DORA für IKT-Dienstleister
Was Banken und Versicherer seit Januar 2025 vertraglich von ihren IT-Partnern verlangen – und wie Sie die Nachweise liefern, ohne Ihr Tagesgeschäft lahmzulegen.
Kurz gesagt: Die meisten IKT-Dienstleister unterliegen DORA nicht direkt. Ihre Kunden aus dem Finanzsektor müssen aber seit dem 17. Januar 2025 bestimmte Vertragsinhalte durchsetzen (Art. 30 DORA), jeden Dienstleister in ein Informationsregister eintragen und dürfen nur mit Anbietern arbeiten, die angemessene Standards der Informationssicherheit einhalten (Art. 28 Abs. 5). Für Sie bedeutet das Audit- und Zugangsrechte, Mitwirkung bei Vorfällen, getestete Notfallpläne, Schulungsteilnahme – und belastbare Nachweise, etwa ein ISMS nach ISO 27001.
Warum Ihre Bankkunden plötzlich neue Verträge schicken
Seit dem 17. Januar 2025 gilt die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor, kurz DORA. Sie verpflichtet Banken, Sparkassen, Versicherer, Zahlungsdienstleister, Kapitalverwaltungsgesellschaften und weitere Finanzunternehmen, ihr IKT-Risiko lückenlos zu steuern – ausdrücklich auch das Risiko, das von externen IT-Partnern ausgeht. Die BaFin überwacht die Umsetzung; die alten Rundschreiben VAIT, KAIT und ZAIT sind seitdem aufgehoben, die BAIT laufen Ende 2026 aus.
Weil die Finanzunternehmen für ihre Dienstleister geradestehen müssen, geben sie die Anforderungen über Verträge, Fragebögen und Audits an Sie weiter. Für Systemhäuser, Softwarehersteller, Rechenzentren und Managed Service Provider heißt das: neue Vertragsanhänge, Lieferantenfragebögen und Auditankündigungen. Wer darauf vorbereitet ist, behält seine Bankkunden – und gewinnt neue, weil Finanzunternehmen auf Partner mit belegbarer Informationssicherheit angewiesen sind.
Wer gilt nach DORA als IKT-Drittdienstleister?
DORA fasst den Begriff sehr weit. IKT-Dienstleistungen sind nach Art. 3 Nr. 21 alle digitalen Dienste und Datendienste, die über IKT-Systeme dauerhaft für interne oder externe Nutzer erbracht werden – einschließlich Hardware als Dienstleistung und Hardwareservices mit Software- oder Firmware-Updates. Ausgenommen sind nur herkömmliche analoge Telefondienste. Damit fallen typischerweise darunter:
- Cloud- und Rechenzentrumsanbieter, Hosting und Colocation
- Softwarehersteller und SaaS-Anbieter, etwa für Fachanwendungen, Meldewesen, CRM oder Dokumentenmanagement
- Managed Service Provider, Systemhäuser und IT-Wartung
- Managed Security Services, SOC und Netzwerkbetrieb
- Datenanalyse- und Reporting-Dienste
- gruppeninterne IT-Gesellschaften von Banken und Versicherern
Direkt oder indirekt betroffen?
Direkt beaufsichtigt werden nur IKT-Drittdienstleister, die die europäischen Aufsichtsbehörden als kritisch einstufen. Die erste Liste haben die ESAs am 18. November 2025 veröffentlicht; sie umfasst vor allem große Cloud- und Technologieanbieter, die einer eigenen EU-Überwachung durch eine federführende Behörde unterliegen.
Indirekt betroffen ist praktisch jeder andere IT-Dienstleister mit Kunden aus dem Finanzsektor. Die Pflichten erreichen Sie über den Vertrag – und sie wiegen umso schwerer, je wichtiger Ihre Leistung für den Kunden ist. Unterstützt Ihr Service eine kritische oder wichtige Funktion des Finanzunternehmens, etwa den Zahlungsverkehr, die Kontoführung oder die Schadenbearbeitung, gelten zusätzliche Vertragsanforderungen.
Zusätzlich NIS-2 im Blick behalten
Viele IT-Dienstleister sind unabhängig von DORA selbst reguliert: Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste fallen ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme unter das NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 gilt. Dann kommen Registrierung beim BSI, Risikomanagementmaßnahmen und eigene Meldepflichten hinzu. Ob das für Sie zutrifft, klären wir in der NIS-2-Beratung.
Was in Ihren Verträgen stehen muss: Art. 30 DORA
Art. 30 DORA legt fest, welche Inhalte ein Vertrag über IKT-Dienstleistungen mit einem Finanzunternehmen mindestens enthalten muss. Absatz 2 gilt für alle Verträge, Absatz 3 zusätzlich, wenn Ihre Leistung eine kritische oder wichtige Funktion unterstützt.
Mindestinhalte für alle IKT-Verträge (Abs. 2)
| Art. 30 | Pflichtinhalt |
|---|---|
| a) | Vollständige Beschreibung aller Leistungen; ob und unter welchen Bedingungen Unterauftragnehmer eingesetzt werden dürfen |
| b) | Orte der Leistungserbringung und Datenverarbeitung inklusive Speicherort; Vorabinformation bei Änderungen |
| c) | Regelungen zu Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit, einschließlich Datenschutz |
| d) | Zugang, Wiederherstellung und Rückgabe der Daten bei Insolvenz, Abwicklung, Geschäftsaufgabe oder Vertragsende |
| e) | Beschreibung der Dienstleistungsgüte (Service Level) samt Aktualisierungen |
| f) | Unterstützung bei IKT-Vorfällen ohne Zusatzkosten oder zu vorab festgelegten Kosten |
| g) | Uneingeschränkte Zusammenarbeit mit Aufsichts- und Abwicklungsbehörden |
| h) | Kündigungsrechte und Mindestkündigungsfristen |
| i) | Teilnahme an Schulungen des Kunden zu IKT-Sicherheit und digitaler operationaler Resilienz |
Zusätzlich bei kritischen oder wichtigen Funktionen (Abs. 3)
| Art. 30 | Zusätzlicher Pflichtinhalt |
|---|---|
| a) | Präzise quantitative und qualitative Service-Level-Ziele mit Korrekturmaßnahmen bei Verfehlung |
| b) | Melde- und Berichtspflichten, insbesondere bei Entwicklungen, die Ihre Leistungsfähigkeit gefährden |
| c) | Notfallpläne umsetzen und testen; angemessene IKT-Sicherheitsmaßnahmen, -werkzeuge und -richtlinien |
| d) | Teilnahme an bedrohungsorientierten Penetrationstests (TLPT) des Kunden |
| e) | Uneingeschränkte Zugangs-, Inspektions- und Prüfungsrechte für Kunde, Prüfer und Aufsicht |
| f) | Ausstiegsstrategien mit verbindlicher Übergangsfrist, damit der Kunde wechseln kann |
Konkretisiert werden diese Vorgaben durch zwei technische Regulierungsstandards: die Delegierte Verordnung (EU) 2024/1773 zur Vertragsrichtlinie für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, und die Delegierte Verordnung (EU) 2025/532 zur Unterauftragsvergabe. Setzen Sie selbst Subunternehmer oder Cloud-Plattformen ein, wird der Kunde deshalb auch Ihre Lieferkette prüfen wollen – ein Thema, das wir unter Supply-Chain-Security vertiefen.
Welche Nachweise Banken und Versicherer typischerweise anfordern
Art. 28 Abs. 5 DORA erlaubt Finanzunternehmen Verträge nur mit Dienstleistern, die angemessene Standards der Informationssicherheit einhalten. Wie das zu belegen ist, schreibt DORA nicht vor – in der Praxis landen bei IT-Dienstleistern aber immer wieder dieselben Anforderungen auf dem Tisch:
- ISMS-Nachweis: ein ISO-27001-Zertifikat mit passendem Geltungsbereich oder ein unabhängiger Prüfbericht, etwa nach ISAE 3402 oder SOC 2
- Richtlinien: Informationssicherheitsleitlinie, Zugriffs- und Berechtigungskonzept, Patch- und Schwachstellenmanagement
- Notfallvorsorge: Notfall- und Wiederanlaufpläne mit dokumentierten Tests (Business Continuity Management)
- Vorfallprozess: verbindliche Meldewege und Fristen an den Kunden – denn der muss schwerwiegende IKT-Vorfälle binnen 4 Stunden nach Einstufung, spätestens 24 Stunden nach Kenntnis, an die Aufsicht melden
- Lieferkette und Standorte: Liste der Unterauftragnehmer, Rechenzentrumsstandorte und Datenflüsse
- Exit-Konzept: Datenrückgabe, Formate und Übergangsunterstützung bei Vertragsende
- Stammdaten fürs Informationsregister: etwa Ihre Unternehmenskennung (LEI oder EUID), erbrachte Leistungen und beteiligte Subunternehmer
- Schulungs- und Awareness-Nachweise für Ihre Mitarbeitenden, die für den Kunden tätig sind
Hinzu kommen ausführliche Lieferantenfragebögen und angekündigte Audits vor Ort oder remote. Wer seine Antworten und Belege einmal sauber aufbereitet, beantwortet den nächsten Fragebogen deutlich schneller.
In fünf Schritten DORA-ready als IT-Dienstleister
- Kundenanforderungen sichten: Welche Verträge, Anhänge und Fragebögen liegen vor? Welche Ihrer Leistungen unterstützen beim Kunden kritische oder wichtige Funktionen?
- Gap-Analyse: Abgleich Ihrer Verträge, Prozesse und Dokumentation mit Art. 30 DORA und den konkreten Kundenanforderungen – mit priorisierter Maßnahmenliste.
- ISMS aufbauen oder schärfen: Ein Informationssicherheits-Managementsystem nach ISO 27001 ist die gemeinsame Sprache mit Banken und Versicherern und deckt einen Großteil der Anforderungen ab.
- Prozesse etablieren: Vorfallmeldung an Kunden, Notfalltests, Steuerung der Unterauftragnehmer, Exit- und Rückgabeverfahren, Schulungen.
- Nachweispaket schnüren: Policies, Testberichte, Zertifikate und Standardantworten so bündeln, dass Fragebögen und Audits planbar werden.
Wie DATUREX IKT-Dienstleister unterstützt
Die DATUREX GmbH aus Dresden betreut seit 2012 Unternehmen in Informationssicherheit und Datenschutz; unsere Berater sind TÜV-, IHK- und Bitkom-zertifiziert. Für IT-Dienstleister mit Kunden aus dem Finanzsektor übernehmen wir:
- DORA-Gap-Analyse Ihrer Verträge, Prozesse und Nachweise gegen Art. 30 und Ihre Kundenanforderungen
- ISO-27001-Beratung und ISMS-Aufbau bis zur Zertifizierungsreife
- Externer Informationssicherheitsbeauftragter ab 300 € pro Monat – Ihr fester Ansprechpartner für Kundenaudits und Fragebögen
- Notfall- und Vorfallmanagement: Notfallhandbuch, Meldeprozess an Kunden, Übungen
- Begleitung von Kundenaudits und Vorbereitung der Nachweise
- NIS-2-Prüfung, ob Ihr Unternehmen selbst registrierungspflichtig ist
Sie sind selbst Bank, Versicherer oder Finanzdienstleister? Dann finden Sie die Pflichten der Finanzunternehmen auf unserer Seite zur DORA-Verordnung und unsere Branchenleistungen unter IT-Sicherheit für Finanzwesen und Versicherungen.
Häufige Fragen zu DORA für IKT-Dienstleister
Gilt DORA für IT-Dienstleister direkt?
In der Regel nicht. Direkt beaufsichtigt werden nur IKT-Drittdienstleister, die die europäischen Aufsichtsbehörden als kritisch einstufen; die erste Liste stammt vom 18. November 2025 und betrifft vor allem große Cloud- und Technologieanbieter. Alle anderen IT-Dienstleister trifft DORA indirekt über die Verträge mit ihren Kunden aus dem Finanzsektor.
Was muss nach Art. 30 DORA in einem IKT-Dienstleistungsvertrag stehen?
Mindestens eine vollständige Leistungsbeschreibung, die Orte der Leistungserbringung und Datenverarbeitung, Regelungen zu Verfügbarkeit, Integrität, Vertraulichkeit und Datenschutz, Datenrückgabe bei Vertragsende oder Insolvenz, Service Level, Unterstützung bei IKT-Vorfällen, Zusammenarbeit mit der Aufsicht, Kündigungsrechte und die Teilnahme an Schulungen. Unterstützt die Leistung eine kritische oder wichtige Funktion, kommen unter anderem präzise Service-Level-Ziele, getestete Notfallpläne, Audit- und Zugangsrechte, die Teilnahme an Penetrationstests und Ausstiegsstrategien hinzu.
Brauchen wir als IT-Dienstleister eine ISO-27001-Zertifizierung?
DORA schreibt kein bestimmtes Zertifikat vor. Finanzunternehmen dürfen aber nur mit Dienstleistern arbeiten, die angemessene Standards der Informationssicherheit einhalten (Art. 28 Abs. 5 DORA). Ein ISO-27001-Zertifikat mit passendem Geltungsbereich ist dafür der verbreitetste Nachweis und verkürzt Fragebögen und Audits erheblich; alternativ akzeptieren viele Kunden auch Prüfberichte etwa nach ISAE 3402 oder SOC 2.
Was ist das DORA-Informationsregister und was müssen Dienstleister dafür liefern?
Finanzunternehmen müssen alle Verträge über IKT-Dienstleistungen in einem Informationsregister erfassen (Art. 28 Abs. 3 DORA) und der Aufsicht zur Verfügung stellen. Dafür fragen sie bei ihren Dienstleistern Stammdaten ab, etwa die Unternehmenskennung (LEI oder EUID), die erbrachten Leistungen, Standorte und eingesetzte Unterauftragnehmer.
Gilt für IT-Dienstleister neben DORA auch NIS-2?
Häufig ja. Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste fallen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme unter das NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 gilt. Sie müssen sich dann beim BSI registrieren, eigene Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden.
DORA-Readiness für Ihr IT-Unternehmen
Kostenlose Erstberatung – bundesweit, remote oder vor Ort in Sachsen.
Tel: 0351 79 59 35 13