ICT-Drittparteienrisiko und Register of Information, prüffähig aufgesetzt
Ihre kritischen IT-Dienste liegen heute bei Dritten: Cloud, SaaS, Hosting, gemanagte Dienste. DORA verlangt dafür ein Register of Information über alle ICT-Drittparteien, klare Vertragsklauseln und Exit-Strategien. Die FINMA fordert bei wesentlichem Outsourcing nach RS 2018/03 vergleichbare Sorgfalt. Wir bauen das Register auf, klassifizieren kritische und wichtige Funktionen und machen Ihr Drittparteienrisiko prüffähig.
DORA-Säule 4 · Register of InformationFINMA RS 2018/03 OutsourcingDE · FR · EN
Was DORA und die FINMA zu ICT-Drittparteien verlangen
Ausgelagerte IT bleibt Ihre Verantwortung. DORA macht das Management von ICT-Drittparteien zu einer eigenen Säule, die FINMA verlangt bei wesentlichem Outsourcing vergleichbare Sorgfalt. Ob und wie DORA für Ihr Institut direkt oder indirekt gilt, prüfen wir im Einzelfall.
Die meisten Finanzinstitute beziehen ihre wichtigsten IT-Leistungen heute von Dritten. Damit verlagert sich ein erheblicher Teil des operationellen Risikos nach aussen, ohne dass die regulatorische Verantwortung mitwandert. Aufsicht und Gesetzgeber haben darauf reagiert, indem sie das Drittparteienrisiko zu einer eigenständigen Pflicht erhoben haben.
DORA bündelt diese Anforderungen in einer eigenen Säule zum Management des ICT-Drittparteienrisikos. Kern ist ein vollständiges Register aller vertraglichen Vereinbarungen über ICT-Dienstleistungen, das Register of Information. Hinzu kommen Pflichten zu Vertragsinhalten, zur Einstufung kritischer oder wichtiger Funktionen, zum Konzentrationsrisiko, zur Unterauftragsvergabe sowie zu Audit- und Zugangsrechten und Exit-Strategien. Für Schweizer Institute gilt DORA meist indirekt, etwa über EU-Niederlassungen, Tochtergesellschaften oder Verträge mit EU-regulierten Finanzunternehmen. Direkt oder indirekt prüfen wir je Institut.
Die FINMA verlangt parallel nach dem Rundschreiben 2018/03 Outsourcing eine vergleichbare Sorgfalt. Wesentliche Auslagerungen müssen als solche erkannt, dokumentiert und vertraglich abgesichert sein, die Verantwortung des Instituts bleibt bestehen, Datenschutz und Prüfbarkeit müssen gewahrt sein. Das Rundschreiben ist in Kraft. Wo sich DORA-Register und FINMA-Outsourcing-Dokumentation überschneiden, führen wir sie zusammen, statt zwei getrennte Welten zu pflegen.
Register of Information über alle vertraglichen Vereinbarungen mit ICT-Drittparteien, vollständig und gepflegt
Einstufung, welche Dienste eine kritische oder wichtige Funktion unterstützen, mit höheren Anforderungen für diese
Vertragliche Mindestinhalte: Leistungsbeschreibung, Service Levels, Audit- und Zugangsrechte, Unterauftragsregeln, Kündigungs- und Exit-Bestimmungen
Steuerung des Konzentrationsrisikos, wenn viele kritische Dienste bei wenigen Anbietern liegen
Überblick über die Unterauftragskette und die Bedingungen, unter denen ein Anbieter weiter auslagern darf
Dokumentierte Exit-Strategien für kritische Funktionen, damit ein Anbieterwechsel oder Rückzug geordnet möglich bleibt
Erkennung und Absicherung wesentlicher Auslagerungen nach FINMA RS 2018/03, mit gewahrtem Datenschutz und gewahrter Prüfbarkeit
So bauen wir Ihr Drittparteienrisiko-Management auf
Wir starten beim Register und enden bei einem laufenden Prozess. Aus einer Liste von Verträgen wird eine prüffähige Steuerung, die Konzentrationsrisiko, Subunternehmer und Exit-Pläne abdeckt. Das Register pflegen wir in der Priverion-Plattform.
Zuerst erfassen wir Ihre ICT-Drittparteien vollständig und bauen das Register of Information so auf, dass es den DORA-Vorgaben entspricht und zugleich die FINMA-Outsourcing-Dokumentation trägt. Wir inventarisieren die Verträge, ordnen jeden Dienst der unterstützten Geschäftsfunktion zu und klassifizieren, welche eine kritische oder wichtige Funktion betreffen. Diese Einstufung bestimmt, wie streng die weiteren Anforderungen ausfallen.
Anschliessend prüfen wir Ihre bestehenden Verträge gegen die geforderten Mindestinhalte und entwerfen oder verbessern die fehlenden Klauseln: Audit- und Zugangsrechte, Unterauftragsregeln, Service Levels, Sicherheits- und Meldepflichten sowie Kündigungs- und Exit-Bestimmungen. Für kritische Funktionen erarbeiten wir dokumentierte Exit-Strategien, damit ein Anbieterwechsel oder ein Rückzug geordnet und ohne Betriebsunterbruch möglich bleibt.
Damit das Drittparteienrisiko dauerhaft beherrschbar bleibt, richten wir den TPRM-Prozess ein: Aufnahme neuer Anbieter mit Risikobeurteilung, regelmässige Überprüfung bestehender, Behandlung von Subunternehmern und ein Blick auf das Konzentrationsrisiko, wenn viele kritische Dienste bei wenigen Anbietern liegen. So entsteht aus der einmaligen Aufnahme eine wiederkehrende Steuerung.
Das Register of Information, die Klassifizierungen, die Vertragsnachweise und die Exit-Pläne führen wir in der Priverion-Plattform, der Schweizer Compliance-Management-Software. Fragt Ihr Prüfteam, die interne Revision oder die FINMA nach, liegt der Nachweis gepflegt und exportierbar bereit. Wo operative Tests gefragt sind, etwa Pentests oder Schwachstellenscans bei einem Anbieter, deckt das unser eigenes Technik-Team ab.
Warum SIDD für Ihr ICT-Drittparteienrisiko
Drittparteienrisiko ist halb Vertrag und halb Technik. Genau diese Kombination decken wir aus einer Hand ab, rechtlich geführt und technisch gestützt.
Recht und Technik aus einer Hand
Vertragsklauseln, Exit-Pläne und die FINMA-Outsourcing-Logik führen promovierte Juristinnen und Juristen, die Risikobeurteilung der Anbieter und die technische Prüfung ein eigenes Technik-Team unter einem ISO-27001-Lead-Auditor. So passen rechtliche und technische Anforderungen im Register zusammen.
Ein Register für DORA und FINMA
Statt zwei getrennter Dokumentationen führen wir das Register of Information so, dass es zugleich die FINMA-Outsourcing-Anforderungen nach RS 2018/03 trägt. Sie pflegen die Drittparteien einmal und bedienen damit beide Welten.
Konzentrationsrisiko im Blick
Wir machen sichtbar, wo viele kritische Dienste bei wenigen Anbietern oder in einer einzigen Cloud-Region liegen, und schlagen Massnahmen vor. So wird ein stilles Klumpenrisiko zu einer bewussten, dokumentierten Entscheidung.
Mehrsprachig & unabhängig
Wir verhandeln Anbieterverträge in Deutsch, Französisch und Englisch, relevant für Institute in CH und EU und ihre internationalen Provider. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen zu Anbietern unabhängig.
Prüffähige Nachweise im Tooling
Register of Information, Klassifizierungen, Vertragsnachweise und Exit-Pläne pflegen wir in der Priverion-Plattform. Fragen interne Revision oder die FINMA nach, liegt der Nachweis gepflegt und exportierbar vor.
Festpreis-Einstieg
Sie starten mit einem fixpreisigen Aufbau des Register of Information samt TPRM-Setup und entscheiden danach über einen laufenden Betrieb. So bleibt der Einstieg planbar, bevor Sie sich auf ein Retainer-Mandat festlegen.
Zwei Wege zu einem beherrschten Drittparteienrisiko
Register of Information & TPRM-Setup
Festpreis
Der einmalige Aufbau Ihres Drittparteienrisiko-Managements, vom vollständigen Register bis zum laufenden Prozess.
Register of Information über alle ICT-Drittparteien, DORA-konform und FINMA-tauglich, in der Priverion-Plattform
Klassifizierung kritischer und wichtiger Funktionen je Dienst, mit nachvollziehbarer Begründung
Gap-Analyse der bestehenden Verträge gegen die geforderten Mindestinhalte und gegen FINMA RS 2018/03
Entwurf oder Verbesserung von Vertragsklauseln und dokumentierte Exit-Strategien für kritische Funktionen
Aufgesetzter TPRM-Prozess mit Anbieter-Onboarding, Konzentrationsrisiko-Sicht und Subunternehmer-Behandlung
Der laufende Betrieb: jemand, der das Register pflegt, neue Anbieter beurteilt und das Drittparteienrisiko prüffähig hält.
Laufende Pflege des Register of Information und der Klassifizierungen in der Priverion-Plattform
Risikobeurteilung neuer Anbieter und periodische Überprüfung der bestehenden
Überwachung von Konzentrationsrisiko und Unterauftragsketten, mit Massnahmenvorschlägen
Verhandlung und Aktualisierung von Anbieterverträgen in DE, FR oder EN
Ansprechpartner für interne Revision und FINMA-Fragen zum Drittparteienrisiko
LexCMD
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihr Register of Information: LexCommand entwirft Vertragsklauseln, Ausstiegspläne und das Informationsregister als nachverfolgbare Vorlagen mit Fundstellen und legt die Pflichten aus den DORA-Drittparteienregeln und FINMA-RS 2018/03 nebeneinander, sodass kritische Auslagerungen belegbar abgedeckt sind.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Gilt DORA überhaupt für unser Schweizer Institut?
DORA gilt in der EU seit dem 17. Januar 2025. Für Schweizer Institute greift es meist indirekt, etwa über EU-Niederlassungen, Tochtergesellschaften oder über Verträge mit EU-regulierten Finanzunternehmen, die ihre Anforderungen an Sie weitergeben. Ob es Sie direkt oder indirekt trifft, hängt von Ihrer Struktur und Ihren Geschäftsbeziehungen ab. Wir prüfen das im Einzelfall, bevor wir den Aufwand festlegen.
Was gehört alles in das Register of Information?
Das Register erfasst sämtliche vertraglichen Vereinbarungen über ICT-Dienstleistungen, also nicht nur die grosse Cloud, sondern auch SaaS, Hosting, gemanagte Dienste und vergleichbare Bezüge. Zu jedem Eintrag gehören unter anderem der Anbieter, die bezogene Leistung, die unterstützte Geschäftsfunktion, ob diese kritisch oder wichtig ist, sowie Angaben zur Unterauftragskette. Wir bauen es so auf, dass es vollständig und pflegbar bleibt.
Wie hängt das mit der FINMA-Outsourcing-Pflicht zusammen?
Das FINMA-Rundschreiben 2018/03 Outsourcing verlangt für wesentliche Auslagerungen, dass diese erkannt, dokumentiert und vertraglich abgesichert sind, dass die Verantwortung des Instituts bestehen bleibt und dass Datenschutz und Prüfbarkeit gewahrt sind. Das Rundschreiben ist in Kraft. Inhaltlich überschneidet es sich stark mit den DORA-Anforderungen, deshalb führen wir ein Register, das beide Pflichten bedient, statt zwei getrennte zu pflegen.
Was bedeutet eine kritische oder wichtige Funktion?
Es geht um die Frage, wie stark Ihr Geschäft leidet, wenn der Dienst ausfällt oder mangelhaft erbracht wird. Unterstützt ein ICT-Dienst eine Funktion, deren Ausfall Ihre Geschäftstätigkeit, Ihre regulatorischen Pflichten oder die Finanzstabilität spürbar beeinträchtigt, gilt diese als kritisch oder wichtig. Für solche Dienste gelten höhere Anforderungen an Vertrag, Audit-Rechte und Exit. Wir nehmen die Einstufung nachvollziehbar vor und dokumentieren die Begründung.
Müssen wir alle Anbieterverträge neu verhandeln?
Nein, nicht pauschal. Wir priorisieren nach Kritikalität. Verträge zu kritischen und wichtigen Funktionen prüfen wir zuerst gegen die geforderten Mindestinhalte und schliessen die wichtigsten Lücken bei Audit-Rechten, Unterauftrag und Exit. Weniger kritische Dienste arbeiten wir schrittweise nach. So binden Sie Ihre Verhandlungskraft dort, wo das Risiko liegt.
Übernehmen Sie auch technische Prüfungen unserer Anbieter?
Ja, im Rahmen unserer bestehenden Leistungen. Pentests und Schwachstellenscans führt unser eigenes Technik-Team durch, etwa um die Sicherheit eines kritischen Anbieters oder einer Schnittstelle zu belegen. Ein durchgehend gemanagtes 24/7-Monitoring oder eine Live-Incident-Response betreiben wir nicht, das koordinieren wir bei Bedarf mit spezialisierten Partnern, damit unsere Beratung unabhängig bleibt.
Passende nächste Schritte
Ihr Drittparteienrisiko hängt eng mit der FINMA- und DORA-Governance und mit Quellcode-Hinterlegung zusammen:
Bereit, Ihr ICT-Drittparteienrisiko prüffähig zu machen?
Wir bauen Ihr Register of Information auf, klassifizieren kritische und wichtige Funktionen, schliessen Vertragslücken und setzen den TPRM-Prozess auf, ein Register für DORA und FINMA.
