Abgrenzung Auslagerungsregister / Informationsregister und neue Meldeanforderungen am 04.04.2025

Die Anforderungen an das Führen von Auslagerungsregister (MaRisk) und Informationsregister (DORA) sowie die Meldeanforderungen zum 11.04.2025 stellen die betroffenen Institute vor große Herausforderungen, da sich eine klare Abgrenzung und Steuerung in der Auslagerungspraxis oft schwierig gestaltet. Insbesondere bei der laufenden Verwaltung von Auslagerungen, Fremdbezügen und IKT-Drittdienstleistungen. Hier ergeben sich häufig Schwierigkeiten bei der Risikoanalyse und der Einwertung der Analyse- Ergebnisse. Ebenso problematisch ist oft die Bewertung der Ersetzbarkeit (Exit!) des Dienstleisters durch alternative Dienstleister und eine Einschätzung der Zeitkritikalität der ausgelagerten Prozesse. 

Alle wesentlichen Weiterverlagerungen bzw. Unterauftragsvergaben und wichtigen Sub-Dienstleistungen sind zu erfassen. Auslagerungsregister und Informationsregister sind auf Verlangen der Aufsichtsbehörden zugänglich zu machen. 

Bei Cloud-Dienstleistungen bestehen zusätzliche Dokumentationspflichten. Oft besteht in den Instituten jedoch kein einheitlicher Prozess zur Aktualisierung der bestehenden Verträge / SLAs und bestehende Auslagerungsvereinbarungen sind unvollständig bzgl. messbarer Leistungs- und Qualitätsvorgaben sowie der konkreten Festlegung von ISM- / BCM-Vorgaben, IT-Notfallplanung oder Prüfrechten.