DORA ist die EU-Verordnung zur digitalen Betriebsstabilität im Finanzsektor. Sie gilt ab dem 17. Januar 2025. Art. 30 legt fest, was im Vertrag zwischen einem Finanzunternehmen und seinem IKT-Dienstleister stehen muss. Die Pflicht trifft Ihren Kunden, nicht Sie. Für Sie wird sie verbindlich, sobald die Klauseln in Ihrem Vertrag stehen. Unterstützt Ihre Leistung eine kritische oder wichtige Funktion Ihres Kunden, gelten zusätzlich die strengeren Vorgaben aus Absatz 3.
Wen die Pflicht trifft
Die Verordnung richtet sich an das Finanzunternehmen. Es muss dafür sorgen, dass der Vertrag mit Ihnen die Mindestinhalte enthält. Deshalb schickt Ihr Kunde Ihnen einen Vertragsanhang und bittet um Unterschrift.
IKT steht für Informations- und Kommunikationstechnik. IKT-Dienstleistungen sind digitale Dienste und Datendienste, die Sie dauerhaft für Ihren Kunden erbringen.
Für Sie zählt eine andere Frage: Können Sie halten, was der Anhang zusagt? Jede Klausel ist eine Leistung, die Sie im Ernstfall erbringen und belegen müssen.
Die Rechte und Pflichten des Finanzunternehmens und des IKT-Drittdienstleisters werden eindeutig zugewiesen und schriftlich dargelegt.
Was in jedem Vertrag stehen muss
Absatz 2 gilt für jede IKT-Dienstleistung, unabhängig davon, wie wichtig sie für Ihren Kunden ist. Die rechte Spalte zeigt, was Sie als Dienstleister dafür vorlegen können. Sie ist unsere Empfehlung aus der Praxis, kein Wortlaut der Verordnung.
| Fundstelle | Was im Vertrag stehen muss | Was Sie bereithalten |
|---|---|---|
| Abs. 2 lit. a | Klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen. Angabe, ob und unter welchen Bedingungen Unteraufträge zulässig sind, wenn die Leistung eine kritische oder wichtige Funktion unterstützt. | Leistungsbeschreibung, Liste Ihrer Unterauftragnehmer |
| Abs. 2 lit. b | Regionen oder Länder, in denen Sie die Leistung erbringen und Daten verarbeiten, samt Speicherort. Sie informieren vorab, wenn sich ein Standort ändern soll. | Standortliste, Verfahren für Standortwechsel |
| Abs. 2 lit. c | Bestimmungen zu Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit, auch für personenbezogene Daten. | Sicherheitskonzept, technische und organisatorische Maßnahmen |
| Abs. 2 lit. d | Zugang, Wiederherstellung und Rückgabe der Daten in einem leicht zugänglichen Format bei Insolvenz, Abwicklung, Einstellung des Geschäfts oder Vertragsende. | Verfahren zur Datenrückgabe, Exportformat |
| Abs. 2 lit. e | Beschreibung der Dienstleistungsgüte, einschließlich Aktualisierungen und Überarbeitungen. | Service Level, Änderungsverfahren |
| Abs. 2 lit. f | Unterstützung bei IKT-Vorfällen, die mit Ihrer Leistung zusammenhängen. Ohne Zusatzkosten oder zu vorab festgelegten Kosten. | Vorfallprozess, Ansprechpartner, Kostenregel |
| Abs. 2 lit. g | Uneingeschränkte Zusammenarbeit mit den Aufsichtsbehörden und Abwicklungsbehörden Ihres Kunden. | Benannte Kontaktstelle |
| Abs. 2 lit. h | Kündigungsrechte und Mindestkündigungsfristen. | Plan für die Übergabe bei Vertragsende |
| Abs. 2 lit. i | Bedingungen für Ihre Teilnahme an den Programmen Ihres Kunden zur Sensibilisierung für IKT-Sicherheit und an Schulungen. | Schulungsnachweise Ihrer Mitarbeitenden |
Was bei kritischen oder wichtigen Funktionen dazukommt
Unterstützt Ihre Leistung eine kritische oder wichtige Funktion, verlangt Absatz 3 zusätzliche Inhalte. Kritisch oder wichtig ist eine Funktion, deren Ausfall den Geschäftsbetrieb Ihres Kunden erheblich beeinträchtigen würde. Die Einstufung nimmt Ihr Kunde vor. Fragen Sie nach, wenn der Anhang sie nicht nennt. Von ihr hängt ab, wie viel Sie zusagen müssen.
| Fundstelle | Was im Vertrag stehen muss | Was Sie bereithalten |
|---|---|---|
| Abs. 3 lit. a | Vollständige Beschreibung der Dienstleistungsgüte mit präzisen quantitativen und qualitativen Leistungszielen. | Kennzahlen, Messverfahren, regelmäßige Berichte |
| Abs. 3 lit. b | Kündigungsfristen und Berichtspflichten. Sie melden Entwicklungen, die Ihre Leistungsfähigkeit wesentlich beeinträchtigen könnten. | Meldeweg mit Auslösern und Fristen |
| Abs. 3 lit. c | Sie setzen Notfallpläne um und testen sie. Sie verfügen über Maßnahmen, Tools sowie Leit- und Richtlinien für IKT-Sicherheit. | Notfallplan, Testprotokolle, Sicherheitsrichtlinien |
| Abs. 3 lit. d | Teilnahme an den bedrohungsorientierten Penetrationstests Ihres Kunden (TLPT), also simulierten Angriffen nach dem Vorbild echter Angreifer. Sie wirken dabei uneingeschränkt mit. | Rahmenbedingungen für Tests, Ansprechpartner |
| Abs. 3 lit. e | Laufende Überwachung Ihrer Leistung. Dazu gehören uneingeschränkte Zugangs-, Inspektions- und Auditrechte für Ihren Kunden, beauftragte Dritte und die Aufsichtsbehörde. | Auditkonzept: wer prüft was, wann und wie |
| Abs. 3 lit. f | Ausstiegsstrategien mit einem verbindlichen, angemessenen Übergangszeitraum. Sie erbringen die Leistung in dieser Zeit weiter. | Exit-Plan mit Datenrückgabe und Übergabe |
Für die Auditrechte sieht die Verordnung zwei Erleichterungen vor. Würde ein Audit die Rechte Ihrer anderen Kunden berühren, können Sie mit Ihrem Kunden andere Formen der Bestätigung vereinbaren. Ist Ihr Kunde ein Kleinstunternehmen, kann ein unabhängiger Dritter die Rechte wahrnehmen.
Was Sie jetzt tun können
- Fragen Sie Ihren Kunden, ob er Ihre Leistung als kritisch oder wichtig einstuft.
- Gehen Sie den Anhang Klausel für Klausel durch und notieren Sie, was Sie heute belegen können.
- Klären Sie die Lücken, bevor Sie unterschreiben. Für die rechtliche Prüfung ziehen Sie Ihre Anwältin oder Ihren Anwalt hinzu.