Auf einen Blick
- DORA (EU 2022/2554) gilt unmittelbar und geht im Finanzsektor den NIS2-Regeln vor.
- Finanzunternehmen führen ein Informationsregister über alle IKT-Dienstleistungsverträge und melden es der Aufsicht.
- Verträge mit IKT-Dienstleistern brauchen Mindestinhalte – für kritische oder wichtige Funktionen deutlich mehr.
- Seit November 2025 stehen 19 kritische IKT-Drittdienstleister unter direkter EU-Aufsicht; alle anderen spüren DORA über ihre Kunden.
Wen DORA erfasst
Unmittelbar verpflichtet sind rund 20 Arten von Finanzunternehmen: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungen und Rückversicherungen, Kapitalverwaltungsgesellschaften, Krypto-Dienstleister und weitere. Kleinstunternehmen gelten teils vereinfachte Regeln.
IKT-Drittdienstleister – also jeder, der digitale Dienste oder Datendienste bereitstellt, vom Rechenzentrum über Softwareentwicklung bis zum IT-Betrieb – sind nicht selbst Adressat der meisten Pflichten. Aber ihre Kunden müssen diese Pflichten vertraglich und organisatorisch an sie weitergeben.
Was Finanzkunden von Dienstleistern verlangen
Vertragliche Mindestinhalte (Art. 30 DORA)
Für alle IKT-Dienstleistungen verlangt DORA unter anderem:
- eine vollständige Beschreibung der Leistungen und der Unterauftragsvergabe,
- die Orte der Leistungserbringung und der Datenverarbeitung,
- Regelungen zu Verfügbarkeit, Integrität, Vertraulichkeit und zum Datenzugang bei Insolvenz oder Vertragsende,
- Unterstützung bei IKT-Vorfällen zu vorab vereinbarten Kosten,
- Kooperation mit der Aufsicht sowie Kündigungsrechte.
Unterstützt der Dienst kritische oder wichtige Funktionen, kommen hinzu: messbare Service-Levels, Melde- und Berichtspflichten, Notfallpläne und deren Tests, die Teilnahme an Sicherheitsschulungen und bedrohungsorientierten Penetrationstests (TLPT), uneingeschränkte Zugangs-, Inspektions- und Prüfrechte sowie Ausstiegsstrategien mit angemessenen Übergangsfristen.
Informationsregister
Jedes Finanzunternehmen führt ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen – mit Angaben zum Dienstleister, zur Leistung, zur Funktion und zu Unterauftragnehmern. Rechnen Sie also mit Datenabfragen, etwa zu Ihrem LEI (Legal Entity Identifier), Ihren Standorten und Ihrer Lieferkette.
Vorfälle und Tests
Finanzunternehmen müssen schwerwiegende IKT-Vorfälle in engen Fristen an die Aufsicht melden – in Deutschland an die BaFin. Dafür brauchen sie schnelle, belastbare Informationen von ihren Dienstleistern. Hinzu kommen regelmäßige Resilienztests, bei größeren Instituten auch Threat-Led Penetration Tests, in die Dienstleister eingebunden werden können.
Kritische IKT-Drittdienstleister
Am 18. November 2025 haben die Europäischen Aufsichtsbehörden (EBA, EIOPA, ESMA) erstmals 19 Anbieter als kritische IKT-Drittdienstleister benannt – darunter große Cloud-Plattformen, Software- und Telekommunikationskonzerne. Sie unterliegen seither einer direkten EU-Aufsicht. Für die große Mehrheit der IT-Dienstleister ändert das nichts: Sie bleiben über ihre Kunden in der Pflicht.
So bereiten sich Dienstleister vor
- Leistungen einordnenWelche Ihrer Dienste unterstützen bei Ihren Finanzkunden kritische oder wichtige Funktionen? Davon hängt der Umfang der Anforderungen ab.
- Verträge vorbereitenEin eigener DORA-Anhang mit den Pflichtinhalten spart Verhandlungsrunden und vermeidet unpassende Klauseln aus Kundenvorlagen.
- Lieferkette offenlegenUnterauftragnehmer, Rechenzentrumsstandorte und Datenflüsse dokumentieren – für das Informationsregister Ihrer Kunden.
- Vorfallprozess abstimmenWer informiert den Kunden wie schnell und mit welchen Angaben? Ein geübter Prozess ist im Ernstfall mehr wert als jede Klausel.
- Nachweise bündelnISMS, Notfallkonzepte, Testergebnisse und Audit-Berichte so aufbereiten, dass Prüfungen effizient laufen.
DORA und NIS2
Für Finanzunternehmen ist DORA das speziellere Recht: Soweit DORA Anforderungen stellt, gehen diese dem BSIG vor. Viele IT-Dienstleister fallen jedoch selbst unter NIS2 – etwa als Anbieter von Managed Services. Sie müssen dann beides erfüllen: ihre eigenen NIS2-Pflichten und die DORA-Anforderungen ihrer Finanzkunden. Ein gemeinsames ISMS deckt beides am wirtschaftlichsten ab. Wie Sie Ihre eigene Betroffenheit prüfen, zeigt unser Beitrag NIS2: Ist mein Unternehmen betroffen?
Häufige Fragen
Gilt DORA auch für kleine IT-Dienstleister?
Nicht unmittelbar. Sobald Sie aber für ein Finanzunternehmen tätig sind, gelten die vertraglichen Anforderungen auch für Sie – unabhängig von Ihrer Größe.
Was ist eine „kritische oder wichtige Funktion“?
Eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit, die Solidität oder die Fortführung der Geschäftstätigkeit des Finanzunternehmens erheblich beeinträchtigen würde. Die Einstufung nimmt das Finanzunternehmen vor.
Müssen Dienstleister Prüfungen vor Ort zulassen?
Bei Diensten für kritische oder wichtige Funktionen ja: DORA verlangt uneingeschränkte Zugangs-, Inspektions- und Prüfrechte für das Finanzunternehmen und die Aufsicht. Gepoolte Audits mehrerer Kunden sind möglich.
Hinweis: Dieser Beitrag gibt einen fachlichen Überblick (Stand: Oktober 2026) und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres Unternehmens arbeiten wir auf Wunsch mit Ihrer Rechtsberatung zusammen.
Passende Leistung