Risikoanalyse für IKT-Drittparteien nach DORA und EU-KI-Verordnung

Methodik, Governance und erste Praxiserfahrungen

• Maria Dzolic

Der Digital Operational Resilience Act (DORA) ist seit dem 17. Januar 2025 für die meisten Finanzunternehmen anzuwenden und verlangt ein konsistentes IKT-Risikomanagement inklusive eines belastbaren Umgangs mit IKT-Drittparteien. Parallel schafft die EU-KI-Verordnung (EU AI Act) einen risikobasierten Rechtsrahmen für KI-Systeme mit stufenweiser Anwendung. Für Finanzunternehmen bedeutet das: Die klassische Auslagerungs- und Lieferantensteuerung muss um digitale Resilienz, Konzentrationsrisiken, Weiterverlagerungen (Unterauftragnehmer), Testfähigkeit, Ausstiegsstrategien sowie KI-spezifische Risiken (zum Beispiel Datenqualität, Transparenz, Modellrisiken, Governance-Strukturen im Umgang mit KI-basierten Dienstleistungen) erweitert werden. Für die Interne Revision ergibt sich daraus ein erweitertes Prüfungsfeld. Es ist zu beurteilen, ob Finanzunternehmen geeignete Governance-, Kontroll- und Überwachungsmechanismen implementiert haben, um diese Risiken angemessen zu steuern und regulatorische Anforderungen nachhaltig zu erfüllen. Dieser Fachbeitrag bündelt Anforderungen, zeigt ein praxistaugliches Vorgehensmodell für die Risikoanalyse und verarbeitet erste Umsetzungserfahrungen aus Aufsichtshinweisen und Marktbeobachtungen.