Kontrolle über mehrstufige Dienstleisterketten

Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen betreffen, gelten unter DORA besondere Anforderungen an die Unterauftragsvergabe. Risiken der Unterauftragsvergabe müssen identifiziert und im Lichte von Gesamtrisikoprofil und Komplexität der Prozesse bewertet und gesteuert werden.

Die Domäne „Management von Unterauftragnehmern“

Die inhaltlichen Anforderungen zur Steuerung von Unterauftragnehmern sind im DORA-Puzzle der Domäne „Management von Unterauftragnehmern“ zugeordnet. Hier einige Beispiele:

• Prüfung der Relevanz für kritische Funktionen: Vor Vertragsabschluss muss bewertet werden, ob eine Unterauftragsvergabe zulässig ist und welche Risiken damit verbunden sind.
• Verankerung klarer Regelungen in IKT-Verträgen: Verträge müssen festlegen, unter welchen Bedingungen eine Unterauftragsvergabe gestattet ist.
• Genehmigungspflicht für Änderungen in der Unterauftragnehmerkette: Finanzunternehmen müssen allen Änderungen in der Lieferkette vorab zustimmen​​.