Dienstleisterausfall im Kapitalmarkt: So wird Ihr Notfalltest aussagekräftig

Der aktuelle Anlass: Abhängigkeiten bleiben ein Aufsichtsthema

EBA, EIOPA und ESMA hoben am 23. September 2026 externe Abhängigkeiten, Cyberbedrohungen und Risiken durch neue Technologien hervor. Die Aufseher sehen insbesondere die Konzentration auf IKT-Dienstleister außerhalb des Europäischen Wirtschaftsraums als relevante Verwundbarkeit. Sie rufen dazu auf, die Vorbereitung auf Störungen zu stärken. [1]

Daraus folgt für ein einzelnes Projekt keine pauschale neue Frist und keine automatische Austauschpflicht für einen Anbieter. Der praktische Ansatz ist, die Auswirkungen einer konkreten Störung auf den eigenen Betrieb nachvollziehbar zu prüfen.

Beginnen Sie mit einem Geschäftsprozess

„Die Cloud fällt aus“ ist für einen brauchbaren Test zu ungenau. Wählen Sie beispielsweise die Erstellung und Freigabe von Settlement-Instruktionen. Beschreiben Sie, welche Daten fehlen, welche Systeme noch funktionieren und welche Geschäfte betroffen sind.

Ordnen Sie dann jede Abhängigkeit zu: Wer liefert Daten, wer entscheidet, wer darf freigeben und welcher externe Partner muss erreichbar sein? Prüfen Sie außerdem, ob der vorgesehene Ersatz denselben Zugang, dieselbe Identitätsverwaltung oder dieselbe technische Plattform benötigt. Eine gemeinsame Ausfallursache kann beide Wege gleichzeitig treffen.

Ein Zeitbudget macht Lücken sichtbar

Fiktive Übung: Zwischen Beginn der Störung und dem für diesen Prozess angenommenen letzten zulässigen Abschluss liegen 90 Minuten. Das Team benötigt 15 Minuten zur Erkennung, 20 Minuten für Entscheidung und Freigabe des Ersatzverfahrens und 45 Minuten zur Bearbeitung und Kontrolle. Zusammen sind das 80 Minuten; es verbleiben 10 Minuten Reserve.

Benötigt die Freigabe wegen einer fehlenden Vertretung 35 statt 20 Minuten, steigt der Gesamtbedarf auf 95 Minuten. Das angenommene Zeitfenster wird um fünf Minuten verfehlt. Eine technisch funktionierende Ersatzlösung wäre damit für diesen Fall nicht rechtzeitig nutzbar.

Ersetzen Sie die Beispielwerte durch gemessene Zeiten, das relevante Geschäftsvolumen und Ihre tatsächlichen Cut-offs. Ein kleiner Test mit wenigen Geschäften belegt noch keine ausreichende Kapazität an einem Spitzentag.

Fünf Kriterien für eine nachvollziehbare Abnahme

• Erkennung: Das Team erkennt die Störung über einen definierten Hinweis und hält den Zeitpunkt fest.
• Entscheidung: Eine erreichbare Person einschließlich Vertretung entscheidet innerhalb des vereinbarten Zeitbudgets.
• Ersatzverfahren: Berechtigte Mitarbeitende können den Prozess mit den benötigten Daten ausführen; Freigaben und Kontrollen bleiben nachvollziehbar.
• Wiederanlauf: Nach Rückkehr des Dienstleisters werden bearbeitete und offene Vorgänge abgeglichen. Doppelte Instruktionen und fehlende Geschäfte müssen erkennbar sein.
• Nachweis: Ergebnisse, Abweichungen, verantwortliche Personen und ein erneuter Testtermin sind dokumentiert. Eine nicht ausgeführte Prüfung bleibt offen.

So verbinden Sie den Test mit T+1 und Projektarbeit

ESMA fordert bei den T+1-Vorbereitungen die Betrachtung der gesamten Handels- und Abwicklungskette. [2] Ein Ausfalltest ergänzt diese Arbeit um eine entscheidende Frage: Trägt das Ersatzverfahren auch dann, wenn weniger Zeit zur Korrektur bleibt?

Planen Sie zunächst eine kurze gemeinsame Ablaufbesprechung mit Operations, IT und den relevanten Kontrollfunktionen. Daraus entsteht ein ausführbarer Test mit klarer Ausgangslage, erwarteten Ergebnissen und sicherer Testumgebung. Ein Gespräch allein belegt noch nicht, dass das Verfahren funktioniert.

Trennen Sie offene fachliche Entscheidungen von technischen Fehlern. So kann die Projektleitung gezielt eskalieren und nach der Korrektur prüfen, ob der gesamte Ablauf wieder trägt.