IT-Dienstleistungen für regulierte Branchen

Warum Governance kontinuierlich und nicht nur in bestimmten Abständen stattfinden muss

Die Regulierung im Bank-, Versicherungs- und Gesundheitswesen entwickelt sich ständig weiter, und die Institutionen müssen ergebnisorientierte Vorschriften, Branchenstandards und nationale Anforderungen kontinuierlich in operative Kontrollmaßnahmen und nachprüfbare Nachweise umsetzen. Dadurch wird Governance zu einer kontinuierlichen operativen Disziplin und nicht zu einer periodisch durchgeführten Compliance-Maßnahme.

Zwei Entwicklungen machen diesen Wandel konkret. Seit dem 17. Januar 2025 verpflichtet dasEU-Gesetz zur digitalen Betriebsresilienz (DORA) die betroffenen Finanzinstitute dazu, ihr IKT-Risikomanagement zu stärken, Verzeichnisse über Vereinbarungen mit Dritten zu führen, die Resilienz zu testen und Konzentrationsrisiken zu steuern – und im November 2025 wurden die ersten kritischen IKT-Drittanbieter von den europäischen Aufsichtsbehörden offiziell benannt. Im Gesundheitswesen erweitert dieNIS2-Richtlinie der EU die Anforderungen an das Cybersicherheits-Risikomanagement und die Meldung von Vorfällen auf den gesamten Sektor und bezieht Managed-Service- und Sicherheitsanbieter in ihren Geltungsbereich ein, während britische Organisationen mit Zugriff auf NHS-Patientendaten ihre Sicherheitspraktiken mithilfe des „NHS Data Security and Protection Toolkit“ nachweisen müssen.

Auch KI wird nicht mehr als eigenständiges, neu aufkommendes Thema betrachtet. Die Verpflichtungen für Anbieter von Allzweck-KI-Modellen gemäß dem EU-KI-Gesetz gelten seit 2025, unddie Transparenzpflichten gemäß Artikel 50 für Anbieter und Betreiber bestimmter interaktiver und generativer KI-Systeme gelten ab dem 2. August 2026 – das heißt, sie sind bereits ab diesem Monat in Kraft.

Beim Vergleich zwischen periodischen Compliance-Zertifizierungen und dem kontinuierlichen Nachweis der Compliance kommen die Aufsichtsbehörden im Bank-, Versicherungs- und Gesundheitswesen zu dem gleichen Ergebnis: Eine kontinuierliche, nachweisbare Kontrolle ist heute die Voraussetzung, die die Anforderungen erfüllt.

Die vier Kompetenzen, die ein Technologiepartner unter Beweis stellen sollte

1. Sicherheit durch Konzeption, gestützt auf unabhängig nachgewiesene Kontrollmaßnahmen, anstatt erst nach der Einführung auf die Einhaltung der Vorschriften zu achten.

2. Eine robuste, portabile Hybridinfrastruktur mit explizitem Management von Lieferanten- und Konzentrationsrisiken. Multi-Cloud-Lösungen können eine Möglichkeit sein, dieses Risiko zu mindern, sofern der Business Case dies rechtfertigt, sind jedoch an sich keine regulatorische Anforderung – was wirklich benötigt wird, ist eine Architektur, die auf Portabilität und Ausstiegsplanung ausgelegt ist, und nicht eine bestimmte Cloud-Strategie.

3.Kontrollierte KI, die in bestehende Risiko- und Prüfprozesse integriert ist – eine Bestandsaufnahme genehmigter Anwendungsfälle, Protokollierung, Rückverfolgbarkeit und menschliches Eingreifen, wo erforderlich, anstatt einer parallelen, schwer zu prüfenden Ebene.

4. Verantwortungsvolle Integration von Dienstleistungen in großem Maßstab, gestützt auf branchenspezifische Erfahrung, die ausreicht, um mehrere Anbieter zu koordinieren, anstatt lediglich eine Service-Level-Vereinbarung zu erfüllen.

Wo fragmentierte Bereitstellungsmodelle Risiken verursachen

Generische MSPs – wenden ein branchenübergreifendes Standardbetriebsmodell an; regulierte Organisationen benötigen in der Regel eine tiefgreifendere Integration in Risiko- und Compliance-Rahmenwerke, eine strengere Aufbewahrung von Belegen sowie eine strengere Aufgabentrennung, als dieses Modell vorsieht.

Hyperscale-Cloud-Anbieter – Hohe Ausfallsicherheit und Wirtschaftlichkeit, doch Architektur, Konfiguration, Identitätsmanagement und der Nachweis der Einhaltung gesetzlicher Vorschriften bleiben gemeinsame Verantwortlichkeiten – und DORA verschärft nun insbesondere die Kontrolle hinsichtlich Marktkonzentration und Ausstiegsplanung.

Unverbundene Einzellösungen – Jede Plattform kann für sich genommen gut funktionieren, doch da keine einzelne Partei für die Integration zwischen den Plattformen verantwortlich ist, muss der Kunde im Falle eines Audits oder Vorfalls die Daten aus den Bereichen Identität, Geräte, Anwendungen und KI-Aktivitäten selbst abgleichen.

Das Problem ist nicht, dass es einer dieser Lösungen an Leistungsfähigkeit mangelt – vielmehr sind ihre Betriebsmodelle in der Regel eher auf Standardisierung oder spezielle Funktionen ausgelegt als auf eine durchgängige Einhaltung der regulatorischen Vorgaben. Dadurch verfügen Unternehmen zwar über leistungsfähige Technologien, doch die Verantwortlichkeiten sind fragmentiert.

Wie „ Getronics “ diese vier Funktionen abdeckt

Sicherheit durch Konzeption.Die Kompetenz von „ Getronics “im Bereich regulierter Dienstleistungen stützt sich auf Kontrollmechanismen gemäß ISO 27001, ISO 22301, SOC 2 Typ II und ISAE 3402 Typ II sowie auf ISO 27701, PCI-DSS-Konformität und eine Prozessreife nach CMMI Level 3 – wobei diese Maßnahmen individuell auf jedes Projekt abgestimmt werden und nicht als pauschale Garantie gelten. In der Praxis: eine zertifizierteZahlungsabwicklungsplattform für eine brasilianische Bank, die mittlerweile 45 Millionen aktive Karten unterstützt, innerhalb von 15 Tagen implementiert wurde und als führender Anbieter gilt; einQualitätssicherungsbetrieb für eine chilenische Bank, der von 1.500 auf 6.000 Zertifizierungsstunden pro Monat skaliert wurde und über 120.000 Stunden in 195 Projekten gesammelt hat.

Robuste, portable Infrastruktur. „ Getronics “ verwaltetCloud-, On-Premises-, Edge- und Multi-Cloud-Umgebungen, ohne dabei die Multi-Cloud zu einem Selbstzweck zu machen – die Architektur orientiert sich an der Kritikalität der Dienste, der Wiederherstellbarkeit und der Ausstiegsplanung. Ein europäischer Versicherungs- und Finanzdienstleistungskonzern mit einem Umsatz von 10 Milliarden Euro betreibt seit 2010 mit „ Getronics “ parallele Azure- und AWS-Infrastrukturen, begleitet von BaFin-konformen Abläufen und geprüften Kontrollmechanismen.

Regulierte KI mit menschlicher Verantwortung. Generative KI, prädiktive Analysen und Automatisierung arbeiten im Servicebetrieb von „ Getronics “ Hand in Hand mit menschlicher Verantwortung. Eine KI-gestützte Self-Service-Plattform für die Versicherungsnehmer eines europäischen Versicherers senkte die Service-Kosten um 57 %. Bei einem Gesundheitsdienstleister mit 160 Arztpraxen konnte ein KI-gestütztes Kontakt Center , über 70 % der eingehenden Anrufe abfangen, die Servicekosten um 75 % senken und die Terminvereinbarungsquote von unter 40 % auf über 80 % steigern.

Vertrauenswürdige Service-Integration in großem Maßstab. Unternehmen in über 180 Ländern vertrauen bei der Bereitstellung ihres digitalen Arbeitsplatzes auf Getronics – und wir wurden bereits zum fünften Mal als „Niche Player“ imGartner® 2025 Magic Quadrant™ für Outsourced Digital Workplace Services (ODWS) ausgezeichnet. Diese Anerkennung spiegelt unserer Meinung nach die Beständigkeit unserer weltweiten Leistungserbringung wider. Diese Beständigkeit stützt sich auf mehr als 35 Jahre Erfahrung in regulierten Umgebungen mit hohen Anforderungen, die wir über 22 Dienstleistungszentren und einen rund um die Uhr verfügbaren Service Desk in 22 Sprachen bereitstellen.

„Was ich in der Praxis am häufigsten beobachte, ist Technologie, die für sich genommen einwandfrei funktioniert, bei der aber niemand die Verantwortung dafür übernimmt, wie sie als Ganzes zusammenpasst“, sagt Stephen Homer, Digital Workplace Portfolio Manager bei Getronics. „Der Mehrwert eines verantwortungsbewussten Integrators liegt nicht in einer geringeren Anzahl von Anbietern – sondern darin, dass ein einziges Team die Transparenz der Abhängigkeiten, die Zuständigkeit für Vorfälle und die Ausstiegsplanung über alle Anbieter hinweg koordiniert, sodass nichts in die Lücke zwischen den Plattformen fällt.“

Das Modell, auf das es sich lohnt, hinzuarbeiten

Die Erfüllung dieser Anforderungen bedeutet nicht, die Abhängigkeit von einem Hyperscaler gegen die Abhängigkeit von einem einzigen MSP einzutauschen. Ein nachhaltigeres Modell ist ein verantwortungsbewusster Service-Integrator, der mehrere Anbieter koordinieren, eine transparente Vergabe von Unteraufträgen gewährleisten, portable Architekturen und dokumentierte Ausstiegspläne unterstützen sowie die operative Verantwortung von Anfang bis Ende übernehmen kann. Ganz gleich, ob die Priorität auf der Modernisierung einer Bankplattform, dem Ausbau eines Versicherungs-Ökosystems oder der Unterstützung eines standortübergreifenden Gesundheitsnetzwerks liegt – die Anforderung ist dieselbe: Technologiedienstleistungen müssen widerstandsfähig und gut geregelt sein und die Kontrollmechanismen nachweisen können, auf die sich das Unternehmen stützt.

Häufig gestellte Fragen

1. Was ist DORA und für wen gilt es?
   Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die die betroffenen Finanzinstitute verpflichtet, ihr IKT-Risikomanagement zu stärken, Verzeichnisse über Vereinbarungen mit Dritten zu führen, die Widerstandsfähigkeit zu testen und das Konzentrationsrisiko zu steuern. Sie gilt seit dem 17. Januar 2025.
    
2. Gilt die NIS2-Richtlinie auch für Managed-Service-Anbieter?
   Ja. Die NIS2-Richtlinie erweitert die Anforderungen an das Risikomanagement im Bereich der Cybersicherheit und an die Meldung von Vorfällen auf verschiedene Sektoren, darunter auch das Gesundheitswesen, und bezieht Managed-Service-Anbieter und Sicherheitsdienstleister ausdrücklich in ihren Geltungsbereich ein.
    
3. Was unterscheidet einen verantwortungsbewussten Service-Integrator von einem herkömmlichen MSP?
   Anstatt ein einheitliches Betriebsmodell auf alle Kunden anzuwenden, koordiniert ein verantwortungsbewusster Service-Integrator mehrere Anbieter unter einer gemeinsamen Steuerungsstruktur, sorgt für transparente Untervergabe und übernimmt die durchgängige Verantwortung für die Störungsbehebung und die Ausstiegsplanung – anstatt dass jeder Anbieter nur für seinen eigenen Teilbereich verantwortlich ist.