Sie können fast alles auslagern – die Verantwortung nie. Wir gestalten und prüfen die Outsourcing-Vereinbarungen Ihres regulierten Unternehmens – einschließlich des IKT-Kapitels nach DORA –, damit Sie gegenüber der Aufsichtsbehörde nicht ohne Antworten dastehen, wenn Sie sich auf Dienstleister stützen.
Planen Sie eine Auslagerung (oder haben Sie schon ausgelagert, ohne Dokumentation)?
Sagen Sie uns, welche Funktionen in den Händen Dritter liegen, und wir sagen Ihnen, welche Verträge, Register und Meldungen fehlen.
Vom Dienstleisterverzeichnis bis zum Ausstiegsplan: sechs Leistungen, damit hinter jeder Auslagerung ein Vertrag, eine Kontrolle und Nachweise stehen.
Anwendbar seit Januar 2025: Wir passen Ihre Technologieverträge an die Pflichtklauseln des Art. 30 an, erstellen das Informationsregister und ordnen Ihr Management des IKT-Drittparteienrisikos.
Die richtige Auslagerung einer Kontrollfunktion: schriftliches Mandat, uneingeschränkter Zugang zu den Informationen, direkte Berichtslinie an das Leitungsorgan und laufender Nachweis, dass die Kontrolle funktioniert.
Der Datenschutzbeauftragte als ausgelagerte Funktion: Unabhängigkeit, Ressourcen und Abstimmung mit Ihren übrigen Dienstleistern.
Wir integrieren Dienstleister und Auslagerungen in Ihre Risikolandkarte – mit Indikatoren, Vorfällen und regelmäßiger Überprüfung.
Was Sie auslagern, muss sich im Geschäftsplan widerspiegeln und die Beurteilung der CNMV stützen, dass Sie über ausreichende Mittel verfügen.
Unabhängige Überprüfung Ihrer kritischen Vereinbarungen: unterzeichneter Vertrag, tatsächliche Umsetzung und getestete Ausstiegspläne.
Vier Unternehmen, vier verschiedene Abhängigkeiten von Dritten. Alle legitim; keine lässt sich ohne Vertrag, Transparenz und Plan B verteidigen.
„Wir sind zu dritt: Verwaltung, Technologie und ein Teil der Compliance sind ausgelagert. Wir wollten sicherstellen, dass diese Struktur weiterhin als ausreichende Ausstattung verteidigt werden kann.“
„Unser gesamter Betrieb läuft über einen Cloud-Anbieter. Mit DORA haben wir festgestellt, dass der Vertrag weder Prüfungsrechte noch den Speicherort der Daten noch eine Ausstiegsstrategie vorsah.“
„Unser Technologiedienstleister vergibt seinerseits Aufträge an zwei weitere Unternehmen. Uns wurde klar, dass wir nicht wussten, wer tatsächlich mit unseren Daten arbeitet und von welchem Land aus.“
„Jeder Bereich beauftragte Dienstleister auf eigene Faust. Der erste Schritt war, ein einheitliches Verzeichnis aufzubauen und einzustufen, was wirklich kritisch oder wichtig war.“
Auslagern ist legal, üblich und oft die beste Entscheidung. Was die Aufsichtsbehörde nicht verzeiht, ist die Auslagerung ohne ernsthaften Vertrag, ohne Transparenz und ohne Ausstiegsmöglichkeit.
Delegieren und sich nicht mehr kümmern: Die Funktion wandert, die Verantwortung nicht. Versagt der Dienstleister, trifft das Verfahren Sie. Die Aufsichtsbehörde verlangt wirksame Kontrolle und laufende Überwachung, keinen unterschriebenen Vertrag, der in einer Schublade vergessen wird.
Verträge ohne die nötigen Klauseln: Ohne Zugangs-, Informations- und Prüfungsrechte – auch für die Aufsichtsbehörde –, ohne Service-Levels und ohne Ausstiegsplan ist die Vereinbarung nicht zu verteidigen. Bei IKT-Dienstleistern schreibt DORA zudem verpflichtende Vertragsinhalte vor (Art. 30).
Die unsichtbare Kette: Ihr Dienstleister vergibt Unteraufträge, der Subunternehmer vergibt wiederum Unteraufträge, und in Ihrem Unternehmen weiß niemand mehr, wo was verarbeitet wird. Ohne Transparenz über die Kette gibt es keine Kontrolle, die sich verteidigen ließe.
| Kategorie | Was dazugehört | Was die Vorschriften von Ihnen verlangen |
|---|---|---|
| Unter Bedingungen auslagerbar | Kritische oder wichtige Funktionen: Technologie, Backoffice, Verwaltung und Kontrollfunktionen im zulässigen Rahmen | Schriftlicher Vertrag, wirksame Kontrolle und laufende Überwachung, Zugangs- und Prüfungsrechte, Ausstiegsplan und gegebenenfalls Meldung an die Aufsichtsbehörde |
| Nicht auslagerbar | Die Verantwortung des Unternehmens und seines Leitungsorgans sowie die tatsächliche Leitung des Geschäfts | Die Auslagerung darf das Unternehmen nicht zur leeren Hülle machen und seine Pflichten gegenüber Kunden und Aufsichtsbehörde nicht auf einen Dritten übertragen |
| IKT-Dienstleister nach DORA | Technologiedienstleistungen, die kritische oder wichtige Funktionen unterstützen: Cloud, Software, Daten, Kommunikation | Seit Januar 2025: Informationsregister der Dienstleister, verpflichtende Vertragsklauseln nach Art. 30 und Management des Drittparteienrisikos |
Wir erfassen Ihre Vereinbarungen mit Dritten, stufen das Kritische ein, verhandeln lückenhafte Verträge nach, richten das DORA-Informationsregister ein und testen die Ausstiegspläne. Damit die Auslagerung ein Vorteil bleibt und keine offene Flanke wird.
Allgemein gesagt eine Funktion, deren Ausfall oder Mängel die dauerhafte Einhaltung der Zulassungsbedingungen, die finanziellen Ergebnisse oder die Solidität und Kontinuität der Dienstleistungen des Unternehmens ernsthaft gefährden würden.
Die Einstufung ist wichtig, weil sie das verschärfte Regime auslöst: Vertrag mit Mindestinhalt, verstärkte Kontrolle, je nach Fall Meldung an die Aufsichtsbehörde und Ausstiegsplan. Richtig einzustufen – nach schriftlichen Kriterien – ist die erste Kontrolle des Systems.
Grundsätzlich ja, insbesondere bei kleineren Unternehmen, bei denen der Grundsatz der Verhältnismäßigkeit dies rechtfertigt. Die Bedingungen: ein schriftliches Mandat mit klarem Umfang, uneingeschränkter Zugang des Dienstleisters zu den Informationen, direkte Berichtslinie an das Leitungsorgan und Überwachung der Dienstleistung durch das Unternehmen.
Was nie übertragen wird, ist die Verantwortung: Die Compliance bleibt Ihre Sache. So setzen wir es in unserer Leistung als externer Compliance Officer um, und ebenso beim externen Datenschutzbeauftragten.
Die unverzichtbaren Bausteine:
Handelt es sich um eine IKT-Dienstleistung, die kritische oder wichtige Funktionen unterstützt, verlangt DORA zusätzlich spezifische Pflichtklauseln (Art. 30).
Auslagerungen kritischer oder wichtiger Funktionen müssen der Aufsichtsbehörde nach Maßgabe der Vorschriften mitgeteilt werden, die für Ihre Art von Unternehmen gelten. Bei einer neuen Zulassung ist die Aufteilung zwischen eigenen und ausgelagerten Mitteln zudem Teil des Geschäftsplans.
Die Faustregel: Wenn die Auslagerung Ihre Ausstattung verändert, erwartet die Aufsichtsbehörde, davon zu erfahren, bevor sie es bei einer Prüfung entdeckt. Und das DORA-Register macht einen Großteil Ihrer IKT-Landschaft ohnehin sichtbar.
Das ist der klassische blinde Fleck. Ihr Vertrag muss regeln, ob der Dienstleister Unteraufträge vergeben darf, unter welchen Bedingungen und mit welcher Pflicht, Sie zu informieren, und Ihre Zugangs- und Prüfungsrechte auf die relevanten Subunternehmer erstrecken.
Bei IKT-Dienstleistungen verlangt das Informationsregister nach DORA, auch die relevanten Subunternehmerketten abzubilden: Wenn Sie heute nicht wissen, wer hinter Ihrem Dienstleister steht, können Sie dieses Register nicht sorgfältig ausfüllen.
Die Verordnung (EU) 2022/2554 (DORA), anwendbar seit Januar 2025, macht die digitale operationale Resilienz zu einer übergreifenden Pflicht des Finanzsektors: IKT-Risikomanagement, Vorfälle, Tests und – was das Outsourcing am stärksten betrifft – ein eigenes Regime für das IKT-Drittparteienrisiko.
Ihre zwei Kernelemente: das Informationsregister aller Vereinbarungen mit IKT-Dienstleistern und die verpflichtenden Vertragsklauseln nach Art. 30. Mehr dazu in unseren DORA-Leistungen.
Ein strukturiertes Verzeichnis aller Ihrer Vereinbarungen mit IKT-Dienstleistern, das festhält, welche Funktionen jeder von ihnen unterstützt, wie kritisch sie sind und welche relevanten Subunternehmerketten bestehen. Es muss aktuell gehalten werden und der Aufsichtsbehörde zur Verfügung stehen.
Gut aufgebaut ist es mehr als eine Pflicht: Es ist das Abbild Ihrer tatsächlichen technologischen Abhängigkeit und die Grundlage, um Vertragsnachverhandlungen und Ausstiegspläne zu priorisieren. Schlecht aufgebaut ist es die erste Unstimmigkeit, die jeder Prüfer entdecken wird.
Eine realistische Strategie, um die Funktion in das Unternehmen zurückzuholen oder zu einem anderen Dienstleister zu verlagern, wenn der bisherige ausfällt, seine Pflichten verletzt oder wegfällt: Szenarien, Verantwortliche, Zeitrahmen, wiederherzustellende Daten und geschätzte Kosten. Für kritische Funktionen ist er nicht optional.
Der Maßstab der Aufsicht steigt jedes Jahr: vom bloßen Dokument hin zum Nachweis, dass der Plan umsetzbar ist – Abhängigkeiten erkannt, Alternativen sondiert und, soweit möglich, Elemente getestet. Eine unumkehrbare Abhängigkeit von einem einzigen Dienstleister ist für sich genommen ein Risiko, das Sie erklären müssen.
Drei Phasen und zehn Schritte vom improvisierten Outsourcing zu einem gesteuerten Programm: wissen, was Sie haben, es richtig vertraglich regeln und es während der gesamten Laufzeit kontrollieren.
Wir führen alle Vereinbarungen mit Dritten in einem einheitlichen Repository zusammen – auch übernommene Altverträge und konzerninterne Vereinbarungen – und stufen ein, was eine kritische oder wichtige Funktion ist und welche IKT-Dienstleistung unter DORA fällt. Ohne Landkarte kein Programm.
Due Diligence des Dienstleisters, Verhandlung der vorgeschriebenen Klauseln – Zugang, Prüfung, Unterauslagerung, Ausstieg, Art. 30 DORA, wo einschlägig – und die erforderlichen Meldungen an die Aufsichtsbehörde. Der Vertrag ist Ihr wichtigster Nachweis.
Service-Indikatoren, Vorfallmanagement, tatsächlich ausgeübte Prüfungsrechte, ein aktuelles Informationsregister und überprüfte Ausstiegspläne. Das Programm verteidigen Sie mit dem, was Sie jedes Quartal tun, nicht mit dem, was Sie einmal unterschrieben haben.
Wenn Sie bestimmte Funktionen mit allen Garantien auslagern möchten, sehen Sie sich unsere Seiten zum externen Compliance Officer, zum externen Datenschutzbeauftragten und zur vollständigen Umsetzung von DORA an.
Die 10 Kontrollen zu den Wohlverhaltensregeln, die die CNMV in einer EAF oder einem Wertpapierinstitut (ESI) im laufenden Betrieb sehen will, jeweils mit dem typischen Nachweis. Ideal als vierteljährliche Selbstprüfung mit Ihrem Team.
Kein Spam. Ihre E-Mail-Adresse wird nur verwendet, um Ihnen diese Checkliste und gelegentlich relevante regulatorische Neuigkeiten zu senden.
Die Checkliste wird gerade heruntergeladen. Falls der Download nicht automatisch startet, klicken Sie hier.
Brauchen Sie nach der Lektüre Unterstützung bei der Umsetzung einzelner Schritte? Schreiben Sie uns direkt:
Das ist das Vokabular, das die Vorschriften, die Aufsichtsbehörden und – immer häufiger – Ihre eigenen Dienstleister in Verhandlungen verwenden. Es lohnt sich, es zu kennen, bevor Sie sich an diesen Tisch setzen.
Funktion, deren Ausfall die Zulassung, die Ergebnisse oder die Kontinuität der Dienstleistungen des Unternehmens ernsthaft gefährden würde.
Vereinbarung, nach der ein Dritter einen Prozess, eine Dienstleistung oder eine Tätigkeit ausführt, die das Unternehmen andernfalls selbst erbringen würde.
Das Unternehmen und sein Leitungsorgan haften gegenüber Kunden und Aufsichtsbehörde genauso, als wäre die Funktion intern.
Strategie, um die Funktion zurückzuholen oder zu verlagern, wenn der Dienstleister ausfällt oder die Vereinbarung endet: Szenarien, Zeitrahmen, Daten und Alternativen.
Die Dritten, an die Ihr Dienstleister seinerseits Aufgaben weitergibt. Ohne Transparenz und Weitergabe der Rechte verflüchtigt sich die Kontrolle.
Die Verordnung über die digitale operationale Resilienz im Finanzsektor, anwendbar seit Januar 2025. Sie ordnet das IKT-Drittparteienrisiko neu.
Strukturiertes Verzeichnis aller IKT-Vereinbarungen mit den unterstützten Funktionen, ihrer Kritikalität und den Subunternehmerketten.
Wer laufend digitale Dienste und Datendienste erbringt: Cloud, Software, Kommunikation, Verarbeitung.
Befugnis des Unternehmens, seiner Prüfer und der Aufsichtsbehörde, auf den Dienstleister und seine Leistung zuzugreifen, sie zu inspizieren und zu prüfen.
Schriftliche Kriterien zur Identifizierung kritischer oder wichtiger Funktionen und wesentlicher IKT-Dienstleistungen, einheitlich angewandt.
Auslagerungsrichtlinie, eingestuftes Verzeichnis und Kritikalitätsanalyse je Vereinbarung.
Vorherige Bewertung des Dienstleisters im Verhältnis zur Kritikalität: Solvenz, Leistungsfähigkeit, Sicherheit, Konzentration.
Due-Diligence-Berichte, beantwortete Fragebögen und Genehmigung auf der passenden Ebene.
Vollständiger Mindestinhalt: Service-Levels, Zugang und Prüfung, Daten, Unterauslagerung, Kontinuität und Ausstieg; Art. 30 DORA bei IKT.
Unterzeichnete Verträge mit den vorgeschriebenen Klauseln und eine Prüfmatrix der Inhalte.
Wirksame Kontrolle während der Laufzeit der Vereinbarung: Indikatoren, Vorfälle, Überprüfungen und tatsächlich durchgeführte Prüfungen.
Dienstleister-Dashboards, Protokolle der Monitoring-Termine und Prüfberichte über den Dienstleister.
Realistische Ausstiegspläne für das Kritische und aktives Management des Konzentrations- und Abhängigkeitsrisikos.
Dokumentierte und überprüfte Ausstiegspläne, identifizierte Alternativen und durchgeführte Tests.
Fünf Sätze, die wir bei der ersten Analyse oft hören. Jeder ist eine potenzielle Prüfungsfeststellung; zusammen ergeben sie ein Sanktionsverfahren.
Die Auslagerung von Funktionen verändert die interne Kontrolle, die Geldwäscheprävention und sogar die Frage, wie Ihre Mittel im Zulassungsverfahren bewertet werden. Diese Seiten vervollständigen das Bild, damit Sie entscheiden können, was Sie auslagern und wie Sie es steuern.
Laufende Rechtsberatung als externe Dienstleistung: was sie abdeckt, wie sie aufgebaut ist und was ein kleines Unternehmen davon hat.
Wo sich ausgelagerte Funktionen in Ihr Kontrollmodell einfügen, damit die Auslagerung die Architektur nicht aufbricht.
Die Seite der Geldwäscheprävention: was sich auf Externe stützen kann und was interne Präsenz verlangt.
Die schlanksten Strukturen der Branche sind auch die am stärksten von Dienstleistern abhängigen: So lässt sich beides vereinbaren.
Für einzelne Funktionen sehen Sie sich den externen Compliance Officer und den externen Datenschutzbeauftragten an; für die Technologieseite die Umsetzung von DORA; und wenn Ihre Ausstattung Ihre Lizenz berührt, die Zulassung als Wertpapierinstitut (ESI).
Beschreiben Sie uns Ihre Dienstleisterlandschaft – Technologie, Backoffice, Compliance, Cloud –, und wir prüfen gemeinsam mit Ihnen, welche Vereinbarungen kritische Funktionen betreffen, was jede einzelne erfordert und wo Ihr Risiko liegt.
Regulierte Unternehmen – Wertpapierinstitute (ESI), Verwaltungsgesellschaften, Zahlungsinstitute und Kreditinstitute – bauen ihren Betrieb heute auf Dritten auf: Technologie, Backoffice, Verwaltung, Kontrollfunktionen. Die Vorschriften verbieten das nicht; sie knüpfen es an Bedingungen. Der Rahmen von MiFID II, die Delegierte Verordnung (EU) 2017/565 und in Spanien das Gesetz 6/2023 und das Königliche Dekret 813/2023 legen die Spielregeln für kritische oder wichtige Funktionen fest, und die Verordnung (EU) 2022/2554 (DORA) fügt seit Januar 2025 ein eigenes Regime für IKT-Dienstleister hinzu. Der Grundsatz, der alles andere ordnet: Die Aufgabe wird delegiert, die Verantwortung nie.
Eine Funktion ist kritisch oder wichtig, wenn ihr Ausfall die dauerhafte Einhaltung der Zulassungsbedingungen, die finanziellen Ergebnisse oder die Solidität und Kontinuität der Dienstleistungen ernsthaft gefährden würde. Die Einstufung ist keine Rhetorik: Sie löst das verschärfte Regime aus – Vertrag mit Mindestinhalt, verstärkte Kontrolle, gegebenenfalls Meldung an die Aufsichtsbehörde und Ausstiegsplan – und erklärt, warum die erste Kontrolle jedes Outsourcing-Programms eine Einstufung nach schriftlichen Kriterien ist. Bei einem Unternehmen im Zulassungsverfahren muss zudem die Aufteilung zwischen eigenen und ausgelagerten Mitteln zum Geschäftsplan passen: Eine ausgehöhlte Struktur besteht die Prüfung ausreichender Mittel nicht.
Vier Bedingungen tragen jede ernsthafte Auslagerung. Ein schriftlicher Vertrag mit Service-Levels, Zugangs-, Informations- und Prüfungsrechten – für das Unternehmen, seine Prüfer und die Aufsichtsbehörde –, Datenregelung, geregelter Unterauslagerung, Kontinuität und Ausstieg. Wirksame Kontrolle: Indikatoren, Monitoring, Vorfälle und tatsächlich durchgeführte Prüfungen, denn die Aufsichtsbehörde bewertet, was Sie während der Laufzeit der Vereinbarung tun, nicht nur, was Sie unterschrieben haben. Unveränderte Verantwortung: Das Unternehmen und sein Leitungsorgan haften, als wäre die Funktion intern, was eine echte Fähigkeit zur Überwachung des Dienstleisters voraussetzt. Und ein Ausstiegsplan für das Kritische: Szenarien für Rückführung oder Wechsel mit Verantwortlichen, Zeitrahmen und identifizierten Alternativen.
Das Risiko wächst stromabwärts: Ihr Dienstleister delegiert an einen anderen, dieser an einen Dritten, und das Unternehmen verliert den Überblick, wer was von wo aus verarbeitet. Ein gut aufgesetzter Vertrag regelt, ob Unterauslagerung zulässig ist, unter welchen Bedingungen und mit welcher Informationspflicht, und erstreckt die Zugangs- und Prüfungsrechte auf die relevanten Subunternehmer. Parallel dazu werden Auslagerungen kritischer oder wichtiger Funktionen der Aufsichtsbehörde nach Maßgabe der Vorschriften für die jeweilige Art von Unternehmen gemeldet. Die Faustregel, die wir bei unseren Mandanten anwenden, ist einfach: Wenn die Auslagerung Ihre Ausstattung verändert, sollte die Aufsichtsbehörde es besser von Ihnen erfahren als bei einer Prüfung.
Seit Januar 2025 legt DORA über das allgemeine Regime ein vollständiges Technologiekapitel: Management des IKT-Drittparteienrisikos, ein Informationsregister mit allen Vereinbarungen mit IKT-Dienstleistern – unterstützte Funktionen, Kritikalität und Subunternehmerketten – und verpflichtende Vertragsklauseln (Art. 30) für Verträge, die kritische oder wichtige Funktionen unterstützen. Bei vielen Unternehmen hat die DORA-Umsetzung das tatsächliche Ausmaß ihrer technologischen Abhängigkeit offengelegt: Cloud-Verträge ohne Prüfungsrechte, undurchsichtige Ketten und unmögliche Ausstiege. Unser Team verbindet die Vertragsprüfung mit dem Aufbau des Registers und seiner Einbindung in die Risikolandkarte: Sie finden das in unseren DORA-Leistungen, unterstützt durch die Kontroll- und Risikofunktion und die interne Revision.
Maßgebliche Vorschriften, mit Link zum amtlichen Text:
Vorschriften und Links im geprüft.