DORA und IKT-Drittdienstleister: was Finanzunternehmen von ihren Lieferanten brauchen

01Wo DORA im Herbst 2026 steht

Die Verordnung über die digitale operationale Resilienz im Finanzsektor (öffnet externe Website), Verordnung (EU) 2022/2554, kurz DORA, gilt seit dem 17. Januar 2025. Als Verordnung gilt sie unmittelbar in jedem Mitgliedstaat; das nationale Recht bestimmt vor allem die zuständigen Behörden und die Sanktionen. Die Einzelheiten stehen in technischen Standards der Kommission zum IKT-Risikomanagementrahmen, zur Klassifizierung und Meldung von Vorfällen, zum Informationsregister, zur Vertragsleitlinie, zur Vergabe von Unteraufträgen und zu bedrohungsorientierten Penetrationstests.

Für Finanzunternehmen ist DORA der sektorspezifische Rechtsakt, der an die Stelle der NIS2-Regeln zu IKT-Risikomanagement, Meldung von Vorfällen und Aufsicht tritt. Am 18. November 2025 haben die drei Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) die erste Liste kritischer IKT-Drittdienstleister veröffentlicht (öffnet externe Website), die sie unmittelbar überwachen.

02Finanzunternehmen und ihre IKT-Dienstleister

DORA erfasst zwanzig Arten von Finanzunternehmen, von Kreditinstituten, Zahlungs- und E-Geld-Instituten und Wertpapierfirmen bis zu Anbietern von Krypto-Dienstleistungen, Handelsplätzen, Fondsverwaltern, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittlern, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen und Schwarmfinanzierungsdienstleistern. Die Verhältnismäßigkeit ist eingebaut: Artikel 4 richtet die Anforderungen nach Größe, Risikoprofil und Komplexität aus, und Artikel 16 sieht für einige kleinere Unternehmen einen vereinfachten Rahmen vor.

Ein IKT-Drittdienstleister ist jedes Unternehmen, das IKT-Dienstleistungen erbringt, und DORA fasst diese weit: digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft für interne oder externe Nutzer erbracht werden. Hosting, Managed Services, Software as a Service, Anwendungswartung und -betreuung sowie Datendienste fallen in der Regel darunter. Lieferanten werden nach DORA nicht selbst beaufsichtigt, es sei denn, sie sind als kritisch eingestuft, aber ihre Kunden tragen die Pflichten in jeden Vertrag.

03Das Leitungsorgan trägt das IKT-Risiko

Artikel 5 weist dem Leitungsorgan die letzte Verantwortung für das IKT-Risiko zu. Es definiert, genehmigt und überwacht den IKT-Risikomanagementrahmen, legt die Strategie für die digitale operationale Resilienz und die Risikotoleranz fest, genehmigt die Leitlinie zur Geschäftsfortführung sowie die Reaktions- und Wiederherstellungspläne und genehmigt und überprüft die Leitlinie zur Nutzung von IKT-Dienstleistungen durch Drittdienstleister. Seine Mitglieder müssen ihr Wissen aktuell halten, auch durch regelmäßige Schulungen.

04Schwerwiegende Vorfälle: vier Stunden, 72 Stunden, ein Monat

Finanzunternehmen klassifizieren IKT-bezogene Vorfälle nach den Kriterien des Artikels 18, die die Delegierte Verordnung (EU) 2024/1772 (öffnet externe Website) konkretisiert: betroffene Kunden und Transaktionen, Dauer und Ausfallzeit, geografische Ausbreitung, Datenverluste, Kritikalität der betroffenen Dienste und wirtschaftliche Auswirkungen. Ein schwerwiegender Vorfall wird der zuständigen Behörde in drei Schritten gemeldet, mit den Fristen der Delegierten Verordnung (EU) 2025/301 (öffnet externe Website):

Kunden, deren finanzielle Interessen betroffen sind, müssen unverzüglich informiert werden. Ein Finanzunternehmen darf die Meldung selbst an einen Dritten auslagern, bleibt aber voll dafür verantwortlich (Artikel 19 Absatz 5).

Für Lieferanten wird das sehr konkret. Jeder IKT-Vertrag muss die Pflicht des Anbieters enthalten, bei einem Vorfall im Zusammenhang mit seiner Dienstleistung Unterstützung zu leisten, ohne zusätzliche Kosten oder zu vorab festgelegten Kosten (Artikel 30 Absatz 2 Buchstabe f). Das Vier-Stunden-Fenster des Kunden funktioniert nur, wenn Überwachung, Protokolle und Ansprechpersonen des Lieferanten vor dem Vorfall bereitstehen.

05Tests bis hin zu bedrohungsorientierten Penetrationstests

Artikel 24 verlangt ein risikobasiertes Testprogramm, durchgeführt von unabhängigen internen oder externen Testern, mit mindestens jährlichen angemessenen Tests aller IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen. Unternehmen, die ihre zuständige Behörde bestimmt, führen zudem mindestens alle drei Jahre bedrohungsorientierte Penetrationstests an Live-Produktionssystemen durch, nach der Delegierten Verordnung (EU) 2025/1190 (öffnet externe Website), die sich am TIBER-EU-Rahmen orientiert.

Liegen Dienste eines Lieferanten im Umfang eines TLPT, sorgt das Finanzunternehmen für seine Teilnahme (Artikel 26 Absatz 3), und Verträge über kritische oder wichtige Funktionen müssen diese Pflicht enthalten (Artikel 30 Absatz 3 Buchstabe d). Könnte die Teilnahme eines Lieferanten seinen anderen Kunden schaden, erlaubt DORA einen gebündelten Test: Der Lieferant beauftragt direkt einen externen Tester für mehrere Finanzunternehmen gemeinsam (Artikel 26 Absatz 4).

06IKT-Drittparteienrisiko: Strategie, Register und Ausstieg

Artikel 28 macht das IKT-Drittparteienrisiko zum Teil des IKT-Risikomanagementrahmens, und das Finanzunternehmen bleibt für die Einhaltung voll verantwortlich, gleich was es auslagert. Die wichtigsten Pflichten:

• Eine Strategie für das IKT-Drittparteienrisiko, mit einer Leitlinie für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, regelmäßig vom Leitungsorgan überprüft.
• Ein Informationsregister zu allen vertraglichen Vereinbarungen über IKT-Dienstleistungen, auf Unternehmens- und Gruppenebene, das die Vereinbarungen zu kritischen oder wichtigen Funktionen gesondert ausweist. Die Vorlagen legt die Durchführungsverordnung (EU) 2024/2956 (öffnet externe Website) fest. Unternehmen berichten ihrer zuständigen Behörde mindestens jährlich darüber und legen das vollständige Register auf Anforderung vor.
• Prüfungen vor Vertragsschluss: ob die Dienstleistung eine kritische oder wichtige Funktion unterstützt, welche Risiken einschließlich des Konzentrationsrisikos bestehen, ob der Lieferant geeignet ist und ob Interessenkonflikte vorliegen. Lieferanten müssen angemessene Standards für Informationssicherheit anwenden, bei kritischen oder wichtigen Funktionen die aktuellsten und höchsten.
• Kündigungsrechte, unter anderem bei erheblichen Verstößen des Lieferanten, nachgewiesenen Schwächen in seinem IKT-Risikomanagement oder Umständen, die eine wirksame Aufsicht verhindern.
• Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, dokumentiert und getestet, damit das Unternehmen wechseln kann, ohne seinen Geschäftsbetrieb zu stören, die Einhaltung aufsichtsrechtlicher Anforderungen zu gefährden oder die Leistungen für seine Kunden zu beeinträchtigen.

Was im Vertrag stehen muss

Artikel 30 legt die Mindestinhalte fest. Jeder IKT-Vertrag wird schriftlich in einem einzigen Dokument einschließlich der Service-Level-Vereinbarungen festgehalten und enthält mindestens:

• eine vollständige Beschreibung der Funktionen und Dienstleistungen und ob sowie unter welchen Bedingungen Unteraufträge zulässig sind;
• die Standorte, an denen Dienstleistungen erbracht und Daten verarbeitet und gespeichert werden, mit vorheriger Mitteilung jeder Änderung;
• Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, einschließlich personenbezogener Daten;
• Zugang zu den Daten, ihre Wiederherstellung und Rückgabe in einem leicht zugänglichen Format bei Insolvenz, Geschäftsaufgabe oder Vertragsende;
• Beschreibungen der Dienstleistungsgüte;
• Unterstützung bei IKT-Vorfällen im Zusammenhang mit der Dienstleistung, ohne zusätzliche Kosten oder zu vorab festgelegten Kosten;
• uneingeschränkte Zusammenarbeit mit den zuständigen Behörden und den Abwicklungsbehörden;
• Kündigungsrechte und Mindestkündigungsfristen;
• die Teilnahme an den Programmen zur Sensibilisierung für IKT-Sicherheit und den Resilienzschulungen des Unternehmens.

Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, ergänzt Artikel 30 Absatz 3 präzise quantitative und qualitative Leistungsziele, Mitteilungs- und Berichtspflichten, Notfallpläne, die der Lieferant umsetzt und testet, die Teilnahme an TLPT, uneingeschränkte Zugangs-, Inspektions- und Prüfrechte für das Unternehmen und seine Aufsicht sowie eine Ausstiegsstrategie mit verbindlicher Übergangsfrist. Die Delegierte Verordnung (EU) 2025/532 (öffnet externe Website) regelt, was das Unternehmen prüfen muss, wenn solche Dienstleistungen an Unterauftragnehmer vergeben werden.

07Kritische IKT-Drittdienstleister

Nach Artikel 31 stufen die Europäischen Aufsichtsbehörden IKT-Anbieter als kritisch für den Finanzsektor ein, gemessen an ihrer systemischen Wirkung, der Bedeutung der Finanzunternehmen, die sich auf sie stützen, ihrer Rolle für kritische oder wichtige Funktionen und ihrer Ersetzbarkeit. Jeder kritische Anbieter erhält eine federführende Überwachungsbehörde, eine der drei Aufsichtsbehörden, die Informationen anfordern, Untersuchungen und Inspektionen durchführen und Empfehlungen aussprechen kann.

Die erste Liste (öffnet externe Website), veröffentlicht am 18. November 2025, umfasst 19 Anbieter, von Cloud- und Rechenzentrumsbetreibern über Telekommunikation, IT-Dienstleistungen und Marktdaten bis zu Unternehmenssoftware. Die Einstufung nimmt dem Finanzunternehmen keine Pflicht ab: Es führt für jeden dieser Anbieter weiterhin das Register, die Vertragsklauseln und eine Ausstiegsstrategie.

08Was ein IKT-Dienstleister bereithalten sollte

Die meisten Lieferanten von Finanzunternehmen werden nie als kritisch eingestuft, aber alle begegnen DORA über Verträge, Due Diligence und Prüfungen. Ein Lieferant, der Folgendes bereithält, verkürzt die Beschaffung und erleichtert seinem Kunden den Dialog mit der Aufsicht:

• Registerdaten. Was der Kunde für sein Informationsregister braucht: Rechtsträger und Kennungen, die erbrachten Dienstleistungen und die Funktionen, die sie unterstützen, Standorte und die Unterauftragnehmer in der Kette.
• Vertragsklauseln nach Artikel 30. Am besten ein Standard-DORA-Nachtrag, der beide Listen abdeckt, statt jede Klausel neu zu verhandeln.
• Nachweise bei Vorfällen. Überwachung, Protokolle mit verlässlichen Zeitstempeln und ein Meldeablauf, mit dem der Kunde binnen weniger Stunden einstufen und melden kann.
• Getestete Kontinuität. Notfallpläne und Wiederherstellungstests mit Datum und Ergebnis.
• Nachweisbare Sicherheit. Standards für Informationssicherheit, Zugriffskontrolle, ein sicherer Entwicklungsprozess und Schwachstellenmanagement, wo möglich mit unabhängigen Nachweisen.
• Bereitschaft für Prüfungen und Tests. Ein praktikabler Weg, Prüfungen und Inspektionen zu ermöglichen und an TLPT teilzunehmen, wo es passt auch an gebündelten Tests.
• Ein Exit-Plan. Rückgabe der Daten in nutzbaren Formaten, Dokumentation und Unterstützung beim Übergang für einen vereinbarten Zeitraum.

So arbeiten wir als IKT-Lieferant von Finanzunternehmen: Wir vereinbaren die Vertragsklauseln, die DORA verlangt, melden Vorfälle über den vereinbarten Kanal, dokumentieren Exit-Pläne, nehmen an Resilienztests teil und liefern die Angaben, die Ihr Register braucht. Unsere Seite zu Vertrauen und Compliance beschreibt, wie wir arbeiten, mit einem nach ISO/IEC 27001 zertifizierten Informationssicherheits-Managementsystem.

09Ein praktischer Plan für beide Seiten

1. 01Vervollständigen Sie das Register. Ordnen Sie jeden IKT-Vertrag den Funktionen zu, die er unterstützt, und kennzeichnen Sie die kritischen oder wichtigen.
2. 02Schließen Sie Vertragslücken. Gleichen Sie jeden Vertrag mit Artikel 30 ab und vereinbaren Sie einen Nachtrag, wo Klauseln fehlen.
3. 03Stimmen Sie das Vorfallmanagement ab. Vereinbaren Sie mit jedem kritischen Lieferanten die Angaben zur Einstufung, Ansprechpersonen und Meldefristen, und testen Sie sie.
4. 04Planen Sie Tests mit den Lieferanten. Beziehen Sie sie in das Testprogramm ein und, wo relevant, in die Festlegung des Umfangs eines TLPT.
5. 05Schreiben und testen Sie Ausstiegsstrategien. Für jede kritische oder wichtige Funktion: Alternativen, Datenrückgabe und Übergangszeit.
6. 06Behalten Sie die Konzentration im Blick. Mehrere kritische Funktionen beim selben Anbieter sind ein Risiko, das Sie dokumentieren und steuern (Artikel 29).

10Ihre zuständige Behörde

DORA ist überall derselbe Text, die Aufsicht ist für die meisten Finanzunternehmen aber national: Zentralbank, Bankenaufsicht oder Marktaufsicht, je nach Art des Unternehmens, und für bedeutende Banken die EZB. Format und Weg für das Informationsregister und für Vorfallmeldungen sowie die für TLPT zuständige Behörde werden national festgelegt. Richten Sie sich nach den Hinweisen Ihrer eigenen Behörde.

11Was Sie in den nächsten Monaten verfolgen sollten

• Die Aufsichtsschwerpunkte und Feststellungen Ihrer zuständigen Behörde zum Informationsregister und zur Vorfallmeldung.
• Die Überwachung kritischer IKT-Drittdienstleister durch die federführenden Überwachungsbehörden und Empfehlungen, die Dienste betreffen, die Sie nutzen.
• Den Vorschlag der Kommission für einen digitalen Omnibus (öffnet externe Website), COM(2025) 837, nach dem Meldungen schwerwiegender Vorfälle nach DORA über eine zentrale Meldestelle der ENISA laufen würden. Im Oktober 2026 lag er noch beim Europäischen Parlament; bis er angenommen ist und gilt, bleiben die heutigen Meldewege und Fristen maßgeblich.

Organisationen außerhalb des Finanzsektors haben unter NIS2 vergleichbare Pflichten für ihre Lieferkette; siehe unseren Beitrag zu NIS2 und Softwarelieferanten. Die Europäischen Aufsichtsbehörden geben auf ihren DORA-Seiten (öffnet externe Website) einen Überblick über die technischen Standards und den Überwachungsrahmen.