IKT-Drittanbieter-Pflichten unter DORA

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Warum DORA das Drittanbieter-Kapitel verschärft hat

DORA behandelt das Drittanbieter-Risiko in einem eigenen Kapitel (Kapitel V, Art. 28–44). Hintergrund: Eine Handvoll Cloud-Hyperscaler und IT-Dienstleister bedient mittlerweile große Teile der europäischen Finanzindustrie. Ein Ausfall dieser Anbieter, durch Ransomware, technische Defekte oder geopolitische Maßnahmen, kann gleichzeitig Hunderte Finanzunternehmen treffen.

Die Antwort: Pflichten für die Finanzunternehmen (vertraglich-organisatorisch) plus ein direktes Aufsichtsregime über die Drittanbieter selbst, sobald diese als kritisch eingestuft werden.

Pflicht 1: Drittanbieter-Register (Art. 28 Abs. 3)

Jedes DORA-pflichtige Unternehmen führt ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittanbietern, auf Einzelebene sowie auf teilkonsolidierter und konsolidierter Ebene. Die zugehörigen ITS-Templates verlangen unter anderem:

• Identifikation des Drittanbieters (LEI, Adresse, Konzernzugehörigkeit)
• Art der IKT-Dienste (Cloud, SaaS, Hosting, Managed Service, Software-Lizenz, Beratung)
• ob die Dienste eine kritische oder wichtige Funktion unterstützen
• Standort der Datenverarbeitung und -speicherung
• Vertragsdaten (Beginn, Ende, Kündigungsfristen)
• gegebenenfalls Sub-Auslagerungen (Sub-Outsourcing-Kette)

Das Register ist laufend zu führen und zu aktualisieren (Art. 28 Abs. 3 Unterabs. 1 DORA) und der Aufsicht auf Anforderung ganz oder in Teilen bereitzustellen. Mindestens jährlich berichten Finanzunternehmen der Behörde über die Zahl neuer Vereinbarungen, die Kategorien der Anbieter, die Vertragsarten sowie die erbrachten Dienste und Funktionen (Art. 28 Abs. 3 Unterabs. 3 DORA).

Pflicht 2: Vor-Vertragsphase und Due Diligence (Art. 28 Abs. 4-5)

Vor Abschluss eines IKT-Vertrags müssen Finanzunternehmen nach Art. 28 Abs. 4 DORA:

• bewerten, ob der Vertrag IKT-Dienste zur Unterstützung einer kritischen oder wichtigen Funktion betrifft (lit. a)
• bewerten, ob die aufsichtlichen Voraussetzungen für die Vergabe erfüllt sind (lit. b)
• alle relevanten Risiken des Vertrags ermitteln und bewerten, einschließlich eines möglichen Beitrags zum IKT-Konzentrationsrisiko nach Art. 29 (lit. c)
• die gebotene Due Diligence beim vorgesehenen Anbieter durchführen und dessen Eignung sicherstellen (lit. d)
• mögliche Interessenkonflikte ermitteln und bewerten (lit. e)

Verträge dürfen nur mit Anbietern geschlossen werden, die angemessene Standards für Informationssicherheit einhalten. Bei kritischen oder wichtigen Funktionen ist vor Vertragsschluss zu berücksichtigen, ob der Anbieter die aktuellsten und hochwertigsten Informationssicherheitsstandards anwendet (Art. 28 Abs. 5 DORA). Drittland-Bezug, Unterauftragsketten und das im Insolvenzfall des Anbieters anwendbare Recht sind nach Art. 29 Abs. 2 DORA zu berücksichtigen.

Pflicht 3: Vertragsklauseln (Art. 30)

Art. 30 DORA listet die Pflichtklauseln in IKT-Verträgen auf. Für alle IKT-Verträge gelten (Art. 30 Abs. 2):

• klare und vollständige Beschreibung aller Funktionen und IKT-Dienste, einschließlich der Angabe, ob und unter welchen Bedingungen eine Unterauftragsvergabe bei kritischen oder wichtigen Funktionen zulässig ist (lit. a)
• Standorte der Leistungserbringung und Datenverarbeitung samt Speicherort und Pflicht zur vorherigen Anzeige von Änderungen (lit. b)
• Bestimmungen zu Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, auch personenbezogener Daten (lit. c)
• Zugang, Wiederherstellung und Rückgabe der Daten bei Insolvenz, Abwicklung, Geschäftsaufgabe oder Vertragsende (lit. d)
• Beschreibung der Service-Level (lit. e)
• Unterstützungspflicht des Anbieters bei IKT-Vorfällen, kostenlos oder zu vorab festgelegten Kosten (lit. f)
• volle Kooperation mit den zuständigen Behörden und Abwicklungsbehörden (lit. g)
• Kündigungsrechte und Mindestkündigungsfristen (lit. h)
• Bedingungen für die Teilnahme des Anbieters an Awareness-Programmen und Schulungen des Finanzunternehmens (lit. i)

Für IKT-Verträge, die kritische oder wichtige Funktionen unterstützen (Art. 30 Abs. 3), kommen zusätzlich hinzu:

• vollständige Service-Level-Beschreibungen mit präzisen quantitativen und qualitativen Leistungszielen (lit. a)
• Anzeigefristen und Berichtspflichten des Anbieters, etwa bei Entwicklungen, die die Leistungserbringung wesentlich beeinträchtigen können (lit. b)
• Notfallpläne und angemessene IKT-Sicherheitsmaßnahmen beim Anbieter (lit. c)
• Mitwirkung an TLPT des Finanzunternehmens (lit. d)
• uneingeschränkte Zugangs-, Inspektions- und Prüfrechte für das Finanzunternehmen, beauftragte Dritte und die zuständige Behörde, einschließlich Vor-Ort-Prüfungen (lit. e)
• Ausstiegsstrategien mit angemessener Übergangsfrist (lit. f)

Pflicht 4: Beendigungsstrategien (Art. 28 Abs. 8)

Für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, sind Ausstiegsstrategien einzurichten (Art. 28 Abs. 8 DORA). Sie berücksichtigen unter anderem einen Ausfall des Anbieters, eine Verschlechterung der Dienstqualität und eine Vertragsbeendigung aus den Gründen des Art. 28 Abs. 7. Das Finanzunternehmen muss aussteigen können ohne:

• Unterbrechung seiner Geschäftstätigkeit
• Einschränkung der Einhaltung aufsichtsrechtlicher Anforderungen
• Beeinträchtigung von Kontinuität und Qualität der Dienstleistungen für Kunden

Die Ausstiegspläne müssen umfassend und dokumentiert sein und ausreichend getestet sowie regelmäßig überprüft werden. Dazu gehören alternative Lösungen und Übergangspläne, mit denen Dienste und Daten sicher und vollständig auf einen anderen Anbieter übertragen oder ins eigene Haus zurückgeholt werden können, sowie Notfallmaßnahmen zur Aufrechterhaltung des Geschäftsbetriebs.

Pflicht 5: Konzentrationsrisiko-Bewertung

Art. 29 DORA verlangt eine vorläufige Bewertung des IKT-Konzentrationsrisikos, bevor ein Vertrag über IKT-Dienste für kritische oder wichtige Funktionen geschlossen wird. Zu prüfen ist, ob der Vertrag dazu führen würde:

• einen nicht leicht ersetzbaren Anbieter zu beauftragen (Art. 29 Abs. 1 lit. a)
• mehrere Verträge über kritische oder wichtige Funktionen mit demselben Anbieter oder mit eng verbundenen Anbietern zu unterhalten (Art. 29 Abs. 1 lit. b)

Dabei sind Nutzen und Kosten alternativer Lösungen abzuwägen, etwa der Einsatz verschiedener Anbieter. Sieht der Vertrag Unterauftragsvergabe vor, sind deren Risiken zu gewichten, insbesondere bei Unterauftragnehmern in Drittländern; bei Anbietern in Drittländern sind zusätzlich die Einhaltung des EU-Datenschutzrechts und die Rechtsdurchsetzung dort zu berücksichtigen (Art. 29 Abs. 2 DORA). Die Bewertung ist Teil der Risikoermittlung nach Art. 28 Abs. 4 lit. c.

Das Aufsichtsregime für kritische IKT-Drittanbieter (Art. 31-44)

DORA schafft etwas Neues: Die ESAs (EBA, ESMA, EIOPA) können IKT-Drittanbieter als kritisch einstufen und ihnen einen Lead Overseer zuweisen. Lead Overseer ist eine der drei ESAs, sie übt direkte Aufsichtsbefugnisse gegenüber dem Drittanbieter aus.

Kriterien für Kritikalität (Art. 31 Abs. 2):

• systemische Auswirkungen auf Stabilität, Kontinuität oder Qualität der Finanzdienstleistungen bei einem großflächigen Ausfall des Anbieters, gemessen unter anderem an Zahl und Gesamtvermögen der bedienten Finanzunternehmen (lit. a)
• systemische Bedeutung der Finanzunternehmen, die sich auf den Anbieter stützen, etwa G-SRI und A-SRI (lit. b)
• Abhängigkeit der Finanzunternehmen vom Anbieter bei kritischen oder wichtigen Funktionen, direkt oder über Unterauftragsvergabe (lit. c)
• Grad der Substituierbarkeit des Anbieters (lit. d)

Gehört der Anbieter zu einer Gruppe, werden die Kriterien auf die IKT-Dienste der gesamten Gruppe bezogen (Art. 31 Abs. 3 DORA).

Befugnisse des Lead Overseer (Art. 35):

• Anforderung aller relevanten Informationen und Unterlagen (lit. a, Art. 37)
• allgemeine Untersuchungen und Inspektionen, auch vor Ort (lit. b, Art. 38 und 39)
• Anforderung von Berichten über umgesetzte Abhilfemaßnahmen (lit. c)
• Empfehlungen, etwa zu IKT-Sicherheitsanforderungen, Vertragsbedingungen und geplanter Unterauftragsvergabe (lit. d)
• tägliche Zwangsgelder bei Nichtbefolgung von Maßnahmen nach lit. a bis c, bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des Vorjahres, höchstens sechs Monate lang (Art. 35 Abs. 6 bis 8); verhängte Zwangsgelder werden grundsätzlich veröffentlicht (Art. 35 Abs. 10)

Wer die Liste der kritischen Drittanbieter führt: Die ESAs veröffentlichen und aktualisieren sie jährlich (Art. 31 Abs. 9 DORA). Die erste Liste erschien am 18. November 2025 und umfasst 19 Anbieter, darunter Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, IBM, SAP und Deutsche Telekom.

Sub-Outsourcing-Kette

Art. 30 Abs. 2 lit. a verlangt klare Regeln für Subdienstleister. In der Praxis bedeutet das:

• Der Vertrag muss angeben, ob eine Unterauftragsvergabe bei kritischen oder wichtigen Funktionen zulässig ist und unter welchen Bedingungen; einen Genehmigungsvorbehalt schreibt Art. 30 DORA nicht zwingend vor
• Standorte auch der untervergebenen Leistungen sind anzugeben, Änderungen vorab anzuzeigen (Art. 30 Abs. 2 lit. b)
• Sub-Outsourcing-Kette muss im Register sichtbar sein
• Was ein Finanzunternehmen bei der Unterauftragsvergabe im Einzelnen bestimmen und bewerten muss, regeln technische Regulierungsstandards nach Art. 30 Abs. 5 DORA

Bei mehrstufigen Cloud-Konstellationen (z. B. SaaS-Anbieter auf AWS) kann das mehrere Vertragsschichten betreffen.

Praxis-Empfehlungen

1. Anbieter-Inventarisierung: Vollständige Liste aller IKT-Dienstleister, inklusive Schatten-IT (Tools, die Fachbereiche eigenständig einführen)
2. Klassifizierung: pro Anbieter, kritisch/wichtig/sonstig, Service-Typ, Datenfluss-Kartierung
3. Vertragsbestand-Review: Bestandsverträge gegen Art. 30-Klauseln spiegeln; Nachträge bzw. Neuverhandlungen
4. Beendigungsstrategien: für jede kritische/wichtige Funktion mindestens eine Reversibility-Skizze
5. Konzentrations-Analyse: Wie viel hängt von welchem Anbieter ab? Wo gibt es Single-Points-of-Failure?
6. Register operationalisieren: in der Struktur der ITS-Vorlagen, laufend aktualisiert, damit die jährliche Berichterstattung nach Art. 28 Abs. 3 DORA ohne Nacharbeit möglich ist

FAQ

Ist jeder IT-Lieferant ein IKT-Drittanbieter unter DORA?

IKT-Drittanbieter ist nach Art. 3 Nr. 19 DORA jedes Unternehmen, das IKT-Dienstleistungen erbringt. IKT-Dienstleistungen sind nach Art. 3 Nr. 21 digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft für interne oder externe Nutzer erbracht werden, einschließlich Hardware as a Service und Hardware-Diensten mit technischem Support über Software- oder Firmware-Updates des Hardwareanbieters. Ausgenommen sind herkömmliche analoge Telefondienste. Maßgeblich ist also die dauerhaft erbrachte digitale Dienstleistung.

Muss ich alle Bestandsverträge nachverhandeln?

In den meisten Fällen müssen Bestandsverträge an Art. 30 DORA angepasst werden, entweder durch Nachträge oder durch Aufnahme der Pflichtklauseln in begleitende Vereinbarungen. Nach Art. 30 Abs. 4 DORA sollen die Parteien bei den Verhandlungen Standardvertragsklauseln berücksichtigen, die Behörden für bestimmte Dienste entwickelt haben.

Welche Anbieter werden kritisch eingestuft?

Die ESAs entscheiden auf Basis der Kriterien aus Art. 31 Abs. 2 DORA. Die erste Liste vom 18. November 2025 nennt 19 Anbieter, darunter Amazon Web Services, Microsoft, Google Cloud, Oracle, IBM, SAP und Deutsche Telekom; sie wird jährlich aktualisiert (Art. 31 Abs. 9 DORA). Wer auf der Liste landet, unterliegt direkter ESA-Aufsicht, die Finanzkunden sind davon mittelbar betroffen, weil ihre Anbieter regulierte Adressaten werden.

Wie häufig muss das Drittanbieter-Register aktualisiert werden?

Laufend: Art. 28 Abs. 3 DORA verlangt, das Register zu führen und zu aktualisieren, also bei jedem neuen Vertrag, jeder Beendigung oder Änderung. Mindestens jährlich ist der Behörde über neue Vereinbarungen zu berichten. Geplante Vereinbarungen über kritische oder wichtige Funktionen sind der Behörde rechtzeitig mitzuteilen, ebenso wenn eine Funktion kritisch oder wichtig geworden ist. Auf Anforderung ist das Register ganz oder in Teilen bereitzustellen.

Was passiert bei einem Audit beim Drittanbieter?

Bei Verträgen über kritische oder wichtige Funktionen verlangt Art. 30 Abs. 3 lit. e DORA uneingeschränkte Zugangs-, Inspektions- und Prüfrechte für das Finanzunternehmen, einen beauftragten Dritten und die zuständige Behörde; sind Rechte anderer Kunden betroffen, können alternative Prüfniveaus vereinbart werden. Häufigkeit und Prüfbereiche legt das Finanzunternehmen risikobasiert fest (Art. 28 Abs. 6). Bei hoher technischer Komplexität ist zu prüfen, ob die internen oder externen Prüfer oder ein Prüferpool die nötige Sachkunde haben. Kleinstunternehmen können mit dem Anbieter vereinbaren, die Prüfrechte an einen unabhängigen, vom Anbieter bestellten Dritten zu delegieren (Art. 30 Abs. 3 UAbs. 2).