DORA am Finanzplatz Luxemburg: was Finanz­unternehmen von ihren IKT-Dienstleistern brauchen

01Wo DORA im Herbst 2026 steht

Der Digital Operational Resilience Act (öffnet externe Website), Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 ohne Umsetzungsakt in allen Mitgliedstaaten. Nationales Recht regelt im Wesentlichen nur Aufsicht und Sanktionen. In Luxemburg beaufsichtigt die CSSF Banken, Investmentfonds, Fondsverwalter, Wertpapierfirmen und Zahlungsinstitute, das CAA die Versicherer. Was im Detail gilt, steht in technischen Standards der Kommission, zum Rahmen für das IKT-Risikomanagement, zur Einstufung und Meldung von Vorfällen, zum Informationsregister, zu Vertragsrichtlinien, zur Unterauftragsvergabe und zu bedrohungsorientierten Penetrationstests.

Im Verhältnis zu NIS2 hat DORA Vorrang: Für IKT-Risikomanagement, Vorfallmeldung und Aufsicht gelten bei Finanzunternehmen die Regeln von DORA als Spezialgesetz. Eine Luxemburger Bank richtet sich in diesen Fragen also nach DORA und nicht nach dem luxemburgischen NIS2-Gesetz. Seit dem 18. November 2025 gibt es außerdem eine erste Liste kritischer IKT-Drittdienstleister, die EBA, EIOPA und ESMA gemeinsam bekannt gegeben (öffnet externe Website) haben und selbst beaufsichtigen.

02Finanz­unternehmen und ihre IKT-Dienstleister

DORA erfasst zwanzig Typen von Finanzunternehmen. Dazu zählen Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Krypto-Dienstleister, Handelsplätze, Verwalter von AIF und OGAW, Versicherer und Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen und Schwarmfinanzierungsplattformen. Am Finanzplatz Luxemburg mit seinen Banken, Fondsverwaltern und Versicherern betrifft das einen großen Teil des Marktes. Die Anforderungen skalieren mit Größe, Risikoprofil und Komplexität (Artikel 4); für bestimmte kleinere Unternehmen gibt es nach Artikel 16 einen vereinfachten Rahmen.

Als IKT-Drittdienstleister gilt jedes Unternehmen, das IKT-Dienstleistungen anbietet, und darunter versteht DORA sehr viel: digitale Dienste und Datendienste, die laufend über IKT-Systeme für interne oder externe Nutzer erbracht werden. Hosting, Managed Services, SaaS, Anwendungswartung und -betreuung sowie Datendienste gehören typischerweise dazu, unabhängig davon, ob der Anbieter in Luxemburg, Belgien oder anderswo ansässig ist. Unter eigener DORA-Aufsicht steht ein Anbieter nur, wenn er als kritisch benannt wurde. Über die Verträge seiner Kunden erreichen ihn die Pflichten dennoch.

03Das Leitungsorgan trägt das IKT-Risiko

Die letzte Verantwortung für das IKT-Risiko liegt nach Artikel 5 beim Leitungsorgan, in Luxemburg also beim Verwaltungsrat und der Geschäftsleitung. Es legt den Rahmen für das IKT-Risikomanagement fest, billigt und überwacht ihn, bestimmt Resilienzstrategie und Risikotoleranz, genehmigt die Leitlinie zur Betriebskontinuität sowie die Reaktions- und Wiederherstellungspläne und billigt und überprüft die Leitlinie zur Nutzung von IKT-Dienstleistungen Dritter. Seine Mitglieder halten ihr Wissen aktuell, auch durch regelmäßige Schulungen.

04Schwerwiegende Vorfälle: 4 Stunden, 72 Stunden, ein Monat

Ob ein Vorfall schwerwiegend ist, ergibt sich aus Artikel 18 und den Kriterien der Delegierten Verordnung (EU) 2024/1772 (öffnet externe Website): Wie viele Kunden und Transaktionen sind betroffen, wie lange dauert die Störung, wie weit reicht sie geografisch, gingen Daten verloren, wie kritisch sind die betroffenen Dienste und was kostet es? Ist er schwerwiegend, folgt eine Meldung in drei Schritten; die Fristen setzt die Delegierte Verordnung (EU) 2025/301 (öffnet externe Website). Wer der CSSF untersteht, meldet über deren eDesk, wie es das Rundschreiben CSSF 25/893 vorgibt.

Kunden, deren finanzielle Interessen betroffen sind, werden unverzüglich informiert, bei einem Fondsverwalter also auch Anleger, wo das zutrifft. Die Meldung selbst darf ein Finanzunternehmen an Dritte auslagern; die volle Verantwortung dafür behält es (Artikel 19 Absatz 5).

Für den Lieferanten heißt das konkret: In jedem IKT-Vertrag steht, dass er bei Vorfällen rund um seinen Dienst hilft, kostenlos oder zu im Voraus vereinbarten Konditionen (Artikel 30 Absatz 2 Buchstabe f). Vier Stunden beim Kunden reichen nur, wenn beim Lieferanten Monitoring, Logs und Ansprechpersonen längst eingerichtet sind.

05Tests bis hin zu bedrohungs­orientierten Penetrations­tests

Getestet wird nach einem Programm, das sich am Risiko ausrichtet (Artikel 24). Die Tests führen unabhängige Prüfer durch, aus dem eigenen Haus oder von außen, und jedes System, das eine kritische oder wichtige Funktion trägt, kommt mindestens einmal im Jahr an die Reihe. Benennt die Aufsicht ein Unternehmen, muss es außerdem spätestens alle drei Jahre einen bedrohungsorientierten Penetrationstest am laufenden Produktivsystem durchführen. Wie das abläuft, regelt die Delegierte Verordnung (EU) 2025/1190 (öffnet externe Website) in Anlehnung an TIBER-EU.

Fällt ein Lieferant in den Umfang eines TLPT, muss das Finanzunternehmen dafür sorgen, dass er mitmacht (Artikel 26 Absatz 3); bei kritischen oder wichtigen Funktionen gehört diese Pflicht in den Vertrag (Artikel 30 Absatz 3 Buchstabe d). Würde ein Test beim Lieferanten dessen andere Kunden gefährden, sieht Artikel 26 Absatz 4 einen gemeinsamen Test vor, für den der Lieferant selbst einen externen Prüfer im Namen mehrerer Finanzunternehmen beauftragt. Wer mehrere Luxemburger Fondsverwalter betreut, fährt damit oft besser.

06IKT-Drittparteien­risiko: Strategie, Register, Ausstieg

Artikel 28 macht das IKT-Drittparteienrisiko zum Bestandteil des Risikomanagementrahmens. Für die Einhaltung bleibt das Finanzunternehmen voll verantwortlich, was immer es auslagert. Die wichtigsten Pflichten:

• Eine Strategie für IKT-Drittparteienrisiken, mit einer Leitlinie für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, regelmäßig vom Leitungsorgan überprüft.
• Ein Informationsregister aller vertraglichen Vereinbarungen über IKT-Dienste, auf Unternehmens- und Gruppenebene, das die Verträge für kritische oder wichtige Funktionen kenntlich macht. Die Vorlagen stehen in der Durchführungsverordnung (EU) 2024/2956 (öffnet externe Website). Mindestens einmal im Jahr wird der Behörde berichtet, auf Anfrage das vollständige Register vorgelegt. Format und Weg legen CSSF und CAA fest.
• Sorgfaltsprüfung vor der Unterschrift: Unterstützt der Dienst eine kritische oder wichtige Funktion? Welche Risiken bestehen, Konzentrationsrisiko eingeschlossen? Ist der Anbieter geeignet, gibt es Interessenkonflikte? Dienstleister müssen angemessene Standards der Informationssicherheit anwenden, bei kritischen oder wichtigen Funktionen die aktuellsten und höchsten.
• Kündigungsrechte, unter anderem bei erheblichen Pflichtverletzungen des Anbieters, nachgewiesenen Schwächen in seinem IKT-Risikomanagement oder Umständen, die eine wirksame Aufsicht verhindern.
• Ausstiegsstrategien für IKT-Dienste hinter kritischen oder wichtigen Funktionen, dokumentiert und getestet, damit das Unternehmen den Anbieter verlassen kann, ohne seinen Betrieb zu stören, seine Regelkonformität einzuschränken oder die Dienste für seine Kunden zu beeinträchtigen.

Was im Vertrag stehen muss

Die Mindestinhalte regelt Artikel 30. Jeder IKT-Vertrag wird schriftlich in einem einzigen Dokument geschlossen, das die Dienstgüte einschließt, und deckt mindestens Folgendes ab:

• eine vollständige Beschreibung der Funktionen und Dienste und ob, gegebenenfalls zu welchen Bedingungen, Unteraufträge zulässig sind;
• die Orte, an denen Dienste erbracht und Daten verarbeitet und gespeichert werden, mit Vorankündigung jeder Änderung;
• Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, personenbezogene Daten eingeschlossen;
• Zugang zu den Daten, ihre Wiederherstellung und Rückgabe in leicht zugänglichem Format bei Insolvenz, Einstellung oder Beendigung;
• Beschreibungen der Dienstgüte;
• Unterstützung bei IKT-Vorfällen im Zusammenhang mit dem Dienst, ohne Zusatzkosten oder zu vorab vereinbarten Kosten;
• uneingeschränkte Zusammenarbeit mit den zuständigen Behörden und Abwicklungsbehörden, in Luxemburg also auch mit CSSF oder CAA;
• Kündigungsrechte und Mindestkündigungsfristen;
• Teilnahme an den Programmen des Unternehmens zur Sensibilisierung für IKT-Sicherheit und an Schulungen zur digitalen operationalen Resilienz.

Geht es um kritische oder wichtige Funktionen, verlangt Artikel 30 Absatz 3 mehr: messbare Leistungsziele in Zahl und Qualität, Mitteilungs- und Berichtspflichten des Anbieters, Notfallpläne, die er selbst einführt und erprobt, seine Mitwirkung an TLPT, ein unbeschränktes Recht des Kunden und der Aufsicht auf Zugang, Inspektion und Prüfung sowie einen Ausstieg mit festgelegter Übergangsphase. Werden solche Dienste weitervergeben, bestimmt die Delegierte Verordnung (EU) 2025/532 (öffnet externe Website), was das Finanzunternehmen dabei bewerten muss.

07Kritische IKT-Dritt­dienstleister

Welche Anbieter für den Finanzsektor kritisch sind, entscheiden nach Artikel 31 die drei europäischen Aufsichtsbehörden. Sie fragen, wie stark ein Ausfall auf das System durchschlagen würde, wie bedeutend die abhängigen Finanzunternehmen sind, ob kritische oder wichtige Funktionen betroffen sind und ob sich der Anbieter ersetzen lässt. Für jeden benannten Anbieter übernimmt eine der drei Behörden die Federführung bei der Überwachung; sie darf Auskünfte verlangen, ermitteln, vor Ort prüfen und Empfehlungen geben.

Auf der ersten Liste (öffnet externe Website) vom 18. November 2025 stehen 19 Anbieter: Cloud- und Rechenzentrumsbetreiber, Telekommunikation, IT-Dienstleister, Marktdatenanbieter und Hersteller von Unternehmenssoftware. Entlastet wird das Finanzunternehmen dadurch nicht. Register, Vertragsklauseln und Ausstiegsstrategie muss es auch für diese Anbieter führen.

08Was ein IKT-Dienstleister vorbereitet haben sollte

Kaum ein Lieferant von Banken, Fondsverwaltern oder Versicherern wird je als kritisch eingestuft. DORA begegnet ihm trotzdem, über Verträge, Sorgfaltsprüfungen und Audits. Wer Folgendes bereithält, verkürzt die Beschaffung und erleichtert seinem Kunden das Gespräch mit der CSSF oder dem CAA:

• Registerdaten. Was der Kunde für sein Informationsregister braucht: Rechtsträger und Kennungen, erbrachte Dienste und die Funktionen, die sie unterstützen, Standorte und die Unterauftragnehmer in der Kette.
• Vertragsklauseln nach Artikel 30. Am besten ein Standardnachtrag zu DORA, der beide Listen abdeckt, statt jede Klausel neu zu verhandeln.
• Belege für Vorfälle. Überwachung, Protokolle mit verlässlichen Zeitstempeln und ein Meldeverfahren, mit dem der Kunde innerhalb von Stunden einstufen und melden kann.
• Erprobte Kontinuität. Notfallpläne und Wiederherstellungstests, mit Datum und Ergebnis.
• Nachweisbare Sicherheit. Standards der Informationssicherheit, Zugriffskontrolle, ein sicherer Entwicklungsprozess und Umgang mit Schwachstellen, nach Möglichkeit mit unabhängigen Nachweisen.
• Bereitschaft für Audits und Tests. Ein praktikabler Weg, Prüfungen und Inspektionen zu ermöglichen und an TLPT teilzunehmen, wo es passt auch gepoolt.
• Ein Ausstiegsplan. Rückgabe der Daten in brauchbaren Formaten, Dokumentation und Unterstützung beim Übergang für einen vereinbarten Zeitraum.

Als Lieferant von Finanzunternehmen halten wir es so: Die von DORA verlangten Vertragsinhalte vereinbaren wir, Vorfälle melden wir über den abgesprochenen Kanal, Ausstiegspläne sind dokumentiert, an Resilienztests nehmen wir teil, und die Angaben für Ihr Informationsregister liefern wir zu. Mehr dazu, auch zu unserem nach ISO/IEC 27001 zertifizierten Informationssicherheits-Managementsystem, auf der Seite Vertrauen und Compliance.

09Ein praktischer Plan für beide Seiten

1. 01Das Register vervollständigen. Jeden IKT-Vertrag den unterstützten Funktionen zuordnen und die kritischen oder wichtigen kennzeichnen.
2. 02Vertragslücken schließen. Jeden Vertrag mit Artikel 30 abgleichen und einen Nachtrag vereinbaren, wo Klauseln fehlen.
3. 03Vorfallbearbeitung abstimmen. Mit jedem kritischen Lieferanten Angaben für die Einstufung, Kontakte und Meldezeiten vereinbaren und testen, passend zum eDesk-Verfahren der CSSF oder zu den Vorgaben des CAA.
4. 04Tests mit Lieferanten planen. Sie ins Testprogramm einbeziehen und, wo nötig, in die Festlegung des Umfangs eines TLPT.
5. 05Ausstiegsstrategien schreiben und testen. Für jede kritische oder wichtige Funktion: Alternativen, Rückgabe der Daten und Übergangszeit.
6. 06Konzentration im Blick behalten. Mehrere kritische Funktionen beim selben Anbieter sind ein Risiko, das dokumentiert und gesteuert wird (Artikel 29).

10Ihre Aufsicht in Luxemburg

DORA ist überall derselbe Text, die Aufsicht über die meisten Finanzunternehmen bleibt aber national, für bedeutende Banken bei der EZB. In Luxemburg sind die CSSF für Banken, Investmentfonds und Zahlungsinstitute und das CAA für Versicherer zuständig. Die CSSF bündelt ihre Hinweise zu IKT- und Cyberrisiken für DORA-Unternehmen auf einer eigenen Themenseite (öffnet externe Website); Vorfallmeldungen laufen dort über das eDesk nach Rundschreiben CSSF 25/893. Format und Weg für das Informationsregister sowie die Zuständigkeit für TLPT entnehmen Sie den Vorgaben Ihrer Behörde.

11Was Sie in den nächsten Monaten verfolgen sollten

• Aufsichtsschwerpunkte und Feststellungen von CSSF und CAA zum Informationsregister und zur Vorfallmeldung.
• Die Überwachung kritischer IKT-Drittdienstleister durch die federführenden Behörden und Empfehlungen, die Dienste betreffen, die Sie nutzen.
• Was aus dem Digital Omnibus (öffnet externe Website) wird, COM(2025) 837. Er würde schwerwiegende Vorfälle nach DORA über eine einzige, von der ENISA betriebene Stelle laufen lassen. Im Oktober 2026 beriet noch das Europäische Parlament. Bis zur Verabschiedung und Anwendbarkeit gilt das heutige Verfahren weiter, in Luxemburg für Unternehmen unter CSSF-Aufsicht also das eDesk.

Außerhalb des Finanzsektors stellt das luxemburgische NIS2-Gesetz ähnliche Anforderungen an die Lieferkette; dazu unser Beitrag über NIS2 und Softwarelieferanten. Technische Standards und Überwachungsrahmen haben die europäischen Aufsichtsbehörden auf ihren DORA-Seiten (öffnet externe Website) zusammengestellt.