Daniel Bermejo · Mitgründer & Technology Lead, Trusty · Serial Founder, ehemals PwC, IBM und Roche · Ehemaliger Managing Director, Startup Invest
Die eigentliche strukturelle Veränderung durch DORA liegt im Drittparteien-Risikomanagement. Sie reicht bewusst über das regulierte Unternehmen hinaus und erstreckt sich auf Softwareanbieter, Cloud-Anbieter, SaaS-Plattformen und Managed-Service-Anbieter, von denen Finanzinstitute abhängig sind. DORA reguliert diese IKT-Anbieter nicht direkt. Stattdessen verpflichtet DORA Finanzunternehmen, ihre Anforderungen vertraglich an diese weiterzugeben und diese Beziehung aktiv zu verwalten, zu dokumentieren und nachzuweisen.
Was verlangt DORA von Drittanbietern von IKT-Diensten?
Zwei Artikel konkretisieren das DORA-Risikomanagement für Dritte:
Artikel 13(6) verlangt von Finanzunternehmen, Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als obligatorische Module für alle Mitarbeiter und Führungskräfte zu entwickeln. Gegebenenfalls müssen sie auch ihre IKT-Drittdienstleister in diese Schulungsprogramme einbeziehen.
Artikel 30(2)(i) schließt den Kreis: Jeder Vertrag über IKT-Dienstleistungen muss die Bedingungen für die Teilnahme von IKT-Drittdienstleistern an den Programmen zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz des Finanzunternehmens festlegen. Dies ist keine optionale Klausel, die nur für kritische Anbieter gilt. Sie gehört zu den grundlegenden vertraglichen Anforderungen, die für alle IKT-Dienstleistungsverträge gelten.
Mit anderen Worten: Ihre Verpflichtung zur Resilienzschulung erstreckt sich nun über Ihre gesamte Lieferkette, und Ihre Verträge müssen festlegen, wie.
Die offensichtliche nächste Frage für beide Seiten dieses Vertrags ist, wie das DORA-Drittparteien-Risikomanagement tatsächlich operationalisiert wird. Wer PDF-Richtlinien an eine Anbieterliste verschickt und auf das Beste hofft, erzeugt nicht den Prüfpfad, den die Aufsicht erwartet. Genau für dieses Problem wurde Trusty entwickelt.
Wie können Finanzunternehmen Schulungen von Drittanbietern gemäß DORA nachweisen?
Die Compliance-Plattform von Trusty wurde auf einer einfachen Idee aufgebaut: Richtlinien und Schulungen sind nur dann etwas wert, wenn Sie nachweisen können, wer sie erhalten, gelesen und abgeschlossen hat und wann.
Gemäß DORA muss dieser Nachweis nun auch externe Parteien umfassen. So nutzen Finanzunternehmen Trusty, um das DORA-Drittparteien-Risikomanagement in der Praxis zu verwalten:
- Verteilen Sie Richtlinien über Ihre eigene Belegschaft hinaus. Ihre Richtlinien für IKT-Risikomanagement, Vorfallmeldung, akzeptable Nutzung, Informationssicherheit und Geschäftskontinuität können nicht nur internen Mitarbeitern, sondern auch benannten Ansprechpartnern bei jedem IKT-Anbieter zugewiesen werden. Jeder Anbieter sieht genau den für seinen Dienst relevanten Richtliniensatz, nicht mehr und nicht weniger.
- Weisen Sie Lieferantenmitarbeitern Resilienzschulungen zu. Artikel 13(6) besagt, dass die Schulungen einen Komplexitätsgrad aufweisen müssen, der dem Umfang ihrer Funktionen entspricht. Trusty ermöglicht es Ihnen, die richtigen Schulungsmodule, wie z. B. IKT-Sicherheitsbewusstsein, Vorfalleskalation und Grundlagen der operationalen Resilienz, den richtigen Lieferantenrollen zuzuweisen, mit Fristen und automatischen Erinnerungen.
- Verfolgen Sie Bestätigungen und Abschlüsse automatisch. Lese- und Kenntnisnahmebestätigungen, Abschlussquoten von Schulungen und überfällige Elemente werden pro Anbieter und pro Person protokolliert. Wenn Ihre Aufsicht oder Ihre interne Revision, die das Informationsregister vorbereitet, fragt, wie Sie Artikel 30(2)(i) einhalten, exportieren Sie die Nachweise, anstatt sie zusammenzustellen.
- Bleiben Sie mit Richtlinienaktualisierungen auf dem Laufenden. DORA ist ein lebendiges Rahmenwerk, dessen regulatorische technische Standards noch verfeinert werden. Wenn Sie eine Richtlinie aktualisieren, ist die Neuverteilung und erneute Bestätigung über Ihre Lieferantenbasis hinweg ein einziger Workflow, keine vierteljährliche E-Mail-Kampagne.
- Segmentieren Sie nach Kritikalität. Anbieter, die kritische oder wichtige Funktionen unterstützen, unterliegen dem erweiterten Regime des Artikels 30(3). In Trusty können Sie Ihre Anbieterpopulation staffeln und dem kritischen Bereich tiefere Richtliniensätze und anspruchsvollere Schulungspfade zuweisen, was der Proportionalitätslogik entspricht, die Aufsichtsbehörden erwarten.
Das Ergebnis: Ihre Verpflichtungen bezüglich Schulungen und Richtlinien für Dritte sind keine vertragliche Formalität mehr, die niemand nachweisen kann, sondern werden zu einem verwalteten, auditierbaren Prozess, der für das DORA-Risikomanagement für Dritte in großem Maßstab entwickelt wurde.
Was sollten IKT-Anbieter und Fintechs tun, um sich auf DORA vorzubereiten?
Wenn Sie Software oder IKT-Dienstleistungen an EU-Finanzinstitute verkaufen, erreicht Sie DORA über Ihre Kunden, ob Sie wollen oder nicht. Jede Verlängerung und jeder neue Deal kommt nun mit Artikel-30-Klauseln: Sicherheitszusagen, Zusammenarbeit bei Vorfällen, Prüfrechte und Teilnahme an den Schulungs- und Sensibilisierungsprogrammen des Kunden.
Anbieter reagieren darauf auf zwei Arten. Einige lassen jeden Bankkunden seine eigene Mischung aus Richtlinien und Schulungsanforderungen auferlegen und jonglieren am Ende mit zehn verschiedenen Compliance-Regimen von zehn verschiedenen Kunden. Die klügeren drehen den Spieß um: Sie kommen mit einem eigenen dokumentierten Richtlinienrahmen und geschultem Personal in die Verhandlung und verhandeln aus einer Position der Stärke, so wie es reife Anbieter bereits tun, wenn sie auf ihre eigenen Sicherheitsprogramme verweisen, anstatt sich denen jedes Kunden anzuschließen.
Was ist das Trusty FinTech Booster Pack?
Das Trusty FinTech Booster Pack ist ein sofort einsatzbereites Paket, das es einem IKT-Anbieter, der den Finanzsektor bedient, ermöglicht, sich sofort mit der Compliance-Grundlage auszustatten, nach der seine regulierten Kunden fragen werden:
- Ein vorgefertigter Richtliniensatz, der die Bereiche abdeckt, die Finanzunternehmen bei der Due Diligence prüfen: Informationssicherheit, Datenschutz und Privatsphäre, Geschäftskontinuität, Drittparteien- und Subunternehmer-Management, Aufzeichnungen, Verhaltenskodex, Anti-Korruption und Whistleblowing. Professionell entworfen, gepflegt und aktualisiert, wenn sich die Vorschriften ändern.
- Eine Schulungsbibliothek, die Ihre Mitarbeiter vom ersten Tag an absolvieren können, einschließlich Cybersicherheits- und Phishing-Sensibilisierung, Datenschutz (DSGVO), Verhaltenskodex und Compliance-Grundlagen sowie Betrugsprävention, mit Abschlussverfolgung und Zertifikaten, die Sie jedem Vendor-Risk-Team eines Kunden vorlegen können.
- Ein Whistleblowing-Kanal, der die EU-Hinweisgeberrichtlinie erfüllt. Dies ist zunehmend ein Standardpunkt in Due-Diligence-Fragebögen von Banken und an sich ein starkes Vertrauenssignal.
- Ein einziges Aufzeichnungssystem. Wenn das Einkaufs- oder Drittparteien-Risikoteam eines Kunden Ihre Richtlinien und Schulungsnachweise sehen möchte, genügt ein Export statt hektischer Suche.
Für ein Fintech in einem eigenen Lizenzierungsprozess, wie z. B. ein Zahlungsinstitut, ein E-Geld-Institut oder ein Anbieter von Kryptowerte-Dienstleistungen gemäß MiCA, fließt dieselbe Grundlage direkt in die Genehmigungsakte ein. Die DORA-Bereitschaft wird nun im Rahmen dieser Anträge bewertet, sodass das Booster Pack eine doppelte Funktion erfüllt: Er stellt Ihre Bankkunden und Ihre eigene Aufsichtsbehörde zufrieden.
Zwei Seiten, eine Plattform für das DORA-Risikomanagement für Dritte
DORA hat eine Compliance-Beziehung zwischen Finanzunternehmen und ihren IKT-Anbietern geschaffen, und Trusty bedient beide Seiten:
Finanzunternehmen (Bank, Versicherer, Wertpapierfirma) | IKT-Anbieter (SaaS, Cloud, MSP, Fintech) | |
|---|---|---|
Verpflichtung | Ausweitung der Richtlinien und Resilienzschulungen auf Lieferanten (Art. 13(6), 30(2)(i)) sowie deren Nachweis | Erfüllung vertraglicher Compliance-Anforderungen jedes regulierten Kunden |
Mit Trusty | Verteilung, Zuweisung, Nachverfolgung und Export von Nachweisen über die gesamte Lieferantenbasis hinweg | FinTech Booster Pack: Sofortiger Richtliniensatz, geschultes Personal, Whistleblowing-Kanal, prüfbereite Aufzeichnungen |
Ergebnis | Nachweise auf Aufsichtsniveau, keine mühsame Suche in Tabellenkalkulationen | Schnellere Due Diligence, stärkere Verhandlungsposition, kürzere Verkaufszyklen |
Wenn beide Seiten mit einer strukturierten Plattform für das DORA-Risikomanagement für Dritte arbeiten, wird die Diskussion über Artikel 30 vom Reibungspunkt zur Formsache, sowohl für das Vendor-Risk-Team der Bank als auch für das Vertriebsteam des Anbieters.
Was passiert, wenn Sie beim DORA-Risikomanagement für Dritte warten?
DORA befindet sich nicht mehr in einer Übergangsfrist. Informationsregister wurden den Aufsichtsbehörden vorgelegt, die ersten kritischen Drittanbieter wurden für die direkte europäische Aufsicht benannt, und DORA-Erkenntnisse fließen nun in die aufsichtsrechtlichen Überprüfungsprozesse ein, mit realen Konsequenzen für die Kapitalanforderungen und, für Anbieter, für Vertragsverlängerungen.
Finanzunternehmen, die die Teilnahme an Lieferantenschulungen nicht nachweisen können, haben eine dokumentierte Lücke. IKT-Anbieter, die mit leeren Händen zur Due Diligence erscheinen, verlieren Geschäfte an Wettbewerber, die dies nicht tun.
Beide Probleme sind in Tagen, nicht in Monaten, lösbar.
Finanzunternehmen: Sprechen Sie mit uns über die Ausweitung Ihrer Trusty-Richtlinien- und Schulungsverteilung auf Ihre IKT-Lieferantenbasis.
IKT-Anbieter und Fintechs: Holen Sie sich das FinTech Booster Pack und gehen Sie bereits regelkonform in Ihre nächste Bankverhandlung.
Trusty AG ist ein Schweizer Compliance-Softwareunternehmen mit Sitz in Hünenberg, Zug. Unsere Plattform umfasst Richtlinienmanagement, Compliance-Schulungen, Whistleblowing, AML-/Sanktions-Screening und ESG-Tools für regulierte Unternehmen und die Partner, auf die sie sich verlassen. Kontaktieren Sie uns unter trusty.report.
Dieser Artikel enthält allgemeine Informationen zu regulatorischen Anforderungen und stellt keine Rechtsberatung dar.
Häufig gestellte Fragen
Artikel 13(6) verpflichtet Finanzunternehmen zur Durchführung von Programmen zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz für alle Mitarbeiter und das obere Management sowie dazu, gegebenenfalls ihre IKT-Drittdienstleister einzubeziehen. Artikel 30(2)(i) schreibt vor, dass jeder IKT-Dienstleistungsvertrag die Bedingungen für die Teilnahme des Anbieters an diesen Programmen festlegen muss.
Nein. DORA verpflichtet Finanzunternehmen, ihre Anforderungen vertraglich an ihre IKT-Anbieter weiterzugeben sowie diese Beziehung zu verwalten, zu dokumentieren und nachzuweisen. Anbieter erfüllen DORA bei jeder Vertragsverlängerung und jedem Neuabschluss über die Klauseln gemäß Artikel 30 ihrer Kunden.
Nein. Die Klausel nach Artikel 30(2)(i) gehört zu den vertraglichen Basisanforderungen, die für alle IKT-Dienstleistungsverträge gelten. Anbieter, die kritische oder wichtige Funktionen unterstützen, unterliegen zusätzlich der erweiterten Regelung nach Artikel 30(3).
Ein dokumentiertes Richtlinien-Framework, geschultes Personal mit Abschlussnachweisen und einen Whistleblowing-Kanal, damit die Due Diligence eines Kunden mit einem Export beantwortet werden kann, anstatt das jeweils eigene System jeder Bank übernehmen zu müssen. Für Fintechs, die sich selbst im Zulassungsverfahren befinden, wird die DORA-Bereitschaft als Teil des Antrags geprüft.
COMPLIANCE, SOFORT EINSATZBEREIT
FinTech Booster Pack: 16 sofort einsatzbereite Compliance-Richtlinien und 8 Schulungsmodule zu AML/KYC, Richtlinien und Whistleblowing, schnell implementierbar.