Welche Dienstleister tragen Ihre kritischen Funktionen, welche Pflichtangabe fehlt noch im Register, welche Sorgfaltsprüfung ist fällig? Durava beantwortet das an einer Stelle, als Teil der GRC-Plattform mit KI, mit Einstufungen, die ihre Herleitung mitbringen. Für Auslagerungsmanagement nach MaRisk und das DORA-Informationsregister in einem Werkzeug.
Stand: 2. Oktober 2026 · Wo Ihre Daten liegen
Weil er die als kritisch oder wichtig eingestufte Funktion „Zahlungsverkehr“ stützt
Vorlage B_02.02: Kündigungsfrist des Dienstleisters · Vorlage B_05.02: Rang des Unterauftragnehmers
Turnus für die Stufe „kritisch“: 12 Monate, nach der Vorgabe Ihres Hauses
TPRM (Third Party Risk Management) ist die Steuerung der Risiken aus externen Dienstleistern über ihren ganzen Lebenszyklus: Aufnahme, Sorgfaltsprüfung, Vertrag, Überwachung, Risikourteil und Beendigung. Die TPRM Software von Durava führt Dienstleister, Verträge und Nachweise in einer Akte, leitet ab, wer kritische oder wichtige Funktionen im Sinne von DORA stützt, zeigt im Informationsregister jede fehlende Pflichtangabe und erinnert an Fristen. Einstufung, Risikourteil, Aufnahme und Beendigung entscheidet ein Mensch, mit Begründung und Datum; Vorschläge der KI gelten erst, wenn Sie sie freigeben.
Die Angaben sind da, aber verteilt auf Einkauf, Fachbereich, IT und Rechtsabteilung. Zusammen passen sie selten.
Kritikalität ohne Herleitung: Ein Dienstleister gilt als „kritisch“, aber niemand kann sagen, welche Funktion er trägt und über welchen Unterauftragnehmer.
Register als Jahresprojekt: Das Informationsregister entsteht einmal im Jahr aus Einzellisten. Welche Pflichtangabe fehlt, zeigt sich erst beim Befüllen.
Verpasste Fristen: Kündigungsfristen, abgelaufene Prüfberichte, überfällige Sorgfaltsprüfungen stehen in Kalendern einzelner Personen.
Urteile ohne Grundlage: Das Risikourteil über einen Vertrag ist eine Ampel ohne Datum, ohne Begründung und ohne den Stand, auf dem es beruhte.
Eine Akte je Dienstleister, ein Stand für alle Beteiligten
Die Aufgaben eines Auslagerungsbeauftragten und was Durava dabei übernimmt.
Neun Bausteine, die zusammen den Lebenszyklus eines Dienstleisters tragen, von der Aufnahme bis zur Beendigung.
Kennzahlen über den ganzen Bestand: kritische Dienstleister, offene Kritikalität, fällige Sorgfaltsprüfungen, Fristen mit Handlungsbedarf, Lücken im Register, Konzentration. Jede Zahl führt in die gefilterte Liste.
Der Stand in Stufen: beim Dienstleister etwa Kritikalität, Sorgfaltsprüfung, Kontinuität; beim Vertrag Einordnung, Leistung, Risikourteil, Fristen, Exit-Vorsorge. Jede Stufe nennt den nächsten Schritt und seinen Grund.
Zwei Fragen, sauber getrennt: Stützt der Dienstleister eine kritische oder wichtige Funktion nach DORA? Und wie kritisch ist er für Ihr Haus? Beides leitet Durava aus den Abhängigkeiten ab, auch über Unterauftragnehmer hinweg.
Mitgeliefert ist ein integriertes Drittparteien-Assessment mit 186 Fragen für Fachbereich und Dienstleister. Es leitet das inhärente Risiko je Risikodimension ab und stellt die vertiefenden Fragen nur dort, wo es nicht gering ist.
Ein Dossier je Dienstleister und Vertrag: Vertrag, Auftragsverarbeitungsvertrag, Leistungsvereinbarung, Zertifikate, Prüfberichte, Unterauftragnehmer-Liste, Exit-Plan, Nachweis der Datenrückgabe, jeweils mit Gültigkeitsdatum.
Restrisiko je Vereinbarung von gering bis sehr hoch, ohne Vorauswahl und mit Pflicht-Begründung. Eingefroren wird, worauf das Urteil beruhte: Erhebungen, Nachweise mit Gültigkeit, übernommene Risiken.
Die Vorlagen B_01 bis B_99 der Durchführungsverordnung, gefüllt aus Haus, Gesellschaften, Verträgen, Dienstleistern, Kette und gestützten Funktionen. Jede Angabe trägt ihren Zustand, so ist eine Lücke sichtbar, bevor die Frist drängt.
Vertragsende und Kündigungsfrist im Vorwarnfenster, fälliges Risikourteil, fällige Sorgfaltsprüfung. Der Turnus richtet sich nach Kritikalität und Restrisiko; es gilt der kürzere.
Aufnahme und Beendigung als geführte Abläufe. Bei kritischen Dienstleistern und wesentlichen Auslagerungen verlangt Durava eine Exit-Regelung und die Einschätzung der Ersetzbarkeit.
Die KI übernimmt das Lesen, Prüfen und Vorbereiten. Einstufungen und Urteile, die die Aufsicht von Ihnen erwartet, bleiben bei Ihnen.
Auszug: Die Plattform bietet weitere KI-FunktionenDie KI erkennt die Vertragsart, etwa SaaS, Hosting, IT-Dienstleistung oder Auftragsverarbeitung, und liest die typischen Angaben aus: Laufzeit, Kündigungsfristen, Leistungsort, Dienstleister mit LEI und Konzernmutter, Unterauftragnehmer, betroffene Systeme. Dazu erkennt sie Vertragsrisiken mit Schwere, Klausel, Empfehlung und Seitenangabe.
Wiederkehrende Prüfungen laufen als KI-Ablauf je Dienstleister, zum Beispiel die jährliche Nachrechnung einer Abrechnung gegen den Vertrag: Sollwerte aus dem Vertrag ableiten, Abweichungen auszählen, Feststellungen formulieren.
Sicherheitskonzept, Notfallplan oder Richtlinien eines Dienstleisters prüft die KI gegen ein Prüfprogramm, etwa DORA, MaRisk oder das Lieferkettensorgfaltspflichtengesetz. Das Ergebnis steht je Prüfkriterium, mit Beleg im Original.
ISAE 3402, ISAE 3000, SOC 1 und SOC 2: Die KI liest Aussteller, Zeitraum und Prüfumfang und vor allem, was der Bericht ausdrücklich nicht abdeckt. Aussagen und Abweichungen stehen einzeln mit Fundstelle.
Aus Verträgen und Leistungsbeschreibungen schlägt die KI vor, welche Systeme an welchem Dienstleister hängen, jeweils mit wörtlichem Beleg. Für eine Funktion schlägt sie je Kriterium eine Bewertung für die DORA-Einstufung oder die Business-Impact-Analyse vor.
Der Assistent fasst Risikolage und Abhängigkeiten eines Dienstleisters zusammen, beantwortet Fragen an einen Vertrag mit Beleg auf die Zeile genau und erstellt auf Zuruf die Register-Arbeitsmappe.
In der Demo lesen wir einen Vertrag aus und zeigen, wie daraus Dienstleister, Unterauftragnehmer und Vertragsrisiken zur Freigabe entstehen und wie die Einstufung ihre Begründung behält.
Vier Status, die Durava an jedem Dienstleister und jedem Vertrag führt. Was offen ist, bleibt sichtbar und sperrt nicht den nächsten Schritt.
Kritikalität entsteht in der Kette, nicht auf dem Deckblatt des Vertrags.
Die TPRM Software führt kein eigenes Nebenregister. Dienstleister und Verträge sind Objekte im gemeinsamen Bestand, zusammen mit Geschäftsprozessen, Anwendungen und Infrastruktur. Über deren Abhängigkeiten weiß Durava, welcher Dienstleister eine Funktion stützt und auf welchem Rang ein Unterauftragnehmer steht: Vertragspartei Rang 1, benannter Unterauftragnehmer Rang 2, jede weitere Stufe eins mehr.
Deshalb rechnen alle Bereiche mit denselben Angaben, und eine Änderung an einer Stelle wirkt überall, wo sie hingehört.
Die Vertragsauslesung legt die im Vertrag genannten Systeme als Objekte an und verknüpft sie. Hersteller, die nur als Text an einer Anwendung stehen, meldet die TPRM Software als möglichen Dienstleister.
Je Dienstleister steht die strengste Wiederanlauf-Forderung der abhängigen Prozesse gegen seine Zusage; steht die Zeit im Vertrag, rechnet das Notfallmanagement mit ihr. Fehlende BIAs werden gezählt, nicht übergangen, und wer einen Dienstleister beendet, sieht vorher, welche Zusage wegfällt.
Der Schutzbedarf der gestützten Objekte bestimmt die Kritikalität mit. Ab hohem Schutzbedarf eines Dienstleisters schlägt Durava die Lieferanten-Maßnahmen nach ISO/IEC 27001 Anhang A 5.19 bis 5.23 vor.
Risiken aus Sorgfaltsprüfung, Vertragsauslesung und fremden Prüfberichten landen im Risikoregister. In der Risikoanalyse eines Vertrags schlagen mitgelieferte Regeln Risikokategorien vor, etwa bei einer Leistung außerhalb von EU und EWR oder bei personenbezogenen Daten.
Mitgeliefert ist der Kontrollbereich „Auslagerung und Dienstleister“ von der Auswahl bis zum Ausstieg. Kontrollen führen Sie direkt am Dienstleister; Kontrollen, die ein ISAE- oder SOC-Bericht bei Ihnen voraussetzt, übernehmen Sie als eigene.
Mitgeliefert sind Prüfprogramme zur Auslagerung nach MaRisk und zu DORA Art. 28 bis 30. Die Revision prüft auf denselben Dienstleistern, Verträgen und Nachweisen. Einstufungen und Urteile der zweiten Linie fließen bewusst nicht von selbst in ihre Planung.
Seit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554 (DORA) für nahezu alle beaufsichtigten Finanzunternehmen in der EU. Die TPRM Software bildet ihre Pflichten zum IKT-Drittparteienrisiko ab und verbindet sie mit dem Auslagerungsmanagement nach MaRisk AT 9: Eine Vereinbarung trägt ihre Art (IKT-Dienstleistung, Auslagerung, beides oder sonstiger Fremdbezug) und ihre Wesentlichkeit, und beides wirkt auf Register, Sorgfaltsprüfung und Exit-Vorsorge.
Zur Einordnung: Durava unterstützt die Umsetzung dieser Pflichten und ersetzt keine rechtliche Würdigung Ihres Einzelfalls. Wie Durava die übrigen Pflichten der Verordnung abbildet, steht unter DORA-Anforderungen umsetzen.
Durava ist für Ihr Haus selbst ein Dienstleister. Deshalb stehen hier die Fakten, die Ihre eigene Sorgfaltsprüfung braucht.
Datenbanken und Dateiablage in Microsoft-Azure-Rechenzentren in Frankfurt und Berlin, der Suchindex der Unterlagen in Schweden. Verschlüsselt bei Übertragung und Speicherung.
Sprachmodelle über Azure OpenAI, verarbeitet in der EU-Datenzone, bereitgestellt in Schweden. Eingaben werden nach Zusage von Microsoft nicht zum Training genutzt.
Anmeldung über das Microsoft Entra ID Ihres Hauses. Mehr-Faktor-Anmeldung und Zugriffsregeln steuern Sie selbst.
Strikte Datentrennung je Mandant auf Datenbankebene; manipulationsgeschützter Prüfpfad mit Prüfsummen-Kette. Auf Wunsch im Azure-Abonnement Ihres Hauses.
Datenblatt, Sicherheitskonzept, Betriebs- und Berechtigungskonzept sowie die Liste der Unterauftragsverarbeiter stellen wir Ihnen auf Anfrage bereit, auch bevor Sie eine Demo vereinbaren. Die Liste nennt Ort und Garantie jedes Dienstes, auch der Graph-Datenbank: Rechenzentrum in den Niederlanden, Anbieter mit Sitz in den USA, abgesichert über EU-Standardvertragsklauseln.
Third Party Risk Management, auf Deutsch Drittparteien- oder Dienstleistermanagement, ist die systematische Steuerung der Risiken, die ein Unternehmen über externe Dienstleister eingeht: von der Aufnahme mit Sorgfaltsprüfung über Vertrag, laufende Überwachung und regelmäßiges Risikourteil bis zur geordneten Beendigung. Im Finanzsektor ist es für IKT-Dienstleister durch DORA verpflichtend, für Auslagerungen zusätzlich durch MaRisk AT 9 bzw. die Vorgaben für Versicherer.
Das Informationsregister nach Art. 28 Abs. 3 DORA verzeichnet alle vertraglichen Vereinbarungen über IKT-Dienstleistungen mit Drittanbietern. Seine Struktur geben die Vorlagen der Durchführungsverordnung (EU) 2024/2956 vor (B_01 bis B_07 und B_99). Es ist jährlich bei der Aufsicht einzureichen, in Deutschland über die Melde- und Veröffentlichungsplattform der BaFin. In Durava führen Sie die Angaben am Dienstleister und am Vertrag; das Register zeigt je Angabe, ob sie vorliegt, fehlt, freiwillig leer bleibt oder entfällt.
Durava liefert das Register als Excel-Arbeitsmappe mit einem Blatt je Vorlage der Durchführungsverordnung, in der fehlende Pflichtangaben ausdrücklich als „FEHLT“ markiert sind. So schließen Sie die Lücken vor dem Stichtag gezielt, und die vollständige Arbeitsmappe ist die Grundlage für die Einreichung über Ihr Meldewerkzeug.
Eine Funktion ist nach Art. 3 Nr. 22 DORA kritisch oder wichtig, wenn ihre Störung die finanzielle Leistungsfähigkeit, die Solidität oder Fortführung der Geschäftstätigkeit oder die Einhaltung aufsichtlicher Pflichten erheblich beeinträchtigen würde. In Durava stuft ein Mensch die Funktion ein, nach einer Methode, die Ihr Haus festlegt; eine abweichende Einstufung braucht eine Begründung. Welche Dienstleister eine so eingestufte Funktion stützen, leitet die Plattform dann über die erfassten Abhängigkeiten ab, auch über Unterauftragnehmer hinweg.
Die KI liest Verträge (Vertragsart, Laufzeit, Fristen, Dienstleister mit LEI und Konzernmutter, Unterauftragnehmer, genannte Systeme, Angaben zur Auftragsverarbeitung) und erkennt Vertragsrisiken; sie wertet fremde Prüfberichte wie ISAE 3402 und SOC 2 aus und schlägt Abhängigkeiten sowie Bewertungen für die DORA-Einstufung einer Funktion vor. Alles landet als Vorschlag in einer Freigabeliste. Ohne KI, nach festen Regeln und durch Menschen, entstehen die Kritikalität eines Dienstleisters, die Frage, ob er eine kritische oder wichtige Funktion stützt, das Informationsregister, die Auswertung der Sorgfaltsprüfung und alle Fristen.
Die KI-Vertragsauslesung erkennt Vertragsrisiken, darunter fehlende Exit-Strategie, unzureichende Prüfrechte, ungeregelte Unterauftragsverarbeiter, fehlende Datenlöschung und DORA-Nichterfüllung, jeweils mit Schwere, betroffener Klausel, Empfehlung und Seitenangabe. Zusätzlich prüfen Sie eine Vertragsunterlage mit der Dokumentenprüfung gegen das mitgelieferte DORA-Prüfprogramm, das Art. 28 bis 30 enthält.
Verlangt wird sie, wenn ein Dienstleister nicht als „normal“ eingestuft ist oder eine wesentliche Auslagerung vorliegt. Sie versenden einen Fragenkatalog an Fachbereich und Dienstleister, an Externe über einen zweckgebundenen Link ohne eigenes Konto. Mitgeliefert ist ein integriertes Drittparteien-Assessment mit 186 Fragen: Es prüft zuerst die Auslagerungs- und DORA-Relevanz, leitet das inhärente Risiko je Risikodimension ab und stellt die vertiefenden Fragen nur dort, wo das Risiko nicht gering ist. Die Antworten werten Sie aus; ein erkanntes Risiko übernehmen Sie ins Risikoregister oder verwerfen es mit Begründung.
Vertragsende und Kündigungsfrist mit einer Vorwarnzeit, die Ihr Haus festlegt (Vorschlag: 90 Tage), sowie den Turnus für Risikourteil und Sorgfaltsprüfung. Der Turnus richtet sich nach Kritikalität und Restrisiko, es gilt der kürzere; Durava schlägt 12, 24 und 36 Monate vor. Nachweise wie Zertifikate, ISAE-3402- und SOC-2-Berichte tragen ein Gültigkeitsdatum. Erinnert wird zuerst der Verantwortliche des Dienstleisters oder Vertrags, danach greift die Eskalationsleiter Ihres Hauses.
Ja. Mitgeliefert sind Prüfprogramme zur Auslagerung nach MaRisk (AT 9 in Verbindung mit § 25b KWG) und zu DORA Art. 28 bis 30; je Prüfung lässt sich die Pflichtbeurteilung „Auslagerungsbewertung“ vorsehen. Die Revision arbeitet auf denselben Dienstleistern, Verträgen und Nachweisen. Einstufungen, Risikourteile und Risiken aus der Sorgfaltsprüfung der zweiten Linie fließen dagegen bewusst nicht von selbst in Jahresplanung und Prüfprogramm. So bleibt die Revision in ihrem Urteil unabhängig.
Eine Auslagerung im Sinne von MaRisk AT 9 liegt vor, wenn ein anderes Unternehmen Tätigkeiten oder Prozesse übernimmt, die das Institut sonst selbst erbringen würde; wesentliche Auslagerungen unterliegen erhöhten Anforderungen. Eine IKT-Dienstleistung nach Art. 3 Nr. 21 DORA ist jeder digitale und Datendienst, der über IKT-Systeme dauerhaft bereitgestellt wird. Beides kann zusammenfallen, muss es aber nicht. In der TPRM Software von Durava halten Sie am Vertrag fest, ob er eine IKT-Dienstleistung, eine Auslagerung, beides oder sonstiger Fremdbezug ist. Register und Auslagerungsmanagement lesen dieselbe Angabe.
Eine geeignete TPRM Software führt Dienstleister, Verträge, Unterauftragnehmer und Nachweise in einer Akte, leitet die Kritikalität aus den Funktionen ab, die ein Dienstleister stützt, zeigt im DORA-Informationsregister jede fehlende Pflichtangabe, überwacht Fristen und Turnus und hält jede Einstufung und jedes Risikourteil mit Datum und Begründung fest. Wichtig ist außerdem, dass Dienstleister und Verträge im selben Bestand stehen wie Prozesse und Systeme, damit Asset-Management, Notfallmanagement und Risikomanagement mit denselben Angaben rechnen, sonst entstehen wieder getrennte Listen.
Für Auslagerungsbeauftragte, Dienstleistersteuerung und Vendor-Management in Banken und anderen Finanzunternehmen unter DORA und MaRisk sowie für Versicherer unter DORA. Mitgeliefert sind DORA, MaRisk und für Versicherer ein Auszug aus dem VAG; weitere Vorgaben Ihres Hauses importieren Sie als eigenes Regelwerk. Das Drittparteienmanagement ist Teil der GRC-Plattform und teilt seinen Bestand mit Asset-Management, Risikomanagement, BCM, Informationssicherheit und Interner Revision.
Sehen Sie in einer persönlichen Demo, wie die TPRM Software von Durava Dienstleister, Verträge und Register zusammenführt und wie jede Einstufung ihre Begründung behält.
