Das DORA-Informationsregister aufbauen, ohne sechs Monate zu verlieren
Unter allen von DORA eingeführten Anforderungen hat kaum eine so viele praktische Schwierigkeiten bereitet wie das Informationsregister. Auf dem Papier klingt es einfach: eine vollständige Erfassung jeder IKT-Drittpartei, die kritische oder wichtige Funktionen eines Finanzunternehmens unterstützt. In der Praxis haben viele Organisationen festgestellt, dass das Zusammentragen dieser Informationen aus Verträgen, E-Mails und Abteilungstabellen weit länger dauert als erwartet. Dieser Artikel zeigt, was das Register tatsächlich verlangt und wie Sie eines aufbauen, ohne dass es ein halbes Jahr der Zeit Ihres Teams verschlingt.
Was das Register enthalten muss
Das DORA-Informationsregister soll sowohl der Organisation als auch ihrer Aufsichtsbehörde einen klaren, aktuellen Überblick über die Abhängigkeiten von IKT-Drittparteien geben. Für jeden Dienstleister sollte es den Gegenstand der Leistung, den Ort der Speicherung und Verarbeitung relevanter Daten, beteiligte Unterauftragnehmer und eine dokumentierte Exit-Strategie für den Fall der Beendigung der Beziehung erfassen. Dienstleister müssen zudem auf Kritikalität bewertet werden, da für jene, die kritische oder wichtige Funktionen unterstützen, strengere vertragliche und Prüfungsanforderungen gelten.
Aufsichtsbehörden haben bereits signalisiert, dass Lücken im Register zu den ersten Dingen gehören, nach denen sie bei Aufsichtsprüfungen suchen, was dies weit mehr als eine Papierübung macht.
Warum es so lange dauert
Der übliche Engpass liegt nicht im Verständnis der Anforderung, sondern im Auffinden der Informationen. Verträge liegen im Einkauf, technische Details in der IT, und Kritikalitätseinschätzungen existieren oft nur in den Köpfen weniger erfahrener Mitarbeitender. All das manuell zusammenzuführen bedeutet, mehrere Abteilungen nachzufassen, widersprüchliche Datensätze abzugleichen und einen Großteil dieser Arbeit bei jeder Vertragsänderung oder Aufnahme eines neuen Anbieters zu wiederholen.
Ein besser handhabbarer Ansatz
Statt das Register als ein einziges, kräftezehrendes Projekt zu behandeln, hilft es, die Arbeit in Phasen aufzuteilen. Beginnen Sie mit den Dienstleistern, die Ihre kritischsten Funktionen unterstützen, da bei ihnen die regulatorischen und operativen Risiken am größten sind. Erstellen Sie eine einfache, einheitliche Vorlage mit den von DORA geforderten Feldern und wenden Sie sie durchgängig an, statt sie von Fall zu Fall anzupassen. Behandeln Sie das Register dann als lebendes Dokument, das bei jeder Vertragsänderung aktualisiert wird, und nicht als statische Datei, die veraltet, sobald sie fertig ist.
Wer es von Anfang an gut macht, vermeidet außerdem eine häufige Falle: das Register einmal für ein Audit zu erstellen und es dann innerhalb weniger Monate veralten zu lassen, nur um beim nächsten Mal dieselbe Hektik zu erleben.
Wo eine spezialisierte Plattform hilft
Genau diese Art strukturierter, fortlaufender Aufzeichnung wird mit dem richtigen Tool deutlich einfacher. Cynapze führt ein kontinuierlich aktualisiertes Register der Dienstleister, zusammen mit ihren Sicherheitsscores, Kritikalitätsbewertungen und der Behebungshistorie, sodass die von Aufsichtsbehörden geforderten Informationen bereits geordnet vorliegen, statt unter Druck zusammengestellt zu werden. Teams, die dies in Tabellen versucht haben, stellen oft fest, dass der größte Gewinn nicht das Register selbst ist, sondern dass es nicht mehr jedes Mal von Grund auf neu aufgebaut werden muss.
Wenn Ihre Organisation ihr Register noch manuell zusammensetzt, lohnt es sich, zu sehen, wie dieser Prozess mit geeigneten Werkzeugen aussieht. Eine Demo mit Cynapze zu buchen dauert nur wenige Minuten und zeigt genau, wie das Register ohne zusätzlichen manuellen Aufwand aktuell bleibt.
Fazit
Das Informationsregister ist eines der klarsten, konkretesten Ergebnisse, die DORA verlangt, und zugleich eines der am leichtesten zu unterschätzenden. Organisationen, die es als einmaliges Projekt behandeln, wiederholen den Aufwand oft jedes Jahr. Wer es von Anfang an als lebendes Register aufbaut, idealerweise mit einem dafür entwickelten Werkzeug, macht aus einer wiederkehrenden Belastung einen Routinebestandteil des Umgangs mit Drittparteien.
Wenden Sie sich an Cynapze, um zu sehen, wie Ihr Informationsregister mit weit weniger manuellem Aufwand korrekt bleiben kann.
