CloudArchitektur
DORA an IKT-Prestatairen: wat Finanzentitéite vun hire Liwwerante brauchen
DORA mécht aus der operationeller Resilienz konkret Obligatioune fir Finanzentitéiten, an déi meescht dovu kommen iwwer de Kontrakt bei hiren IKT-Prestatairen un. Wat d’Reglement verlaangt, wat sech mat den éischte kriteschen Ubidder geännert huet, a wat e Liwwerant parat hu sollt.
- Auteur
- Redaktioun vu FromNine
- Verëffentlecht
- Lieszäit
- 9 Min. Lieszäit
Kuerz gefaasst
- DORA gëllt zënter dem 17. Januar 2025 direkt. Finanzentitéite bleiwe voll verantwortlech fir hiren IKT-Risiko, egal wat se externaliséieren.
- All IKT-Kontrakt brauch d’Bedéngunge vum Artikel 30, a Kontrakter fir kritesch oder wichteg Funktioune brauche méi: Auditrechter, Participatioun un Tester an eng Exitstrategie mat enger Iwwergangsperiod.
- E schwéieren Tëschefall muss bannent 4 Stonnen no der Klassifikatioun gemellt ginn, a spéitstens 24 Stonnen nodeem en entdeckt gouf. Liwwerante brauche Logs, Kontakter a Prozeduren, déi parat sinn, ier et geschitt.
Inhalt
Stand vun DORA am Hierscht 2026
Den Digital Operational Resilience Act (mécht eng extern Websäit op), d’Reglement (EU) 2022/2554, gëllt zënter dem 17. Januar 2025. Als Reglement gëllt en direkt an all Memberstaat; d’national Recht designéiert virun allem déi zoustänneg Autoritéiten a leet d’Sanktioune fest. D’Detailer stinn an technesche Standarden, déi d’Kommissioun ugeholl huet: iwwer de Kader fir d’IKT-Risikomanagement, d’Klassifikatioun an d’Meldung vun Tëschefäll, den Informatiounsregister, d’Kontraktpolitik, d’Ënnerkontraktéierung an d’Penetratiounstester op Basis vu Bedroungen (TLPT).
Fir Finanzentitéiten ass DORA de sektorspezifeschen Akt, deen d’NIS2-Reegelen iwwer IKT-Risikomanagement, Meldung vun Tëschefäll an Opsiicht ersetzt. Den 18. November 2025 hunn déi dräi europäesch Opsiichtsautoritéiten (EBA, EIOPA an ESMA) déi éischt Lëscht vun de kriteschen IKT-Drëttprestataire publizéiert (mécht eng extern Websäit op), déi se direkt iwwerwaachen.
| Beräich | Artikelen | Wat verlaangt gëtt |
|---|---|---|
| IKT-Risikomanagement | 5 bis 16 | E dokumentéierte Kader, deen d’Leedungsorgan guttgeheescht huet: Identifikatioun, Schutz, Detektioun, Reaktioun a Restauratioun, Backup, Léieren a Kommunikatioun. |
| IKT-Tëschefäll | 17 bis 23 | E Prozess fir d’Gestioun vun Tëschefäll, eng Klassifikatioun no gemeinsame Critèren an d’Meldung vu schwéieren Tëschefäll un déi zoustänneg Autoritéit. |
| Resilienztester | 24 bis 27 | E risikobaséierten Testprogramm, järlech Tester vu Systemer, déi kritesch oder wichteg Funktiounen ënnerstëtzen, a Penetratiounstester op Basis vu Bedroungen (TLPT) fir designéiert Entitéiten. |
| IKT-Risiko vun Drëtten | 28 bis 44 | Eng Strategie fir d’Drëttrisiko, en Informatiounsregister iwwer all IKT-Kontrakter, obligatoresch Kontraktbedéngungen, Exitstrategien an eng EU-Opsiicht iwwer kritesch Prestatairen. |
| Informatiounsaustausch | 45 | Fräiwëlleg Arrangementer fir den Austausch vun Informatiounen iwwer Cyberbedroungen. |
Finanzentitéiten an hir IKT-Prestatairen
DORA deckt zwanzeg Zorte vu Finanzentitéiten of, vu Kreditinstituter, Zuelungs- an E-Geld-Instituter an Investitiounsfirmen iwwer Ubidder vu Krypto-Servicer, Handelsplazen, Fongsverwalter, Versécherungen, Versécherungsvermëttler a Pensiounsfonge bis zu Ratingagenturen a Crowdfunding-Plattformen. D’Proportionalitéit ass agebaut: den Artikel 4 passt d’Ufuerderungen un d’Gréisst, de Risikoprofil an d’Komplexitéit un, an den Artikel 16 gesäit e vereinfachte Kader fir verschidde méi kleng Entitéite vir.
En IKT-Drëttprestataire ass all Entreprise, déi IKT-Servicer ubitt, an DORA definéiert dës breet: digital Servicer an Dateservicer, déi iwwer IKT-Systemer dauerhaft fir intern oder extern Benotzer erbruecht ginn. Hosting, Managed Services, Software as a Service, Maintenance a Support vun Applikatiounen an Dateservicer falen typescherweis dorënner. Liwwerante stinn ënner DORA net ënner Opsiicht, ausser se sinn als kritesch designéiert, mee hir Clienten droen d’Obligatiounen an all Kontrakt.
D’Leedungsorgan dréit den IKT-Risiko
Den Artikel 5 gëtt dem Leedungsorgan déi lescht Verantwortung fir den IKT-Risiko. Et definéiert, approuvéiert an iwwerwaacht de Kader fir d’IKT-Risikomanagement, leet d’Strategie fir déi digital operationell Resilienz an d’Risikotoleranz fest, approuvéiert d’Politik fir d’Kontinuitéit vum Betrib an d’Reaktiouns- a Restauratiounspläng, an approuvéiert an iwwerpréift d’Politik iwwer d’Notzung vun IKT-Servicer vun Drëttprestatairen. Seng Membere mussen hiert Wëssen um neie Stand halen, och duerch reegelméisseg Formatiounen.
Schwéier Tëschefäll: 4 Stonnen, 72 Stonnen, ee Mount
Finanzentitéite klasséieren IKT-Tëschefäll no Critèren aus dem Artikel 18, déi am delegéierte Reglement (EU) 2024/1772 (mécht eng extern Websäit op) detailléiert sinn: betraffe Clienten an Transaktiounen, Dauer an Ausfallzäit, geographesch Verbreedung, Verloscht vun Donnéeën, Kritikalitéit vun de betraffene Servicer a wirtschaftlech Auswierkung. E schwéieren Tëschefall gëtt der zoustänneger Autoritéit an dräi Etappe gemellt, mat Fristen, déi am delegéierte Reglement (EU) 2025/301 (mécht eng extern Websäit op) festgeluecht sinn:
| Etapp | Frist |
|---|---|
| Éischt Notifikatioun | Bannent 4 Stonnen nodeems den Tëschefall als schwéier klasséiert gouf, a spéitstens 24 Stonnen nodeems d’Entitéit dovu Kenntnis kritt huet. |
| Tëschebericht | Bannent 72 Stonnen no der éischter Notifikatioun, duerno ouni onnéidege Retard aktualiséiert, an op alle Fall, wann d’normal Aktivitéiten erëm hiergestallt sinn. |
| Schlussbericht | Spéitstens ee Mount nom leschten aktualiséierten Tëschebericht, soubal d’Analys vun den Ursaachen ofgeschloss ass. |
Clienten, deenen hir finanziell Interesse betraff sinn, mussen ouni onnéidege Retard informéiert ginn. Eng Finanzentitéit kann d’Meldung selwer un en Drëtten externaliséieren, bleift awer voll verantwortlech dofir (Artikel 19 Paragraf 5).
Fir Liwwerante gëtt dat ganz konkret. All IKT-Kontrakt muss d’Obligatioun vum Prestataire enthalen, bei engem Tëschefall a Verbindung mat sengem Service ze hëllefen, ouni zousätzlech Käschten oder zu Käschten, déi am Viraus ofgemaach goufen (Artikel 30 Paragraf 2 Punkt f). D’Fënster vu véier Stonne beim Client funktionéiert nëmmen, wann d’Monitoring, d’Logs an d’Kontakter vum Liwwerant virum Tëschefall stinn.
Tester, bis zu Penetratiounstester op Basis vu Bedroungen
Den Artikel 24 verlaangt e risikobaséiert Testprogramm, dat vun onofhängegen internen oder externen Testeren duerchgefouert gëtt, mat passenden Tester op d’mannst eemol am Joer op all IKT-Systemer an Applikatiounen, déi kritesch oder wichteg Funktiounen ënnerstëtzen. Entitéiten, déi hir zoustänneg Autoritéit bestëmmt, mussen och op d’mannst all dräi Joer Penetratiounstester op Basis vu Bedroungen op Live-Produktiounssystemer maachen, no dem delegéierte Reglement (EU) 2025/1190 (mécht eng extern Websäit op), dat dem TIBER-EU-Kader follegt.
Wann d’Servicer vun engem Liwwerant an de Perimeter vun engem TLPT falen, muss d’Finanzentitéit dofir suergen, datt de Liwwerant matmécht (Artikel 26 Paragraf 3), a Kontrakter fir kritesch oder wichteg Funktioune mussen dës Obligatioun enthalen (Artikel 30 Paragraf 3 Punkt d). Wann d’Participatioun vun engem Liwwerant senge Clientë schuede kéint, erlaabt DORA gepoolt Tester, bei deenen de Liwwerant direkt am Numm vu méi Finanzentitéiten en externen Tester engagéiert (Artikel 26 Paragraf 4).
IKT-Drëttrisiko: Strategie, Register an Exit
Den Artikel 28 mécht den IKT-Drëttrisiko zum Deel vum Kader fir d’IKT-Risikomanagement, an d’Finanzentitéit bleift voll verantwortlech fir d’Konformitéit, egal wat se externaliséiert. D’Haaptobligatiounen:
- Eng Strategie fir den IKT-Drëttrisiko, mat enger Politik fir IKT-Servicer, déi kritesch oder wichteg Funktiounen ënnerstëtzen, déi d’Leedungsorgan reegelméisseg iwwerpréift.
- En Informatiounsregister iwwer all Kontraktarrangementer fir IKT-Servicer, op Niveau vun der Entitéit a vum Grupp, deen d’Arrangementer, déi kritesch oder wichteg Funktiounen ënnerstëtzen, apart weist. D’Modeller sinn am Ëmsetzungsreglement (EU) 2024/2956 (mécht eng extern Websäit op) festgeluecht. D’Entitéite mellen der zoustänneger Autoritéit op d’mannst eemol am Joer doriwwer a ginn op Ufro de komplette Register eraus.
- Due Diligence virum Ënnerschreiwen: ob de Service eng kritesch oder wichteg Funktioun ënnerstëtzt, d’Risiken, dorënner d’Konzentratiounsrisiko, d’Kompetenz vum Liwwerant an eventuell Interessekonflikter. Liwwerante mussen ugemoossen Informatiounssécherheetsstandarden uwenden, a fir kritesch oder wichteg Funktiounen déi aktuellst an déi vun der héchster Qualitéit.
- Kënnegungsrechter, ënner anerem bei engem gravéierende Verstouss vum Liwwerant, bei nogewisene Schwächten a sengem IKT-Risikomanagement oder bei Ëmstänn, déi eng effektiv Opsiicht verhënneren.
- Exitstrategien: fir IKT-Servicer, déi kritesch oder wichteg Funktiounen ënnerstëtzen, dokumentéiert a getest, sou datt d’Entitéit erausgoe kann, ouni hire Betrib ze stéieren, hir Konformitéit anzeschränken oder de Service fir hir Clienten ze schueden.
Wat am Kontrakt stoe muss
Den Artikel 30 leet d’Mindestbedéngunge vum Kontrakt fest. All IKT-Kontrakt muss schrëftlech sinn, an engem Dokument, dat d’Serviceniveauen enthält, an op d’mannst dat hei ofdecken:
- eng komplett Beschreiwung vun de Funktiounen a Servicer, an ob, an ënner wéi enge Konditiounen, Ënnerkontraktéierung erlaabt ass;
- d’Plazen, wou d’Servicer erbruecht an d’Donnéeë veraarbecht a gespäichert ginn, mat Virinformatioun bei all Ännerung;
- Disponibilitéit, Authentizitéit, Integritéit a Vertraulechkeet vun den Donnéeën, och vu perséinlechen Donnéeën;
- Zougang zu den Donnéeën, hir Restauratioun an hir Réckgab an engem einfach zougängleche Format bei Insolvenz, beim Ophale vum Service oder bei Kënnegung;
- Beschreiwunge vun de Serviceniveauen;
- Hëllef bei IKT-Tëschefäll a Verbindung mam Service, ouni zousätzlech Käschten oder zu Käschten, déi am Viraus ofgemaach goufen;
- voll Zesummenaarbecht mat den zoustännegen Autoritéiten an de Resolutiounsautoritéiten;
- Kënnegungsrechter a Mindestfriste fir d’Kënnegung;
- Participatioun un de Programmer vun der Entitéit fir d’Sensibiliséierung zur IKT-Sécherheet a fir d’Resilienzformatioun.
Fir Servicer, déi kritesch oder wichteg Funktiounen ënnerstëtzen, setzt den Artikel 30 Paragraf 3 präzis quantitativ a qualitativ Leeschtungsziler dobäi, Notifikatiouns- a Rapportflichten, Kontinuitéitspläng, déi de Liwwerant ëmsetzt an test, d’Participatioun un TLPT, onageschränkt Zougangs-, Inspektiouns- an Auditrechter fir d’Entitéit an hir Opsiicht, an eng Exitstrategie mat enger obligatorescher Iwwergangsperiod. D’delegéiert Reglement (EU) 2025/532 (mécht eng extern Websäit op) leet fest, wat d’Entitéit bewäerte muss, wann esou Servicer ënnerkontraktéiert ginn.
Kritesch IKT-Drëttprestatairen
No Artikel 31 designéieren déi europäesch Opsiichtsautoritéiten IKT-Prestatairen, déi fir de Finanzsecteur kritesch sinn, op Basis vun hirer systemescher Wierkung, der Bedeitung vun de Finanzentitéiten, déi op si zielen, hirer Roll bei kriteschen oder wichtege Funktiounen a wéi einfach se z’ersetze sinn. All kritesche Prestataire kritt e Lead Overseer, eng vun den dräi Autoritéiten, déi Informatioune froen, Ënnersichungen an Inspektioune maachen a Recommandatioune gi kann.
Déi éischt Lëscht (mécht eng extern Websäit op), déi den 18. November 2025 publizéiert gouf, huet 19 Prestatairen designéiert, vu Cloud- an Datezenter-Bedreiwer iwwer Telekom, IT-Servicer a Maartdonnéeë bis zu Firmen, déi Entreprise-Software maachen. D’Designatioun hëlt der Finanzentitéit keng Obligatioun of: si féiert weider de Register, d’Kontraktbedéngungen an eng Exitstrategie fir all eenzelen dovun.
Wat en IKT-Prestataire parat sollt hunn
Déi meescht Liwwerante vu Finanzentitéite ginn ni als kritesch designéiert, mee all begéinen DORA iwwer Kontrakter, Due Diligence an Auditen. E Liwwerant, deen dat hei parat huet, verkierzt den Akafsprozess an erliichtert dem Client säin Dialog mat der Opsiicht:
- Donnéeë fir de Register. Wat de Client fir säin Informatiounsregister brauch: juristesch Entitéit an Identifikanten, déi geliwwert Servicer an d’Funktiounen, déi se ënnerstëtzen, Plazen, an d’Ënnerprestatairen an der Kette.
- Kontraktbedéngungen, déi zum Artikel 30 passen. Am beschten e Standard-DORA-Avenant, deen déi zwou Lëschten ofdeckt, amplaz all Klausel vun Ufank un nei ze verhandelen.
- Beweiser fir Tëschefäll. Monitoring, Logs mat zouverlässegen Zäitstempelen an eng Notifikatiounsprozedur, déi et dem Client erlaabt, bannent Stonnen ze klasséieren an ze mellen.
- Getest Kontinuitéit. Kontinuitéitspläng a Restauratiounstester, mat Datum a Resultat.
- Sécherheet, déi een noweise kann. Informatiounssécherheetsstandarden, Zougangskontroll, e sécheren Entwécklungszyklus a Gestioun vu Vulnerabilitéiten, wa méiglech mat onofhängege Beweiser.
- Parat fir Auditen an Tester. E praktikabele Wee, fir Auditen an Inspektiounen z’empfänken an un TLPT deelzehuelen, och u gepoolten Tester, wou dat passt.
- En Exitplang. Réckgab vun den Donnéeën a benotzbare Formater, Dokumentatioun an Hëllef beim Iwwergang fir eng ofgemaacht Zäit.
Esou schaffe mir als IKT-Liwwerant vu Finanzentitéiten: mir maachen d’Kontraktbestëmmungen of, déi DORA verlaangt, mellen Tëschefäll iwwer den ofgemaachte Kanal, dokumentéieren Exitpläng, maache bei Resilienztester mat a liwweren d’Informatiounen, déi Äre Register brauch. Eis Säit Vertrauen a Compliance beschreift, wéi mir schaffen, och eist Informatiounssécherheets-Managementsystem, dat no ISO/IEC 27001 zertifizéiert ass.
E praktesche Plang fir béid Säiten
- De Register fäerdeg maachen. Verbannt all IKT-Kontrakt mat de Funktiounen, déi en ënnerstëtzt, a markéiert déi kritesch oder wichteg.
- Wat an de Kontrakter feelt, ergänzen. Vergläicht all Kontrakt mam Artikel 30 a maacht en Avenant, wou Bedéngunge feelen.
- D’Behandlung vun Tëschefäll ofstëmmen. Leet mat all kriteschem Liwwerant d’Input fir d’Klassifikatioun, d’Kontakter an d’Notifikatiounszäite fest, an testt se.
- Tester mat de Liwwerante plangen. Huelt se an den Testprogramm op an, wou et relevant ass, och an d’Definitioun vum Perimeter vun engem TLPT.
- Exitstrategie schreiwen an testen. Fir all kritesch oder wichteg Funktioun: Alternativen, Réckgab vun den Donnéeën an Iwwergangsperiod.
- D’Konzentratioun am A behalen. Méi kritesch Funktioune beim selwechte Prestataire sinn e Risiko, deen ee muss dokumentéieren a geréieren (Artikel 29).
Är zoustänneg Autoritéit zu Lëtzebuerg
DORA ass iwwerall dee selwechten Text, mee d’Opsiicht iwwer déi meescht Finanzentitéiten ass national. Zu Lëtzebuerg goufen d’CSSF an de Commissariat aux Assurances (CAA) bei der Ëmsetzung vun der Direktiv (EU) 2022/2556 den 1. Juli 2024 als zoustänneg Autoritéite fir d’Entitéiten designéiert, déi si iwwerwaachen; fir bedeitend Banken ass och d’EZB zoustänneg. D’Circulaire CSSF 25/893 regelt, wéi schwéier IKT-Tëschefäll a bedeitend Cyberbedroungen der CSSF gemellt ginn. D’Format an de Kanal fir den Informatiounsregister an d’Meldungen, an d’Autoritéit, déi fir TLPT zoustänneg ass, ginn op nationalem Niveau festgeluecht. Kuckt d’Hiweiser vun Ärer Autoritéit.
Wat Dir an de kommende Méint am A behale sollt
- D’Opsiichtsprioritéiten an d’Constatatioune vun der CSSF oder dem CAA zum Informatiounsregister an zur Meldung vun Tëschefäll.
- D’Opsiicht vun de Lead Overseers iwwer kritesch IKT-Drëttprestatairen, an all Recommandatioun, déi Servicer betrëfft, déi Dir benotzt.
- Den Digital-Omnibus-Virschlag (mécht eng extern Websäit op) vun der Kommissioun, COM(2025) 837, duerch deen d’Meldunge vu schwéieren DORA-Tëschefäll iwwer en eenzegen Entréespunkt goe géifen, deen d’ENISA bedreift. Am Oktober 2026 louch en nach beim Europäesche Parlament; bis en ugeholl ass a gëllt, bleiwen déi aktuell Kanäl a Fristen.
Organisatiounen ausserhalb vum Finanzsecteur hunn änlech Flichten an der Liwwerketten ënner NIS2; kuckt eisen Artikel NIS2 an Är Software-Liwweranten. Déi europäesch Opsiichtsautoritéite ginn op hiren DORA-Säiten (mécht eng extern Websäit op) en Iwwerbléck iwwer déi technesch Standarden an de Kader fir d’Opsiicht.
Quellen
- EUR-Lex. Reglement (EU) 2022/2554 (Digital Operational Resilience Act) (gekuckt: )
- EUR-Lex. Delegéiert Reglement (EU) 2024/1772 vun der Kommissioun (Klassifikatioun vun IKT-Tëschefäll) (gekuckt: )
- EUR-Lex. Delegéiert Reglement (EU) 2025/301 vun der Kommissioun (Inhalt a Friste vun de Meldungen) (gekuckt: )
- EUR-Lex. Ëmsetzungsreglement (EU) 2024/2956 vun der Kommissioun (Modeller fir den Informatiounsregister) (gekuckt: )
- EUR-Lex. Delegéiert Reglement (EU) 2025/532 vun der Kommissioun (Ënnerkontraktéierung vun IKT-Servicer) (gekuckt: )
- EUR-Lex. Delegéiert Reglement (EU) 2025/1190 vun der Kommissioun (Penetratiounstester op Basis vu Bedroungen) (gekuckt: )
- Commission de Surveillance du Secteur Financier (CSSF). ICT and cyber risk for DORA entities (Circulaire CSSF 25/893) (gekuckt: )
- ESMA, on behalf of the Joint Committee of the ESAs. Lëscht vun den designéierte kriteschen IKT-Drëttprestatairen (gekuckt: )
- EUR-Lex. Virschlag fir e Reglement iwwer d’Vereinfachung vum digitale Rechtsrahmen (Digital Omnibus), COM(2025) 837 (gekuckt: )
- ESMA. Digital Operational Resilience Act (DORA), Säite vun der ESMA (gekuckt: )
Liest weider
- BrancheFinanzsecteurReguléiert KI, resilient Plattformen a Prozesser, déi op DORA ausgeriicht sinn.
- DéngschtCloud- a Plattform-EngineeringLanding Zones, intern Entwécklerplattformen, sécher Delivery a FinOps, op Hyperscaleren oder op enger souveräner Cloud.
- AnalysNIS2 an Är Software-Liwweranten: wat béid Säite musse maachenNIS2 mécht d’Sécherheet vun der Liwwerketten zu enger Flicht vun der Leedung. Wat d’Direktiv an d’Lëtzebuerger NIS2-Gesetz vu wesentlechen a wichtegen Entitéite verlaangen, a wéi eng technesch Beweiser hir Software-Liwwerante solle kënne weisen.
- AnalysWou KI-Agenten eng mënschlech Validatioun brauchenAgente kënne bal alles virbereeden. E praktesche Wee, fir z’entscheeden, wéi eng Aktioune si eleng ofschléisse kënnen a wou e Mënsch Jo soe muss.
Liwwert oder geréiert Dir IKT-Servicer ënner DORA?
Mir hëllefe Finanzentitéiten an hiren IKT-Prestatairen, DORA an der Praxis ëmzesetzen: Donnéeë fir de Register, Beweiser fir Tëschefäll, getest Restauratioun, Ënnerstëtzung bei Resilienztester an Exitpläng. D’juristesch Bewäertung bleift bei Äre Juristen.