Daniel Bermejo · Mitgründer & Technology Lead, Trusty · Serienunternehmer, ehemals PwC, IBM und Roche · Ehemaliger Geschäftsführer, Startup Invest
Ein Cloud-Anbieter fällt aus.
Ein Softwarelieferant wird kompromittiert.
Ein Managed-Security-Provider wird kompromittiert.
Ein Subunternehmer bringt eine Schwachstelle in Ihr Netzwerk ein.
Sowohl unter DORA als auch unter NIS2 entbindet Sie die Aussage „Das Problem ist bei unserem Lieferanten passiert“ nicht automatisch von Ihrer Verantwortung.
Die beiden EU-Cybersicherheitsregime gehen jedoch unterschiedlich mit Drittparteienrisiken um.
in einer Plattform
Halten Sie Ihre Lieferantennachweise prüfungsbereit. Verfolgen Sie, welche Lieferanten kritische Funktionen unterstützen, sammeln Sie Due-Diligence-Nachweise und bewahren Sie die von Regulierungsbehörden erwarteten Nachweise an einem zentralen Ort auf.
DORA vs. NIS2 im Überblick
DORA | NIS2 | |
|---|---|---|
Vollständiger Name | Verordnung über die digitale operationale Resilienz im Finanzsektor | NIS2-Richtlinie |
Hauptfokus | Digitale operationale Resilienz im Finanzsektor | Cybersicherheit in wesentlichen und wichtigen Sektoren |
Fokus auf Drittparteien | IKT-Drittdienstleister | Direkte Lieferanten und Dienstleister mit Relevanz für Cybersicherheit/Lieferkettensicherheit |
Lieferantenregister | Detailliertes Register der vertraglichen IKT-Vereinbarungen | Keine allgemeine Registerpflicht vergleichbar mit DORA |
Kritikalitätsbewertung | Hauptfokus | Risikobasierte Bewertung der Lieferkette |
Vertragsanforderungen | Detaillierte Anforderungen, insbesondere für kritische oder wichtige Funktionen | Cybersicherheitsanforderungen sollten in Lieferantenbeziehungen angemessen berücksichtigt werden |
Unterauftragsvergabe | Unter DORA ausdrücklich relevant | Lieferkettenrisiken können über direkte Lieferanten hinausgehen |
Kann die Verantwortung ausgelagert werden? | Nein | Keine einfache Übertragung der Cybersicherheitsverantwortung |
Verordnung oder Richtlinie? | EU-Verordnung | Richtlinie, umgesetzt durch nationales Recht |
Was verlangt DORA beim Drittparteienrisiko?
DORA gilt für eine Vielzahl von Finanzunternehmen und schafft einen eigenen Rahmen für den Umgang mit IKT-Drittparteienrisiken.
Das Grundprinzip ist einfach:
Die Nutzung eines externen IKT-Anbieters lagert Ihre regulatorische Verantwortung nicht aus.
Ein Finanzunternehmen bleibt auch dann für die Einhaltung von DORA verantwortlich, wenn ein IKT-Dienst von einer Drittpartei erbracht wird.
Damit wird die Lieferantenüberwachung zu einer fortlaufenden Governance-Aufgabe und nicht nur zu einer Beschaffungsmaßnahme.
Welche Drittparteien zählen unter DORA?
DORA konzentriert sich auf IKT-Drittdienstleister.
Beispiele sind u. a. Anbieter von:
- Cloud-Infrastruktur;
- Software;
- Datenhosting;
- Rechenzentren;
- Managed-IT-Services;
- Cybersicherheitsdiensten;
- Datenverarbeitung;
- Technologieplattformen;
- Netzwerkinfrastruktur;
- bestimmten ausgelagerten IKT-Funktionen.
Entscheidend ist, ob die Drittpartei einen IKT-Dienst erbringt, der vom Finanzunternehmen genutzt wird.
Nicht jeder Lieferant ist unter DORA daher gleich zu behandeln.
Ihr Bürokaffeelieferant fällt nicht in dieselbe Risikokategorie wie die Cloud-Plattform, die einen zentralen Bankprozess betreibt.
Was gilt für kritische oder wichtige Funktionen?
DORA legt besonderen Wert auf IKT-Leistungen, die eine kritische oder wichtige Funktion unterstützen.
Bevor bestimmte IKT-Vereinbarungen eingegangen werden, müssen Finanzunternehmen u. a. bewerten, ob die Leistung eine kritische oder wichtige Funktion unterstützt und welche Risiken aus der Vereinbarung entstehen.
Das kann Auswirkungen haben auf:
- Due Diligence;
- vertragliche Anforderungen;
- Analyse des Konzentrationsrisikos;
- Monitoring;
- Audit-/Zugriffsrechte;
- Exit-Planung;
- Kontrollen zur Unterbeauftragung.
Das bedeutet, dass die Klassifizierung von Lieferanten entscheidend ist.
Ein nützliches DORA-Inventar sollte nicht einfach lauten:
Lieferant: Cloud Company
Es sollte vielmehr Folgendes erfassen:
Lieferant → IKT-Dienst → Geschäftsfunktion → Kritikalität → Daten → Standort → Unterauftragnehmer → Risiko → Vertrag → Überwachung → Ausstiegsstrategie
Verlangt DORA ein Register der IKT-Drittdienstleister?
DORA verpflichtet Finanzunternehmen, ein Informationsregister zu führen, das vertragliche Vereinbarungen über IKT-Dienste von IKT-Drittdienstleistern abdeckt.
Dies ist einer der deutlichsten Unterschiede zwischen DORA und einem allgemeinen Lieferantenmanagement-Programm.
Das Unternehmen muss nicht nur wissen, wer seine Lieferanten sind, sondern auch, wie IKT-Dienste mit vertraglichen Vereinbarungen und Geschäftsfunktionen zusammenhängen.
Dieses Register ist zudem wichtig, um Aufsichtsbehörden Einblick in IKT-Abhängigkeiten zu geben.
Müssen Sie jeden DORA-IKT-Anbieter gleich stark überwachen?
Nein.
DORA arbeitet ausdrücklich mit dem Prinzip der Verhältnismäßigkeit.
Die Intensität der Überwachung sollte u. a. folgende Faktoren berücksichtigen:
- die Art der IKT-Abhängigkeit;
- Umfang und Komplexität;
- Bedeutung der Leistung;
- ob sie eine kritische oder wichtige Funktion unterstützt;
- die potenziellen Auswirkungen einer Störung;
- Konzentrationsrisiko;
- Ersetzbarkeit;
- Unterbeauftragung;
- geografische oder operative Abhängigkeiten.
Dies führt zu einem gestuften Ansatz für Lieferantenrisiken.
Alle relevanten IKT-Vereinbarungen identifizieren → klassifizieren → strengere Kontrollen dort anwenden, wo das Risiko größer ist.
IKT-Anbieter
Müssen Sie eine verhältnismäßige Überwachung nachweisen? Trusty erfasst, welche Lieferanten kritische oder wichtige Funktionen unterstützen, sammelt Due-Diligence-Nachweise und bewahrt die von Regulierungsbehörden erwarteten Nachweise an einem zentralen Ort auf.
Was fordert NIS2 für Drittparteien?
NIS2 verfolgt einen breiteren Ansatz für Cybersicherheit und Lieferkette.
Artikel 21 verpflichtet erfasste wesentliche und wichtige Einrichtungen, geeignete und verhältnismäßige Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu ergreifen.
Eine ausdrücklich genannte Maßnahme ist:
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern.
Das bedeutet, dass die Cybersicherheit der Lieferanten ausdrücklich Teil der NIS2-Compliance ist.
Welche Lieferanten sollten Sie unter NIS2 bewerten?
NIS2 legt besonderen Schwerpunkt auf direkte Lieferanten und Dienstleister.
Bei der Entscheidung, welche Maßnahmen angemessen sind, sollten Organisationen berücksichtigen:
- lieferantenspezifische Schwachstellen bei jedem direkten Lieferanten oder Dienstleister;
- die Gesamtqualität ihrer Produkte;
- Cybersicherheitspraktiken;
- sichere Entwicklungsverfahren;
- Resilienz ihrer Dienste oder Produkte;
- relevante Abhängigkeiten in der Lieferkette.
Die Analyse geht daher über die Frage hinaus, ob ein Lieferant über ein Cybersicherheitszertifikat verfügt.
Sie müssen verstehen, welches Risiko der Lieferant in Ihr Netz- und Informationssystem einbringt.
Welche Arten von NIS2-Lieferanten bergen besondere Risiken?
Je nach Organisation können relevante Drittparteien u. a. sein:
- Cloud-Anbieter;
- Rechenzentren;
- Softwareanbieter;
- SaaS-Anbieter;
- Anbieter verwalteter Dienste (MSP);
- Anbieter verwalteter Sicherheitsdienste (MSSP);
- IT-Berater;
- Hosting-Anbieter;
- Kommunikationsanbieter;
- kritische Hardwarelieferanten;
- Datenverarbeitungsanbieter.
NIS2 hebt besonders Risiken bei Anbietern von Datenspeicherungs- und Datenverarbeitungsdiensten, Anbietern verwalteter Sicherheitsdienste und Softwareherstellern hervor.
Erfasst NIS2 nur direkte Lieferanten?
Die gesetzliche Anforderung zur Lieferkettensicherheit bezieht sich ausdrücklich auf sicherheitsrelevante Aspekte der Beziehungen zu direkten Lieferanten oder Dienstleistern.
Das heißt aber nicht, dass tieferliegende Lieferkettenrisiken immer ignoriert werden können.
Die Erwägungsgründe der NIS2 erkennen ausdrücklich an, dass Organisationen auch Risiken berücksichtigen können, die aus anderen Ebenen von Lieferanten und Dienstleistern entstehen.
Das wird besonders relevant, wenn:
- ein kritischer Lieferant stark von einem Subunternehmer abhängt;
- Software verwundbare Komponenten von Drittanbietern enthält;
- es einen Single Point of Failure gibt;
- ein Anbieter eine starke geografische Konzentration aufweist;
- ein Lieferant von einem anderen kritischen Infrastrukturanbieter abhängig ist.
Die praktische Frage lautet daher nicht einfach:
„Ist dies unser direkter Lieferant?“
Sondern auch:
„Könnte eine tiefere Abhängigkeit unsere Cybersicherheit wesentlich beeinträchtigen?“
DORA vs. NIS2: Wen sollten Sie überwachen?
Eine nützliche Unterscheidung lautet:
Unter DORA
Beginnen Sie damit, Ihre IKT-Drittdienstleister zu erfassen.
Ermitteln Sie anschließend, welche Dienste kritische oder wichtige Funktionen unterstützen.
Diese Vereinbarungen verdienen eine besonders gründliche Bewertung, vertragliche Kontrollen und laufende Überwachung.
Unter NIS2
Beginnen Sie mit direkten Lieferanten und Dienstleistern, die die Sicherheit Ihrer Netz- und Informationssysteme beeinträchtigen können.
Prüfen Sie anschließend, ob wichtige indirekte Abhängigkeiten ein zusätzliches erhebliches Cyberrisiko darstellen.
Beispiel: Nutzung von Microsoft Azure
Angenommen, ein Finanzunternehmen ist für eine Infrastruktur, die eine kritische Funktion unterstützt, auf einen großen Cloud-Anbieter angewiesen.
Unter DORA ist diese Vereinbarung eindeutig relevant für das Rahmenwerk zum Management von IKT-Drittparteienrisiken der Organisation.
Die Organisation muss ggf. berücksichtigen:
- Kritikalität der Leistung;
- vertragliche Regelungen;
- Verfügbarkeit;
- Datenstandort;
- Sicherheit;
- Audit- und Zugriffsrechte;
- Unterbeauftragung;
- Konzentrationsrisiko;
- Exit-Optionen.
Befindet sich diese Organisation zusätzlich in einem von NIS2 erfassten Kontext, kann dieselbe Lieferantenbeziehung auch für die Cybersicherheit der Lieferkette relevant sein.
Der zugrunde liegende Anbieter ist derselbe.
Der rechtliche Grund für die Bewertung ist es nicht.
Beispiel: Anbieter für Lohnabrechnung
Betrachten wir einen externen SaaS-Anbieter für die Lohnabrechnung.
Unter DORA lautet die erste Frage, ob der Dienst in den relevanten IKT-Drittparteienrahmen fällt und welche Funktionen er unterstützt.
Unter NIS2 sollte das Unternehmen prüfen, ob eine Kompromittierung des Lieferanten ein wesentliches Cybersicherheitsrisiko schaffen könnte.
Das daraus resultierende Risikoniveau könnte erheblich niedriger sein als das der zentralen Cloud-Infrastruktur des Unternehmens.
Deshalb ist es selten die beste Lösung, auf jeden Lieferanten denselben Fragebogen und Prüfzeitplan anzuwenden.
passt nicht für jeden Lieferanten
Prüfen Sie Lieferanten nach Risiko, nicht nach Gewohnheit. Trusty prüft IKT-Anbieter und kritische Lieferanten auf Compliance-Risiken, versendet Sorgfaltsprüfungsanfragen und überwacht Ergebnisse auf einer einzigen Plattform. Oder vereinbaren Sie eine Demo.
Was sollten Sie vor dem Onboarding einer Drittpartei prüfen?
Für IKT-Lieferanten mit höherem Risiko kann eine sinnvolle Sorgfaltsprüfung Folgendes umfassen:
Unternehmensidentität
Bestätigen Sie, mit welcher juristischen Person Sie tatsächlich einen Vertrag abschließen.
Eigentümerstruktur
Verstehen Sie relevante Eigentums- und Konzernbeziehungen.
Sanktionsrisiko
Prüfen Sie, ob das Unternehmen oder relevante kontrollierende Parteien Sanktionsrisiken aufweisen.
Negative Medienberichte
Suchen Sie nach glaubwürdiger Berichterstattung über:
- Cybervorfälle;
- aufsichtsrechtliche Maßnahmen;
- Sicherheitsversagen;
- Betrug;
- Fehlverhalten;
- größere Ausfälle;
- Datenpannen.
Cybersicherheitskontrollen
Bewerten Sie relevante Sicherheitspraktiken und Zertifizierungen.
Unterauftragnehmer
Ermitteln Sie, ob kritische Funktionen von anderen Anbietern abhängen.
Konzentrationsrisiko
Fragen Sie, was passiert, wenn mehrere kritische Dienste vom selben Anbieter abhängen.
Geografie
Verstehen Sie, wo Dienste und Daten bereitgestellt werden und wo kritische Abhängigkeiten bestehen.
Geschäftskontinuität
Bewerten Sie, wie der Anbieter auf Störungen reagiert.
Ausstiegsplanung
Prüfen Sie, ob die Leistung realistisch zu einem anderen Anbieter migriert werden könnte.
Drittparteienrisiko ist damit nicht nur ein Thema der IT-Sicherheit.
Es kann erfordern, Cybersicherheits-, Unternehmens-, Compliance-, operative und Reputationsinformationen zusammenzuführen.
DORA regelt IKT-Anbieter detaillierter
Der wichtigste Unterschied: DORA schafft einen ausdrücklichen Regulierungsrahmen für IKT-Drittparteienbeziehungen.
Finanzunternehmen müssen Drittparteienrisiken in ihren IKT-Risikomanagementrahmen integrieren und strukturierte Informationen über vertragliche IKT-Vereinbarungen führen.
NIS2 begründet eine breitere Cybersicherheitsverpflichtung und bezieht die Sicherheit der Lieferkette ausdrücklich mit ein.
Zusammengefasst:
DORA geht tiefer auf IKT-Outsourcing und Lieferanten-Governance ein.
NIS2 bettet Lieferanten in das gesamte Cybersicherheitsrisikomanagement ein.
Was, wenn sowohl DORA als auch NIS2 gelten?
Für Finanzunternehmen ist DORA besonders wichtig, weil das EU-Recht es als sektorspezifisches Cybersicherheitsrahmenwerk für erfasste Finanzunternehmen behandelt, soweit seine Bestimmungen als sektorspezifische Regeln gelten.
Das bedeutet: Organisationen sollten nicht einfach jede Kontrolle in zwei getrennten Compliance-Programmen doppelt umsetzen.
Stattdessen sollten sie klären:
- welche Gesellschaft in den Anwendungsbereich fällt;
- welche Vorschrift für das konkrete Thema maßgeblich ist;
- welche Lieferanten und IKT-Leistungen betroffen sind;
- ob eine Kontrolle Nachweise erzeugen kann, die mehrere Compliance-Pflichten zugleich belegen.
Ein einheitliches Lieferanteninventar kann erheblich helfen.
Ein praktisches Modell für die Lieferantenüberwachung
Statt eine Tabelle für DORA, eine weitere für NIS2 und noch eine für die Beschaffung zu pflegen, bauen Sie ein gemeinsames Drittparteieninventar auf.
Zum Beispiel:
Lieferant
↓
Juristische Person + Eigentümerstruktur
↓
Erbrachte Leistung
↓
IKT / Nicht-IKT
↓
Unterstützte Geschäftsfunktion
↓
Kritikalität
↓
Cybersicherheitsrisiko
↓
Sanktions- / Reputationsrisiko
↓
Subunternehmer
↓
Vertragliche Kontrollen
↓
Monitoring-Frequenz
↓
Vorfälle / Änderungen
So können Compliance-Teams unterschiedliche regulatorische Regeln auf dieselben zugrunde liegenden Lieferantendaten anwenden.
Risikoüberwachung
Ein Überblick über jeden Lieferanten. Prüfen Sie IKT-Anbieter und kritische Lieferanten auf Compliance-Risiken, versenden Sie Sorgfaltsprüfungsanfragen und überwachen Sie Ergebnisse auf einer einzigen Plattform, statt separater Tabellen für DORA und NIS2.
Brauchen Sie ein kontinuierliches Lieferanten-Monitoring?
Keines der beiden Regelwerke verlangt, jede einzelne Lieferanteninformation buchstäblich jede Sekunde zu prüfen.
Aber Drittparteien-Risikomanagement kann sinnvollerweise nicht beim Onboarding enden.
Risiken verändern sich.
Ein Anbieter kann:
- einen Cyberangriff erleiden;
- einen größeren Ausfall haben;
- die Eigentümerstruktur ändern;
- aufsichtsrechtliche Sanktionen erhalten;
- in negativen Medienberichten auftauchen;
- Subunternehmer wechseln;
- Standorte seiner Dienste verlagern;
- in finanzielle Schwierigkeiten geraten.
Anbieter mit höherem Risiko rechtfertigen daher eine fortlaufende Überwachung, die der Bedeutung und dem Risiko der Beziehung angemessen ist.
Häufig gestellte Fragen
Ja. Erfasste Finanzunternehmen müssen IKT-Drittparteienrisiken im Rahmen ihres IKT-Risikomanagements steuern. Dazu gehört eine fortlaufende Überwachung, die der Art und Bedeutung der IKT-Abhängigkeit angemessen ist.
Ja. NIS2 verlangt ausdrücklich Maßnahmen zur Sicherheit der Lieferkette und verpflichtet Einrichtungen, Schwachstellen und Cybersicherheitspraktiken im Zusammenhang mit direkten Lieferanten und Dienstleistern zu berücksichtigen.
DORA konzentriert sich auf IKT-Drittdienstleister, die von erfassten Finanzunternehmen genutzt werden. Die Anforderungen gewinnen besonders an Bedeutung, wenn ein IKT-Dienst eine kritische oder wichtige Funktion unterstützt.
Die Anforderungen von NIS2 zur Lieferkette konzentrieren sich insbesondere auf direkte Lieferanten und Dienstleister, die für die Sicherheit der Netz- und Informationssysteme des Unternehmens relevant sind.
Die zentrale Anforderung bezieht sich ausdrücklich auf die Beziehungen zu direkten Lieferanten bzw. Dienstleistern, doch NIS2 erkennt an, dass Organisationen auch Risiken aus tieferen Ebenen der Lieferkette berücksichtigen können.
Nein. Beide Rahmenwerke unterstützen einen risikobasierten, verhältnismäßigen Ansatz. Lieferanten, die kritische Funktionen unterstützen oder eine größere Cybersicherheitsabhängigkeit schaffen, erfordern in der Regel stärkere Kontrollen.
Nein. DORA stellt ausdrücklich klar, dass Finanzunternehmen bei der Nutzung von IKT-Drittdienstleistern weiterhin für die Einhaltung der regulatorischen Vorgaben verantwortlich bleiben.
DORA fungiert als sektorspezifisches EU-Cybersicherheitsrecht für erfasste Finanzunternehmen in den relevanten Bereichen. Das Zusammenspiel muss Anforderung für Anforderung geprüft werden, statt anzunehmen, dass jede NIS2-Bestimmung automatisch entfällt.
Das Fazit
DORA und NIS2 kommen zum selben grundlegenden Schluss:
Ihr Cybersicherheitsrisiko endet nicht an der Grenze Ihrer Organisation.
Doch sie gehen das Lieferantenrisiko unterschiedlich an.
DORA: IKT-Drittparteienabhängigkeiten identifizieren und steuern, mit besonders strengen Kontrollen für Dienste, die kritische oder wichtige Funktionen unterstützen.
NIS2: die Sicherheit Ihrer Lieferkette schützen, insbesondere Ihre Beziehungen zu direkten Lieferanten und Dienstleistern.
Für Unternehmen, die unter eines der beiden Rahmenwerke fallen, ist der erste praktische Schritt daher derselbe:
Wissen, wer Ihre Drittparteien tatsächlich sind, was sie liefern, wovon sie abhängen und wie sich ihr Risiko im Zeitverlauf verändert.
Ein Workflow für das Screening und Monitoring von Drittparteien kann dieser Bewertung eine weitere Ebene hinzufügen, indem er Lieferanten kontinuierlich auf Sanktionsrisiken, Risiken aus der Eigentümerstruktur und negative Medienberichte prüft, parallel zu operativen und Cybersicherheitskontrollen.
Externe Quellen:
EUR-Lex, Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA)
EUR-Lex, NIS2-Richtlinie
Weiterführende Lektüre: wie Finanzunternehmen IKT-Anbieter gemäß DORA überwachen müssen, wie KMU die NIS2-Anforderungen mit einem einfachen Prozess zur Meldung von Schwachstellen erfüllen können, und Drittparteien-Screening im Mittelstand.
SCREENING VON DRITTPARTEIENRISIKEN
QuickScreen360: Prüfen Sie Lieferanten und Partner auf Compliance-Risiken. Versenden Sie Sorgfaltsprüfungsanfragen, weisen Sie Schulungen zu und überwachen Sie Ergebnisse auf einer einzigen Plattform.