IT-Dienstleister mit Finanzkunden: was Ihre Kunden nach DORA verlangen

Diese Seite richtet sich an IT-Dienstleister mit Kunden aus der Finanzbranche: Managed-Service-Provider, Softwarehäuser, Rechenzentren, Cloud- und TK-Anbieter. Ihre Kunden wenden entweder den Vollrahmen nach Art. 5 bis 15 DORA oder den vereinfachten Rahmen nach Art. 16 an. Für die Anforderungen an Sie macht das kaum einen Unterschied, weil Art. 28 bis 30 in beiden Rahmen gelten. Ausgenommen sind nur Kleinstunternehmen unter den Instituten nach § 1a Abs. 2a KWG (Factoring, Leasing, Bürgschaftsbanken und andere), für die Art. 28 bis 30 nicht gelten. Wie Finanzunternehmen ihre Dienstleister steuern, steht auf der Seite IKT-Drittdienstleister.

Gilt DORA für IT-Dienstleister?

Nicht als eigene Pflicht, mit einer Ausnahme. IKT-Drittdienstleister stehen zwar in Art. 2 Abs. 1 lit. u DORA, sind nach Art. 2 Abs. 2 aber keine Finanzunternehmen. Laut BaFin gelten die Regelungen nur für Finanzunternehmen und betreffen IKT-Drittdienstleister indirekt, weil die Finanzunternehmen bei der Vertragsgestaltung bestimmte Anforderungen berücksichtigen müssen. Nach DORA sind Dienstleister nicht meldepflichtig. Löst ein Vorfall bei Ihnen beim Kunden einen schwerwiegenden Vorfall aus, meldet der Kunde. Eigene Meldepflichten aus anderen Gesetzen sind möglich, siehe unten.

Die Ausnahme sind kritische IKT-Drittdienstleister. Sie werden nach Art. 31 DORA von den europäischen Aufsichtsbehörden eingestuft und unterliegen dann dem Überwachungsrahmen nach Kapitel V Abschnitt II mit einer federführenden Überwachungsbehörde. Die Kriterien sind systemische Auswirkungen eines Ausfalls, die Bedeutung der Kunden, deren Abhängigkeit bei kritischen oder wichtigen Funktionen und die Ersetzbarkeit (Art. 31 Abs. 2). Die Aufsichtsbehörden stufen jährlich auf Grundlage der Informationsregister ein und veröffentlichen eine Liste. Nicht eingestuft werden nach Art. 31 Abs. 8 unter anderem gruppeninterne Dienstleister und Dienstleister, die nur in einem Mitgliedstaat für Finanzunternehmen leisten, die nur dort tätig sind. Wer eingestuft wird, erfährt es von der Aufsicht und muss es seinen Finanzkunden mitteilen (Art. 31 Abs. 5). Die Dienste eines eingestuften Dienstleisters mit Sitz in einem Drittland dürfen Finanzunternehmen nur in Anspruch nehmen, wenn er innerhalb von zwölf Monaten nach der Einstufung ein Tochterunternehmen in der EU gegründet hat (Art. 31 Abs. 12).

Ein „DORA-Zertifikat“, das ein Dienstleister erwerben könnte, sieht die Verordnung nicht vor. Was zählt, sind Vertrag und Nachweise.

Sind Sie IKT-Dienstleister im Sinne von DORA?

IKT-Drittdienstleister ist jedes Unternehmen, das IKT-Dienstleistungen bereitstellt (Art. 3 Nr. 19). IKT-Dienstleistungen sind digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft für interne oder externe Nutzer bereitgestellt werden, einschließlich Hardware als Dienstleistung, ohne herkömmliche analoge Telefondienste (Art. 3 Nr. 21). Die BaFin verlangt von Finanzunternehmen, alle Drittbezüge mit IKT-Bezug einzuwerten. Rechnen Sie deshalb mit Fragen, auch wenn Sie Ihre Leistung nie als Auslagerung gesehen haben:

Erbringt ein beaufsichtigtes Unternehmen eine regulierte Finanzdienstleistung, ist das laut BaFin für diese Leistung keine IKT-Dienstleistung. Gruppeninterne Dienstleister behandelt die BaFin grundsätzlich wie externe.

Welche Klauseln verlangen Finanzkunden?

Die Mindestinhalte legt Art. 30 DORA in zwei Stufen fest. Ob Ihre Leistung beim Kunden eine kritische oder wichtige Funktion unterstützt, entscheidet der Kunde vor Vertragsschluss (Art. 28 Abs. 4 lit. a). Davon hängt ab, welche Stufe gilt:

Die BaFin geht davon aus, dass viele bestehende Verträge nachverhandelt werden müssen, auch solche ohne kritische oder wichtige Funktion. Verlängerte Übergangsfristen gibt es nicht, Standardvertragsklauseln der Behörden liegen nicht vor. Zwei Punkte schaffen Spielraum: Der Vertrag kann alternative Bestätigungsniveaus vorsehen, wenn Rechte anderer Kunden betroffen sind (Art. 30 Abs. 3 lit. e ii). Mit Kunden, die Kleinstunternehmen sind, können Sie vereinbaren, dass ein unabhängiger Dritter, den Sie benennen, die Prüfrechte wahrnimmt.

Was gehört in ein Nachweispaket?

Ein Nachweispaket bündelt, was jeder Finanzkunde früher oder später anfragt. Es erspart Ihnen, dieselben Fragen für jeden Kunden neu zu beantworten. Wir empfehlen diese Gliederung:

1. Leistungsbeschreibung je Leistung, mit den Systemen, die sie erbringen.
2. Standort- und Unterauftragnehmerliste mit Ländern, Rechtsträgerkennung (LEI oder EUID) und Rang in der Dienstleistungskette. Kunden brauchen diese Angaben für ihr Informationsregister.
3. DORA-Vertragsanlage entlang Art. 30 Abs. 2 und 3, Art. 28 Abs. 7 und RTS 2025/532, in einer Fassung für alle Verträge und einer Ergänzung für kritische oder wichtige Funktionen.
4. Sicherheitsnachweise: Zertifikate mit Geltungsbereich, aktuelle Prüfberichte, Sicherheitskonzept in einer Fassung, die Sie weitergeben können.
5. Notfall- und Testnachweise: Notfallplan, Zusammenfassung des letzten Wiederherstellungstests.
6. Vorfallprozess: Erreichbarkeit, Fristen für die erste Information, Inhalt Ihrer Vorfallberichte, Kosten der Unterstützung.
7. Ausstiegsunterstützung: Exportformate, Übergangszeitraum, Ablauf der Datenrückgabe.

Zertifikate und Prüfberichte helfen, ersetzen eigene Prüfungen des Kunden aber nicht vollständig. Kunden im Vollrahmen, die keine Kleinstunternehmen sind, dürfen sich nach Delegierter Verordnung (EU) 2024/1773 Art. 8 Abs. 3 nur unter Bedingungen und nicht längerfristig allein darauf stützen. Sie müssen etwa prüfen, ob der Geltungsbereich ihre Systeme abdeckt, und Erweiterungen verlangen können.

Beispiel: beantworteter Kundenfragebogen eines MSP

Fiktives Beispiel, kein Kunde. Die Muster-IT-Service GmbH betreut mit 40 Beschäftigten Firmenkunden in Nordrhein-Westfalen. Für die Muster-Factoring GmbH (23 Beschäftigte, 61 Mio. EUR Bilanzsumme, kein Kleinstunternehmen) betreibt sie Server, Arbeitsplätze, Firewall und Datensicherung. Die Server stehen in einem angemieteten Rechenzentrum in Deutschland, die Sicherungskopien liegen zusätzlich bei einem Speicheranbieter in Deutschland. Die Muster-Factoring GmbH wendet ab 01.01.2027 den Art.-16-Rahmen an und schickt im November 2026 einen Fragebogen. Die Fragen leiten sich aus Art. 28 bis 30 DORA, RTS 2025/532 und den Registervorlagen ab. So antwortet der MSP:

Die Antworten sind Muster für die Form, keine Empfehlung für bestimmte Fristen oder Kosten. Was Sie zusagen können, hängt von Ihrem Betrieb und Ihren eigenen Lieferantenverträgen ab. Ob eine Formulierung rechtlich ausreicht, klären Sie und Ihr Kunde jeweils mit Ihrer Rechtsberatung. Wie sich Fernwartungszugänge technisch absichern lassen, beschreibt Blackfort Technology auf der Seite Fernwartung absichern.

Welche eigenen Pflichten haben Sie daneben?

DORA regelt nur das Verhältnis zu Ihren Finanzkunden. Eigene gesetzliche Pflichten, auch Meldepflichten, können Sie als Dienstleister aus anderen Regelwerken haben, etwa aus NIS2 und dem BSI-Gesetz oder als TK-Anbieter aus dem TKG. Das prüfen Sie getrennt: für NIS2 auf nis2-readiness.de, für die Sicherheitspflichten nach dem TKG auf tkg-readiness.de.

Drei typische Lücken

Wie wir unterstützen

Für IKT-Dienstleister gibt es eine eigene Variante der DORA-Gap-Analyse: Wir gleichen die Klauseln und Fragebögen Ihrer Finanzkunden mit Ihrem Bestand ab und stellen mit Ihnen das Nachweispaket zusammen. Umfang und Preis legen wir nach dem Scoping-Gespräch fest. Die rechtliche Prüfung Ihrer Vertragsanlage bleibt bei Ihrer Rechtsberatung.