MaRisk AT 9 und DORA: Auslagerung oder IKT-Dienstleistung?

MaRisk AT 9 und DORA: Auslagerung oder IKT-Dienstleistung?

Lange war die zentrale Frage im Auslagerungsmanagement: Ist dieser Leistungsbezug eine Auslagerung im Sinne von MaRisk AT 9 oder sonstiger Fremdbezug? Davon hingen Risikoanalyse, Vertragsinhalte und Überwachung ab. Mit DORA kommt eine zweite, unabhängige Frage hinzu: Handelt es sich um eine IKT-Dienstleistung?

Zwei Regelwerke, zwei Perspektiven

MaRisk AT 9 fragt, ob ein Dritter Aktivitäten und Prozesse übernimmt, die das Institut im Zusammenhang mit Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen sonst selbst erbringen würde. Die Perspektive ist die Aufgabe, die das Haus aus der Hand gibt.

DORA fragt, ob digitale Dienste oder Datendienste über IKT-Systeme dauerhaft bereitgestellt werden. Die Perspektive ist die technische Abhängigkeit – unabhängig davon, ob eine Auslagerung vorliegt.

Daraus folgt der Punkt, der in der Praxis oft übersehen wird: Auch ein Leistungsbezug, der nach MaRisk als sonstiger Fremdbezug gilt, kann eine IKT-Dienstleistung im Sinne von DORA sein – mit Folgen für Informationsregister, Vertragsinhalte und Risikomanagement.

Eine einfache Klassifizierungslogik

Für jeden Leistungsbezug lohnt sich eine Einordnung auf drei Fragen:

1. Liegt eine Auslagerung nach MaRisk AT 9 vor? Wenn ja: wesentlich oder nicht wesentlich?
2. Handelt es sich um eine IKT-Dienstleistung nach DORA?
3. Unterstützt die Leistung eine kritische oder wichtige Funktion?

Aus der Kombination ergibt sich, welche Anforderungen greifen. Eine wesentliche IT-Auslagerung, die eine kritische Funktion unterstützt, fällt unter beide Regelwerke in voller Tiefe. Ein Software-Abonnement ohne Auslagerungscharakter kann trotzdem ins Informationsregister gehören und bestimmte Vertragsinhalte nach Art. 30 DORA erfordern.

Was das für die Organisation bedeutet

• Ein Inventar aller Leistungsbezüge. Die Klassifizierung setzt voraus, dass alle Bezüge bekannt sind – nicht nur die, die das Auslagerungsmanagement bereits kennt. In Projekten ist der Abbau dieses Backlogs oft der erste und größte Schritt.
• Ein gemeinsamer Prozess statt zwei Parallelwelten. Neue Leistungsbezüge sollten einmal erfasst und dann nach beiden Logiken bewertet werden.
• Ein Regelwerk, das die Abgrenzung erklärt. Die schriftlich fixierte Ordnung muss nachvollziehbar machen, wie das Haus einordnet. Prüfer fragen genau das.

Fazit

DORA ersetzt die MaRisk im Auslagerungsmanagement nicht, sondern ergänzt sie um eine technische Perspektive. Wer die beiden Achsen sauber trennt und in einem Prozess zusammenführt, vermeidet Doppelarbeit – und Lücken, die erst in der Prüfung auffallen.

Zum Auslagerungsmanagement