Wie wird DORA zu einem prüfbaren Angebot für IKT-Anbieter in Deutschland?

Ein Softwareanbieter verliert fast eine Ausschreibung, obwohl sein Dienst seit Jahren stabil läuft. Der Finanzkunde fragt nicht nur nach Verfügbarkeit, sondern nach Vertragsrechten, Wiederanlauf, Vorfallhilfe, Unterauftragnehmern und den Daten für sein Informationsregister. Vertrieb, Betrieb und Rechtsabteilung antworten jeweils richtig, aber nicht konsistent. Seit dem 17. Januar 2025 gilt DORA für Finanzunternehmen; ihre Verantwortung wirkt über Verträge und Prüfungen auf viele IKT-Drittdienstleister. Ein Anbieter sollte deshalb weder behaupten, pauschal „DORA-zertifiziert“ zu sein, noch jeden Kundenfragebogen als Einzelprojekt behandeln. Der sinnvolle Einstieg ist ein begrenzter Fähigkeitscheck für einen konkreten Dienst und einen konkreten Kundentyp. Er ordnet Leistungsdaten, Nachweise, Vertragsgrenzen und offene Entscheidungen. Innerhalb von dreißig Tagen kann daraus ein bezahlter Auftrag entstehen, wenn zuständige Personen und Dokumente verfügbar sind. Das Ergebnis bleibt eine belastbare Lücken- und Entscheidungsakte, keine Garantie für die regulatorische Konformität des Finanzkunden.

Ein Finanzkunde wird durch DORA zum strengeren Technik-Einkäufer, weil er IKT-Risiken, Verträge, Vorfälle, Tests und Drittparteien als zusammenhängende Betriebsverantwortung steuern muss. Der IKT-Anbieter liefert dafür dienstbezogene Tatsachen und Nachweise. Er übernimmt jedoch nicht automatisch die regulatorische Gesamtverantwortung des Finanzunternehmens.

DORA ist seit dem 17. Januar 2025 anwendbar. Die BaFin bündelt dazu Hinweise für beaufsichtigte Unternehmen; die europäische Verordnung regelt unter anderem IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und Drittparteirisiken. Das BSI grenzt DORA und NIS 2 für Deutschland ein. Für den Anbieter ist entscheidend, welche Leistung der Finanzkunde tatsächlich bezieht und welche Geschäftsfunktion davon abhängt.

Die erste Bestandsaufnahme folgt deshalb dem Dienst, nicht der Unternehmensbroschüre. Sie hält Leistungsumfang, Betriebsorte, Datenarten, Wiederanlauf, Support, Unterauftragnehmer und Vertragsstand zusammen. Erst dann lässt sich prüfen, welche Antwort bereits belegt, welche nur behauptet und welche noch eine Entscheidung ist.

Ein IKT-Anbieter ist in DORA zunächst Lieferant einer genau beschriebenen IKT-Leistung. Seine Pflichten ergeben sich aus seiner tatsächlichen Rolle, den Verträgen, möglichen aufsichtlichen Einstufungen und anderem anwendbarem Recht. Eine allgemeine Selbsterklärung als „DORA-konform“ ersetzt weder die Prüfung des Dienstes noch die Verantwortung des Finanzkunden.

Eine Rollenkarte unterscheidet direkten Vertragspartner, Unterauftragnehmer, konzerninternen Anbieter und Betreiber einzelner Komponenten. Sie zeigt außerdem, ob der Dienst eine kritische oder wichtige Funktion unterstützt. Diese Einordnung trifft der Finanzkunde in seinem Kontext; der Anbieter muss die benötigten Fakten rechtzeitig, konsistent und nachvollziehbar liefern.

Die Grenze gehört in jedes Angebot: Der Anbieter prüft seine Lieferfähigkeit und Vertragsdaten, nicht die vollständige DORA-Konformität des Kunden. Wenn eine Frage Rechtsauslegung, aufsichtsrechtliche Einstufung oder eine kritische Funktion betrifft, wird sie mit Eigentümer und Frist zur spezialisierten Prüfung übergeben.

Ein verlässliches Informationsregister entsteht, wenn Vertrags-, Dienst-, Gesellschafts-, Standort- und Unterauftragnehmerdaten einer eindeutigen Leistung zugeordnet werden. Der IKT-Anbieter sollte dieselben Begriffe und Kennungen in Vertrieb, Vertrag und Betrieb verwenden. Fehlende Felder werden als Lücke markiert, nicht durch plausible Annahmen ersetzt.

Das Register ist kein einmaliger Fragebogen. Vertragsänderung, neuer Betriebsort, anderer Unterauftragnehmer oder geänderte Funktion können eine Aktualisierung auslösen. Der Anbieter braucht daher einen Eigentümer und einen internen Änderungsweg, bevor er eine laufende Aktualität verspricht.

Vertrieb und Betrieb müssen Leistungsbeschreibung, Servicelevel, Sicherheit, Vorfallhilfe, Zugangs- und Prüfungsrechte, Unterauftragnehmer, Datenorte, Kontinuität, Kündigung und Ausstieg gemeinsam beherrschen. Jede Zusage braucht einen betrieblichen Eigentümer. Eine Vertragsklausel ohne lieferbaren Prozess schafft kein DORA-Nachweis, sondern ein zusätzliches Risiko.

Ein Klauselblatt verbindet Anforderung, zugesagte Leistung, Nachweis, verantwortliche Rolle und Ausnahme. Vertrieb sieht dadurch früh, welche Sonderwünsche Preis, Kapazität oder Architektur verändern. Betrieb erkennt, welche Zusage im Ereignisfall tatsächlich ausgelöst wird. Die Rechtsprüfung bleibt dort erforderlich, wo Text und Haftungswirkung ausgelegt werden müssen.

Ein IKT-Anbieter beweist Wiederherstellung durch definierte Abhängigkeiten, Wiederanlaufziele, getestete Schritte, dokumentierte Ergebnisse und behandelte Abweichungen. Eine hohe Verfügbarkeitszahl sagt nicht, ob Daten, Identitäten, Schnittstellen und Menschen nach einem schweren Ausfall rechtzeitig zusammenfinden. DORA-relevante Kunden brauchen den Nachweis für den konkreten Dienst.

Ein guter Testbericht nennt Szenario, Ausgangslage, Zeitstempel, beteiligte Systeme, erwartetes Ziel, beobachtetes Ergebnis und Folgemaßnahme. Er veröffentlicht keine erfundene Erfolgsquote. Wo noch kein Kundentest existiert, bleibt die Aussage eine Prüfplanung. Das schützt mehr als eine schön formulierte Resilienzbehauptung.

Ein Finanzkunde verlangt bei Vorfällen schnelle, entscheidungsfähige Informationen und bei Unterauftragnehmern Transparenz über relevante Abhängigkeiten und Änderungen. Der IKT-Anbieter benötigt dafür erreichbare Kontakte, Zeitstempel, abgestufte Meldungen, genehmigte Kommunikationswege und eine Lieferkette, deren Grenzen bekannt sind. Vertraulichkeit und Zuständigkeit bleiben ausdrücklich geregelt.

Nach der Hälfte der Lektüre hilft der Vergleich mit der NIS-2-Selbsteinordnung: Beide Themen verlangen Lieferketten- und Vorfallnachweise, folgen aber verschiedenen Rechtsrollen. Für strukturierte Geschäftsprozesse zeigt die E-Rechnungs-Lektüre, warum konsistente Stamm- und Prozessdaten auch außerhalb der IT-Sicherheit kaufentscheidend werden.

Ein DORA-Fähigkeitscheck wird zum ersten Auftrag, wenn er einen Dienst, einen Kundentyp, feste Unterlagen und klare Abnahmen umfasst. Er liefert Datenlandkarte, Nachweislücken, priorisierte Maßnahmen und eine Go-, Partner- oder Stoppentscheidung. Ein Abschluss innerhalb von dreißig Tagen bleibt an vollständige Unterlagen und verfügbare Fachrollen gebunden.

Der Zeitplan ist eine Ablaufvorlage, kein Leistungsbenchmark. Preis und Dauer hängen von Dienstzahl, Vertragsvarianten, Lieferkettentiefe und Dokumentenqualität ab. Zusätzliche Rechtsgutachten, technische Tests oder Vertragsverhandlungen werden separat entschieden. So bleibt der Einstieg kaufbar, ohne eine offene Transformation zu verstecken.

Kaufbereite Finanzunternehmen zeigen konkrete Signale: Ausschreibung, Vertragsverlängerung, Registerbereinigung, Auditabweichung, neuer kritischer Dienst oder Wechsel eines Unterauftragnehmers. Der IKT-Anbieter kombiniert Fachsuche, gezielte Ansprache, Partnerempfehlungen, Kundenentwicklung und Veranstaltungen. Jeder Kanal wird an qualifizierten, bezahlten Aufträgen statt bloßer Reichweite gemessen.

Die wirtschaftliche Messung beginnt bei erreichbaren Zielkonten, geht über vollständig qualifizierte Fälle zu bezahlten Checks und Folgeaufträgen. Modellierte Erfolgsquoten werden nicht als Ergebnis ausgegeben. Kontinuität entsteht nur, wenn Änderungen, Tests oder Kundenentscheidungen regelmäßig neue fachliche Arbeit auslösen.

Ein verantwortbares DORA-Leistungsversprechen endet bei der Aufsichtseinstufung, vollständigen Rechtskonformität des Finanzkunden, unbekannten Unterauftragnehmern und ungeprüfter Wiederherstellung. In diesen Fällen stoppt der Anbieter, begrenzt den Scope oder bindet qualifizierte Rechts- und Technikpartner ein. Offene Punkte bleiben sichtbar und erhalten keine erfundene grüne Bewertung.

Maßgeblich sind die DORA-Verordnung der Europäischen Union, die offiziellen Hinweise der Europäischen Kommission, die DORA-Informationen der BaFin und die gemeinsame Einordnung von BSI und BaFin zu DORA und NIS 2. Alle Grundlagen werden vor Veröffentlichung auf Aktualität geprüft; ihre vollständigen Titel und Adressen stehen im privaten Brief und Bundle.

Veröffentlichung und Übersetzung: HOLD. Vor einer Freigabe sind Rechtsstand, Quellenzugriff, Fachgrenzen, interne Links, CTA-Tracking und die menschliche H3-Entscheidung erneut zu prüfen. Dieser Text ist keine Rechtsberatung und verspricht weder Aufsichtsergebnis noch Kundenerfolg.