DORA 2026 IT-Dienstleister: Banken, Versicherungen und andere Finanzunternehmen sind von einer immer größeren Zahl externer IT-Systeme abhängig. Cloud-Plattformen, Hosting, Managed Security, Software-as-a-Service und spezialisierte Supportleistungen ermöglichen Innovation – schaffen aber auch gemeinsame Ausfall- und Sicherheitsrisiken. Der Digital Operational Resilience Act (DORA) gilt seit dem 17. Januar 2025 und hat die Erwartungen an den Umgang mit solchen Abhängigkeiten erhöht. DORA 2026 für IT-Dienstleister bedeutet deshalb vor allem: Kunden verlangen nachweisbare IT-Sicherheit, klare Vertragsregelungen, verlässliche Incident-Kommunikation und getestete Notfallverfahren. Nicht jeder IT-Dienstleister wird dadurch selbst unmittelbar zu einem regulierten Finanzunternehmen. Welche Pflichten unmittelbar oder vertraglich gelten, muss differenziert betrachtet werden.
GORTNET Fachredaktion · Stand: 25. Oktober 2026 · Hinweis: keine Rechtsberatung
DORA 2026 IT-Dienstleister: Für wen gilt die Verordnung?
DORA richtet sich primär an die in der Verordnung aufgeführten Finanzunternehmen. Sie müssen ihre digitalen Betriebsrisiken steuern, Vorfälle behandeln, Resilienz testen und Risiken aus IT-Drittbeziehungen kontrollieren. Externe Anbieter sind für die Erfüllung dieser Pflichten häufig entscheidend, weil sie Betrieb, Zugriff auf Daten oder technische Infrastruktur bereitstellen. Daraus entstehen umfangreiche Anforderungen an die Auswahl, Überwachung und Vertragsgestaltung von ICT-Serviceprovidern.
Ein normaler IT-Dienstleister fällt durch eine Geschäftsbeziehung mit einer Bank nicht automatisch in sämtliche DORA-Pflichten einer Finanzorganisation. Allerdings können Auftraggeber Nachweise, Sicherheitskontrollen, Auditrechte, Meldewege und Exit-Unterstützung verlangen. Eine besondere EU-Aufsicht gilt für Anbieter, die von den europäischen Aufsichtsbehörden als kritische ICT-Drittdienstleister eingestuft werden. Diese Designation ist von einer gewöhnlichen Kundenbeziehung zu unterscheiden.
Kritische oder wichtige Funktionen als Risikotreiber
Nicht jede eingekaufte Technologie ist für Finanzunternehmen gleich kritisch. Ein Ausfall des Kernbankensystems kann unmittelbar Kunden, Zahlungsprozesse oder Aufsichtspflichten betreffen. Ein isolierter interner Informationsdienst besitzt möglicherweise eine deutlich geringere Bedeutung. DORA stellt deshalb die Auswirkungen auf kritische oder wichtige Funktionen in den Mittelpunkt verschiedener Anforderungen an ICT-Drittbeziehungen.
IT-Dienstleister sollten für jeden Vertrag dokumentieren, welchen Geschäftsprozess ihre Dienstleistung unterstützt und welche anderen Komponenten für den Betrieb erforderlich sind. Das hilft beiden Vertragsparteien bei der Risikoabschätzung. Ein Anbieter sollte transparent erläutern können, ob sein Service nach einem Standortausfall noch erreichbar ist, wie Updates eingespielt werden und welche Wiederherstellungsziele realistisch getestet wurden.
Register of Information: Was Kunden vom Anbieter brauchen
DORA verpflichtet betroffene Finanzunternehmen, ein Register über ihre vertraglichen ICT-Drittbeziehungen zu führen. Die europäischen Aufsichtsbehörden haben dafür standardisierte Datenstrukturen und Berichtsanforderungen veröffentlicht. Das Register hilft nicht nur bei der Aufsicht, sondern auch beim Erkennen kritischer Konzentrationen: Wenn zahlreiche wichtige Prozesse vom selben Provider oder demselben Unterauftragnehmer abhängen, kann ein regionales Problem weite Folgen haben.
Für einen IT-Dienstleister entsteht daraus eine praktische Aufgabe. Vertragsdaten, die vollständige juristische Firmenbezeichnung, relevante Dienstleistungsarten, Länder der Leistungserbringung und Datenverarbeitung sowie wichtige Unterauftragnehmer sollten nachvollziehbar dokumentiert sein. Ein regelmäßig aktualisierter Informationsbogen reduziert Rückfragen bei Ausschreibungen und Audits. Welche Felder tatsächlich erforderlich sind, hängt vom konkreten Registermodell und der Einordnung der Vertragsbeziehung ab.
Vertragsklauseln nach Artikel 30 richtig vorbereiten
DORA-Artikel 30 beschreibt zentrale Anforderungen an Vertragsvereinbarungen über ICT-Dienstleistungen. Dazu zählen unter anderem eine vollständige Leistungsbeschreibung, Angaben zu Standorten und Datenverarbeitung, Anforderungen an Verfügbarkeit und Datenschutz sowie die Unterstützung bei relevanten ICT-Vorfällen. Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, kommen weitergehende Anforderungen hinzu. Dazu gehören etwa detaillierte Leistungsziele, zusätzliche Auditrechte und Vorgaben für Notfalltests.
Der praktische Fehler liegt oft in unpräzisen Formulierungen wie „Provider gewährleistet jederzeit volle Sicherheit“. Stattdessen sollten Sie messbare Pflichten und realistische Kommunikationswege vereinbaren. Definieren Sie Wartungsfenster, Support-Erreichbarkeit, dokumentierte Eskalation, Umgang mit außergewöhnlichen Vorfällen und die Art technischer Nachweise. Juristische Formulierungen müssen fachlich geprüft werden; dieser Artikel ersetzt keine Rechtsberatung.
Incident Reporting: Zeit und Inhalt der Meldung abstimmen
Bei einem Sicherheitsvorfall müssen Finanzunternehmen eine Reihe von Einstufungs- und Meldepflichten erfüllen. Der IT-Dienstleister ist oft die erste Quelle technischer Hinweise, etwa bei einem kompromittierten Administratorkonto oder einem Ausfall einer Cloud-Komponente. Damit die Finanzorganisation ihre Aufgaben erfüllen kann, muss der Vertrag einen verlässlichen Informationsfluss vorsehen. Ein Provider, der kritische Erkenntnisse nur in einem allgemeinen Monatsreport liefert, ist hierfür operativ ungeeignet.
Beschreiben Sie zunächst, was intern als sicherheitsrelevantes Ereignis, Störung oder möglicher schwerwiegender Vorfall gilt. Benennen Sie erreichbare Kontakte, sichere Kommunikationskanäle und die Informationen der ersten Meldung: Zeitpunkt, betroffene Dienste, beobachtete Auswirkungen, bereits eingeleitete Maßnahmen und erwarteter nächster Update-Termin. Geben Sie keine unbelegten Entwarnungen ab. Der Finanzkunde muss seine eigenen gesetzlichen Meldepflichten unabhängig bewerten können.
Unterauftragnehmer und Cloud-Abhängigkeiten transparent machen
Ein Managed-Service-Anbieter betreibt Leistungen häufig nicht ausschließlich mit eigenen Mitteln. Cloud-Hosting, Monitoring-Plattformen, Ticket-Systeme, Backup-Speicher und externe Spezialisten können Teil derselben Lieferkette sein. Für besonders wichtige ICT-Leistungen sind Unterbeauftragungen und ihre Bedingungen aufsichtsrechtlich relevant. Änderungen können Risiko, Datenstandort und Reaktionsgeschwindigkeit beeinflussen.
Erstellen Sie eine aktuelle Liste wesentlicher Subunternehmer und dokumentieren Sie die betroffenen Dienstleistungen. Legen Sie eine Änderungsmitteilung fest, bevor vertraglich relevante Leistungen auf andere Provider verlagert werden. Konzentrationsrisiken entstehen auch dann, wenn mehrere scheinbar unabhängige Anbieter dieselbe technische Plattform nutzen. Eine gute Dienstleisterbewertung umfasst daher die tatsächliche technische Abhängigkeitskette und nicht nur den Namen auf dem Vertrag.
Notfallpläne: Ein Wiederherstellungsversprechen muss testbar sein
Resilienz bedeutet mehr als eine Datensicherung. Finanzkunden möchten wissen, wie der Dienstleister auf Ransomware, regionalen Cloud-Ausfall, Verlust von Administrationszugängen oder Ausfall zentraler Mitarbeiter reagiert. Ein Business-Continuity-Plan beschreibt daher Rollen, Kommunikationswege, Alternativen und die Reihenfolge der Wiederherstellung. Entscheidend ist, ob die vereinbarten RTO- und RPO-Ziele mit der realen Architektur erreichbar sind.
Führen Sie gemeinsame Übungen mit kritischen Kunden durch, sofern vertraglich vorgesehen und organisatorisch sinnvoll. Ein Tabletop-Test kann beispielsweise simulieren, dass eine API mehrere Stunden ausfällt und die reguläre Supportadresse nicht erreichbar ist. Dokumentieren Sie die Zeit bis zur ersten qualifizierten Reaktion, die Qualität der gelieferten Informationen und den tatsächlichen Notfallprozess. Entstandene Abweichungen gehören in einen priorisierten Maßnahmenplan.
Audits und Nachweise ohne Sicherheitsrisiko durchführen
DORA kann im Verhältnis zu kritischen ICT-Leistungen umfangreiche Informations-, Zugangs-, Prüfungs- und Auditrechte relevant machen. Dienstleister sollten daher auf die Bereitstellung belastbarer Nachweise vorbereitet sein: dokumentierte Sicherheitsrichtlinien, aktuelle Prüfberichte, Zugriffskonzepte, Nachweise zu Schwachstellenbehandlung, Datensicherung und Incident-Tests. ISO-27001-Zertifizierung kann ein wichtiger Baustein sein, ersetzt aber nicht automatisch alle spezifischen Kundenanforderungen.
Auditfähigkeit bedeutet nicht, jedem Prüfer ungefilterten Zugang zur Produktionsumgebung zu geben. Legen Sie ein Verfahren für Terminierung, Berechtigungen, Vertraulichkeit, sichere Datenbereitstellung und Protokollierung fest. Besonders bei mandantenübergreifenden Plattformen dürfen Erkenntnisse über andere Kunden nicht offengelegt werden. Ein strukturierter Evidenzraum mit freigegebenen Dokumentversionen senkt den Aufwand erheblich und ermöglicht dennoch nachvollziehbare Prüfungen.
Exit-Strategie und Datenportabilität konkret umsetzen
Die Abhängigkeit von einem Anbieter lässt sich nicht allein durch ein gutes SLA beherrschen. Für kritische Leistungen benötigen Finanzorganisationen eine durchdachte Möglichkeit, Dienste geordnet zu beenden oder zu einem anderen Anbieter zu übertragen. Der bestehende Provider sollte die dafür notwendigen Datenexporte, Dokumentationen, Schnittstellen und Übergangsleistungen vertraglich und technisch vorbereiten.
Beschreiben Sie die realistisch erreichbare Exportdauer, unterstützte Datenformate, Verantwortlichkeiten für Verschlüsselungsschlüssel und die Reihenfolge der Abschaltung. Prüfen Sie, wie der Kunde nach dem Wechsel seine Daten und Backupstände erhält und wann beim alten Provider Zugänge und Kopien gelöscht werden. Ein Exit-Test mit einer Testumgebung oder einer nicht kritischen Anwendung zeigt, welche Annahmen in der Praxis nicht funktionieren.
DORA, NIS2 und DSGVO sauber auseinanderhalten
Ein Dienstleister kann gleichzeitig Anforderungen aus Kundenverträgen, Informationssicherheitsrecht und Datenschutz erfüllen müssen. Diese Regelwerke unterscheiden sich jedoch bei Adressaten, Schwellenwerten und Meldewegen. Ein Sicherheitsvorfall mit personenbezogenen Daten ist nicht automatisch dieselbe Kategorie wie eine wesentliche ICT-Betriebsstörung. Verwenden Sie deshalb keine einzige universelle Meldecheckliste, die sämtliche rechtlichen Prüfungen vermischt.
Erarbeiten Sie eine Rollenmatrix: Wer ist Vertragspartner, wer Verantwortlicher oder Auftragsverarbeiter, welche Systeme sind relevant, welche Behörden oder Kunden müssen gegebenenfalls informiert werden und wer genehmigt die Mitteilung? Diese Abgrenzung sollte mit fachlich qualifizierter rechtlicher Prüfung erfolgen. Der technische Incident-Prozess liefert die Fakten, ersetzt aber nicht die regulatorische Entscheidung.
DORA 2026: 60-Tage-Vorbereitungsplan für ICT-Provider
In den ersten zwei Wochen erfassen Sie Ihre Finanzkunden, vertraglichen ICT-Dienstleistungen und Unterauftragnehmer. Danach erstellen Sie eine Übersicht der vorhandenen Sicherheitsnachweise, Incident-Prozesse, Audit-Möglichkeiten und Notfallpläne. Die nächste Phase dient der Priorisierung fehlender Kontrollen: etwa unzureichend geschützte Administrationszugänge, nicht getestete Wiederherstellungsziele oder fehlende Kommunikationsvereinbarungen.
In der zweiten Monatshälfte sollten konkrete Vertragsvorlagen, Nachweismappen und ein geübter Meldeprozess entstehen. Vereinbaren Sie mit einem Pilotkunden einen gemeinsamen Störfalltest. Bewerten Sie nicht nur, ob die Unterlagen existieren, sondern ob Support, Technik und Geschäftsleitung dieselben Aussagen treffen können. Spezielle regulatorische Fragen werden vor einer verbindlichen Zusage mit entsprechenden Juristen und Compliance-Experten geklärt.
FAQ: DORA für IT-Dienstleister verständlich erklärt
Ist jeder deutsche IT-Dienstleister direkt DORA-pflichtig? Nein. Die unmittelbare Anwendung ist von der rechtlichen Rolle abhängig; Kunden können dennoch vertragliche Anforderungen stellen. Warum braucht ein Finanzkunde Angaben zu Unterauftragnehmern? Um Risiken und Abhängigkeiten wichtiger ICT-Leistungen beurteilen zu können. Ersetzt ISO 27001 einen DORA-Vertrag? Nein, ein Zertifikat kann Kontrollen nachweisen, ersetzt aber nicht die spezifischen Vertragsregelungen.
Was heißt CTPP? Ein als kritisch eingestufter ICT-Drittdienstleister, der einem besonderen europäischen Aufsichtsrahmen unterliegt. Was sollte ein Provider zuerst verbessern? Transparenz über die tatsächlich erbrachten Leistungen, privilegierte Zugriffe, Meldung technischer Störungen und überprüfbare Wiederherstellung. Wer ist für die DORA-Konformität einer Bank verantwortlich? Die Finanzorganisation bleibt für ihre Pflichten verantwortlich, auch wenn Dienste ausgelagert sind.
Fazit: Nachweise, Kommunikation und Recovery zählen
DORA 2026 IT-Dienstleister ist weniger eine Frage besonders umfangreicher Selbstdarstellung als eine Frage überprüfbarer Betriebsfähigkeit. Wer Leistungen, Unterauftragnehmer, Sicherheitskontrollen, Störungsmeldungen und Exit-Szenarien nachvollziehbar dokumentiert, kann mit regulierten Kunden professioneller zusammenarbeiten. Prüfen Sie verbindliche rechtliche Verpflichtungen stets anhand der eigenen Rolle und des konkreten Vertrags.
Weitere GORTNET-Fachbeiträge
Für eine technische Bestandsaufnahme und einen strukturierten Sicherheitsplan Kontakt zu GORTNET aufnehmen.
Offizielle Quellen
- EUR-Lex: Verordnung (EU) 2022/2554
- EBA: DORA-Informationsregister
- EIOPA: Oversight kritischer ICT-Drittdienstleister
- ESMA: DORA Regelwerk
Dieser Beitrag dient ausschließlich der technischen und organisatorischen Orientierung und stellt keine Rechtsberatung dar. Nationale Aufsichtsvorgaben und individuelle Verträge sind gesondert zu prüfen.