Risikomanagement im IT-Outsourcing war noch nie eine reine IT-Aufgabe – inzwischen ist es vor allem eine Compliance-Aufgabe. NIS2, DSGVO, DORA, Cyber Resilience Act, AI Act – dazu interne IT-Sicherheitsrichtlinien, Einkaufsvorgaben und Datenschutzkonzepte. Wer heute IT-Leistungen auslagert, muss die Risiken dieser Auslagerung gegen ein Dutzend Regelwerke gleichzeitig prüfen. In der Praxis führt das zu einem bekannten Muster: Für jede Vorgabe entsteht eine eigene Analyse, ein eigener Maßnahmenkatalog und ein eigener Lieferantenfragebogen. Der Aufwand vervielfacht sich, die Ergebnisse widersprechen sich – und trotzdem bleiben Lücken. Der folgende Artikel zeigt, warum das nicht nötig ist. Er erklärt, wie sich sämtliche relevanten EU-Compliance-Anforderungen und internen Vorgaben in einer einzigen Risikoanalyse bearbeiten lassen, welche Rolle ein Common Controls Framework dabei spielt und mit welchen Standards und Vorlagen Sie starten können.
Warum IT-Outsourcing zum Compliance-Brennpunkt geworden ist
Auslagerung verlagert Leistung, aber nicht Verantwortung. Genau hier setzen die aktuellen EU-Regelwerke an. Die für Betreiber kritischer Infrastruktur geltende NIS2-Richtlinie ist in Deutschland seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz im novellierten BSI-Gesetz verankert. Sie macht Lieferkettensicherheit zum Pflichtbestandteil des Risikomanagements. Die den Umgang mit personenbezogenen Daten vorgebende DSGVO regelt über Artikel 28 die Auftragsverarbeitung. DORA verpflichtet Finanzunternehmen zu einem Register aller IKT-Dienstleister, zu Ausstiegsstrategien und zur Bewertung von Konzentrationsrisiken. Der Cyber Resilience Act ergänzt Anforderungen an digitale Produkte (Hard- und Software mit Kommunikationsfähigkeiten), der AI-Act an KI-Systeme.
Die Folge: Ein einziger Cloud-Vertrag berührt schnell vier oder fünf Regelwerke parallel. Und die Geschäftsleitung haftet dafür persönlich.
Das eigentliche Risiko ist nicht Non-Compliance, sondern Doppelarbeit
Die meisten Organisationen scheitern nicht daran, dass sie die Anforderungen ignorieren. Sie scheitern an der Organisation ihrer Compliance-Arbeit. Ein häufig auftretendes Problem: Die Rechtsabteilung bearbeitet NIS2, die IT-Sicherheit kümmert sich um DORA, der Datenschutzbeauftragte um die DSGVO. Das Ergebnis sind dann mehrere Fragebögen an denselben Dienstleister, widersprüchliche Risikobewertungen und Lücken, die niemand bemerkt, weil jeder nur seinen Ausschnitt sieht.
Dabei überlappen die Regelwerke sich erheblich. Ein Risiko für die IKT-Verfügbarkeit nach DORA ist fast immer auch ein Risiko für die Versorgungssicherheit nach NIS2 – und häufig zusätzlich ein Datenschutzrisiko. Wer diese Überschneidungen gezielt nutzt, senkt den Aufwand deutlich und erhöht gleichzeitig die Qualität der Analyse.
Common Controls Framework: eine Kontrollbibliothek für alle Regelwerke
Der Lösungsansatz heißt Common Controls Framework. Die Idee ist einfach: Statt pro Regelwerk eine eigene Analyse zu fahren, werden alle externen und internen Anforderungen auf einen gemeinsamen Kontrollkatalog gemappt. Jede Kontrolle wird einmal definiert, einmal bewertet und einmal umgesetzt – dokumentiert wird jedoch, welche Anforderungen sie jeweils erfüllt.
Ein Beispiel aus dem Outsourcing-Alltag: Das vertraglich vereinbarte Auditrecht beim Dienstleister erfüllt gleichzeitig DORA Art. 30, die Lieferkettenanforderungen aus § 30 BSIG und Art. 28 DSGVO. Eine Maßnahme, drei Nachweise. Genau dieses Mapping erzeugt die Effizienzgewinne – und liefert Prüfern eine konsistente Nachweislage.
Als Rückgrat für den Kontrollkatalog eignen sich ISO/IEC 27001 mit Anhang A oder der BSI IT-Grundschutz. Das ist kein Zufall: Die zehn Maßnahmenbereiche aus § 30 BSIG entsprechen weitgehend den Anforderungen der ISO 27001, und auch DORA baut strukturell auf etablierten Frameworks auf, statt sie zu ersetzen.
Abbildung 1: Kern des Common Control Framework
In fünf Schritten zur integrierten Risikoanalyse
- Regulatorisches Inventar erstellen.
Klären Sie zuerst die Betroffenheit: Fällt Ihr Unternehmen unter NIS2, und in welche Kategorie? Gilt DORA? Welche Branchenstandards und internen Richtlinien kommen hinzu? Diese Prüfung ist die häufigste Fehlerquelle, insbesondere bei Konzern- und Beteiligungsstrukturen.
- Anforderungen auf den Kontrollkatalog mappen.
Übersetzen Sie jede regulatorische und interne Anforderung in Kontrollen Ihres gewählten Rahmenwerks. Am Ende steht eine einzige Kontrollbibliothek mit Referenzspalten für NIS2, DSGVO, DORA und interne Vorgaben.
- Eine Risikoanalyse nach einer Methodik durchführen.
Nutzen Sie ISO/IEC 27005 oder den BSI-Standard 200-3. Speziell für Outsourcing liefert ISO/IEC 27036 zur Informationssicherheit in Lieferantenbeziehungen die passende Ergänzung. Im Finanzumfeld gibt es für das Outsourcing die Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA).
- Outsourcing-spezifische Bausteine ergänzen.
Erstellen Sie ein Inventar aller IT-Dienstleister und markieren Sie jene, die kritische oder wichtige Funktionen unterstützen. Prüfen Sie anschließend die Verträge per Gap-Analyse auf Auditrechte, SLAs zur Vorfallmeldung, Transparenz über Subunternehmer und belastbare Exit-Regelungen. Ergänzen Sie datenschutzseitig den Auftragsverarbeitungsvertrag und – bei Drittlandtransfer – Standardvertragsklauseln.
- Verträge am strengsten Maßstab ausrichten.
Ein pragmatischer Hebel: Gestalten Sie Ihre Lieferantenverträge nach dem „Goldstandard“ DORA. Damit decken Sie die NIS2-Anforderungen an die Lieferkettensicherheit weitgehend automatisch mit ab.
Diese Standards und Vorlagen können Sie nutzen
Eine fertige „Eine-Analyse-für-alles”-Vorlage zum Download existiert leider nicht – die Bausteine dafür schon. Öffentlich verfügbare Mappings zwischen den Regelwerken ersparen den Großteil der Fleißarbeit, etwa die Gegenüberstellungen von NIS2 zu ISO 27001 bei OpenKRITIS oder die Veröffentlichungen der ENISA. Das Secure Controls Framework (SCF) stellt einen frei verfügbaren Meta-Kontrollkatalog mit Mappings auf NIS2, DSGVO, DORA, ISO und NIST bereit. Der BSI IT-Grundschutz liefert mit dem Baustein OPS.2.3 „Nutzung von Outsourcing” eine sofort einsetzbare Maßnahmenbasis. Für die Lieferantenabfrage haben sich standardisierte Fragebögen wie das „SIG Questionnaire“ etabliert.
Ein Hinweis zur Skalierung: Bei einer zweistelligen Zahl an Dienstleistern funktioniert meist eine gepflegte Tabelle. Bei hunderten Lieferanten werden manuelle Excel-Listen fehleranfällig – dann lohnt der Umstieg auf eine GRC-Plattform (Governance, Risk and Compliance), die Nachweise automatisiert einsammelt und den Status laufend überwacht.
Fazit: Integration schlägt Vollständigkeit im Einzelfall
Die Zahl der Regelwerke wird weiter steigen. Wer darauf mit immer neuen Einzelanalysen reagiert, erhöht seinen Aufwand schneller als sein Sicherheitsniveau. Der integrierte Ansatz über ein Common Controls Framework dreht diese Logik um: einmal analysieren, einmal bewerten, mehrfach nachweisen.
Der Einstieg ist unspektakulär und genau deshalb wirksam. Erstellen Sie das regulatorische Inventar, wählen Sie ein Rahmenwerk als Rückgrat und mappen Sie die Anforderungen konsequent dagegen. Behandeln Sie Ihr Risikomanagement im IT-Outsourcing dabei nicht als Abteilungsaufgabe, sondern als gemeinsamen Prozess aller Beteiligten, d.h. insbesondere von IT, Datenschutz, Recht und Einkauf. Dann wird aus einer Pflichtübung ein belastbarer Nachweis digitaler Resilienz – gegenüber Aufsichtsbehörden ebenso wie gegenüber Kunden.
