IT-Auslagerung bei beaufsichtigten Häusern: Was im Vertrag stehen muss
Ein guter Dienstleistungsvertrag und ein aufsichtskonformer Auslagerungsvertrag sind nicht dasselbe. Der Unterschied fällt oft erst auf, wenn die Innenrevision ihn liest.
Wenn ein beaufsichtigtes Haus IT-Leistungen einkauft, ist das in aller Regel eine Auslagerung. Daraus folgen Anforderungen an den Vertrag, die über das hinausgehen, was in einem üblichen Dienstleistungsvertrag steht. DORA formuliert sie in den Artikeln 28 bis 30, MaRisk und BAIT tun es national seit Jahren.
Die Punkte, die regelmäßig fehlen
Zugriffs-, Informations- und Prüfungsrechte. Ihr Haus, Ihre Innenrevision und die Aufsicht müssen prüfen können, vor Ort und in den Systemen. Ein Vertrag, der das nicht ausdrücklich einräumt, ist für eine Auslagerung unbrauchbar, auch wenn der Dienstleister in der Praxis kooperiert.
Regelung zu Unterauftragnehmern. Wer darf weitergeben, an wen, unter welchen Bedingungen, und wie werden Sie darüber informiert. Für kritische Funktionen ist eine Zustimmung oder zumindest eine Anzeige mit Widerspruchsmöglichkeit üblich.
Standort der Datenverarbeitung. Nicht nur das Land, sondern die konkreten Standorte, und die Pflicht, Änderungen anzuzeigen. Bei Cloud-Diensten ist das der Punkt, der die meiste Abstimmung kostet.
Kündigungsrechte. Insbesondere ein Recht zur Kündigung, wenn die Aufsicht es verlangt oder wenn Mängel nicht abgestellt werden. Ein Vertrag mit langer Mindestlaufzeit ohne solche Klausel ist ein Befund.
Die Ausstiegsstrategie
Der am häufigsten fehlende Baustein ist zugleich der unangenehmste, weil er beim Vertragsschluss niemanden interessiert: Was passiert, wenn die Zusammenarbeit endet.
Verlangt wird eine dokumentierte Strategie, die beschreibt, wie der Betrieb zurückgeholt oder auf einen anderen Dienstleister übertragen wird, ohne dass kritische Funktionen unterbrochen werden. Dazu gehören Fristen, Mitwirkungspflichten, Datenformate für die Herausgabe und die Frage, wie lange der bisherige Dienstleister nach der Kündigung noch unterstützt.
Der Test für diese Klausel ist einfach: Lesen Sie sie und fragen Sie sich, ob Sie damit tatsächlich wechseln könnten. Formulierungen wie „angemessene Unterstützung nach Aufwand“ bestehen diesen Test nicht.
Was ein Dienstleister davon mittragen sollte
Aus Sicht eines Dienstleisters sind diese Klauseln unbequem. Prüfungsrechte bedeuten Aufwand, Herausgabepflichten bedeuten, dass ein Wechsel leichter wird. Trotzdem halten wir sie für richtig, und zwar aus einem einfachen Grund: Ein Kunde, der nicht wechseln kann, bleibt nicht aus Zufriedenheit.
Praktisch heißt das bei uns: Dokumentation und Zugangsdaten gehören dem Kunden und werden auf Wunsch jederzeit herausgegeben. Die Angaben für Ihr Informationsregister halten wir vor. Prüfungen begleiten wir, statt sie zu erschweren.
Eine Reihenfolge für die Praxis
Wer einen Bestand an Altverträgen hat, muss nicht alles gleichzeitig nachverhandeln. Sinnvoll ist eine Priorisierung nach der Einstufung: Verträge, die kritische oder wichtige Funktionen unterstützen, zuerst. Alles andere bei der nächsten ohnehin anstehenden Verlängerung.
Das ist auch der Weg, den die Aufsicht in der Praxis erwartet, ein nachvollziehbarer Plan mit Prioritäten ist besser als ein hektischer Rundumschlag, der nach sechs Monaten liegenbleibt.
Häufige Fragen
Ist jeder IT-Vertrag eine Auslagerung?
Nein. Die Abgrenzung zum einfachen Fremdbezug richtet sich danach, ob Tätigkeiten ausgelagert werden, die das Institut sonst selbst erbringen würde. Der Kauf von Standardsoftware ist in der Regel keine Auslagerung, der laufende Betrieb Ihrer Systeme sehr wohl. Die Einstufung trifft Ihr Haus.
Was unterscheidet kritische von sonstigen Auslagerungen?
Kritisch oder wichtig ist eine Auslagerung, wenn ihr Ausfall die Fortführung der Geschäftstätigkeit, die Einhaltung aufsichtsrechtlicher Pflichten oder die finanzielle Belastbarkeit erheblich beeinträchtigen würde. Für diese gelten strengere Anforderungen an Vertrag, Überwachung und Ausstiegsstrategie.
Müssen Altverträge angepasst werden?
Grundsätzlich ja, soweit sie die Anforderungen nicht erfüllen. In der Praxis wird nach Kritikalität priorisiert und bei der nächsten Verlängerung nachgezogen. Wichtig ist, dass es dafür einen dokumentierten Plan gibt.
Wer überwacht die Auslagerung laufend?
Ihr Haus. Die Verantwortung lässt sich nicht mit auslagern. Üblich sind ein benannter Auslagerungsbeauftragter, regelmäßige Leistungsgespräche und eine jährliche Bewertung des Dienstleisters.
Was ist bei Cloud-Diensten anders?
Vor allem die Verhandelbarkeit. Große Anbieter stellen Standardbedingungen, die sich kaum ändern lassen. Dann verlagert sich die Arbeit auf die Prüfung, ob die angebotenen Bedingungen und Nachweise ausreichen, und auf die Dokumentation dieser Prüfung.
Jürg Raess
Sales & Business Development / Project Coordinator: Schwerpunkt Business Continuity, Notfallarbeitsplätze und Banken.