DORA-Klauseln erklärt: Anforderungen an IKT-Verträge

Die Finanzbranche wird immer digitaler – und mit der steigenden Vernetzung nehmen auch die IT-Risiken zu. Genau hier setzt der Digital Operational Resilience Act (DORA) an: eine EU-Verordnung, die verbindliche Vorgaben für die digitale Betriebsresilienz von Finanzdienstleistern macht. Im allgemeinen Sprachgebrauch werden diese Vorgaben oft als „DORA-Klauseln" bezeichnet – gemeint sind sowohl die organisatorischen Anforderungen an das Unternehmen selbst als auch die vertraglichen Pflichtinhalte für Verträge mit IT-Dienstleistern.

Dieser Leitfaden erklärt verständlich, was hinter den DORA-Klauseln steckt, welche Anforderungen sie stellen und wie Finanzdienstleister sie in der Praxis umsetzen. Für einen Überblick über die Verordnung selbst – Zweck, Anwendungsbereich und Fristen – lesen Sie unseren Leitfaden zur DORA-Verordnung; wie eine DORA-Compliance-Prüfung abläuft, erklärt unser Prüfungs-Guide.

Hintergrund: Was ist DORA?

DORA (Verordnung (EU) 2022/2554) trat am 16. Januar 2023 in Kraft und ist seit dem 17. Januar 2025 in vollem Umfang anwendbar. Die zweijährige Übergangszeit war bewusst gewählt, weil die Umsetzung für viele Finanzunternehmen aufwendig ist. DORA richtet sich an einen breiten Kreis: Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und sogar Krypto-Anbieter fallen unter den Begriff der Finanzunternehmen. Gleichzeitig erfasst die Verordnung auch externe IT-Dienstleister – insbesondere sogenannte IKT-Drittdienstleister wie Cloud-Provider, Softwareanbieter und Rechenzentren, die kritische Services für Finanzfirmen erbringen.

Das Ziel ist klar: Finanzinstitute in Europa sollen auch bei schweren IT-Störungen widerstandsfähig (resilient) bleiben. Cyberangriffe, Systemausfälle oder der Ausfall eines Dienstleisters sollen nicht mehr so leicht zu Finanzkrisen oder großflächigen Dienstleistungsunterbrechungen führen. DORA harmonisiert die Regeln für IT-Sicherheit und Betriebsstabilität EU-weit, sodass für alle Mitgliedstaaten ein einheitlicher Rahmen gilt (EIOPA). Im Kern geht es darum, IKT-Risiken besser zu managen und digitale Betriebsabläufe zu schützen – eine Lücke, die der bisherige Regulierungsrahmen offengelassen hatte.

Was sind DORA-Klauseln?

Der Begriff „DORA-Klauseln" bezieht sich auf die spezifischen Bestimmungen und Anforderungen, die in der Verordnung festgeschrieben sind. Man kann sich diese als verbindliche Regeln vorstellen, die Finanzunternehmen einhalten müssen, um digital resilient zu sein. Sie umfassen zweierlei: zum einen organisatorische und technische Vorgaben – etwa, wie ein Unternehmen sein IT-Risikomanagement aufstellen muss – und zum anderen vertragliche Klauseln, die bei der Zusammenarbeit mit IT-Dienstleistern vereinbart werden müssen.

DORA gliedert diese Anforderungen in fünf Kernbereiche:

• IKT-Risikomanagement – interne Richtlinien, Kontrollen und Verantwortlichkeiten zur Steuerung von IT-Risiken.
• Management IKT-bezogener Vorfälle – Erkennung, Behandlung und Meldung von Cybervorfällen.
• Digitale Resilienztests – regelmäßige Tests der Notfallpläne und Sicherheitsmaßnahmen, bis hin zu Penetrationstests.
• IKT-Drittparteienrisiko – Umgang mit ausgelagerten IT-Diensten und Lieferanten, inklusive Mindestinhalte für Verträge.
• Informationsaustausch – das Teilen von Cyber-Bedrohungsinformationen innerhalb der Branche.

Für Unternehmen bedeuten diese Anforderungen vor allem Handlungsbedarf: Wer im Finanzsektor aktiv ist, muss seine Compliance- und Risikomanagement-Strukturen daran ausrichten. Dabei geht es nicht nur um regulatorische Pflichterfüllung, sondern auch darum, eigene Geschäftsrisiken zu minimieren – ein Cyberangriff oder längerer IT-Ausfall kann enorme finanzielle Schäden und Reputationsverluste verursachen.

Anforderungen der DORA-Klauseln im Detail

Die Pflichten lassen sich drei Kernbereichen zuordnen: Risikomanagement und IT-Sicherheit im Unternehmen, Drittanbietermanagement und Outsourcing sowie Berichtswesen und Compliance-Monitoring.

Risikomanagement und Sicherheitsstandards

Ein solides IKT-Risikomanagement bildet das Fundament. Jedes Finanzunternehmen muss ein internes Rahmenwerk etablieren, um IT-Risiken systematisch zu steuern: klare Verantwortlichkeiten und Prozesse, um Risiken zu identifizieren, zu bewerten und geeignete Gegenmaßnahmen zu ergreifen. Technische Schutzmaßnahmen wie Firewalls, Verschlüsselung, Zugriffsbeschränkungen und regelmäßige Updates sind Grundvoraussetzung – DORA verlangt aber auch organisatorische Schritte. So sollte eine unabhängige Kontrollfunktion das Risikomanagement überwachen, und die Geschäftsleitung muss eingebunden sein: Sie legt Risikoappetit und -toleranz fest und erhält regelmäßig Berichte zur IT-Risikolage.

Ein zentraler Bestandteil ist das Incident- und Notfallmanagement. DORA schreibt einen klaren Prozess zur Meldung, Behandlung und Nachverfolgung von IT-Zwischenfällen vor. Intern muss bekannt sein, wer was zu tun hat, wenn ein Cyberangriff oder Systemausfall passiert. Unternehmen sollten Incident-Response-Pläne vorbereiten – vergleichbar mit Feuerwehrübungen für IT-Notfälle – und Wiederanlaufpläne definieren, inklusive maximal tolerierbarer Ausfallzeiten (Recovery Time Objectives) und Ausweichlösungen. Diese Pläne müssen regelmäßig getestet werden, etwa durch Fallback-Tests der Backups und Penetrationstests. Große Institute müssen zusätzlich alle drei Jahre einen Threat-Led Penetration Test (TLPT) durchführen, der einen gezielten Hackerangriff simuliert.

Kurz gesagt verlangt DORA in Sachen Risikomanagement proaktive Vorsorge statt reaktivem Reparieren. Dazu gehört auch, dass Mitarbeitende geschult sind, Bedrohungen wie Phishing zu erkennen und im Ernstfall richtig zu reagieren.

Drittanbietermanagement und Outsourcing

Ein großer Teil der DORA-Klauseln befasst sich mit dem Risiko durch IT-Drittanbieter. Finanzunternehmen arbeiten häufig mit externen Dienstleistern für Cloud-Services, Software oder Datenanalyse – und Probleme beim Dienstleister treffen das Institut direkt. Daher fordert DORA ein systematisches Drittanbietermanagement und strenge Vorgaben für Outsourcing-Verträge.

Zunächst müssen Finanzunternehmen ein Register aller IKT-Dienstleister führen. Für jeden wichtigen Anbieter ist eine Risikobewertung durchzuführen: Welche Dienstleistungen erbringt er, wie kritisch sind sie für das Geschäft, welche Sicherheitsmaßnahmen hat der Anbieter selbst? DORA verlangt außerdem, Konzentrationsrisiken zu betrachten – also zu prüfen, ob zu viele kritische Services bei einem einzigen Anbieter liegen. Kritische Funktionen sollten idealerweise auf mehrere Schultern verteilt sein, damit der Ausfall eines Dienstleisters nicht das ganze Institut lahmlegt.

Besonders die Verträge mit IT-Drittanbietern rücken in den Fokus – hier kommen die eigentlichen vertraglichen DORA-Klauseln ins Spiel. Artikel 30 DORA definiert detaillierte Mindestanforderungen an Verträge über IKT-Dienstleistungen. Bestehende Auslagerungsverträge müssen überprüft und gegebenenfalls angepasst, neue von vornherein DORA-konform gestaltet werden. Wie Sie dabei konkret vorgehen, zeigt unser Leitfaden zum DORA-konformen Anpassen bestehender Verträge.

Diese vertraglichen Klauseln gehören nach Artikel 30 in einen IKT-Vertrag:

• Schriftform und Klarheit. Verträge über IKT-Dienstleistungen müssen schriftlich (Papier oder elektronisch) festgehalten werden und klar umreißen, welche Leistungen der Dienstleister erbringt und welche Funktionen damit unterstützt werden.
• Service Level Agreements (SLAs). Die Dienstleistungsqualität muss messbar vereinbart sein – mit Leistungskennzahlen und Mindeststandards wie maximalen Reaktionszeiten oder Verfügbarkeitszielen.
• Datensicherheit und Datenschutz. Der Vertrag muss klare Vereinbarungen zur IT-Sicherheit enthalten, inklusive Schutz sensibler Daten gemäß DSGVO. Der Anbieter muss angemessene Vorkehrungen gegen unbefugten Zugriff und Cyberangriffe garantieren.
• Umgang mit Sicherheitsvorfällen. Es müssen Meldewege festgelegt sein: Der Dienstleister muss das Finanzunternehmen unverzüglich informieren, wenn bei ihm ein sicherheitsrelevantes Ereignis eintritt, und beide müssen wissen, wie sie gemeinsam reagieren.
• Prüf- und Zugriffsrechte. Das Finanzinstitut und die Aufsichtsbehörden (z. B. BaFin oder EZB) müssen beim Dienstleister Prüfungen durchführen oder Nachweise einfordern können. Der Anbieter muss Audits, Sicherheitsüberprüfungen und Einsicht in relevante Unterlagen zulassen.
• Ort der Leistungserbringung. Der Vertrag muss angeben, in welchen Ländern der Dienstleister seine Leistungen erbringt. Leistungen außerhalb der EU/des EWR sind heikel – hier kann die Aufsicht sogar verlangen, dass solche Auslagerungen beendet werden.
• Kündigungsrechte und Ausstiegsstrategien. Es müssen Kündigungsrechte vereinbart sein, die eine Vertragsbeendigung erlauben, wenn der Dienstleister Vorgaben nicht einhält oder die Aufsicht es verlangt. Zusätzlich braucht das Finanzunternehmen einen Ausstiegsplan, um die Dienstleistung notfalls anderweitig zu beziehen oder selbst zu übernehmen.
• Weitergabe an Unterauftragnehmer. Setzt der Dienstleister Subunternehmer ein, muss vertraglich sichergestellt sein, dass alle DORA-Anforderungen an diese weitergegeben werden – und ggf., dass das Finanzunternehmen einem Subunternehmer vorab zustimmen muss.
• Beteiligung an Resilienz-Übungen. Kritische Anbieter müssen sich an Sensibilisierungsprogrammen und an den bedrohungsorientierten Penetrationstests (TLPT) des Finanzunternehmens beteiligen.

Diese Vorgaben zeigen: Auslagerungsverträge werden durch DORA deutlich umfangreicher und spezifischer. Für große Banken mit Hunderten oder Tausenden IT-Verträgen ist die Überarbeitung ein Mammutprojekt. Viele Institute verfolgen deshalb einen risikobasierten Ansatz – zuerst die kritischsten Verträge aktualisieren, dann die übrigen nach und nach. So bleibt am Ende kein blinder Fleck in der IT-Lieferkette.

Berichtswesen und Compliance-Monitoring

Neben Risikomanagement und Vertragsgestaltung verlangt DORA ein umfassendes Berichtswesen und fortlaufendes Monitoring. Institute müssen die Einhaltung ihrer Maßnahmen laufend überwachen und dokumentieren.

Ein zentrales Element ist die Meldepflicht schwerer IT-Zwischenfälle. Erleidet ein Finanzdienstleister einen größeren ICT-Vorfall – etwa einen Cyberangriff, der wichtige Systeme lahmlegt –, muss er dies der zuständigen Aufsichtsbehörde zeitnah anzeigen. DORA definiert, was als „major incident" gilt, und schreibt genaue Meldewege und Fristen vor: typischerweise zunächst eine Sofortmeldung mit ersten Informationen, später ein ausführlicher Bericht mit Ursachenanalyse und Gegenmaßnahmen. EU-weit einheitliche Formate sorgen dafür, dass die Aufsicht schnell einen Überblick über die Lage bekommt und Trends – etwa eine Angriffswelle auf Banken – erkennen kann.

Doch das Berichtswesen beschränkt sich nicht auf Störfallmeldungen. Unternehmen müssen intern und gegenüber der Aufsicht nachweisen, dass sie die DORA-Anforderungen einhalten – etwa durch einen jährlichen Bericht an die Geschäftsführung zur IT-Risikolage. Die Aufsicht kann Risikoanalysen, Testberichte oder das Vertragsregister anfordern. Dokumentation ist somit das A und O: Policies, Prozesse, Verträge, Vorfallsprotokolle und Testergebnisse sollten vollständig und aktuell vorliegen. Zum Monitoring gehört auch, Abweichungen und Schwachstellen zu erkennen und zu beheben – viele Institute verfolgen dafür interne Kennzahlen oder richten dedizierte DORA-Gremien ein. Da es keine offizielle Übergangsfrist über den 17. Januar 2025 hinaus gibt, können die nationalen Aufseher bei Verstößen mit Auflagen, Sanktionen oder Bußgeldern eingreifen.

Umsetzung der DORA-Klauseln in der Praxis

Wie setzt man diese Anforderungen konkret um? Bewährt hat sich ein Vorgehen in drei Phasen: Analyse, Implementierung und Verankerung.

1. Vorbereitung und Analyse

Am Anfang steht die Bestandsaufnahme. Eine Gap-Analyse stellt bestehende Prozesse, Richtlinien und Verträge den DORA-Anforderungen gegenüber: Deckt das IT-Risikomanagement alle geforderten Punkte ab? Entspricht das Incident-Management den Meldepflichten? Enthalten die Auslagerungsverträge bereits Klauseln zu Sicherheitsvorfällen, Audit-Rechten und Ausstiegsstrategien? Eine strukturierte DORA-Checkliste hilft, diese Prüfung systematisch abzuarbeiten.

Wichtig ist, früh alle Beteiligten einzubinden – IT, Risikomanagement, Compliance, Recht und Einkauf. Gemeinsam entsteht eine Prioritätenliste: Welche Lücken sind kritisch und müssen sofort geschlossen werden? Teil der Vorbereitung ist außerdem, die kritischen Funktionen und Assets zu identifizieren (etwa Zahlungsverkehr oder Online-Banking) sowie eine vollständige Liste aller IKT-Drittanbieter zu erstellen – diese fällt erfahrungsgemäß länger aus als erwartet.

2. Implementierung von Maßnahmen

Auf Basis der Analyse folgt die konkrete Umsetzung, meist parallel in mehreren Bereichen:

• Richtlinien und Prozesse aktualisieren. Interne Policies – IT-Sicherheitsrichtlinie, Notfallhandbuch, Auslagerungsrichtlinie – werden DORA-konform überarbeitet, inklusive definierter Incident-Klassifizierung und Meldewege.
• Technische Maßnahmen umsetzen. Wo die Analyse Lücken zeigt, folgen Upgrades: besseres Logging und Monitoring, stärkere Netzwerksicherheit, Verschlüsselung sensibler Daten sowie getestete Backup- und Wiederanlaufstrukturen.
• Verträge anpassen. Die aufwendigste Aufgabe ist die Überarbeitung der Auslagerungsverträge. Standard-Vertragsklauseln oder Nachtragsdokumente, die man allen Dienstleistern zukommen lässt, machen das effizient; einige Branchenverbände stellen Musterklauseln bereit. Digitale Vertragsmanagement-Systeme helfen, Hunderte Verträge auf fehlende Klauseln zu durchsuchen.
• In bestehende Prozesse integrieren. DORA sollte kein einmaliges Projekt bleiben: Bei neuen IT-Projekten wird ab sofort geprüft, ob externe Anbieter involviert sind – und falls ja, gleich ein DORA-konformer Vertrag aufgesetzt.

Sinnvoll ist eine Schritt-für-Schritt-Vorgehensweise mit schnellen Erfolgen statt eines Big Bang. Maßnahmen mit langer Vorlaufzeit – etwa Verhandlungen mit großen IT-Konzernen – sollten früh gestartet werden, da diese Anbieter erfahrungsgemäß viel Abstimmungszeit brauchen.

3. Schulung und Verankerung

Die beste Richtlinie nützt wenig, wenn die Mitarbeitenden sie nicht kennen. Schulung und Sensibilisierung sind daher essenziell – vom IT-Administrator bis zum Vorstand. Regelmäßige Awareness-Trainings helfen, Phishing zu erkennen und Vorfälle richtig zu melden. DORA verlangt zudem, dass kritische IKT-Dienstleister in gewissem Rahmen an solchen Programmen teilnehmen.

Auch die Einbindung des Managements zählt: Führungskräfte müssen verstehen, warum die Maßnahmen wichtig sind – nicht zuletzt, weil Vorstände und Aufsichtsräte bei verletzten regulatorischen Pflichten haftungsrechtlich geradestehen. Schließlich gehört fortlaufendes Monitoring dazu: interne Audits, stichprobenartige Prüfungen neuer Verträge und Feedback-Schleifen, die Schwachstellen in der Umsetzung früh aufdecken. Ziel ist eine Kultur der digitalen Resilienz, in der IT-Risikomanagement nicht nur Sache der IT-Abteilung ist.

Typische Herausforderungen – und wie man ihnen begegnet

Die Umsetzung ist kein Selbstläufer. Diese Hürden begegnen Finanzunternehmen am häufigsten:

• Umfang und Komplexität. DORA umfasst zahlreiche Einzelanforderungen über hunderte Seiten Regulierungstext und technische Standards. Schon der Überblick ist anspruchsvoll. Lösung: risikobasiert priorisieren – zuerst das, was bei einer Prüfung sofort negativ auffiele, etwa kritische Vertragsklauseln und Meldewege.
• Ressourcen und Kosten. Neue Sicherheitssysteme, Berater für Pen-Tests und Personal für die Vertragsprüfung kosten Geld – gerade für kleinere Institute eine Belastung. Lösung: externe Unterstützung und Software-Werkzeuge nutzen, die manuelle Arbeit abnehmen (etwa bei Vertragsanalyse und Risiko-Monitoring).
• Abhängigkeit von Drittanbietern. Die beste Vertragsklausel hilft nichts, wenn der Partner nicht mitzieht. Manche großen Provider reagieren langsam oder zögern bei umfangreichen Änderungen. Lösung: proaktiv auf die wichtigsten Anbieter zugehen, DORA-Readiness abfragen und eigene Vertragsnachträge zuerst auf den Tisch legen, um die Diskussionsgrundlage zu prägen.
• Organisatorische Änderungen. DORA verlangt etwa eine unabhängige Risiko-Kontrollfunktion und reibungslose Zusammenarbeit zwischen IT, Risiko, Recht und Beschaffung. Lösung: klare Rollen definieren und Silodenken früh adressieren.

Wichtig ist die Grundhaltung: DORA-Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Verbesserungsprozess. Die Bedrohungslage im Cyberraum ändert sich ständig, und Regulatoren konkretisieren die technischen Standards (RTS/ITS) laufend weiter. Ein etablierter Prozess, um Lessons Learned auszuwerten und neue Risiken – etwa aus KI oder Cloud-Technologien – früh zu bewerten, ist daher entscheidend.

Wie Vertragsmanagement die Umsetzung erleichtert

Der aufwendigste Teil der DORA-Klauseln – die Anpassung und laufende Überwachung der IKT-Verträge – hängt unmittelbar davon ab, wie gut Sie Ihre Anbieterverträge verwalten. Ein einzelnes Finanzunternehmen kann Hunderte von Lieferantenverträgen halten, unterzeichnet zu unterschiedlichen Zeitpunkten und nach unterschiedlichen Vorlagen. Einem Prüfer nachzuweisen, dass jeder Vertrag mit einem kritischen Anbieter die Artikel-30-Anforderungen erfüllt – und die zu finden, die es nicht tun –, ist genau das, wofür strukturiertes Compliance-Management für Verträge gebaut ist: ein zentrales, durchsuchbares Repository mit Verpflichtungsverfolgung, Audit-Trails und automatischen Erinnerungen an jede Verlängerung, Prüfung und Meldefrist.

Häufige Fragen

Was sind DORA-Klauseln?

„DORA-Klauseln" ist die gebräuchliche Bezeichnung für die Anforderungen der EU-Verordnung DORA an Finanzunternehmen und ihre IT-Dienstleister. Gemeint sind sowohl organisatorische Vorgaben (etwa zum IKT-Risikomanagement) als auch die vertraglichen Pflichtinhalte, die nach Artikel 30 in Verträge über IKT-Dienstleistungen aufgenommen werden müssen.

Was verlangt Artikel 30 DORA für IKT-Verträge?

Artikel 30 legt Mindestinhalte für IKT-Dienstleistungsverträge fest: klare Leistungsbeschreibung und Schriftform, Service Level Agreements, Datensicherheits- und Datenschutzvereinbarungen, Meldewege für Sicherheitsvorfälle, Prüf- und Audit-Rechte, Angaben zum Ort der Leistungserbringung, Kündigungsrechte und Ausstiegsstrategien sowie Regeln zur Weitergabe an Unterauftragnehmer.

Seit wann gelten die DORA-Anforderungen?

DORA trat am 16. Januar 2023 in Kraft und ist seit dem 17. Januar 2025 in vollem Umfang anwendbar. Es gibt darüber hinaus keine offizielle Übergangsfrist – Finanzunternehmen müssen die Anforderungen erfüllen und audit-bereit sein.

Für wen gelten die DORA-Klauseln?

Sie gelten für Finanzunternehmen in der EU – Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister und Krypto-Anbieter – sowie mittelbar für die IKT-Drittdienstleister (Cloud-Provider, Softwareanbieter, Rechenzentren), die kritische Services für diese Unternehmen erbringen.

Müssen bestehende Verträge angepasst werden?

Ja. Bestehende Auslagerungsverträge müssen überprüft und, wo sie die Artikel-30-Anforderungen nicht erfüllen, angepasst oder durch Nachträge ergänzt werden. Wegen des Umfangs empfiehlt sich ein risikobasierter Ansatz – zuerst die Verträge mit den kritischsten Dienstleistern. Wie das konkret gelingt, zeigt unser Leitfaden zum Anpassen von Verträgen an DORA.