DORA und IKT-Dritt­dienstleister: was Banken und Versicherungen in Österreich verlangen

01DORA in Österreich: Stand Herbst 2026

Der Digital Operational Resilience Act (öffnet externe Website) ist eine Verordnung und gilt deshalb seit 17. Jänner 2025 in allen Mitgliedstaaten direkt. Das nationale Recht bestimmt im Wesentlichen nur, wer beaufsichtigt und wie Verstöße geahndet werden. In Österreich ist das die Finanzmarktaufsicht (FMA) (öffnet externe Website), die mit der Oesterreichischen Nationalbank (OeNB) zusammenarbeitet. Die OeNB führt bei Banken auch die IT-Prüfungen vor Ort durch. Schwerwiegende IKT-Vorfälle gehen über die Incoming Platform der FMA.

Die Einzelheiten stehen nicht in der Verordnung selbst, sondern in technischen Standards der Kommission: zum Rahmenwerk für das IKT-Risikomanagement, zur Einstufung und Meldung von Vorfällen, zum Informationsregister, zu Vertragsrichtlinien, zur Unterauftragsvergabe und zu bedrohungsorientierten Penetrationstests. Für den Finanzsektor ersetzt DORA als Spezialregelung die NIS-2-Vorgaben zu Risikomanagement, Meldungen und Aufsicht. Am 18. November 2025 haben EBA, EIOPA und ESMA außerdem die erste Liste kritischer IKT-Drittdienstleister veröffentlicht (öffnet externe Website), die sie selbst überwachen.

02Finanz­unternehmen und ihre IKT-Dienstleister

DORA nennt zwanzig Arten von Finanzunternehmen: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Handelsplätze, Fondsverwalter, Versicherungen und Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung wie Pensionskassen, Ratingagenturen, Crowdfunding-Plattformen und weitere. Die Anforderungen wachsen mit Größe, Risikoprofil und Komplexität (Art. 4); für bestimmte kleinere Unternehmen gibt es einen vereinfachten Rahmen (Art. 16).

Unter IKT-Drittdienstleister fällt jedes Unternehmen, das IKT-Dienstleistungen anbietet, und DORA versteht darunter sehr viel: laufend über IKT-Systeme bereitgestellte digitale Leistungen und Datenleistungen für Nutzer innerhalb oder außerhalb der Organisation. Rechenzentrumsbetrieb, gemanagte Infrastruktur, SaaS, Wartung von Anwendungen und Datenservices zählen in aller Regel dazu. Eine direkte Aufsicht nach DORA gibt es für Lieferanten nur bei Einstufung als kritisch; die Pflichten kommen aber über jeden Vertrag mit Banken oder Versicherungen bei ihnen an.

03Das Leitungsorgan trägt das IKT-Risiko

Nach Art. 5 liegt die letzte Verantwortung beim Leitungsorgan, also bei Vorstand oder Geschäftsführung. Es legt das Rahmenwerk für das IKT-Risikomanagement fest, genehmigt und überwacht es, bestimmt Resilienzstrategie und Risikotoleranz, genehmigt die Leitlinie zur Geschäftsfortführung samt Reaktions- und Wiederherstellungsplänen und beschließt und überprüft die Leitlinie für IKT-Dienste von Drittanbietern. Seine Mitglieder müssen ihr Wissen aktuell halten, auch durch regelmäßige Schulungen.

04Schwerwiegende Vorfälle: 4 Stunden, 72 Stunden, ein Monat

Wie schwer ein IKT-Vorfall wiegt, beurteilt das Finanzunternehmen selbst, anhand der Kriterien aus Art. 18 und ihrer Konkretisierung in der delegierten Verordnung 2024/1772 (öffnet externe Website). Gefragt wird nach der Zahl betroffener Kundinnen, Kunden und Transaktionen, nach Dauer und Ausfall, regionaler Ausbreitung, verlorenen Daten, der Bedeutung der gestörten Dienste und dem wirtschaftlichen Schaden. Gilt ein Vorfall als schwerwiegend, geht die Meldung in drei Etappen an die Aufsicht; die Fristen stehen in der delegierten Verordnung 2025/301 (öffnet externe Website):

Kundinnen und Kunden, deren finanzielle Interessen betroffen sind, werden unverzüglich informiert. Die Meldung selbst darf ein Finanzunternehmen an Dritte auslagern; verantwortlich bleibt es trotzdem (Art. 19 Abs. 5).

Für Lieferanten wird es hier handfest. Jeder IKT-Vertrag muss vorsehen, dass der Anbieter bei Vorfällen rund um seinen Dienst hilft, ohne Zusatzkosten oder zu vorab vereinbarten Kosten (Art. 30 Abs. 2 lit. f). Das Vier-Stunden-Fenster der Bank oder Versicherung hält nur, wenn Überwachung, Protokolle und Ansprechstellen beim Lieferanten schon vor dem Vorfall stehen.

05Tests bis hin zu bedrohungs­orientierten Penetrations­tests

Das Testprogramm nach Art. 24 richtet sich nach dem Risiko und wird von unabhängigen Prüfern durchgeführt, intern oder extern. Systeme und Anwendungen, auf denen kritische oder wichtige Funktionen laufen, kommen zumindest jährlich an die Reihe. Wen die Aufsicht auswählt, der muss darüber hinaus alle drei Jahre oder öfter einen bedrohungsorientierten Penetrationstest im Echtbetrieb durchführen. Die Regeln dazu enthält die delegierte Verordnung 2025/1190 (öffnet externe Website), angelehnt an TIBER-EU.

Fallen Dienste eines Lieferanten in den Umfang eines TLPT, sorgt das Finanzunternehmen dafür, dass er mitmacht (Art. 26 Abs. 3), und bei kritischen oder wichtigen Funktionen steht diese Pflicht im Vertrag (Art. 30 Abs. 3 lit. d). Gefährdet die Mitwirkung andere Kundinnen und Kunden des Lieferanten, ist ein gepoolter Test möglich: Der Lieferant beauftragt einen externen Tester für mehrere Finanzunternehmen gemeinsam (Art. 26 Abs. 4).

06Dritt­parteienrisiko: Strategie, Register, Ausstieg

Art. 28 macht das Risiko aus IKT-Drittdienstleistern zum Teil des IKT-Risikomanagements. Was auch immer ausgelagert wird, für die Einhaltung bleibt das Finanzunternehmen verantwortlich. Die wichtigsten Pflichten:

• Eine Strategie für das IKT-Drittparteienrisiko, mit einer Leitlinie für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen; das Leitungsorgan überprüft sie regelmäßig.
• Ein Informationsregister über alle Vertragsbeziehungen zu IKT-Diensten, auf Ebene des Unternehmens und der Gruppe, in dem die Verträge für kritische oder wichtige Funktionen gesondert ausgewiesen sind. Die Muster dafür gibt die Durchführungsverordnung 2024/2956 (öffnet externe Website). Der Aufsicht wird mindestens jährlich berichtet, auf Anfrage ist das vollständige Register vorzulegen.
• Sorgfaltsprüfung vor Vertragsabschluss: Stützt der Dienst eine kritische oder wichtige Funktion? Welche Risiken bestehen, auch Konzentrationsrisiken? Ist der Anbieter geeignet, gibt es Interessenkonflikte? Lieferanten müssen angemessene Standards der Informationssicherheit einhalten, bei kritischen oder wichtigen Funktionen die aktuellsten und hochwertigsten.
• Kündigungsrechte, etwa bei erheblichen Vertragsverletzungen des Anbieters, nachgewiesenen Schwächen in seinem IKT-Risikomanagement oder Umständen, die eine wirksame Aufsicht verhindern.
• Ausstiegsstrategien für IKT-Dienste hinter kritischen oder wichtigen Funktionen, dokumentiert und getestet, damit ein Wechsel möglich ist, ohne den Geschäftsbetrieb, die Einhaltung der Vorschriften oder die Leistungen für Kundinnen und Kunden zu gefährden.

Pflicht­inhalte des Vertrags

Art. 30 legt fest, was mindestens im Vertrag stehen muss. Jeder IKT-Vertrag wird schriftlich geschlossen, in einem einzigen Dokument samt Service-Levels, und regelt zumindest:

• eine vollständige Beschreibung der Funktionen und Leistungen sowie, ob und unter welchen Bedingungen Unteraufträge zulässig sind;
• die Orte, an denen Leistungen erbracht und Daten verarbeitet und gespeichert werden, mit Vorankündigung jeder Änderung;
• Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, auch der personenbezogenen;
• Zugriff auf die Daten, ihre Wiederherstellung und Rückgabe in leicht zugänglichem Format bei Insolvenz, Einstellung des Betriebs oder Vertragsende;
• Beschreibungen der Service-Levels;
• Unterstützung bei IKT-Vorfällen rund um den Dienst, ohne Zusatzkosten oder zu vorab vereinbarten Kosten;
• uneingeschränkte Zusammenarbeit mit der Aufsicht und den Abwicklungsbehörden, in Österreich also auch mit der FMA;
• Kündigungsrechte und Mindestkündigungsfristen;
• Teilnahme an Programmen des Finanzunternehmens zur Sensibilisierung für IKT-Sicherheit und an Schulungen zur digitalen operationalen Resilienz.

Geht es um Dienste, auf denen kritische oder wichtige Funktionen ruhen, legt Art. 30 Abs. 3 nach: messbare Leistungsziele in Zahl und Qualität, Pflichten zu Mitteilungen und Berichten, Notfallpläne, die der Anbieter umsetzt und regelmäßig erprobt, Mitwirkung an TLPT, volle Zugangs- und Prüfrechte für Finanzunternehmen und Aufsicht und ein Ausstiegsszenario samt verbindlicher Übergangszeit. Werden solche Dienste weitervergeben, sagt die delegierte Verordnung 2025/532 (öffnet externe Website), was das Finanzunternehmen dabei zu bewerten hat.

07Kritische IKT-Dritt­dienstleister

Nach Art. 31 bestimmen die Europäischen Aufsichtsbehörden, welche IKT-Anbieter für den Finanzsektor kritisch sind. Sie berücksichtigen dabei die systemische Wirkung, die Bedeutung der Finanzunternehmen, die sich auf den Anbieter stützen, seine Rolle für kritische oder wichtige Funktionen und wie leicht er ersetzbar ist. Jeder kritische Anbieter bekommt eine federführende Überwachungsbehörde, eine der drei europäischen Behörden. Sie kann Auskünfte verlangen, Untersuchungen und Prüfungen vor Ort durchführen und Empfehlungen aussprechen.

Auf der ersten Liste (öffnet externe Website), datiert mit 18. November 2025, stehen 19 Unternehmen: Betreiber von Cloud-Plattformen und Rechenzentren, Telekommunikations- und IT-Dienstleister, Anbieter von Marktdaten und Hersteller von Unternehmenssoftware. An den Pflichten des Finanzunternehmens ändert das nichts. Auch für diese Anbieter braucht es den Registereintrag, die vorgeschriebenen Vertragsinhalte und einen Ausstiegsplan.

08Was ein IKT-Dienstleister vorbereiten sollte

Kaum ein Lieferant einer österreichischen Bank oder Versicherung wird je als kritisch eingestuft. Mit DORA zu tun bekommen aber alle, über Verträge, Sorgfaltsprüfungen und Audits. Wer Folgendes bereit hat, verkürzt die Beschaffung und erleichtert seinem Kunden das Gespräch mit FMA und OeNB:

• Daten für das Register. Alles, was der Kunde für sein Informationsregister braucht: Rechtsträger und Kennungen, erbrachte Leistungen und die Funktionen, die sie stützen, Standorte und die Subunternehmer in der Kette.
• Vertragsklauseln nach Art. 30. Am besten ein Standard-Zusatz zu DORA, der beide Listen abdeckt, statt jede Klausel einzeln auszuhandeln.
• Belege für den Vorfall. Überwachung, Protokolle mit verlässlichen Zeitstempeln und ein Meldeablauf, mit dem der Kunde binnen Stunden einstufen und melden kann.
• Erprobte Kontinuität. Notfallpläne und Wiederherstellungstests, mit Datum und Ergebnis.
• Nachweisbare Sicherheit. Standards der Informationssicherheit, Zugriffskontrolle, ein sicherer Entwicklungsprozess und ein geregelter Umgang mit Schwachstellen, nach Möglichkeit unabhängig bestätigt.
• Bereit für Prüfungen und Tests. Ein praktikabler Ablauf für Audits und Prüfungen vor Ort und für die Teilnahme an TLPT, wo passend auch als gebündelter Test.
• Ein Ausstiegsplan. Rückgabe der Daten in brauchbaren Formaten, Dokumentation und Unterstützung beim Übergang für eine vereinbarte Zeit.

Wir selbst liefern IKT-Leistungen an Finanzunternehmen und halten es so: Wir vereinbaren die von DORA verlangten Vertragsinhalte, melden Vorfälle über den abgestimmten Kanal, halten Ausstiegspläne schriftlich fest, sind bei Resilienztests dabei und stellen die Registerangaben bereit. Wie wir arbeiten, inklusive unseres nach ISO/IEC 27001 zertifizierten Informationssicherheits-Managementsystems, steht unter Vertrauen und Compliance.

09Sechs Schritte für beide Seiten

1. 01Das Register vervollständigen. Ordnen Sie jeden IKT-Vertrag den Funktionen zu, die er stützt, und kennzeichnen Sie die kritischen oder wichtigen.
2. 02Vertragslücken schließen. Gleichen Sie jeden Vertrag mit Art. 30 ab und vereinbaren Sie einen Zusatz, wo Inhalte fehlen.
3. 03Vorfallbehandlung abstimmen. Legen Sie mit jedem kritischen Lieferanten fest, welche Angaben er für die Einstufung liefert, wer Ansprechperson ist und wie schnell gemeldet wird, und üben Sie das.
4. 04Tests gemeinsam planen. Nehmen Sie Lieferanten in das Testprogramm auf und, wo relevant, in die Abgrenzung eines TLPT.
5. 05Ausstiegsstrategien schreiben und testen. Für jede kritische oder wichtige Funktion: Alternativen, Datenrückgabe und Übergangsfrist.
6. 06Konzentration im Blick behalten. Liegen mehrere kritische Funktionen beim selben Anbieter, ist das ein Risiko, das Sie dokumentieren und steuern (Art. 29).

10Zuständig in Österreich: FMA und OeNB

Der Text von DORA ist überall derselbe, die Aufsicht über die meisten Finanzunternehmen aber national. In Österreich beaufsichtigt die FMA Banken, Versicherungen und den Wertpapierbereich; die OeNB prüft die IT der Banken vor Ort, und für bedeutende Banken ist die EZB zuständig. Meldungen schwerwiegender IKT-Vorfälle laufen über die Incoming Platform der FMA. Wie das Informationsregister einzureichen ist und welche Behörde TLPT organisiert, entnehmen Sie bitte den aktuellen Informationen der FMA.

11Worauf Sie in den nächsten Monaten achten sollten

• Prüfschwerpunkte und Feststellungen der FMA und der OeNB zu Informationsregister und Vorfallmeldungen.
• Was die federführenden EU-Behörden bei kritischen Anbietern prüfen und empfehlen, sofern es Dienste in Ihrem Einsatz betrifft.
• Den Vorschlag der Kommission für einen digitalen Omnibus (öffnet externe Website), COM(2025) 837: Meldungen schwerwiegender Vorfälle nach DORA sollen dann über eine gemeinsame, von der ENISA betriebene Stelle laufen. Im Oktober 2026 lag der Vorschlag noch beim Europäischen Parlament; bis er beschlossen ist und gilt, bleiben die heutigen Kanäle und Fristen.

Wer nicht zum Finanzsektor gehört, hat nach dem NISG 2026 ähnliche Pflichten in der Lieferkette; mehr in unserem Beitrag über das NISG 2026 und Softwarelieferanten. Technische Standards und Überwachungsrahmen fassen EBA, EIOPA und ESMA auf einer gemeinsamen Übersichtsseite zu DORA (öffnet externe Website) zusammen.