DORA-Drittparteienmanagement: Änderungen bei IKT-Dienstleistern steuern

01 · Einordnung

Die bezogene Leistung bestimmt die Prüfung

IKT-Drittparteienmanagement umfasst die Risiken, die aus dem Bezug von IKT-Dienstleistungen entstehen. DORA verbindet die Auswahl eines Anbieters mit vertraglichen Anforderungen, Überwachung und Ausstiegsvorkehrungen. Die Verantwortung des Finanzunternehmens bleibt bestehen. Ein unterschriebener Vertrag und ein gepflegter Registereintrag sind deshalb wichtige Bestandteile, aber kein vollständiger Nachweis einer funktionierenden Steuerung. [1, Art. 28–30]

Dieser Beitrag betrachtet ein Kreditinstitut im regulären DORA-Rahmen und eine laufende IKT-Leistung, die im Beispiel eine kritische oder wichtige Funktion unterstützt. Andere Institutstypen, Ausnahmen und vereinfachte Anforderungen müssen gesondert eingeordnet werden. Die Grundlagen erläutert unser DORA-Überblick.

Rechtsgrundlagen: Art. 3 Nr. 22, Art. 28–31 DORA sowie Art. 5 EU 2025/532. [1] [3]

Auch die Auslagerung nach dem jeweils anwendbaren Auslagerungsrecht und die IKT-Dienstleistung nach DORA sind eigenständig zu beurteilen. Wer bereits eine MaRisk-Einstufung besitzt, sollte daraus keine ungeprüfte DORA-Einstufung übernehmen. Die aktuelle MaRisk-Fassung und das Verhältnis zu § 25b KWG vertiefen wir im Beitrag MaRisk AT 9 und DORA im Dienstleistermanagement. [4] [5]

Eine Änderungsmitteilung muss zunächst inhaltlich gelesen werden. Ändert sich nur die Firmenbezeichnung? Wechselt ein tatsächlicher Leistungserbringer? Kommen ein anderer Datenstandort, neue Zugriffswege oder ein geändertes Notfallverfahren hinzu? Ein kurzer Betreff kann mehrere Sachverhalte verdecken. Erst die Zuordnung zur Leistung macht sichtbar, welche Prüfung erforderlich ist.

02 · Musterfall

Zwei Anbieter, künftig dieselbe Hosting-Abhängigkeit

Die Bank BANK-01 nutzt den Dienst SVC-A für ihre digitale Kreditakte und einen Dokumentenworkflow. Vertragspartner ist TP-A. Bisher betreibt der Unterauftragnehmer TP-B die Hosting-Komponente. TP-A kündigt an, diese Komponente zu TP-C zu verlagern. Gleichzeitig bezieht die Bank von TP-D eine Fristen- und Statusauswertung, SVC-D. Dieser zweite Dienst nutzt TP-C bereits.

Im Musterfall unterstützt SVC-A die Funktion F-01, Kreditbearbeitung. Ihre Einstufung als kritisch oder wichtig ist eine begründete Fallannahme: Ein länger andauernder Ausfall würde die fristgerechte Bearbeitung maßgeblicher Vorgänge erheblich beeinträchtigen. Daraus folgt keine allgemeine Einstufung jeder digitalen Akte oder jedes Dokumentenworkflows.

Vor der Änderung bestanden zwei unterschiedliche Hosting-Abhängigkeiten. Danach führen beide Dienstwege zu TP-C. Zwei getrennte Verträge bedeuten hier keine technische Unabhängigkeit. Das bleibt auch dann relevant, wenn TP-A und TP-D jeweils erklären, ihr eigener Dienst sei ausreichend abgesichert. Die Bank muss die Verbindung aus ihrer Gesamtsicht beurteilen.

Die konkrete Fristberechnung muss im realen Fall anhand der Vereinbarung und der maßgeblichen Regeln geprüft werden. Für die Arbeitshilfe ist das Fristende ausdrücklich festgelegt. Das verhindert, dass eine technische Berechnung unbemerkt eine rechtliche Auslegung ersetzt.

Konsequenz im Musterfall: Die gemeinsame Abhängigkeit von TP-C gehört ausdrücklich in die Bewertung. Sie lässt sich nicht durch zwei getrennte Lieferantenakten beantworten.

03 · Informationsgrundlage

Aus einer Mitteilung wird eine prüfbare Änderung

Die Mitteilung des Dienstleisters eröffnet den Vorgang. Sie ist noch nicht dessen vollständige Informationsgrundlage. Zunächst wird geklärt, welche Leistung bisher erbracht wurde und welche künftig erbracht werden soll. Eine Aussage wie „Wir optimieren unsere Infrastruktur“ reicht dafür nicht. Benötigt werden die betroffenen Komponenten, der neue Leistungserbringer, die zeitliche Planung und die Auswirkungen auf die vereinbarten Leistungen.

Die Bewertung der Unterauftragsvergabe und die erforderlichen Vertragsinhalte ergeben sich im hier betrachteten Anwendungsbereich insbesondere aus Art. 3 und 4 der Delegierten Verordnung (EU) 2025/532. Die folgenden Prüffragen übersetzen diese Aufgabe in eine Arbeitshilfe; sie bilden keinen vollständigen gesetzlichen Pflichtkatalog ab. [3]

Ein Nachweis braucht Version, Geltungsbereich und Bewertung

Ein sinnvoller Akteneintrag besteht aus mehr als einem Dateianhang. Er nennt das Dokument, seinen Stand, die relevante Fundstelle, die betroffene Frage und das Ergebnis der Prüfung. Dadurch lässt sich später erkennen, ob eine Entscheidung auf der ursprünglichen Mitteilung, einem ergänzten Leistungsblatt oder einem nachgereichten Testbericht beruht.

Im Musterfall fehlt am 4. September der passende Wiederherstellungsnachweis. Das ist zunächst eine Evidenzlücke. Die Bank weiß damit noch nicht, ob die neue Umgebung unzureichend ist oder lediglich der Beleg fehlt. Sie fordert die konkrete Information nach und bewertet die Konsequenz für ihre rechtzeitige Entscheidung. Die Lücke darf weder als bereits bestanden noch ohne weitere Begründung als tatsächlich eingetretener Ausfall behandelt werden.

Auch ein Zertifikat muss zum Prüfgegenstand passen. Für den hier betrachteten Leistungsbezug konkretisiert EU 2024/1773 den Umgang mit Prüfberichten, Zertifikaten und eigenen beziehungsweise gemeinschaftlichen Prüfungen. Eine dauerhafte ausschließliche Berufung auf Zertifikate oder vom Anbieter bereitgestellte Berichte genügt nicht. [2, Art. 8]

04 · Bewertung und Entscheidung

Die Entscheidung muss vor der maßgeblichen Frist belastbar sein

Eine Änderung kann mehrere Funktionen der Bank betreffen. Die Arbeit wird deshalb über einen gemeinsamen Vorgang koordiniert. Die Zuständigkeiten richten sich nach der eigenen Organisation; die folgende Aufteilung ist ein Vorschlag für den Musterfall und keine gesetzlich vorgeschriebene Rollenmatrix.

Der Datenschutz wird hinzugezogen, soweit sich datenschutzrechtlich relevante Fragen stellen. Die Rollen können in einem kleineren Institut anders organisiert sein. Entscheidend ist, dass fachliche Beiträge, Verantwortlichkeiten und Eskalation nachvollziehbar zugeordnet sind. Die Leitlinie für den betreffenden Leistungsbezug muss Zuständigkeiten und den Umgang mit wesentlichen Änderungen abbilden. [2, Art. 3–4]

Die vertragliche Frist ist ein eigener Prüfpunkt

Art. 5 EU 2025/532 sieht für die erfassten wesentlichen Änderungen eine rechtzeitige Information und eine angemessene vertragliche Frist vor. Der Rechtsakt nennt dafür keine allgemeine Frist von 30 Tagen. Er berücksichtigt die Zustimmung des Finanzunternehmens sowie den ausbleibenden Widerspruch bis zum Fristende. Das muss in der konkreten Vertragsmechanik gelesen werden. [3]

Im Vorgang sollten daher mindestens Eingang, angekündigter Umsetzungstermin, maßgebliche Frist, zuständige Bearbeitung und Eskalationszeitpunkt erfasst werden. Eine automatische Erinnerung hilft bei der Organisation. Sie nimmt dem Institut die Bewertung des Fristendes und der notwendigen Reaktion nicht ab.

Einwand, Änderungsverlangen und Kündigung unterscheiden

Ergibt die Prüfung, dass die geplante Änderung die Risikotoleranz überschreitet, verlangt Art. 5 EU 2025/532 die entsprechende Reaktion vor Ablauf der Frist, einschließlich Einwand und Änderungsverlangen. Art. 6 regelt Kündigungsrechte in bestimmten Konstellationen. Ein solches Recht bedeutet nicht, dass der Vertrag ohne weitere Handlung automatisch endet. [3]

Die Entscheidungsvorlage sollte deshalb keine bloße Ja-Nein-Abfrage sein. Sie erläutert den bewerteten Stand, die offenen Fragen, mögliche Alternativen und die Konsequenzen der gewählten Reaktion. Eine geforderte Anpassung muss so konkret sein, dass später erkennbar ist, ob der Dienstleister ihr entsprochen hat.

Wie der Musterfall zur Zustimmung kommt

Am 11. und 16. September gehen im fiktiven Fall ergänzende Informationen ein. Die Bank bewertet den nachgereichten Wiederherstellungsnachweis, die Kontrollabdeckung, die Vertragsrechte und die Auswirkungen des gemeinsamen Hostings. Entscheidungsrelevante Evidenzlücken werden geschlossen; die einschlägigen zwingenden Vertragsanforderungen werden vor der Zustimmung als erfüllt bewertet. Der bereits bezogene Dienst SVC-D von TP-D wird ausdrücklich nicht als unabhängiger Ersatz für SVC-A gewertet, weil beide Dienste von TP-C abhängen. Außerdem ersetzt eine Fristen- und Statusauswertung fachlich weder die Kreditakte noch den Dokumentenworkflow.

Am 18. September dokumentiert die zuständige Entscheidungsebene eine Zustimmung. Die Konzentration bleibt erhöht. Sie wird im Fall nur deshalb als innerhalb der angenommenen Toleranz beurteilt, weil der unabhängige begrenzte Notbetrieb IN-01 geprüft wurde und der Exit zur internen Zielumgebung Z-01 durch Testdatenrückführung, Prüfung wesentlicher Bearbeitungsschritte und eine Planübung plausibilisiert ist. Eine vollständige Produktionsmigration wurde im Lehrfall nicht durchgeführt. Das sind synthetische Fallannahmen, keine allgemeine Freigaberegel für Hosting-Konzentrationen.

Die Zustimmung enthält Maßnahmen zur Nachkontrolle der Umsetzung. Sie verschiebt keine bereits vor der Entscheidung zwingend zu erfüllende Anforderung auf einen späteren Termin. Fehlen im realen Fall gerade die Voraussetzungen, auf denen die Zustimmung beruhen soll, muss die Entscheidung anders ausfallen.

05 · Übergaben

Eine Entscheidung verändert mehrere Arbeitsstände

Nach einer Zustimmung ist die Bearbeitung noch nicht abgeschlossen. Die Entscheidung kann Auswirkungen auf Vertragsunterlagen, Register, Risikobewertung, Kontinuitätsplanung und technische Dokumentation haben. Diese Folgen sollten aus demselben Änderungsvorgang entstehen. Sonst bleibt leicht eine aktuelle Lieferkette neben einem veralteten Exit-Plan stehen.

Für wesentliche Änderungen der betreffenden Vertragsvereinbarung verlangt EU 2024/1773 eine schriftliche Formalisierung in einem datierten, von den Parteien unterzeichneten Dokument. Davon zu unterscheiden ist eine Mitteilung, die innerhalb einer bereits vereinbarten Unterauftragsmechanik bearbeitet wird. Nicht jede Mitteilung führt automatisch zu einem neuen Hauptvertrag. [2, Art. 8 Abs. 4]

Registerpflege und Behördeninformation sind getrennte Fragen

Das Informationsregister nach Art. 28 Abs. 3 DORA wird geführt und aktualisiert. Ob ein konkreter Sachverhalt zusätzlich eine Information oder Anzeige gegenüber der zuständigen Behörde auslöst, muss gesondert geprüft werden. Aus dem bloßen Wechsel eines Unterauftragnehmers folgt kein pauschaler Satz „sofort an BaFin melden“. [1]

Im Arbeitsfall gibt es deshalb zwei getrennte Kontrollpunkte: Welche Registerangaben sind betroffen? Und entsteht aus dem konkreten Sachverhalt nach dem zuständigen Aufsichtsregime eine zusätzliche Informationspflicht? Das verhindert, dass eine technische Datenänderung mit einer rechtlichen Meldeentscheidung verwechselt wird. Die Datenstruktur und Prüfung erläutert der Beitrag zum DORA-Informationsregister. [6]

Wiederherstellung und Ausstieg beantworten verschiedene Fragen

Ein erfolgreicher Wiederherstellungstest zeigt nicht automatisch, dass ein Wechsel auf eine andere Lösung möglich ist. Umgekehrt belegt ein vertragliches Datenrückgaberecht allein noch keinen funktionsfähigen Zielbetrieb. Für IKT-Leistungen zur Unterstützung kritischer oder wichtiger Funktionen verlangt DORA dokumentierte, hinreichend getestete und regelmäßig überprüfte Ausstiegspläne. [1, Art. 28 Abs. 8]

Im Musterfall ist besonders zu beachten, dass SVC-D beim selben Host liegt. Würde die Bank SVC-D als Ausweichlösung nennen, hätte sie zwar einen anderen direkten Anbieter, aber die entscheidende Abhängigkeit nicht aufgelöst. Ein sinnvolles Testszenario muss gerade diese gemeinsame Ausfallursache berücksichtigen.

06 · Nachkontrolle

Erledigt ist der Vorgang erst mit nachvollziehbarem Ergebnis

Am 24. September meldet der direkte Dienstleister im fiktiven Fall die Umstellung als abgeschlossen. Die Bank prüft nun, ob tatsächlich der bewertete Stand umgesetzt wurde. Dazu gehören der bestätigte Leistungsumfang, die betroffenen Unterlagen und die vereinbarten Nachkontrollen. Ergeben sich Abweichungen, wird die Bewertung erneut aufgenommen. Im Musterfall endet die fachliche Bearbeitung am 5. Oktober 2026 nach Abschluss der dokumentierten Nachkontrollen; die laufende Überwachung bleibt bestehen.

Ein Maßnahmenstatus „geschlossen“ sollte deshalb mit einer Aussage verbunden sein: Was wurde geprüft, anhand welcher Information, durch wen und mit welchem Ergebnis? Eine hochgeladene Datei kann ein Eingangsnachweis sein. Ob sie die Maßnahme fachlich schließt, ist eine eigene Prüfung.

Was die Geschäftsleitung aus dem Vorgang erkennen sollte

Ein Bericht muss nicht jeden Anhang wiedergeben. Er sollte verständlich machen, welche Abhängigkeit sich verändert hat, welche Entscheidung getroffen wurde und welche wesentlichen Punkte offen sind. Im Musterfall ist die erhöhte gemeinsame Hosting-Abhängigkeit eine zentrale Information. Eine bloße Anzahl geschlossener Aufgaben würde sie nicht erklären.

• Gegenstand: Welche Funktion und welche IKT-Leistung sind betroffen?
• Bewertung: Was hat sich gegenüber dem vorherigen Zustand verändert?
• Entscheidung: Welche Reaktion wurde auf welcher Grundlage vorgenommen?
• Offene Punkte: Welche Maßnahmen oder Unsicherheiten bleiben, mit welchen Zuständigkeiten?
• Eskalation: Welche Entwicklung erfordert eine erneute Entscheidung?

Das ist ein Vorschlag für eine entscheidungsorientierte Darstellung. Umfang und Berichtslinien richten sich nach der Organisation und dem Risikoprofil. Die laufende Überwachung, Dokumentation der Bewertung und Verfolgung von Abhilfen werden für den betreffenden Leistungsbezug durch EU 2024/1773 konkretisiert. [2, Art. 9]

07 · Software und KI

Die Anwendung muss den Zusammenhang erhalten

Für einen einzelnen Vorgang kann eine sauber geführte Akte ausreichen. Schwierig wird es, wenn mehrere Dienste, Verträge und Fachbereiche dieselbe Änderung unterschiedlich dokumentieren. Die Frage nach Software beginnt daher bei den Übergaben: Woher kommt die Information? Welche Bewertung nutzt sie? Welche Entscheidung gilt? Und welche Maßnahme verändert den Status?

Eine Produktdemonstration sollte diesen Ablauf mit nachvollziehbaren Beispieldaten zeigen. Ein Dashboard mit grünen Kennzahlen beantwortet noch nicht, ob die gemeinsame Hosting-Abhängigkeit erkennbar ist oder ob eine Entscheidung nach einem geänderten Dokument erneut geprüft werden muss.

Diese Szenarien sind Auswahl- und Abnahmehilfen. Sie sind keine ausgeführten Tests eines bestimmten Produkts. Umfang, Konfiguration und erwartetes Ergebnis sollten vor der Demonstration vereinbart werden. Übergreifende Beschaffungskriterien erläutert unser Leitfaden zur Auswahl von GRC-Software.

Wo KI bei der Dokumentarbeit helfen kann

Eine KI kann eine Änderungsmitteilung vorstrukturieren, Unterschiede zwischen Vertragsständen aufzeigen oder relevante Textstellen für eine Prüffrage suchen. Im Musterfall wäre eine sinnvolle Aufgabe: „Welche Aussagen zu Unterauftragnehmern, Leistungsorten und Wiederherstellung ändern sich zwischen diesen beiden Dokumentständen?“ Das Ergebnis sollte zu jeder Aussage die verwendete Fundstelle nennen.

Die Qualität zeigt sich auch an den Grenzen. Fehlt der Nachweis zur neuen Umgebung, darf eine Antwort nicht aus einem Bericht für TP-B eine positive Aussage über TP-C ableiten. Widersprechen sich zwei Unterlagen, muss dieser Widerspruch sichtbar werden. Eine technisch plausible Zusammenfassung ist noch keine fachliche Bewertung der Änderung.

Zusätzlich werden zulässige Daten, Modellzugänge, Berechtigungen und Protokollierung festgelegt. Die KI darf keine Unterlagen zugänglich machen, die der fragenden Person nicht zur Verfügung stehen sollen. Aufbewahrung und Löschung müssen zum Zweck passen. Eine unbegrenzte Speicherung aller Inhalte ist kein Qualitätsmerkmal.

09 · Arbeitsmaterialien

Den Fall nachvollziehen und auf den eigenen Prozess übertragen

Das Fallpaket enthält vier zusammenhängende Arbeitsblätter: Änderung und Betroffenheit, Nachweismatrix, Entscheidung sowie Maßnahmen und Abschluss. Die ausgefüllte Fassung zeigt CHG-2026-014. Die leere Fassung dient als Ausgangspunkt für die eigene Anpassung.

Die Unterlagen sind redaktionelle Arbeitshilfen. Sie sind keine amtlichen Formulare und ersetzen keine institutsbezogene fachliche Prüfung. Vertragsfristen, Zuständigkeiten, Risikotoleranz und Nachweisanforderungen werden nicht ungeprüft aus dem Beispiel übernommen.

So lässt sich die Arbeitshilfe verwenden

1. Die tatsächlich bezogene Leistung und den bewerteten Ausgangsstand festhalten.
2. Die angekündigte Änderung mit ihren Auswirkungen beschreiben. Fehlende Informationen als solche markieren.
3. Frist und Zuständigkeit anhand des eigenen Vertrags und der eigenen Organisation bestimmen.
4. Bewertung und Entscheidung nachvollziehbar verknüpfen. Keine Pflichtlücke durch einen bloßen Akzeptanzvermerk schließen.
5. Folgeänderungen und Maßnahmen bis zu ihrem belegten Ergebnis nachverfolgen.

Die Schaubilder stehen außerdem als skalierbare SVG-Dateien und hochauflösende PNG-Dateien bereit. Für kleine Bildschirme gibt es eigene, vertikale Fassungen. Text und Tabellen auf dieser Seite erläutern dieselben Zusammenhänge.

10 · Häufige Fragen

Fragen aus der Dienstleistersteuerung