Transitioning zu Managed Services unter SLA & DORA

Finanzinstitute delegieren ihre IT-Operations zunehmend an Managed Service Provider (MSPs). Unter dem Digital Operational Resilience Act (DORA) bleiben Banken jedoch voll verantwortlich für ihre IT-Sicherheit. Dies erfordert eine strikte Governance externer Dienstleister.

Verknüpfung von Kunden- und Managed-Operations-Umgebungen

Ein robustes Betriebsmodell erfordert klare Grenzen zwischen internen Systemen und dem Support-Bereich des Dienstleisters. Ereignisse müssen über API-Schnittstellen direkt in das ITIL-Ticketing des MSPs übertragen werden.

Die Übergabe betrieblicher Aktivitäten an externe Dienstleister erfordert die Ausrichtung der Verträge an den Anforderungen von DORA. Organisationen müssen Lieferketten abbilden, operationelle Risiken bewerten und kontinuierliche Audits etablieren.

Wesentliche Anforderungen unter DORA

Dienstleister-Überwachung: Kontinuierliche Audit-Logs zur Überprüfung der SLA-Einhaltung durch den MSP.
Notfalltests (Business Continuity): Durchführung gemeinsamer Desaster-Recovery-Übungen zur Überprüfung von Ausfallsicherungen.
Exit-Strategien: Vorbereitung detaillierter Pläne zur Rückführung der Services oder zum Wechsel des Anbieters.

SLA-Eskalationsstufen

Um die Meldefristen gemäß DORA Artikel 14 einzuhalten, müssen Eskalationsketten automatisiert werden. Vorfälle werden in feste Zeitfenster eingeteilt, wodurch kritische Probleme innerhalb von 60 Minuten an Kern-Entwickler gemeldet werden.

Rechtskonforme Sourcing-Verträge

Dienstleistungsvereinbarungen dürfen keine reinen Kapazitätsverträge sein. Sie müssen KPIs zur Betriebsstabilität, automatisierte Datenbereitstellung und klare Pönalen bei SLA-Verletzungen enthalten, um die Einhaltung regulatorischer Pflichten abzusichern.

Zudem müssen SLAs in dynamische, automatisierte Telemetrie-Dashboards umgewandelt werden. Anstatt monatliche Papierberichte zu prüfen, überwachen Vertragsmanager Systemverfügbarkeiten und Reaktionszeiten in Echtzeit, um die Einhaltung der SLAs sicherzustellen.

Den Betrieb auszulagern lagert nicht die Verantwortung aus. Unter DORA gelingt eine Transition nur, wenn Resilienz und Aufsicht im Vertrag stehen und über die Anbietergrenze hinweg jederzeit nachweisbar sind.

← Zurück zum Blog