Compliance-Artikel und Ressourcen

DORA verpflichtet erfasste Finanzunternehmen, Risiken durch IKT-Drittdienstleister zu steuern und Informationen zu ihren IKT-Vertragsvereinbarungen vorzuhalten, mit erweiterten Anforderungen, wenn Anbieter kritische oder wichtige Funktionen unterstützen. NIS2 verpflichtet wesentliche und wichtige Einrichtungen, die Sicherheit der Lieferkette zu adressieren, insbesondere Risiken im Zusammenhang mit direkten Lieferanten und Dienstleistern. Die beiden Regime überschneiden sich, aber DORA ist beim Management von IKT-Drittparteirisiken deutlich konkreter.

Das DORA-Drittparteien-Risikomanagement wird gemeinsam von Finanzunternehmen und ihren IKT-Anbietern getragen. Seit dem 17. Januar 2025 verpflichtet Artikel 13(6) Banken, Versicherer und Wertpapierfirmen dazu, Schulungen zur Sensibilisierung für IKT-Sicherheit und zur digitalen operationalen Resilienz durchzuführen und dabei gegebenenfalls ihre IKT-Anbieter einzubeziehen; Artikel 30(2)(i) schreibt zudem vor, dass jeder IKT-Vertrag festlegen muss, wie der Anbieter daran teilnimmt. Anbieter, die dies nachweisen können, sichern sich den Vertrag.

Das PEP-Screening identifiziert, ob ein Kunde, Lieferant oder Geschäftspartner eine politisch exponierte Person ist: jemand, der eine herausgehobene öffentliche Position innehat oder innehatte, oder ein Familienmitglied oder eine nahestehende Person davon. Ein Namensabgleich ist nur der Anfang. Ein effektives Screening prüft die Rolle, den Grad des Einflusses, das Land und ob die Person noch im Amt ist, dokumentiert dann die Risikobewertung und wiederholt die Prüfung, wenn sich die Umstände ändern.

Die Überprüfung von Dritten für wachsende Unternehmen beantwortet vor Vertragsabschluss eine Frage: Mit wem machen wir eigentlich wirklich Geschäfte? In der Praxis prüft sie drei Signale: ob die Gegenpartei auf einer Sanktionsliste erscheint, ob es sich bei einer Person um eine politisch exponierte Person handelt und ob belastbare negative Medienberichte auf Betrug, Korruption oder anderes Fehlverhalten hindeuten. Konsequent, verhältnismäßig und mit Dokumentation durchgeführt, ist sie ein grundlegender Bestandteil des Managements von Geschäftsrisiken, nicht nur eine Übung für Banken.

Sanktions-Compliance für KMU ist 2026 nicht mehr optional. Die Richtlinie 2024/1226 macht schwerwiegende Sanktionsverstöße in der gesamten EU zu Straftaten, legt Mindeststrafen fest und erweitert die Haftung auf Unternehmen, sodass die Durchsetzung nun auch kleine Firmen erreicht, die international handeln, exportieren oder beschaffen. Was KMU brauchen, ist ein klarer, wiederholbarer Prozess: Jede Gegenpartei gegen Sanktionslisten prüfen, das Ergebnis dokumentieren und Änderungen im Zeitverlauf überwachen.

Die Lieferketten-Compliance für KMU wird sich im Jahr 2026 grundlegend ändern, da EU-Vorschriften nun über das regulierte Unternehmen hinaus bis zu dessen Zulieferern reichen: Informationsanfragen zu Beschaffung, Eigentumsverhältnissen und Risiken kommen von Kunden und Partnern statt von Regulierungsbehörden und gehen häufiger sowie strukturierter ein. KMU benötigen kein großes Team, aber einen klaren Prozess, um zu wissen, mit wem sie zusammenarbeiten, Informationen einmalig zu erfassen und jede Anfrage daraus zu beantworten.

KMU können die NIS2-Anforderungen für den Umgang mit Schwachstellen durch einen einfachen, strukturierten Meldeprozess erfüllen: ein Kanal, über den Mitarbeiter, Lieferanten und Forscher eine Sicherheitslücke melden können, eine vertrauliche Bearbeitung, ein definierter Verantwortlicher, der diese bewertet und behebt, sowie eine Dokumentation der getroffenen Maßnahmen. Ein Whistleblowing-System bietet diesen Workflow bereits, sodass derselbe Kanal für beide Regelungsbereiche genutzt werden kann.

Die ECCTA-Straftat „Versäumnis zur Betrugsprävention“ gilt für große Organisationen, erreicht aber KMU über deren Verträge. Da die einzige gesetzliche Verteidigung im Nachweis angemessener Verfahren besteht, verlangen britische Unternehmen von Lieferanten nun den Nachweis von Anti-Betrugsschulungen, Whistleblowing-Regelungen, Prüfrechten und Kündigungsklauseln. Kleinere Lieferanten werden in der Praxis gebunden, nicht durch das Gesetz selbst.

Im Lieferkettenmanagement bedeutet Verhältnismäßigkeit, die Sorgfaltspflicht auf die größten und strategisch wichtigsten Lieferanten zu konzentrieren, was jedoch nicht bedeutet, dass kleinere Lieferanten ignoriert werden dürfen. Kleine Lieferanten bergen versteckte Risiken in den Bereichen Compliance, Kontinuität und Reputation, bringen aber gleichzeitig Flexibilität, Spezialisierung und Innovation ein. Eine ausgewogene Strategie sieht vor, dass jeder Lieferant auf einer Basisebene überprüft wird und die Intensität der Prüfung mit dem Risiko skaliert, nicht mit der Unternehmensgröße.

Lieferkettenethik ist jetzt mit gesetzlichen Anforderungen verbunden. Die vom Europäischen Parlament am 24. April 2024 verabschiedete Richtlinie über die Sorgfaltspflichten von Unternehmen im Bereich der Nachhaltigkeit (CSDDD) macht große Unternehmen dafür verantwortlich, Menschenrechts- und Umweltschäden in ihren Wertschöpfungsketten zu identifizieren, zu verhindern und zu beheben. Diese Pflicht erstreckt sich über Verträge und Fragebögen auch auf ihre Lieferanten. Unternehmen, die ihre Kette abbilden und Lieferantenprüfungen dokumentieren, erfüllen die Anforderungen und verschaffen sich einen Wettbewerbsvorteil.