Compliance-Lexikon · DORA
Kritischer IKT-Anbieter – Praxis
Kritischer IKT-Anbieter wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Wurde geprüft, ob die Organisation als IKT-Drittdienstleister in den Anwendungsbereich der DORA-Überwachung fällt?
Häufige Fehler in der Praxis
- Eigene Rolle als kritischer IKT-Anbieter wird nicht aktiv geprüft
- Verträge mit Finanzunternehmen enthalten keine DORA-konformen Auditrechte
- Subunternehmerketten werden dem eigenen Kunden nicht transparent gemacht
Praxis-Tipp
Die Einstufung als kritischer IKT-Anbieter erfolgt durch die europäischen Aufsichtsbehörden, nicht durch Selbstauskunft. Wer große Teile des Finanzsektors beliefert, sollte die Kriterien dennoch kennen.
Direkte Aufsicht durch die ESA
Kritische IKT-Drittanbieter unterliegen der direkten Überwachung durch die europäischen Aufsichtsbehörden (ESA). Diese können Prüfungen anordnen, Informationen anfordern und im Ernstfall Empfehlungen aussprechen, die faktisch bindend wirken.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Bewertung der eigenen Rolle als IKT-Drittdienstleister, Kundenliste mit Finanzsektor-Anteil, Vertragsanalyse. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Kritischer IKT-Anbieter über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.