Das DORA-Informationsregister, ohne bei der Tabellenkalkulation anzufangen
Von HodeitekVeröffentlicht
Wenn Sie CISO eines Finanzunternehmens sind und das DORA-Informationsregister ohne eigenes Team für Drittparteien-Engineering vorlegen sollen, zeigt dieser Leitfaden die Reihenfolge der Arbeit und was Sie entscheiden sollten, bevor Sie eine Vorlage öffnen.
Was genau verlangt wird
DORA ist die Verordnung (EU) 2022/2554 und gilt seit dem 17. Januar 2025. Artikel 28 Absatz 3 verpflichtet das Finanzunternehmen, ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen durch Drittanbieter zu führen und zu aktualisieren.
Das Format wird nicht frei gewählt: Die Durchführungsverordnung (EU) 2024/2956 legt die Standardvorlagen des Registers fest. Es sind 15 Vorlagen, deshalb behandelt man das Register besser als Datenbestand denn als Dokument.
Wo man am Montag beginnt
Bevor Sie etwas ausfüllen, ordnen Sie, was Sie schon haben. Vier Entscheidungen ersparen den größten Teil der Nacharbeit.
- Listen Sie jeden Vertrag auf, in dem ein Dritter einen IKT-Dienst erbringt, nicht nur die technischen: auch den Gehaltsabrechnungs- oder den Dokumentenverwahrungsanbieter.
- Legen Sie fest, wer jeden Vertrag verantwortet. Ohne Verantwortlichen aktualisiert niemand die Daten.
- Erfassen Sie für jeden Anbieter LEI und Rechtsordnung. Diese Felder wiederholen sich in mehreren Vorlagen.
- Halten Sie am selben Ort fest, ob ein Ausstiegsplan und ein Prüfrecht bestehen, zwei der Klauseln, die Artikel 30 für Verträge vorsieht.
So sieht die Klauselprüfung aus
Drei erfundene Anbieter, um zu zeigen, welche Angaben je Vertrag verlangt werden. Es sind weder reale Unternehmen noch Daten eines Kunden.
| Anbieter | Dienst | Ausstiegsplan | Prüfrecht |
|---|---|---|---|
| Anbieter A | Cloud-Hosting | Ja | Ja |
| Anbieter B | Zahlungsgateway | Ja | Nein |
| Anbieter C | Dokumentenverwahrung | Nein | Nein |
Was HodeiShield leistet und was nicht
HodeiShield führt Anbieter, Verträge und Konzentration in einem Register und kann das Informationsregister als xBRL-CSV-Paket mit der Struktur der 15 Vorlagen erzeugen. Es erfasst LEI und Rechtsordnung je Anbieter und verfolgt Ausstiegsplan und Prüfrecht nach Artikel 30.
Das ist eine Teilfunktion: Der Export wird noch vervollständigt. Es reicht nichts bei der Aufsicht ein und ersetzt keine rechtliche Prüfung. Die Einreichung über den offiziellen Kanal bleibt Sache des Unternehmens.
Quellen
Sehen Sie das Register mit Ihren eigenen Lieferanten
In einer Demo gehen wir das Register der IKT-Anbieter, die Klauseln und das Beispielpaket mit Beispieldaten durch. Eine Person bei Hodeitek antwortet Ihnen.