DORA für IKT-Dienstleister: Was Finanzkunden jetzt in Ihren Vertrag schreiben

Ein Softwareunternehmen, das an einige Banken und einen Versicherer verkauft, bekommt in einem Quartal drei Vertragsergänzungen. Jede heißt so ähnlich wie „DORA-Addendum“. Die eine verlangt uneingeschränkte Prüfrechte. Die nächste eine Liste aller Unterauftragnehmer und der Länder, in denen Daten verarbeitet werden. Die dritte die Teilnahme an den Penetrationstests der Bank. Der Vertrieb will schnell unterschreiben. Die Rechtsabteilung will wissen, was wirklich verlangt ist und wo die Bank mehr fordert, als das Gesetz vorsieht.

Das Wichtigste in Kürze

• DORA gilt für Finanzunternehmen wie Banken, Versicherer, Wertpapierfirmen und Zahlungsinstitute, und zwar seit 17. Januar 2025.
• IKT-Dienstleister spüren es über Verträge. Finanzunternehmen müssen IKT-Drittparteienrisiken steuern und bestimmte Klauseln in jeden IKT-Vertrag aufnehmen.
• Artikel 30 legt den Mindestinhalt fest. Verträge über Leistungen, die kritische oder wichtige Funktionen unterstützen, brauchen deutlich mehr.
• Ihr Kunde muss Sie in seinem Informationsregister führen. Rechnen Sie mit Fragen zu Leistungen, Standorten und Unterauftragnehmern.
• Wenige Anbieter werden direkt beaufsichtigt als kritische IKT-Drittdienstleister. Die erste Liste mit 19 Anbietern erschien im November 2025.
• Bereiten Sie sich einmal vor: ein Standard-DORA-Anhang, eine aktuelle Liste der Unterauftragnehmer und Nachweise für die Sicherheitsfragen.

Warum DORA Sie betrifft

DORA, die Verordnung (EU) 2022/2554, regelt die digitale operationale Resilienz des Finanzsektors. Kapitel V behandelt das Risiko durch IKT-Drittdienstleister. Finanzunternehmen bleiben voll verantwortlich, wenn sie auslagern. Sie müssen Anbieter vor Vertragsschluss bewerten, während der Laufzeit überwachen und aussteigen können. Die meisten dieser Pflichten landen beim Anbieter als Vertragsklauseln, Fragebögen und Prüfanfragen.

Entscheidend ist, ob Ihre Leistung eine kritische oder wichtige Funktion Ihres Kunden unterstützt. Das ist eine Funktion, deren Ausfall die finanzielle Leistung, die Solidität oder Fortführung der Dienste oder die Einhaltung der Zulassungsbedingungen des Kunden erheblich beeinträchtigen würde. Diese Einschätzung trifft Ihr Kunde, nicht Sie. Fragen Sie nach dem Ergebnis, denn es entscheidet, wie viel von Artikel 30 gilt.

Was Artikel 30 verlangt

Für jeden IKT-Vertrag verlangt Artikel 30 Absatz 2 unter anderem:

• eine klare Beschreibung der Leistungen, einschließlich der Frage, ob Leistungen für kritische oder wichtige Funktionen weitervergeben werden dürfen,
• die Standorte, an denen Leistungen erbracht und Daten verarbeitet werden, mit einer Pflicht, Änderungen mitzuteilen,
• Regelungen zur Datensicherheit sowie zu Zugang, Wiederherstellung und Rückgabe von Daten bei Vertragsende oder Ausfall des Anbieters,
• Beschreibungen der Service-Level,
• Unterstützung bei IKT-Vorfällen im Zusammenhang mit der Leistung ohne Zusatzkosten oder zu vorab vereinbarten Kosten,
• volle Zusammenarbeit mit den Aufsichtsbehörden des Kunden,
• Kündigungsrechte mit Mindestfristen,
• wo relevant, die Teilnahme an den Sensibilisierungs- und Resilienzschulungen des Kunden.

Für Leistungen, die kritische oder wichtige Funktionen unterstützen, ergänzt Artikel 30 Absatz 3:

• vollständige Service-Level-Beschreibungen mit genauen quantitativen und qualitativen Zielen,
• Fristen und Meldepflichten für Entwicklungen, die die Leistung beeinträchtigen können,
• Notfallpläne, die Sie umsetzen und testen, und Sicherheitsmaßnahmen mit angemessenem Schutzniveau,
• die Mitwirkung an bedrohungsorientierten Penetrationstests des Kunden, wo diese gelten,
• uneingeschränkte Zugangs-, Inspektions- und Prüfrechte für den Kunden, einen von ihm beauftragten Prüfer und seine Aufsicht,
• Ausstiegsstrategien mit angemessener Übergangsfrist.

Unterauftragsvergabe und Informationsregister

Finanzunternehmen müssen ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Leistungen führen, mit festen Feldern aus einer Durchführungsverordnung. Für Sie bedeutet das: Ihr Kunde braucht Angaben wie Ihre Rechtsträgerkennung (LEI), Ihre Leistungen, deren Standorte und bei Leistungen für kritische oder wichtige Funktionen die relevanten Unterauftragnehmer in der Kette.

Seit 22. Juli 2025 legt außerdem die Delegierte Verordnung (EU) 2025/532 fest, was ein Finanzunternehmen prüfen muss, bevor es die Weitervergabe von IKT-Leistungen für kritische oder wichtige Funktionen zulässt, und was bei wesentlichen Änderungen daran gilt. Rechnen Sie mit Fragen, wer Ihre wichtigsten Unterauftragnehmer sind, wie Sie sie auswählen und überwachen und wie Sie Änderungen ankündigen.

Kritische IKT-Drittdienstleister

Für Anbieter, die die Europäischen Aufsichtsbehörden als kritisch einstufen, etwa große Cloud-Anbieter, gilt ein eigenes Regime mit direkter Aufsicht durch eine federführende Überwachungsbehörde. Die erste Liste mit 19 kritischen IKT-Drittdienstleistern wurde am 18. November 2025 veröffentlicht und wird jährlich überprüft. Die meisten Software- und Dienstleistungsunternehmen mit Finanzkunden stehen nicht darauf. Sie sind über ihre Verträge betroffen, wie oben beschrieben.

So bereiten Sie sich vor

1. Erfassen Sie Ihre Finanzkunden und fragen Sie jeden, ob Ihre Leistung eine kritische oder wichtige Funktion unterstützt.
2. Schreiben Sie einen Standard-DORA-Anhang, der Artikel 30 Absatz 2 abdeckt und Absatz 3 als Option. Bieten Sie ihn an, bevor der Kunde seinen eigenen schickt.
3. Führen Sie eine aktuelle Liste der Unterauftragnehmer mit Leistungen, Standorten und verarbeiteten Daten und einen Prozess, um Änderungen anzukündigen.
4. Dokumentieren Sie Ihre Unterstützung bei Vorfällen: was Sie leisten, wie schnell und zu welchen Kosten.
5. Legen Sie fest, wie Prüfungen ablaufen, sodass Sie damit leben können: gemeinsame Prüfungen mehrerer Kunden, Berichte wie ISO 27001 oder SOC 2 als ersten Schritt und Prüfungen vor Ort mit Vorlauf.
6. Erstellen Sie einen Ausstiegsplan je Leistung: Exportformate, Unterstützung beim Übergang und Zeiträume.
7. Testen Sie Ihre Notfallpläne und bewahren Sie die Ergebnisse auf. Ein nie getesteter Plan erfüllt Artikel 30 Absatz 3 nicht.

Wo Anbieter Zeit verlieren

• Jedes Addendum so unterschreiben, wie es kommt. Manche Klauseln gehen über DORA hinaus. Kennen Sie die Anforderungen der Verordnung, bevor Sie verhandeln.
• Prüfrechte grundsätzlich ablehnen. Für kritische Leistungen schreibt die Verordnung sie vor. Verhandeln Sie über das Wie, nicht über das Ob.
• Eine veraltete Liste der Unterauftragnehmer. Sie gehört zu den ersten Dingen, die eine Bank prüft, und ist leicht aktuell zu halten.
• DORA nur als Rechtsthema behandeln. Die meisten Klauseln beschreiben Fähigkeiten, die Ihr Sicherheitsteam im Betrieb liefern muss.
• Jedem Kunden von vorn antworten. Die Fragen wiederholen sich, also gehören die Antworten in eine gepflegte Quelle.

Unsere DORA-Seite zeigt, wie GetTeddy die Prüfung von IKT-Verträgen gegen Artikel 30 unterstützt, und die Seite für Rechtsabteilungen erklärt, wie der Contract Agent Vertragsprüfungen unterstützt.