Was ist Dienstleistersteuerung?
Dienstleistersteuerung regelt, wie ein Unternehmen externe Anbieter auswählt, vertraglich bindet, überwacht und wieder ablöst. Ihr Grundsatz: Wer Leistungen fremdbezieht, verlagert Tätigkeiten, nicht Pflichten.
Im deutschen Recht steht die Anforderung in § 30 Abs. 2 Satz 2 Nr. 4 BSIG. Die Pflichten für die Lieferkette als Ganzes erläutert der Eintrag Lieferkettensicherheit. Der englische Begriff Third Party Risk Management (TPRM) bezeichnet dieselbe Aufgabe aus der Risikoperspektive.
Welche Regelwerke verlangen Dienstleistersteuerung?
Vier Regelwerke verlangen eine gesteuerte Beziehung zu Dienstleistern, jedes für seinen Anwendungsbereich:
| Regelwerk | Fundstelle | Anforderung |
|---|---|---|
| NIS2 | Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 Buchst. d; § 30 Abs. 2 Satz 2 Nr. 4 BSIG | Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern |
| DORA | Verordnung (EU) 2022/2554, Kapitel V Abschnitt I, Art. 28 bis 30 | Steuerung des IKT-Drittparteienrisikos, Informationsregister, vertragliche Mindestinhalte |
| DSGVO | Art. 28 der Verordnung (EU) 2016/679 | Auswahl von Auftragsverarbeitern nach hinreichenden Garantien, Vertrag mit festgelegten Inhalten |
| ISO/IEC 27001 | Anhang A 5.19 bis 5.22 | Lieferantenbeziehungen von den Sicherheitsanforderungen über den Vertrag bis zur Überwachung |
Die Anforderungen unterscheiden sich im Detail, nicht im Grundgedanken: nachvollziehbare Auswahl, klare vertragliche Grundlage, laufende Überwachung, geordneter Ausstieg.
Der unmittelbare Anbieter ist der Hebel, nicht die Grenze
§ 30 Abs. 2 Satz 2 Nr. 4 BSIG verlangt die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Geschuldet ist die Sicherheit der Lieferkette; die Beziehung zum unmittelbaren Anbieter ist ausdrücklich Teil davon, nicht ihre Grenze. Tiefere Stufen erreichen Sie über den direkten Vertragspartner, indem Sie Anforderungen, Informationspflichten und Prüfrechte vertraglich weiterreichen lassen.
Was sind die Aufgaben der Dienstleistersteuerung?
Die Aufgaben folgen dem Lebenszyklus einer bezogenen Leistung in fünf Phasen:
- Bedarf und Einstufung: Legen Sie fest, welche Funktion der Dienstleister stützt und wie kritisch sie ist. Diese Einstufung bestimmt die Tiefe aller folgenden Schritte.
- Prüfung vor Vertragsschluss: Prüfen Sie Eignung, Sicherheitsniveau, wirtschaftliche Stabilität, Standorte und Unterauftragnehmer.
- Vertrag: Regeln Sie Leistungspflichten, Sicherheitsanforderungen sowie Informations-, Prüf- und Kündigungsrechte.
- Betrieb und Überwachung: Werten Sie Leistungsdaten, Berichte und Vorfälle aus und verfolgen Sie Änderungen bei Standorten, Unterauftragnehmern oder Eigentümern.
- Beendigung: Führen Sie Daten und Aufgaben nach einer vorbereiteten Exit-Strategie zurück.
Die Kritikalität bestimmt die Prüftiefe
Ein Prüfumfang, der für jeden Lieferanten gleich ist, ist für die kritischen zu dünn oder für die unkritischen zu aufwendig. Die Kritikalität ergibt sich aus vier Merkmalen: der Bedeutung der gestützten Prozesse, der Art der zugänglichen Daten, der Ersetzbarkeit des Anbieters und der Tiefe seines Systemzugriffs. Wie viele Stufen das Unternehmen bildet, legt es selbst fest.
Begründen Sie die Einstufung schriftlich und überprüfen Sie sie wiederkehrend. Übernimmt ein Dienstleister schrittweise weitere Aufgaben, steigt seine Kritikalität, ohne dass jemand darüber entschieden hat.
Was muss vertraglich abgesichert sein?
Der Vertrag ist die Stelle, an der Anforderungen an einen Dienstleister durchsetzbar werden. Sechs Regelungsbereiche gehören hinein:
| Regelungsbereich | Zweck |
|---|---|
| Sicherheitsanforderungen und Nachweise | messbare Anforderungen statt Absichtserklärungen |
| Informationspflicht bei Sicherheitsvorfällen | Sie erfahren rechtzeitig, was Ihre eigenen Meldefristen auslöst |
| Prüf- und Auskunftsrechte | eigene Prüfung oder Vorlage von Berichten Dritter |
| Weiterverlagerung | Zustimmung, Information und Weitergabe der Anforderungen an Unterauftragnehmer |
| Standorte und Datenorte | Grundlage für die rechtliche Bewertung von Verarbeitungen |
| Beendigung und Rückführung | Kündigungsrechte, Mitwirkung, Datenherausgabe in verwertbarer Form |
Die Informationspflicht bei Vorfällen muss zu den eigenen Fristen passen. Die frühe Erstmeldung nach § 32 Abs. 1 Nr. 1 BSIG ist spätestens 24 Stunden nach Kenntniserlangung fällig. Eine vertragliche Meldefrist des Dienstleisters von mehreren Tagen lässt diese Frist leerlaufen.
Überwachung: Nachweise mit Geltungsbereich und eine Entscheidung
Zertifikate und Prüfberichte Dritter sind zulässige Nachweise, tragen aber nur so weit, wie ihr Geltungsbereich reicht. Prüfen Sie deshalb den Geltungsbereich, nicht nur die Existenz des Zertifikats. Ergänzen Sie ihn um Nachweise aus der Zusammenarbeit: eingehaltene Leistungswerte, gemeldete Vorfälle, Bearbeitungszeiten und Ergebnisse von Wiederanlauftests.
Kritische Dienstleister beurteilen Sie zusätzlich selbst, dokumentiert und in festem Turnus. Das Ergebnis löst eine Entscheidung aus: Fortführung, Auflagen oder Ausstieg.
Dienstleistersteuerung und Auslagerung sind nicht dasselbe
Auslagerung ist ein aufsichtsrechtlicher Begriff; für Institute regelt ihn § 25b KWG. Dienstleistersteuerung erfasst dagegen jeden externen Bezug einer Leistung:
| Kriterium | Dienstleistersteuerung | Auslagerung nach § 25b KWG |
|---|---|---|
| Umfang | jeder externe Bezug einer Leistung | Auslagerung von Aktivitäten und Prozessen auf ein anderes Unternehmen |
| Register | nach Bedarf, unter DORA das Informationsregister | Auslagerungsregister mit allen wesentlichen und nicht wesentlichen Auslagerungen (Abs. 1) |
| Vertrag | nach Kritikalität | schriftliche Vereinbarung mit Weisungs- und Kündigungsrechten (Abs. 3) |
| Verantwortung | bleibt beim Auftraggeber | bleibt beim Institut; die Verantwortung der Geschäftsleiter geht nicht über (Abs. 2) |
Jede Auslagerung ist damit ein Fall der Dienstleistersteuerung, aber nicht jeder gesteuerte Dienstleister ist eine Auslagerung. Die Einstufung ist ein eigener, dokumentierter Schritt und gehört nicht allein in den Einkauf, weil sie eine aufsichtsrechtliche Bewertung enthält.
Fünf Stellen, an denen Dienstleistersteuerung reißt
Dienstleistersteuerung reißt an fünf Stellen:
- Der Fachbereich beauftragt ohne Sicherheitsprüfung.
- Der Vertrag regelt Preise ausführlich und Sicherheit in einem Satz.
- Unterauftragnehmer bleiben unbekannt.
- Die Überwachung besteht aus dem jährlichen Einsammeln von Zertifikaten.
- Der Ausstieg wird erst geplant, wenn er nötig ist, also unter Zeitdruck.
Die Checkliste zur Lieferantensicherheit führt durch jede Phase, von der Bestandsaufnahme über die Prüfung vor Vertragsschluss bis zum Ausstieg.
Dienstleister als unterstützende Werte in Rizzqo
In Rizzqo ist ein Dienstleister ein unterstützender Wert im Asset-Register; von den verknüpften Geschäftsprozessen erbt er die Vertraulichkeitseinstufung und die Kennzeichnung personenbezogener Daten. Fehlt im Vertrag eines Dienstleisters eine Prüf- oder Meldeklausel, führt Rizzqo die Nachverhandlung als Maßnahme mit Verantwortlichem. Ihre geplante Risikominderung wird erst mit dem Abschluss angerechnet.
DORA und ISO/IEC 27001 sind in Rizzqo als Anforderungskataloge hinterlegt; ihre Anforderungen werden an den Assets beantwortet, belegt und mit Name und Zeitstempel abgeschlossen. Bewertet die Organisation die fehlende Klausel als Risiko, rechnet Rizzqo es aus Eintrittswahrscheinlichkeit in Prozent und Auswirkung in Euro. Die Maßnahme lässt sich in beide Richtungen mit Jira synchronisieren.