Finale RTS zu DORA

Bevor ein Finanzinstitut einem ICT-Drittanbieter erlaubt, einen kritischen oder wichtigen ICT-Service an ein Subunternehmen zu vergeben, muss es umfassende Vorab-Prüfungen durchführen (Artikel 3). Konkret sind zahlreiche Faktoren zu bewerten, u.a. die Leistungsfähigkeit und Prozesse des Haupt-Dienstleisters zur Auswahl und Steuerung von Subunternehmen, Transparenz über die wichtigsten Subprovider-Kette, weitergereichte Audit- und Sicherheitsauflagen entlang der Kette, Standort-Risiken (In-/Außerhalb EU) sowie potenzielle Auswirkungen eines Sub-Ausfalls auf die Betriebsstabilität. Diese Art von Vor-Assessment soll sicherstellen, dass Sicherheitsziele auch in der tieferen Lieferkette erfüllt werden können.

Der Dienstleistervertrag muss genaue Regelungen enthalten, ob und unter welchen Bedingungen der Dienstleister kritische ICT-Leistungen überhaupt an Subunternehmer weitergeben darf (Artikel 4). Wichtig: Der Haupt-Dienstleister bleibt verantwortlich für die Erfüllung der Leistung, auch wenn Subunternehmen eingebunden sind. Er muss alle weiterbeauftragten Leistungen fortlaufend überwachen und sicherstellen, dass sämtliche regulatorischen Pflichten eingehalten werden. Vertraglich sind Pflichtklauseln vorgegeben, z.B. dass wesentliche Auflagen wie Audit/Rechtszugriffsrechte, kontinuierliches Monitoring, Notfallpläne und Sicherheitsstandards auch für Subdienstleister gelten. Damit soll dafür gesorgt werden, dass angesetzte Sicherheitsmaßstäbe durch die Lieferkette hinweg über die Drittpartei geltend gemacht werden können, was durch eine direkte Verpflichtung der Subdienstleister vom Finanzinstitut aus regulatorisch und praktisch nicht möglich wäre.

Das RTS regelt auch, was passiert, wenn sich die Subcontracting-Vereinbarungen ändern (Artikel 5). Führt der IT-Anbieter z.B. einen neuen Subdienstleister ein oder ändert sich ein wichtiger Subvertrag wesentlich, muss das Finanzinstitut frühzeitig informiert werden. Der Vertrag muss dem Finanzinstitut das Recht einräumen, geplante Änderungen innerhalb einer Frist zu prüfen und zu genehmigen oder abzulehnen. Überschreiten geplante Subcontracting-Änderungen die Risikotoleranz, kann das Finanzinstitut Veto einlegen und Anpassungen fordern. Zusätzlich erweitert das RTS die Kündigungsrechte: Wenn kritische Risiken nicht anders beherrschbar sind (etwa weil ein unerwünschter Subunternehmer nicht entfernt werden kann), muss eine vertragliche Austrittsmöglichkeit bestehen. All das stellt sicher, dass Finanzunternehmen notfalls aussteigen können, bevor ein untragbares Risiko Realität wird.