Wissen
KorrekturKorrigiert am 14. Juli 2026. Eine frühere Fassung dieses Artikels enthielt ein Zitat, das einer “ESA-Leitlinie zur DORA-Umsetzung” zugeschrieben war und das wir nicht belegen können, eine Statistik zum Anteil von Verträgen ohne Pflichtklauseln, die wir nicht belegen können, eine Tabelle dazu, “was Aufseher finden”, für die es keine veröffentlichte Grundlage gab, sowie eine Reihe von Artikelfundstellen, die auf die falschen Vorschriften zeigten, darunter die Behauptung, Artikel 29 Absatz 1 verlange eine jährliche Konzentrationsbewertung, obwohl es sich tatsächlich um eine vorvertragliche handelt. All das wurde gestrichen oder gegen die Texte im Amtsblatt korrigiert. Die Klauselzahl wurde durch die tatsächliche Struktur ersetzt: neun Elemente nach Artikel 30 Absatz 2 für jeden IKT-Vertrag, sechs weitere nach Artikel 30 Absatz 3, wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt.
Kapitel V von DORA, Artikel 28 bis 44, behandelt das IKT-Drittparteienrisiko. Es teilt sich in zwei Teile. Abschnitt I, Artikel 28 bis 30, regelt, was Finanzunternehmen tun müssen: das Register, die vorvertragliche Bewertung, die Konzentrationsbewertung, die verpflichtenden Vertragsklauseln und die Ausstiegsstrategien. Abschnitt II, Artikel 31 bis 44, ist der Überwachungsrahmen für kritische IKT-Drittdienstleister und damit die Seite der Aufsichtsbehörden statt Ihrer eigenen. Kapitel V ist der Teil von DORA, der am meisten kostet und meist zuletzt begonnen wird. Das Register sieht nach einer Inventarübung aus, weshalb es auch so eingeplant wird, und es bleibt einfach bis genau zu dem Punkt, an dem Sie Unterauftragsketten durch Anbieter hindurch abbilden müssen, die das noch nie jemandem offenlegen mussten.
Dieser Leitfaden behandelt Abschnitt I und die drei darunterliegenden technischen Standards: Durchführungsverordnung (EU) 2024/2956 für die Registervorlagen, Delegierte Verordnung (EU) 2024/1773 für die Leitlinie zu IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, und Delegierte Verordnung (EU) 2025/532 für die Unterauftragsvergabe.
Eine Klarstellung lohnt sich früh, weil hier häufig etwas verwechselt wird. Artikel 28 Absatz 9 mandatiert technische Durchführungsstandards, aus denen die Registervorlagen im ITS (EU) 2024/2956 wurden. Artikel 28 Absatz 10 mandatiert technische Regulierungsstandards zum Inhalt der Drittparteien-Leitlinie, aus denen die Delegierte Verordnung (EU) 2024/1773 wurde. Es sind unterschiedliche Instrumente mit unterschiedlichen Aufgaben, und ein Register, das gegen das falsche gebaut ist, lässt sich nicht exportieren.
📜
Kapitel V, Abschnitt I
Was DORA für das IKT-Drittparteienrisiko verlangt
Artikel 28 Absatz 1 setzt den Rahmen: Finanzunternehmen “steuern das IKT-Drittparteienrisiko als integralen Bestandteil des IKT-Risikos innerhalb ihres IKT-Risikomanagementrahmens”. Dieser Satz verhindert, dass daraus ein eigenständiges Lieferantenprogramm wird. Die Pflichten ziehen sich anschließend durch den gesamten Lebenszyklus einer IKT-Dienstleistung.
Die Strategie und die Leitlinie (Art. 28(2))
Unternehmen, die keine Kleinstunternehmen und nicht in Art. 16(1) genannt sind, müssen eine Strategie zum IKT-Drittparteienrisiko verabschieden und regelmäßig überprüfen, einschließlich einer Leitlinie zur Nutzung von IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Das Leitungsorgan “überprüft regelmäßig die Risiken, die im Zusammenhang mit vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen ermittelt wurden”. Der Inhalt dieser Leitlinie ist im RTS (EU) 2024/1773 spezifiziert.
Das Register (Art. 28(3))
Auf Ebene des Unternehmens sowie auf teilkonsolidierter und konsolidierter Ebene ein Informationsregister führen und aktualisieren, das alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen von IKT-Drittdienstleistern abdeckt und dabei diejenigen unterscheidet, die kritische oder wichtige Funktionen unterstützen, von denen, die das nicht tun.
Bevor Sie unterschreiben (Art. 28(4))
Bewerten, ob die Vereinbarung eine kritische oder wichtige Funktion betrifft; bewerten, ob die aufsichtlichen Voraussetzungen für den Vertragsschluss erfüllt sind; alle relevanten Risiken identifizieren und bewerten, einschließlich der Frage, ob die Vereinbarung das IKT-Konzentrationsrisiko nach Art. 29 verstärken würde; Due Diligence beim vorgesehenen Anbieter durchführen; und Interessenkonflikte identifizieren und bewerten.
Sicherheitsstandards (Art. 28(5))
Sie dürfen nur mit Anbietern kontrahieren, die angemessene Informationssicherheitsstandards einhalten. Betrifft die Vereinbarung kritische oder wichtige Funktionen, müssen Sie vor Abschluss gebührend berücksichtigen, ob der Anbieter “die neuesten und höchsten Informationssicherheitsstandards” verwendet.
Prüfrechte, tatsächlich ausgeübt (Art. 28(6))
Prüfrechte zu haben genügt nicht. Sie müssen risikobasiert vorab festlegen, wie häufig Prüfungen und Inspektionen stattfinden und welche Bereiche geprüft werden. Ist die Vereinbarung technisch komplex, müssen Sie überprüfen, ob die Prüfenden die Fähigkeiten besitzen, die Prüfung tatsächlich durchzuführen.
Kündigung und Ausstieg (Art. 28(7), 28(8))
Verträge müssen in den vier von Art. 28(7) genannten Fällen kündbar sein. Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, brauchen Sie Ausstiegsstrategien, die umfassend, dokumentiert, ausreichend getestet und regelmäßig überprüft sind.
Was Artikel 28 Absatz 3 tatsächlich als Meldung verlangt, und an wen
Die jährliche Meldepflicht besteht gegenüber Ihrer zuständigen Behörde und nicht unmittelbar gegenüber den ESAs, und sie ist enger als das vollständige Register: Unternehmen “melden den zuständigen Behörden mindestens einmal jährlich die Anzahl neuer Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die Kategorien von IKT-Drittdienstleistern, die Art der vertraglichen Vereinbarungen sowie die bereitgestellten IKT-Dienstleistungen und Funktionen”. Davon getrennt müssen Sie das vollständige Register oder bestimmte Abschnitte daraus der zuständigen Behörde auf Verlangen zugänglich machen, und Sie müssen sie zeitnah über jede geplante vertragliche Vereinbarung zu IKT-Dienstleistungen informieren, die kritische oder wichtige Funktionen unterstützen, sowie darüber, wenn eine Funktion kritisch oder wichtig wird.
📝
Artikel 30
Die Vertragsklauseln: neun, plus sechs
Artikel 30 ist die operativ folgenreichste Vorschrift in Kapitel V, und die Klauselzahl wird häufig falsch wiedergegeben. Es gibt keine einzelne Liste mit “14 Klauseln”. Es gibt zwei Listen.
Artikel 30 Absatz 1 kommt zuerst und wird leicht übersehen: Die Rechte und Pflichten beider Parteien müssen “klar zugewiesen und schriftlich festgehalten” werden, und “der vollständige Vertrag umfasst die Dienstleistungsgütevereinbarungen und wird in einem einzigen schriftlichen Dokument dokumentiert”, das auf Papier oder in einem herunterladbaren, dauerhaften und zugänglichen Format vorliegt. Ein Vertrag, der sich auf ein nicht unterzeichnetes Bestellformular, eine Webseite mit Bedingungen und ein PDF mit der Leistungsbeschreibung verteilt, ist bereits eine wartende Feststellung.
Artikel 30 Absatz 2: die neun Elemente, die jeder IKT-Vertrag enthalten muss
| Art. 30(2) | Element | Was es enthalten muss |
|---|---|---|
| (a) | Beschreibung der Funktionen und IKT-Dienstleistungen sowie die Regelung zur Unterauftragsvergabe | Eine klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen mit Angabe, ob die Unterauftragsvergabe einer IKT-Dienstleistung zur Unterstützung einer kritischen oder wichtigen Funktion oder wesentlicher Teile davon zulässig ist, und falls ja, unter welchen Bedingungen. |
| (b) | Orte der Leistungserbringung und der Datenverarbeitung | Die Regionen oder Länder, in denen die beauftragten oder unterbeauftragten Funktionen und IKT-Dienstleistungen erbracht und Daten verarbeitet werden, einschließlich des Speicherorts, dazu die Pflicht des Anbieters, Sie vorab zu informieren, wenn er eine Änderung plant. |
| (c) | Bestimmungen zum Datenschutz | Bestimmungen zu Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit im Zusammenhang mit dem Schutz von Daten, einschließlich personenbezogener Daten. |
| (d) | Zugang zu, Wiedererlangung und Rückgabe von Daten | Bestimmungen, die Zugang zu, Wiedererlangung und Rückgabe von personenbezogenen und nicht personenbezogenen Daten in einem leicht zugänglichen Format sicherstellen, im Fall von Insolvenz, Abwicklung oder Geschäftsaufgabe des Anbieters oder bei Vertragsende. |
| (e) | Beschreibungen des Dienstleistungsniveaus | Beschreibungen des Dienstleistungsniveaus, einschließlich ihrer Aktualisierungen und Überarbeitungen. |
| (f) | Unterstützung bei Vorfällen ohne oder zu vorab vereinbarten Kosten | Die Pflicht des Anbieters, Sie ohne zusätzliche Kosten oder zu vorab festgelegten Kosten zu unterstützen, wenn ein IKT-Vorfall im Zusammenhang mit der Dienstleistung eintritt. |
| (g) | Zusammenarbeit mit Behörden | Die Pflicht des Anbieters, uneingeschränkt mit Ihren zuständigen Behörden und Abwicklungsbehörden zusammenzuarbeiten, einschließlich der von ihnen benannten Personen. |
| (h) | Kündigungsrechte und Kündigungsfristen | Kündigungsrechte und die zugehörigen Mindestkündigungsfristen im Einklang mit den Erwartungen der zuständigen Behörden und der Abwicklungsbehörden. |
| (i) | Teilnahme an Ihren Sicherheitsschulungen | Die Bedingungen für die Teilnahme des Anbieters an Ihren Programmen zur IKT-Sicherheitssensibilisierung und an Schulungen zur digitalen operationalen Resilienz nach Artikel 13 Absatz 6. |
Artikel 30 Absatz 3: sechs weitere Elemente, wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt
Diese kommen zu den neun oben genannten hinzu.
| Art. 30(3) | Element | Was es enthalten muss |
|---|---|---|
| (a) | Vollständige Leistungsbeschreibungen mit quantitativen Zielwerten | Vollständige Beschreibungen des Dienstleistungsniveaus mit präzisen quantitativen und qualitativen Leistungszielen, damit Sie wirksam überwachen und ohne unangemessene Verzögerung korrigierend eingreifen können, wenn die vereinbarten Niveaus verfehlt werden. |
| (b) | Kündigungsfristen und Berichtspflichten des Anbieters | Kündigungsfristen und Berichtspflichten, einschließlich der Meldung jeder Entwicklung, die die Fähigkeit des Anbieters, die Dienstleistung im Einklang mit den vereinbarten Niveaus zu erbringen, wesentlich beeinträchtigen könnte. |
| (c) | Notfallpläne und Sicherheitsmaßnahmen | Anforderungen an den Anbieter, betriebliche Notfallpläne umzusetzen und zu testen sowie IKT-Sicherheitsmaßnahmen, -instrumente und -leitlinien vorzuhalten, die ein angemessenes Sicherheitsniveau bieten. |
| (d) | Teilnahme an TLPT | Die Pflicht des Anbieters, an Ihren bedrohungsgeleiteten Penetrationstests nach den Artikeln 26 und 27 teilzunehmen und uneingeschränkt mitzuwirken. |
| (e) | Laufende Überwachungsrechte | Das Recht, die Leistung fortlaufend zu überwachen: uneingeschränkte Rechte auf Zugang, Inspektion und Prüfung durch Sie, durch eine beauftragte dritte Partei und durch die zuständige Behörde; das Recht, vor Ort Kopien einschlägiger Unterlagen anzufertigen; das Recht, alternative Zusicherungsniveaus zu vereinbaren, wenn Rechte anderer Kunden berührt sind; die Mitwirkung des Anbieters bei Vor-Ort-Inspektionen; sowie Angaben zu Umfang, Verfahren und Häufigkeit. Kleinstunternehmen dürfen vereinbaren, diese Rechte an eine vom Anbieter benannte unabhängige dritte Partei zu delegieren. |
| (f) | Ausstiegsstrategien mit verpflichtendem Übergangszeitraum | Ausstiegsstrategien, insbesondere ein verpflichtender angemessener Übergangszeitraum, in dem der Anbieter die Dienstleistung weiter erbringt, damit Sie zu einem anderen Anbieter migrieren oder die Dienstleistung ins eigene Haus holen können. |
Artikel 30 Absatz 4 fügt eine weichere Anforderung hinzu, die man kennen sollte: Bei Verhandlungen “prüfen” Unternehmen und Anbieter “die Verwendung von Standardvertragsklauseln, die von Behörden für bestimmte Dienstleistungen entwickelt wurden”. Rechnen Sie damit, dass der eigentliche Streit um Artikel 30 Absatz 3 Buchstabe e geht. Uneingeschränkte Rechte auf Zugang, Inspektion und Prüfung sind das, wogegen sich große Anbieter am stärksten wehren, und ihre Standardantwort ist ein gepoolter Prüfbericht plus Fragebogen. Der Text nimmt das teilweise vorweg, indem er alternative Zusicherungsniveaus erlaubt, wo Rechte anderer Kunden berührt sind. Entscheiden Sie deshalb vorab, welche Alternativen Sie akzeptieren und warum. Wer mit einer Vorlage in diese Verhandlung geht, die er nicht erklären kann, akzeptiert am Ende, was angeboten wird.
Verfolgen Sie die Klauseln je Vertrag, nicht je Programm
Die Einheit der Compliance ist hier die einzelne vertragliche Vereinbarung. Fünfzehn Elemente, bewertet als vorhanden, fehlend oder teilweise, gegen jede Vereinbarung im Anwendungsbereich. Nur dieses Raster sagt Ihnen, wie groß Ihr Behebungsrückstand ist und welche Vertragsverlängerung Sie priorisieren sollten. Wir sagen Ihnen nicht, welcher Anteil der Verträge üblicherweise durchfällt: Dazu liegen uns keine veröffentlichten Daten vor, und soweit wir sehen, sonst auch niemandem.
📌
Aufbaureihenfolge
Das Register aufbauen
Das Register ist ein relationales Datenmodell, dessen Form durch die 15 amtlichen Vorlagen der Durchführungsverordnung (EU) 2024/2956 vorgegeben ist, von B_01.01 bis B_99.01. Bauen Sie zuerst das Datenmodell, die Felder folgen dann von selbst. Die Vorlagen selbst behandeln wir im Leitfaden zu den 15 amtlichen Vorlagen. Hier ist die Reihenfolge, um von null zu einem befüllten Register zu kommen.
Schritt 1
Jede Vereinbarung über IKT-Dienstleistungen Dritter inventarisieren
Das Register umfasst “alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen von IKT-Drittdienstleistern” (Art. 28(3)), was weiter reicht, als das Wort “Auslagerung” nahelegt. Beginnen Sie bei Beschaffungs- und Kreditorenbuchhaltungsdaten, Software-Asset-Inventaren und Zugriffsprotokollen. Zwei Kategorien werden regelmäßig übersehen: konzerninterne IKT-Anbieter, die das Register über eigene konzerninterne Vorlagen abbildet, sowie SaaS in kostenlosen Tarifen oder aus Fachbereichen, das an der Beschaffung vorbei gekauft wurde. Beschaffung, Kreditorenbuchhaltung und die tatsächlich genutzte Software abzugleichen ist eine Nachlaufübung statt einer technischen, und sie ist langsam. Planen Sie dafür Wochen Kalenderzeit ein und geben Sie die Aufgabe an jemanden, der senior genug ist, einen Fachbereich zu fragen, warum er einen Vertrag hält, den die Finanzabteilung nie gesehen hat.
Quelle: Art. 28(3)
Schritt 2
Entscheiden, welche Funktionen kritisch oder wichtig sind, und festhalten warum
Artikel 3 Nummer 22 definiert sie als “eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Dienstleistungen und Tätigkeiten erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Ausführung die fortdauernde Erfüllung der Zulassungsbedingungen und -pflichten eines Finanzunternehmens oder seiner sonstigen Pflichten nach dem geltenden Finanzdienstleistungsrecht erheblich beeinträchtigen würde”. Diese Einstufung steuert fast alles Weitere: welche Verträge die zusätzlichen Klauseln aus Artikel 30 Absatz 3 brauchen, welche Vereinbarungen eine Ausstiegsstrategie benötigen und welche die vorvertragliche Konzentrationsbewertung.
Quelle: Art. 3(22), Art. 28(3)
Schritt 3
Die vertragliche Vereinbarung Klausel für Klausel erfassen
Artikel 30 Absatz 1 verlangt, dass die Rechte und Pflichten beider Parteien “klar zugewiesen und schriftlich festgehalten” werden, in einem einzigen schriftlichen Dokument, das die Dienstleistungsgütevereinbarungen einschließt. Prüfen Sie den Vertrag anschließend gegen die neun Elemente aus Artikel 30 Absatz 2 und, wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt, gegen die sechs weiteren Elemente aus Artikel 30 Absatz 3. Erfassen Sie jedes Element als vorhanden, fehlend oder teilweise. Dieser Status je Klausel ist das Artefakt, das Ihnen sagt, wo Ihr Behebungsrückstand tatsächlich liegt.
Quelle: Art. 30(1), 30(2), 30(3)
Schritt 4
Die Unterauftragskette für kritische oder wichtige Funktionen abbilden
Wo ein Anbieter eine Dienstleistung zur Unterstützung einer kritischen oder wichtigen Funktion unterbeauftragen darf, legt die Delegierte Verordnung (EU) 2025/532 fest, was Sie vor der Unterschrift feststellen müssen, was der Vertrag sagen muss und was passiert, wenn sich die Kette ändert. Das ist der Teil mit den meisten neuen Pflichten, und er hat weiter unten einen eigenen Abschnitt.
Quelle: Art. 30(2)(a), 30(5); RTS (EU) 2025/532
Schritt 5
Die vorvertragliche Konzentrationsbewertung durchführen
Artikel 29 Absatz 1 ist keine jährliche Berichtsübung. Er greift, wenn Sie kurz vor der Unterschrift stehen: Als Teil der nach Artikel 28 Absatz 4 Buchstabe c verlangten Risikoidentifizierung müssen Sie berücksichtigen, ob die geplante Vereinbarung dazu führen würde, einen Anbieter zu beauftragen, der nicht leicht ersetzbar ist, oder mehrere Vereinbarungen für kritische oder wichtige Funktionen mit demselben Anbieter oder mit eng verbundenen Anbietern zu unterhalten. Anschließend müssen Sie “Nutzen und Kosten alternativer Lösungen abwägen”.
Quelle: Art. 28(4)(c), Art. 29(1)
📈
Artikel 29
Konzentrationsrisiko ist ein vorvertraglicher Test
Artikel 29 trägt den Titel “Vorläufige Bewertung des IKT-Konzentrationsrisikos auf Unternehmensebene”, und der Titel enthält bereits den ganzen Punkt. Ausgelöst wird er durch Artikel 28 Absatz 4 Buchstabe c, der unter der Überschrift “Vor Abschluss einer vertraglichen Vereinbarung” steht. Das ist ein Kontrollpunkt in Ihrem Beschaffungsprozess. Es ist nichts, was man einmal im Jahr im Dezember mit einer Tabelle erledigt. Ihn vor die Unterschrift zu setzen ist die richtige und zugleich unbequeme Konstruktion. Die Beschaffung trägt den Kontrollpunkt, und die Bewertung muss in dem Tempo fertig werden, in dem sich ein kommerzieller Abschluss bewegt. Bauen Sie ihn als Pflichtschritt in den Genehmigungsworkflow ein, denn eine Bewertung, die nach dem Abschluss geschrieben wird, liest sich auch genau so.
Das hier sagt der Text Ihnen abzuwägen.
Ersetzbarkeit des Anbieters
Artikel 29 Absatz 1 Buchstabe a: ob die geplante Vereinbarung bedeuten würde, “einen IKT-Drittdienstleister zu beauftragen, der nicht leicht ersetzbar ist”. Ersetzbarkeit ist ein Feld in der Bewertungsvorlage des Registers, das Ergebnis dieser Prüfung muss also festgehalten werden.
Mehrere Vereinbarungen mit demselben oder verbundenen Anbietern
Artikel 29 Absatz 1 Buchstabe b: ob Sie am Ende “mehrere vertragliche Vereinbarungen über die Bereitstellung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen mit demselben IKT-Drittdienstleister oder mit eng verbundenen IKT-Drittdienstleistern” unterhalten würden. Beachten Sie “eng verbunden”: Zwei Verträge mit zwei Tochtergesellschaften desselben Konzerns sind eine Konzentration.
Die geprüften Alternativen
Artikel 29 Absatz 1 Unterabsatz 2 verlangt von Ihnen, “Nutzen und Kosten alternativer Lösungen abzuwägen, etwa die Nutzung verschiedener IKT-Drittdienstleister”, gemessen an den Geschäftsbedürfnissen und Zielen Ihrer Strategie für digitale Resilienz. Das Ergebnis ist ein dokumentierter Vergleich der geprüften Alternativen.
Standort, Drittländer und Insolvenzrecht
Artikel 29 Absatz 2 verlangt von Ihnen, bei kritischen oder wichtigen Funktionen das Insolvenzrecht zu berücksichtigen, das bei einer Insolvenz des Anbieters gelten würde, sowie jede Einschränkung bei der dringenden Wiedererlangung Ihrer Daten. Ist der Anbieter in einem Drittland niedergelassen, müssen Sie zusätzlich die Einhaltung der Datenschutzvorschriften der Union und die wirksame Rechtsdurchsetzung in diesem Land berücksichtigen.
Kettenlänge und Ihre Überwachungsfähigkeit
Artikel 29 Absatz 2 letzter Unterabsatz: Sieht die Vereinbarung Unterauftragsvergabe vor, müssen Sie bewerten, “ob und wie sich potenziell lange oder komplexe Ketten der Unterauftragsvergabe auf ihre Fähigkeit, die beauftragten Funktionen vollständig zu überwachen, und auf die Fähigkeit der zuständigen Behörde, das Finanzunternehmen in dieser Hinsicht wirksam zu beaufsichtigen, auswirken können”.
Konzentration innerhalb der Kette
RTS (EU) 2025/532, Artikel 1 Buchstabe j, macht ausdrücklich klar, dass zu den abzuwägenden Faktoren gehört, “ob die Bereitstellung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon auf einen einzigen Unterauftragnehmer eines IKT-Drittdienstleisters oder eine kleine Zahl solcher Unterauftragnehmer konzentriert ist”. Zwei unabhängige Anbieter, die auf demselben Unterauftragnehmer aufsetzen, sind eine einzige Abhängigkeit.
Was es nach der Unterschrift am Leben hält
Artikel 28 Absatz 2 legt die laufende Pflicht beim Leitungsorgan ab, das “regelmäßig die Risiken überprüft, die im Zusammenhang mit vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen ermittelt wurden”. Und RTS (EU) 2025/532 Artikel 3 Absatz 2 verlangt von Unternehmen, deren Anbieter kritische oder wichtige Dienstleistungen unterbeauftragen, die einschlägige Risikobewertung “regelmäßig” gegen Veränderungen im Geschäftsumfeld durchzuführen, einschließlich IKT-Bedrohungen, IKT-Konzentrationsrisiken und geopolitischer Risiken. Keine der beiden Vorschriften setzt einen festen Jahresrhythmus, wenn Sie also einen in Ihrer Leitlinie behaupten, ist das Ihre eigene Selbstverpflichtung.
🔗
RTS (EU) 2025/532
Unterauftragsvergabe: die Anbieter Ihres Anbieters
Das ist der Teil des Regimes mit dem meisten Detail und der geringsten Bekanntheit. DORA Artikel 30 Absatz 2 Buchstabe a verlangt, dass der Vertrag angibt, ob die Unterauftragsvergabe einer IKT-Dienstleistung zur Unterstützung einer kritischen oder wichtigen Funktion oder wesentlicher Teile davon zulässig ist und unter welchen Bedingungen. Artikel 30 Absatz 5 mandatierte anschließend einen technischen Standard, der festlegt, was Sie feststellen und bewerten müssen. Dieser Standard ist die Delegierte Verordnung (EU) 2025/532, und sie hat drei bewegliche Teile.
1. Die Entscheidung fällt vor der Unterschrift
Artikel 3 Absatz 1 ist eindeutig: Ein Finanzunternehmen “entscheidet vor Abschluss einer vertraglichen Vereinbarung mit einem IKT-Drittdienstleister, ob dieser IKT-Drittdienstleister eine IKT-Dienstleistung, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützt, unterbeauftragen darf”. Sie dürfen die Vereinbarung erst eingehen, wenn Sie bewertet haben, dass zehn Bedingungen, Buchstaben a bis j, erfüllt sind. Dazu gehört, dass der Anbieter alle Unterauftragnehmer identifizieren kann, die kritische oder wichtige Funktionen unterstützen, und Ihnen diese mitteilt; dass der Unterauftragnehmer Ihnen und den Behörden dieselben Zugangs- und Inspektionsrechte einräumt wie der Anbieter selbst; dass Sie die Auswirkung eines Ausfalls des Unterauftragnehmers auf Ihre Resilienz und finanzielle Solidität bewertet haben; dass Sie das Konzentrationsrisiko nach Artikel 29 bewertet haben; und dass Sie bewertet haben, ob der Ausübung von Prüf- und Inspektionsrechten Hindernisse entgegenstehen.
Artikel 3 Absatz 3 schließt die naheliegende Lücke: Sich auf die eigene Bewertung der Unterauftragnehmer durch den Anbieter zu stützen “schränkt die letztendliche Verantwortung der Finanzunternehmen, ihren rechtlichen und regulatorischen Pflichten nachzukommen, nicht ein”.
2. Zwölf Dinge, die der Vertrag festlegen muss
Wo die Unterauftragsvergabe kritischer oder wichtiger Dienstleistungen zulässig ist, verlangt Artikel 4 Absatz 1, dass der Vertrag benennt, welche Dienstleistungen für eine Unterauftragsvergabe in Betracht kommen und unter welchen Bedingungen, und dass er alles Folgende festlegt.
| Art. 4(1) | Der Vertrag muss festlegen |
|---|---|
| (a) | Der Anbieter ist für die von seinen Unterauftragnehmern erbrachten Dienstleistungen verantwortlich. |
| (b) | Der Anbieter muss alle unterbeauftragten IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, so überwachen, dass seine Pflichten Ihnen gegenüber fortlaufend erfüllt werden. |
| (c) | Die Überwachungs- und Berichtspflichten, die der Anbieter Ihnen gegenüber in Bezug auf diese Unterauftragnehmer schuldet. |
| (d) | Der Anbieter muss alle Risiken bewerten, die mit dem Standort aktueller und potenzieller Unterauftragnehmer sowie ihrer Muttergesellschaft und mit dem Ort der Leistungserbringung verbunden sind. |
| (e) | Den Ort, an dem der Unterauftragnehmer Daten verarbeitet oder speichert, soweit relevant. |
| (f) | Der Anbieter muss in seinen eigenen Verträgen mit Unterauftragnehmern deren Überwachungs- und Berichtspflichten festlegen. |
| (g) | Der Anbieter muss die Fortführung der Dienstleistung entlang der gesamten Unterauftragskette sicherstellen, wenn ein Unterauftragnehmer seine Pflichten nicht erfüllt. |
| (h) | Der Vertrag des Anbieters mit seinen Unterauftragnehmern muss die Anforderungen an betriebliche Notfallpläne aus DORA Art. 30(3)(c) enthalten und die von den Unterauftragnehmern einzuhaltenden Dienstleistungsniveaus festlegen. |
| (i) | Derselbe Vertrag muss die IKT-Sicherheitsstandards und etwaige zusätzliche Sicherheitsanforderungen nach DORA Art. 30(3)(c) festlegen. |
| (j) | Der Unterauftragnehmer muss Ihnen sowie den zuständigen Behörden und den Abwicklungsbehörden dieselben Rechte auf Zugang, Inspektion und Prüfung einräumen wie DORA Art. 30(3)(e). |
| (k) | Der Anbieter muss Sie über jede wesentliche Änderung der Unterauftragsvereinbarungen informieren. |
| (l) | Sie haben ein Kündigungsrecht, wenn die Voraussetzungen aus Art. 6 des RTS oder aus DORA Art. 28(7) erfüllt sind. |
3. Sie erhalten ein Vetorecht bei wesentlichen Änderungen der Kette
Artikel 5 ist die Vorschrift, die das Verhalten Ihrer Anbieter am ehesten verändert. Der Vertrag muss den Anbieter verpflichten, Sie über jede beabsichtigte wesentliche Änderung seiner Unterauftragsvereinbarungen “rechtzeitig” zu informieren, damit Sie die Auswirkung auf Ihr Risiko und auf die Fähigkeit des Anbieters, seine Pflichten zu erfüllen, bewerten können. Der Vertrag muss “eine angemessene Frist enthalten, innerhalb derer das Finanzunternehmen den Änderungen zustimmt oder widerspricht”. Und dann Artikel 5 Absatz 3: Der Anbieter “setzt die wesentlichen Änderungen seiner Unterauftragsvereinbarungen erst um, nachdem das Finanzunternehmen den Änderungen zugestimmt oder ihnen bis zum Ende der Frist nicht widersprochen hat”. Das ist der stärkste Hebel, den Ihnen das Regime gibt, und er lässt sich leicht verschenken. Ein Zustimmungsfenster ist nur dann real, wenn jemand das Postfach verantwortet, in dem diese Meldungen landen, und eine Änderung im Zeitplan des Anbieters bewerten kann. Legen Sie jetzt fest, wer das ist und wie Ihr fester Prüfmaßstab für eine wesentliche Änderung aussieht, sonst läuft die Frist ab, während die E-Mail ungelesen liegen bleibt.
Kommen Sie zu dem Schluss, dass die Änderung Ihre Risikotoleranz überschreitet, verlangt Artikel 5 Absatz 4 von Ihnen, den Anbieter zu informieren und vor Ablauf der Frist zu widersprechen. Artikel 6 gibt Ihnen dann ein Kündigungsrecht, wenn der Anbieter wesentliche Änderungen umgesetzt hat, denen Sie widersprochen haben, sie vor Ablauf der Frist ohne Ihre Zustimmung umgesetzt hat oder eine kritische oder wichtige Dienstleistung unterbeauftragt hat, die der Vertrag ihm nicht ausdrücklich zur Unterauftragsvergabe erlaubt hat.
Woher die Daten kommen, ist der schwierige Teil
Die Pflicht läuft über den Vertrag. RTS Artikel 3 Absatz 1 Buchstabe b verlangt von Ihnen, vor der Unterschrift bewertet zu haben, dass der Anbieter “in der Lage ist, alle Unterauftragnehmer zu identifizieren, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, und dem Finanzunternehmen diese Unterauftragnehmer mitzuteilen und es darüber zu informieren”. Das ist eine Sorgfaltsbedingung an die Fähigkeit des Anbieters, und sie ist Ihr Hebel. Fehlt sie in einem bestehenden Vertrag, verlangt RTS Artikel 4 Absatz 2, dass die zur Erfüllung notwendigen Änderungen “zeitnah und so bald wie möglich umgesetzt werden”, mit dokumentiertem Zeitplan. Öffentlich gepflegte Unterauftragnehmerseiten großer Anbieter sind als Gegenprobe nützlich, sie ändern sich aber ohne Vorankündigung und ersetzen das vertragliche Melderecht nicht.
🚪
Artikel 28(8)
Ausstiegsstrategien: vier Prüfsteine
Ausstiegsstrategien sind für IKT-Dienstleistungen erforderlich, die kritische oder wichtige Funktionen unterstützen. Die Pflicht ist konkreter als “einen Ausstiegsplan haben”, und jeder Teil davon ist überprüfbar.
Der Ausstieg muss möglich sein, ohne dass drei Dinge eintreten
Artikel 28 Absatz 8 Unterabsatz 2 verlangt von Unternehmen, aussteigen zu können “ohne Unterbrechung ihrer Geschäftstätigkeit”, ohne “Einschränkung der Einhaltung regulatorischer Anforderungen” und ohne “Beeinträchtigung der Kontinuität und Qualität der für Kunden erbrachten Dienstleistungen”. Das sind die drei Prüfsteine, die ein Ausstiegsplan bestehen muss.
Der Plan muss getestet sein
Artikel 28 Absatz 8 Unterabsatz 3: “Ausstiegspläne sind umfassend und dokumentiert und werden im Einklang mit den in Artikel 4 Absatz 2 festgelegten Kriterien ausreichend getestet und regelmäßig überprüft.” Ein ungetesteter Ausstiegsplan erfüllt den Artikel nicht.
Alternativen und Übergangspläne müssen benannt sein
Artikel 28 Absatz 8 Unterabsatz 4 verlangt von Ihnen, “alternative Lösungen zu ermitteln und Übergangspläne zu entwickeln, die es ihnen ermöglichen, die beauftragten IKT-Dienstleistungen und die einschlägigen Daten vom IKT-Drittdienstleister abzuziehen und sicher und vollständig an alternative Anbieter zu übertragen oder wieder ins eigene Haus zu holen”.
Der Vertrag muss Ihnen einen Übergangszeitraum geben
Artikel 30 Absatz 3 Buchstabe f verlangt von Verträgen für kritische oder wichtige Funktionen, Ausstiegsstrategien zu enthalten, einschließlich “der Festlegung eines verpflichtenden angemessenen Übergangszeitraums”, in dem der Anbieter die Dienstleistung weiter erbringt. Enthält Ihr Vertrag keinen Übergangszeitraum, ruht Ihr Ausstiegsplan auf dem Wohlwollen des Anbieters. Ausstiegstests werden am häufigsten stillschweigend zu einem Schreibtisch-Durchgang herabgestuft, und bei einer großen Cloud-Abhängigkeit ist das nachvollziehbar, denn ein echter Test ist teuer und störend. Der vertretbare Mittelweg ist, die Teile zu üben, die sich üben lassen, also Datenextraktion, Einspielen in eine Alternative, das Runbook und den Entscheidungsweg, und genau festzuhalten, welche Teile Sie ungetestet gelassen haben und warum.
Artikel 28 Absatz 8 verlangt außerdem Notfallmaßnahmen zur Aufrechterhaltung der Geschäftsfortführung für den Fall der Umstände, die den Ausstieg auslösen, und verknüpft die Auslöserliste zurück mit den Kündigungsgründen aus Artikel 28 Absatz 7: erheblicher Verstoß des Anbieters, im Rahmen der Überwachung festgestellte Umstände, die die Leistungserbringung verändern könnten, nachgewiesene Schwächen im IKT-Risikomanagement des Anbieters sowie der Fall, dass die zuständige Behörde Sie wegen der Vereinbarung nicht mehr wirksam beaufsichtigen kann.
Artikel 10 des RTS (EU) 2024/1773 behandelt Ausstieg und Kündigung als Teil der Leitlinie zu IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, der Ausstiegsteil Ihrer Leitlinie hat damit ebenfalls einen festgelegten Platz.
⚡
Werkzeuge
Wo Venvera hineinpasst
All das lässt sich in Tabellen betreiben, und bei einer Handvoll Anbieter geschieht das auch häufig. Was bricht, ist die Integrität: Das Register ist relational, die Referenz auf eine vertragliche Vereinbarung ist ein Schlüssel, auf den mehrere andere Tabellen zeigen, und eine Tabellenkalkulation kann nicht verhindern, dass diese Referenzen auseinanderlaufen. Venvera deckt eine Reihe von Rahmenwerken ab, DORA ist eines davon. Dies sind die Drittparteien-Fähigkeiten, die heute im Produkt vorhanden sind.
📚
IKT-Anbieter- und Vertragsregister
Anbieter, vertragliche Vereinbarungen, Niederlassungen, Geschäftsfunktionen und Risikobewertungen als verknüpfte Datensätze. Verträge tragen die Vertragsreferenz, Beginn- und Enddatum, Kündigungsfristen beider Seiten, anwendbares Recht, Land der Leistungserbringung, Datenstandorte und Datensensibilität.
📋
Klauselverfolgung nach Artikel 30
Jede vertragliche Vereinbarung trägt einen Status je Klausel nach Artikel 30, sodass ein Vertrag mit fehlenden Klauseln als Datensatz sichtbar wird statt als Erinnerung. Der Anbieterrisiko-Score liest diesen Status und stuft einen Anbieter herab, wenn der Klauselsatz unvollständig ist.
📈
Konzentrationsanalyse
Ausgabenkonzentration je Anbieter mit Schwellenmarkierung, Abhängigkeit kritischer Funktionen von einzelnen gegenüber mehreren Anbietern, Aufschlüsselung nach Land und Datenstandort sowie ein Herfindahl-Hirschman-Index auf die Anbieterausgaben mit Bändern.
🔗
Unterauftragsketten
Unterauftragnehmer werden an der Vereinbarung erfasst, unter der sie stehen, mit LEI des Unteranbieters, Land, Leistungsbeschreibung, Datenstandorten, Kritikalität und der Stufe in der Kette.
🚪
Ausstiegs- und Ersetzbarkeitsbewertungen
Anbieterrisikobewertungen tragen Ersetzbarkeitsbewertung und Begründung, ob ein Ausstiegsplan existiert, die Möglichkeit einer Rückführung, die Auswirkung einer Einstellung, identifizierte alternative Anbieter und das nächste Überprüfungsdatum. Verträge tragen eine Referenz auf die Ausstiegsstrategie.
📋
Fragebogenkampagnen für Anbieter
Fragebogenkampagnen, die auf Basis rahmenwerkgetaggter Vorlagen an Anbieter versendet werden, mit Status je Anbieter, Kontakten und bewerteten Antworten.
📊
xBRL-CSV-Export des Registers
Export in der Tabellenstruktur des ITS (EU) 2024/2956 über alle 15 amtlichen Vorlagen hinweg, B_01.01 bis B_99.01, mit Vollständigkeitsbewertung und Validierungshinweisen, die vor dem Export sichtbar werden statt erst nach der Ablehnung durch das Portal.
🔔
Prüfpfad
Änderungen an Datensätzen werden protokolliert, und das macht aus “das Register wird gepflegt” statt einer Behauptung etwas, das Sie zeigen können.
Was die Plattform nicht tut, ist zu entscheiden, welche Ihrer Funktionen kritisch oder wichtig sind, oder die Klauseln aus Artikel 30 Absatz 3 in einen Vertrag zu verhandeln, den Ihr Anbieter lieber nicht wieder aufmachen würde. Das bleibt Ihre Aufgabe. Was sie tut, ist sicherzustellen, dass diese Entscheidungen, sobald sie getroffen sind, an der Vereinbarung erfasst werden, das Jahr überdauern und in der Form herauskommen, die das Register erwartet.
Bauen Sie das IKT-Register auf dem Datenmodell, das die Verordnung tatsächlich verwendet.
Anbieter, Verträge, Funktionen, Unterauftragsketten und Risikobewertungen als verknüpfte Datensätze, mit Klauselverfolgung nach Artikel 30 und einem xBRL-CSV-Export nach den 15 amtlichen Vorlagen.
Demo buchen →Primärquellen
- Verordnung (EU) 2022/2554 (DORA). Artikel 3 Nummer 22, Definition einer kritischen oder wichtigen Funktion. Kapitel V, Artikel 28 bis 44. Abschnitt I: Artikel 28 allgemeine Grundsätze und das Register, Artikel 29 vorläufige Bewertung des IKT-Konzentrationsrisikos, Artikel 30 zentrale Vertragsbestimmungen. Abschnitt II, Artikel 31 bis 44: der Überwachungsrahmen für kritische IKT-Drittdienstleister.
- Durchführungsverordnung (EU) 2024/2956 der Kommission. ITS zur Festlegung der Standardvorlagen für das Informationsregister, nach DORA Artikel 28 Absatz 9. Fünfzehn Vorlagen, B_01.01 bis B_99.01.
- Delegierte Verordnung (EU) 2024/1773 der Kommission. RTS zum detaillierten Inhalt der Leitlinie über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, nach DORA Artikel 28 Absatz 10. Behandelt Governance, die Lebenszyklusphasen, die Ex-ante-Risikobewertung, Due Diligence, Interessenkonflikte, Vertragsklauseln, Überwachung sowie Ausstieg und Kündigung.
- Delegierte Verordnung (EU) 2025/532 der Kommission. RTS zu den Elementen, die ein Finanzunternehmen bei der Unterauftragsvergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen feststellen und bewerten muss, nach DORA Artikel 30 Absatz 5.
- Delegierte Verordnung (EU) 2024/1774 der Kommission. RTS zu Instrumenten, Methoden, Prozessen und Strategien des IKT-Risikomanagements, also dem Rahmenwerk, in dem das Drittparteienrisiko nach Artikel 28 Absatz 1 liegen muss.
Dieser Artikel dient ausschließlich der Information und stellt keine Rechts- oder Aufsichtsberatung dar. Die Artikelfundstellen wurden am 14. Juli 2026 gegen die Texte im Amtsblatt geprüft. Technische Standards werden im Laufe der Zeit geändert, prüfen Sie also die geltende Fassung, bevor Sie sich auf eine hier genannte Anforderung verlassen.
