Die tatsächliche Leistung zum Prüfgegenstand machen
Die regulatorische Einordnung setzt eine genaue Beschreibung der eingekauften Leistung voraus. Ein umfangreicher FM-Vertrag kann technische Wartung, Personalgestellung, Gebäudemanagementsoftware und digitale Fernüberwachung enthalten. Diese Bestandteile werden mit ihren jeweiligen Aufgaben und Abhängigkeiten dargestellt. Vertragstitel, Einkaufsgruppe und Rechnungsposition entscheiden die Einordnung nicht allein. Der Auftraggeber benennt die betroffenen Gesellschaften und deren aufsichtsrechtlichen Rahmen. Ein Standort kann von mehreren rechtlichen Einheiten genutzt werden, deren Anforderungen unterschiedlich sind. Die zuständigen Fachfunktionen erhalten deshalb eine aufgeschlüsselte Leistungsbeschreibung und keine pauschale Aussage, der gesamte Vertrag sei wegen der Gebäudenutzung automatisch eine kritische Auslagerung.
Auslagerung und DORA bei Banken und Versicherungen
Unterschiedliche Regelungsbereiche auseinanderhalten
Für Kreditinstitute und Versicherungsunternehmen bestehen unterschiedliche Anforderungen an die Übertragung von Tätigkeiten. Die MaRisk-Fassung vom 30. Juni 2026 nimmt IKT-Dienstleistungen, die dem Drittparteienrisikomanagement nach DORA unterliegen, aus dem Anwendungsbereich von AT 9 aus. Daraus folgt keine pauschale Befreiung von sonstigen gesetzlichen Pflichten. Die MaGo 09/2025 richten sich an Solvency-II-Versicherungsunternehmen; ihr Geltungsbereich wird im Einzelfall geprüft. DORA kann auch IKT-Fremdbezug erfassen, der keine klassische Auslagerung darstellt. Für das Startprojekt entscheidet daher die zuständige Fachfunktion je Leistungsbestandteil, welches Verfahren anzuwenden ist. Eine Einordnung wird mit Begründung, Verantwortlichem und Datum dokumentiert.
Aus der Einordnung konkrete Startaufgaben ableiten
Die Einordnung wird in erforderliche Prüfungen, Vertragsbedingungen und Nachweise übersetzt. Bei einschlägigen DORA-Leistungen sind unter anderem Vertragsanforderungen und die Erfassung im Informationsregister zu berücksichtigen; zusätzliche Anforderungen können bei Unterstützung kritischer oder wichtiger Funktionen entstehen. Die Fachfunktion bestimmt die konkreten Inhalte und Fristen. Das FM-Projekt liefert dafür beispielsweise Leistungsumfang, Standorte, technische Abhängigkeiten und bekannte Unterauftragnehmer. Es prüft außerdem, ob zugesagte Rechte praktisch ausgeübt werden können. Ein Vertrag mit Prüfungsrecht hilft wenig, wenn Ansprechpartner und Unterlagen nicht erreichbar sind. Vor der Freigabe werden offene Bedingungen mit der beauftragenden Stelle geklärt und im Startplan nachverfolgt.
|
| Technischer Gebäudebetrieb | Aufgaben und Bezug zu betrieblichen Funktionen | Bestätigtes Verfahren der Dienstleistersteuerung |
| Digitale Betriebsplattform | Datenverarbeitung und Art der laufenden Bereitstellung | Geprüfte IKT-Einordnung und Vertragsanforderungen |
| Fernüberwachung | Technische Zugriffe und betroffene Systeme | Freigegebene Sicherheitsbedingungen |
| Unterbeauftragte Leistung | Tatsächliche Leistungskette und Abhängigkeiten | Erforderliche Informationen und Kontrollrechte |
| Vertragsausstieg | Austauschbarkeit und benötigte Übergangszeit | Umsetzbarer Übergabeplan mit Verantwortlichen |
Konzentration und Wechselbarkeit beurteilen
Die Risikobetrachtung umfasst die tatsächlichen Abhängigkeiten vom Dienstleister und dessen Leistungskette. Mehrere Verträge können auf denselben Hersteller, dieselbe Plattform oder dieselbe regionale Bereitschaft zurückgreifen. Solche gemeinsamen Abhängigkeiten bleiben bei einer Betrachtung ausschließlich je Vertrag leicht unentdeckt. Der Auftraggeber prüft, welche Leistungen kurzfristig ersetzbar sind und wo spezielles Wissen, Lizenzen oder lange Beschaffungszeiten einen Wechsel erschweren. Ersatzmöglichkeiten werden anhand konkreter Ressourcen bewertet. Eine unverbindliche Aussage zur Marktverfügbarkeit genügt nicht. Für wichtige Abhängigkeiten werden Übergangsunterstützung, Datenverfügbarkeit und notwendige Nutzungsrechte bereits zum Start geklärt und soweit erforderlich vertraglich abgesichert.
Einordnung bei Veränderungen aktuell halten
Die Entscheidung wird bei relevanten Änderungen erneut betrachtet. Neue digitale Funktionen, zusätzliche Gesellschaften, andere Unterauftragnehmer oder eine veränderte Bedeutung des unterstützten Prozesses können die Ausgangsbewertung berühren. Der Dienstleister meldet solche Änderungen entsprechend den vereinbarten Pflichten, bevor sie unkontrolliert wirksam werden. Das FM-Team entscheidet regulatorische Fragen nicht eigenständig, sondern legt die geänderten Tatsachen der zuständigen Funktion vor. Ereignisse werden an die interne Meldeorganisation übergeben, die mögliche aufsichtsrechtliche Meldungen bewertet. Der laufende Betrieb erhält damit einen klaren Weg für neue Sachverhalte. Dokumentierte Zuständigkeiten verhindern sowohl übersehene Anforderungen als auch unbegründete pauschale Zusatzpflichten für jede Gebäudedienstleistung.
