Compliance-Lexikon · DORA
DORA Subunternehmer – Praxis
DORA Subunternehmer wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Ist bekannt, ob und in welchem Umfang die eigenen IKT-Drittdienstleister wiederum Subunternehmer für kritische Funktionen einsetzen?
Häufige Fehler in der Praxis
- Subunternehmer der eigenen Dienstleister sind schlicht nicht bekannt
- Verträge enthalten keine Pflicht zur Offenlegung von Subunternehmerketten
- Änderungen in der Subunternehmerkette werden nicht laufend nachverfolgt
Praxis-Tipp
DORA verlangt Transparenz nicht nur über den direkten Vertragspartner, sondern über die gesamte Kette bei kritischen Funktionen. Diese Anforderung wird in der Praxis häufig unterschätzt.
Ketten kritischer Funktionen
Bei der Auslagerung kritischer oder wichtiger Funktionen muss ein Finanzunternehmen auch die Risiken kennen, die durch Subunternehmer des eigentlichen Dienstleisters entstehen. Das gilt insbesondere für Cloud-Anbieter, die selbst wieder auf Subauftragnehmer zurückgreifen.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Subunternehmerketten je kritischem Dienstleister, vertragliche Offenlegungsklauseln, Datum der letzten Überprüfung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum DORA Subunternehmer über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.