DORA Artikel 28 und 30: Was im Vertrag stehen muss
Artikel 30 DORA zählt auf, was eine vertragliche Vereinbarung über IKT-Dienstleistungen mindestens enthalten muss – neun Punkte für jeden Vertrag, sechs weitere, sobald der Dienst eine kritische oder wichtige Funktion stützt. Artikel 28 regelt, was rund um den Vertrag zu geschehen hat: vorher prüfen, laufend überwachen, kündigen können, aussteigen können. Beides zusammen ergibt die Prüfliste, an der die Aufsicht Ihre Verträge misst.
Kurz gefasst: Fünfzehn Pflichtinhalte, gestaffelt nach Kritikalität. Neun gelten für jede vertragliche Vereinbarung über die Nutzung von IKT-Dienstleistungen (Artikel 30 Absatz 2), sechs kommen bei kritischen oder wichtigen Funktionen hinzu (Absatz 3). Die Verantwortung für die Einhaltung bleibt nach Artikel 28 Absatz 1 Buchstabe a jederzeit in vollem Umfang beim Finanzunternehmen – auch dann, wenn der Dienstleister nicht verhandeln will.
Zwei Artikel, zwei Aufgaben
Die beiden Vorschriften werden oft in einem Atemzug genannt, regeln aber Verschiedenes. Artikel 28 beschreibt den Prozess: Grundsätze und Verhältnismäßigkeit (Absatz 1), die Strategie für das IKT-Drittparteienrisiko und deren Überprüfung durch das Leitungsorgan (Absatz 2), das Informationsregister und die Anzeigepflichten (Absatz 3), die Prüfungen vor Vertragsschluss (Absatz 4), Mindeststandards für Informationssicherheit (Absatz 5), die risikobasierte Auditplanung (Absatz 6), die Kündigungsgründe (Absatz 7) und die Ausstiegsstrategien (Absatz 8).
Artikel 30 beschreibt das Ergebnis: die Klauseln, die im Vertragswerk stehen müssen. Zwischen beiden liegt Artikel 29, der vor jedem Abschluss für kritische oder wichtige Funktionen die Bewertung des IKT-Konzentrationsrisikos verlangt – ist der Anbieter ohne Weiteres ersetzbar, und häufen sich mehrere kritische Dienste bei demselben oder bei eng verbundenen Anbietern?
Vor der Unterschrift: die fünf Prüfungen nach Artikel 28 Absatz 4
Vor Abschluss einer vertraglichen Vereinbarung über die Nutzung von IKT-Dienstleistungen muss das Finanzunternehmen beurteilen, ob eine kritische oder wichtige Funktion betroffen ist; prüfen, ob die aufsichtsrechtlichen Bedingungen erfüllt sind; alle relevanten Risiken ermitteln und bewerten, einschließlich eines möglichen Beitrags zum IKT-Konzentrationsrisiko nach Artikel 29; der gebotenen Sorgfalt bei der Auswahl nachkommen; und mögliche Interessenkonflikte ermitteln und bewerten.
Hinzu kommt eine Pflicht, die im Tagesgeschäft am häufigsten übersehen wird: Nach Artikel 28 Absatz 3 unterrichtet das Institut die zuständige Behörde zeitnah über jede geplante vertragliche Vereinbarung über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen – und ebenso, wenn eine Funktion kritisch oder wichtig geworden ist. Das ist keine Jahresmeldung, sondern ein laufender Anlass.
Die fünfzehn Pflichtinhalte im Überblick
Die folgende Übersicht folgt der Reihenfolge des Verordnungstextes. Die Spalte rechts zeigt, ob die Klausel in jedem IKT-Vertrag stehen muss oder nur bei Diensten, die eine kritische oder wichtige Funktion stützen.
| Bestimmung | Gegenstand | Was der Vertrag regeln muss | Geltung |
|---|---|---|---|
| Art. 30 Abs. 2 a) | Leistungsbeschreibung und Untervergabe | Klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen. Zusätzlich die Angabe, ob Unteraufträge für Leistungen zulässig sind, die kritische oder wichtige Funktionen stützen – und unter welchen Bedingungen. | alle Verträge |
| Art. 30 Abs. 2 b) | Standorte | Regionen oder Länder der Leistungserbringung und der Datenverarbeitung einschließlich Speicherort, dazu die Pflicht des Dienstleisters, eine beabsichtigte Änderung vorab anzuzeigen. | alle Verträge |
| Art. 30 Abs. 2 c) | Schutzziele | Bestimmungen über Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit, einschließlich des Schutzes personenbezogener Daten. | alle Verträge |
| Art. 30 Abs. 2 d) | Datenzugang und Rückgabe | Zugang zu personenbezogenen und nicht personenbezogenen Daten bei Insolvenz, Abwicklung, Einstellung der Geschäftstätigkeit oder Vertragsende, dazu Wiederherstellung und Rückgabe in einem leicht zugänglichen Format. | alle Verträge |
| Art. 30 Abs. 2 e) | Dienstleistungsgüte | Beschreibungen der Dienstleistungsgüte einschließlich Aktualisierungen und Überarbeitungen. | alle Verträge |
| Art. 30 Abs. 2 f) | Unterstützung bei IKT-Vorfällen | Pflicht des Dienstleisters, bei einem IKT-Vorfall zu unterstützen – ohne zusätzliche Kosten oder zu vorab festgesetzten Kosten. | alle Verträge |
| Art. 30 Abs. 2 g) | Zusammenarbeit mit Behörden | Vollumfängliche Zusammenarbeit mit den für das Finanzunternehmen zuständigen Behörden und den Abwicklungsbehörden, einschließlich der von diesen benannten Personen. | alle Verträge |
| Art. 30 Abs. 2 h) | Kündigungsrechte | Kündigungsrechte und zugehörige Mindestkündigungsfristen entsprechend den Erwartungen der zuständigen Behörden und der Abwicklungsbehörden. | alle Verträge |
| Art. 30 Abs. 2 i) | Schulung und Sensibilisierung | Bedingungen für die Teilnahme des Dienstleisters an Programmen zur Sensibilisierung für IKT-Sicherheit und an Schulungen zur digitalen operationalen Resilienz nach Artikel 13 Absatz 6. | alle Verträge |
| Art. 30 Abs. 3 a) | Messbare Leistungsziele | Vollständige Beschreibungen der Dienstleistungsgüte mit präzisen quantitativen und qualitativen Leistungszielen, damit das Institut wirksam überwachen und bei Unterschreitung unverzüglich Korrekturmaßnahmen ergreifen kann. | kritisch/wichtig |
| Art. 30 Abs. 3 b) | Berichtspflichten | Kündigungsfristen und Berichtspflichten des Dienstleisters, einschließlich der Meldung aller Entwicklungen, die seine Leistungsfähigkeit wesentlich beeinträchtigen könnten. | kritisch/wichtig |
| Art. 30 Abs. 3 c) | Notfallpläne und Sicherheitsniveau | Der Dienstleister muss Notfallpläne implementieren und testen und über Maßnahmen, Werkzeuge sowie Leit- und Richtlinien für IKT-Sicherheit verfügen, die ein angemessenes Sicherheitsniveau gewährleisten. | kritisch/wichtig |
| Art. 30 Abs. 3 d) | Mitwirkung an TLPT | Verpflichtung, sich an den bedrohungsgeleiteten Penetrationstests nach Artikel 26 und 27 zu beteiligen und uneingeschränkt mitzuwirken. | kritisch/wichtig |
| Art. 30 Abs. 3 e) | Überwachung, Zugang und Audit | Recht auf fortlaufende Überwachung mit vier Bestandteilen: uneingeschränkte Zugangs-, Inspektions- und Auditrechte einschließlich Kopien vor Ort; alternative Bestätigungsniveaus, wenn Rechte anderer Kunden betroffen sind; uneingeschränkte Mitwirkung bei Vor-Ort-Prüfungen; Mitteilung von Umfang, Häufigkeit und Verfahren. | kritisch/wichtig |
| Art. 30 Abs. 3 f) | Ausstiegsstrategie | Ausstiegsstrategien mit einem verbindlichen angemessenen Übergangszeitraum: Der Dienstleister erbringt weiter, und das Institut kann in dieser Zeit zu einem anderen Anbieter wechseln oder auf interne Lösungen umstellen. | kritisch/wichtig |
Für Kleinstunternehmen sieht Artikel 30 Absatz 3 eine Erleichterung vor: Die Zugangs-, Inspektions- und Auditrechte nach Buchstabe e können auf einen unabhängigen, vom Dienstleister benannten Dritten übertragen werden. Das Institut kann von diesem Dritten jederzeit Informationen und Gewähr über die Leistung verlangen.
Die Schwelle: kritisch oder wichtig
Die Einstufung entscheidet über sechs zusätzliche Klauseln, über die Anzeigepflicht vor Abschluss, über die Ausstiegsstrategie und über die Zusatzangaben im Informationsregister. Sie ist damit der teuerste Schalter im gesamten Regelwerk – und der am schlechtesten dokumentierte. Wer die Kritikalität nicht aus einer nachvollziehbaren Methodik ableitet, kann in der Prüfung weder die Einstufung noch das Weglassen von Klauseln begründen.
Zwei Fehlerrichtungen sind gleich verbreitet. Wird zu großzügig eingestuft, entstehen Auditrechte und Ausstiegspflichten für Dienste, bei denen sie niemand ausübt, und die Verhandlungen dauern doppelt so lange. Wird zu knapp eingestuft, fehlen im Ernstfall genau die Rechte, wegen derer die Vorschrift geschrieben wurde.
Wo die Standardverträge der Anbieter regelmäßig nicht reichen
- Untervergabe ohne Bedingungen. Artikel 30 Absatz 2 Buchstabe a verlangt nicht nur die Angabe, ob Untervergabe zulässig ist, sondern auch, unter welchen Bedingungen. Ein pauschales Recht des Anbieters, Unterauftragnehmer frei auszutauschen, erfüllt das nicht. Ergänzend regelt die Delegierte Verordnung (EU) 2025/532, welche Anforderungen bei der Untervergabe von Diensten für kritische oder wichtige Funktionen gelten.
- Standorte nur als Region. Verlangt sind Regionen oder Länder der Leistungserbringung und der Datenverarbeitung einschließlich des Speicherorts, dazu die Vorab-Anzeige einer beabsichtigten Änderung. „EU/EWR“ ohne Anzeigepflicht ist zu wenig.
- Vorfallunterstützung gegen Aufwandsvergütung. Der Verordnungstext lässt zwei Varianten zu: ohne zusätzliche Kosten oder zu vorab festgesetzten Kosten. Eine Abrechnung nach Aufwand zu den jeweils gültigen Sätzen ist keine von beiden.
- Auditrechte mit Vorbehalt. Artikel 30 Absatz 3 Buchstabe e Ziffer i verlangt ausdrücklich, dass die tatsächliche Ausübung nicht durch andere vertragliche Vereinbarungen oder Umsetzungsrichtlinien behindert oder eingeschränkt wird. Ein Auditrecht, das ein Nebendokument auf einen Fragebogen im Jahr reduziert, ist damit nicht vereinbar.
- Ausstieg ohne Übergangszeitraum. Gefordert ist ein verbindlicher angemessener Zeitraum, in dem der Anbieter weiterleistet, damit das Institut wechseln oder zurückholen kann. Eine Kündigungsfrist allein leistet das nicht.
- Fehlende Mitwirkung an TLPT. Bei kritischen oder wichtigen Funktionen muss der Anbieter sich an bedrohungsgeleiteten Penetrationstests nach Artikel 26 und 27 beteiligen und uneingeschränkt mitwirken. Das steht in Standardverträgen praktisch nie.
Kündigen können, aussteigen können
Artikel 28 Absatz 7 verlangt, dass der Vertrag in vier Fällen kündbar ist: bei einem erheblichen Verstoß des Dienstleisters gegen Gesetze, sonstige Vorschriften oder Vertragsbedingungen; bei Umständen aus der laufenden Überwachung, die die Funktionserfüllung beeinträchtigen können, einschließlich wesentlicher Änderungen beim Anbieter; bei nachweislichen Schwächen im IKT-Risikomanagement des Anbieters; und wenn die zuständige Behörde das Institut infolge der Vertragsbedingungen nicht mehr wirksam beaufsichtigen kann.
Absatz 8 verlangt für kritische oder wichtige Funktionen Ausstiegsstrategien, die umfassend, dokumentiert und ausreichend getestet sind und regelmäßig überprüft werden. Das Institut muss aussteigen können, ohne seine Geschäftstätigkeit zu unterbrechen, ohne regulatorische Anforderungen zu verletzen und ohne Kontinuität und Qualität seiner Kundendienstleistungen zu beeinträchtigen. Dazu gehören alternative Lösungen, Übergangspläne und angemessene Notfallmaßnahmen.
Wie für diese Dienstleister Ausstiegspläne und die Bewertung des Konzentrationsrisikos aufgebaut werden, steht im Beitrag zu Ausstiegsstrategien und Konzentrationsrisiko.
Wie eine Umsetzung ohne Doppelarbeit aussieht
Die Angaben, die Artikel 30 in den Vertrag zwingt, sind weitgehend dieselben, die das Informationsregister nach Artikel 28 Absatz 3 abfragt: Leistung, Standorte, Funktion, Kritikalität, Kündigungsfristen, Lieferkette. Wer Vertragsprüfung und Registerpflege getrennt organisiert, erhebt dieselben Sachverhalte zweimal – und hält sie danach in zwei Ständen auseinanderlaufend.
Sinnvoller ist ein Datenbestand, aus dem beides folgt: eine Klauselprüfung, die ihre Ergebnisse strukturiert ablegt, und ein Register, das sich daraus speist. Dann ist die jährliche Meldung ein Auszug statt eines Projekts, und der Nachweis für die Prüfung liegt ohnehin vor. Wie das Register selbst aufgebaut ist, steht im Beitrag zum Informationsregister.
Häufige Fragen
Gelten die Pflichten für jeden IKT-Vertrag oder nur für Auslagerungen?
Für jede vertragliche Vereinbarung über die Nutzung von IKT-Dienstleistungen. DORA kennt den engen Auslagerungsbegriff des bisherigen Aufsichtsrechts an dieser Stelle nicht: Artikel 30 Absatz 2 gilt unterschiedslos, also auch für Softwarelizenzen mit Betrieb durch den Anbieter, für Wartungs- und Supportverträge und für Cloud-Dienste, die früher als sonstiger Fremdbezug eingestuft wurden. Die Zusatzanforderungen aus Absatz 3 kommen erst hinzu, wenn der Dienst eine kritische oder wichtige Funktion stützt.
Was passiert, wenn ein Anbieter die Klauseln nicht akzeptiert?
Dann ist der Vertrag für die betreffende Funktion nicht DORA-konform, und die Verantwortung bleibt beim Institut – Artikel 28 Absatz 1 Buchstabe a stellt ausdrücklich klar, dass die Verantwortung für die Einhaltung aller Pflichten jederzeit in vollem Umfang beim Finanzunternehmen bleibt. Praktisch bedeutet das: verhandeln, auf ein alternatives Bestätigungsniveau nach Artikel 30 Absatz 3 Buchstabe e Ziffer ii ausweichen, den Dienst aus der kritischen Funktion herauslösen oder den Anbieter wechseln. Ein Vermerk, dass der Anbieter nicht verhandeln wollte, genügt nicht.
Müssen Altverträge nachverhandelt werden?
Ja, soweit sie die Pflichtinhalte nicht abdecken. DORA sieht für Bestandsverträge keine dauerhafte Ausnahme vor. In der Praxis läuft das über Nachträge oder über die nächste ordentliche Verlängerung. Wer wartet, sollte den Zeitpunkt bewusst wählen: Der Verhandlungsspielraum ist vor einer Verlängerung deutlich größer als danach.
Reicht ein Verweis auf die Standarddokumente des Anbieters?
Nur, wenn diese Dokumente Vertragsbestandteil sind und den geforderten Inhalt tatsächlich enthalten. Sicherheitswhitepaper, Trust Center und Zertifikate sind kein Ersatz für eine vertragliche Zusage – sie sind einseitig änderbar. Artikel 30 Absatz 1 verlangt, dass Rechte und Pflichten eindeutig zugewiesen und schriftlich dargelegt werden und dass der vollständige Vertrag die Vereinbarung über die Dienstleistungsgüte umfasst.
Was ist vor dem Abschluss zu tun, nicht erst im Vertrag?
Artikel 28 Absatz 4 verlangt fünf Schritte vor der Unterschrift: die Beurteilung, ob eine kritische oder wichtige Funktion betroffen ist; die Prüfung der aufsichtsrechtlichen Bedingungen; die Ermittlung und Bewertung aller Risiken einschließlich des IKT-Konzentrationsrisikos nach Artikel 29; die gebotene Sorgfalt bei der Auswahl; und die Bewertung möglicher Interessenkonflikte. Bei kritischen oder wichtigen Funktionen kommt nach Artikel 28 Absatz 3 hinzu, dass die geplante Vereinbarung der zuständigen Behörde zeitnah anzuzeigen ist.
Verträge prüfen, ohne das Tagesgeschäft anzuhalten
Eine Klauselprüfung über den Bestand, priorisiert nach Kritikalität, mit Nachtragstexten und Verhandlungslinie je Anbieter: Unter der Servicemarke banksolve übernimmt die Eppstone Consulting GmbH die IKT-Dienstleistersteuerung als laufenden Managed Service – in Ihrer Infrastruktur, ohne Datenaustritt.
Stand: 7. September 2026. Dieser Beitrag gibt den Stand der Rechtslage wieder und ersetzt keine rechtliche Beratung im Einzelfall.