Wesentliche Änderungen bei der Überwachung von Drittparteien sind geringer als Banken erwarten

Als europäische Aufsichtsbehörden begannen, bestimmte IKT-Anbieter im Rahmen von DORA als kritisch einzustufen, betrachteten einige Finanzinstitute dies zunächst als gute Nachricht: Ein Anbieter, der nun unter direkter Aufsicht steht, klang nach jemand anderem, der die Compliance-Arbeit übernimmt. Das Gegenteil ist der Fall. Die Einstufung rückt den Anbieter in den Fokus der Aufsichtsbehörden. Die eigene Verantwortung des Instituts bleibt jedoch unverändert bestehen.

Diese Unterscheidung ist wichtiger, als viele Institute anfangs annehmen. Die direkte Aufsicht über einen kritischen Anbieter verschafft den Aufsichtsbehörden Einblick in dessen Risikomanagement. Sie ändert jedoch nichts an der Verantwortlichkeit des Instituts, wenn die Dienste dieses Anbieters ausfallen und das Institut nicht nachweisen kann, dass es die Beziehung angemessen gesteuert hat. Dieser Artikel beleuchtet, was die Einstufung als kritischer Drittanbieter für Finanzinstitute tatsächlich verändert, was unverändert bleibt und was das für das zukünftige Vendor Risk Management bedeutet.

Executive Summary

Die direkte Aufsicht über kritische IKT-Drittanbieter ist eine der sichtbarsten Neuerungen unter DORA und wird oft fälschlicherweise als Entlastung der Compliance-Anforderungen für die nutzenden Finanzinstitute verstanden. Das ist nicht der Fall. Der Mechanismus dient dazu, das systemische Konzentrationsrisiko im gesamten Finanzsektor durch kontinuierlichen Austausch zwischen Aufsichtsbehörden und den größten, am stärksten vernetzten Anbietern zu steuern. Er sagt jedoch nichts darüber aus, ob ein einzelnes Institut seine eigene Nutzung dieses Anbieters – oder anderer, nicht als kritisch eingestufter Anbieter – ausreichend bewertet, dokumentiert und überwacht hat. Für Verantwortliche in den Bereichen Risiko und Compliance gilt: Das Management von Drittparteirisiken bleibt uneingeschränkt die eigene Aufgabe des Instituts – unabhängig davon, wer den Anbieter sonst noch überwacht.

Wichtige Erkenntnisse

1. Die Einstufung als kritischer Drittanbieter unterstellt einen Anbieter der direkten Aufsicht durch die Aufsichtsbehörden. Die Verantwortung des Instituts für das Management der Anbieterbeziehung bleibt jedoch vollständig bestehen.
2. Die Liste der als kritisch eingestuften Anbieter verändert sich im Zeitverlauf. Anbieter werden hinzugefügt, wenn ihre Bedeutung wächst, und können gestrichen werden, wenn sie an Relevanz verlieren. Eine statische Bewertung von Vendor Risk wird dadurch schnell veraltet.
3. Konzentrationsrisiken bestehen auch bei nicht eingestuften Anbietern. Ein Anbieter, der (noch) nicht auf der Kritisch-Liste steht, kann dennoch ein Single Point of Failure für die Abläufe eines bestimmten Instituts darstellen.
4. Aufsichtsbehörden erwarten laufendes Drittparteirisikomanagement, keine einmalige Bewertung. Ein Register der vertraglichen Vereinbarungen und eine Dokumentation der Überwachungsaktivitäten müssen kontinuierlich gepflegt werden.
5. Die Einstufung ändert die Aufsicht über den Anbieter, nicht die Nachweispflicht des Instituts. Finanzinstitute müssen weiterhin eigenständig belegen, dass sie die Risiken durch Drittanbieter verstehen und steuern.

Was die Einstufung als kritischer Drittanbieter tatsächlich bewirkt

Der Einstufungsmechanismus soll Aufsichtsbehörden Transparenz über Anbieter verschaffen, deren Ausfall Auswirkungen auf zahlreiche Finanzinstitute gleichzeitig hätte – basierend auf Faktoren wie systemischer Bedeutung, Konzentration der Abhängigkeit und der Möglichkeit, Dienstleistungen zu ersetzen.

Die Einstufung betrifft systemische Konzentration, nicht das Risiko einzelner Anbieter

Ein Anbieter wird als kritisch eingestuft, weil viele Finanzinstitute in einer Weise von ihm abhängen, dass sein Ausfall zu branchenweiten Störungen führen könnte – nicht, weil der Vertrag eines einzelnen Instituts mit diesem Anbieter besonders risikobehaftet ist. Die individuelle Abhängigkeit eines Instituts von diesem Anbieter, also wie es die Dienstleistung tatsächlich nutzt, ist eine separate Frage, die durch die Einstufung nicht beantwortet wird.

Die Liste verändert sich – Vendor Risk Assessments dürfen nicht statisch sein

Kritische Anbieter werden regelmäßig neu bewertet und die Liste wird entsprechend aktualisiert – Anbieter kommen hinzu oder werden entfernt, wenn sich ihre Bedeutung ändert. Wer „Steht unser Anbieter auf der Kritisch-Liste?“ als einmalige Prüfung betrachtet, riskiert, dass diese Einschätzung schnell veraltet, ohne dass jemand darauf hinweist.

Warum die eigene Verantwortlichkeit unverändert bleibt

Die Aufsicht über einen kritischen Anbieter durch die Behörden und die Pflicht des Instituts, die eigene Beziehung zu diesem Anbieter zu steuern, sind zwei völlig getrennte Verpflichtungen, die lediglich denselben Anbieter betreffen.

Direkte Aufsicht über den Anbieter ist keine Aufsicht über Ihren Vertrag

Wenn Aufsichtsbehörden direkt mit einem kritischen Anbieter interagieren, bewerten sie dessen Risikomanagement auf allgemeiner Ebene. Sie prüfen jedoch nicht die spezifischen Verträge einzelner Institute, deren Exit-Strategien oder ob sie dokumentiert haben, was bei einer Verschlechterung der Dienstleistung passieren würde. Diese Aufgaben bleiben ausschließlich beim Institut selbst.

Nicht eingestufte Anbieter bergen weiterhin Konzentrationsrisiken

Da die Einstufung auf Ebene des gesamten Finanzsektors erfolgt, kann ein Anbieter, der knapp unterhalb der systemischen Schwellenwerte liegt, dennoch ein gravierender Single Point of Failure für das einzelne, von ihm abhängige Institut sein. Das relevante Konzentrationsrisiko für ein Institut ist das, auf das es selbst angewiesen ist – nicht das, auf das der gesamte Sektor angewiesen ist.

Was Aufsichtsbehörden tatsächlich vom Institut erwarten

Unabhängig davon, ob ein Anbieter als kritisch eingestuft ist oder nicht, müssen Finanzinstitute stets ein kontinuierliches, belegbares Verständnis der IKT-Drittanbieter, auf die sie sich stützen, vorweisen können.

Ein Informationsregister ist ein lebendiges Dokument, kein Schnappschuss

Ein aktuelles Register der vertraglichen Vereinbarungen mit IKT-Anbietern, einschließlich der unterstützten Funktionen, muss laufend gepflegt werden – es handelt sich nicht um ein einmalig für ein Audit erstelltes Dokument.

Überwachung muss kontinuierlich erfolgen, um als Nachweis zu gelten

Eine einmalige Due-Diligence-Prüfung bei Vertragsabschluss reicht nicht als Nachweis für laufendes Risikomanagement. Die Aufsichtsbehörden erwarten eine kontinuierliche Überwachung – das Institut muss dokumentieren, was es im Zeitverlauf tatsächlich zur Performance des Anbieters beobachtet hat.

Drittparteirisikomanagement, das auch einer Prüfung standhält

Die angemessene Reaktion auf die Einstufung als kritischer Drittanbieter besteht nicht darin, die Überwachung nicht eingestufter Anbieter zu lockern. Vielmehr gilt es, intern die Fähigkeit aufzubauen, jederzeit nachvollziehen zu können, welche Anbieter welche Funktionen unterstützen, wie konzentriert die Abhängigkeit ist und welche Nachweise für die laufende Überwachung vorliegen.

Wie eine Data Control Plane kontinuierliche Nachweise für Drittparteirisiken unterstützt

Die Kontrolle über IKT-Drittparteirisiken lässt sich nur nachweisen, wenn jederzeit belegt werden kann, welche Daten über welche Anbieter und Kanäle laufen, wer darauf zugegriffen hat und unter welchen Bedingungen – statt sich auf Zusicherungen des Anbieters zu verlassen.

Die Kiteworks Data Control Plane wendet datenbasierte zero-trust-Kontrollen auf jede Übertragung, jedes Teilen und jeden Zugriff über alle Kanäle hinweg an und protokolliert jede Aktion in einem fälschungssicheren, uneingeschränkten Audit-Log, der direkt in SIEM-Tools eingespeist wird. Für Institute, die IKT-Drittparteirisiken unter DORA steuern, bedeutet dies einen kontinuierlichen, abfragbaren Nachweis darüber, wie sensible Daten tatsächlich über die genutzten Anbieter und Kanäle laufen – ein Nachweis, der unabhängig vom Einstufungsstatus einzelner Anbieter Bestand hat. Die Single-Tenant-Architektur und kundeneigene Verschlüsselungsschlüssel gewährleisten zudem, dass die Kontrolle über die sensibelsten Datenbewegungen nicht vom Aufsichtsstatus Dritter abhängt.

Institute, die erfahren möchten, wie kontinuierliche, kanalübergreifende Nachweise ihre eigenen IKT-Drittparteipflichten unterstützen, können eine individuelle Demo vereinbaren und die Anwendung für ihre aktuelle Anbieterlandschaft im Detail durchgehen.