IT-Outsourcing & Governance

Verantwortung bleibt intern. Warum technische Kontrollen ohne Steuerungsfähigkeit nicht dauerhaft tragen

Kurzfassung

Viele Organisationen verlagern zentrale IT-Services an spezialisierte Dienstleister oder in Cloud-Umgebungen. Damit verändern sich Aufgaben, Zuständigkeiten und Architekturen, nicht aber die Gesamtverantwortung der beauftragenden Organisation. Der Dienstleister trägt eigene Pflichten für die vereinbarte Leistung. Entscheidend ist, dass die Organisation ihre Rolle auch tatsächlich ausüben kann.

Das Whitepaper stellt diese Steuerungsfähigkeit in den Mittelpunkt. Sie beruht auf fünf Elementen: interne Verantwortung und Fähigkeiten, Transparenz und risikobasierte Einstufung, vertragliche Instrumente, gelebte Steuerungsprozesse sowie Kontinuitäts- und Exit-Vorsorge. Es unterscheidet bei der Prüfung zwischen Design und Operating Effectiveness, beschreibt geeignete Nachweise und formuliert Leitfragen für Leitungs- und Aufsichtsgremien.

Outsourcing verschiebt Aufgaben. Die Gesamtverantwortung bleibt intern.

Kernaussagen

Auch bei vollständiger Auslagerung bleibt die Gesamtverantwortung für Informationssicherheit, Datenschutz und Resilienz bei der beauftragenden Organisation. Der Dienstleister trägt daneben eigene Pflichten für die vereinbarte Leistung.
Cybervorfälle betreffen häufig Dienstleister und Lieferketten. Outsourcing ist damit eine strategische Risikoentscheidung mit potenziell systemischer Wirkung.
Technische Kontrollen ersetzen keine Governance, sie setzen sie voraus. Entscheidend sind Rollen, Entscheidwege, Regelkreise und Eskalation.
Die Steuerung wird nach Angemessenheit (Design Effectiveness) und Wirksamkeit im Alltag (Operating Effectiveness) beurteilt. Bewähren muss sie sich im Vorfall.

Zielgruppe

Verantwortliche in Governance-, Risiko- und Auditfunktionen sowie Leitungs- und Aufsichtsgremien.