Drittparteirisiko ohne Fragebogenflut
Bevor der diesjährige Fragebogen an zweihundert Dienstleister geht, beantworten Sie eine Frage: Welche fünf von ihnen können Ihren Betrieb bis Freitag stoppen? Kann sie niemand binnen eines Tages nennen, misst die Kampagne alles und kontrolliert nichts, und der Ordner zurückgesandter PDFs dokumentiert eine Sorgfalt, die keine Entscheidung je genutzt hat.
Erst Triage, dann Fragen
Sortieren Sie Dienstleister entlang zweier Achsen: Was geschieht mit Ihrer Leistung, wenn deren Leistung ausfällt, und welche Ihrer Daten berühren sie. Drei Stufen genügen meist. Kritisch: Ein Ausfall stoppt einen Kernprozess binnen Tagen, oder der Dienstleister verarbeitet Kundendaten in großem Umfang. Wichtig: Umgehungen existieren, der Schaden bleibt begrenzt. Der Rest: binnen einer Woche ersetzbar, ohne Wirkung auf Kunden.
Der Aufwand folgt der Stufe. Die unterste Stufe bekommt Vertragshygiene und Ausgabenmonitoring. Die mittlere einen kurzen, konkreten Fragenkatalog und einen Blick in die Vorfallshistorie. Die kritische Stufe bekommt Nachweise, harte Vertragsklauseln und einen Ausstiegsplan. Ein gleich langer Fragebogen für den Bürobedarfslieferanten und den Hosting-Anbieter zeigt: Diese Entscheidung hat niemand getroffen.
Nachweise, Verträge, Ausstieg
Ein angekreuztes Ja im Fragebogen ist eine Erklärung. Verlangen Sie von kritischen Dienstleistern Artefakte: die Zusammenfassung des letzten Resilienztests, Vorfallsmeldungen des vergangenen Jahres, die Kette der Unterauftragnehmer hinter der Leistung, Versicherung und Finanzlage. Fordern Sie weniger Dokumente an und lesen Sie sie; zehn gelesene Artefakte schlagen achtzig ungelesene Häkchen.
Die zweite Schicht trägt der Vertrag: Informations- und Zugangsrechte, Meldepflichten für Vorfälle und für Wechsel bei Unterauftragnehmern, definierte Servicelevel, Unterstützung bei Vertragsende. Für kritische Leistungen kommt der Ausstiegsplan hinzu: wo Ihre Daten liegen, in welchem Format sie zurückkommen, wer als Ersatz bereitsteht, wie lange ein Wechsel dauert und was währenddessen im Notbetrieb läuft. Gehen Sie die Annahmen einmal im Jahr auf dem Papier durch.
Der Test kommt ungebeten. Ihr Hosting-Anbieter kündigt eine Übernahme und eine neue Preisliste an; in der nächsten Sitzung fragt jemand, was am Montag geschieht, wenn der Dienst am Freitag ausfällt. Ein gepflegtes Register antwortet in fünf Minuten. Ohne Register verbringt eine Arbeitsgruppe drei Wochen damit, die eigene Lieferkette zu rekonstruieren.
Was DORA alle anderen lehrt
Finanzunternehmen arbeiten unter DORA (Verordnung (EU) 2022/2554), anwendbar seit dem 17. Januar 2025. Der Mechanismus zum Kopieren ist das Informationsregister: eine strukturierte Aufstellung der IKT-Verträge, die den Aufsichtsbehörden in jährlichen Zyklen gemeldet wird. Das Register erzwingt Fragen, die kein Fragebogen stellt. Welche Funktionen hängen an welchem Vertrag? Wer vergibt an wen weiter? Welche Verträge stützen kritische Funktionen?
Von einem Unternehmen außerhalb des Finanzsektors verlangt das keine Behörde, was am Nutzen nichts ändert: eine Tabelle, ein Verantwortlicher, ein Jahreszyklus, und die Panikinventur im Vorfall entfällt.
Was wir jetzt empfehlen
Zwei Wochen, fünf Schritte.
- Bauen Sie das einseitige Register: Dienstleister, Leistung, berührte Daten, Stufe, Vertragsende, Kündigungsfrist, Ausstiegsnotiz. Beginnen Sie mit den zwanzig größten nach Ausgaben und nach Abhängigkeit.
- Vergeben Sie die drei Stufen und lassen Sie Betrieb, Sicherheit und Service-Verantwortliche die Einteilung einmal anfechten.
- Prüfen Sie für jeden kritischen Dienstleister den Vertrag auf Informationsrechte, Vorfallsmeldung und Unterstützung bei Vertragsende. Notieren Sie Lücken als Stoff für die nächste Verlängerungsrunde.
- Schreiben Sie je kritischer Leistung eine einseitige Ausstiegsnotiz: Datenstandort, Exportformat, Ersatzoption, realistische Wechseldauer.
- Streichen Sie den Fragebogen an alle und ersetzen Sie ihn durch gestufte Anfragen: Nachweise von Kritischen, kurzer Katalog für Wichtige, Vertragshygiene für den Rest.
Quellen: Verordnung (EU) 2022/2554 (DORA), EUR-Lex