DORA: Wann wird eine IT- oder KI-Beratung zum IKT-Drittdienstleister für Banken und Versicherungen?

Wann gilt eine Beratung als IKT-Drittdienstleister

Entscheidend ist nicht die Bezeichnung „Beratung", sondern die tatsächliche Leistung. Erfasst sind insbesondere:

• laufender IT-Betrieb, Managed Services, dauerhafte technische Betreuung,
• Cloud-Hosting und SaaS-Nutzung,
• laufende Datenverarbeitung,
• Betrieb oder laufende Anpassung von KI-Plattformen und -Modellen für ein Finanzunternehmen.

Regelmäßig nicht erfasst ist eine einmalige, rein fachliche oder analoge Beratung ohne laufende digitale bzw. datenbezogene Leistung über IKT-Systeme. Ein einzelner Workshop zur KI-Strategie ohne anschließenden technischen Betrieb fällt damit typischerweise nicht unter DORA — sobald daraus eine laufende technische Unterstützung wird, ändert sich das.

Kritisch oder sonstig — ein wichtiger Unterschied

DORA unterscheidet zwei Stufen:

• Sonstiger IKT-Drittdienstleister: Für ihn gelten vor allem die Vertragsanforderungen nach Art. 28–30 DORA.
• Kritischer IKT-Drittdienstleister: Diese Einstufung erfolgt nicht durch Selbsteinschätzung oder Vertragsklausel, sondern formell durch die Europäischen Aufsichtsbehörden nach den Kriterien in Art. 31 DORA. Nur wer so benannt wird, unterliegt zusätzlich unmittelbaren Aufsichtsbefugnissen — etwa Informationsverlangen, Untersuchungen und Vor-Ort-Prüfungen nach Art. 33 und Art. 35 DORA.

Für die meisten IT-/KI-Beratungen im Mittelstand bleibt es bei der Rolle als sonstiger Dienstleister — die Vertragspflichten treffen sie aber trotzdem.

Was der Vertrag regeln muss

Der Vertrag zwischen Finanzunternehmen und IKT-Dienstleister muss nach Art. 30 Abs. 1–2 DORA unter anderem enthalten:

• eine vollständige Beschreibung der IKT-Dienste und zulässiger Unteraufträge,
• Angabe der Leistungs- und Datenverarbeitungsstandorte samt Vorabinformation bei Änderungen,
• Anforderungen an Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit,
• Regelungen zu Zugang, Wiederherstellung und Rückgabe der Daten bei Vertragsende, Insolvenz oder Geschäftsaufgabe,
• klare Leistungsbeschreibungen und Service Levels.

Unterstützt der Dienst eine kritische oder wichtige Funktion des Finanzunternehmens, kommen nach Art. 30 Abs. 3 DORA zusätzliche Pflichten hinzu: messbare Leistungsziele, Mitwirkung bei Sicherheits- und Resilienztests, laufende Unterstützung sowie umfassende Informations-, Zugangs-, Prüfungs- und Auditrechte für Finanzunternehmen, beauftragte Prüfer und Aufsichtsbehörden.

Meldungen, Register und Exit-Klauseln

• Meldungen: Eine eigenständige gesetzliche Pflicht des Dienstleisters, jeden Vorfall unmittelbar an die Aufsicht zu melden, kennt DORA für sonstige Dienstleister nicht. Vertraglich muss er aber Sicherheitsvorfälle und erhebliche Leistungsstörungen unverzüglich an das Finanzunternehmen melden und dessen eigene DORA-Meldepflichten unterstützen.
• Informationsregister: Das Register aller IKT-Auslagerungen nach Art. 28 Abs. 3 DORA führt das Finanzunternehmen. Der Dienstleister muss ihm aber die dafür nötigen Angaben liefern — Bezeichnung des Dienstes, unterstützte Funktionen, Vertragslaufzeit, Verarbeitungsorte, Unterauftragnehmer.
• Exit-Strategie: Die Pflicht zur Exit-Strategie trifft nach Art. 28 Abs. 8 DORA das Finanzunternehmen. Der Vertrag mit dem Dienstleister muss diese aber ermöglichen: angemessene Kündigungsfristen, Datenrückgabe und -portabilität, Unterstützung bei Migration und Anbieterwechsel, Vermeidung von Geschäftsunterbrechungen.

Praktische Konsequenz für Ihre Verträge

Wer als IT- oder KI-Beratung ein Finanzunternehmen laufend betreut, sollte den bestehenden Dienstleistungsvertrag gegen die DORA-Mindestinhalte prüfen — insbesondere Audit-Zugangsrechte, Datenrückgabe bei Vertragsende und die Mitwirkungspflicht bei Sicherheitsvorfällen. Fehlen diese Klauseln, wird häufig das Finanzunternehmen selbst auf eine Nachverhandlung drängen, weil es sonst seine eigenen DORA-Pflichten nicht erfüllen kann.