IKT-Drittparteirisiko unter DORA: Pflichten und Umsetzung
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.
Die Verordnung (EU) 2022/2554, kurz DORA, gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Für IT-Leiter, CISOs und Geschäftsführer von Finanzunternehmen gehört das Management des IKT-Drittparteirisikos zu den aufwendigsten Pflichten der Verordnung. DORA verlangt ein fortlaufend gepflegtes Informationsregister über IKT-Verträge, dokumentierte Risikobewertungen vor Vertragsschluss, angepasste Vertragsklauseln, laufende Überwachung und getestete Exit-Strategien. Dieser Beitrag zeigt, was die Artikel 28 bis 30 konkret fordern und wie Sie die Anforderungen mit automatisierten Ratings und Vendor-Risk-Management praktisch umsetzen. Stand der Angaben: August 2026.
Für das Management von Risiken durch externe IKT-Dienstleister sind auch die Begriffe ICT Third-Party Risk, ICT Third-Party Risk Management und IKT-Drittparteienrisikomanagement gebräuchlich. IKT-Auslagerungsmanagement ist eng damit verbunden, aber enger gefasst: DORA erfasst auch IKT-Dienstleistungen, die nicht als klassische Auslagerung eingeordnet werden.
Das Wichtigste in Kürze
DORA gilt seit dem 17. Januar 2025 unmittelbar. Die Artikel 28 bis 30 regeln das Management des IKT-Drittparteirisikos.
Finanzunternehmen führen ein Informationsregister über alle IKT-Vertragsbeziehungen. Die BaFin hat es erstmals im April 2025 erhoben, seit 2026 reichen Unternehmen es jährlich im März ein.
Vor jedem Vertragsschluss sind Risikobewertung, Due Diligence und eine Prüfung des Konzentrationsrisikos Pflicht.
Verträge über kritische oder wichtige Funktionen brauchen erweiterte Klauseln, darunter Auditrechte, Leistungskennzahlen und Exit-Unterstützung.
Die EU-Aufsichtsbehörden haben am 18. November 2025 die ersten 19 kritischen IKT-Drittdienstleister benannt und unter direkte Überwachung gestellt.
Was DORA beim IKT-Drittparteirisiko fordert
DORA erfasst nach Angaben der europäischen Wertpapieraufsicht ESMA 21 Arten von Finanzunternehmen, darunter Banken, Versicherer, Zahlungs- und E-Geld-Institute, Wertpapierinstitute und Kapitalverwaltungsgesellschaften. Das Management des IKT-Drittparteirisikos regelt Kapitel V der Verordnung. Artikel 28 formuliert die allgemeinen Prinzipien, Artikel 29 die Bewertung des Konzentrationsrisikos und Artikel 30 die vertraglichen Mindestinhalte.
Der zentrale Grundsatz steht in Artikel 28 Absatz 1: Finanzunternehmen bleiben jederzeit in vollem Umfang für die Einhaltung der Verordnung verantwortlich, auch wenn sie IKT-Dienstleistungen an Dritte vergeben. Auslagerung überträgt Arbeit, aber keine Verantwortung. Die Anforderungen gelten dabei verhältnismäßig. Umfang und Tiefe der Maßnahmen richten sich nach Größe und Risikoprofil des Unternehmens sowie nach der Kritikalität der bezogenen Dienstleistungen.
Zusätzlich verlangt die Verordnung eine Strategie für das IKT-Drittparteirisiko, die das Leitungsorgan verantwortet und regelmäßig überprüft. Einen Gesamtüberblick über alle Pflichtenbereiche gibt unser Beitrag zur DORA-Verordnung.
Das Informationsregister: Fundament der Aufsicht
Artikel 28 Absatz 3 verpflichtet Finanzunternehmen, ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern zu führen, auf Einzelebene sowie auf teilkonsolidierter und konsolidierter Ebene. Das Register kennzeichnet, ob eine Vereinbarung kritische oder wichtige Funktionen unterstützt.
Wie das Register aufgebaut sein muss, legt die Durchführungsverordnung (EU) 2024/2956 vom 29. November 2024 fest. Sie definiert verbindliche Standardvorlagen mit verknüpften Meldebögen, die auch Weiterverlagerungen an Subunternehmer abbilden. In Deutschland nahm die BaFin die Register laut eigener Mitteilung erstmals zwischen dem 14. und 28. April 2025 über ihre Melde- und Veröffentlichungsplattform (MVP) entgegen, mit Datenstand vom 31. März 2025. Seit 2026 reichen Finanzunternehmen das Register laut BaFin jährlich zwischen dem 9. und 30. März ein, mit Datenstand zum 31. Dezember des Vorjahres.
Hinzu kommen Anzeigepflichten. Finanzunternehmen melden der zuständigen Behörde mindestens jährlich die Zahl neuer IKT-Vereinbarungen und informieren sie vorab über geplante Verträge, die kritische oder wichtige Funktionen betreffen. Wer das Register manuell in Tabellen pflegt, unterschätzt den Aufwand häufig. Die Vorlagen verlangen konsistente Angaben über mehrere verknüpfte Meldebögen hinweg, bis hin zur Subunternehmerkette.
Risikobewertung vor Vertragsschluss
Bevor ein Finanzunternehmen einen IKT-Vertrag schließt, verlangt Artikel 28 Absatz 4 eine dokumentierte Prüfung. Sie klärt, ob der Vertrag eine kritische oder wichtige Funktion unterstützt, ob die aufsichtlichen Bedingungen erfüllt sind und welche Risiken die Vereinbarung mit sich bringt. Dazu gehört ausdrücklich das Konzentrationsrisiko nach Artikel 29: Lässt sich der Anbieter ersetzen, bestehen bereits mehrere Verträge mit demselben Dienstleister und welche Risiken entstehen durch Weiterverlagerungsketten, auch in Drittländer?
Teil der Prüfung ist eine Due Diligence des Anbieters. Finanzunternehmen bewerten, ob der Dienstleister geeignet ist und angemessene Standards der Informationssicherheit einhält. In der Praxis stützt sich diese Bewertung oft allein auf Selbstauskünfte und Zertifikate. Ein Security Rating ergänzt diese Unterlagen um einen objektiven, von außen messbaren Datenpunkt. Es zeigt, wie es um die öffentlich erreichbare IT des Anbieters steht, von offenen Diensten über Zertifikats- und Mailserver-Konfiguration bis zu exponierter Software. Die Prüfung der Finanzlage, der Zertifikate und der Vertragskonformität ersetzt ein Rating nicht. Es macht die Anbieterauswahl aber belastbarer und schneller vergleichbar.
Vertragsanforderungen nach Artikel 30
Artikel 30 definiert Mindestinhalte für jeden IKT-Vertrag. Für Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, kommen strengere Anforderungen hinzu. Die folgende Tabelle fasst die wichtigsten Punkte zusammen (Auswahl, Stand: August 2026):
Vertragsanforderung
Rechtsgrundlage
Geltungsbereich
Klare Beschreibung der vereinbarten Funktionen und IKT-Dienstleistungen
Art. 30 Abs. 2 DORA
Alle IKT-Verträge
Angabe der Orte der Leistungserbringung und Datenverarbeitung inklusive Änderungsanzeige
Art. 30 Abs. 2 DORA
Alle IKT-Verträge
Regelungen zu Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten
Art. 30 Abs. 2 DORA
Alle IKT-Verträge
Zugang, Rückgabe und Wiederherstellung von Daten bei Insolvenz oder Vertragsende
Art. 30 Abs. 2 DORA
Alle IKT-Verträge
Unterstützung bei IKT-Vorfällen ohne zusätzliche oder zu vorab festgelegten Kosten
Art. 30 Abs. 2 DORA
Alle IKT-Verträge
Kündigungsrechte und Mindestkündigungsfristen
Art. 30 Abs. 2 DORA
Alle IKT-Verträge
Leistungsbeschreibung mit quantitativen und qualitativen Zielwerten
Art. 30 Abs. 3 DORA
Kritische oder wichtige Funktionen
Meldepflichten des Dienstleisters bei Entwicklungen mit wesentlichen Auswirkungen
Art. 30 Abs. 3 DORA
Kritische oder wichtige Funktionen
Notfallpläne sowie IKT-Sicherheitsmaßnahmen inklusive Tests
Art. 30 Abs. 3 DORA
Kritische oder wichtige Funktionen
Mitwirkung an bedrohungsorientierten Penetrationstests (TLPT)
Art. 30 Abs. 3 DORA
Kritische oder wichtige Funktionen
Uneingeschränkte Zugangs-, Inspektions- und Auditrechte
Art. 30 Abs. 3 DORA
Kritische oder wichtige Funktionen
Exit-Unterstützung mit angemessener Übergangsfrist
Art. 30 Abs. 3 DORA
Kritische oder wichtige Funktionen
Für viele Bestandsverträge bedeutet das Nachverhandlungen. Sinnvoll ist eine Gap-Analyse aller laufenden Verträge gegen die Anforderungen des Artikels 30, priorisiert nach der Kritikalität der unterstützten Funktion.
Laufende Überwachung und Exit-Strategien
Mit der Vertragsunterschrift beginnt die eigentliche Arbeit. DORA verlangt, Leistung und Risikoprofil der IKT-Drittdienstleister laufend zu überwachen und das Informationsregister aktuell zu halten. Artikel 28 Absatz 7 nennt zudem Konstellationen, in denen Finanzunternehmen Verträge beenden können müssen, etwa bei erheblichen Rechtsverstößen des Anbieters, bei nachgewiesenen Schwächen in dessen IKT-Risikomanagement oder wenn die Behörde das Unternehmen wegen der Vereinbarung nicht mehr wirksam beaufsichtigen kann.
Für kritische oder wichtige Funktionen fordert Artikel 28 Absatz 8 dokumentierte Exit-Strategien. Dazu gehören Übergangspläne, geprüfte Alternativen und ein realistischer Weg, Daten und Funktionen ohne Unterbrechung der Geschäftstätigkeit zurückzuholen oder zu übertragen.
Für die laufende Überwachung hat sich die Kombination aus zwei Perspektiven bewährt. Fragebögen und Nachweise liefern die Innensicht des Dienstleisters, kontinuierliche technische Messungen die Außensicht. External Attack Surface Management erfasst die öffentlich erreichbaren Systeme eines Dienstleisters ohne Agenten-Installation und ohne dessen Mitwirkung. Verschlechtert sich das Rating eines Anbieters, liegt ein dokumentierter Anlass für Nachfragen vor, lange bevor der nächste jährliche Fragebogen fällig ist.
Für die technische Außensicht zählt außerdem, wie früh neue Schwachstellenhinweise berücksichtigt werden. LocateRisk nutzt Preemptive Intelligence, um Meldungen aus mehreren Quellen bereits vor einer abschließenden NVD-Bewertung mit der Angriffsfläche eines IKT-Dienstleisters abzugleichen. Das liefert einen zusätzlichen, dokumentierbaren Anlass für eine risikobasierte Nachfrage beim Anbieter.
Kritische IKT-Drittdienstleister unter EU-Aufsicht
Neu an DORA ist der Überwachungsrahmen für kritische IKT-Drittdienstleister. Die drei EU-Finanzaufsichtsbehörden EBA, EIOPA und ESMA benennen Anbieter, deren Ausfall gravierende Folgen für den Finanzsektor hätte, und stellen sie unter die direkte Überwachung eines federführenden Überwachers (Lead Overseer). Am 18. November 2025 veröffentlichten die Behörden die erste Liste mit 19 benannten Anbietern, darunter große Cloud-Anbieter, Rechenzentrums- und Netzwerkbetreiber sowie Anbieter von Software für den Finanzsektor.
Der Lead Overseer kann Informationen anfordern, Untersuchungen und Inspektionen durchführen und Empfehlungen aussprechen. Kommt ein kritischer IKT-Drittdienstleister seinen Mitwirkungspflichten nicht nach, sieht Artikel 35 der Verordnung Zwangsgelder von bis zu 1 Prozent des durchschnittlichen weltweiten Tagesumsatzes im vorangegangenen Geschäftsjahr vor, verhängt täglich für höchstens sechs Monate.
Für Finanzunternehmen wichtig: Die Benennung eines Anbieters als kritisch verlagert keine Pflichten. Risikobewertung, Vertragsklauseln, Registerführung und Überwachung bleiben Aufgabe jedes einzelnen Finanzunternehmens, auch gegenüber benannten Anbietern.
Umsetzung in fünf Schritten
Die folgenden fünf Schritte haben sich für den Aufbau eines DORA-konformen Managements des IKT-Drittparteirisikos bewährt:
Schritt 1: Bestand erfassen. Alle IKT-Verträge inventarisieren, kritische oder wichtige Funktionen zuordnen und das Informationsregister nach den Vorlagen der Durchführungsverordnung (EU) 2024/2956 aufbauen.
Schritt 2: Bewertungsprozess festlegen. Due Diligence, Konzentrationsprüfung und Risikobewertung vor Vertragsschluss als festen Prozess verankern, inklusive eines externen Ratings je Anbieter als Vergleichsbasis.
Schritt 3: Verträge nachziehen. Bestandsverträge gegen Artikel 30 prüfen und Nachverhandlungen nach Kritikalität priorisieren.
Schritt 4: Überwachung automatisieren. Fragebögen, Nachweise und kontinuierliche Ratings in einem Vendor-Risk-Management zusammenführen, mit Erinnerungen, Eskalationen und revisionssicherer Dokumentation.
Schritt 5: Exit-Strategien testen. Ausstiegspläne für kritische Funktionen dokumentieren, regelmäßig durchspielen und das Register laufend aktuell halten.
Mit dem Third-Party-Risk-Management von LocateRisk bilden Sie die Schritte 2 und 4 weitgehend automatisiert ab. Die Plattform erstellt KPI-basierte Security Ratings Ihrer Dienstleister ohne Agenten-Installation, eine erste Analyse liegt innerhalb von 48 Stunden vor. Fragebogenprozesse, Einladungen und Nachweise laufen im selben System zusammen, gehostet in zertifizierten deutschen Rechenzentren. Zur Einordnung: Die Analyse macht Exponierung und eingesetzte Software von außen sichtbar. Ob eine konkret verwundbare Version im Einsatz ist, lässt sich von außen nicht in jedem Fall abschließend feststellen. Das Register selbst und die Vertragsanpassungen bleiben Aufgaben Ihrer Rechts- und Auslagerungsfunktion, die Plattform liefert die Risikodaten und die Dokumentation dazu.
Für alle Finanzunternehmen im Anwendungsbereich der Verordnung. Die ESMA nennt 21 Arten, von Banken über Versicherer bis zu Kapitalverwaltungsgesellschaften. Die Pflichten gelten verhältnismäßig zu Größe und Risikoprofil, entfallen aber nicht.
Ja. Das Register erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, unabhängig davon, ob der Dienstleister zum eigenen Konzern gehört. Auch für konzerninterne Anbieter gelten die Bewertungs- und Vertragsanforderungen.
Kritische oder wichtige Funktionen bewertet jedes Finanzunternehmen selbst. Diese Einstufung entscheidet über die strengeren Vertrags- und Exit-Anforderungen. Kritische IKT-Drittdienstleister benennen dagegen die EU-Aufsichtsbehörden zentral. Diese Anbieter stehen unter direkter EU-Überwachung, zuerst geschehen mit 19 Anbietern im November 2025.
Nein. Ein Zertifikat ist ein sinnvoller Baustein der Due Diligence. Es ersetzt aber weder die eigene Risikobewertung noch die vertraglichen Mindestinhalte oder die laufende Überwachung. DORA verlangt eine eigene, dokumentierte Bewertung durch das Finanzunternehmen.
Finanzunternehmen halten das Register laufend aktuell. Eingereicht wird es laut BaFin jährlich über die MVP-Plattform, erstmals geschah das im April 2025 mit Datenstand vom 31. März 2025, seit 2026 im Zeitraum vom 9. bis 30. März mit Datenstand zum 31. Dezember des Vorjahres. Die Zahl neuer IKT-Vereinbarungen melden Finanzunternehmen der Behörde mindestens jährlich, geplante Verträge über kritische oder wichtige Funktionen zeigen sie vorab an.
Das Management des IKT-Drittparteirisikos unter DORA ist eine Daueraufgabe, keine Einmalübung. Wer Register, Bewertungen und Überwachung früh in strukturierte Prozesse überführt, reduziert Aufwand und Prüfungsrisiko zugleich. LocateRisk unterstützt Sie dabei mit automatisierten Security Ratings und einem Vendor-Risk-Management, das Fragebögen, Nachweise und die kontinuierliche Außensicht auf Ihre Dienstleister zusammenführt. Wie Sie Ihre Dienstleisterüberwachung DORA-konform aufsetzen, erfahren Sie auf unserer Seite Vendor-Risk-Management leicht gemacht.
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français