AUSLAGERUNG DER CLOUD IM FINANZSEKTOR | ISO 27001 | BSI-C5-TESTAT
IT-Auslagerung nach BAIT und MaRisk – für Banken und Finanzdienstleister
✓ Nachweise für Ihre Auslagerungsprüfung: Zertifikate mit Geltungsbereich, BSI-C5-Testat, TOM-Dokumentation und Auftragsverarbeitungsvertrag im Trust Center.
✓ Angaben für Ihr Informationsregister: Unternehmensdaten, Standorte und Leistungsbeschreibung in der Form, in der Sie sie eintragen.
✓ Zertifiziert nach dem Standard des BSI: ISO 27001 auf Basis von IT-Grundschutz, ausgestellt durch das Bundesamt für Sicherheit in der Informationstechnik.
✓ Deutscher Vertragspartner: centron GmbH mit Sitz in Hallstadt bei Bamberg, ohne ausländische Muttergesellschaft.
Wer auslagert, gibt Aufgaben ab, aber keine Verantwortung
Bei einer IT-Auslagerung bleibt das Institut gegenüber der Aufsicht verantwortlich. Was sich verlagert, ist nicht die Verantwortung, sondern der Nachweisbedarf: Sie müssen belegen können, wen Sie beauftragt haben, was dieser Dienstleister leistet, wie Sie ihn steuern und wie Sie im Bedarfsfall wieder herauskommen.
Drei Regelwerke greifen dabei ineinander. Die MaRisk setzen den allgemeinen Rahmen für das Risikomanagement einschließlich Auslagerungen. Die BAIT konkretisieren ihn für die IT. Die DORA-Verordnung gilt seit Januar 2025 unmittelbar und bringt eigene Anforderungen an Verträge mit IKT-Drittdienstleistern, an ein Informationsregister und an Ausstiegsstrategien mit.
Welches nationale Regelwerk für Sie gilt, hängt von der Aufsicht ab: BAIT und MaRisk für Institute nach dem Kreditwesengesetz, VAIT und MaGo für Versicherungsunternehmen, KAIT für Kapitalverwaltungsgesellschaften, ZAIT für Zahlungs- und E-Geld-Institute. Die Anforderungen an Auslagerungen ähneln sich in allen vier Fassungen stark, und DORA gilt für alle gleichermaßen. Was auf dieser Seite steht, ist deshalb unabhängig davon anwendbar, welchem der Regelwerke Sie unterliegen.
Diese Seite behandelt die vertragliche und organisatorische Seite der Auslagerung. Geht es um die betriebliche Seite, also um Wiederanlauf und Wiederherstellung, führt Business Continuity Management für Finanzunternehmen weiter.
Vier Fragen, die Ihre Auslagerungsprüfung stellt
Bevor eine Cloud-Leistung produktiv geht, arbeitet Ihr Auslagerungsmanagement dieselben vier Punkte ab. Diese Seite beantwortet, was centron dazu beisteuert.
1. Ist es eine wesentliche Auslagerung?
Die Einstufung nehmen Sie anhand einer Risikoanalyse vor, und sie entscheidet über den weiteren Aufwand. Maßgeblich ist, ob die ausgelagerte Tätigkeit für die Durchführung der Bankgeschäfte oder Finanzdienstleistungen wesentlich ist.
Was Sie dafür brauchen, ist eine belastbare Beschreibung der Leistung: welche Systeme betroffen sind, welche Daten verarbeitet werden, welche Verfügbarkeit zugesagt ist und wer sie erbringt. Diese Angaben stellen wir bereit, damit Ihre Risikoanalyse auf Fakten aufsetzt und nicht auf Marketingtexten.
2. Was gehört ins Informationsregister?
Seit DORA führen Finanzunternehmen ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen und legen es der Aufsicht vor. Darin stehen unter anderem der Dienstleister mit seinen Identifikationsdaten, die unterstützte Funktion, die Standorte der Datenverarbeitung und die eingesetzten Unterauftragnehmer.
Diese Angaben liefern wir in der Form, in der Sie sie eintragen können, statt sie aus Vertragsunterlagen zusammensuchen zu müssen.
3. Wie sieht die Ausstiegsstrategie aus?
Für Auslagerungen ist eine Ausstiegsstrategie vorzuhalten, die beschreibt, wie der Betrieb bei Beendigung fortgeführt wird, ohne dass die Geschäftstätigkeit unterbrochen wird. Zu regeln sind unter anderem das Format der Datenrückgabe, die Fristen, die Unterstützung während der Übergangsphase und die Löschung beim Dienstleister.
Technisch stützt sich das auf offene Standards: Unsere Plattform setzt auf OpenStack, Kubernetes und S3-kompatible Schnittstellen, sodass Daten und Konfigurationen portabel bleiben. Die vertragliche Ausgestaltung stimmen wir beim Vertragsabschluss mit Ihnen ab.
4. Wie läuft die Dienstleistersteuerung?
Die laufende Dienstleistersteuerung bleibt beim Institut. Dazu gehören die regelmäßige Überprüfung der Leistungserbringung, die Bewertung der Risiken und die Dokumentation gegenüber der internen Revision.
Welche Anforderungen daraus für die Zusammenarbeit folgen, hängt von Ihrer Auslagerungsrichtlinie und der Kritikalität der ausgelagerten Funktion ab. Das können Sie beim Vertragsabschluss direkt mit unseren Experten klären.
Was centron für Ihre Auslagerungsakte bereitstellt
Die folgenden Unterlagen und Angaben liegen bereit, ohne dass Sie sie einzeln anfordern müssen. Die Dokumente finden Sie im Trust Center, die übrigen Angaben stellt Ihnen unser Team zusammen.
| Wofür Sie es brauchen | Was centron liefert |
|---|---|
| Risikoanalyse und Einstufung | Leistungsbeschreibung, betroffene Systeme, Verfügbarkeitszusagen |
| Informationsregister | Unternehmensdaten, Rechtsform, Sitz, Standorte der Verarbeitung, Unterauftragnehmer |
| Datenschutzprüfung | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Dokumentation der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO |
| Informationssicherheit | ISO 27001 auf Basis von IT-Grundschutz und BSI-C5-Testat, jeweils mit ausgewiesenem Geltungsbereich |
| Notfallvorsorge | Angaben zu Standorten, Sicherungsverfahren und Meldewegen |
| Ausstiegsstrategie | eingesetzte offene Standards und Schnittstellen für die Datenrückgabe |
Wer wofür verantwortlich ist
Diese Grenze ist im Geltungsbereich unserer ISO-27001-Zertifizierung ausdrücklich festgehalten. Für Ihre Auslagerungsakte ist sie damit belegbar und nicht Auslegungssache.
| Aufgabe | Bei Ihnen | Bei centron |
|---|---|---|
| Risikoanalyse und Einstufung der Auslagerung | vollständig | Zulieferung der Leistungsangaben |
| Informationsregister und Meldungen an die Aufsicht | vollständig | Zulieferung der Registerangaben |
| Dienstleistersteuerung und interne Revision | vollständig | Bereitstellung der Nachweise |
| Anwendungen und Betriebssysteme | Konfiguration, Patching, Betrieb | Managed Service auf Wunsch |
| Plattform und Rechenzentren | — | Virtualisierung, Netzwerk, Speicher, Monitoring, Backup |
| Daten | Verantwortliche Stelle | Auftragsverarbeiter nach Art. 28 DSGVO |
Die Bausteine
Einzeln buchbar, unabhängig voneinander skalierbar.
ccloud³ Virtual Machines
Anwendungen, Datenbanken und Testumgebungen auf zertifizierter Plattform.
Managed Server
Betrieb, Patching und Monitoring durch centron, einschließlich Eskalationsweg.
cBacks Backup
Sicherung mit festgelegter Aufbewahrung und dokumentierter Wiederherstellung.
Erst testen oder die Unterlagen prüfen
Sie können die ccloud³ ohne Vertragsbindung ausprobieren, bevor die Auslagerungsprüfung beginnt. Registrieren Sie sich kostenlos, stellen Sie eine Testumgebung bereit und verschaffen Sie sich einen eigenen Eindruck von Bedienung, Leistung und Dokumentation.
Wenn Sie zuerst die Unterlagen brauchen: Welche Nachweise Ihre Auslagerungsakte verlangt und welche Angaben in Ihr Informationsregister gehören, gehen unsere Experten mit Ihnen durch.
Häufig gestellte Fragen zur IT-Auslagerung im Finanzsektor
Die Mindestanforderungen an das Risikomanagement, kurz MaRisk, sind ein Rundschreiben der BaFin und setzen den Rahmen für das Risikomanagement von Instituten, einschließlich Auslagerungen. Die Bankaufsichtlichen Anforderungen an die IT, kurz BAIT, konkretisieren diesen Rahmen für die Informationstechnik. Beide richten sich an die beaufsichtigten Institute, nicht an deren Dienstleister; die Anforderungen wirken über den Auslagerungsvertrag.
Ja, dem Grunde nach. BAIT und MaRisk gelten für Institute nach dem Kreditwesengesetz. Für Versicherungsunternehmen gelten VAIT und MaGo, für Kapitalverwaltungsgesellschaften die KAIT, für Zahlungs- und E-Geld-Institute die ZAIT. Die Anforderungen an Auslagerungen sind in diesen Fassungen weitgehend parallel aufgebaut, und die DORA-Verordnung gilt für alle genannten Gruppen unmittelbar. Die Nachweise und Angaben, die centron bereitstellt, sind daher in allen Fällen dieselben.
Als wesentlich gilt eine Auslagerung, wenn die ausgelagerte Tätigkeit für die Durchführung der Bankgeschäfte oder Finanzdienstleistungen von Bedeutung ist. Die Einstufung nimmt das Institut selbst anhand einer Risikoanalyse vor. Von ihr hängen der Umfang der vertraglichen Regelungen, die Anforderungen an die Steuerung und die Anzeigepflichten ab.
Das Informationsregister erfasst alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen. Dazu gehören unter anderem der Dienstleister mit seinen Identifikationsdaten, die Art der Dienstleistung, die unterstützte Funktion und deren Kritikalität, die Standorte der Datenverarbeitung sowie die eingesetzten Unterauftragnehmer. Das Register wird gepflegt und der Aufsicht vorgelegt.
Ja. Wenn Sie Infrastruktur bei centron betreiben, ist centron IKT-Drittdienstleister. Daraus folgen für Sie Anforderungen an die vertragliche Ausgestaltung, an die Aufnahme in Ihr Informationsregister und an eine Ausstiegsstrategie. Die Angaben, die Sie dafür benötigen, stellen wir bereit.
Weil die Geschäftstätigkeit auch dann fortgeführt werden muss, wenn die Auslagerung endet, sei es durch Kündigung, Insolvenz des Dienstleisters oder aufsichtliche Anordnung. Die Strategie beschreibt, wie die Leistung zurückgeholt oder auf einen anderen Dienstleister übertragen wird, in welchem Format und in welcher Frist Daten zurückgegeben werden und wie sie beim bisherigen Dienstleister gelöscht werden.
Durch offene Standards und eine vertraglich geregelte Datenrückgabe. Unsere Plattform setzt auf OpenStack, Kubernetes und S3-kompatible Schnittstellen, sodass Daten und Konfigurationen portabel bleiben und ein Wechsel Migrationsaufwand bedeutet statt Neuentwicklung. Achten Sie zusätzlich darauf, welche proprietären Zusatzdienste Sie einsetzen; sie sind die häufigste Ursache späterer Bindung.
Die Zertifikate mit ausgewiesenem Geltungsbereich, das BSI-C5-Testat, die Dokumentation der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dazu die Angaben zu Unternehmen, Standorten, Unterauftragnehmern und Leistungsumfang für Ihr Informationsregister. Sie finden die Dokumente im Trust Center.
Standardmäßig im centron-Rechenzentrum in Hallstadt bei Bamberg. Im Geltungsbereich unserer ISO-27001-Zertifizierung auf Basis von IT-Grundschutz liegen Hallstadt, Nürnberg und Frankfurt am Main. Für den verteilten Betrieb lässt sich auf Wunsch ein weiterer Standort in Zürich einbeziehen. centron ist ein deutsches Unternehmen ohne ausländische Muttergesellschaft.