Vollständige Leistungsbeschreibung
Art, Umfang, Qualität und Ort der IKT-Dienstleistung sind eindeutig beschrieben.
IKT-Drittparteienrisiko · Vertragsanforderungen
Vertragsanforderungen nach DORA
DORA Art. 28 Abs. 2 definiert Mindestinhalte für Verträge mit IKT-Drittdienstleistern. Diese Seite strukturiert die Anforderungen in einen prüfbaren Klauselkatalog.
Management-Zusammenfassung
- DORA Art. 28 Abs. 2 fordert spezifische Vertragsklauseln zu Leistungsbeschreibung, Sicherheit, Meldepflichten, Kontrollrechten, Unterauftragnehmern, Kündigung und Exit.
- Verträge mit kritischen IKT-Drittdienstleistern müssen vollständig geprüft und nachgebessert werden.
- Ein standardisierter Klauselkatalog und ein Abweichungsregister ermöglichen eine konsistente Vertragsprüfung.
- Die Vertragsanforderungen gelten für Neuverträge und wesentliche Änderungen sowie nachlaufend für Bestandsverträge.
Sicherheitsanforderungen
Informationssicherheitsmaßnahmen des Dienstleisters sind festgelegt inkl. Verschlüsselung, Zugriffsschutz und Patch-Management.
Meldepflichten bei Vorfällen
Der Dienstleister verpflichtet sich zur unverzüglichen Meldung von IKT-Vorfällen mit Auswirkung auf das Institut.
Kontroll- und Auditrechte
Das Institut oder beauftragte Dritte haben das Recht auf Vor-Ort-Prüfungen und Einsichtnahme in relevante Unterlagen.
Unterauftragnehmerregelung
Der Dienstleister muss wesentliche Unterauftragnehmer offenlegen. Änderungen bedürfen der Zustimmung.
Kündigungs- und Exit-Rechte
Das Institut kann den Vertrag bei wesentlichen Änderungen, Sicherheitsverletzungen oder Kontrollverweigerung kündigen.
Prüfprozess
- Klauselkatalog mit allen DORA-Mindestanforderungen erstellen und mit Rechtsabteilung abstimmen.
- Bestandsverträge auf Klausellücken prüfen und priorisierte Nachbesserung planen.
- Abweichungen von Pflichtklauseln dokumentieren und managementseitig freigeben.
- Neuwerträge nur mit vollständigem Klauselsatz freigeben.
- Regelmäßige Stichprobenprüfung der Vertragskonformität durchführen.