Anwaltskanzleien müssen sich auch für das Risiko ihrer eigenen Dienstleister verantworten

DORAs kritisches Drittparteien-Überwachungsregime gilt speziell für Finanzunternehmen und die als kritisch eingestuften IKT-Anbieter dieser Branche. Anwaltskanzleien fallen nicht direkt darunter. Das aufgezeigte Muster betrifft jedoch ebenso die eigene Abhängigkeit einer Kanzlei von Cloud- und IT-Anbietern: Die regulatorische Überwachung eines Anbieters, wo immer sie existiert, entbindet die Kanzlei niemals von ihrer eigenen Verantwortung für diese Beziehung.

Einige Kanzleien, die diese Entwicklung beobachten, gehen davon aus, dass die zugrundeliegende Lektion für sie nicht gilt, weil sie nicht auf die gleiche Weise reguliert werden. Genau dieser Irrtum wird in diesem Artikel thematisiert: Das Konzentrationsrisiko bei einer kleinen Anzahl kritischer Anbieter ist eine strukturelle Eigenschaft der Abhängigkeit von diesen Anbietern – und keine Folge einer bestimmten Regulierung. Eine Kanzlei kann völlig außerhalb des DORA-Geltungsbereichs liegen und dennoch gefährlich demselben Ausfallrisiko ausgesetzt sein, das DORA adressiert.

Executive Summary

Kanzleien, die Entwicklungen wie DORA im Bereich Financial Services verfolgen, können daraus eine direkte Lehre für ihr eigenes Vendor Risk Management ziehen – auch wenn sie selbst nicht betroffen sind: Die Konzentration auf wenige kritische Anbieter und die daraus resultierende Verantwortung verschwinden nicht, nur weil kein externer Regulator diesen spezifischen Anbieter überwacht. Für Risikoverantwortliche bedeutet das: Konzentrationsrisiken bei Anbietern sind kontinuierlich zu managen und nicht nur ein Compliance-Thema für andere Branchen.

Wichtige Erkenntnisse

1. Die externe Überwachung eines Anbieters – regulatorisch oder anderweitig – entbindet eine Kanzlei nie von ihrer eigenen Verantwortung für diese Beziehung. Die Pflicht, Risiken zu verstehen und zu steuern, liegt immer beim Unternehmen selbst.
2. Kanzleien, die stark auf wenige Cloud- oder Praxismanagement-Anbieter setzen, tragen ein Konzentrationsrisiko – unabhängig davon, ob eine externe Stelle diese Anbieter überwacht.
3. Regulatoren und Mandanten erwarten zunehmend kontinuierliche Nachweise über die Überwachung von Anbietern – nicht nur eine einmalige Due-Diligence-Prüfung bei Vertragsabschluss.
4. Ein Register über Anbieterbeziehungen und deren Kritikalität ist ein lebendiges Dokument, das eine Kanzlei unabhängig von branchenspezifischen Vorgaben führen sollte, da das zugrundeliegende Risiko unabhängig von der Regulierung besteht.
5. Die eigene Pflicht der Kanzlei, Kontrolle über ihre Anbieterbeziehungen nachzuweisen, bleibt immer bestehen – unabhängig davon, wer sonst noch hinschaut.

Was die Einstufung als kritischer Drittanbieter im Finanzsektor tatsächlich bewirkt

Das Verständnis, warum es den DORA-Mechanismus gibt, verdeutlicht, warum die zugrundeliegende Lehre auch dort gilt, wo die Regulierung nicht greift. Der Einstufungsmechanismus verschafft Regulatoren Transparenz über Anbieter, deren Ausfall viele Finanzunternehmen gleichzeitig betreffen könnte – basierend auf systemischer Bedeutung und Abhängigkeitskonzentration.

Die Einstufung betrifft systemische Konzentration, nicht das individuelle Anbieterrisiko

Ein Anbieter wird als kritisch eingestuft, weil viele regulierte Unternehmen in einer Weise von ihm abhängen, die branchenweite Störungen verursachen könnte. Die eigene Abhängigkeit einer Kanzlei von einem Anbieter – also wie stark sie tatsächlich auf ihn angewiesen ist und welche Alternativen bestehen – ist eine eigene Fragestellung, die kein Einstufungsmechanismus in irgendeinem Sektor für die Kanzlei beantwortet.

Warum die eigene Verantwortung immer bestehen bleibt

Unabhängig davon, ob ein Regulator einen Anbieter direkt überwacht, bleibt die Kanzlei, die auf diesen Anbieter setzt, voll verantwortlich dafür, zu verstehen, was passiert, wenn dieser ausfällt. Das gilt unabhängig davon, in welcher Branche die Kanzlei tätig ist.

Externe Überwachung eines Anbieters ist keine Überwachung Ihres Vertrags

Selbst wenn ein Anbieter in einem ganz anderen Sektor intensiv reguliert wird, bezieht sich diese Überwachung auf das allgemeine Risikomanagement des Anbieters – nicht auf den spezifischen Vertrag, den Exit-Plan oder die Abhängigkeit eines einzelnen Kunden. Eine Kanzlei kann ihre eigene Due Diligence nicht an einen Regulator auslagern, der die tatsächliche Beziehung der Kanzlei zu diesem Anbieter nie geprüft hat.

Konzentrationsrisiko besteht unabhängig vom regulatorischen Rahmen

Eine Kanzlei, die für Praxismanagement, Dokumentenspeicherung und Kommunikation auf wenige Anbieter setzt, trägt dasselbe strukturelle Konzentrationsrisiko wie ein Finanzinstitut gegenüber kritischen IKT-Anbietern – unabhängig davon, ob eine Regulierung dieses Risiko explizit benennt.

Wie effektives Vendor Risk Management aussieht – mit oder ohne Regulierung

Die Praktiken, die DORAs Drittparteien-Risikoregime für Finanzunternehmen wirksam machen, sind dieselben, die jedes Unternehmen mit wenigen kritischen Anbietern schützen.

Ein Register der Anbieterbeziehungen ist ein lebendiges Dokument

Eine aktuelle Übersicht, welche Anbieter welche Funktionen unterstützen und wie kritisch sie für den Geschäftsbetrieb sind, lohnt sich unabhängig von branchenspezifischen Vorgaben – denn gerade diese Übung macht Konzentrationsrisiken sichtbar, bevor sie zur Krise werden.

Überwachung muss kontinuierlich erfolgen – nicht einmalig

Eine einmalige Due-Diligence-Prüfung bei Vertragsabschluss sagt Jahre später nichts mehr über das aktuelle Risikoprofil eines Anbieters aus. Kontinuierliche Überwachung – auch informell – verwandelt eine Anbieterbeziehung von einer Annahme in ein tatsächlich gemanagtes Verhältnis.

Vendor Risk Management aufbauen, bevor ein Regulator es verlangt

Für Kanzleien bedeutet das: dieselben internen Fähigkeiten aufbauen, die auch regulierte Finanzunternehmen benötigen – einen laufend aktualisierten Überblick, welche Anbieter wirklich kritisch sind, wie konzentriert die Abhängigkeit ist und welche Nachweise für die laufende Überwachung existieren. Das geschieht aus Selbstschutz, nicht weil eine Regulierung es fordert.

Wie eine Data Control Plane kontinuierliche Nachweise für Vendor Risk liefert

Die Kontrolle über das Vendor Risk lässt sich nur dann nachweisen, wenn kontinuierlich sichtbar ist, welche Daten über welche Anbieter und Kanäle laufen, wer darauf zugegriffen hat und unter welchen Bedingungen – statt sich auf Zusicherungen des Anbieters oder eine einmalige Due-Diligence-Prüfung zu verlassen.

Die Kiteworks Data Control Plane setzt datensensitive zero-trust-Kontrollen für jede Aktion über alle Kanäle hinweg ein, erfasst dabei kontinuierlich ein fälschungssicheres, nicht limitierbares Audit-Log, das direkt in SIEM-Tools eingespeist wird. So erhalten Kanzleien Nachweise über ihre eigene Anbieterüberwachung – unabhängig von externen Einstufungsregimen. Single-Tenant-Architektur und kundeneigene Verschlüsselungsschlüssel bedeuten zudem, dass die Kontrolle über die sensibelsten Datenbewegungen nicht vom Überwachungsstatus Dritter abhängt.

Kanzleien, die sehen möchten, wie kontinuierliche Nachweise ihr eigenes Vendor Risk Management unterstützen, können eine individuelle Demo vereinbaren.