DORA-Manager

Der Auskunftsweg für IKT-Dienstleister

DORA verpflichtet Sie nicht unmittelbar; Ihre Kunden verpflichtet es. Und weil sie ihre Pflichten nur mit Ihrer Mitwirkung erfüllen können, landen sie bei Ihnen: als Fragebogen, als Klauselforderung, als Prüfungsverlangen. Wer darauf vorbereitet ist, gewinnt Ausschreibungen, in denen andere Wochen brauchen.

Warum Sie plötzlich Fragebögen bekommen

Ein Finanzunternehmen muss vor der Beauftragung bewerten, ob Sie geeignet sind (Art. 28 Abs. 4 DORA), muss bestimmte Inhalte im Vertrag haben (Art. 30), muss Sie in das Informationsregister eintragen, muss Sie laufend überwachen und muss für kritische oder wichtige Funktionen einen Ausstiegsplan vorhalten (Art. 28 Abs. 8).

Jede dieser Pflichten erzeugt eine Frage an Sie. Das ist keine Schikane des Einkaufs, sondern die Weitergabe einer aufsichtsrechtlichen Pflicht, die das Haus nicht delegieren kann.

Die Chance, die darin liegt Die meisten Anbieter reagieren auf den ersten Fragebogen mit Verwunderung und brauchen dann vier Wochen. Wer die Antworten fertig hat (geprüft, aktuell, mit Nachweisen), steht in der Auswahl deutlich besser da. Nicht weil die Antworten besser sind, sondern weil sie da sind. Ich habe Ausschreibungen gesehen, die daran entschieden wurden.

Was Ihre Kunden von Ihnen brauchen

Sechs Dinge. Wenn Sie die vorliegen haben, beantworten Sie neunzig Prozent aller Anfragen aus dem Bestand statt aus dem Stand.

  1. Eine Selbstauskunft über Ihr Unternehmen

    Rechtsform, Sitz, Registereintrag, Größe, Eigentümerverhältnisse, Versicherungsschutz, Ansprechstellen. Klingt banal, ist aber der Teil, der bei kleinen Anbietern fehlt und den das Haus für die Vorabbewertung und für B_05.01 des Registers braucht.

  2. Eine klare Leistungsbeschreibung samt Dienstleistungsart

    Ihre Leistung muss einer der Dienstleistungsarten nach Anhang III der Durchführungsverordnung (EU) 2024/2956 zugeordnet werden, S01 bis S19. Wenn Sie diese Zuordnung selbst mitliefern, ersparen Sie dem Kunden eine Rückfrage und sich eine falsche Einordnung.

  3. Ihre Kennung

    Für das Informationsregister braucht Ihr Kunde eine Kennung Ihres Unternehmens, vorgesehen ist der LEI. Wenn Sie keinen haben, werden Sie danach gefragt werden, jedes Jahr und von jedem Kunden. Einen zu beantragen ist überschaubar und macht Sie in der Meldung Ihrer Kunden sauber abbildbar.

  4. Die technischen und organisatorischen Maßnahmen

    Zugriffskonzept, Verschlüsselung, Sicherungen, Vorfallsbehandlung, Standorte der Datenverarbeitung, Unterauftragnehmer. Schriftlich, datiert, ohne Marketingsprache. Ein Dokument, das Sie jedem Kunden geben können, statt jedes Mal eine Tabelle auszufüllen.

  5. Vertragliche Zusagen, die Artikel 30 tragen

    Wenn Ihre allgemeinen Bedingungen die Pflichtinhalte nach Art. 30 DORA nicht abdecken, verhandelt jeder Kunde einzeln, und jeder anders. Eine eigene Vertragsanlage, die die Zusagen enthält, dreht das um: Sie legen vor, statt nachzugeben. Das ist der wirksamste Hebel auf dieser Liste.

  6. Eine Aussage zum Ausstieg

    Für kritische oder wichtige Funktionen braucht Ihr Kunde einen Ausstiegsplan. Er wird Sie fragen, in welchem Format Sie Daten zurückgeben, in welcher Zeit und zu welchen Konditionen Sie beim Übergang mitwirken. Wer hier eine belastbare Antwort hat, nimmt dem Thema die Schärfe; wer ausweicht, macht sich selbst zum Risiko im Register des Kunden.

Zwei Irrtümer, die teuer werden

„Wir sind zu klein, uns betrifft das nicht“

Die Größe des Anbieters spielt keine Rolle. Maßgeblich ist, ob Ihre Leistung eine kritische oder wichtige Funktion Ihres Kunden stützt. Ein kleines Werkzeug im Zahlungsprozess ist relevanter als ein großer Anbieter im Marketing.

„Wir haben ISO 27001, damit ist das erledigt“

Ein Zertifikat hilft, es ersetzt aber keinen der sechs Punkte oben. Ihr Kunde braucht vertragliche Zusagen, Registerangaben und eine Ausstiegsaussage. Nichts davon steht in einem Zertifikat, und der Geltungsbereich Ihres Zertifikats deckt oft nicht die Leistung ab, um die es geht.

Der Nebeneffekt, den kaum jemand nutzt Wenn Sie diese Unterlagen einmal sauber erstellt haben, können Sie sie öffentlich bereitstellen. Ein Auslagerungsbeauftragter, der Ihre Selbstauskunft und Ihre Vertragsanlage herunterladen kann, bevor er fragt, erlebt Sie als den Anbieter, der das Thema im Griff hat. Das ist ein Vertriebsargument, das Sie nichts kostet. Beispiel 4 beschreibt ein Softwarehaus, das genau das getan hat.

Und wenn Sie selbst Zulieferer haben

Dann gilt für Sie in Ihrer Kette dasselbe, was Ihr Kunde von Ihnen verlangt: Sie müssen wissen, wer unter Ihnen sitzt, und Änderungen daran anzeigen können. Ein Hoster, der seinen Unterauftragnehmer wechselt, löst beim Finanzunternehmen eine Anzeigepflicht aus, und die beginnt bei Ihnen. Was Ihr Kunde dabei bewerten muss, steht in Delegierter Verordnung (EU) 2025/532.

Praktisch heißt das: eine gepflegte Liste Ihrer eigenen IKT-Dienstleister, mit Leistung, Standort und Vertragsbezug. Genau die Liste, die Ihr Kunde für seine Kette braucht.

Wenn die europäische Aufsicht bei Ihnen ansetzt

Alles bisher Beschriebene erreicht Sie über den Vertrag mit Ihrem Kunden. Es gibt aber einen Teil von DORA, der unmittelbar bei Anbietern ansetzt: den Überwachungsrahmen für kritische IKT-Drittdienstleister. Kritisch ist man nicht, weil man für einen Kunden wichtig ist, sondern wegen der Bedeutung für den Finanzsektor der Union; die Einstufung nimmt eine europäische Aufsichtsbehörde vor.

Die drei Seiten, die dafür am meisten hergeben:

  • Artikel 31: wie die Einstufung zustande kommt, welche Anbieter ausgenommen sind (darunter gruppeninterne Dienstleister) und warum ein Drittlandanbieter dann eine Unionstochter braucht
  • Artikel 33 Absatz 3: die neun Bereiche, die die Aufsicht bei einem kritischen Anbieter ansieht. Der beste vorhandene Prüfkatalog für eine eigene Selbsteinschätzung, ganz unabhängig von der Einstufung
  • Artikel 35: Empfehlungen, Auskunftspflichten und das tägliche Zwangsgeld von bis zu 1 % des weltweiten Tagesumsatzes

Für die große Mehrheit der Anbieter bleibt es beim Vertragsweg: Die Liste der kritischen Dienstleister ist kurz und wird von den europäischen Aufsichtsbehörden jährlich veröffentlicht. Die neun Bereiche des Artikels 33 sind trotzdem der Maßstab, an dem sich die Fragebögen Ihrer Kunden orientieren.

Vorlagen herunterladen Wer hier schreibt

Stand: 28. September 2026 · Grundlagen: Verordnung (EU) 2022/2554, insbesondere die Artikel 28 und 30 sowie Kapitel V Abschnitt II (Artikel 31 bis 44); Durchführungsverordnung (EU) 2024/2956 samt Anhang III. Fachlicher Hinweis, keine Rechtsberatung.

Wer diese Nachweise nicht in Dateien verteilt führen möchte, sondern an einer Stelle, mit Freigabestufen je Kunde und einem fertigen Paket auf Knopfdruck: Dafür entwickle ich ProviderProof. Für alles auf dieser Seite brauchen Sie es nicht.