Ab dem 17. Januar gelten die neuen Anforderungen der DORA-Verordnung für alle Neuverträge und Vertragsanpassungen

Ab dem 17. Januar gelten die neuen Anforderungen der DORA-Verordnung für alle Neuverträge und Vertragsanpassungen.

Ab dem 17. Januar gelten die neuen Anforderungen der DORA-Verordnung für alle Neuverträge und Vertragsanpassungen. Doch was genau müssen wir eigentlich jetzt vor der Vertragsunterschrift tun, um den neuen regulatorischen Anforderungen gerecht zu werden?

Ich habe dazu eine einfache Übersicht erstellt, die die wichtigsten Aufgaben zusammenfasst. Die Anforderungen konzentrieren sich insbesondere auf:

1. Definition der Geschäftsanforderungen: Um die nachfolgenden Analyse- und Bewertungsschritte korrekt durchzuführen, muss zunächst klar definiert werden, welche Geschäftsfunktionen durch die neue IKT-Dienstleistung unterstützt werden sollen und welche Anforderungen daran bestehen.
2. Ermittlung der kwF-Relevanz: Auf Basis der definierten Geschäftsanforderungen lässt sich feststellen, ob kritische oder wichtige Funktionen (kwF) betroffen sind und die IKT-Dienstleistung eine besondere Kritikalität aufweist. In diesem Fall gelten zusätzliche DORA-Vorgaben, z.B. weitere Prüfschritte und Anforderungen an die IKT-Verträge.
3. Ex-ante Risikobewertung: Im nächsten Schritt erfolgt die Identifikation und Bewertung aller mit der IKT-Dienstleistung verbundenen Risiken, wie z.B. Rechtsrisiken, IKT-Risiken, ESG-Risiken etc.
4. Due Diligence Prüfung: Neben der IKT-Dienstleistung muss auch der IKT-Dienstleister einer umfassenden Risikoanalyse – der sogenannten Due Diligence – unterzogen werden.
5. Prüfung von Sicherheitsstandards: Ein besonderes Augenmerk gilt den Sicherheitsstandards des IKT-Dienstleisters. Es muss geprüft werden, ob diese angemessen sind und kontinuierlich an den aktuellen Stand der Technik angepasst werden.
6. Identifikation von Interessenkonflikten: Bevor der Vertrag abgeschlossen wird, ist weiterhin zu überprüfen, ob potenzielle Interessenkonflikte bestehen oder entstehen könnten. Außerdem sollte definiert werden, wie ggf. damit umgegangen wird.
7. Identifikation & Bewertung der Unterauftragnehmer: Wenn ein kwF-relevanter IKT-Vertrag abgeschlossen werden soll, müssen vor Vertragsschluss auch alle Unterauftragnehmer identifiziert und hinsichtlich ihrer Risiken bewertet werden.
8. Vertragsverhandlung und -prüfung: Nachdem alle oben genannten Punkte geklärt sind, bleibt „nur noch“ die Vertragsverhandlung und -prüfung übrig, die sicherstellt, dass alle relevanten Anforderungen ordnungsgemäß in die IKT-Verträge integriert werden.

Obwohl nicht jeder dieser Punkte neu ist, gehe ich davon aus, dass sich das Arbeitspensum erheblich erhöhen wird, wenn diese acht ToDos ab nächster Woche auf den Schreibtischen der Juristen landen, die für die Vertragsverhandlungen und -prüfungen zuständig sind.

Genießt also das Wochenende und atmet tief durch, bevor es ernst wird!