Wenn deine Bank, dein Versicherer oder dein Wertpapierhaus Videokonferenzen einsetzt, um mit Kunden, mit Kolleginnen und Kollegen oder mit der Aufsicht zu sprechen, dann ist dieses Tool ein IKT-Dienst im Sinne des Digital Operational Resilience Act (DORA). Es fällt damit unter dasselbe Regime für das IKT-Drittparteienrisiko wie der Rest deiner IT. DORA nennt Videokonferenzen nicht ausdrücklich. Die Verordnung reguliert nach Funktion, nicht nach Produktkategorie, und ein Live-Videokanal, der eine kritische oder wichtige Geschäftsfunktion stützt, liegt damit klar im Anwendungsbereich. Das ist keine akademische Frage: Davon hängt ab, welche Verträge neu geschrieben, welche Registereinträge aktualisiert und welche Prozesse zur Reaktion auf Vorfälle getestet werden müssen, bevor die nächste aufsichtliche Prüfung ansteht. Dieser Artikel zeigt Schritt für Schritt, was das in der Praxis bedeutet, und enthält eine herstellerneutrale Checkliste, mit der du prüfst, ob dein eigenes Videokonferenz-Tool bereit ist.
Dieser Beitrag bietet allgemeine Informationen und keine Rechtsberatung. Kläre konkrete Pflichten mit deiner Rechts- oder Compliance-Abteilung.
Inhaltsverzeichnis
Der Digital Operational Resilience Act (DORA) ist die Verordnung (EU) 2022/2554, die seit dem 17. Januar 2025 in der gesamten EU gilt (EUR-Lex). Als Verordnung gilt sie unmittelbar in jedem Mitgliedstaat, ohne dass sie erst in nationales Recht umgesetzt werden muss. Das ist einer der Gründe, warum sie so schnell vom Gesetzestext zur Prüf-Checkliste geworden ist. Wichtig für die Praxis: Die Frist ist kein Zukunftsthema, DORA gilt bereits und lässt keinen Puffer. Gemeint ist hier übrigens die Finanzmarktregulierung der EU, nicht die gleichnamigen DevOps-Kennzahlen (DORA Metrics).
DORA deckt fünf Bereiche ab: IKT-Risikomanagement, Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, Management des IKT-Drittparteienrisikos und Vereinbarungen zum Informationsaustausch. Betroffen ist ein breites Spektrum an Finanzunternehmen, etwa Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute sowie, was neu ist, Anbieter von Krypto-Dienstleistungen und Schwarmfinanzierung, die ältere EU-Finanzregeln noch nicht erfasst hatten.
Mittelbar gilt DORA auch für die IKT-Anbieter, auf die sich diese Unternehmen stützen. Kapitel V verpflichtet Finanzunternehmen, ihre Technologie-Beziehungen zu Dritten als Teil der eigenen regulatorischen Pflicht zu steuern. Auslagern und damit abgeben lässt sich diese Pflicht nicht.
Eine Videokonferenz-Plattform, über die Onboarding-Gespräche mit Kunden, Vorstandssitzungen, die Kommunikation am Handelsplatz oder aufsichtliche Gespräche laufen, ist in der Sprache von DORA ein IKT-Dienst. Das Unternehmen, das sie liefert, wird zum IKT-Drittdienstleister, sobald ein reguliertes Finanzunternehmen sich darauf verlässt.
Die grundlegenden Pflichten zu Register und Vertrag gelten für jede IKT-Drittvereinbarung, ganz gleich, was sie stützt. Ob zusätzlich die verschärften Klauseln nach Artikel 30 Absatz 3 greifen, hängt davon ab, ob der Dienst eine „kritische oder wichtige Funktion“ stützt. Das ist kein lockerer Test nach dem Motto „kundennah gleich kritisch“.
Artikel 3 Nummer 22 definiert eine kritische oder wichtige Funktion als eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit des Unternehmens oder die Solidität oder Fortführung seiner Dienstleistungen und Tätigkeiten oder die fortlaufende Einhaltung seiner Zulassungsbedingungen erheblich beeinträchtigen würde. Entschieden wird das durch die Einstufung der Funktionen, die das Finanzunternehmen selbst nach Artikel 8 vornimmt und dokumentiert, gestützt auf die Geschäftsauswirkungsanalyse nach Artikel 11. Eine branchenweite Standardannahme reicht dafür nicht.
Eine Leitung am Handelsplatz oder ein regulierter Video-KYC-Prozess zur Fernidentifizierung ist ein starker Kandidat für dieses Etikett. Ein normaler Kundenanruf oder eine Vorstandssitzung ist ein schwächerer Kandidat und braucht eine echte Bewertung an deinen eigenen Kriterien. Größe und Bekanntheit eines Anbieters sind dabei kein Maßstab, egal ob es sich um eine Bank, einen Cloud-Anbieter oder eine spezialisierte Video-API handelt. Entscheidend ist die funktionale Abhängigkeit, bewertet und dokumentiert.
Die meisten Videokonferenz-Anbieter fallen unter den gewöhnlichen Rahmen für das Drittparteienrisiko und nicht unter das verschärfte Aufsichtsregime. Diese engere Einstufung auf EU-Ebene nehmen die Europäischen Aufsichtsbehörden nach Artikel 31 gemeinsam vor, anhand von vier Kriterien: der systemischen Wirkung eines möglichen Ausfalls des Anbieters, der systemischen Bedeutung der von ihm abhängigen Finanzunternehmen, dem Ausmaß dieser Abhängigkeit im Sektor und der Ersetzbarkeit seiner Dienste. Die Aufsichtsbehörden haben ihre erste Liste kritischer IKT-Drittdienstleister im November 2025 veröffentlicht (EBA, 18.11.2025); darauf stehen vor allem große Cloud- und Kerninfrastruktur-Anbieter, keine einzelnen Videokonferenz-Anbieter.
Das heißt aber nicht, dass eine Videokonferenz-Plattform, die tief genug in kritische Funktionen vieler Institute eingebettet ist, für die Zukunft automatisch außen vor bleibt. Maßgeblich sind die vier Kriterien aus Artikel 31, nicht die Eigenwerbung eines Anbieters. Die Bewertung landet in deinem Informationsregister, dem Verzeichnis der IKT-Drittvereinbarungen, das jedes Finanzunternehmen führen muss und das weiter unten näher beschrieben ist.
Video-Banking, also Gespräche zur Identitätsprüfung, Beratungstermine und Fern-Onboarding, wirft eine konkrete Frage auf: Wer trägt die DORA-Pflicht, wenn eine Bank eine fremde Videokonferenz-API in die eigene App einbettet? Die Antwort ist das Finanzunternehmen selbst. DORA weist die Pflicht zum Management des Drittparteienrisikos dem regulierten Haus zu, und das zugrunde liegende Technologie-Unternehmen übernimmt sie nicht. Eine Bank kann ihre Compliance-Pflicht also nicht dadurch abgeben, dass sie die Infrastruktur auslagert.
In der Praxis heißt das: Die Compliance- und Einkaufsteams der Bank brauchen Einblick in die Unterauftragsverarbeiter, die Datenstandorte und die Prozesse zur Vorfallbearbeitung des Videokonferenz-Anbieters, selbst wenn dessen Marke für den Endkunden nie sichtbar wird. Die Pflicht liegt beim einsetzenden Institut. Genau deshalb zählen die vertraglichen Bedingungen, die Dokumentation und die Transparenz des Anbieters so viel wie sein technischer Funktionsumfang.
Sobald ein Videokonferenz-Tool als IKT-Abhängigkeit erfasst ist, folgen mehrere Anforderungen direkt aus dem Gesetzestext: die Vertragsinhalte, der Registereintrag selbst, die Meldung von Vorfällen, die Resilienztests und der Ort der Datenverarbeitung. Wie DORA mit den anderen Regeln zusammenspielt, die daneben gelten können, klärt der Abschnitt weiter unten.
Artikel 30 schreibt zwei Stufen verpflichtender Vertragsklauseln vor. Jeder IKT-Vertrag braucht ein Grundgerüst, unabhängig davon, wie kritisch der Dienst ist:
Stützt der Dienst eine kritische oder wichtige Funktion, und kundennahes Video-Banking tut das oft, braucht der Vertrag zusätzlich ein strengeres Paket an Klauseln:
Ein Videokonferenz-Anbieter, der sich nicht auf Prüfrechte oder einen echten Ausstiegsplan einlassen kann, ist mehr als unbequem in der Zusammenarbeit: Sein Vertrag lässt sich so, wie er geschrieben ist, nicht compliance-fähig machen, so ausgefeilt der Rest des Dienstes auch wirkt. In der Praxis wird dieses Prüfrecht selten als vollständiges Vor-Ort-Audit jedes Jahr ausgeübt. Institute stützen sich meist auf die Kontrolldokumentation des Anbieters, auf eine unabhängige Zertifizierung oder auf ein gemeinsames Audit und halten ein vollständiges Audit für den konkreten Anlass bereit. Das vertragliche Recht selbst muss aber auf dem Papier uneingeschränkt bestehen, egal wie oft es tatsächlich gebraucht wird.
Und wichtig: Diese verschärften Klauseln gehören in den unterzeichneten Vertrag. Eine Zusage „auf Anfrage“ hilft erst dann, wenn sie es bis in die Vertragsunterlagen geschafft hat.
Artikel 28 verlangt von Finanzunternehmen ein laufend aktualisiertes Informationsregister über jeden IKT-Drittvertrag, das mindestens jährlich in einem einheitlichen Format an die zuständige Behörde übermittelt wird. Ein Videokonferenz-Tool, das für etwas Kundennahes oder Geschäftskritisches gebraucht wird, braucht einen eigenen Eintrag: wer der Anbieter ist, welche Funktion er stützt, wo Daten verarbeitet werden und wie die Vereinbarung auf Konzentrationsrisiko bewertet wurde, also auf die Gefahr, sich zu stark auf einen einzigen Anbieter zu stützen.
Bei Video wird dieser Eintrag schnell tiefer, als er aussieht. Hinter einer Konferenz-Plattform steht oft eine ganze Kette: der Cloud-Host, die TURN/STUN-Relays für den Verbindungsaufbau, ein CDN und womöglich Subdienstleister für Transkription oder KI-Funktionen. DORA erwartet, dass du diese Kette kennst und dass dein Vertrag dich über Wechsel in der Unterauftragsvergabe informiert, bevor sie passieren. Ein Anbieter, der seine eigenen Unterauftragsverarbeiter, Hosting-Standorte und den Leistungsumfang klar dokumentiert, macht die Arbeit für das Compliance-Team, das den Eintrag anlegt, deutlich schneller.
Wenn ein Videokonferenz-Tool einen schweren Ausfall oder eine Datenpanne hat, startet die eigene DORA-Meldeuhr des Finanzunternehmens, und nicht die des Anbieters. Sobald ein Vorfall als schwerwiegend eingestuft ist, gelten gestaffelte Fristen:
So legt es die Delegierte Verordnung (EU) 2025/301 fest. Ob diese Fristen eingehalten werden, hängt stark vom Anbieter ab: Einen Vorfall, den es selbst noch nicht versteht, kann ein Institut weder einstufen noch beschreiben. Genau deshalb zählt die Klausel zur Vorfallunterstützung aus Artikel 30 in der Praxis so viel wie auf dem Papier. Brauchbar ist der Anbieter, dessen Statusseite, Eskalationsweg im Support und Vorfallkommunikation schnell und präzise genug sind, um eine 4-Stunden-Uhr zu bedienen. Eine Bestätigung, die erst nach der Behebung kommt, hilft dabei nicht.
DORA verlangt von Finanzunternehmen, mit Ausnahme von Kleinstunternehmen, ein strukturiertes Testprogramm nach den Artikeln 24 bis 27, etwa Schwachstellen-Scans und szenariobasierte Tests. Hinzu kommen regelmäßige bedrohungsgeleitete Penetrationstests, mindestens alle drei Jahre, für die von ihrer zuständigen Behörde benannten Unternehmen. Diese Pflichten gelten verhältnismäßig: Der Grundsatz der Verhältnismäßigkeit aus Artikel 4 zieht sich durch die Risikomanagement-Kapitel und skaliert das Geforderte an Größe, Risikoprofil und Tätigkeit. Für kleine und nicht vernetzte Wertpapierfirmen, kleine Zahlungs- und E-Geld-Institute, bestimmte Einrichtungen der betrieblichen Altersversorgung und Kleinstunternehmen sieht Artikel 16 sogar einen vereinfachten IKT-Risikorahmen vor. Wenn du für ein kleineres Institut arbeitest, lohnt sich zuerst die Frage, welcher Rahmen überhaupt für dich gilt.
Ein Videokonferenz-Tool, das eine kritische Funktion stützt, gehört in dieses Programm: Kann das Institut tatsächlich auf ein Ersatzsystem umschalten, den Betrieb wiederherstellen oder das Tool umgehen, wenn es mitten am Handelstag oder mitten im Onboarding ausfällt? Artikel 29 verlangt zusätzlich, dass Institute das Konzentrationsrisiko bewerten, also die Gefahr, für einen Dienst ohne leicht verfügbaren Ersatz von einem einzigen Anbieter oder von dessen einziger Region abzuhängen. Ein standardbasierter Medientransport über Protokolle wie WebRTC und SRTP macht diese Frage leichter zu beantworten, weil die Gespräche selbst nicht in das proprietäre Format eines einzelnen Anbieters eingesperrt sind. Ein echter Ausstiegsplan geht aber über das Medienprotokoll hinaus: Du musst auch deine Daten exportieren können (Aufzeichnungen, Transkripte, Zusammenfassungen) und deine Integration neu aufbauen können (Webhooks, Raumkonfiguration, SDK-Code). Diesen Teil löst kein Protokollstandard, also muss eine echte Ausstiegsstrategie beides abdecken.
Finanzdaten von Kunden, die in einem Gespräch besprochen, im Chat getippt oder in einer Aufzeichnung festgehalten werden, sind genau die Art von Daten, die der IKT-Risikomanagement-Rahmen von DORA durch angemessene Verschlüsselung, Zugriffskontrollen und Transparenz über den Datenstandort geschützt sehen will. Gerade für EU-Finanzunternehmen ist es keine Kür, genau zu wissen, wo Metadaten von Gesprächen, Aufzeichnungen und Transkripte gespeichert und verarbeitet werden. Dieses Wissen fließt direkt in die Sorgfaltsprüfung und die Bewertung des Konzentrationsrisikos ein; bei der Vertragsverlängerung wird gezielt danach gefragt, selbst wenn es beim ersten Abschluss nie Thema war.
Wenn dein Anbieter oder seine Unterauftragsverarbeiter außerhalb der EU sitzen, wird dieser Punkt schärfer. Dann kommt eine Frage nach Drittland-Transfers nach DSGVO hinzu, und die Transparenz über den Datenstandort, die Artikel 30 ohnehin verlangt, wird zur Grundlage dafür, ob du den Transfer überhaupt rechtfertigen kannst. Ein Anbieter, der seine Daten in der EU verarbeitet und das klar belegt, erspart dir diese Frage von vornherein.
Ein Punkt steht neben DORA und geht in der Checkliste leicht unter: Sobald über den Videokanal Gespräche zu Wertpapiergeschäften laufen, etwa am Handelsplatz oder in der Anlageberatung, greift die Aufzeichnungspflicht aus § 83 Absatz 3 WpHG, die auf MiFID II beruht. Wertpapierdienstleistungsunternehmen müssen solche Telefon- und elektronischen Gespräche aufzeichnen und die Aufzeichnungen mindestens fünf Jahre aufbewahren; die BaFin kann die Frist verlängern (§ 83 WpHG). Für die Tool-Auswahl heißt das: Ein Konferenzsystem, das solche Gespräche trägt, muss aufzeichnen und die Aufzeichnungen revisionssicher vorhalten können. Ein Tool, das die DORA-Fragen zu Vertrag und Resilienz besteht, aber nicht aufzeichnen kann, erfüllt diese separate Pflicht trotzdem nicht.
Für die meisten deutschen Finanzunternehmen ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die zuständige Behörde im Sinne von DORA, bei der Bankenaufsicht gemeinsam mit der Deutschen Bundesbank (BaFin zu DORA). Die BaFin nimmt deine Erstmeldung bei einem schwerwiegenden Vorfall entgegen, sie erhält dein Informationsregister, und sie benennt die Unternehmen, die zu bedrohungsgeleiteten Penetrationstests verpflichtet sind. In der ersten Aufsichtsphase lag der Schwerpunkt vor allem auf dem Einsammeln der Register und auf Probeläufen, auch weil einige technische Standards erst im Lauf des Jahres 2025 final wurden.
Für die Praxis heißt das: Wenn du dein Videokonferenz-Tool als IKT-Abhängigkeit erfasst, erfasst du es für die Prüfung durch die BaFin. Die vier Stunden bis zur Erstmeldung und der Registereintrag bleiben keine abstrakten EU-Pflichten: Genau das will eine deutsche Aufsicht bei der nächsten Prüfung konkret sehen. Das Register ist dabei auch der Ort, an dem ein nicht DORA-fähiger Vertrag sichtbar wird, denn es listet jede IKT-Drittvereinbarung mitsamt ihrer Bewertung offen auf.
Was passiert bei Verstößen? DORA verpflichtet die zuständigen Behörden, über die nötigen Aufsichts-, Untersuchungs- und Sanktionsbefugnisse zu verfügen (Artikel 50). In Deutschland hat das Finanzmarktdigitalisierungsgesetz (FinmadiG) die nationalen Begleitregelungen geschaffen und der BaFin die Grundlage gegeben, bei Verstößen Anordnungen zu treffen und Bußgelder zu verhängen. Für ein Altsystem gibt es dabei keinen Bestandsschutz: DORA gilt bereits, und ein Vertrag, der die Anforderungen heute nicht erfüllt, löst eine aktive Pflicht zum Nachbessern oder zum Ausstieg aus.
Über die Einstufung als kritischer IKT-Drittdienstleister auf EU-Ebene entscheidet dagegen nicht die BaFin, sondern gemeinsam die Europäischen Aufsichtsbehörden über eine federführende Überwachungsbehörde.
Diese Regelwerke konkurrieren nicht, sie schichten sich übereinander, und in einem Fall lösen sie einander sogar ab. Die DSGVO regelt, wie personenbezogene Daten in einem Gespräch verarbeitet werden und wohin sie rechtmäßig übermittelt werden dürfen. Auch Barrierefreiheitsregeln nach dem European Accessibility Act (EAA) können für die Konferenzoberfläche und den Live-Kommunikationskanal gelten, je nach Dienst und Unternehmen; das ist eine engere Frage, die vom Einzelfall abhängt. DORA regelt, ob das Finanzunternehmen, das das Tool einsetzt, das operationale Risiko dieser Abhängigkeit angemessen gesteuert hat, von den Vertragsbedingungen über die Reaktion auf Vorfälle bis zur Ausstiegsplanung.
Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) liegt wieder anders. Finanzunternehmen, die zugleich als wesentliche oder wichtige Einrichtungen unter NIS-2 gelten, könnten eine vierte Compliance-Schicht über DORA, DSGVO und EAA erwarten. So wirken die beiden Regelwerke aber nicht zusammen. Artikel 1 Absatz 2 von DORA macht die Verordnung für die Zwecke von Artikel 4 der NIS-2-Richtlinie zu einem sektorspezifischen EU-Recht. Für Finanzunternehmen im Anwendungsbereich verdrängt DORA damit die Cybersicherheits-Risikomaßnahmen (Artikel 21) und die Meldepflichten (Artikel 23) von NIS-2, statt sie zu ergänzen. Wenn deine Organisation schon ein NIS-2-Risikoregister und einen Prozess zur Vorfallreaktion führt, übernimmt DORA dieses Feld für deine Finanzeinheit.
Eine einzige Entscheidung für einen Videokonferenz-Anbieter muss trotzdem eine Datenschutzfrage, eine Frage der operationalen Resilienz und womöglich eine Frage der Barrierefreiheit beantworten. Das ist der Grund, warum die Beschaffung von Konferenz-Tools im Finanzsektor länger dauert und mehr Beteiligte bindet als die gleiche Entscheidung in einer nicht regulierten Branche.
Das Richtige fängt beim Registereintrag und beim Vertrag an, und nicht bei der Funktionsliste. Prüfe jeden Videokonferenz-Anbieter, ob bestehend oder in der Auswahl, an diesen Fragen, bevor du ihn in dein Register aufnimmst.
Ein Anbieter, der bei den Fragen zu Prüfrechten oder Ausstiegsstrategie ins Straucheln gerät, wird bei deiner nächsten aufsichtlichen Prüfung am ehesten zur Beanstandung.
Die Videokonferenz-API und das SDK von Digital Samba laufen auf europäischer Infrastruktur, in der EU gehostet, mit klar dokumentierten Orten der Datenverarbeitung. Das ist der Ausgangspunkt, nach dem die meisten Teams für die Sorgfaltsprüfung im Finanzsektor zuerst fragen. Unser Standardvertrag deckt die Grundklauseln nach Artikel 30 ab, darunter eine klare Dienstbeschreibung, geregelte Unterauftragsverarbeiter und Mitwirkung bei der Reaktion auf Vorfälle.
Zwei der verschärften Klauseln nach Artikel 30 Absatz 3 nehmen wir für regulierte Kunden auf Anfrage in den Vertrag auf, statt sie im Standardvertrag vorzusehen: uneingeschränkte Prüfrechte, die bis zu dir, zu einem von dir benannten Dritten und zu deiner zuständigen Behörde reichen, sowie eine Ausstiegsstrategie mit verpflichtender Übergangsfrist. Wenn deine Einheit sie braucht, sprich das in der Beschaffung an, damit es in den unterzeichneten Vertrag kommt.
Zu Zertifizierungen: Digital Samba betreibt ein Informationssicherheits-Managementsystem (ISMS), das an ISO 27001:2022 ausgerichtet ist. Eine akkreditierte ISO-27001-Zertifizierung oder ein abgeschlossenes SOC-2-Type-II-Audit haben wir noch nicht; daran arbeiten wir.
Kein Anbieter kann einem Finanzunternehmen ein fertiges DORA-Compliance-Zeugnis in die Hand drücken, denn die regulatorische Pflicht liegt beim regulierten Haus selbst. Was wir bieten, ist eine Grundlage aus Infrastruktur und Vertrag, die das Füllen eines Informationsregisters, das Verhandeln der Artikel-30-Bedingungen und das Beantworten einer Frage zum Konzentrationsrisiko einfacher macht als ein Fundament, das in erster Linie für Verbraucher- oder KMU-Nutzung gebaut ist. Wie das für den Sektor konkret aussieht, zeigt unser Leitfaden zu Videokonferenzen für Finanzdienstleistungen.
Ja. DORA reguliert nach Funktion und nennt keine Produktkategorien. Jedes Konferenz-Tool, auf das sich ein reguliertes Haus stützt, zählt daher als IKT-Dienst, und die Grundpflichten zu Register und Vertrag gelten dafür. Ob zusätzlich die strengeren Regeln nach Artikel 30 Absatz 3 greifen, hängt davon ab, ob das Tool eine kritische oder wichtige Funktion stützt. Das ist ein Wesentlichkeitstest nach Artikel 3 Nummer 22, den deine eigene Einstufung nach Artikel 8 klären muss. Dass ein Gespräch kundennah ist, genügt dafür allein nicht.
Ja. Jeder externe Technologie-Anbieter, der einem Finanzunternehmen digitale oder IT-Dienste liefert, ist ein IKT-Drittdienstleister nach DORA. Das Finanzunternehmen muss diese Beziehung nach den Artikeln 28 bis 30 steuern, unabhängig von der Größe des Anbieters.
Mindestens eine klare Dienstbeschreibung, Transparenz über den Datenstandort, Bestimmungen zu Datenschutz und Sicherheit, Vorfallunterstützung durch den Anbieter und Kündigungsrechte. Stützt der Dienst eine kritische oder wichtige Funktion, braucht der Vertrag zusätzlich messbare SLAs, uneingeschränkte Prüfrechte, engere Grenzen für die Unterauftragsvergabe, die Teilnahme an deinen bedrohungsgeleiteten Penetrationstests und eine Ausstiegsstrategie mit Übergangsfrist.
Ein kritischer IKT-Drittdienstleister ist ein IKT-Anbieter, den die Europäischen Aufsichtsbehörden als systemisch bedeutsam für das EU-Finanzsystem einstufen, gemessen am Ausmaß eines möglichen Ausfalls, an der Bedeutung der abhängigen Unternehmen, an der sektorweiten Abhängigkeit und an der Ersetzbarkeit. Solche Anbieter unterliegen einer direkten Aufsicht auf EU-Ebene, statt nur über einzelne Kundenverträge gesteuert zu werden.
DORA schreibt kein reines EU-Hosting vor, verlangt aber im Rahmen der Vertrags- und Sorgfaltspflichten Transparenz über den Datenstandort. Diese Transparenz fließt direkt in die Bewertung des Konzentrationsrisikos und in die Ausstiegsplanung eines Instituts ein. Sitzen Anbieter oder Unterauftragsverarbeiter außerhalb der EU, kommt zusätzlich eine Frage nach Drittland-Transfers nach DSGVO hinzu.
Dann werden die eigenen DORA-Meldepflichten des Finanzunternehmens ausgelöst, und nicht die des Anbieters. Sobald ein Vorfall als schwerwiegend eingestuft ist, muss das Institut seine zuständige Behörde innerhalb von 4 Stunden nach der Einstufung und spätestens 24 Stunden nach Kenntnisnahme benachrichtigen, danach einen Zwischenbericht innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats nach dem Zwischenbericht abgeben. Ob diese Fristen zu halten sind, hängt stark von schnellen, präzisen Informationen des Anbieters ab.
DORA verpflichtet die zuständigen Behörden, über Aufsichts-, Untersuchungs- und Sanktionsbefugnisse zu verfügen (Artikel 50). In Deutschland hat das Finanzmarktdigitalisierungsgesetz (FinmadiG) der BaFin die Grundlage gegeben, bei Verstößen Anordnungen zu treffen und Bußgelder zu verhängen. Hinzu kommen die praktischen Folgen: Ein nicht DORA-fähiger Vertrag wird über das Informationsregister sichtbar und kann bei der nächsten Prüfung zur Beanstandung werden. Einen Bestandsschutz für Altsysteme gibt es nicht.
Das hängt vom Einsatz ab. Laufen über den Kanal Gespräche zu Wertpapiergeschäften, etwa am Handelsplatz oder in der Anlageberatung, greift die Aufzeichnungspflicht aus § 83 WpHG (MiFID II): Solche Gespräche sind aufzuzeichnen und mindestens fünf Jahre aufzubewahren. Diese Pflicht steht neben DORA. Ein Tool, das die DORA-Fragen zu Vertrag und Resilienz besteht, erfüllt sie nur, wenn es zusätzlich aufzeichnen und die Aufzeichnungen sicher vorhalten kann.