Prüfprogramm DORA: IKT-Drittparteienrisiko.
Wie Sie prüfen, ob ein Finanzunternehmen die Risiken aus IKT-Dienstleistern steuert: Strategie, Informationsregister, vorvertragliche Bewertung, Vertragsinhalte und Ausstieg.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob das Finanzunternehmen das Risiko aus der Nutzung von IKT-Dienstleistern als Teil seines IKT-Risikomanagements steuert und die Verantwortung für die Einhaltung seiner Pflichten behält. Im Mittelpunkt stehen Strategie, Informationsregister, Auswahl, Vertragsgestaltung, laufende Überwachung und Ausstiegsplanung.
Geltungsbereich
- Alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, mit Schwerpunkt auf Dienstleistungen für kritische oder wichtige Funktionen
- Einkauf, Vertragsmanagement, Informationssicherheit, Fachbereiche und Leitung als Beteiligte des Prozesses
- Unternehmen im Anwendungsbereich der Verordnung (EU) 2022/2554; die Anwendbarkeit und die Verhältnismäßigkeit klären Sie vorab
- Nicht Gegenstand: die Aufsicht über kritische IKT-Drittdienstleister durch die europäischen Aufsichtsbehörden
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Die Verantwortung für das Drittparteienrisiko liegt beim Finanzunternehmen und ist Teil des IKT-Risikomanagementrahmens. | DORA Art. 28 Abs. 1 | Rahmenwerk und Zuständigkeiten lesen, Rollen für Steuerung, Überwachung und Eskalation von Dienstleisterbeziehungen feststellen. | IKT-Risikomanagementrahmen, Rollenbeschreibungen, Organigramm |
| 2 | Eine Strategie für das IKT-Drittparteienrisiko besteht, enthält eine Leitlinie zu Diensten für kritische oder wichtige Funktionen und wird regelmäßig überprüft; das Leitungsorgan überprüft die Risiken aus den Verträgen regelmäßig. | DORA Art. 28 Abs. 2 | Strategie und Leitlinie auf Freigabe, Aktualität und Inhalte prüfen und die Behandlung im Leitungsorgan nachvollziehen. | Strategie, Leitlinie, Beschlüsse und Protokolle des Leitungsorgans |
| 3 | Ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen wird geführt und ist vollständig. | DORA Art. 28 Abs. 3 | Register mit Vertragsverzeichnis, Kreditorenliste und Einkaufsdaten abgleichen und fehlende Dienstleister ermitteln. | Informationsregister, Vertragsverzeichnis, Kreditorenstammdaten |
| 4 | Verträge zu kritischen oder wichtigen Funktionen sind im Register nachvollziehbar gekennzeichnet. | DORA Art. 28 Abs. 3 | Methodik der Einstufung lesen und für eine Stichprobe von Dienstleistungen die Einstufung gegenprüfen. | Einstufungsmethodik, Register mit Kennzeichnung, Bewertungsunterlagen |
| 5 | Das Register wird aktuell gehalten, auf Anforderung bereitgestellt und neue oder geänderte Vereinbarungen für kritische Funktionen werden der Aufsicht rechtzeitig gemeldet. | DORA Art. 28 Abs. 3 | Pflegeprozess, letzte Aktualisierung und Meldungen an die Aufsicht ansehen und Fristen mit den Vorgaben abgleichen. | Prozessbeschreibung, Änderungshistorie des Registers, Meldungen an die Aufsicht |
| 6 | Vor Vertragsabschluss wird bewertet, ob eine kritische oder wichtige Funktion betroffen ist, welche Risiken bestehen und ob Interessenkonflikte vorliegen. | DORA Art. 28 Abs. 4 | Aus den Verträgen des letzten Jahres eine Stichprobe wählen und die vorvertragliche Bewertung samt Sorgfaltsprüfung durchgehen. | Bewertungen vor Vertragsabschluss, Ergebnisse der Sorgfaltsprüfung, Genehmigungen |
| 7 | Konzentrationsrisiken durch einzelne Dienstleister oder durch verbundene Dienstleister werden bewertet. | DORA Art. 28 Abs. 4, Art. 29 | Bewertungsmethodik und letzte Auswertung ansehen und prüfen, ob Abhängigkeiten von einzelnen Anbietern und Standorten erkannt sind. | Konzentrationsanalyse, Abhängigkeitsübersicht, Ergebnisse für die Leitung |
| 8 | Verträge werden nur mit Anbietern geschlossen, die angemessene Standards der Informationssicherheit erfüllen. | DORA Art. 28 Abs. 5 | Für eine Stichprobe die Nachweise des Anbieters, etwa Zertifikate oder Prüfberichte, einsehen und die Bewertung dazu prüfen. | Zertifikate, Prüfberichte, Bewertung der Nachweise |
| 9 | Verträge enthalten die für alle IKT-Dienstleistungen vorgesehenen Mindestbestandteile. | DORA Art. 30 Abs. 2 | Aus Art. 30 Abs. 2 eine Prüfliste ableiten und eine Stichprobe von Verträgen damit abgleichen. | Verträge mit Anlagen, ausgefüllte Prüfliste |
| 10 | Verträge über Dienstleistungen für kritische oder wichtige Funktionen enthalten die zusätzlichen Bestimmungen. | DORA Art. 30 Abs. 3 | Die Stichprobe auf die zusätzlichen Vorgaben für diese Verträge prüfen, darunter Leistungsziele, Notfallpläne und Ausstiegsregelungen. | Verträge, Leistungsvereinbarungen, Prüfliste für kritische Funktionen |
| 11 | Zugangs-, Informations- und Prüfrechte sind vereinbart; Häufigkeit und Umfang der Prüfungen beim Anbieter richten sich nach dem Risiko. | DORA Art. 28 Abs. 6; Art. 30 Abs. 3 lit. e | Prüfplan für Dienstleister ansehen, durchgeführte Prüfungen und Ergebnisse nachvollziehen. | Prüfplan für Dienstleister, Berichte, Maßnahmenverfolgung |
| 12 | Kündigungsrechte für die vorgesehenen Fälle sind vertraglich vereinbart und die Ausübung ist organisiert. | DORA Art. 28 Abs. 7 | Kündigungsklauseln in der Stichprobe prüfen und erfragen, wer über die Ausübung entscheidet. | Vertragsklauseln, Entscheidungsprozess |
| 13 | Für Dienstleistungen zu kritischen oder wichtigen Funktionen bestehen dokumentierte, getestete und regelmäßig überprüfte Ausstiegsstrategien. | DORA Art. 28 Abs. 8 | Ausstiegspläne lesen, Testnachweise und Übergangspläne für Daten und Dienste prüfen. | Ausstiegspläne, Testprotokolle, Übergangskonzepte |
| 14 | Die Leistung und die Sicherheitsvorfälle bei Dienstleistern werden laufend überwacht und berichtet. | DORA Art. 30 Abs. 3 lit. a und b | Regelberichte und Dienstgüteauswertungen der letzten zwölf Monate ansehen und die Reaktion auf Abweichungen verfolgen. | Leistungsberichte, Vorfallmeldungen, Maßnahmenlisten |
Unterlagen zur Anforderung
- Strategie und Leitlinie für das IKT-Drittparteienrisiko
- Informationsregister mit Änderungshistorie
- Vertragsverzeichnis, Kreditorenliste und Liste der Dienstleister für kritische oder wichtige Funktionen
- Stichprobe von Verträgen mit Anlagen und Leistungsvereinbarungen
- Vorvertragliche Bewertungen, Sorgfaltsprüfungen und Konzentrationsanalysen
- Prüfplan und Prüfberichte zu Dienstleistern
- Ausstiegspläne mit Testnachweisen
- Berichte und Beschlüsse des Leitungsorgans zum Thema
Typische Feststellungen
- Das Register ist unvollständig, weil Verträge außerhalb des zentralen Einkaufs geschlossen wurden.
- Die Einstufung kritischer oder wichtiger Funktionen ist nicht begründet oder nicht einheitlich.
- Vorvertragliche Bewertungen fehlen für bestehende Verträge und wurden bei Verlängerungen nicht nachgeholt.
- Bestehende Verträge enthalten nicht alle Mindestbestandteile, etwa zu Unterauftragnehmern oder Datenrückgabe.
- Ausstiegspläne bestehen auf dem Papier, wurden aber nie getestet.
- Konzentrationsrisiken sind nicht ausgewertet, obwohl mehrere Dienste beim selben Anbieter laufen.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen
Abdeckung der Revisionsstandards Produkt im Überblick