DORA betrifft auch Ihren IT-Dienstleister: Register und Verträge

DORA hat zwei Adressaten, auch wenn im Gesetzestext nur einer steht. Die Verordnung (EU) 2022/2554 verpflichtet formal Finanzunternehmen – doch ihre Anforderungen landen mit voller Wucht bei deren IT-Dienstleistern: als Klauselkataloge, Auskunftsersuchen und Auditrechte. Dieser Beitrag richtet sich deshalb an beide Seiten: an das mittelständische Finanzunternehmen, das sein Informationsregister aktuell halten und seine Dienstleisterverträge nachschärfen muss – und an den IT-Dienstleister, der zum ersten Mal ein Art.-30-Klauselblatt auf dem Tisch hat.

Wer in der Pflicht ist

DORA gilt seit dem 17. Januar 2025 – und zwar für rund 20 Kategorien von Finanzunternehmen: Banken und Versicherer ebenso wie Zahlungsinstitute, Wertpapierfirmen, Kapitalverwaltungsgesellschaften oder Versicherungsvermittler. Auch kleine Häuser sind erfasst; die Verordnung sieht dafür Proportionalität vor (Art. 4) und für bestimmte kleine Unternehmen einen vereinfachten Risikomanagementrahmen (Art. 16). „Zu klein für DORA“ ist damit für die meisten Marktteilnehmer keine belastbare Selbsteinschätzung – die Frage ist nicht ob, sondern in welcher Tiefe.

Für kleinere Institute hat die BaFin im August 2025 zudem ihre Verwaltungspraxis zur Proportionalität konkretisiert – mit Erleichterungen unter anderem zu den Art. 16 und 28 bis 30 und teils Übergangsfristen bis Ende 2026 (BaFin-Aufsichtsmitteilung vom 21. August 2025). Wer sich darauf stützen will, sollte die Details mit Blick auf das eigene Haus prüfen.

Das Informationsregister: aus der Premiere wird Routine

Kernstück der Drittparteisteuerung ist das Informationsregister nach Art. 28 Abs. 3: Jedes Finanzunternehmen führt ein Verzeichnis aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern – nicht nur der kritischen. Die erste europaweite Erhebung ist gelaufen: Die nationalen Aufsichtsbehörden haben die Register bis zum 30. April 2025 an die europäischen Aufsichtsbehörden (ESAs) weitergeleitet.

In Deutschland ist auch die zweite Runde bereits Geschichte: Die BaFin hatte für die Einreichung das Fenster vom 9. bis 30. März 2026 gesetzt, Stichtag 31. Dezember 2025, eingereicht über das MVP-Portal. Damit ist klar, was das Register künftig ist: keine Einmalübung, sondern eine Jahresroutine – die nationalen Behörden leiten die Register jeweils bis zum 31. März an die ESAs weiter. Für die nächste Runde ist entsprechend mit einem Fenster um den März 2027 mit Stichtag 31. Dezember 2026 zu rechnen; offiziell angekündigt ist dieser Termin noch nicht.

Praktisch heißt das: Das Register muss unterjährig gepflegt werden. Neue Verträge, Vertragsänderungen, Kündigungen, Änderungen in der Subunternehmerkette – wer das erst im Februar zusammensucht, produziert Fehler unter Zeitdruck.

Art. 30: Was in den Verträgen stehen muss

Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, schreibt Art. 30 Abs. 2 und 3 konkrete Vertragsinhalte vor. Die wichtigsten aus Sicht beider Seiten – wobei Unterstützung bei Vorfällen und die Zusammenarbeit mit Behörden (Abs. 2) für alle IKT-Verträge gelten, Audit-, Exit- und Testpflichten (Abs. 3) zusätzlich für kritische oder wichtige Funktionen:

Audit-, Zugangs- und Inspektionsrechte für das Finanzunternehmen und seine Aufsicht – bis in die Räume und Systeme des Dienstleisters.
Exit-Strategien mit angemessenen Übergangsfristen, damit ein Anbieterwechsel oder eine Rückführung nicht zum Betriebsrisiko wird.
Unterstützung bei IKT-Vorfällen – ohne zusätzliche Kosten oder zu vorab vereinbarten Konditionen.
Kooperation mit den zuständigen Behörden.
Mitwirkung an bedrohungsgeleiteten Penetrationstests (TLPT).

Für den IT-Dienstleister ist die Einordnung entscheidend: Diese Punkte sind keine Verhandlungsmasse, die ein besonders forscher Einkäufer erfunden hat – sie sind regulatorisch vorgegeben. Wer sie pauschal ablehnt, ist für Finanzkunden schlicht nicht mehr vertragsfähig. Verhandelbar sind dagegen die Modalitäten: wie Audits angekündigt und durchgeführt werden, welche Übergangsfristen realistisch sind, wie Vorfallsunterstützung vergütet wird, wenn sie über das vereinbarte Maß hinausgeht. Genau hier trennt sich professionelle Vertragsgestaltung von Abwehrreflexen.

Die Kette dahinter: Aufsicht und Subunternehmer

Zwei Entwicklungen aus dem Jahr 2025 zeigen, dass die Regulierung inzwischen auch direkt bei den Dienstleistern angekommen ist.

Erstens haben die ESAs am 18. November 2025 die ersten kritischen IKT-Drittdienstleister (CTPPs) benannt. Diese Anbieter stehen nun unter direkter europäischer Aufsicht; die Liste wird jährlich aktualisiert. Für die Mehrzahl der Dienstleister ändert das unmittelbar nichts – es markiert aber den Kurs: Die Aufsicht denkt die Lieferkette bis zum Anbieter durch.

Zweitens ist seit dem 22. Juli 2025 die Delegierte Verordnung (EU) 2025/532 zum Subcontracting in Kraft. Nach gängiger Lesart müssen Dienstleister ihren Finanzkunden damit Transparenz über die Weitervergabe kritischer Funktionen ermöglichen – wer Teile seiner Leistung an Subunternehmer gibt, muss diese Kette offenlegen und steuern können. Das „Blackbox-Modell“, bei dem der Kunde nicht weiß, wer tatsächlich betreibt, ist mit DORA nicht vereinbar.

Meldefristen, die Ihr Dienstleister mittragen muss

Die Delegierte Verordnung (EU) 2025/301 präzisiert die Meldefristen für schwerwiegende IKT-Vorfälle:

Erstmeldung: binnen 4 Stunden nach Klassifizierung, spätestens 24 Stunden nach Entdeckung.
Zwischenbericht: binnen 72 Stunden nach der Erstmeldung.
Abschlussbericht: binnen eines Monats nach dem letzten Zwischenbericht.

Diese Fristen kann kein Finanzunternehmen allein halten, wenn der Vorfall beim Dienstleister passiert. Der Vertrag muss deshalb den schnellen Datenfluss absichern: definierte Meldewege, Erreichbarkeiten und Informationspflichten des Dienstleisters, die zu den eigenen Meldefristen passen. Ein Dienstleister ohne durchgängige Überwachung und ohne geübten Incident-Prozess ist an dieser Stelle eine dokumentierte Schwachstelle im eigenen Meldewesen.

Was folgt daraus – für beide Seiten

Für das Finanzunternehmen: Register unterjährig pflegen, Verträge für kritische Funktionen gegen Art. 30 abgleichen, Subunternehmerketten erfragen und die eigene Dienstleistersteuerung als Prozess aufsetzen statt als jährliche Feuerwehrübung.

Für den IT-Dienstleister: Die Art.-30-Anforderungen annehmen und die Modalitäten professionell verhandeln – oder den Finanzsektor als Kundengruppe abschreiben. Im Umkehrschluss gilt für die Auswahl des Partners: Ein Managed-Services-Anbieter, der ohnehin mit 24/7-Überwachung, definierten Incident-Prozessen und Audit-Bereitschaft arbeitet, muss für DORA wenig verbiegen – er dokumentiert, was er ohnehin tut. Ein Dienstleister, für den Auditrechte und Exit-Pläne Neuland sind, wird dagegen selbst zum Compliance-Risiko seines Kunden.

Wie sector7 unterstützt

Als inhabergeführter IT-Dienstleister arbeiten wir strukturell in dem Rahmen, den DORA von Providern verlangt: 24/7-Überwachung durch unser NOC, definierte Incident-Prozesse und eine gelebte Veeam-Backup-Praxis, ergänzt um Compliance-Beratung zu DORA, NIS-2, ISO 27001 und TISAX. Unsere zertifizierte Infrastruktur-Expertise (Cisco, Juniper, Fortinet, Palo Alto Networks, F5, HPE) deckt die technische Seite ab, ohne sie in intransparente Ketten weiterzureichen. Das Ganze zu planbaren monatlichen Festpreisen – auch das ein Stück Vertragsklarheit im Sinne von Art. 30.

Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.