DORA

Was ändert sich durch DORA Art. 28 für Drittparteien-Risiken?

Hier ist eine umfassende Analyse, was DORA Art. 28 – und der gesamte Drittpartei-Risikomanagement-Block (Art. 28–44) – konkret ändert:

DORA Art. 28: Paradigmenwechsel beim IKT-Drittparteienrisikomanagement

Einordnung: Was Art. 28 abdeckt

Art. 28 ist das Eingangstor zum Kapitel V von DORA – dem umfassendsten regulatorischen Reformblock für das Drittparteienrisikomanagement, den der europäische Gesetzgeber je geschaffen hat. Der Artikel legt allgemeine Grundsätze für das Management von IKT-Drittparteienrisiken fest und bildet die Basis für alle nachfolgenden Anforderungen bis Art. 44. Vereinfacht gesagt: Was früher unter MaRisk AT 9 als nationale Leitlinie für Auslagerungsmanagement stand, ist jetzt EU-Verordnung – unmittelbar anwendbar, ohne nationalen Umsetzungsspielraum.

Die vier zentralen Neuerungen durch Art. 28

1. Vollständiges Register of Information (ROI) – Meldepflicht gegenüber den Aufsichtsbehörden

Art. 28 verpflichtet Finanzunternehmen, ein lückenloses, aktuelles Register aller vertraglichen Vereinbarungen mit IKT-Drittanbietern zu führen und dieses den Aufsichtsbehörden auf Anfrage zugänglich zu machen. Das geht weit über bisherige Auslagerungsregister hinaus:

  • Erfassung aller Verträge – nicht nur kritischer Auslagerungen, sondern grundsätzlich aller IKT-Dienstleistungsbeziehungen
  • Erstmeldung an die BaFin war zwischen dem 9. und 30. März 2026 fällig – mit anschließender Weiterleitung an EBA, ESMA und EIOPA
  • Konzentrationsrisiken sichtbar machen: Das Register ermöglicht den Regulierern erstmals eine systemweite Sicht auf IKT-Abhängigkeiten im Finanzsektor

In der Praxis bedeutet das bei großen Instituten die Konsolidierung von 500 bis mehreren tausend Verträgen – bislang über Einkauf, IT und Rechtsabteilung verstreut. Laut KPMG war das die größte Einzelbaustelle bei der DORA-Umsetzung.

2. Due-Diligence-Pflicht und Risikoklassifizierung

Vor Abschluss jedes IKT-Dienstleistungsvertrags ist eine strukturierte Risikoprüfung vorzunehmen. Art. 28 verlangt, dass Finanzunternehmen:

  • die Abhängigkeit von einzelnen Anbietern bewerten (Konzentrationsrisiko)
  • die Kritikalität der unterstützten Funktion bestimmen
  • Sub-Contractor-Ketten erfassen und bewerten
  • die Substituierbarkeit des Anbieters einschätzen

Der wesentliche Bruch mit dem alten MaRisk-Ansatz: Diese Anforderungen gelten jetzt für alle IKT-Vertragsbeziehungen, nicht nur für klassische "wesentliche Auslagerungen". Delegation entbindet nicht von Verantwortung – auch wenn Portfoliomanagement, Risikomodellierung oder Fondsbuchhaltung ausgelagert ist, verbleibt das IKT-Risikomanagement beim auslagernden Institut.

3. Exit-Strategien als zwingende Anforderung

Art. 28 schreibt dokumentierte Ausstiegsszenarien für kritische IKT-Anbieter vor. Das ist nicht neu als Konzept, aber als verbindliche regulatorische Anforderung mit aufsichtlicher Prüfbarkeit schon. Konkret bedeutet das:

  • Analyse von Cloud-Konzentrationsrisiken (Was passiert, wenn AWS ausfällt oder der Vertrag gekündigt wird?)
  • Bewertung von Multi-Cloud-Strategien
  • Definition konkreter Migrationspfade mit realistischen Zeitschienen
  • Microsoft hat dazu bereits einen Blueprint für DORA-Exit-Planning bei Azure SQL Database veröffentlicht – ein Signal, dass auch die Hyperscaler die Anforderung ernst nehmen

4. Direkte EU-Aufsicht über kritische IKT-Drittanbieter – das eigentliche Novum

Der wirklich revolutionäre Aspekt des DORA-Drittparteienregimes liegt nicht in Art. 28 selbst, sondern in dem, was er einleitet: Die erstmalige direkte Regulierung von Technologieunternehmen durch die europäische Finanzaufsicht. Für Finanzinstitute relevant, weil:

  • Die ESAs (EBA, ESMA, EIOPA) klassifizieren IKT-Anbieter als kritische IKT-Drittdienstleister (CTPP)
  • Seit November 2025 stehen 19 Anbieter – darunter AWS, Microsoft Azure und Google Cloud – unter direkter EU-Aufsicht
  • Für diese Unternehmen sind Strafzahlungen von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes pro Tag der Nichteinhaltung möglich (Art. 35 Abs. 8)
  • Für beaufsichtigte Institute steigt durch diese direkte Provider-Aufsicht das Resilienz-Niveau in der gesamten IKT-Wertschöpfungskette – aber auch die Compliance-Kosten, da die Provider eigene Anforderungen an ihre Kunden durchreichen

Abgrenzung: Was Art. 28 nicht mehr von der MaRisk abgedeckt wird

Die 9. MaRisk-Novelle vollzieht eine klare Zuständigkeitstrennung: Der bisherige AT 7.2 zu technisch-organisatorischer Ausstattung entfällt nahezu vollständig, weil DORA diese Materie EU-rechtlich abschließend regelt. MaRisk AT 9 beschränkt sich künftig auf Nicht-IKT-Auslagerungen. Wer noch kein sauberes Mapping hat, wer IKT-Drittpartei ist und wer klassischer Dienstleister, riskiert Doppelarbeiten und Aufsichtsfeststellungen.

Bereich Zuständig
IKT-Drittparteienrisiken, DORA Art. 28–44 DORA (EU-Verordnung, unmittelbar anwendbar)
Nicht-IKT-Auslagerungen MaRisk AT 9
IKT-Strategie als Bindeglied MaRisk (verknüpft Geschäftsstrategie mit DORA-Resilienzstrategie)

Was das für Foundation-Model-Provider bedeutet (neue Entwicklung 2026)

Eine aktuelle Entwicklung, die Art. 28 zusätzliche Brisanz verleiht: Unter DORA Art. 28–44 sind auch Foundation-Model-Provider wie OpenAI, Anthropic oder Google als IKT-Drittanbieter einzuordnen. Standard-API-Nutzungsbedingungen erfüllen die vertraglichen Anforderungen des Art. 30 in der Regel nicht. Institute, die Agentic-AI-Lösungen einsetzen, müssen eine Konzentrationsrisikoanalyse durchführen und idealerweise auf Defence Heterogeneity achten – also nicht alle Anwendungen auf demselben Foundation Model betreiben.

Compliance-Stand und Handlungsbedarf

Die Umsetzungslücke ist erheblich: Laut KPMG Readiness Survey 2024/25 hatte keine der befragten deutschen Banken die DORA-Anforderungen zum Stichtag 17. Januar 2025 vollständig erfüllt. 46 % der Institute nennen das Register of Information als größte Compliance-Herausforderung (Deloitte). Compliance-Kosten liegen bei 2–5 Mio. Euro pro Institut, mit durchschnittlich 5–7 FTEs im Einsatz.

Die kritischsten Handlungsfelder:
- ROI vervollständigen und Datenqualität sichern (Aufsicht prüft ab 2026 aktiv)
- Verträge mit kritischen IKT-Dienstleistern gegen Art. 30 prüfen und nachverhandeln
- Exit-Strategien dokumentieren – kein Papiertiger, sondern testbar
- Foundation-Model-Provider klassifizieren und vertragliche Basis anpassen

Quellen