IKT-Verträge und die Mindestvertragsinhalte
Liebe DORA-Community, wir sollten über die Sache mit den IKT-Verträgen sprechen, denn es scheint noch einiges an Unsicherheit darüber zu bestehen, was Finanzunternehmen mit Blick auf die Mindestvertragsinhalte von ihren IKT-Dienstleistern erwarten dürfen und können. Im Rahmen der Erstellung der Informationsregister sind viele von uns bereits aktiv geworden, um ihre Verträge mit den IKT-Dienstle…
Liebe DORA-Community,
wir sollten über die Sache mit den IKT-Verträgen sprechen, denn es scheint noch einiges an Unsicherheit darüber zu bestehen, was Finanzunternehmen mit Blick auf die Mindestvertragsinhalte von ihren IKT-Dienstleistern erwarten dürfen und können.
Im Rahmen der Erstellung der Informationsregister sind viele von uns bereits aktiv geworden, um ihre Verträge mit den IKT-Dienstleistern anzupassen. Dabei scheint die Nutzung von KI-gestützten Werkzeugen zur Überprüfung der IKT-Verträge und die Entwicklung von zugehörigen Geschäftsmodellen geradezu eine neue „Goldgräberstimmung“ zu entfachen…
Doch haben wir eigentlich schon eine klare Vorstellung davon, was in diesen Verträgen stehen sollte?
Ja, ich weiß – es müsste eigentlich ganz einfach sein. Schließlich gibt es in DORA spezifische Gesetzesartikel, die sich mit den Mindestvertragsinhalten beschäftigen. Und dennoch ist das Thema „Vertragscompliance“ aus mehreren Gründen eine echte Herausforderung:
- Nicht jeder Dienstleister nimmt wortlos die Einstufung als IKT-Dienstleister im Sinne von DORA an – und noch viel weniger die Einstufung als „kwF-relevanter“ IKT-Dienstleister.
- Es gibt zusätzlich zu den Mindestvertragsinhalten nach DORA auch noch die Anforderungen an Auslagerungsverträge nach MaRisk, und die Frage ist, wie diese mit den DORA-Vorgaben zusammenwirken.
- Nicht zuletzt stellt sich die Frage, ob die „Mindestanforderungen“ aus Artikel 30 der DORA-Verordnung überhaupt das vollständige Bild abzeichnen – und ich kann euch verraten: Nein, das tun sie nicht!
Wichtig ist, dass wir verstehen, dass es nicht nur „die eine IKT-Dienstleistung“ gibt und auch nicht nur „den einen Vertragstyp“. Die Vielfalt der IKT-Dienstleistungen und deren jeweilige Klassifikation erfordert eine differenzierte Betrachtung. Besonders im Kontext der DORA- und MaRisk-Anforderungen müssen wir genau unterscheiden, welche Verträge in welche Kategorie fallen.
Ich habe dazu eine einfache 4-Felder Matrix entwickelt, die eine verblüffende Ähnlichkeit zur weitläufig bekannten BCG-Matrix aufweist 😜
- Baseline Services: Verträge in diesem Quadranten betreffen IKT-Dienstleistungen, die weder für die Finanzstabilität noch für die tägliche Funktionsfähigkeit des Unternehmsens von zentraler Bedeutung sind. Sie werden weder als wesentliche Auslagerungen gemäß MaRisk betrachtet noch haben sie eine Relevanz für kritische oder wichtige Funktionen nach DORA. Die Risiken, die mit solchen IKT-Verträgen verbunden sind, sind vergleichsweise gering, weshalb auch die Anforderungen an die Verträge weniger anspruchsvoll sind. Im Vergleich zur bisherigen MaRisk- und BAIT-Welt gibt es jedoch nach DORA auch für diese „Baseline Services“ Mindestvertragsinhalte, die erfüllt werden müssen.
- Core Services: Diese IKT-Dienstleistungen sind gemäß MaRisk als wesentliche Auslagerungen einzustufen, haben jedoch keine Relevanz für die kritischen oder wichtigen Funktionen nach DORA. Daher müssen die entsprechenden IKT-Verträge die Mindestanforderungen gemäß AT 9 Tz. 7 MaRisk erfüllen sowie die allgemeinen Anforderungen an IKT-Dienstleistungen gemäß Art. 30 (2) DORA.
- Hidden Giants: IKT-Verträge, die in diesem Quadranten landen, gelten gemäß DORA als kritisch oder wichtig, werden jedoch nicht als wesentliche Auslagerungen nach MaRisk eingestuft. Ob eine solche Konstellation in der Praxis häufig vorkommt, ist fraglich, da die Relevanz für kritische oder wichtige Funktionen nach meiner Auffassung auch die Einstufung als wesentliche Auslagerung nach MaRisk beeinflusst. Dennoch müssen diese IKT-Verträge „lediglich“ die Mindestvertragsinhalte für kwF-relevante IKT-Dienstleistungen gemäß Art. 30 (2 + 3) DORA enthalten.
- Business Backbone: Diese IKT-Dienstleistungen sind sowohl nach DORA als auch nach MaRisk von höchster Bedeutung. Sie erfordern strenge vertragliche Vereinbarungen sowie eine kontinuierliche Überwachung und Steuerung der IKT-Dienstleister. Für diese Dienstleistungen müssen sowohl die Mindestvertragsinhalte für wesentliche Auslagerungen gemäß AT 9 Tz. 7 MaRisk als auch die Anforderungen gemäß Art. 30 (2+ 3) DORA für kwF-relevante IKT-Dienstleistungen erfüllt werden.
Wenn mir jemand die Frage stellen würde, wie ich mir die Verteilung der IKT-Verträge über die Quadranten vorstelle, würde ich sagen: „Das ist eine spannende Frage“ und „Es kommt darauf an…“😄 Pauschal würde ich jedoch folgende Verteilung annehmen:
- Ca. 50% der IKT-Verträge sind Baseline Services: Diese Verträge betreffen unterstützende IKT-Dienstleistungen, die weder nach MaRisk noch nach DORA besonders relevant sind und wenig Risiko darstellen. Vermutlich werden wir hier die meisten Verträge unterbringen, da sie einfach für den Tagesbetrieb „eines jeden Unternehmens“ notwendig sind, und sie keine besondere Kritikalität für den Finanzsektor aufweisen.
- Ca. 30% der IKT-Verträge sind Core Services: Diese Schätzung beruht auf der Annahme, dass aufgrund des bestehenden Interpretationsspielraums in DORA nur sehr wenige tatsächlich „kritische oder wichtige Funktionen“ identifiziert werden können. Im Gegensatz dazu bietet die MaRisk-Kategorisierung deutlich weniger Spielraum, da bei der Einstufung der wesentlichen Auslagerungen alle IKT-Dienstleistungen berücksichtigt werden müssen, die mit Bankgeschäften, Finanzdienstleistungen oder institutstypischen Tätigkeiten verbunden sind.
- Ca. 5% der IKT-Verträge könnten Hidden Giants sein: Diese Kategorie dürfte eher selten vorkommen, da die Relevanz für kritische oder wichtige Funktionen häufig auch die Einstufung als wesentliche Auslagerung nach MaRisk beeinflusst. Daher bleibt nur eine kleine Gruppe von Verträgen übrig, die potenziell in diesen Quadranten fallen könnte.
- Ca. 15% der IKT-Verträge könnten in die Kategorie Business Backbone fallen: Wesentliche Auslagerungen mit kwF-Relevanz sind vermutlich ebenfalls nicht sehr häufig anzutreffen – dies liegt aber vor allem an der relativ kleinen Grundgesamtheit von kritischen oder wichtigen Funktionen, von der wir in der Branche aktuell ausgehen.
Nun, wie würdet ihr die Verteilung bewerten? Lasst mir gerne eure Gedanken und Feedback in den Kommentaren da! 😄
Habt einen schönen Abend und bis bald.