änderungen müssen sichtbar bleiben.
Entscheidungspfad
Den IKT-Dienst qualifizieren, bevor die Klauseln gelesen werden
DORA beschränkt sich weder auf den Finanzsektor des Kunden noch auf eine einheitliche Liste von Klauseln, die allen seinen Anbietern auferlegt werden.
01Unterstützte Funktion
Das kundenseitige Finanzunternehmen, die bediente Tätigkeit und die betriebliche Folge einer Nichtverfügbarkeit oder Kompromittierung präzisieren.
02Leistung und Kritikalität
Die Systeme, Daten, Standorte und Abhängigkeiten abgrenzen, aus denen die geprüfte IKT-Leistung tatsächlich besteht.
03Vertragliche Kapazitäten
Auditrechte, Unterstützung, Meldung, Kontinuität, Reversibilität und Ausstieg in Verantwortliche und Fristen übersetzen, die das Unternehmen einhalten kann.
04Beherrschte Kette
Wichtige Subunternehmer, ihre Änderungen, Risikokonzentrationen und für den Kunden nutzbare Nachweise sichtbar machen.
Operative Lektüre des IKT-Service
Die Anfragen, die mit dem Vertrag, dem Betrieb und der Unterauftragsvergabe zu verknüpfen sind.
Zu behandelnde Fragen
- Verpflichtende Vertragsklauseln (Audit, Zugang, Kündigung, Unterauftragsvergabe)
- Ihre Eintragung in deren Informationsregister
- Ihre Kontinuitätspläne und Testergebnisse
- Ihre IKT-Unterauftragskette und deren Standorte
Elemente, die die Antwort stützen
- Verträge und Anhänge auf die DORA-Anforderungen des Kunden abgestimmt
- Datierte Kontinuitäts- und Wiederherstellungstests
- Kartierung der Unterauftragsvergabe mit Kritikalität
- Vorfallsprotokoll und Meldefristen eingehalten
Zu vermeidende Verwechslungen
- Audit-Klauseln pauschal ablehnen, statt ihre Modalitäten zu verhandeln
- Das Informationsregister erst bei der Verlängerung entdecken
- Die Ihrem Dienst zugewiesene Kritikalität unterschätzen
- Nie getestete Resilienzverpflichtungen unterzeichnen
Nachweisdossier, IN-011Demonstrationsbeispiel
VertragsklauselVorfallmeldung an den Kunden innerhalb von 24 StundenFeststellung
Interner ProzessVorfallqualifizierung innerhalb von 48 bis 72 StundenFeststellung
Tatsächliche ChronologieErkennung Samstag 03:10 Uhr, Qualifizierung MontagmorgenFeststellung
Festgestellte AbweichungDie Klausel ist am Wochenende strukturell nicht haltbarAbweichung
AuswirkungVertragsverletzung ab dem ersten realen Vorfall wahrscheinlichAbweichung
Maßnahme„Benachrichtigung über bekannte Sachverhalte“ verhandeln + klar gefasste VerzugsklauselEntscheidung
Lesart der FarbenSachverhaltsfeststellungAbweichung oder RisikoEntscheidung oder Maßnahme
Demonstration
Die Klausel mit der tatsächlichen Funktionsweise des IKT-Dienstes abgleichen.
Der Fall stellt eine Meldefrist dem am Wochenende verfügbaren Bereitschaftsdispositiv gegenüber, um vor der Unterzeichnung eine strukturelle Unmöglichkeit sichtbar zu machen.
Die Qualifizierung eines Nachweises verstehen →Diese Betrachtung anwenden
Den IKT-Dienst und seine Rolle in der Finanztätigkeit darlegen.
Der vorgeschlagene Vertrag, der IKT-Dienst und sein Kontinuitätsdispositiv erlauben es, Rechte, Fristen und Pflichten gegen eine reale Fähigkeit zu testen.