Glossarbegriff
ICT Third-Party Risk
Auch: ICT-Drittanbieter-Risiko, TPP Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
ICT-Drittanbieter-Risiko umfasst Konzentration (zu viel kritischer Workload bei einem Provider), Lieferketten-Komplexität (Sub-Outsourcing), Sovereignty (Datenfluss, Jurisdiktion), Operational Resilience (Verfügbarkeit, Incident-Response) und Vertragsklauseln (Audit-Rechte, Exit, Klausel-Coverage).
DORA Art. 28 verlangt für jeden kritischen ICT-Lieferanten: Eignungsprüfung vor Vertragsunterzeichnung, Klassifizierung nach Kritikalität, jährliche Risikobewertung, dokumentierte Exit-Strategie, Pflichtklauseln nach Art. 30. NIS2 Art. 21 fordert ein vergleichbares Lieferanten-Risikomanagement, mit weniger Praeskriptions-Tiefe.
In der Praxis
DecisionOS-Memos pro Vendor-Auswahl decken die Eignungsprüfung strukturiert ab. Das daraus resultierende Memo wird im DORA-Register oder NIS2-Lieferanten-Register als Evidenz angehängt.
Verwandte Begriffe
DORA ICT risk management
The EU Digital Operational Resilience Act regulates the operational resilience of financial entities against ICT risks, with particularly prescriptive expectations around ICT third-party risk management (Art. 28) and contractual arrangements (Art. 30).
Decision memo
A short structured document that captures why a decision was made, the options considered, the criteria and trade-offs, the stakeholders involved and the accepted risks. A good decision memo is auditable months later.
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
ICT-Konzentrationsrisiko
Risiko aus der Abhängigkeit von wenigen oder einzelnen ICT-Drittanbietern. DORA Art. 29 verlangt von Finanzunternehmen eine explizite Analyse und Steuerung. Die Aufsicht prüft besonders bei Cloud-Hyperscalern und Kernbankensystem-Anbietern.
IGA
Software-Kategorie für Identitäts-Governance: Lifecycle-Management, Rollenmodell, Berechtigungs-Rezertifizierung, Segregation of Duties, Audit-Trail. Löst aus IAM die Governance-Schicht heraus, oft auch SoD-Engine.
ISO 27001
Internationaler Standard für Informationssicherheits-Management-Systeme. Aktuelle Fassung ISO/IEC 27001:2022. Zertifizierbar durch akkreditierte Stellen. Kernrahmen für ISMS-Aufbau, Risikobehandlung und kontinuierliche Verbesserung.
ISO 27002
Begleitstandard zu ISO 27001, der die 93 Kontrollen aus Anhang A inhaltlich ausarbeitet. Nicht zertifizierbar, aber Praxis-Handbuch für die Umsetzung.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).