DORA-Compliance für IT-Dienstleister: Anforderungen, Vertraege, Register, Prüfung

Seit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554 (DORA, Digital Operational Resilience Act) unmittelbar in jedem Mitgliedstaat. Sie adressiert primaer Finanzunternehmen, zieht jedoch über Art. 28–30 DORA jeden IKT-Drittdienstleister in die Pflicht, der Banken, Versicherer, Zahlungsdienstleister oder Kapitalverwaltungsgesellschaften beliefert. Die BaFin und die Deutsche Bundesbank prüfen Vertraege, Vorfaelle und Register seit dem Stichtag aktiv.

Dieser Beitrag ordnet die DORA-Pflichten für IT-Dienstleister entlang von fuenf Saeulen, beschreibt die Rolle des kritischen IKT-Anbieters (Critical Third-Party Provider) nach Art. 31 DORA und zeigt, welche Nachweise im Ernstfall auf dem Tisch liegen muessen. CIVAC als Compliance-Plattform und Officer-as-a-Service führt diese Nachweise in einem strukturierten Workspace mit 93 Controls nach ISO/IEC 27001:2022.

DORA gilt nicht direkt für jeden Softwareanbieter, wirkt aber über den Vertrag durch. Sobald ein Finanzunternehmen Ihre Leistung als IKT-Dienstleistung im Sinne von Art. 3 Nr. 21 DORA einstuft, gelten für Sie die Pflichten aus Art. 28–30 DORA spiegelbildlich. Das betrifft Cloud-Anbieter, SaaS-Hersteller, Managed-Service-Provider, Rechenzentren, Outsourcing-Partner und auch spezialisierte Beratungen mit Systemzugriff.

Die European Supervisory Authorities (EBA, EIOPA, ESMA) koennen einzelne Anbieter zusaetzlich als Critical Third-Party Provider (CTPP) nach Art. 31 DORA designieren. CTPP-Status zieht eine direkte Aufsicht durch die ESAs nach sich, einschliesslich Vor-Ort-Prüfungen, Auskunftsrechten und Empfehlungen. Die Liste wird seit 2025 fortgeschrieben.

Praktisch heisst das: Wer hyperscale-Cloud, Kernbank-Software, Trading-Plattformen, Identity-Services oder Datenanalyse für regulierte Institute bereitstellt, wird vertraglich verpflichtet und faktisch geprueft. Die Verantwortung verbleibt formal beim Finanzunternehmen, die Nachweisarbeit liegt operativ beim Dienstleister.

CIVAC bildet diese Doppellage im Workspace ab. Jede Vertragsbeziehung wird mit Rolle, Kritikalitaet, Fristen und Prüfnachweisen hinterlegt. Auf Wunsch übernimmt der externe Informationssicherheitsbeauftragte (ISB) die operative Steuerung der DORA-Schnittstelle.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen denselben Prüfpfad und denselben Vorlagensatz aus 490 einsatzbereiten Audit-Vorlagen.

Art. 30 DORA listet die zwingenden Vertragsklauseln zwischen Finanzunternehmen und IKT-Dienstleister. Dazu zaehlen vollstaendige Leistungsbeschreibung, Standorte der Leistungserbringung und Datenverarbeitung, Service Level mit messbaren Kennzahlen, Sicherheitsanforderungen, Berichtspflichten bei Vorfaellen, Prüf- und Auskunftsrechte sowie Exit- und Unterstuetzungspflichten am Vertragsende. Standardvertraege ohne DORA-Anpassung erfuellen diese Liste nicht.

Fuer kritische oder wichtige Funktionen (Art. 30 Abs. 3 DORA) verschaerfen sich die Anforderungen: vollstaendige Beschreibung der Sub-Outsourcer-Kette, Audit- und Vor-Ort-Prüfrechte für Aufsicht und Auftraggeber, Mitwirkung bei Threat-Led Penetration Tests (TLPT), Kuendigungsrechte bei nicht ausreichendem Sicherheitsniveau und konkrete Wiederherstellungszeiten.

In der Praxis loesen Finanzunternehmen die Pflicht über Addenda zu bestehenden Vertraegen. Wer als IT-Dienstleister diese Addenda nicht konsistent verwaltet, verliert die Übersicht über Versionen, Unterzeichner und Geltungsbereich. Bei Aufsichtsanfragen wird dies sichtbar.

CIVAC führt jeden Vertragsbestandteil mit Bestellurkunde, unterschrieben, abgelegt, belegbar. Die Plattform mappt jeden Vertrag gegen die Pflichten aus Art. 30 DORA und meldet Luecken vor dem naechsten Audit-Termin. Mehr Hintergrund liefert die CIVAC-FAQ zu Norm-Mapping und Aufsichtspraxis.

Wer Vertraege noch in Wordfiles und Mailpostfaechern verwaltet, wird die DORA-Prüfung nicht ohne Findings überstehen. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Das Register of Information ist das zentrale Inventar aller IKT-Vertragsbeziehungen eines Finanzunternehmens. Die ESAs haben mit der Implementing Technical Standard (Durchführungsverordnung (EU) 2024/2956) das Datenmodell festgelegt: Vertragspartner, Konzernstruktur, Leistungsart, Kritikalitaet, Sub-Outsourcer, Geltungsbereich, Standorte und Vertragsende. Das Register ist jaehrlich an die Aufsicht zu übermitteln.

IT-Dienstleister werden in der Praxis verpflichtet, die noetigen Datenpunkte zu liefern. Wer Daten nicht strukturiert vorhaelt, blockiert die Pflichterfuellung seines Auftraggebers. Das ist ein vertraglicher Risikofall und bei kritischen Funktionen ein Kuendigungsgrund.

Insbesondere die Pflicht zur Offenlegung der Sub-Outsourcer-Kette stellt viele Anbieter vor Probleme. Reseller, Hyperscaler-Reseller, White-Label-Konstellationen und globale Konzernstrukturen sind selten in einem System gefuehrt. Die Bundesbank fragt diese Daten in Prüfungen explizit ab.

CIVAC bildet das Register-Schema im Workspace ab. Jeder Vertrag erzeugt automatisch die für das Register relevanten Felder und liefert sie als CSV-Export an den Auftraggeber. Die EU-Datenresidenz der Plattform stellt sicher, dass keine personenbezogenen oder vertraulichen Vertragsinhalte außerhalb der EU verarbeitet werden.

Der Prüfer ruft an, der Nachweis liegt bereit. Wer das Register-Schema bereits 2024 vorbereitet hat, bleibt 2025 lieferfaehig und vermeidet teure Ad-hoc-Datenerhebungen unter Frist.

DORA verlangt ein einheitliches Klassifizierungs- und Meldeschema für schwerwiegende IKT-bezogene Vorfaelle. Die ESAs haben mit der Delegierten Verordnung (EU) 2024/1772 die Schwellenwerte festgelegt: Anzahl betroffener Kunden, Dauer, Datenverlust, geografische Ausbreitung, wirtschaftliche Auswirkung und Reputationswirkung. Die Klassifizierung muss innerhalb weniger Stunden ab Kenntnis erfolgen.

Die Meldepflicht selbst trifft das Finanzunternehmen. IT-Dienstleister sind aber vertraglich verpflichtet, Vorfaelle binnen vereinbarter Frist zu melden, klassifizierbare Daten zu liefern und an der Root-Cause-Analyse mitzuwirken. Wer das nicht prozessual verankert, blockiert die fristgerechte Meldung an die Aufsicht.

Fuer Unternehmen, die zusaetzlich unter NIS-2 fallen, gilt der parallele 24-Stunden-Fruehwarnpfad mit 72-Stunden-Folgemeldung. Der CIVAC-Workspace bietet einen kombinierten Meldepfad, der DORA- und NIS-2-Klassifizierung in einem Workflow abbildet und Doppelarbeit vermeidet.

Frist laeuft ab Kenntnis. Wer am Wochenende keinen erreichbaren ISB hat, verliert die Meldung. Mit Officer-as-a-Service stellen wir 24/7-Erreichbarkeit über definierte Berichtslinie sicher, ohne dass Sie eigene Bereitschaftsdienste aufbauen muessen.

Aktuelle Hinweise zur Wechselwirkung mit der nationalen NIS-2-Umsetzung finden Sie unter NIS-2-Umsetzung Deutschland. Der Beitrag fokussiert die Behoerdenpfade und ergaenzt die DORA-Sicht aus diesem Artikel.

TLPT ist die haerteste Stufe der DORA-Resilienzpruefung. Nur bestimmte Finanzunternehmen sind nach Art. 26 DORA verpflichtet, mindestens alle drei Jahre einen TLPT durchzufuehren. Die methodische Grundlage ist TIBER-EU der Europaeischen Zentralbank. Tests adressieren produktive Systeme einschliesslich der dahinter stehenden IKT-Dienstleister.

Fuer Anbieter kritischer Funktionen bedeutet das: Sie werden Teil des Testumfangs, ohne den Test selbst zu beauftragen. Vertraglich ist daher die Mitwirkungspflicht zu regeln, einschliesslich Geheimhaltung, Ansprechpartnern, Eskalationswegen und Behandlung gefundener Schwachstellen. Art. 27 DORA setzt den Rahmen für die Anerkennung der Testergebnisse.

Die Praxis zeigt, dass viele Dienstleister auf Pentests gut vorbereitet sind, aber nicht auf die spezifische TLPT-Methodik. Red Teams arbeiten verdeckt, über Wochen, mit realen Bedrohungsszenarien aus Threat Intelligence. Detection- und Response-Fähigkeiten werden geprueft, nicht nur Schwachstellen.

Im Workspace dokumentiert CIVAC Prüfumfaenge, Findings, Maßnahmen und Wiedervorlagen. Audit-fest, dokumentiert, § 27-DORA-fest. Maßnahmen werden mit Verantwortlichen, Fristen und Wirksamkeitspruefung verknuepft, damit der naechste Testzyklus messbar besser ausfaellt.

Wer einen externen ISB bestellt, bekommt die Test-Koordination als Teil des SLA. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Art. 28 Abs. 8 DORA verlangt für kritische oder wichtige Funktionen einen dokumentierten Exit-Plan. Dieser beschreibt, wie das Finanzunternehmen den Dienst kontrolliert beendet, migriert oder substituiert, ohne dass die operative Resilienz leidet. Pflichten zur Unterstuetzung treffen den IT-Dienstleister über Vertrag.

Konkret heisst das: Datenrueckgabe in nutzbarem Format, Übergangsfristen, Wissenstransfer, Schlüsselverwaltung, Migrationssupport und finanzielle Konditionen bei Vertragsende. Wer hier nur Standardklauseln nutzt, scheitert in der Aufsichtspruefung. Die BaFin fragt Exit-Plaene seit 2025 stichprobenartig konkret ab.

Zusaetzlich adressiert DORA das Konzentrationsrisiko. Wenn ein Hyperscaler einen Grossteil der europaeischen Bankenlandschaft beliefert, entsteht ein systemisches Risiko. Auftraggeber sind verpflichtet, dieses Risiko zu bewerten und gegebenenfalls Multi-Vendor-Strategien zu fahren. IT-Dienstleister muessen diese Bewertung mit Daten unterstuetzen.

Im CIVAC-Workspace haengt jeder Exit-Plan an der Vertragsakte des Auftraggebers. Die Bestellurkunde der zuständigen Beauftragten, die Prüfnachweise und die Wiedervorlagen liegen versionssicher in einem System. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Mehr Hintergrund zur Mehrgleisigkeit von ISO/IEC 27001:2022 und DORA finden Sie unter ISO 27001:2022-Übergang. Der Beitrag erklaert die Control-Mappings, die beide Regime gleichzeitig bedienen.

DORA verankert die Verantwortung beim Leitungsorgan des Finanzunternehmens (Art. 5 DORA). Operativ delegiert wird ueblicherweise an einen ISB, einen IKT-Risikomanager und ein DORA-Kompetenzteam. Im Dienstleisterumfeld ist die spiegelbildliche Rolle haeufig der ISB mit erweitertem Aufgabenzuschnitt.

Die Bestellung des ISB muss formal erfolgen: schriftliche Bestellurkunde, dokumentierte Berichtslinie an die Geschäftsleitung, Ressourcen, Weisungsfreiheit. Wer hier informell arbeitet, riskiert bei Prüfung den Vorwurf der unzureichenden Aufbauorganisation. § 130 OWiG knuepft an diese Aufbauorganisation Bussgelder für Organisationsverschulden.

Mit CIVAC ist die Bestellurkunde Teil des Onboardings. Berichtslinie, Vertretungsregelung, Erreichbarkeit und Eskalation sind im Workspace abgebildet und gegenueber Prüfern darstellbar. Externe Beauftragte werden binnen 2 Werktagen statt 2–6 Wochen klassisch bestellt.

Die Mandate der Beauftragten umfassen typischerweise IT-Sicherheit, Notfall, Lieferantensteuerung und teilweise Datenschutz. Wo Schnittmengen zu DSGVO-Pflichten bestehen, koordiniert der CIVAC-Workspace mit dem externen Datenschutzbeauftragten (DSB), ohne Doppelarbeit zu erzeugen.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Modelle führen denselben Prüfpfad, dieselbe Berichtslinie und dieselben 490 Audit-Vorlagen.

Die unmittelbare Geltung der Verordnung seit dem 17. Januar 2025 hat einen Stau an Prüfungen erzeugt. BaFin, Bundesbank und ESAs arbeiten Sektor für Sektor durch und konzentrieren sich 2026 auf grosse IKT-Dienstleister, die als CTPP designiert wurden oder kurz vor der Designation stehen.

Sanktionen drohen primaer den Finanzunternehmen, koennen aber über die ESAs auch CTPP unmittelbar treffen. Auf Mitgliedstaatsebene flankieren §§ 23–26 KWG, § 25a Abs. 1 KWG und § 25b KWG die Outsourcing-Pflichten der Institute. Verstoesse führen zu aufsichtsrechtlichen Maßnahmen bis hin zur Anordnung des Vertragsendes.

Reputational schlaegt DORA durch: Wer als Dienstleister einmal als nicht aufsichtstauglich aufgefallen ist, wird in Ausschreibungen ausgeschlossen. Die Prüfung der Vorlieferanten ist Teil der Lieferantenbewertung, dokumentiert vom Lieferanten-Auditor auf Auftraggeberseite.

CIVAC bereitet IT-Dienstleister mit Prüfdrehbuch, Frage-Antwort-Mapping und Prüfakten vor. Audit-fest, dokumentiert, § 30-DORA-fest. Die 490 einsatzbereiten Audit-Vorlagen decken die wiederkehrenden Prüfthemen ab und ersparen die Ad-hoc-Erstellung unter Stress.

Der Prüfer ruft an, der Nachweis liegt bereit. Diese Reaktionsfaehigkeit unterscheidet DORA-fähige Anbieter von solchen, die das Regelwerk nur formal kennen.

Wer DORA als IT-Dienstleister sauber adressieren will, braucht drei Bausteine: bestellte Beauftragte mit klarer Berichtslinie, einen strukturierten Prüfpfad mit 93 Controls nach ISO/IEC 27001:2022 sowie ein konsolidiertes Vertrags- und Vorfallregister. Punktuelle Tools loesen jeweils einen Teil, nicht das Ganze.

CIVAC bietet beides als integriertes Modell. Als Compliance-Plattform und Officer-as-a-Service bringt das Unternehmen 25 Beauftragten-Rollen, 490 Audit-Vorlagen und einen EU-residenten Workspace zusammen. Die Bestellungen erfolgen mit SLA von 2 Werktagen, statt der klassischen 2 bis 6 Wochen über Vermittler.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen identische Vorlagen, identische Berichtslinie und identische Prüfakten. Ein Wechsel zwischen den Modellen ist jederzeit möglich, ohne Datenmigration.

Wer DORA noch in Excel und Sharepoint pflegt, verliert Zeit in jeder Aufsichtsanfrage. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die Differenz zeigt sich am ersten echten Prüfungstag.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir melden uns mit einer konkreten DORA-Initialbewertung binnen 2 Werktagen und einem Vorschlag für Rolle, Vorlagen und Berichtslinie zurück.

Eine vertiefte Übersicht der Rollenbilder und Mandate finden Sie unter civac.de/roles. Der Einstieg lohnt sich vor der naechsten Vertragsverlaengerung, nicht erst bei der naechsten Prüfung.