DORA

DORA gilt seit dem 17. Januar 2025 für Banken, Versicherungen, Zahlungsdienstleister, Kapitalverwaltungsgesellschaften und rund zwanzig weitere Kategorien von Finanzunternehmen. Wer nicht dazugehört, sollte sie trotzdem kennen: Sie schreibt vor, was anderswo nur empfohlen wird.

Der Artikel, der zählt

Artikel 28 regelt Verträge mit IKT-Drittdienstleistern. Für Dienste, die kritische oder wichtige Funktionen stützen, verlangt er unter anderem: vollständige Leistungsbeschreibungen, Zugriffs- und Prüfrechte, Kündigungsrechte, Vorgaben zum Ort der Datenverarbeitung — und Ausstiegsstrategien.

Diese Ausstiegsstrategien müssen dokumentiert, auf Angemessenheit geprüft und regelmäßig getestet werden. Nicht beschrieben. Getestet.

Warum das über den Finanzsektor hinaus interessant ist

Weil es die Frage beantwortet, die sonst offenbleibt: Woran erkennt man, dass eine Ausstiegsfähigkeit echt ist? DORAs Antwort ist unbequem und brauchbar — daran, dass jemand sie einmal durchgespielt hat und aufgeschrieben hat, was dabei nicht funktioniert hat.

Wer nicht unter DORA fällt, kann sich an derselben Messlatte orientieren, ohne die Meldepflichten und die Register zu übernehmen. Siehe Exit-Strategie.

Das Register der Informationen

DORA verlangt außerdem ein vollständiges Verzeichnis aller IKT-Dienstleister, inklusive Unterauftragnehmerketten und der Frage, welches Unternehmen welche Funktion stützt. Genau diese Liste ist auch die Grundlage jeder Souveränitätsbetrachtung — und der Grund, warum in regulierten Häusern die Abhängigkeitsfrage inzwischen besser beantwortet werden kann als in vielen Industriebetrieben.

Der Überwachungsrahmen

Neu ist auch, dass besonders bedeutende Anbieter — die großen Cloud-Anbieter fallen darunter — direkt von den europäischen Aufsichtsbehörden überwacht werden können. Das ändert nichts an der Jurisdiktion des Mutterkonzerns, verschafft der EU aber erstmals einen direkten Zugriff auf Anbieter, die bislang nur über ihre Kunden erreichbar waren.