Abgrenzung Auslagerungsregister / Informationsregister & DORA-konforme SLA-Verwaltung

• DORA-konforme Erfassung von Auslagerungsverträgen, Dienstleistungsverträgen und SLAs
• Dokumentation der Risikoanalyse-Ergebnisse sowie kritischer und wichtiger Dienstleister
• Vollständige Hinterlegung der Sub-Dienstleister-Informationen bei Weiterverlagerungen
• Abbildung von Outsourcing-Konzentrationen
• Erfassungen von Cloud-Service-Providern im Cloud-Register

Die Anforderungen an das Führen von Auslagerungsregister (MaRisk) und Informationsregister (DORA) stellen die betroffenen Institute vor große Herausforderungen, da sich eine klare Abgrenzung und Steuerung in der Auslagerungspraxis oft schwierig gestaltet. Insbesondere bei der laufenden Verwaltung von Auslagerungen, Fremdbezügen und IKT-Drittdienstleistungen. Hier ergeben sich häufig Schwierigkeiten bei der Risikoanalyse und der Einwertung der Analyse-Ergebnisse. Ebenso problematisch ist oft die Bewertung der Ersetzbarkeit (Exit!) des Dienstleisters durch alternative Dienstleister und eine Einschätzung der Zeitkritikalität der ausgelagerten Prozesse.

Alle wesentlichen Weiterverlagerungen und wichtigen Sub-Dienstleistungen (inkl. Ort des Sub-Dienstleisters und ggf. Ort der Datenhaltung) sind zu erfassen. Auslagerungsregister und Informationsregister sind auf Verlangen der Aufsichtsbehörden zugänglich zu machen.

Bei Cloud-Dienstleistungen bestehen zusätzliche Dokumentationspflichten.

Oft besteht in den Instituten jedoch kein einheitlicher Prozess zur Aktualisierung der bestehenden Verträge / SLAs und bestehende Auslagerungsvereinbarungen sind unvollständig bzgl. messbarer Leistungs- und Qualitätsvorgaben sowie der konkreten Festlegung von ISM- / BCM-Vorgaben, IT-Notfallplanung oder Prüfrechten.