DORA Audit & Selbstprüfung
IKT-Drittdienstleister & Konzentrationsrisiko
Due Diligence, Kritikalität, Konzentration, laufende Überwachung und Exit.
DORA Art. 28–29 · RTS 2024/177314 FragenFramework: Lieferanten- & Dienstleistersteuerung
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Gibt es eine Strategie bzw. Policy für das Management von IKT-Drittparteienrisiken?
Worauf achten?Verantwortung, Lifecycle und kritische/wichtige Funktionen müssen abgedeckt sein.
Mögliche NachweiseTPRM Policy; Strategie; Rollenmodell
Regulatorischer BezugDORA Art. 28; RTS 2024/1773
Passendes Framework-ThemaLieferantensteuerung
Umsetzung · Frage 2
Wird vor Vertragsabschluss geprüft, ob eine IKT-Leistung eine kritische oder wichtige Funktion unterstützt?
Worauf achten?Kritikalitätsentscheidung dokumentieren und mit Register/BIA abstimmen.
Mögliche NachweiseDue Diligence; Kritikalitätsbewertung; BIA
Regulatorischer BezugDORA Art. 28
Passendes Framework-ThemaLieferantensteuerung
Umsetzung · Frage 3
Wird vor Beauftragung eine angemessene Due Diligence und Risikobewertung durchgeführt?
Worauf achten?Security, Resilienz, Standort, Subunternehmer, Auditierbarkeit und Exit berücksichtigen.
Mögliche NachweiseDue-Diligence-Akte; Risikoanalyse; Anbieterbewertung
Regulatorischer BezugDORA Art. 28(4)
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 4
Werden Interessenkonflikte im Zusammenhang mit IKT-Drittdienstleistern bewertet?
Worauf achten?Insbesondere verbundene Unternehmen und Entscheidungsrollen betrachten.
Mögliche NachweiseCOI-Erklärung; Beschaffungsunterlagen
Regulatorischer BezugDORA Art. 28(4)
Passendes Framework-ThemaGovernance
Umsetzung · Frage 5
Werden IKT-Konzentrationsrisiken und mangelnde Substituierbarkeit vor Vertragsabschluss bewertet?
Worauf achten?Mehrere kritische Leistungen beim selben Anbieter und schwer ersetzbare Anbieter betrachten.
Mögliche NachweiseKonzentrationsanalyse; Marktanalyse; Exit Assessment
Regulatorischer BezugDORA Art. 29
Passendes Framework-ThemaLieferantensteuerung
Umsetzung · Frage 6
Werden Leistung, Risiken und wesentliche Änderungen des Dienstleisters fortlaufend überwacht?
Worauf achten?SLA allein genügt nicht; Security-/Resilience-Risiken einbeziehen.
Mögliche NachweiseService Reviews; Risiko-Reviews; SOC/ISAE-Berichte
Regulatorischer BezugDORA Art. 28; RTS 2024/1773
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 7
Gibt es für kritische/wichtige IKT-Leistungen belastbare Exit-Strategien?
Worauf achten?Alternative Anbieter, Übergangszeit, Datenrückgabe und interne Fähigkeiten betrachten.
Mögliche NachweiseExit Strategy; Transition Plan; Tests
Regulatorischer BezugDORA Art. 28(8)
Passendes Framework-ThemaExit & Portability
Wirksamkeit · Frage 8
Kann die Organisation nachweisen, dass sie trotz Auslagerung die Leistung und Risiken wirksam steuert?
Worauf achten?Verantwortung bleibt beim Finanzunternehmen.
Mögliche NachweiseGovernance Reports; Supplier Reviews; Maßnahmen
Regulatorischer BezugDORA Art. 28
Passendes Framework-ThemaGovernance
Umsetzung · Frage 9
Wird die Policy für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, mindestens jährlich durch das Leitungsorgan überprüft und bei Bedarf aktualisiert?
Worauf achten?Der jährliche Review ist im RTS ausdrücklich festgelegt.
Mögliche NachweisePolicy; Review-Protokoll; Gremienbeschluss
Regulatorischer BezugRTS 2024/1773 Art. 3(1)
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 10
Sind kritische oder wichtige IKT-Dienstleistungen Gegenstand unabhängiger Prüfungen und im Auditplan berücksichtigt?
Worauf achten?Der RTS verlangt eine unabhängige Review- und Audit-Einbindung.
Mögliche NachweiseAuditplan; Prüfberichte; TPRM Policy
Regulatorischer BezugRTS 2024/1773 Art. 3(7)
Passendes Framework-ThemaTesting & Assurance
Wirksamkeit · Frage 11
Werden Dienstleister anhand geeigneter Leistungs-, Kontroll- und Risikoinformationen bewertet und bei Mängeln konkrete Maßnahmen mit Fristen verfolgt?
Worauf achten?Berichte, KPI/KCI, Audits, Self-Assessments und Incident-/BC-Informationen kombinieren.
Mögliche NachweiseService Reviews; KPI/KCI; Auditberichte; Maßnahmen
Regulatorischer BezugRTS 2024/1773 Art. 3(4), Art. 9
Passendes Framework-ThemaLieferantensteuerung
Wirksamkeit · Frage 12
Werden Exit-Pläne für kritische oder wichtige IKT-Leistungen regelmäßig überprüft und getestet?
Worauf achten?Der Exit muss realistisch, machbar und mit plausiblen Szenarien hinterlegt sein.
Mögliche NachweiseExit-Test; Szenarioübung; Transition Plan
Regulatorischer BezugRTS 2024/1773 Art. 10
Passendes Framework-ThemaExit & Portability
Existenz · Frage 13
Sind Kriterien festgelegt, wann IKT-Drittdienstleister-Vereinbarungen beendet werden müssen oder beendet werden können?
Worauf achten?Rechts-/Vertragsverstöße, Leistungsschwächen, wesentliche Änderungen und Beeinträchtigung wirksamer Aufsicht sollten abgedeckt sein.
Mögliche NachweiseTPRM Policy; Kündigungsmatrix; Vertragsstandard
Regulatorischer BezugDORA Art. 28(7)
Passendes Framework-ThemaExit & Portability
Existenz · Frage 14
Sind ausreichende interne Fähigkeiten und Kenntnisse vorhanden, um kritische oder wichtige IKT-Dienstleistungen trotz Auslagerung wirksam zu überwachen?
Worauf achten?Die Organisation darf Steuerungsfähigkeit nicht vollständig an den Dienstleister verlieren.
Mögliche NachweiseSkill-Matrix; Rollen; Service Reviews; TPRM-Ressourcen
Regulatorischer BezugRTS 2024/1773 Art. 3(3)
Passendes Framework-ThemaLieferantensteuerung
← Zurück zur Übersicht DORA Audit & Selbstprüfung