Für wen DORA gilt
DORA richtet sich an Finanzunternehmen. Den genauen Kreis legt die Verordnung selbst fest.
IKT-Dienstleister trifft DORA vor allem indirekt: über Verträge, Fragebögen und Prüfrechte ihrer Kunden. Für kritische IKT-Drittdienstleister gibt es zusätzlich eine eigene Aufsicht auf EU-Ebene.
Die Kernpflichten
- Das IKT-Drittparteienrisiko ist Teil des IKT-Risikomanagements. Die Verantwortung bleibt beim Finanzunternehmen (Art. 28 Abs. 1 DORA).
- Ein Informationsregister über alle Verträge zu IKT-Dienstleistungen (Art. 28 Abs. 3).
- Vor dem Vertrag: Kritikalität beurteilen, Risiken bewerten, Sorgfalt walten lassen, Interessenkonflikte prüfen (Art. 28 Abs. 4).
- Nur Anbieter mit angemessenen Standards für Informationssicherheit (Art. 28 Abs. 5).
- Kündigungsrechte für bestimmte Fälle und Ausstiegsstrategien für kritische Funktionen (Art. 28 Abs. 7 und 8).
- Konzentrationsrisiko vor dem Vertrag bewerten (Art. 29).
- Mindestinhalte der Verträge (Art. 30).
Was in den Vertrag gehört
Art. 30 Abs. 2 DORA nennt Mindestinhalte für jeden Vertrag über IKT-Dienstleistungen. Für kritische oder wichtige Funktionen kommt Abs. 3 dazu.
| Für alle Verträge (Abs. 2) | Zusätzlich bei kritischen Funktionen (Abs. 3) |
|---|---|
| Beschreibung der Leistungen, Regeln für Unteraufträge | Genaue Leistungsziele mit Zahlen |
| Standorte der Leistung und der Datenverarbeitung | Melde- und Berichtspflichten des Anbieters |
| Verfügbarkeit, Integrität, Vertraulichkeit, Datenschutz | Notfallpläne und Sicherheitsmaßnahmen des Anbieters |
| Zugang zu den Daten bei Insolvenz oder Vertragsende | Mitwirkung an bedrohungsorientierten Penetrationstests |
| Unterstützung bei IKT-Vorfällen | Zugangs-, Inspektions- und Auditrechte |
| Kündigungsrechte und Zusammenarbeit mit Behörden | Ausstiegsstrategie mit Übergangszeit |
Ablauf in der Praxis
- IKT-Dienstleister erfassenErfassen Sie alle Verträge über IKT-Dienstleistungen, auch kleine Software-Abos.
- Funktionen kennzeichnenMarkieren Sie, welche Verträge kritische oder wichtige Funktionen unterstützen.
- Register befüllenTragen Sie die Verträge in das Informationsregister ein und halten Sie es aktuell.
- Vorab prüfenBewerten Sie vor jedem neuen Vertrag Risiken, Sicherheit und Konzentration.
- Verträge nachziehenGleichen Sie bestehende Verträge mit Art. 30 ab und ergänzen Sie fehlende Punkte.
- Überwachen und Ausstieg testenÜberwachen Sie die Leistung und testen Sie die Ausstiegspläne für kritische Funktionen.
Was IKT-Dienstleister vorbereiten sollten
- Eine Liste der Standorte, an denen Leistung und Datenverarbeitung stattfinden.
- Eine Liste der Unterauftragnehmer für die Leistung.
- Beschreibung der Dienstleistungsgüte mit messbaren Zielen.
- Notfallpläne mit Datum des letzten Tests.
- Einen Ablauf für die Meldung von Vorfällen an Kunden.
- Einen Plan für Datenrückgabe und Übergabe am Vertragsende.
Checkliste: IKT-Drittdienstleister nach DORA
Für Finanzunternehmen und ihre IKT-Anbieter.
- Alle Verträge über IKT-Dienstleistungen erfasst.
- Kritische oder wichtige Funktionen gekennzeichnet.
- Informationsregister vollständig und aktuell (Art. 28 Abs. 3).
- Prüfung vor dem Vertrag dokumentiert (Art. 28 Abs. 4).
- Konzentrationsrisiko bewertet (Art. 29).
- Verträge mit Art. 30 abgeglichen.
- Ausstiegsstrategie für kritische Funktionen getestet (Art. 28 Abs. 8).
- Strategie für das IKT-Drittparteienrisiko regelmäßig überprüft.
Sie dürfen diese Liste frei übernehmen und anpassen.
Häufige Fragen
Seit wann gilt DORA?
Seit 17. Jänner 2025 (Art. 64 DORA). Geprüft am 31.10.2026.
Gilt DORA auch für IKT-Dienstleister?
Direkt gilt DORA für Finanzunternehmen. IKT-Dienstleister spüren DORA über Verträge nach Art. 30 und die Prüfrechte ihrer Kunden.
Was ist das Informationsregister?
Ein Verzeichnis aller Verträge über IKT-Dienstleistungen (Art. 28 Abs. 3 DORA). Es trennt Verträge für kritische oder wichtige Funktionen von anderen. Die Aufsicht kann es anfordern.
Quellen
- DORA, Art. 28, 29, 30 und 64, Verordnung (EU) 2022/2554
Rechtsquellen geprüft am 31.10.2026. Rechtsinformation, keine Rechtsberatung. Für Ihren Einzelfall fragen Sie bitte eine Fachperson.