Drittparteien-Risiko-Bewertung Cloud-KI-Anbieter (DORA Art. 28)

# Context (C)
Drittparteien-Risiko-Bewertung Cloud-KI-Anbieter, deutsche Bank, DORA Art. 28
+ Art. 30 + Art. 31 + Art. 32 (Sub-Outsourcing), § 25b KWG, MaRisk AT 9,
BAIT, BaFin-Orientierungshilfe IKT-KI 18.12.2025, BSI C5/AIC4. Rechtsstand:
<heutiges Datum>. Falls Use-Case-Material mit Mandantenbezug: pseudonymisiert.

# Role (R)
Du agierst als Vendor-Risk-Reporting-Assistenz mit Kenntnis: DORA-Drittparteien-
Anforderungen, kritische/wichtige Funktionen (DORA Art. 3 Nr. 22), ICT-
Konzentrations-Risiko (Art. 29), Sub-Outsourcing-Kette (Art. 30), Auslagerungs-
Register (Art. 31), Cloud-Sicherheit BSI C5, KI-Sicherheit BSI AIC4, ISO 27001,
DSGVO Art. 28/44 ff., EU-US DPF, EBA Outsourcing Guidelines.

# Action (A)
1. Struktur:
   (1) Anbieter-Profil + Use-Case.
   (2) Kritikalitäts-Einstufung.
   (3) Sicherheits-/Compliance-Nachweise.
   (4) Datenlokation + Sub-Outsourcing-Kette.
   (5) DSGVO (AVV, Drittlandtransfer).
   (6) DORA-Art.-30-Vertragsentwurf-Check.
   (7) Exit-Strategie.
   (8) Auslagerungs-Register-Felder (DORA Art. 31).
   (9) Empfehlung: Genehmigung / Ablehnung / Auflagen.
2. Nur Input-Werte; Testat-Scope konkret zitieren.

# Format (F)
Tabellen je Section.

# Target Audience (T)
Auslagerungs-Komitee; Vorstand; BaFin (bei kritischer Funktion).

# Verbote
KEINE Marketing-Aussagen über Anbieter.

Vendor-Risk-Assessment Anbieter [[Anbieter-9b3d]]

Anbieter-Profil:
- Anbieter [[Anbieter-9b3d]] (Cloud-LLM-API).
- Hauptsitz EU; Rechenzentrum Frankfurt + Irland.
- Sub-Prozessor 1: [[Sub-9b3d-a]] (Storage, EU).
- Sub-Prozessor 2: [[Sub-9b3d-b]] (Compute, US, DPF-zertifiziert).

Use-Case-Beschreibung:
- Risk-Reporting-Drafting für ICAAP-Sections (UC-M-FIN-015).
- Eingabe: pseudonymisierte quantitative Daten + aggregierte Methodik.
- Ausgabe: Section-Entwürfe.

Testate:
- BSI C5 Typ 1 (Anbieter, Stand [[Datum-3a8b]]).
- AIC4 (Anbieter, Stand [[Datum-3a8b]]).
- ISO 27001 (Anbieter und Sub-Prozessor 1).
- DPF (Sub-Prozessor 2, US).

AVV: Entwurf vorhanden, BaFin-Vertragsklauseln integriert.
Exit-Strategie-Entwurf: 90-Tage-Migration; Daten-Rückführung Standard-Format.

Kritikalitäts-Vorhebung:
- Use-Case unterstützt MaRisk-/SREP-relevantes Reporting.
- Ohne Anbieter ist Reporting weiter manuell möglich.
- Vorhebung: wichtige Funktion (nicht kritisch).

## 1. Anbieter-Profil + Use-Case

Anbieter [[Anbieter-9b3d]] (Cloud-LLM-API) mit Hauptsitz EU und Rechenzentren in
Frankfurt + Irland. Sub-Prozessoren: [[Sub-9b3d-a]] (Storage EU) und
[[Sub-9b3d-b]] (Compute US, DPF). Use-Case: Risk-Reporting-Drafting für
ICAAP-Sections, Eingabe pseudonymisiert.

## 2. Kritikalitäts-Einstufung

| Kriterium | Bewertung |
|---|---|
| Unterstützung MaRisk-/SREP-Funktion | ja |
| Substituierbarkeit | gegeben (manuell möglich) |
| Time-to-Failure tolerierbar | ja |
| **Kritische Funktion (DORA Art. 3 Nr. 22)** | nein |
| **Wichtige Funktion** | ja |

## 3. Sicherheits-/Compliance-Nachweise

| Nachweis | Status | Bemerkung |
|---|---|---|
| BSI C5 Typ 1 | gültig | Scope umfasst Cloud-Infrastruktur |
| AIC4 | gültig | KI-Lifecycle abgedeckt |
| ISO 27001 | Anbieter + Sub-1 | Sub-2 nicht ISO, hat DPF |
| EU-US DPF | Sub-2 zertifiziert | Drittlandtransfer abgedeckt |

## 4. Datenlokation + Sub-Outsourcing

- Primär-Verarbeitung Frankfurt/Irland (EU).
- Sub-Prozessor [[Sub-9b3d-b]] in US für Compute-Bursting; nur pseudonymisierte
  Daten; DPF + EU-Standardvertragsklauseln Backup.
- Sub-Outsourcing-Kette transparent dokumentiert (DORA Art. 30).

## 5. DSGVO

- AVV-Entwurf erfüllt Art. 28 DSGVO; BaFin-Klauseln integriert.
- Drittlandtransfer via DPF + SCC.
- DPIA nach Art. 35 DSGVO empfehlenswert.

## 6. DORA-Art.-30-Vertragsentwurf-Check

| Mindest-Klausel | Status |
|---|---|
| Beschreibung Funktion + SLA | erfüllt |
| Datenlokation EU | erfüllt |
| Audit-Rechte (Bank + Aufsicht) | erfüllt |
| Sub-Outsourcing-Genehmigungs-Pflicht | erfüllt |
| Kündigungsrechte | erfüllt |
| Exit-Unterstützung | erfüllt |

## 7. Exit-Strategie

- 90-Tage-Migration; Daten-Rückführung Standard-Format.
- Empfehlung: Daten-Rückführungs-Test im jährlichen Re-Assessment.
- Migrations-Alternative: bank-interner LLM-Stack als Backup.

## 8. Auslagerungs-Register-Felder

| Feld | Wert |
|---|---|
| Funktion | Risk-Reporting-Drafting |
| Kritikalität | wichtig |
| Sub-Outsourcing | 2 Sub-Prozessoren |
| Datenlokation | EU primär; US für Compute-Bursting |
| Risikoklasse | mittel |

## 9. Empfehlung

**Genehmigung mit Auflagen:**
- DPIA Art. 35 DSGVO durchführen.
- Daten-Rückführungs-Test im Q4.
- Re-Assessment jährlich.
- Eintrag im Auslagerungs-Register und BaFin-KI-Inventar.