IKT-Drittparteienrisiko · Exit-Strategien
Exit-Strategien für kritische IKT-Drittdienstleistungen
DORA fordert dokumentierte, realistische und getestete Exit-Strategien für kritische oder wichtige IKT-Drittdienstleistungen.
Management-Zusammenfassung
- Exit-Strategien müssen für jede kritische oder wichtige IKT-Drittdienstleistung dokumentiert sein.
- Sie berücksichtigen Datenrückgabe, Übergangsfristen, Ersatzdienstleister, interne Verantwortlichkeiten und technische Abhängigkeiten.
- Die praktische Umsetzbarkeit wird regelmäßig getestet.
- Exit-Fähigkeit ist ein zentraler Bestandteil der Risikobewertung und des Informationsregisters.
Bestandteile einer Exit-Strategie
- Auslöser und Szenarien für den Exit definieren (Kündigung, Insolvenz, Sicherheitsvorfall, Übernahme).
- Technische Abhängigkeiten (Schnittstellen, Datenformate, Authentisierung) dokumentieren.
- Datenrückgabe und Datenlöschung vertraglich und technisch vorbereiten.
- Übergangsfristen und Migrationsfenster realistisch planen.
- Ersatzdienstleister oder interne Alternativen bewerten.
- Interne Verantwortlichkeiten und Entscheidungswege festlegen.
- Regulatorische Anzeige- und Informationspflichten berücksichtigen.
Test der Exit-Fähigkeit
- Exit-Tests jährlich für jede kritische IKT-Drittdienstleistung durchführen.
- Testszenarien: Datenrückgabe, Systemmigration, Kommunikationswege, Einhaltung von Übergangsfristen.
- Testergebnisse dokumentieren und Schwachstellen identifizieren.
- Nicht bestandene Tests mit Maßnahmen und Fristen versehen.
- Management-Freigabe der Testergebnisse einholen.
- Erkenntnisse in die Weiterentwicklung der Exit-Strategie einfliessen lassen.