Kurz gesagt: Die DORA-Verordnung (EU 2022/2554) gilt seit dem 17. Januar 2025 und verpflichtet Finanzunternehmen zur strukturierten Steuerung ihrer IKT-Drittdienstleister. Wie Sie Anbieter bewerten, welche Vertragsklauseln Pflicht sind, was ins IKT-Register gehört und was für „kritische“ Anbieter gilt.

Wen DORA betrifft

DORA (Digital Operational Resilience Act) gilt für nahezu alle Finanzunternehmen in der EU:

  • Kreditinstitute (auch kleine Sparkassen und VR-Banken)
  • Wertpapierfirmen, Krypto-Asset-Dienstleister
  • Versicherungs- und Rückversicherungsunternehmen
  • Zahlungs- und E-Geld-Institute
  • Kapitalverwaltungsgesellschaften
  • Handelsplätze, Datenbereitstellungsdienste und Ratingagenturen

Die nationale Aufsicht liegt in Deutschland bei der BaFin. Die Europäischen Aufsichtsbehörden (ESAs) benennen kritische IKT-Drittdienstleister und überwachen diese direkt.

Warum Drittparteien das DORA-Risiko sind

In der Praxis liefern Finanzinstitute kaum noch eigene IT-Stacks. Cloud-Anbieter, Core-Banking-Provider, Compliance-SaaS, Marktdaten-Lieferanten, Identity-Services, KI-Modell-Anbieter. Jeder davon kann den Bankbetrieb stören. DORA macht diese Abhängigkeiten zur regulierten Pflicht.

Die zentralen DORA-Artikel zum Drittparteienrisiko:

  • Artikel 28: Allgemeine Grundsätze, Informationsregister (Abs. 3), Bewertung vor Vertragsschluss (Abs. 4), Ausstiegsstrategien (Abs. 8)
  • Artikel 29: Vorläufige Bewertung des IKT-Konzentrationsrisikos
  • Artikel 30: Verbindliche Vertragsklauseln
  • Artikel 31-44: Aufsichtsrahmen für kritische IKT-Drittdienstleister

Wer heute noch IKT-Verträge ohne DORA-Klauseln abschließt oder verlängert, riskiert aufsichtsrechtliche Beanstandungen.

Anbieter-Bewertung vor Vertragsabschluss

DORA verlangt vor Vertragsschluss eine systematische Bewertung (Artikel 28 Abs. 4), ergänzt um die Prüfung des Konzentrationsrisikos (Artikel 29). Folgende Punkte gehören in jede Anbieter-Bewertung:

  1. Kritikalität des Service. Welche Funktion wird ausgelagert? Welche Geschäftsprozesse hängen davon ab? Welcher Schaden droht bei Ausfall?
  2. Konzentrationsrisiko. Wie viele unserer IKT-Services laufen schon über diesen Anbieter? Wie viele unserer Wettbewerber auch? Gibt es Cluster-Risiken (z. B. zwei Hyperscaler, die einem Konzern gehören)?
  3. Geografie und Recht. Wo werden Daten verarbeitet, wo gespeichert? Welche Rechtsordnung greift bei Konflikten? CLOUD Act, Schrems II, kein EU-Datenschutz: alles Risikofaktoren.
  4. Sub-Unternehmer-Kette. Wer sind die Lieferanten unseres Lieferanten? DORA erfasst die ganze Kette, nicht nur den ersten Vertragspartner.
  5. Sicherheitsreife. Zertifizierungen (ISO/IEC 27001:2022, SOC 2 Type II), Penetration-Test-Berichte, Vulnerability-Management, Incident-History.
  6. Finanzielle Stabilität. Bestandsrisiko des Anbieters: Insolvenzgefahr, Eigentümerstruktur, Exit-Strategie.
  7. Exit-Fähigkeit. Wie kommen wir wieder aus dem Vertrag heraus? Datenportabilität, Übergangsfristen, Reversibilität.

Diese Bewertung muss dokumentiert, durch die Geschäftsleitung gebilligt und in regelmäßigen Abständen aktualisiert werden.

Verbindliche Vertragsklauseln nach Artikel 30

DORA listet konkret, was in jedem IKT-Vertrag stehen muss. Auszug der wichtigsten Klauseln:

  • Vollständige Service-Beschreibung inklusive aller Funktionen und Service-Level
  • Geografie der Datenverarbeitung mit Pflicht zur Vorabmeldung bei Änderungen
  • Datenschutz-, Verfügbarkeits- und Integritäts-Vorgaben
  • Audit- und Inspektionsrechte für das Finanzinstitut UND die Aufsichtsbehörde
  • Kooperationspflichten bei Sicherheitsvorfällen mit klaren Fristen
  • Schulungs- und Awareness-Pflichten des Anbieters
  • Pflicht zur Mitwirkung an bedrohungsorientierten Penetrationstests (TLPT), bei kritischen oder wichtigen Funktionen
  • Exit-Strategie mit übergebbaren Daten in standardisierten Formaten
  • Kündigungsrechte bei schwerwiegenden Verstößen
  • Strengere Anforderungen bei kritischen oder wichtigen Funktionen

Eine allgemeine Übergangsfrist für bestehende Verträge sieht DORA nicht vor. Bestandsverträge sollten daher zügig angepasst werden, nicht erst bei Verlängerung.

Das IKT-Register

Jedes Finanzinstitut muss ein IKT-Drittdienstleister-Register führen und der Aufsicht (in Deutschland der BaFin) auf Anforderung übermitteln (Artikel 28 Abs. 3). Inhalte:

  • Anbieter-Identifikation (Name, Sitz, Rechtsform, LEI-Nummer)
  • Service-Beschreibung und Kritikalitäts-Einstufung
  • Vertragsdaten, Laufzeit, Verlängerungsoptionen
  • Sub-Unternehmer-Kette
  • Geografie der Datenverarbeitung
  • Risikobewertung mit Aktualisierungs-Datum
  • Anbieter-Konzentrationskennzahlen

Aufbau und Format des Registers legt die Durchführungsverordnung (EU) 2024/2956 verbindlich fest. Viele Institute arbeiten trotzdem mit losen Excel-Listen. Eine gepflegte Datenbank mit Versionierung, Rollen und Änderungsprotokoll macht die Meldung an die Aufsicht deutlich einfacher.

Kritische IKT-Drittdienstleister

Anbieter, von denen viele Finanzunternehmen abhängen, können von den ESAs als kritische IKT-Drittdienstleister benannt werden (Artikel 31). Sie unterliegen dann direkter EU-Aufsicht. Für Finanzunternehmen bedeutet das:

  • Die ESAs prüfen den Anbieter direkt und können ihm Empfehlungen aussprechen (Artikel 35).
  • Setzt der Anbieter Empfehlungen nicht um, kann die nationale Aufsicht von Finanzunternehmen verlangen, die Nutzung betroffener Dienste vorübergehend auszusetzen oder zu beenden (Artikel 42).

Die ESAs haben die erste Liste am 18. November 2025 veröffentlicht. Sie umfasst 19 Anbieter, darunter große Cloud-, Telekommunikations- und Softwareanbieter, und wird jährlich aktualisiert. Prüfen Sie, welche Ihrer Dienstleister darauf stehen.

Typische Lücken in der Praxis

Drei Punkte, die wir in DORA-Beratungsmandaten regelmäßig sehen:

  • Verträge zu spät angepasst. Alte Cloud-Verträge laufen oft 3 bis 5 Jahre und enthalten keine DORA-Klauseln. Das Argument „greift erst bei Verlängerung“ ist riskant, die BaFin kann auch vorher Anpassungen verlangen.
  • Konzentrationsrisiko unterschätzt. Drei verschiedene SaaS-Anbieter laufen alle auf demselben Hyperscaler. Bei Ausfall des Hyperscalers sind alle drei weg. Auf dem Papier diversifiziert, in Wirklichkeit nicht.
  • KI-Anbieter nicht im Register. LLM-APIs, KI-Compliance-Tools, Sprachmodelle für Kundenservice: alles IKT-Drittdienstleister im Sinne von DORA. Wer KI-Services nicht im Register hat, hat eine Lücke.

Wie GermanAI Defense unterstützt

Wir unterstützen Finanzinstitute beim Aufbau DORA-konformer Drittanbieter-Steuerung: Anbieter-Bewertung nach Artikel 28 und 29, Vorlagen für Vertragsklauseln nach Artikel 30, Aufbau und Pflege des IKT-Registers, Vorbereitung auf TLPT (Threat-Led Penetration Testing). Selbst nach ISO/IEC 27001:2022 zertifiziert, mit Sitz in Frankfurt am Main.

→ Mehr zu unserer GRC- und Compliance-Beratung: GRC & Compliance Consulting