Wie funktioniert das DORA-Aufsichtsrahmenwerk für kritische IKT-Drittanbieter (CTPP)?

Wofür das Oversight-Framework geschaffen wurde

Der Digital Operational Resilience Act, die Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten. Neben den Anforderungen an einzelne Finanzunternehmen enthält die Verordnung in Kapitel V, Abschnitt II (Art. 31 bis 44) ein eigenständiges Aufsichtsrahmenwerk auf Unionsebene. Es adressiert ein Risiko, das die Aufsicht über einzelne Banken oder Versicherer nicht erfassen kann: die Abhängigkeit des gesamten Finanzsektors von einer kleinen Zahl großer Technologieanbieter.

Fällt ein zentraler Cloud-Anbieter, ein Rechenzentrumsbetreiber oder eine Datendienstleistung aus, kann das gleichzeitig viele Finanzunternehmen treffen. Diese Konzentrations- und Systemrisiken stehen im Mittelpunkt. Die Europäische Bankenaufsichtsbehörde beschreibt das Ziel als Adressierung der potenziellen System- und Konzentrationsrisiken, die aus der Abhängigkeit des Finanzsektors von einer begrenzten Zahl von IKT-Anbietern entstehen. Das Rahmenwerk ergänzt das Risikomanagement der Finanzunternehmen und die Tätigkeit der nationalen Aufsichtsbehörden, es ersetzt sie nicht.

Für eine IT-Leiterin im Mittelstand ist die Unterscheidung wichtig: Ihr eigenes Unternehmen unterliegt den DORA-Pflichten zum IKT-Risikomanagement und zum Vertragsmanagement mit Drittdienstleistern. Die direkte Aufsicht über einen CTPP betrifft dagegen den Anbieter selbst, nicht den nutzenden Kunden. Wer Dienste eines später benannten kritischen Anbieters bezieht, profitiert mittelbar von dessen Beaufsichtigung, bleibt für die eigene Vertragsgestaltung und Ausstiegsstrategie aber selbst verantwortlich.

Wer beaufsichtigt: die ESAs, das Überwachungsforum und der Lead Overseer

Träger des Rahmenwerks sind die drei Europäischen Aufsichtsbehörden (European Supervisory Authorities, ESAs): die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) sowie die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA). Sie handeln gemeinsam über ihren Gemeinsamen Ausschuss.

Vorbereitend wirkt das Überwachungsforum nach Art. 32 Abs. 1 DORA. Es ist ein ständiges Gremium der ESAs, in dem Vertreterinnen und Vertreter aller drei Behörden sowie der nationalen Aufsichtsbehörden zusammenkommen. Das Forum erarbeitet die fachlichen Grundlagen und spricht die Empfehlung aus, ob ein bestimmter Anbieter benannt werden soll. Die förmliche Benennungsentscheidung trifft anschließend der Gemeinsame Ausschuss.

Für jeden benannten Anbieter bestimmen die ESAs einen Lead Overseer. Maßgeblich ist der Sektor, dessen Finanzunternehmen zusammen den größten Anteil an der Gesamtbilanzsumme aller den Anbieter nutzenden Finanzunternehmen halten (Art. 31 Abs. 1 lit. b DORA). Vereinfacht: Die EBA führt die Aufsicht über Anbieter, die überwiegend von Banken genutzt werden, die EIOPA über solche mit Schwerpunkt im Versicherungs- und Pensionsbereich, die ESMA über Anbieter mit Schwerpunkt im Wertpapier- und Kapitalmarktgeschäft. Die BaFin informiert ihrerseits über Kapitel V, Abschnitt II, Artikel 31 bis 44 DORA und ist als nationale Behörde eingebunden.

Wie ein Anbieter zum CTPP wird: die Benennung nach Art. 31

Die Benennung beruht auf den Kriterien in Art. 31 Abs. 2 DORA. Geprüft werden im Kern vier Gesichtspunkte: die systemische Wirkung im Fall eines Ausfalls auf die Finanzunternehmen, denen der Anbieter Dienste erbringt; die systemische Bedeutung oder Wichtigkeit der abhängigen Finanzunternehmen; die Kritikalität oder Wichtigkeit der durch den Anbieter unterstützten Funktionen; sowie der Grad der Substituierbarkeit, also wie leicht oder schwer ein Wechsel zu einem anderen Anbieter wäre.

Die genauen Schwellenwerte konkretisiert die Delegierte Verordnung (EU) 2024/1502 der Kommission. Sie legt für jedes der vier Kriterien aus Art. 31 Abs. 2 DORA Indikatoren fest und sieht eine Bewertung in zwei Stufen vor: zunächst anhand quantitativer, anschließend anhand qualitativer Indikatoren. Als Datengrundlage dienen nach Darstellung der ESAs die Informationsregister, die die Finanzunternehmen über ihre IKT-Verträge führen.

Neben der behördlichen Benennung kennt Art. 31 Abs. 11 DORA einen freiwilligen Mechanismus: Ein IKT-Drittdienstleister, der nicht bereits benannt wurde, kann beantragen, als kritisch eingestuft zu werden (Opt-in). Damit lässt sich Rechtssicherheit über den eigenen Status herstellen. Anbieter, die ausschließlich gruppenintern Dienste erbringen, sind von der Benennung grundsätzlich ausgenommen.

Was der Lead Overseer prüft und welche Befugnisse er hat

Hat eine ESA die Rolle des Lead Overseer übernommen, bewertet sie nach Art. 33 DORA, ob der Anbieter über umfassende, solide und wirksame Regelungen, Verfahren und Mechanismen verfügt, um die Risiken zu steuern, die er für Finanzunternehmen darstellen kann. Geprüft werden insbesondere die Anforderungen an die IKT-Sicherheit, die physische Sicherheit der Einrichtungen, die Risikomanagement-Prozesse, die Governance-Strukturen, die Behandlung von Vorfällen, die Prüfung der digitalen operationalen Resilienz sowie Aspekte der Datenübertragbarkeit und Interoperabilität.

Die Befugnisse des Lead Overseer regelt Art. 35 DORA. Dazu gehören das Recht, alle erforderlichen Informationen und Unterlagen anzufordern, allgemeine Untersuchungen durchzuführen, Vor-Ort-Prüfungen vorzunehmen und nach Abschluss der Aufsichtstätigkeiten Empfehlungen auszusprechen. Empfehlungen können sich etwa auf den Einsatz bestimmter IKT-Sicherheits- und Qualitätsanforderungen oder -prozesse beziehen. Vor einer Empfehlung erhält der Anbieter 30 Kalendertage Gelegenheit, die erwarteten Auswirkungen auf Kunden außerhalb des DORA-Anwendungsbereichs darzulegen (Art. 35 Abs. 3 DORA). Vor der Verhängung eines Zwangsgelds ist er anzuhören; die Entscheidung darf nur auf Feststellungen gestützt werden, zu denen er sich äußern konnte (Art. 35 Abs. 11 DORA).

Zwangsgeld als Durchsetzungsinstrument

Befolgt ein Anbieter die geforderten Maßnahmen ganz oder teilweise nicht, kann der Lead Overseer nach Ablauf von mindestens 30 Kalendertagen ab Mitteilung ein Zwangsgeld verhängen, um die Befolgung zu erzwingen (Art. 35 DORA). Das Zwangsgeld wird täglich festgesetzt und für längstens sechs Monate ab der Mitteilung der Entscheidung erhoben. Sein Betrag kann bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des Anbieters im vorangegangenen Geschäftsjahr betragen. Es handelt sich um ein Beugemittel zur Durchsetzung, nicht um eine Strafe im engeren Sinne; Ziel ist die Herstellung der Befolgung, nicht die Ahndung der Vergangenheit.

Wie die Aufsicht abläuft: das Gemeinsame Prüfungsteam

Die operative Aufsicht führt der Lead Overseer nicht allein durch. Nach Art. 40 DORA wird für jeden CTPP ein Gemeinsames Prüfungsteam (Joint Examination Team, JET) gebildet. Es setzt sich aus Personal der ESAs und der jeweils relevanten nationalen Aufsichtsbehörden zusammen und arbeitet unter Koordination eines ESA-Mitarbeiters, der die Prüfungen leitet. Die EBA beschreibt das Zusammenwirken der Behörden in der operativen Aufsicht als Arbeit als ein Team.

Der Aufsichtszyklus umfasst nach Darstellung der EBA fünf Kernfunktionen: die Benennung der kritischen Anbieter, die Risikobewertung ihrer Tätigkeit, die Planung der Aufsichtsmaßnahmen, die Durchführung der Prüfungen sowie die Aussprache und Nachverfolgung von Empfehlungen zur Behebung festgestellter Risiken. Die Nachverfolgung ist in Art. 35 DORA angelegt: Der Lead Overseer kann nach Abschluss der Aufsichtstätigkeiten Berichte anfordern, in denen der Anbieter darlegt, welche Maßnahmen oder Abhilfen er mit Blick auf die Empfehlungen ergriffen hat.

1. Benennung des Anbieters als CTPP durch die ESAs.
2. Risikobewertung seiner Strukturen und Prozesse nach Art. 33 DORA.
3. Planung der Aufsichtsmaßnahmen und Festlegung eines jährlichen Aufsichtsplans.
4. Durchführung von Informationsanforderungen, Untersuchungen und Vor-Ort-Prüfungen durch das JET.
5. Empfehlungen und Nachverfolgung einschließlich Berichtspflicht und möglichem Zwangsgeld.

Wechselwirkung mit den Finanzunternehmen: Art. 42 DORA

Das Rahmenwerk schließt einen wichtigen Kreis. Innerhalb von 60 Kalendertagen nach Erhalt einer Empfehlung muss ein CTPP dem Lead Overseer mitteilen, ob er sie befolgen will, oder begründen, warum nicht; der Lead Overseer leitet das unverzüglich an die zuständigen nationalen Behörden weiter (Art. 42 Abs. 1 DORA). Bleibt die Mitteilung aus oder reicht die Begründung nicht aus, macht der Lead Overseer das öffentlich bekannt (Art. 42 Abs. 2 DORA). Die nationalen Behörden informieren die Finanzunternehmen über die in den Empfehlungen festgestellten Risiken, und diese müssen sie in ihrem IKT-Drittparteienrisikomanagement berücksichtigen (Art. 42 Abs. 3 DORA). Als letztes Mittel können die Behörden verlangen, die Nutzung eines Dienstes vorübergehend ganz oder teilweise auszusetzen oder den Vertrag nötigenfalls zu beenden (Art. 42 Abs. 6 DORA).

Für ein nutzendes Unternehmen bedeutet das: Die Beaufsichtigung des Anbieters ist kein rein externer Vorgang. Bleibt ein kritischer Anbieter dauerhaft hinter den aufsichtlichen Erwartungen zurück, kann das im Extremfall die eigene Bezugsbeziehung berühren. Eine belastbare Ausstiegsstrategie und dokumentierte Alternativen gehören deshalb unabhängig vom Aufsichtsrahmenwerk zu den Sorgfaltspflichten nach DORA.

Stand der Umsetzung und Abgrenzung zu NIS2 und KRITIS

Das Aufsichtsrahmenwerk gilt seit dem Geltungsbeginn von DORA am 17. Januar 2025. Den operativen Anlauf markierte die erste Benennungsrunde: Am 18. November 2025 veröffentlichten die ESAs die Liste der benannten kritischen IKT-Drittdienstleister. Benannt wurden 19 Anbieter, darunter große Cloud-Plattformen, Netz- und Rechenzentrumsbetreiber sowie spezialisierte Anbieter von Finanzdaten und -diensten. Mit der Benennung unterliegen diese Anbieter der Aufsicht durch den nach Art. 31 Abs. 1 lit. b DORA bestimmten federführenden Aufseher (Lead Overseer). Die Liste wird nach Art. 31 Abs. 9 DORA jährlich aktualisiert.

Wichtig ist die Abgrenzung zu zwei anderen Regelungsregimen, die in der Praxis häufig vermischt werden. DORA ist als sektorspezifische Verordnung für den Finanzsektor gegenüber der allgemeinen Cybersicherheitsrichtlinie NIS2 vorrangig (Lex specialis): Finanzunternehmen, die DORA unterliegen, erfüllen die entsprechenden Cyber-Anforderungen über DORA. Die nationale NIS2-Umsetzung erfolgte in Deutschland durch das Gesetz zur Umsetzung der NIS-2-Richtlinie, das seit dem 6. Dezember 2025 in Kraft ist und das BSI-Gesetz neu gefasst hat. Davon wiederum zu trennen ist das KRITIS-Dachgesetz, das seit dem 17. März 2026 in Kraft ist und die physische Resilienz kritischer Anlagen regelt. Das DORA-Oversight-Framework betrifft keinen dieser nationalen Regelungsbereiche, sondern die unionsweite Aufsicht über kritische IKT-Anbieter des Finanzsektors.

Der kostenlose DORA-Check ordnet die Betroffenheit im Einzelfall ein.

Häufige Fragen

Bin ich als nutzendes Finanzunternehmen selbst Adressat des Oversight-Frameworks?

Nein. Das Aufsichtsrahmenwerk nach Art. 31 bis 44 DORA richtet sich an den benannten kritischen Anbieter (CTPP), nicht an dessen Kunden. Als nutzendes Finanzunternehmen unterliegen Sie weiterhin den allgemeinen DORA-Pflichten zum IKT-Risikomanagement und zum Drittparteienmanagement. Mittelbar kann die Aufsicht über den Anbieter Sie betreffen, wenn die nationale Behörde nach Art. 42 DORA Maßnahmen ergreift.

Wie hoch kann das Zwangsgeld gegen einen kritischen Anbieter ausfallen?

Nach Art. 35 DORA kann der Lead Overseer ein tägliches Zwangsgeld von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des Anbieters im vorangegangenen Geschäftsjahr verhängen. Es wird für längstens sechs Monate erhoben und dient dazu, die Befolgung der geforderten Maßnahmen zu erzwingen. Voraussetzung ist eine vorherige Mitteilung und der Ablauf von mindestens 30 Kalendertagen.

Wer entscheidet, welche ESA Lead Overseer wird?

Die ESAs bestimmen den Lead Overseer nach Art. 31 Abs. 1 lit. b DORA. Maßgeblich ist der Finanzsektor, dessen Unternehmen zusammen den größten Anteil an der Gesamtbilanzsumme aller den Anbieter nutzenden Finanzunternehmen halten. Daraus ergibt sich, ob EBA, EIOPA oder ESMA die Federführung übernimmt.

Können sich Anbieter freiwillig als kritisch einstufen lassen?

Ja. Art. 31 Abs. 11 DORA sieht einen Opt-in-Mechanismus vor: Ein noch nicht benannter IKT-Drittdienstleister kann beantragen, als kritisch eingestuft zu werden. Das schafft Klarheit über den eigenen Status und über die daran anknüpfenden Mitwirkungspflichten gegenüber dem Lead Overseer.