Das Informationsregister der IT-Dienstleister lesen: Beziehungen, Verträge, Services und Unterauftragnehmer

Viele Aufsichtsregeln verlangen ein Verzeichnis aller IT-Dienstleister: wer für Sie arbeitet, auf welcher vertraglichen Grundlage, für welche Services und mit welchen weiteren Firmen im Hintergrund. Ein Beispiel dafür ist die EU-Verordnung DORA. In knooing müssen Sie dieses Verzeichnis nicht von Hand pflegen. Das Informationsregister setzt es aus den Angaben zusammen, die Sie bei Lieferanten, Verträgen und Services ohnehin führen.

Diese Anleitung zeigt, wo das Register steht und wie Sie es lesen. Julia Beispiel ist bei der Beispiel GmbH, einem Handels- und Logistikunternehmen, für die Steuerung der Dienstleister zuständig. Sie prüft vor einem Termin mit der Revision, ob das Register vollständig ist. Wie neue Unterauftragnehmer ins Register kommen, steht in Unterauftragnehmer erfassen und freigeben lassen.

Die wichtigsten Begriffe

• IKT-Drittdienstleister: ein fremdes Unternehmen, das IT-Leistungen für Sie erbringt. IKT steht für Informations- und Kommunikationstechnik. In knooing heißt es auch Lieferant oder Dienstleister.
• Informationsregister: das Verzeichnis aller dieser Dienstleister mit ihren Beziehungen, Verträgen und Services.
• Beziehung (auch Lieferantenbeziehung): der Auftrag, über den ein Dienstleister für Sie arbeitet, etwa „Betrieb Warenwirtschaft“.
• Kritische Funktion: eine Geschäftstätigkeit, deren Ausfall Ihr Unternehmen schwer trifft, etwa die Auftragsabwicklung. Ein Service hat eine kritische Funktion, wenn eine freigegebene Bewertung ihn so einstuft.
• Hauptlieferant: der Dienstleister, der einen Service überwiegend erbringt.
• Unterauftragnehmer (in der App auch Sublieferant): eine Firma, die Ihr Dienstleister selbst beauftragt. Rang 1 arbeitet direkt für Ihren Dienstleister, Rang 2 für den Unterauftragnehmer mit Rang 1.
• Rechtsträger-ID: die eindeutige Kennung eines Unternehmens, etwa die 20-stellige LEI (Legal Entity Identifier).
• EU/EWR und Drittland: Ob eine Leistung oder die Daten in der EU und dem Europäischen Wirtschaftsraum bleiben oder in einem Land außerhalb, ein sogenanntes Drittland.
• Zeichen: ein kleines farbiges Etikett mit Text, etwa aktiv.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Das Informationsregister öffnen

Klicken Sie in der Seitenleiste unter Servicedesk auf Major Incidents / DORA. Öffnen Sie oben den Reiter Register (1). Darunter ist Informationsregister (2) schon gewählt.

12

Danach sehen Sie je Dienstleister eine Karte. Neben dem Namen steht sein Zustand als Zeichen, etwa aktiv. Darunter steht, wie viele Beziehungen, Verträge und Services an ihm hängen, im Beispiel bei der Muster IT-Service GmbH „1 Beziehung(en) · 1 Vertrag/Verträge · 2 Service(s)“. Bearbeiten können Sie hier nichts: Die Seite ist eine reine Übersicht.

Warum hier? Das Register fasst an einer Stelle zusammen, was sonst auf vielen Lieferantenseiten verteilt ist. So beantworten Sie Fragen der Revision ohne Suche.

Beispiel: Julia sieht drei Dienstleister: die Beispiel Lohnservice GmbH, die Muster IT-Service GmbH und die Muster Rechenzentrum AG.

Schritt 2: Einen Dienstleister aufklappen

Klicken Sie bei einem Dienstleister rechts auf Verträge und Dienste anzeigen (1). Die Zahl in Klammern nennt, wie viele Verträge und Services zusammen darunter stehen.

1

Danach klappt die Karte auf, und der Knopf heißt Verträge und Dienste ausblenden. Sie sehen drei Abschnitte:

• Beziehungen: jede Beziehung mit ihrem Zustand, etwa aktiv. Das Zeichen kritische Funktion heißt, dass die Beziehung eine kritische Funktion stützt. Dahinter steht, wann die nächste Überprüfung fällig ist.
• Verträge: je Vertrag Referenz, Status, Laufzeit und Jahreskosten. Das Zeichen kritisch markiert einen Vertrag für eine kritische Funktion. Ohne Ende steht bei der Laufzeit „unbefristet“.
• Dienste: die Services, die der Dienstleister erbringt, mit seiner Rolle, etwa Hauptlieferant, und dem Zeichen kritische Funktion, wenn der Service eine hat.

Fehlt eine Angabe, ergänzen Sie sie dort, wo sie gepflegt wird. Das zeigt der Abschnitt „Woher die Angaben stammen“ unten.

Warum aufklappen? Erst hier sehen Sie, ob zu jeder kritischen Leistung ein Vertrag und eine Beziehung stehen.

Beispiel: Bei der Muster IT-Service GmbH steht die Beziehung „Betrieb Warenwirtschaft“, der Vertrag IT-2025-014 vom 1.7.2025 bis 30.6.2028 mit 120.000 EUR im Jahr und die Dienste Warenwirtschaft und Lagerverwaltung.

Schritt 3: Die Unterauftragnehmer lesen

Klicken Sie oben auf Sublieferanten (1). Je Dienstleister und Beziehung steht dort eine Tabelle der Unterauftragnehmer.

1i

Danach sehen Sie je Unterauftragnehmer:

• Rang, Name und Rechtsträger-ID.
• Leistungsbezug: was er für die Beziehung leistet.
• Leistungsland und Datenland als Ländercode, etwa DE für Deutschland, mit dem Zeichen EU/EWR oder Drittland. Ein Drittland verdient einen zweiten Blick, weil dort andere Datenschutzregeln gelten können.
• Kritische Funktion: ja oder nein.
• Freigabe (i): freigegeben mit Datum, Beantragt (eine zweite Person muss noch entscheiden), Widerspruch oder Bestandsschutz (vor Einführung der Freigabepflicht erfasst, gilt weiter). Darunter steht in Rot „Einsatz nicht zulässig“, solange der Unterauftragnehmer nicht arbeiten darf.

Steht ein Eintrag auf Beantragt, entscheidet eine zweite Person im Servicedesk unter Freigaben. Wie das geht, zeigt Unterauftragnehmer erfassen und freigeben lassen, Schritt 3.

Warum die Kette? Fällt ein Unterauftragnehmer aus, trifft das oft auch Ihre Services. Deshalb gehört die ganze Kette ins Register.

Beispiel: Bei der Muster Rechenzentrum AG ist die Muster Netzwerk GmbH (Rang 1) freigegeben. Die Muster Cloud Hosting Inc. (Rang 2) sitzt in den USA, ist nur beantragt und darf noch nicht eingesetzt werden. Julia bittet die zweite Person, den Antrag zu entscheiden.

Woher die Angaben stammen

Das Register liest nur. Gepflegt wird jede Angabe an ihrer Stelle:

• Dienstleister: in der Seitenleiste unter Mein Unternehmen, Lieferanten.
• Beziehungen: auf der Seite des Lieferanten im Reiter Beziehungen.
• Verträge: auf der Seite des Lieferanten im Reiter Verträge. Wie Sie einen Vertrag mit einer Beziehung verbinden, zeigt Vertrag mit einer Auslagerung verknüpfen.
• Dienste: am Service, wenn Sie festlegen, welcher Lieferant ihn erbringt. Das zeigt Auslagerung einer Leistung zuordnen.
• Unterauftragnehmer: auf der Seite der Beziehung im Abschnitt Unterauftragskette.

Wenn etwas nicht klappt

• Der Menüpunkt Major Incidents / DORA fehlt. Ihrer Rolle fehlt die Stufe Lesen in der Zeile Servicedesk - Vorgänge bearbeiten. Bitten Sie Ihre Administration darum.
• „Es sind noch keine IKT-Drittdienstleister erfasst.“ Es gibt noch keinen Lieferanten. Legen Sie ihn unter Mein Unternehmen, Lieferanten an.
• „Es sind noch keine Unterauftragnehmer erfasst.“ Bei keiner Beziehung steht ein Unterauftragnehmer. Tragen Sie die Kette ein, wie in Unterauftragnehmer erfassen und freigeben lassen beschrieben.
• Ein Service fehlt unter Dienste. Der Service ist dem Lieferanten noch nicht zugeordnet. Ordnen Sie ihn zu, wie in Auslagerung einer Leistung zuordnen beschrieben.
• „Die Daten konnten nicht geladen werden.“ Laden Sie die Seite neu. Bleibt die Meldung, wenden Sie sich an Ihre Administration.