Deep Dive: Subcontracting Management

Vor genau vier Wochen haben die drei Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA (die ESAs) den letzten der noch fehlenden RTS zum Thema „Subcontracting“ unter DORA veröffentlicht – ein idealer Zeitpunkt, um den ursprünglichen DORA Deep Dive zu überarbeiten und die Anforderungen aus dem finalen Regelwerk systematisch abzuleiten.

Subcontracting rückt immer dann in den Fokus, wenn wir IKT-Verträge abschließen, die kritische oder wichtige Funktionen unterstützen. In solchen Fällen müssen klare Vereinbarungen getroffen werden, ob und unter welchen Bedingungen die Einbindung von Subunternehmern überhaupt zulässig ist. Übrigens: Dies gilt auch für Konzerndienstleister („ICT intra-group subcontractors“), die genauso wie externe IKT-Dienstleister behandelt werden müssen.

Sollte die Untervergabe erlaubt sein, kommen zusätzliche Herausforderungen auf uns zu: Es müssen erweiterte Risikoanalysen für die Subunternehmerkette durchgeführt, spezielle Vertragsklauseln formuliert sowie zusätzliche Reporting-Pflichten und Genehmigungsprozesse festgelegt werden. Kurz gesagt: Es gibt viel zu tun.

Um euch bei der Umsetzung zu unterstützen, habe ich eine kompakte Übersicht der neuen Subcontracting-Anforderungen erstellt. Wichtig dabei zu wissen: Die Übersicht bietet eine vereinfachte und interpretierte Darstellung der Originaltexte. Wer lieber direkt in den Gesetzestext eintauchen möchte, findet diesen in der angegebenen Referenz.

Viel Spaß beim Lesen 🙂

P.S. Das PDF-Dokument zu den Subcontracting-Anforderungen findet ihr wie immer auf meiner Website.