Uitbesteding van ICT vraagt meer dan een goed contract. Toezichthouders verwachten dat risico's vooraf zijn beoordeeld, dat contracten aan de eisen voldoen en dat er een uitweg is als een leverancier wegvalt.
Herkenbaar
Situaties waarin dit helpt
De toezichthouder vraagt om het informatieregister van ICT-dienstverleners.
Bestaande ICT-contracten missen afspraken die DORA artikel 30 voorschrijft.
Niet duidelijk is welke functies kritiek of belangrijk zijn.
Een nieuwe leverancier moet worden beoordeeld voordat het contract wordt getekend.
Er is geen exitplan voor een kritieke ICT-dienstverlener.
Aanpak
In vijf stappen
Functies indelen
Welke functies kritiek of belangrijk zijn.
Risico vooraf
Due diligence en concentratierisico vóór contractering.
Contracteisen
Contracten toetsen en aanvullen op DORA artikel 30, ook voor onderaanneming.
Register
Het informatieregister vullen en actueel houden.
Exit
Een uitvoerbaar exitplan per kritieke dienstverlener.
Resultaat
Wat het oplevert
indeling van functies;
risicobeoordeling per leverancier;
contracttoets met tekstvoorstellen;
informatieregister;
exitplannen.
Wet- en regelgeving
Regels die meetellen
Data en termijnen staan in de regelgevingskalender.
DORA: contracteisen, informatieregister en onderaanneming;
