IKT-Drittparteirisikomanagement

Liebe DORA-Community, nach meinem kurzzeitigen NIS2-Ausflug widme ich mich nun wieder mit voller Energie der DORA-Verordnung. In den letzten Wochen erreichten mich in diesem Kontext verschiede Anfragen zum Thema IKT-Drittparteirisikomanagement .

Liebe DORA-Community,

nach meinem kurzzeitigen NIS2-Ausflug widme ich mich nun wieder mit voller Energie der DORA-Verordnung. In den letzten Wochen erreichten mich in diesem Kontext verschiede Anfragen zum Thema IKT-Drittparteirisikomanagement.

Da ich die Dinge gerne „von oben“ denke, habe ich mich zuerst mit den strategischen Vorgaben zu diesem Thema beschäftigt. Gemäß Art. 28 Abs. 2 der DORA-Verordnung benötigen wir eine Strategie für das IKT-Drittparteirisiko sowie bei Bedarf, eine Strategie zur Nutzung mehrerer IKT-Anbieter, auch Multi-Vendor Strategie genannt (Vgl. Art. 6 Abs. 9 DORA).

Leider gibt es in der DORA-Verordnung keine Definitionen oder Konkretisierungen zu diesen beiden (Teil-) Strategien – wir müssen uns also selber eine Meinung dazu bilden.

Wenn ich vor solchen Herausforderungen stehe, führt mich mein erster Weg eigentlich immer direkt zu Google und seit ein einigen Wochen auch zu ChatGPT. Meine stille Hoffnung: Ich muss die Dinge nicht neu erfinden sondern kann „einfach“ irgendwo abschreiben… Und auch dieses Mal brachte mich der Ansatz (auf einigen Umwegen) zum Ziel.

Auch wenn ich keine direkten Treffer bei der Suche nach „Template für die IKT-Drittparteistrategie“ erhalten habe, bin ich doch über eine vielversprechende Aussage gestolpert: Die Verfasser der DORA-Verordnung haben sich beim Schreiben ihres Regelwerkes wohl am NIST Cybersecurity Framework (CSF 2.0) orientiert, das vor allem den IT-Security Experten unter uns ein Begriff sein dürfte.

Was für ein Glückstreffer! In der vertieften Recherche bin ich über eine NIST-Publikation zum Thema „Cybersecurity Supply Chain Risk Management“ gestolpert. Und ratet mal, was ich darin gefunden habe? Richtig, ein Template für eine „Cybersecurity Supply Chain Risk Management Strategy“ – also eine Blaupause für die Formulierung einer IKT-Drittparteirisikostrategie.

Auch bei der Recherche nach einem frei verfügbaren „Template für eine Multi-Vendor Strategie“ bin ich nicht unmittelbar zum Ziel gekommen. Ich hatte vor allem Mühe, den Tieferen Sinn hinter der DORA-Anforderung zu erfassen und musste erst lernen, dass es im Kern um die digitale Souveränität der Häuser geht.

Diese Erkenntnis brachte mich zur einer zweiten Quelle, die uns bei der Formulierung der Multi-Vendor Strategie helfen kann. Im Bereich der öffentlichen Verwaltung scheint dieses Thema nämlich bereits seit Längerem auf dem Tisch zu liegen. Mit der Strategie zur Stärkung der Digitalen Souveränität der IT der Öffentlichen Verwaltung haben wir ein tolles Beispiel, welche Inhalte in einer Multi-Vendor Strategie stehen könnten.

Beide Quellen habe ich angezapft und einen ersten Community Draft für eine IKT-Drittparteirisikostrategie und eine Multi-Vendor Strategie erstellt. Vielleicht findet sich ja der ein oder andere, der gerne daran mitarbeiten und seine Expertise einbringen möchte? Ich würde mich jedenfalls sehr über konstruktives Feedback und inhaltliche Ergänzungen freuen.

Lasst uns die Themen EINFACH machen und gemeinsam nach Lösungen suchen – das spart Zeit und Nerven bei allen Beteiligten 🙂