DORA für IT-Dienstleister: Was hat sich seit Januar 2025 geändert und was bedeutet das für Ihre Verträge?

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act, kurz DORA, unmittelbar in der gesamten EU. Keine Übergangsfrist mehr, kein nationales Umsetzungsgesetz. Die Verordnung ist in Kraft – und sie betrifft auch IT-Dienstleister, die selbst kein Finanzinstitut sind.

 

Was ist DORA und warum ist es mehr als ein weiteres Compliance-Thema?

DORA ist eine EU-Verordnung, die aus dem Digital Finance Package der Europäischen Kommission aus dem Jahr 2020 hervorgegangen ist. Ihr Ziel: Die wichtigsten Anforderungen an die digitale Widerstandsfähigkeit für alle Finanzunternehmen in der EU zu harmonisieren. Bis dato war das ein Flickenteppich – europäische Richtlinien, deutsches Bankenrecht, BaFin-Verwaltungsvorschriften wie die BAIT, EBA-Guidelines zu IT-Auslagerungen. Vieles davon galt nur für bestimmte Institute, vieles war weich formuliert, vieles lag im Ermessen der Behörde.

Das ist jetzt vorbei. Die IT-Sicherheitsanforderungen sind auf Gesetzesebene verankert, die Vorgaben sind deutlich konkreter, und die bislang bestehenden Ermessensspielräume werden erheblich reduziert. DORA gilt für den wesentlichen Teil des Finanzmarkts – Banken, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Handelsplätze, Kapitalverwaltungsgesellschaften, Versicherungen, Ratinganbieter – und zwar unabhängig davon, ob das betreffende Unternehmen als kritische Infrastruktur eingestuft ist oder nicht.

Für IT-Dienstleister für Unternehmen aus dem Finanzsektor ergibt sich daraus eine wichtige Konsequenz: Sie sind zwar nicht unmittelbar aus DORA verpflichtet. Aber ihre Auftraggeber sind es – und die müssen die DORA-Anforderungen auf ihre IT-Dienstleister durchreichen. Was in den Verträgen steht, prüfen künftig auch die Wirtschaftsprüfer der Finanzinstitute.

 

Was gilt: DORA, NIS2/BSIG oder DSGVO, …?

Ein weiterer Punkt, der oft übersehen wird: DORA gilt neben den anderen Gesetzen, die IT-sicherheitsrechtliche Regelungen beinhalten. Das BSIG kann für IT-Dienstleister parallel gelten, die DSGVO gilt in jedem Fall parallel, sofern personenbezogene Daten betroffen sind. DORA hat als spezielleres Gesetz im Bankensektor grundsätzlich Vorrang gegenüber NIS2 bzw. BSIG, schließt dessen Anwendbarkeit aber nicht aus.

 

Wen trifft DORA wie?

Formal sind IT-Dienstleister im Sinne von DORA „IKT-Drittdienstleister“ – also Unternehmen, die IKT-Dienstleistungen für ein beaufsichtigtes Finanzunternehmen bereitstellen. Das Drittparteienrisiko, das sich aus dieser Beziehung ergibt, ist einer der zentralen Regelungsgegenstände von DORA (Art. 28–44).

Wichtig zu verstehen: Das IKT-Drittparteienrisiko nach DORA beschränkt sich nicht auf klassische Auslagerungen. Es gilt bei jeder Inanspruchnahme von IKT-Drittparteien – also auch beim bloßen Fremdbezug von Softwareleistungen oder Infrastruktur. Da die BaFin den Bezug von IT-Dienstleistungen in der Regel ohnehin als Auslagerung bewertet, werden sich in der Praxis selten relevante Abgrenzungsfragen stellen.

Das Institut bleibt dabei immer selbst für die Einhaltung von DORA verantwortlich – auch wenn es einen IT-Dienstleister beauftragt hat. Es muss IT-Dienstleister vor der Beauftragung bewerten, ein Informationsregister über alle IKT-Verträge führen, und es muss der BaFin einmal jährlich über neue Verträge mit IKT-Dienstleistern berichten – sowie zeitnah vor jedem geplanten Vertrag, der kritische Funktionen betrifft.

Für IT-Dienstleister bedeutet das: Die Anforderungen des Instituts an sie werden konkreter, verbindlicher und aufsichtsrechtlich unterlegt. Wer diese Anforderungen nicht erfüllt oder vertraglich nicht abbildet, verliert Kunden im Bereich des Finanzmarktes.

 

Das Herzstück: Überblick über die eigenen kritischen Systeme

Das eigentliche Fundament von DORA ist das IKT-Risikomanagement (Art. 5–16). Finanzunternehmen müssen wissen, was sie haben, was sie selbst abbilden können und was sie von ihren IT-Dienstleistern brauchen. Das klingt selbstverständlich, ist es in der Praxis aber häufig nicht.

DORA verlangt von Finanzunternehmen unter anderem:

• Vollständige Erfassung, Klassifizierung und Dokumentation aller IKT-gestützten Unternehmensfunktionen, Rollen, Verantwortlichkeiten, IKT-Assets und Abhängigkeiten – mit jährlicher Überprüfung

• Erfassung aller Prozesse, die von IKT-Drittdienstleistern abhängen – das Institut braucht von Ihnen transparente, dokumentationsfähige Informationen zur Leistungserbringung

• Eine vollständige Strategie für die digitale operationale Resilienz, inklusive Risikotoleranz, Informationssicherheitsziele und Mechanismen zur Vorfallserkennung

• Ein funktionsfähiges Business Continuity Management (BCM) mit genehmigten, überwachten und regelmäßig getesteten Reaktions- und Wiederherstellungsplänen

• Für IT-Dienstleister bedeutet das, dass ihre Auftraggeber im Ernstfall auf konkrete Unterstützung angewiesen sind – und diese vertraglich abgesichert sein muss.

 

Wie melden Sie Vorfälle richtig?

DORA verpflichtet Finanzunternehmen zu einem strukturierten Prozess für die Behandlung und Klassifizierung von IKT-Vorfällen (Art. 17–23). Schwerwiegende Vorfälle müssen der BaFin in einem abgestuften Verfahren gemeldet werden: unverzüglich als Erstmeldung, bei relevanten Statusänderungen als Zwischenmeldung und abschließend mit Ursachenanalyse.

Welche Vorfälle als schwerwiegend gelten, richtet sich nach folgenden Kriterien:

1. Anzahl und Relevanz betroffener Kunden
2. Dauer des Vorfalls
3. Geografische Ausbreitung
4. Datenverlust
5. Schwere der Auswirkungen
6. Kritikalität der betroffenen Dienste
7. Wirtschaftliche Auswirkungen

Die genauen Schwellenwerte und Meldeinhalte sind in drei delegierten Verordnungen der Kommission konkretisiert (EU 2024/1772, EU 2025/301 und EU 2025/302). Die Meldevorlagen sind umfangreich.

Was das für IT-Dienstleister bedeutet: Das Finanzunternehmen benötigt im Ernstfall schnell die richtigen Informationen. Ohne die inhaltliche Grundlage vom IT-Dienstleister kann die Meldung nicht sinnvoll erfolgen. Vorfallsmeldepflichten des Dienstleisters gegenüber dem Institut gehören deshalb in jeden IKT-Vertrag.

Mindestens genauso wichtig wie das Meldeverfahren selbst: die Kommunikationsstrategie bei IKT-Vorfällen. Wer spricht wann nach außen – gegenüber Kunden, Wettbewerbern, der Öffentlichkeit? Das muss vorab geregelt sein, nicht erst wenn es brennt. DORA verlangt ausdrücklich, dass mindestens ein Verantwortlicher für die externe Kommunikation benannt wird.

 

Wie sind Tests auch ohne Ankündigung möglich?

Finanzunternehmen müssen ihre IKT-Systeme regelmäßig testen (Art. 24 DORA). Für kritische und wesentliche Funktionen ist das mindestens einmal jährlich vorgeschrieben. Der Ansatz ist risikobasiert: Umfang und Intensität richten sich nach der IKT-Risikolandschaft, der Kritikalität der Assets und der erbrachten Dienstleistung.

Zwei praktisch wichtige Punkte:

Manche Tests werden im Testsystem durchgeführt, nicht im Produktivsystem.

Um die tatsächliche Resilienz der IT-Systeme zu überprüfen, werden Tests üblicherweise nicht angekündigt.

Die Art und Vorgehensweise von Tests sollte idealerweise in den Verträgen geregelt werden, um unliebsame Überraschungen zu vermeiden. Dabei ist auch an Mitwirkungspflichten zu denken.

Für systemkritische Institute kann die BaFin zudem erweiterte Tests in Form von Threat Led Penetration Testing (TLPT) anordnen – also simulierte Angriffe auf die eigene Infrastruktur. Das betrifft nach aktuellem Stand wohl nur die systemrelevanten Institute, ist aber ein Ausblick auf den Detailgrad, den DORA im Extremfall verlangt.

 

IKT-Verträge: Wo die Theorie auf die Praxis trifft

Für IT-Dienstleister ist das Management des IKT-Drittparteienrisikos der unmittelbar relevanteste Teil von DORA. Konkret wird es vor allem bei den Vertragsanforderungen (Art. 30 DORA). DORA verlangt schriftliche Verträge mit Service-Level-Agreements (SLA). Die Anforderungen entsprechen weitgehend den EBA-Guidelines zu IT-Auslagerungen, ergänzt um die spezifischen Vorgaben der technischen Regulierungsstandards.

Was in einem DORA-konformen IKT-Vertrag stehen muss:

1. Klare Beschreibung der Funktion und Dienstleistung einschließlich Untervergabe
2. SLA
3. Angaben zum Ort der Datenspeicherung
4. Prüfungs-, Zugangs- und Informationsrechte des Instituts und der BaFin
5. Gewährleistung von Zugänglichkeit, Verfügbarkeit, Sicherheit und Wiederherstellung von Daten
6. Meldepflichten des Dienstleisters
7. Kündigungsrechte
8. Vorgaben zur Teilnahme an Sicherheitsschulungen
9. Unterstützung bei IKT-Vorfällen
10. Exit-Strategie

Besonders hervorzuheben: Die Exit-Strategie wird zu Unrecht gerne stiefmütterlich behandelt. Dabei muss sie in jedem Vertrag vorhanden sein, da das Institut nachweisen können muss, dass es im Fall einer Kündigung oder eines Dienstleisterausfalls handlungsfähig bleibt. Fehlt die Exit-Strategie, fehlt ein wesentlicher Bestandteil eines DORA-konformen Vertrags. In der Praxis sind ungenaue oder unvollständige Regelungen eine Stolperschwelle. Für das Finanzinstitut ist es von entscheidender Wichtigkeit, über einen ausreichend langen Zeitraum nach Vertragsbeendigung weiterhin versorgt zu bleiben. Daraus ergibt sich bei den Vertragsverhandlungen ein gewisser Vorteil für den IT-Dienstleister.

Das Informationsregister ist ein weiterer kritischer Punkt. Finanzunternehmen müssen ein vollständiges Register aller IKT-Verträge führen. Die technischen Durchführungsstandards dazu (EU 2024/2956) sehen 15 einzelne Templates vor – ein erheblicher Dokumentationsaufwand, der unmittelbar von der Qualität der Vertragsdokumentation abhängt, die IT-Dienstleister liefern.

 

Was darf die BaFin und was bedeutet das?

Die BaFin ist zuständige Aufsichtsbehörde für die DORA-Umsetzung in Deutschland. Ihre Befugnisse umfassen das übliche aufsichtsrechtliche Instrumentarium: Zugangsrechte, Vor-Ort-Inspektionen, Zugriff auf Unterlagen und Daten sowie Informationsanforderungen.

Neu – und für IT-Dienstleister relevant – ist das direkte Überwachungsrecht der EU-Aufsichtsbehörden gegenüber kritischen IKT-Dienstleistern (Art. 31–44 DORA). Wer als kritischer IKT-Dienstleister eingestuft wird, entscheidet der gemeinsame Ausschuss der EU-Aufsichtsbehörden. Das Überwachungsregime gilt nicht für gruppeninterne IKT-Dienstleister.

 

Was ist jetzt zu tun?

DORA gilt seit Januar 2025. Wer als IT-Dienstleister Kunden im Finanzsektor, aber noch keine DORA-konforme Vertragsbasis hat, hat dringenden Handlungsbedarf.

Drei Fragen sollten IT-Dienstleister im Finanzsektor kurzfristig beantworten:

1. Welche meiner Auftraggeber sind DORA-pflichtige Finanzunternehmen? Für diese Mandate gelten die beschriebenen Anforderungen unmittelbar.
2. Entsprechen meine bestehenden Verträge den DORA-Anforderungen – insbesondere bezüglich SLA, Prüfungsrechten, Meldepflichten, unangemeldeten Tests und Exit-Strategie?
3. Bin ich in der Lage, meinem Auftraggeber die Dokumentation zu liefern, die er für sein Informationsregister und das IKT-Risikomanagement braucht?

Wer diese Fragen nicht aus dem Stand beantworten kann, sollte die Vertragsdokumentation systematisch durchgehen – und zwar mit dem Blick dafür, was ein BaFin-Prüfer oder ein Wirtschaftsprüfer darin sucht.

Anwaltliche Begleitung ist dabei keine Absicherung gegen das Unwahrscheinliche, sondern eine Arbeitshilfe für einen konkreten, heute bereits geltenden Pflichtenkatalog.