Ein IKT-Dienstleister kann vertraglich austauschbar wirken und praktisch dennoch kaum ersetzbar sein. Wenn Datenexport, Identitätsverwaltung, Schnittstellen und Wiederanlaufwissen beim selben Anbieter liegen, schafft eine Kündigungsklausel allein keinen belastbaren Ausstieg. DORA verlangt deshalb, Drittparteirisiken während Auswahl, Vertrag, Betrieb und Beendigung zusammenhängend zu steuern.
Die Artikel 28 bis 30 der Verordnung (EU) 2022/2554 bilden hierfür die wesentlichen Pflichten des Finanzunternehmens. Die europäische Überwachung als kritisch eingestufter IKT-Drittdienstleister ist ein eigener Regelungsbereich. Sie nimmt dem Finanzunternehmen seine Verantwortung für die eigene Nutzung nicht ab. Der folgende fiktive Fall zeigt eine Entscheidung über einen ausgelagerten Dokumentendienst einschließlich geprüftem Ausstiegsweg.
Den Dienst und seine Bedeutung konkret beschreiben
Ein dem allgemeinen DORA-Rahmen unterliegendes Finanzunternehmen plant, Vertragsunterlagen über einen externen Dokumentendienst bereitzustellen. Der Dienst speichert Dokumente, stellt sie Kunden zur Verfügung und liefert Zustellnachweise. Die Fachseite bewertet, dass ein schwerer Ausfall die ordnungsgemäße Durchführung wesentlicher Leistungen beeinträchtigen könnte. Im Beispiel wird deshalb die Unterstützung einer kritischen oder wichtigen Funktion festgestellt.
Die Einordnung bezieht sich auf die konkrete Funktion und deren Auswirkungen nach Artikel 3 Nummer 22. Sie folgt nicht allein aus Umsatz, Bekanntheit oder Marktstellung des Anbieters. Ein kleiner Dienstleister kann eine wesentliche Abhängigkeit schaffen; ein großer Anbieter kann daneben auch einen weniger bedeutenden Hilfsdienst liefern.
Ebenso wird die eigene Einstufung des Dienstes von der förmlichen Einstufung eines Anbieters als kritisch nach Artikel 31 unterschieden. Das erste Ergebnis bestimmt die Anforderungen an die konkrete Vereinbarung. Das zweite betrifft das europäische Überwachungsregime. Im Risikoregister werden beide Informationen deshalb in getrennten Feldern geführt.
Der Dienst wird mit dem IKT-Risikomanagementrahmen verbunden. So ist sichtbar, welche Geschäftsleistung ausfallen würde und welche Kontrollen bereits an anderer Stelle vorhanden sind. Eine bloße Lieferantenliste kann diese Verbindung nicht ersetzen.
Vor Vertragsabschluss eine entscheidungsfähige Prüfung durchführen
Artikel 28 Absatz 4 verlangt unter anderem die Prüfung der Funktionsbedeutung, aufsichtsrechtlicher Voraussetzungen, relevanter Risiken, Eignung des Anbieters und möglicher Interessenkonflikte. Die Prüfung endet mit einer begründeten Entscheidung und gegebenenfalls noch offenen Bedingungen. Ein ausgefüllter Standardfragebogen ohne Bewertung reicht nicht als Entscheidungsvorlage.
Im Dokumentenfall werden vier Unterlagen angefordert: eine Leistungsbeschreibung mit Schnittstellen, die tatsächliche Betriebs- und Unterauftragnehmerstruktur, belastbare Sicherheits- und Kontinuitätsnachweise sowie ein Beispiel für vollständige Datenrückgabe. Die Prüfer gleichen den Geltungsbereich vorhandener Zertifikate und Prüfberichte mit dem geplanten Dienst ab. Ein Nachweis für einen anderen Standort oder eine andere Leistung beantwortet die konkrete Frage nicht.
| Prüffrage | Befund im Beispiel | Konsequenz |
|---|---|---|
| Sind Dokumente und Zustellnachweise gemeinsam exportierbar? | Dokumente ja, Nachweise zunächst nur in einer eigenen Oberfläche | Export der Nachweise als Vertrags- und Abnahmebedingung aufnehmen |
| Gibt es einen verlässlichen Übergangsservice? | Anbieter bietet Unterstützung, Umfang und Kosten bleiben offen | Aufgaben, Dauer und vorab bestimmte Kosten konkretisieren |
| Welche Abhängigkeiten bestehen hinter dem Anbieter? | Hosting und Identitätsdienst sind externe Leistungen | Unterabhängigkeiten und gemeinsame Ausfallpunkte bewerten |
| Ist der Betrieb bei einem Identitätsausfall möglich? | Regulärer Zugang hängt vollständig am Dienst | Notfallzugriff und geeignete Ersatzverfahren prüfen |
| Können festgestellte Risiken wirksam überwacht werden? | Berichtskanal vorhanden, Eskalation unklar | Benannte Kontakte, Ereignisse und Reaktionswege vereinbaren |
Das Unternehmen beschließt im Beispiel noch keine uneingeschränkte Produktivfreigabe. Der Dienst darf erst starten, wenn die Rückgabe der Nachweise und der Übergangsablauf praktisch überprüft wurden. Diese Bedingung wird nicht in einer internen Notiz versteckt, sondern in den Beschaffungs- und Freigabeprozess übernommen.
Konzentrationsrisiken über den einzelnen Vertrag hinaus erkennen
Artikel 29 verlangt die Betrachtung schwer ersetzbarer Anbieter und mehrerer Vereinbarungen mit demselben oder eng verbundenen Anbietern. Eine Aufteilung auf mehrere Vertragsnamen beseitigt die Konzentration nicht, wenn dahinter dieselbe technische Plattform oder ein gemeinsamer Konzern steht.
Im Beispiel nutzt das Finanzunternehmen bereits einen Kundendienst auf derselben Hostingplattform, die auch der neue Dokumentendienst einsetzt. Es untersucht deshalb den gleichzeitigen Ausfall beider Leistungen. Der zweite direkte Vertragspartner schafft hier keine vollständige Unabhängigkeit. Die gemeinsame Abhängigkeit wird im Funktionsmodell sichtbar gemacht.
Eine Mehranbieterstrategie ist dabei keine automatisch vorgeschriebene Lösung für jede Lage. Alternative Wege verursachen ebenfalls Aufwand und Risiken. Das Unternehmen vergleicht beispielsweise einen zweiten technisch unabhängigen Bereitstellungsweg, eine begrenzte interne Ersatzfunktion und die Verbesserung einer vorhandenen Exportmöglichkeit. Die Entscheidung berücksichtigt Leistungsbedarf, Umstellbarkeit, Betriebskomplexität und tatsächliche Risikominderung.
Ein häufiger Denkfehler besteht darin, nur monatliche Verfügbarkeit zu vergleichen. Für einen Ausstieg können proprietäre Datenformate, fehlende Fachkenntnisse oder nicht übertragbare Schnittstellen entscheidender sein. Diese Faktoren werden im Beispiel als konkrete Wechselhindernisse dokumentiert und mit Maßnahmen versehen.
Allgemeine und zusätzliche Vertragsanforderungen unterscheiden
Artikel 30 Absatz 2 nennt Mindestinhalte der IKT-Vereinbarungen, darunter klare Leistungen, Standorte, Datenschutz und Datensicherheit, Zugang und Rückgabe von Daten, Leistungsbeschreibungen, Unterstützung bei Vorfällen, Zusammenarbeit mit Behörden sowie Kündigungsrechte. Auch nicht personenbezogene Daten sind für DORA relevant.
Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, kommen nach Absatz 3 zusätzliche Anforderungen hinzu. Dazu zählen präzise quantitative und qualitative Leistungsziele, Informationspflichten bei wesentlichen Entwicklungen, Kontinuitätsvorkehrungen, einschlägige Mitwirkung an TLPT, wirksame Prüfungsrechte und eine angemessene Übergangsphase für den Ausstieg. Die konkrete Formulierung muss den Dienst tatsächlich abdecken.
Im Beispiel bedeutet ein prüfbares Leistungsziel mehr als „angemessene Verfügbarkeit“. Es legt fest, welche Funktion gemessen wird, wann eine Störung beginnt und welche Einschränkungen einbezogen werden. Der Vertrag regelt außerdem, wie eine Abweichung erkannt, gemeldet und behoben wird. Ein Serviceguthaben kann eine kaufmännische Folge sein, ersetzt aber keine erforderliche Wiederherstellung.
Für Vorfälle werden Informationswege so vereinbart, dass das Finanzunternehmen seine eigenen Pflichten erfüllen kann. Artikel 30 schreibt nicht pauschal für jeden Anbieter eine Vierstundenmeldung vor. Die gesetzlichen Vorfallmeldungen nach DORA, NIS2 und DSGVO sind getrennt von diesen vertraglichen Zulieferungen zu prüfen. Bei einem Auftragsverarbeiter gilt nach Artikel 33 Absatz 2 DSGVO unverzügliche Information an den Verantwortlichen, nicht eine allgemeine eigene 72-Stunden-Wartefrist.
Unteraufträge als Teil derselben Leistung kontrollieren
Der Vertrag muss erkennen lassen, ob die Untervergabe einschlägiger Leistungen oder wesentlicher Teile erlaubt ist und unter welchen Bedingungen. Die Delegierte Verordnung (EU) 2025/532 konkretisiert die Bewertung von Unteraufträgen für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen. Relevant sind beispielsweise Orte, Kettenlänge, Daten, Konzentration und die Auswirkungen auf Übertragbarkeit und Kontinuität.
Das Beispielunternehmen erhält deshalb nicht nur eine allgemeine Liste von Marken. Es klärt, welche Leistung der jeweilige Unterauftragnehmer übernimmt und welche Änderung die eigene Risikobewertung beeinflussen würde. Die Information muss rechtzeitig für eine sachliche Prüfung nutzbar sein. Wesentliche Änderungen dürfen nicht erst nach ihrem Vollzug als bloße Neuigkeit erscheinen.
Das Verfahren legt fest, wer eine Änderung prüft, welche zusätzlichen Nachweise gebraucht werden und wie Einwände oder erforderliche Vertragsrechte ausgeübt werden. Dabei sind die konkreten Bedingungen des technischen Standards und der Vereinbarung maßgeblich. Eine pauschale Aussage, jede Untervergabe erfordere immer dieselbe einzelne Genehmigung, würde die tatsächliche Regelung zu stark vereinfachen.
Den Ausstieg anhand eines vollständigen Arbeitsergebnisses prüfen
Artikel 28 Absatz 8 verlangt für Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen Ausstiegsstrategien und umfassende, dokumentierte, hinreichend getestete sowie periodisch überprüfte Pläne. Ziel ist ein Ausstieg ohne die dort genannten Beeinträchtigungen der Geschäftstätigkeit, Regelbefolgung sowie Kontinuität und Qualität der Kundenleistungen.
Im Beispiel umfasst ein Probeexport erfundene Dokumente mit unterschiedlichen Versionen, Zustellzeitpunkten und Berechtigungen. Die Zielumgebung importiert nicht nur die Dateien. Sie muss auch erkennen können, welche Version wem wann bereitgestellt wurde. Die Fachabteilung prüft anschließend einen konkreten Kundenvorgang vollständig in der neuen Umgebung.
Die erste Erprobung scheitert an fehlenden Zustellnachweisen. Zwar sind sämtliche PDF-Dateien vorhanden, aber ihre Zuordnung zu einzelnen Bereitstellungen ist unvollständig. Der Befund wird als fachlich unvollständiger Ausstieg dokumentiert. Das Unternehmen lässt den Export ergänzen und wiederholt die Prüfung; eine bloße Bestätigung des Anbieters schließt den Mangel nicht.
Zusätzlich werden die benötigte Dauer, verfügbare Personen, Schnittstellenänderungen und verbleibende Vertragskosten betrachtet. Ein geplanter Wechsel bei funktionierendem Anbieter unterscheidet sich von dessen plötzlichem Ausfall oder Insolvenz. Für den zweiten Fall muss geklärt sein, welche Daten und Fähigkeiten unabhängig verfügbar bleiben. Die Backup- und Wiederherstellungsplanung liefert hierfür einen wichtigen Teil, ersetzt aber nicht die Übernahme der gesamten Dienstleistung.
Datenschutzrollen und Rückgabe separat absichern
Ein IKT-Drittdienstleister ist nicht allein deshalb Auftragsverarbeiter, weil er personenbezogene Daten berührt. Die tatsächliche Rolle hängt davon ab, wer Zwecke und wesentliche Mittel bestimmt. Liegt Auftragsverarbeitung vor, ist der Vertrag nach Artikel 28 DSGVO zusätzlich erforderlich; andere Rollen benötigen die jeweils passende rechtliche Gestaltung.
Beim Dokumentendienst wird im Beispiel weisungsgebundene Verarbeitung vereinbart. Rückgabe und Löschung müssen daher sowohl den DORA-Ausstieg als auch die datenschutzrechtlichen Anforderungen berücksichtigen. Die Abstimmung von DORA und DSGVO verhindert, dass eine operative Rückgabe versehentlich als Erlaubnis für unbegrenzte weitere Kopien verstanden wird.
Drittländer werden anhand tatsächlicher Speicher-, Verarbeitungs- und Zugriffssituationen geprüft. Ein EU-Speicherort schließt externen Supportzugriff oder Weiterübermittlungen nicht automatisch aus. Ebenso ersetzt eine verschlüsselte Ablage nicht die Prüfung, wer die Inhalte im laufenden Dienst entschlüsseln kann. Der Beitrag zur Verschlüsselung verbindet diesen Punkt mit der Schlüssel- und Zugriffsverantwortung.
Register, Betrieb und Freigabe aktuell halten
Artikel 28 Absatz 3 verlangt ein aktuelles Informationsregister über die vertraglichen IKT-Vereinbarungen. Die jährliche Information über neue Vereinbarungen, Anbieterkategorien und Leistungen ist vom Bereitstellen des vollständigen Registers oder bestimmter Teile auf Anforderung zu unterscheiden. Konkrete aufsichtsrechtliche Einreichungen und technische Formate müssen zusätzlich anhand der geltenden Vorgaben organisiert werden.
Im Beispiel werden Vertrag, Funktion, Anbieter, Unterabhängigkeiten und Ausstiegsnachweis miteinander verbunden. Eine Änderung des Dienstes löst sowohl eine Registerprüfung als auch die Prüfung der betroffenen Kontrollen aus. Für die spätere Werkzeugwahl kann die DORA-Software-Auswahl als ergänzende Beschaffungsaufgabe dienen; die fachliche Entscheidung bleibt beim Finanzunternehmen.
Die endgültige Freigabe lautet: Der Dokumentendienst darf produktiv eingesetzt werden, nachdem Export und fachlicher Wiederanlauf einschließlich Zustellnachweisen erfolgreich nachgewiesen sind. Die gemeinsame Hostingabhängigkeit bleibt ein bewusst behandeltes Risiko mit benanntem Verantwortlichen. Bei wesentlichen Leistungsänderungen, neuen Unterabhängigkeiten oder geänderten Ausstiegsmöglichkeiten wird die Entscheidung erneut geprüft. So bleibt der Vertrag mit dem tatsächlichen Betrieb verbunden.