Behörden, die gemeinsam genutzte Infrastrukturen verwenden, tragen weiterhin das Risiko

DORAs kritisches Drittparteien-Überwachungsregime gilt speziell für Finanzunternehmen und die als kritisch eingestuften IKT-Anbieter dieses Sektors. Regierungsbehörden fallen nicht direkt in den Anwendungsbereich. Das aufgezeigte Muster betrifft jedoch ebenso die eigene Abhängigkeit einer Behörde von gemeinsam genutzter Cloud-Infrastruktur: Die regulatorische Überwachung eines Anbieters – wo immer sie existiert – entbindet die Behörde niemals von ihrer eigenen Verantwortung für diese Beziehung.

Einige Behörden, die diese Entwicklung beobachten, gehen davon aus, dass die zugrunde liegende Lehre für sie nicht gilt, da sie anderen Vorschriften unterliegen. Diese Annahme greift jedoch zu kurz: Das Konzentrationsrisiko bei wenigen kritischen Anbietern ist eine strukturelle Eigenschaft der Abhängigkeit von diesen Anbietern – und keine Folge einer bestimmten Regulierung. Eine Behörde kann vollständig außerhalb des DORA-Anwendungsbereichs liegen und dennoch dem gleichen Ausfallrisiko ausgesetzt sein, das DORA adressiert.

Executive Summary

Behörden, die Entwicklungen wie DORA im Finanzdienstleistungssektor verfolgen, können daraus direkt Lehren für ihr eigenes Lieferantenrisiko ziehen – auch ohne selbst betroffen zu sein: Die Konzentration auf wenige kritische Anbieter und die damit verbundene Verantwortung verschwinden nicht, nur weil kein externer Regulator diesen spezifischen Anbieter überwacht. Für IT- und Beschaffungsverantwortliche bedeutet das: Anbieter-Konzentration ist ein kontinuierlich zu managendes Risiko – kein Compliance-Thema, das nur für andere Branchen gilt.

Wichtige Erkenntnisse

1. Die externe Überwachung eines Anbieters entbindet eine Behörde nicht von ihrer eigenen Verantwortung für diese Beziehung. Die Pflicht, Risiken zu verstehen und zu steuern, liegt immer bei der Behörde selbst.
2. Behörden, die sich auf wenige kritische Cloud-Anbieter verlassen, tragen ein Konzentrationsrisiko – unabhängig davon, ob eine externe Stelle diese Anbieter überwacht.
3. Bürger und Aufsichtsbehörden erwarten zunehmend kontinuierliche Nachweise über die Überwachung von Anbietern – nicht nur eine einmalige Prüfung bei Vertragsabschluss.
4. Ein Register über Anbieterbeziehungen und deren Kritikalität ist unabhängig von branchenspezifischen Vorgaben sinnvoll, da das zugrunde liegende Risiko unabhängig von der Regulierung besteht.
5. Die Verpflichtung der Behörde, Kontrolle über Anbieterbeziehungen nachzuweisen, bleibt immer bestehen – unabhängig davon, wer sonst noch hinsieht.

Was die Einstufung als Kritischer Drittanbieter im Finanzsektor tatsächlich bewirkt

Wer versteht, warum es den DORA-Mechanismus gibt, erkennt auch, warum die zugrunde liegende Lehre unabhängig von der Regulierung übertragbar ist. Die Einstufung verschafft Aufsichtsbehörden Transparenz über Anbieter, deren Ausfall Auswirkungen auf viele Finanzunternehmen gleichzeitig haben könnte – basierend auf systemischer Bedeutung und Konzentration der Abhängigkeit.

Die Einstufung betrifft systemische Konzentration, nicht das Risiko einzelner Anbieter

Ein Anbieter wird als kritisch eingestuft, weil viele regulierte Unternehmen in einer Weise von ihm abhängen, die branchenweite Störungen verursachen könnte. Die eigene Abhängigkeit einer Behörde von einem Anbieter – also wie stark sie tatsächlich auf ihn angewiesen ist – ist eine separate Frage, die kein Einstufungsmechanismus in irgendeinem Sektor für sie beantwortet.

Warum die eigene Verantwortung immer bestehen bleibt

Unabhängig davon, ob ein Regulator einen Anbieter direkt überwacht, trägt die Behörde, die sich auf diesen Anbieter verlässt, stets die volle Verantwortung dafür, zu verstehen, was passiert, wenn dieser Anbieter ausfällt. Das gilt unabhängig vom Sektor, in dem die Behörde tätig ist.

Externe Überwachung eines Anbieters ist keine Überwachung Ihres Vertrags

Selbst wenn ein Anbieter in einem anderen Sektor unter starker regulatorischer Kontrolle steht, prüft diese Kontrolle das allgemeine Risikomanagement des Anbieters – nicht den spezifischen Vertrag, Exit-Plan oder die Abhängigkeit einer einzelnen Behörde. Eine Behörde kann ihre eigene Sorgfaltspflicht nicht an einen Regulator auslagern, der die tatsächliche Beziehung zu diesem Anbieter nie geprüft hat.

Konzentrationsrisiko besteht unabhängig vom regulatorischen Rahmen

Eine Behörde, die für bürgernahe Systeme, Speicher und Kommunikation auf wenige Anbieter angewiesen ist, trägt das gleiche strukturelle Konzentrationsrisiko wie ein Finanzinstitut gegenüber seinen kritischen IKT-Anbietern – unabhängig davon, ob eine Regulierung dieses Risiko explizit benennt.

Wie gutes Lieferantenrisikomanagement aussieht – mit oder ohne Regulierung

Die Praktiken, die DORAs Drittparteien-Risikoregelung für Finanzunternehmen effektiv machen, schützen auch jede andere Organisation, die sich auf wenige kritische Anbieter verlässt.

Ein Register über Anbieterbeziehungen ist ein lebendiges Dokument

Eine genaue Übersicht, welche Anbieter welche Regierungsfunktionen unterstützen und wie kritisch sie sind, lohnt sich unabhängig von branchenspezifischen Vorgaben – denn gerade diese Übersicht macht Konzentrationsrisiken sichtbar, bevor sie zur Krise werden.

Überwachung muss kontinuierlich erfolgen, nicht einmalig

Eine einmalige Prüfung bei Vertragsabschluss sagt Jahre später nichts über das aktuelle Risikoprofil eines Anbieters aus. Kontinuierliches Monitoring – auch informell – macht aus einer Annahme eine tatsächlich gesteuerte Beziehung.

Lieferantenrisikomanagement aufbauen, bevor ein Regulator es verlangt

Für Behörden ist es sinnvoll, die gleiche interne Fähigkeit aufzubauen, die auch regulierte Finanzunternehmen benötigen: Einen kontinuierlich aktualisierten Überblick darüber, welche Anbieter wirklich kritisch sind, wie konzentriert die Abhängigkeit ist und welche Nachweise für laufende Überwachung existieren – umgesetzt, weil es die Behörde schützt, nicht weil eine Regulierung es verlangt.

Wie eine Data Control Plane kontinuierliche Nachweise für Lieferantenrisiken liefert

Die Kontrolle über Lieferantenrisiken lässt sich nur nachweisen, wenn jederzeit klar ist, welche Daten über welche Anbieter und Kanäle laufen, wer darauf zugegriffen hat und unter welchen Bedingungen – statt sich auf Zusicherungen des Anbieters zu verlassen.

Die Kiteworks Data Control Plane setzt datenbasierte zero-trust-Kontrollen für jede Aktion über jeden Kanal hinweg ein und erfasst einen kontinuierlichen, manipulationssicheren, ungebremsten Audit-Log, der direkt in SIEM-Tools eingespeist wird. So erhalten Behörden Nachweise über ihre eigene Überwachung von Anbietern – unabhängig von externen Einstufungsregimen. Single-Tenant-Architektur und kundeneigene Verschlüsselungsschlüssel bedeuten zudem, dass die Kontrolle über die sensibelsten Datenbewegungen nicht vom Überwachungsstatus Dritter abhängt.

Behörden, die sehen möchten, wie kontinuierliche Nachweise ihr eigenes Lieferantenrisikomanagement unterstützen, können eine individuelle Demo vereinbaren.