Die Verordnung enthält detaillierte Anforderungen an das Management von Risiken, die durch die Auslagerung von IKTDienstleistungen entstehen. Da Auslagerungen bereits seit längerer Zeit in Finanzinstituten stetig zunehmen, ist es für Institute im Finanzsektor essenziell, klare Prozesse zur Steuerung und Überwachung ausgelagerter IKTDienstleistungen zu etablieren. Ein hierfür relevantes Risikomanagement postuliert Maßnahmen zur systematischen Identifikation, Bewertung und Minderung der mit einem Outsourcing verbundenen Risiken, besonders wachsender Konzentrations- oder Weiterverlagerungsrisiken.

Institute sind verpflichtet, derartige Risikoanalysen sowohl von IKT-Dienstleistern (due diligences) als auch von IKTDienstleistungen durchzuführen. Auf diese Weise können sie potenzielle Schwachstellen frühzeitiger erkennen und notwendige Maßnahmen zur Risikominderung einleiten. Dies schließt u.a. die Verpflichtung ein, Sicherheitsoder Compliance-Maßnahmen von IKT-Dienstleistern u.a. durch Audits oder Vor-Ort Inspektionen regelmäßig zu überprüfen und bei Bedarf anzupassen.

Eine weitere Anforderung im Kontext des Outsourcings stellt die neue Erstellung eines Informationsregister dar. Institute, die Leistungen an IKT-Dienstleister auslagern, haben ergänzend zum weiterhin zu pflegenden Auslagerungsregister ein Informationsregister zu führen, in dem alle relevanten Informationen über IKT-Dienstleister und an sie ausgelagerte IKT-Dienstleistungen dokumentiert werden. Dieses Register dient besonders den Europäischen Aufsichtsbehörden als Werkzeug, um u.a. einerseits Transparenz über Weiterverlagerungsketten zu erhöhen und andererseits frühzeitiger drohende Konzentrationsrisiken besonders bei global agierenden IKTDienstleistern festzustellen.

Für das Vertragsmanagement schreibt DORA vor, dass Institute detaillierte vertragliche Vereinbarungen mit ihren IKTDienstleistern treffen müssen. Derartige Vereinbarungen mussten betroffene Institute bisher primär für Auslagerungen von IKTDienstleistungen, nicht aber für Fremdbezüge einhalten. Eine IKTDienstleistung gem.

DORA geht jedoch über die in Deutschland bis dato gebräuchliche Definition einer Auslagerung gem. MaRisk hinaus. Ferner steigen die Mindestvertragsanforderungen zusätzlich an, falls eine ausgelagerte IKT-Dienstleistung eine aus Sicht des jeweiligen Instituts kritsche oder wichtige Funktion unterstützt. In diesen Fällen sind zusätzliche Vertragsanforderungen mit Blick auf bspw. erweiterte Prüfrechte, Berichtspflichten des IKTDienstleisters, Notfallplänen oder Ausstiegsstrategien zu berücksichtigen.