Deep Dive: Dienstleistersteuerung
Die DORA-Anforderungen im Bereich Drittparteienrisikomanagement, Subcontracting Management und operative Dienstleistersteuerung sind keine leichte Kost, aber endlich sehe ich Licht am Ende des Tunnels. Heute nehmen wir das Puzzlestück „ICT Provider Management und Service Level Management“ unter die Lupe.
Die DORA-Anforderungen im Bereich Drittparteienrisikomanagement, Subcontracting Management und operative Dienstleistersteuerung sind keine leichte Kost, aber endlich sehe ich Licht am Ende des Tunnels.
Heute nehmen wir das Puzzlestück „ICT Provider Management und Service Level Management“ unter die Lupe. Hier verbergen sich alle Anforderungen an die operative Dienstleistersteuerung, die unsere dezentralen IKT-Ansprechpartner in den Griff bekommen müssen.
Die Anforderungen sind sowohl in der DORA-Verordnung, dem RTS zur Nutzung von IKT-Diensten für kritische oder wichtige Funktionen als auch im RTS zum Risikomanagement festgelegt.
Zusammenfassend lässt sich sagen, dass wir viele Anforderungen bereits kennen, diese aber nie in so detaillierter Form vorliegen hatten. Beispielsweise können wir zur Überwachung der IKT-Dienstleister Audit-Reports, Drittanbieter-Zertifizierungen und Self-Assessments nutzen. Neu ist jedoch die spezifische Anforderung, dass wir uns nicht nur auf diese Berichte stützen dürfen, sondern auch „eigene Kontrollhandlungen“ durchführen müssen.
Als Herausforderung würde ich das Thema Überwachung von „third-party- und open-source“ Bibliotheken betrachten. Diese Bibliotheken sind im Software-Entwicklungsprozess wichtig und bilden die technische Grundlage für IKT-Services. Nach DORA müssen wir nun gemeinsam mit dem IKT-Dienstleister die Versionen und Updates dieser Bibliotheken im Auge behalten. Momentan fehlt mir noch die Vorstellung, wie das konkret umgesetzt werden könnte. Vielleicht hat jemand Vorschläge oder Ideen, wie wir das effektiv angehen könnten?
