Ausstiegsstrategien und Konzentrationsrisiko: was DORA verlangt
Artikel 28 Absatz 8 DORA verlangt für jede IKT-Dienstleistung, die eine kritische oder wichtige Funktion stützt, eine Ausstiegsstrategie – dokumentiert, getestet, regelmäßig überprüft. Artikel 29 verlangt, das Konzentrationsrisiko schon vor der Unterschrift zu bewerten. Beide Vorschriften scheitern in der Prüfung selten am Text, fast immer an der Nachweisführung.
Kurz gefasst: Ein Ausstiegsplan nach Artikel 28 Absatz 8 muss umfassend, dokumentiert, ausreichend getestet und regelmäßig überprüft sein. Er braucht alternative Lösungen, einen Übergangsplan für Dienstleistungen und Daten sowie Notfallmaßnahmen für den Fall des ungeplanten Ausfalls. Artikel 29 verlangt zusätzlich die Bewertung, ob der Dienstleister schwer ersetzbar ist oder mehrere kritische Funktionen bei ihm oder eng verbundenen Anbietern liegen. Eine Absichtserklärung im Regelwerk reicht für keines von beidem.
Zwei Vorschriften, ein Zusammenhang
Das Konzentrationsrisiko ist der Grund, aus dem der Ausstieg schwerfällt. Wer einen Anbieter wählt, der nicht ohne Weiteres ersetzbar ist, schreibt sich die Schwierigkeit des späteren Ausstiegs in den Vertrag hinein. Deshalb steht die Bewertung nach Artikel 29 vor dem Abschluss – als Teil der Risikoermittlung nach Artikel 28 Absatz 4 Buchstabe c, die ausdrücklich verlangt, „alle relevanten Risiken im Zusammenhang mit der vertraglichen Vereinbarung“ zu ermitteln und zu bewerten, „einschließlich der Möglichkeit, dass diese vertragliche Vereinbarung dazu beitragen kann, das in Artikel 29 genannte IKT-Konzentrationsrisiko zu erhöhen“.
In der Prüfung werden beide Themen zusammen aufgerufen. Die typische Frage lautet nicht „Haben Sie eine Ausstiegsstrategie?“, sondern: „Zeigen Sie mir für diesen Dienstleister die Risikobewertung vor Abschluss, den Ausstiegsplan, das Testprotokoll und den Übergangszeitraum aus dem Vertrag.“ Vier Belege, ein Sachverhalt.
Was Artikel 28 Absatz 8 verlangt
Der Absatz ist kurz, enthält aber fünf voneinander unabhängige Pflichten. Die folgende Übersicht zerlegt ihn in die Bestandteile und benennt, was dazu im Haus vorliegen muss.
| Bestandteil | Wortlaut der Verordnung | Nachweis im Haus |
|---|---|---|
| Anwendungsbereich | Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen | Liste der kritischen oder wichtigen Funktionen mit Zuordnung zu Verträgen und Dienstleistern – abgeleitet aus derselben Einstufung, die das Informationsregister trägt. |
| Risikobezug | Berücksichtigung von Anbieterausfall, Qualitätsverschlechterung, Unterbrechung der Geschäftstätigkeit und Kündigung nach Absatz 7 | Szenarienliste je Dienstleister, nicht ein allgemeiner Absatz im Auslagerungshandbuch. |
| Ausstiegsfähigkeit | Ausscheiden ohne Unterbrechung der Geschäftstätigkeit, ohne Einschränkung der Einhaltung regulatorischer Anforderungen und ohne Beeinträchtigung von Kontinuität und Qualität der Kundendienstleistungen | Nachweis, dass diese drei Bedingungen für das jeweilige Szenario eingehalten werden – üblicherweise über Zeitachse, Ressourcen und Rückfalllösung. |
| Qualität des Plans | Umfassend, dokumentiert, im Einklang mit den Kriterien des Artikels 4 Absatz 2 ausreichend getestet, regelmäßig überprüft | Testprotokoll mit Datum, Umfang, Beteiligten und Ergebnis. Ein Review-Vermerk ohne Test genügt nicht. |
| Übergang | Alternative Lösungen ermitteln und Übergangspläne entwickeln, um Dienstleistungen und Daten zu entziehen und sicher und vollständig zu übertragen oder zurückzuholen | Benannte Alternative je Dienst, Datenmigrationsweg, Formatfrage geklärt, Zuständigkeiten benannt. |
| Notfall | Angemessene Notfallmaßnahmen zur Fortführung der Geschäftstätigkeit | Verbindung zum Notfallkonzept: Der Ausstiegsplan ist kein Ersatz für die Geschäftsfortführung, sondern greift daneben. |
Bemerkenswert ist der Verweis auf Artikel 4 Absatz 2. Er macht die Verhältnismäßigkeit zum Maßstab für die Tiefe des Tests: Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Geschäfte bestimmen, wie weit zu testen ist. Das ist keine Ausrede für den Verzicht, sondern die Begründungspflicht für das gewählte Testniveau. Wer einen Schreibtischtest wählt, muss sagen können, warum er genügt.
Die vier Kündigungsgründe nach Absatz 7
Absatz 8 verweist auf die Umstände des Absatzes 7. Die vier Gründe müssen im Vertrag abbildbar sein, sonst läuft die Ausstiegsstrategie in eine Kündigungssperre.
| Fundstelle | Kündigungsgrund |
|---|---|
| Art. 28 Abs. 7 a) | Erheblicher Verstoß des Dienstleisters gegen Gesetze, sonstige Vorschriften oder Vertragsbedingungen. |
| Art. 28 Abs. 7 b) | Umstände aus der laufenden Überwachung, die geeignet sind, die Wahrnehmung der vereinbarten Funktionen zu beeinträchtigen – einschließlich wesentlicher Änderungen bei den Verhältnissen des Dienstleisters. |
| Art. 28 Abs. 7 c) | Nachweisliche Schwächen im allgemeinen IKT-Risikomanagement des Dienstleisters, insbesondere bei Verfügbarkeit, Authentizität, Sicherheit und Vertraulichkeit von Daten. |
| Art. 28 Abs. 7 d) | Die zuständige Behörde kann das Institut wegen der Vertragsbedingungen oder der Umstände der Vereinbarung nicht mehr wirksam beaufsichtigen. |
Buchstabe b) ist der Grund, aus dem die laufende Dienstleisterüberwachung und der Ausstiegsplan zusammengehören: Ein Kündigungsrecht, das an Erkenntnisse aus der Überwachung anknüpft, setzt voraus, dass überhaupt überwacht und dokumentiert wird. Welche Klauseln der Vertrag dafür tragen muss, steht im Beitrag zu den Pflichtinhalten nach Artikel 28 und 30.
Der Ausstiegsplan nach der Delegierten Verordnung 2024/1773
Die Delegierte Verordnung (EU) 2024/1773 konkretisiert, was in der Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen stehen muss. Artikel 10 verlangt einen dokumentierten Ausstiegsplan für jede vertragliche Vereinbarung sowie Anforderungen an dessen regelmäßige Überprüfung und Tests. Bei der Festlegung sind drei Auslöser zu berücksichtigen:
- unvorhergesehene und anhaltende Unterbrechungen bei der Bereitstellung von Dienstleistungen,
- eine mangelhafte oder nicht erfolgte Erbringung von Dienstleistungen,
- eine unerwartete Beendigung vertraglicher Vereinbarungen.
Entscheidend ist der Satz danach: Der Plan muss realistisch und durchführbar sein, auf plausiblen Szenarien und vernünftigen Annahmen beruhen und einen Durchführungszeitplan enthalten, der mit den vertraglich festgelegten Ausstiegs- und Beendigungsbedingungen vereinbar ist. Damit ist die Verbindung zum Vertrag hergestellt: Ein Übergangszeitraum von drei Monaten im Vertrag und ein Migrationsplan über neun Monate im Ordner widersprechen sich – und beides zusammen ist in der Prüfung eine Feststellung wert.
Artikel 5 derselben Verordnung listet für die Ex-ante-Risikobewertung neun Risikoarten auf, die zu betrachten sind – von operationellen und rechtlichen Risiken über den Standort der Datenverarbeitung bis zu den IKT-Konzentrationsrisiken auf Unternehmensebene. Wer diese Liste als Gliederung der Risikoanalyse verwendet, hat die Bewertung nach Artikel 29 bereits an der richtigen Stelle verankert.
Konzentrationsrisiko: die Prüfung nach Artikel 29
Artikel 29 trägt die Überschrift „Vorläufige Bewertung des IKT-Konzentrationsrisikos auf Unternehmensebene“. Vorläufig heißt hier: vor Abschluss. Zwei Konstellationen sind ausdrücklich zu prüfen, ob die geplante Vereinbarung sie herbeiführen würde:
- Buchstabe a) – Verträge mit einem IKT-Drittdienstleister, der nicht ohne Weiteres ersetzbar ist.
- Buchstabe b) – mehrfache vertragliche Vereinbarungen über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen mit demselben Dienstleister oder mit eng verbundenen Dienstleistern.
Danach ist ausdrücklich abzuwägen: Nutzen und Kosten alternativer Lösungen, etwa die Nutzung verschiedener Dienstleister, gemessen an den geschäftlichen Erfordernissen und Zielen der eigenen Strategie für digitale Resilienz. Die Verordnung verbietet Konzentration also nicht – sie verlangt die dokumentierte Abwägung. Genau die fehlt in der Praxis am häufigsten.
Absatz 2 nimmt die Unterauftragsketten dazu. Sieht der Vertrag Unterauftragsvergabe für eine kritische oder wichtige Funktion vor, sind Vorteile und Risiken abzuwägen, insbesondere bei Unterauftragnehmern in Drittländern. Ausdrücklich zu berücksichtigen sind außerdem das anwendbare Insolvenzrecht und mögliche Einschränkungen bei der dringenden Wiederherstellung eigener Daten, bei Drittlandsanbietern zusätzlich die Einhaltung des Datenschutzrechts der Union und die wirksame Durchsetzung des dortigen Rechts. Und schließlich ist zu bewerten, ob lange oder komplexe Unterauftragsketten die eigene Überwachungsfähigkeit und die wirksame Aufsicht durch die Behörde beeinträchtigen.
Die Datengrundlage dafür ist das Informationsregister: Nur wer die Nachunternehmerketten gepflegt hat, kann Buchstabe b) überhaupt beantworten. Der Aufbau ist im Beitrag zum Informationsregister beschrieben.
Wo Ausstiegspläne in der Prüfung durchfallen
Aus Vor-Ort-Prüfungen und Sonderprüfungen wiederholen sich sechs Muster:
- Ein Plan für alle. Ein generischer Ausstiegsprozess im Regelwerk, aber kein Plan je Vertrag. Artikel 10 der Delegierten Verordnung 2024/1773 verlangt ihn ausdrücklich für jede vertragliche Vereinbarung.
- Kein Test, nur ein Review. Das jährliche Durchlesen ist keine Erprobung. Ohne Protokoll mit Umfang und Ergebnis fehlt der Nachweis nach Absatz 8.
- Keine benannte Alternative. „Marktübliche Anbieter stehen zur Verfügung“ ist keine ermittelte alternative Lösung. Verlangt ist die konkrete Benennung.
- Datenrückgabe ungeklärt. Format, Umfang, Frist und Löschnachweis fehlen – obwohl Artikel 30 Absatz 2 Buchstabe d) genau das im Vertrag verlangt.
- Widersprüchliche Fristen. Der vertragliche Übergangszeitraum nach Artikel 30 Absatz 3 Buchstabe f) passt nicht zum Zeitplan des Migrationskonzepts.
- Konzentration ohne Abwägung. Fünf kritische Funktionen bei einem Anbieter, aber kein Vermerk, dass Alternativen geprüft und aus welchen Gründen verworfen wurden.
Was das im Regelbetrieb bedeutet
Ausstiegsstrategien sind kein Projekt, sondern ein Bestand, der gepflegt werden muss: Bei jedem neuen Vertrag entsteht einer, bei jeder Vertragsänderung ist er zu prüfen, einmal jährlich ist er fortzuschreiben und in einem festen Turnus zu testen. Dieselbe Bewegung gilt für die Konzentrationsbewertung, weil sich die Landschaft mit jedem Unterauftragnehmer verschiebt – ohne dass ein eigener Vertrag geschlossen würde.
Für Institute unter MaRisk gilt die Fortschreibung parallel: AT 9 verlangt Ausstiegsprozesse für wesentliche Auslagerungen außerhalb des IKT-Bereichs. Seit der Fassung vom 30.06.2026 stehen beide Regelkreise nebeneinander, mit getrennten Registern und getrennter Berichterstattung – die Ausstiegsdokumentation folgt dieser Trennung.
Häufige Fragen
Braucht jeder IKT-Vertrag eine Ausstiegsstrategie?
Artikel 28 Absatz 8 DORA verlangt Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Artikel 10 der Delegierten Verordnung (EU) 2024/1773 geht weiter und verlangt in der Leitlinie einen dokumentierten Ausstiegsplan für jede vertragliche Vereinbarung. Praktisch heißt das: für kritische oder wichtige Funktionen ein ausgearbeiteter und getesteter Plan, für die übrigen Verträge eine schlanke, aber dokumentierte Fassung.
Wie oft muss ein Ausstiegsplan getestet werden?
Die Verordnung nennt keine feste Frequenz. Artikel 28 Absatz 8 verlangt, dass Ausstiegspläne ausreichend getestet und regelmäßig überprüft werden, und verweist für das Maß auf die Kriterien des Artikels 4 Absatz 2: Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Geschäfte. In der Praxis hat sich ein jährlicher Zyklus für kritische Funktionen etabliert, mit anlassbezogener Wiederholung nach wesentlichen Vertrags- oder Architekturänderungen. Entscheidend ist, dass das gewählte Intervall begründet und das Ergebnis protokolliert ist.
Was zählt als Test – reicht ein Schreibtischtest?
Ein Schreibtischtest kann genügen, wenn er begründet ist und über das Durchlesen hinausgeht: Szenario, Zeitachse, benannte Alternative, Datenmigrationsweg, beteiligte Rollen und ein festgehaltenes Ergebnis mit Feststellungen. Für Dienstleistungen mit hoher Kritikalität ist zusätzlich ein technischer Teilnachweis üblich, etwa ein Probeexport der Daten im vereinbarten Format. Ohne Protokoll existiert der Test aufsichtlich nicht.
Verbietet DORA die Konzentration auf einen Cloud-Anbieter?
Nein. Artikel 29 verlangt die Bewertung vor Abschluss und die Abwägung von Nutzen und Kosten alternativer Lösungen, etwa der Nutzung verschiedener Dienstleister, gemessen an den Zielen der eigenen Strategie für digitale Resilienz. Konzentration ist zulässig, wenn sie erkannt, bewertet und begründet ist. Angreifbar wird sie, wenn die Abwägung fehlt oder wenn der Ausstiegsplan die Konzentration ignoriert.
Wie hängen Ausstiegsstrategie und Übergangszeitraum im Vertrag zusammen?
Artikel 30 Absatz 3 Buchstabe f) verlangt bei kritischen oder wichtigen Funktionen einen verbindlichen angemessenen Übergangszeitraum, in dem der Dienstleister weiter erbringt, während das Institut wechselt oder auf interne Lösungen umstellt. Artikel 10 der Delegierten Verordnung (EU) 2024/1773 verlangt einen Durchführungszeitplan, der mit den vertraglichen Ausstiegs- und Beendigungsbedingungen vereinbar ist. Der Plan muss also in die vertraglich zugesagte Zeit passen – sonst ist entweder der Vertrag nachzuverhandeln oder der Plan zu straffen.
Ausstiegspläne, die einen Test überstehen
Ausstiegs- und Notfallkonzepte je Vertrag, quantifiziert, mit Testprotokoll und jährlicher Fortschreibung – und die Konzentrationsbewertung gleich mit: Unter der Servicemarke banksolve übernimmt die Eppstone Consulting GmbH die IKT-Dienstleistersteuerung als laufenden Managed Service, in Ihrer Infrastruktur, ohne Datenaustritt.
Stand: 8. September 2026. Dieser Beitrag gibt den Stand der Rechtslage wieder und ersetzt keine rechtliche Beratung im Einzelfall.