Ein einzelner Dienstleister erbringt mehrere kritische IKT-Dienstleistungen für das Institut.
Beispiel: Cloud-Plattform als Single-Provider für Compute, Storage und Datenbank
IKT-Drittparteienrisiko · Konzentrationsrisiken
Konzentrationsrisiken analysieren und steuern
DORA Art. 29 Abs. 3 verpflichtet Institute, Konzentrationsrisiken auf IKT-Drittdienstleisterebene zu identifizieren, zu bewerten und zu steuern.
Management-Zusammenfassung
- Konzentrationsrisiken entstehen, wenn mehrere kritische Dienstleistungen vom gleichen Dienstleister, aus der gleichen Region oder Technologieplattform abhängen.
- Die Analyse muss mindestens jährlich auf Dienstleister-, Branchen-, Regional- und Technologieebene durchgeführt werden.
- Identifizierte Konzentrationen sind mit Maßnahmenplänen zu versehen und dem Leitungsorgan zu berichten.
- Die Ergebnisse fliessen in die gesamtinstitutische Risikobewertung und das Auslagerungsmanagement ein.
Wenige Dienstleister dominieren den Markt für eine spezifische IKT-Dienstleistung.
Beispiel: Zwei Anbieter decken 90 Prozent des SaaS-Marktes für Kernbankanwendungen
Dienstleister sind in derselben geografischen Region konzentriert.
Beispiel: Rechenzentren mehrerer Dienstleister stehen im gleichen Ballungsraum
Verschiedene Dienstleister nutzen dieselbe Basistechnologie.
Beispiel: Mehrere SaaS-Anbieter setzen auf dieselbe Cloud-Infrastruktur
Maßnahmen bei identifizierten Konzentrationsrisiken
- Diversifikation: Aufbau alternativer Dienstleisterbeziehungen oder interner Kapazitäten.
- Vertragliche Absicherung: Stärkere Exit-Rechte und verlängerte Übergangsfristen.
- Technische Entkopplung: Standardisierte Schnittstellen und Datenportabilität sicherstellen.
- Monitoring: Verstärkte Überwachung konzentrationsrelevanter Dienstleister.
- Reporting: Jährliche Berichterstattung an das Leitungsorgan über Konzentrationsrisiken und Maßnahmen.