DORA — die Verordnung (EU) 2022/2554, anwendbar seit dem 17.01.2025 — adressiert nicht nur Systeme, sondern ausdrücklich auch Menschen und Dienstleister: Finanzunternehmen müssen ihre Beschäftigten und die Geschäftsleitung zu digitaler Resilienz schulen (Art. 13 Abs. 6) und IKT-Drittdienstleister vor Vertragsschluss einer Due Diligence unterziehen (Art. 28). Die Verantwortung für ausgelagerte IKT-Leistungen bleibt dabei stets beim Finanzunternehmen — sie lässt sich vertraglich nicht abschieben.
Der Faktor Mensch: Schulungspflichten nach Art. 13 Abs. 6
DORA versteht digitale operationale Resilienz nicht als reines IT-Thema. Nach Art. 13 Abs. 6 der Verordnung müssen Finanzunternehmen Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz in ihre Personalschulungen aufnehmen — verpflichtend für alle Beschäftigten und für die Mitglieder der Geschäftsleitung. Das ist bemerkenswert: Die Leitungsebene ist nicht Adressat von Berichten, sondern selbst Schulungsteilnehmer. Umfang und Tiefe der Schulungen dürfen sich dabei an der Rolle orientieren — wer IKT-Risiken verantwortet oder mit kritischen Systemen arbeitet, benötigt mehr als eine jährliche Pflichtunterweisung. Wer Resilienz ernst nimmt, muss also beim Personal ansetzen, nicht erst bei der Technik — ein Gedanke, der sich mit den personalbezogenen Sicherungsmaßnahmen des Aufsichtsrechts deckt, etwa der Zuverlässigkeitsprüfung nach § 6 GwG.
Drittparteienrisiko: Due Diligence und Register nach Art. 28
Kernstück des Drittparteien-Kapitels ist Art. 28. Er verlangt von Finanzunternehmen unter anderem:
- das IKT-Drittparteienrisiko als integralen Bestandteil des IKT-Risikomanagements zu steuern — in eigener Verantwortung, auch bei vollständiger Auslagerung,
- ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern zu führen und aktuell zu halten,
- vor Vertragsschluss eine Bewertung des Dienstleisters vorzunehmen: Eignung, Risiken, Konzentrationsrisiken und mögliche Interessenkonflikte,
- nur mit Dienstleistern zu kontrahieren, die angemessene Standards für Informationssicherheit einhalten.
Die vorvertragliche Due Diligence ist damit keine Empfehlung, sondern Pflicht. Wer sie ernsthaft betreibt, braucht denselben strukturierten Prüfprozess wie bei Personen: Registerdaten, wirtschaftlich Berechtigte (UBO), Sanktionslisten, Adverse Media — nachvollziehbar dokumentiert statt informell recherchiert. Denn im Prüfungs- oder Störfall wird die Aufsicht nicht fragen, ob der Dienstleister seriös wirkte, sondern welche Tatsachen das Finanzunternehmen vor Vertragsschluss erhoben, bewertet und dokumentiert hat.
Vertragsinhalte: Was Art. 30 vorschreibt
Art. 30 der Verordnung definiert Mindestinhalte für Verträge mit IKT-Drittdienstleistern — darunter klare Leistungsbeschreibungen, Regelungen zu Unterauftragnehmern, Zugangs-, Inspektions- und Auditrechte sowie Kündigungsrechte. Für die Praxis heißt das: Die Prüfung des Dienstleisters endet nicht mit der Auswahl, sondern setzt sich in der Vertragsgestaltung und in der laufenden Überwachung fort. Ein Dienstleister, der bei der Due Diligence Lücken zeigt, wird auch die vertraglichen Mitwirkungspflichten kaum zuverlässig erfüllen.
Personen und Unternehmen: ein Prüfprozess, zwei Objekte
In der Umsetzung zeigt sich, dass DORA-Due-Diligence und Personalprüfung methodisch dieselbe Aufgabe sind: eine risikobasierte, dokumentierte Integritätsprüfung — einmal bezogen auf ein Unternehmen, einmal auf eine Person. Finanzunternehmen, die bereits ein strukturiertes Mitarbeiter-Screening betreiben, können denselben Prozess auf Dienstleister und deren Schlüsselpersonal ausweiten; wer Externe mit weitreichenden Zugriffen einsetzt, sollte zusätzlich den Beitrag Externe und Interim-Manager prüfen lesen. Indicium bildet beide Prüfobjekte in einem prüffesten Report mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) ab — ab €79 pro Report, Details unter Preise.
Handlungsempfehlung
Verschaffen Sie sich zunächst Klarheit über Ihren Bestand: Ist das Informationsregister nach Art. 28 vollständig und aktuell? Existiert für jeden wesentlichen IKT-Dienstleister eine dokumentierte vorvertragliche Bewertung — oder nur ein Vertragsordner? Definieren Sie anschließend einen wiederholbaren Due-Diligence-Standard (Prüfkategorien, Prüftiefe, Turnus) und wenden Sie ihn auf Neuverträge wie auf Bestandsdienstleister an. Gleichen Sie parallel Ihre Bestandsverträge gegen die Mindestinhalte des Art. 30 ab — insbesondere Audit- und Kündigungsrechte, ohne die sich Prüfergebnisse später nicht durchsetzen lassen. So entsteht aus einer abstrakten Verordnungspflicht ein gelebter Prozess, der einer Prüfung durch die Aufsicht standhält. Für einen Einstieg in die praktische Umsetzung vereinbaren Sie gern eine Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.