Warum diese Reihenfolge
Das Informationsregister verlangt zu jedem Vertrag die Angabe, ob er eine kritische oder wichtige Funktion stützt. Diese Einstufung hängt an der Funktion des Hauses, nicht am Dienstleister. Wer die Funktionen nicht bestimmt hat, rät bei dieser Spalte. Und es ist die Spalte, die anschließend über Vertragspflichten, Ausstiegsplan und Prüfungsrechte entscheidet.
Genauso liegt die Vorabbewertung vor der Einstufung und die Klauselprüfung hinter ihr. Die Reihenfolge unten ist keine Empfehlung zur Ordnung, sondern die Abhängigkeitskette.
-
Kritische und wichtige Funktionen bestimmen
Bevor irgendein Dienstleister bewertet wird: Welche Geschäftsfunktionen hat das Haus, und welche davon sind kritisch oder wichtig? Maßstab ist die Begriffsbestimmung in Art. 3 Nr. 21 DORA: was ein Ausfall oder eine Störung für die Fortführung des Geschäfts, für die Erfüllung aufsichtsrechtlicher Pflichten und für die Kunden bedeutet.
Ergebnis: eine Liste mit Kennung, Beschreibung, Einstufung und Begründung. Die Begründung ist der Teil, der in Prüfungen fehlt.
-
IKT-Dienstleister und Verträge vollständig erfassen
Nicht die Einkaufsliste, sondern alle Vereinbarungen über IKT-Dienstleistungen, einschließlich der kleinen, die niemand für eine Auslagerung hält: das Terminbuchungswerkzeug, der Newsletterversand, der Fernwartungszugang des Kernbanksystem-Anbieters, die Unterschriftenlösung.
Erfassungseinheit ist der Vertrag, nicht der Anbieter. Ein Anbieter mit drei Verträgen erscheint dreimal, weil das Register vertragsweise aufgebaut ist.
-
Vor jeder neuen Beauftragung: Vorabbewertung
Art. 28 Abs. 4 DORA verlangt vor Vertragsschluss fünf Prüfungen: Betrifft die Vereinbarung eine kritische oder wichtige Funktion? Sind die aufsichtsrechtlichen Bedingungen für die Auftragsvergabe erfüllt? Welche Risiken bringt die Vereinbarung mit sich, einschließlich eines möglichen Konzentrationsrisikos? Ist der Dienstleister geeignet, und ist ihm gegenüber die gebotene Sorgfaltspflicht erfüllt? Bestehen Interessenkonflikte?
Nicht dazu gehört die Substituierbarkeit. Ob und in welcher Zeit sich ein Dienstleister ersetzen lässt, ist eine Frage der Ausstiegsplanung nach Art. 28 Abs. 8 DORA, also von Schritt 5. Wer die Antwort schon hier notiert, spart sich später Arbeit. Als eine der fünf Prüfungen nach Absatz 4 zählt sie aber nicht.
Diese Bewertung ist schriftlich zu führen. Nicht, weil es Papier braucht, sondern weil sie die Entscheidungsgrundlage des Vorstands ist.
-
Vertragsinhalte nach Artikel 30 prüfen
Jede Vereinbarung braucht die Inhalte nach Art. 30 Abs. 2 DORA; bei kritischen oder wichtigen Funktionen kommen weitere hinzu: Leistungsbeschreibung, Standorte der Datenverarbeitung, Unterauftragsvergabe, Kündigungsrechte, Prüfungs- und Zugangsrechte, Mitwirkung bei Vorfällen, Ausstiegsunterstützung.
Der praktische Teil ist nicht die Liste, sondern der Bestandsvertrag: Was tun, wenn der Anbieter nicht nachverhandeln will? Antwort und Handlungsmöglichkeiten stehen in der Anleitung zu Artikel 30.
-
Ausstiegsstrategien für kritische und wichtige Funktionen
Für jede kritische oder wichtige Funktion ein Ausstiegsplan nach Art. 28 Abs. 8 DORA: Auslöser, Übergangslösung, Datenrückgabe in verwertbarem Format, Zeitbedarf, Verantwortliche, getestet oder zumindest plausibel durchgerechnet.
Der häufigste Befund: Es gibt einen Plan, aber niemand hat ausgerechnet, wie lange die Datenmigration dauert, und die Kündigungsfrist ist kürzer. Beispiel 2 rechnet das einmal durch.
-
Laufende Überwachung einrichten
Ein Turnus je Vertrag, abhängig von der Einstufung. Nachweise mit Ablaufdatum (Testate, Zertifikate, Prüfberichte). Anzeigen des Dienstleisters zu Änderungen der Unterauftragskette. Und ein Ort, an dem die Feststellungen daraus landen, mit Verantwortlichem und Frist. Was bei solchen Anzeigen zu bewerten ist, regelt die Delegierte Verordnung (EU) 2025/532.
Überwachung ohne Feststellungsregister ist ein Termin, kein Prozess.
-
Informationsregister führen und einreichen
Jetzt, und erst jetzt, lässt sich das Register befüllen, ohne zu raten. Stand zum 31. Dezember, Einreichung im ersten Quartal über das MVP-Fachverfahren, als xBRL oder als BaFin-Excel. Angenommen ist die Meldung aber erst, wenn sie die Validierungsregeln der ESA ohne Fehler durchläuft.
-
Jahresbericht und Anzeigen
Der Bericht über neue Vereinbarungen zu kritischen oder wichtigen Funktionen (Art. 28 Abs. 3 DORA) und die laufenden Anzeigepflichten. Wer die Schritte 1 bis 7 gepflegt hat, erzeugt diesen Bericht aus dem Bestand, statt ihn zu schreiben.
Drei Befunde, die in fast jeder Prüfung auftauchen
Die Einstufung ohne Begründung
„Kritisch: ja“ steht in der Tabelle, aber niemand kann sagen, woraus sich das ergibt. Ein Prüfer fragt nach der Begründung, nicht nach dem Häkchen. Und eine Einstufung ohne Begründung ist nicht nachvollziehbar, also nicht belastbar.
Die vergessenen kleinen Dienstleister
Das Register enthält die zehn großen Verträge. Nicht enthalten sind die fünfzehn kleinen Werkzeuge, die im Fachbereich laufen und über die Kreditkarte des Abteilungsleiters bezahlt werden. Genau dort sitzt oft der unkontrollierte Datenabfluss; Beispiel 1 zeigt, wie man sie findet.
Der Plan, den keiner gerechnet hat
Ausstiegsplan vorhanden, Kündigungsfrist drei Monate, Migrationsaufwand nach eigener Schätzung acht Monate. Der Plan ist damit keiner, und das fällt beim Nachrechnen in fünf Minuten auf.
Wie es weitergeht
Die Anleitungen zu den einzelnen Schritten entstehen nach und nach. Fertig ist die zum Informationsregister; sie ist auch die mit dem nächsten Termin.
Für Häuser, die bisher nach den BAIT gearbeitet haben Die BAIT werden zum 31. Dezember 2026 aufgehoben. Ab dem 1. Januar 2027 gilt für die betroffenen Institutstypen der vereinfachte Rahmen nach Artikel 16 DORA, mit vierzehn Artikeln statt sechsundzwanzig, aber denselben Themen. Was zu tun ist und was weiterverwendbar bleibt →
Ein Schritt, der in den meisten Umsetzungsplänen fehlt Wenn einer Ihrer Dienstleister von den europäischen Aufsichtsbehörden als kritisch eingestuft ist, kann Ihre Aufsicht Sie über Risiken unterrichten, die bei diesem Anbieter festgestellt wurden, und Sie müssen diese Risiken in Ihrem Management berücksichtigen. Als letztes Mittel kann sie verlangen, dass Sie die Nutzung aussetzen oder den Vertrag kündigen. Den Ausweg nennt die Vorschrift selbst: geeignete vertragliche Vereinbarungen, mit denen Sie die Risiken beherrschen. Was Artikel 42 von Ihrem Haus verlangt →
Stand: 28. September 2026 · Diese Seite beschreibt einen Umsetzungsweg aus der Praxis. Sie ersetzt keine Rechtsberatung und keine Prüfung des Einzelfalls. Maßgeblich sind die Verordnung (EU) 2022/2554, die zugehörigen technischen Regulierungsstandards und die Veröffentlichungen der BaFin.
Den ganzen Weg können Sie mit den Vorlagen dieser Seite gehen. Was ich an Software dazu entwickle, steht unter Software zur Umsetzung; diese Seite bleibt davon unabhängig.