Was sich für Hauptauftragnehmer durch den Status als kritische Drittpartei nicht ändert

DORA’s kritisches Drittparteien-Überwachungsregime gilt speziell für Finanzunternehmen und als kritisch eingestufte ICT-Anbieter in diesem Sektor. Rüstungsunternehmen und deren Auftragnehmer fallen nicht direkt darunter. Das dabei aufgezeigte Muster gilt jedoch ebenso für die eigene Abhängigkeit eines Auftragnehmers von Cloud- und IT-Anbietern: Die regulatorische Überwachung eines Anbieters – wo immer sie existiert – entbindet den Auftragnehmer nie von seiner eigenen Verantwortung für diese Beziehung.

Einige Auftragnehmer, die diese Entwicklung beobachten, gehen davon aus, dass die zugrundeliegende Lehre für sie nicht gilt, da sie stattdessen durch CMMC und Exportkontrollvorgaben reguliert werden. Diese Annahme greift jedoch zu kurz: Konzentrationsrisiken bei wenigen kritischen Anbietern sind eine strukturelle Eigenschaft der Abhängigkeit von diesen Anbietern – und keine Folge einer bestimmten Regulierung. Ein Auftragnehmer kann völlig außerhalb des DORA-Geltungsbereichs agieren und dennoch gefährlich denselben Ausfallrisiken ausgesetzt sein, die DORA adressiert.

Executive Summary

Auftragnehmer, die Entwicklungen wie DORA im Finanzdienstleistungsbereich verfolgen, können daraus direkt für ihr eigenes Lieferantenrisiko lernen – auch ohne selbst betroffen zu sein: Die Konzentration auf wenige kritische Anbieter und die damit verbundene Verantwortung verschwindet nicht, nur weil kein externer Regulator diesen spezifischen Anbieter überwacht. Für Sicherheitsverantwortliche in Programmen bedeutet das: Sie müssen die Konzentration auf Anbieter als kontinuierlich zu managendes Risiko behandeln – nicht als Compliance-Kategorie, die nur für andere Sektoren gilt.

Wichtige Erkenntnisse

1. Die externe Überwachung eines Anbieters entbindet den Auftragnehmer nicht von seiner eigenen Verantwortung für diese Beziehung. Die Verpflichtung, Risiken zu verstehen und zu steuern, liegt immer beim Auftragnehmer.
2. Auftragnehmer, die sich auf wenige kritische IT-Anbieter verlassen, tragen ein Konzentrationsrisiko – unabhängig davon, ob eine externe Stelle diese Anbieter überwacht.
3. Regulatoren und Hauptauftraggeber erwarten zunehmend kontinuierliche Nachweise über die Überwachung von Anbietern – nicht nur eine einmalige Prüfung bei Vertragsabschluss.
4. Ein Register über Lieferantenbeziehungen und deren Kritikalität lohnt sich unabhängig von sektorspezifischen Vorgaben, da das zugrundeliegende Risiko unabhängig von der Regulierung besteht.
5. Die eigene Verpflichtung des Auftragnehmers, Kontrolle über Lieferantenbeziehungen nachzuweisen, bleibt immer bestehen – egal, wer sonst noch hinschaut.

Was die Einstufung als kritischer Drittanbieter im Finanzsektor tatsächlich bewirkt

Wer versteht, warum der DORA-Mechanismus existiert, erkennt auch, warum die zugrundeliegende Lehre übertragbar ist – selbst wenn die Regulierung nicht gilt. Die Einstufung verschafft Aufsichtsbehörden Transparenz über Anbieter, deren Ausfall viele Finanzunternehmen gleichzeitig betreffen könnte – basierend auf systemischer Bedeutung und Konzentration der Abhängigkeiten.

Die Einstufung betrifft systemische Konzentration, nicht das Einzelrisiko eines Anbieters

Ein Anbieter wird als kritisch eingestuft, weil viele regulierte Unternehmen in einer Weise von ihm abhängen, die branchenweite Störungen verursachen könnte. Die eigene Abhängigkeit eines Auftragnehmers von einem Anbieter – also wie stark er tatsächlich auf diesen angewiesen ist – ist eine separate Frage, die kein Einstufungsmechanismus in irgendeinem Sektor für ihn beantwortet.

Warum die eigene Verantwortung immer bestehen bleibt

Unabhängig davon, ob ein Regulator einen Anbieter direkt überwacht, trägt der Auftragnehmer, der sich auf diesen Anbieter verlässt, stets die volle Verantwortung dafür, zu verstehen, was passiert, wenn dieser ausfällt. Das gilt unabhängig vom Sektor, in dem der Auftragnehmer tätig ist.

Externe Überwachung eines Anbieters ist keine Überwachung Ihres Vertrags

Selbst wenn ein Anbieter in einem ganz anderen Sektor intensiv reguliert wird, prüft diese Aufsicht das allgemeine Risikomanagement des Anbieters – nicht den spezifischen Vertrag, Exit-Plan oder die Abhängigkeit eines einzelnen Kunden. Ein Auftragnehmer kann seine eigene Sorgfaltspflicht nicht an einen Regulator auslagern, der die tatsächliche Beziehung zum Anbieter nie geprüft hat.

Konzentrationsrisiko besteht unabhängig vom regulatorischen Rahmen

Ein Auftragnehmer, der für Programmsysteme, Speicher und Kommunikation auf wenige Anbieter angewiesen ist, trägt dasselbe strukturelle Konzentrationsrisiko wie ein Finanzinstitut gegenüber seinen kritischen ICT-Anbietern – unabhängig davon, ob eine Regulierung dieses Risiko explizit benennt.

Wie gutes Lieferantenrisikomanagement aussieht – reguliert oder nicht

Die Methoden, die DORA für Finanzunternehmen effektiv machen, schützen auch jedes andere Unternehmen, das auf wenige kritische Anbieter angewiesen ist.

Ein Register über Lieferantenbeziehungen ist ein lebendiges Dokument

Eine aktuelle Übersicht darüber, welche Anbieter welche Programmfunktionen unterstützen und wie kritisch sie sind, lohnt sich unabhängig von sektorspezifischen Vorgaben. Denn genau diese Übung deckt Konzentrationsrisiken auf, bevor sie zur Krise werden.

Überwachung muss kontinuierlich erfolgen, nicht einmalig

Eine einmalige Sorgfaltsprüfung bei Vertragsabschluss sagt Jahre später nichts mehr über das aktuelle Risikoprofil eines Anbieters aus. Kontinuierliche Überwachung – auch informell – macht aus einer Annahme eine tatsächlich gesteuerte Lieferantenbeziehung.

Lieferantenrisikomanagement aufbauen, bevor ein Regulator es verlangt

Für Auftragnehmer bedeutet das: Sie sollten dieselben internen Fähigkeiten aufbauen, die auch regulierte Finanzunternehmen benötigen – eine kontinuierlich aktualisierte Übersicht, welche Anbieter wirklich kritisch sind, wie konzentriert die Abhängigkeit ist und welche Nachweise für laufende Überwachung existieren. Das geschieht, um das Programm zu schützen – nicht nur, weil eine Regulierung es fordert.

Wie eine Data Control Plane kontinuierliche Nachweise für Lieferantenrisiken unterstützt

Die Kontrolle über Lieferantenrisiken lässt sich nur dann nachweisen, wenn jederzeit belegt werden kann, welche Daten über welche Anbieter und Kanäle laufen, wer darauf zugegriffen hat und unter welchen Bedingungen – anstatt sich auf Zusicherungen der Anbieter zu verlassen.

Die Kiteworks Data Control Plane setzt datenbasierte zero-trust-Kontrollen für jede Aktion über alle Kanäle hinweg ein. Sie erfasst ein kontinuierliches, manipulationssicheres und uneingeschränktes Audit-Log, das direkt in SIEM-Tools einfließt. So erhalten Auftragnehmer Nachweise über ihre eigene Lieferantenüberwachung – unabhängig von externen Einstufungsregimen. Single-Tenant-Architektur und kundeneigene Verschlüsselungsschlüssel bedeuten zudem, dass die Kontrolle über die sensibelsten Datenbewegungen nicht vom Überwachungsstatus Dritter abhängt.

Auftragnehmer, die erfahren möchten, wie kontinuierliche Nachweise ihr eigenes Lieferantenrisikomanagement stärken, können eine individuelle Demo vereinbaren.