Geteilte Industrieplattformen teilen nicht die Verantwortung

DORA’s kritisches Drittparteien-Überwachungsregime gilt speziell für Finanzunternehmen und die als kritisch eingestuften IKT-Anbieter dieser Branche. Hersteller fallen nicht direkt in den Anwendungsbereich. Das zugrunde liegende Muster betrifft jedoch ebenso die eigene Abhängigkeit eines Herstellers von geteilten Industrie- und Cloud-Plattformen: Die regulatorische Überwachung eines Anbieters, wo immer sie existiert, entbindet den Hersteller niemals von seiner eigenen Verantwortung für diese Geschäftsbeziehung.

Einige Hersteller, die diese Entwicklung beobachten, gehen davon aus, dass die zugrundeliegende Lehre für sie nicht gilt, weil sie anderen Regularien unterliegen. Diese Annahme greift jedoch zu kurz: Das Konzentrationsrisiko bei wenigen kritischen Anbietern ist eine strukturelle Eigenschaft der Abhängigkeit von diesen Anbietern – nicht die Folge einer bestimmten Regulierung. Ein Hersteller kann vollständig außerhalb des DORA-Anwendungsbereichs agieren und dennoch gefährlich denselben Ausfallrisiken ausgesetzt sein, für deren Steuerung DORA entwickelt wurde.

Executive Summary

Hersteller, die Entwicklungen wie DORA im Finanzdienstleistungsbereich verfolgen, können daraus eine direkte Lehre für ihr eigenes Lieferantenrisiko ziehen – auch ohne selbst im Anwendungsbereich zu sein: Die Konzentration auf wenige kritische Anbieter und die daraus resultierende Verantwortung verschwinden nicht, nur weil kein externer Regulator diesen spezifischen Anbieter überwacht. Für IT- und Risikoverantwortliche bedeutet das: Anbieter-Konzentration ist ein Risiko, das kontinuierlich gemanagt werden muss – und keine Compliance-Kategorie, die nur für andere Branchen gilt.

Wichtige Erkenntnisse

1. Die externe Überwachung eines Anbieters entbindet einen Hersteller nicht von der eigenen Verantwortung für diese Beziehung. Die Pflicht, Risiken zu verstehen und zu steuern, liegt immer beim Hersteller.
2. Hersteller, die sich auf wenige kritische Plattformanbieter verlassen, tragen ein Konzentrationsrisiko – unabhängig davon, ob eine externe Stelle diese Anbieter überwacht.
3. Kunden und Aufsichtsbehörden erwarten zunehmend kontinuierliche Nachweise zur Überwachung von Anbietern, nicht nur eine einmalige Due-Diligence-Prüfung bei Vertragsabschluss.
4. Ein Register über Lieferantenbeziehungen und deren Kritikalität ist unabhängig von branchenspezifischen Vorgaben sinnvoll, da das zugrundeliegende Risiko unabhängig von der Regulierung besteht.
5. Die Verpflichtung des Herstellers, die Kontrolle über Lieferantenbeziehungen nachzuweisen, bleibt immer bestehen – egal, wer sonst noch hinschaut.

Was die Einstufung als Kritischer Drittanbieter im Finanzsektor tatsächlich bewirkt

Wer versteht, warum DORA diesen Mechanismus vorsieht, erkennt auch, warum die zugrundeliegende Lehre selbst dort gilt, wo die Regulierung nicht greift. Die Einstufung verschafft Aufsichtsbehörden Transparenz über Anbieter, deren Ausfall viele Finanzunternehmen gleichzeitig betreffen könnte – basierend auf systemischer Bedeutung und Konzentration der Abhängigkeiten.

Die Einstufung betrifft systemische Konzentration, nicht das Risiko einzelner Anbieter

Ein Anbieter wird als kritisch eingestuft, weil viele regulierte Unternehmen in einer Weise von ihm abhängen, die branchenweite Störungen verursachen könnte. Die eigene Abhängigkeit eines Herstellers von einem Anbieter – also wie stark er tatsächlich auf diesen angewiesen ist – ist eine separate Frage, die kein Einstufungsmechanismus in irgendeinem Sektor für ihn beantwortet.

Warum Ihre eigene Verantwortung immer bei Ihnen bleibt

Unabhängig davon, ob ein Regulator einen Anbieter direkt überwacht, bleibt der Hersteller, der sich auf diesen Anbieter verlässt, voll verantwortlich dafür, zu verstehen, was passiert, wenn dieser ausfällt. Das gilt für alle Branchen.

Externe Überwachung eines Anbieters ist keine Überwachung Ihres Vertrags

Selbst wenn ein Anbieter in einem ganz anderen Sektor unter strenger regulatorischer Kontrolle steht, bezieht sich diese Kontrolle auf das allgemeine Risikomanagement des Anbieters – nicht auf den spezifischen Vertrag, Ausstiegsplan oder die Abhängigkeit eines einzelnen Kunden. Ein Hersteller kann seine eigene Sorgfaltspflicht nicht an einen Regulator auslagern, der die tatsächliche Beziehung zu diesem Anbieter nie geprüft hat.

Konzentrationsrisiko besteht unabhängig vom regulatorischen Rahmen

Ein Hersteller, der für Produktion, Engineering und Kommunikationssysteme auf wenige Anbieter angewiesen ist, trägt dasselbe strukturelle Konzentrationsrisiko wie ein Finanzinstitut gegenüber seinen kritischen IKT-Anbietern – unabhängig davon, ob eine Regulierung dieses Risiko explizit benennt.

Wie effektives Lieferantenrisikomanagement aussieht – mit oder ohne Regulierung

Die Methoden, die DORAs Drittparteien-Risikoregelung für Finanzunternehmen wirksam machen, schützen auch jedes andere Unternehmen, das auf wenige kritische Anbieter angewiesen ist.

Ein Register über Lieferantenbeziehungen ist ein lebendiges Dokument

Eine genaue Übersicht, welche Anbieter welche Produktions- und Engineering-Funktionen unterstützen und wie kritisch sie sind, lohnt sich unabhängig von branchenspezifischen Vorgaben. Denn diese Übung deckt Konzentrationsrisiken auf, bevor sie zur Krise werden.

Überwachung muss kontinuierlich erfolgen, nicht nur einmalig

Eine einmalige Due-Diligence-Prüfung bei Vertragsabschluss sagt einem Hersteller nichts über die aktuelle Risikosituation eines Anbieters Jahre später. Kontinuierliches Monitoring – auch informell – macht aus einer Lieferantenbeziehung ein tatsächlich gemanagtes Risiko statt einer bloßen Annahme.

Lieferantenrisikomanagement aufbauen, bevor ein Regulator es verlangt

Für Hersteller ist es sinnvoll, dieselben internen Fähigkeiten aufzubauen, die auch regulierte Finanzunternehmen benötigen: Einen kontinuierlich aktualisierten Überblick, welche Anbieter wirklich kritisch sind, wie konzentriert die Abhängigkeit ist und welche Nachweise für laufende Überwachung vorliegen – nicht weil eine Regulierung es verlangt, sondern weil es den Hersteller schützt.

Wie eine Data Control Plane kontinuierliche Nachweise für Lieferantenrisiken liefert

Die Kontrolle über Lieferantenrisiken lässt sich nur nachweisen, wenn kontinuierlich sichtbar ist, welche Daten über welche Anbieter und Kanäle laufen, wer darauf zugegriffen hat und unter welchen Bedingungen – statt sich allein auf Zusicherungen des Anbieters zu verlassen.

Die Kiteworks Data Control Plane setzt datenbasierte zero-trust-Kontrollen für jede Aktion in jedem Kanal ein. Sie erfasst ein kontinuierliches, manipulationssicheres, uneingeschränktes Audit-Log, das direkt in SIEM-Tools eingespeist wird. So erhalten Hersteller Nachweise über ihre eigene Lieferantenüberwachung – unabhängig von externen Einstufungsregimen. Single-Tenant-Architektur und kundeneigene Verschlüsselungsschlüssel bedeuten zudem, dass die Kontrolle über die sensibelsten Datenaustausche des Herstellers nicht vom Überwachungsstatus Dritter abhängt.

Hersteller, die erfahren möchten, wie kontinuierliche Nachweise ihr eigenes Lieferantenrisikomanagement unterstützen, können eine individuelle Demo vereinbaren.