Das Vendor Management erhält eine Anfrage: Senior Java-Entwickler für das Zahlungsplattform-Team, Abrechnung nach T&M, Start in zwei Wochen. Der Rahmenvertrag mit dem Anbieter von vor einigen Jahren enthält eine NDA, eine DSGVO-Klausel und die Abtretung von Urheberrechten. Der Einkauf fragt nach dem Stundensatz. Das Team für Drittparteienrisiken (Third-Party Risk) fragt nach etwas anderem: Handelt es sich hierbei um einen „IKT-Dienst“ im Sinne von DORA, unterstützt dies eine kritische oder wichtige Funktion, wer erbringt die Arbeit tatsächlich – ein Angestellter des Anbieters oder ein B2B-Auftragnehmer – und enthält der Vertrag die Bestimmungen nach Artikel 30? Wenn diese Antworten in den Dokumenten fehlen, verzögert sich der Start oder der Anbieter fällt weg.
Die Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates über die digitale opérationelle Resilienz für den Finanzsektor (DORA) ist ab dem 17. Januar 2025 anwendbar (Artikel 64). Die Pflichten aus Kapitel V – Management des IKT-Drittparteienrisikos – obliegen dem Finanzunternehmen. Die Bank oder das Versicherungsunternehmen bleibt in voller Verantwortung für die Einhaltung, auch wenn sie IKT-Dienste von Drittanbietern in Anspruch nimmt (Artikel 28 Absatz 1 Buchstabe a). In der Praxis werden diese Pflichten jedoch über den Vertrag und die Sorgfaltsprüfung (Due Diligence) an den Anbieter weitergegeben. Nachfolgend schlüsseln wir auf, was sich beim Body Leasing dadurch real ändert.
Handelt es sich bei IT-Personalüberlassung (Body Leasing) um einen IKT-Dienst?
Artikel 3 Nummer 21 definiert IKT-Dienste als digitale Dienste und Datendienste, die über IKT-Systeme für interne oder externe Nutzer laufend erbracht werden (ausgenommen herkömmliche analoge Telekommunikationsdienste). In einer in der EIOPA-Q&A-Datenbank (DORA030-2999) veröffentlichten Antwort betont die Europäische Kommission, dass die Definition bewusst weit gefasst ist und die Beurteilung, ob es sich bei einer konkreten Dienstleistung um einen IKT-Dienst handelt, vom Finanzunternehmen selbst vorgenommen wird.
Ein praktischer Anhaltspunkt ist die geschlossene Liste von Diensttypen in Anhang III der Durchführungsverordnung (EU) 2024/2956 der Kommission (Vorlagen für das Informationsregister). Diese umfasst unter anderem S01 – IKT-Projektmanagement, S02 – IKT-Entwicklung (Geschäftsanalyse, Softwareentwicklung und -design, Tests), S04 – IKT-Sicherheitsmanagement sowie S05 – IKT-Beratung. Eine Fachkraft, die kontinuierlich Software in den Systemen der Bank schreibt, testet oder wartet, fällt unter diese Kategorien. Die Abrechnungsform – nach Zeitaufwand oder pauschal – schließt den Vertrag nicht vom Kapitel V aus.
⚡ Zwei unabhängige Tests: IKT-Dienst und kritische oder wichtige Funktion
Test 1 – IKT-Dienst (Artikel 3 Nummer 21) bestimmt, ob der Vertrag in das Informationsregister aufgenommen wird und die Mindestbestimmungen nach Artikel 30 Absatz 2 enthalten muss. Test 2 – kritische oder wichtige Funktion (Artikel 3 Nummer 22: eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit, die Solidität oder die Kontinuität der Dienstleistungen des Finanzunternehmen oder die Einhaltung der Bedingungen und Verpflichtungen seiner Zulassung oder seiner Genehmigung wesentlichen beeinträchtigen würde) bestimmt, ob verstärkte Anforderungen hinzukommen: Ausstiegsstrategie (Artikel 28 Absatz 8), Konzentrationsrisikoanalyse (Artikel 29) und zusätzliche Klauseln nach Artikel 30 Absatz 3. Beide Tests werden von der Bank durchgeführt, nicht vom Anbieter.
Dasselbe Profil – z. B. ein Senior Backend Developer – kann zwei unterschiedlichen Regimen unterfallen. Bei einem Zahlungsverkehrssystem unterstützt er in der Regel eine kritische oder wichtige Funktion, bei einem internen HR-Tool oft nicht. Der Stundensatz ist ähnlich (Richtwerte haben wir in der Übersicht zu den Stundensätzen der IT-Personalüberlassung im Jahr 2026 zusammengestellt), das Vertragspaket, der Umfang der Due-Diligence-Prüfung und der Registereintrag jedoch nicht.
Die Kette: B2B-Auftragnehmerm → Anbieter → Bank
Artikel 3 Nummer 18 definiert das Risiko im Zusammenhang mit IKT-Drittanbietern als das Risiko von Verlusten im Zusammenhang mit IKT-Diensten, die von IKT-Drittanbietern „oder durch Unterauftragsvergabe“ erbracht werden. Bei der polnischen Personalüberlassung ist die Fachkraft oft kein Angestellter des Anbieters, sondern ein B2B-Auftragnehmerm. Für die Bank ist dies ein zusätzliches Glied in der Kette, das sichtbar sein muss.
Bei Diensten zur Unterstützung kritischer oder wichtiger Funktionen schreibt Artikel 29 Absatz 2 vor, dass die Bank die Vorteile und Risiken der Inanspruchnahme von Unterauftragnehmern – insbesondere wenn diese in einem Drittland niedergelassen sind – abwägen und bewerten muss, ob lange oder komplexe Ketten die Überwachung der Funktion und die Aufsicht durch die zuständige Behörde einschränken. Die Elemente dieser Bewertung werden durch die Delegierte Verordnung (EU) 2025/532 der Kommission (RTS zur Unterauftragsvergabe, gültig ab 22. Juli 2025) präzisiert. Artikel 30 Absatz 2 Buchstabe b verlangt wiederum die Angabe der Regionen oder Länder im Vertrag, in denen die Dienste erbracht und die Daten verarbeitet werden, sowie die vorherige Benachrichtigung der Bank über eine geplante Änderung. Eine Fachkraft, die beginnt, aus einem anderen Land remote zu arbeiten, stellt genau eine solche Änderung dar.
Vor Abschluss des Vertrags: Artikel 28 und Artikel 29
Artikel 28 Absatz 4 verlangt, dass die Bank vor Abschluss des Vertrags: (a) bewertet, ob der Dienst eine kritische oder wichtige Funktion unterstützt, (b) prüft, ob die aufsichtsrechtlichen Bedingungen für den Vertragsabschluss erfüllt sind, (c) wesentliche Risiken, einschließlich des Konzentrationsrisikos, identifiziert und bewertet, (d) eine Sorgfaltsprüfung (Due Diligence) des IKT-Drittdienstleisters durchführt und sicherstellt, dass dieser geeignet ist, sowie (e) Interessenskonflikte identifiziert.
Artikel 28 Absatz 5 lässt Verträge ausschließlich mit Anbietern zu, die angemessene Informationssicherheitsstandards anwenden, und bei kritischen oder wichtigen Funktionen unter gebührender Berücksichtigung der aktuellsten Standards von höchster Qualität. Die Verordnung nennt weder ISO/IEC 27001 noch SOC 2 namentlich. Welche Nachweise sie erwartet, legt die Bank in ihrer eigenen Richtlinie fest, deren Inhalt für Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen durch die Delegierte Verordnung (EU) 2024/1773 der Kommission vom 13. März 2024 (RTS zu Artikel 28 Absatz 10) präzisiert wird.
Artikel 29 Absatz 1 fügt die Bewertung des Konzentrationsrisikos hinzu: ob der IKT-Drittdienstleister leicht ersetzt werden kann und ob die Bank nicht mehrere Verträge über Dienstleistungen zur Unterstützung kritischer oder wichtigen Funktionen bei demselben Anbieter oder bei eng verbundenen Anbietern kumuliert. Im Bereich des IT-Personal-Leasings (Body Leasing) ist dies eine sehr praktische Frage: Wie viele kritische Rollen besetzt derselbe Vendor und was geschieht, wenn er vom Markt verschwindet.
Informationsregister (Artikel 28 Absatz 3)
Die Bank führt und aktualisiert ein Informationsregister über alle vertraglichen Vereinbarungen über IKT-Dienste – nicht nur kritische –, wobei zwischen Verträgen, die kritische oder wichtige Funktionen unterstützen, und sonstigen Verträgen unterschieden wird. Mindestens einmal jährlich berichtet sie der Behörde unter anderem über die Anzahl neuer Vereinbarungen, Kategorien von IKT-Drittdienstleistern und Arten von Verträgen, und stellt das vollständige Register auf Anfrage zur Verfügung. Über eine geplante Vereinbarung über eine kritische oder wichtige Funktion unterrichtet sie die Behörde rechtzeitig im Voraus.
Die Vorlagen für das Register werden durch die Durchführungsverordnung (EU) 2024/2956 der Kommission vom 29. November 2024 festgelegt. In Polen hat die KNF (Komisja Nadzoru Finansowego – Polnische Finanzaufsichtsbehörde) den LEI als erforderliche Kennung für die das Register führende Einrichtung angegeben, und die Register wurden über das Formular SPR-PF-18 übermittelt (die zweite Phase im Mai 2025 umfasste unter anderem Unternehmen, die das Register bis zum 28. April 2025 nicht eingereicht hatten, sowie Register, die bei der Überprüfung auf Seiten der EBA abgelehnt wurden). Gemäß der Aufstellung der Berichterstattungspflichten der KNF wird eine geplante vertragliche Vereinbarung über IKT-Dienste zur Unterstützung kritischer oder wichtiger Funktionen über das Formular SPR-PF-19 innerhalb von 14 Tagen vor der Bindung an den Vertrag gemeldet.
Für den Anbieter ergeben sich daraus zwei Dinge. Der Fragebogen der Bank wird nach den Daten für das Register fragen: Unternehmensidentifikation, Diensttyp aus der Liste S01–S19, Leistungs- und Datenverarbeitungsstandorte sowie Unterauftragnehmer in der Kette. Und bei kritischen Rollen ist ein „Start am Montag“ unrealistisch, wenn die Formalitäten nicht parallel zur Rekrutierung anlaufen.
Ausstiegsstrategie (Artikel 28 Absatz 8)
Für IKT-Dienste zur Unterstützung kritischer oder wichtiger Funktionen muss die Bank über Ausstiegsstrategien verfügen, die unter anderem das Ausfallen des IKT-Drittdienstleisters, eine Verschlechterung der Qualität der Dienstleistungen, Betriebsstörungen und die Kündigung des Vertrags in Fällen gemäß Artikel 28 Absatz 7 berücksichtigen. Der Ausstieg muss ohne Betriebsstörungen, ohne Beeinträchtigung der Einhaltung regulatorischer Anforderungen und ohne Schaden für die Kontinuität und Qualität der Dienstleistungen für die Kunden möglich sein. Die Ausstiegspläne müssen umfassend, dokumentiert, angemessen getestet und regelmäßig überprüft werden.
Im IT-Personal-Leasing (Body Leasing) hat das Ausstiegsrisiko eine sehr konkrete Gestalt: das Ausscheiden eines wichtigen Seniors, Krankheit, Kündigung des B2B-Vertrags. Die Bank erwartet daher einen Vertretungsplan (in welcher Zeit und auf welche Weise ein Nachfolger erscheint), eine Einarbeitungsphase (Shadowing) und eine Dokumentation, die aufseiten der Bank verbleibt – im Repository, in der Wiki und in Tickets und nicht auf dem Laptop des Spezialisten. Artikel 28 Absatz 8 geht jedoch weiter als der Personalaustausch: Die Bank muss in der Lage sein, die gesamte Zusammenarbeit mit dem Anbieter zu beenden und die Arbeiten eigenständig zu übernehmen oder auf einen anderen Anbieter zu übertragen.
Artikel 30: Was im Vertrag stehen muss
Artikel 30 Absatz 1 verlangt eine klare, schriftliche Aufteilung der Rechte und Pflichten. Der vollständige Vertrag einschließlich der Vereinbarungen über das Servicelevel muss ein einziges Dokument bilden – in Papierform oder in einem anderen dauerhaften, abrufbaren Format. Absatz 2 nennt die Mindestelemente jedes Vertrags über IKT-Dienste, und Absatz 3 nennt zusätzliche Elemente für Dienste, die kritische oder wichtige Funktionen unterstützen.
| Element | Absatz 2 – jeder Vertrag über IKT-Dienste | Absatz 3 – zusätzlich bei kritischer oder wichtiger Funktion |
|---|---|---|
| Beschreibung der Dienste | Vollständige Beschreibung der Funktionen und IKT-Dienste; Angabe, ob die Untervergabe einer IKT-Dienstleistung zur Unterstützung einer kritischen oder wichtigen Funktion zulässig ist und unter welchen Bedingungen (Buchstabe a) | – |
| Standorte | Regionen oder Länder, in denen die IKT-Dienste erbracht und Daten verarbeitet werden, einschließlich des Speicherorts; vorherige Benachrichtigung über Änderungen (Buchstabe b) | – |
| Datenschutz | Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten, einschließlich personenbezogener Daten (Buchstabe c) | – |
| Zugang zu Daten und Rückgabe von Daten | Zugang zu den Daten sowie deren Wiederherstellung und Rückgabe in einem leicht zugänglichen Format im Falle der Insolvenz, der Abwicklung oder der Einstellung der Geschäftstätigkeit des IKT-Drittdienstleisters oder bei Beendigung des Vertrags (Buchstabe d) | – |
| Servicelevels | Beschreibungen der Servicelevels sowie deren Aktualisierungen (Buchstabe e) | Vollständige Beschreibungen mit präzisen quantitativen und qualitativen Zielen; Abhilfemaßnahmen ohne unnötige Verzögerung (Buchstabe a) |
| Vorfälle | Unterstützung bei IKT-Vorfällen im Zusammenhang mit dem IKT-Dienst – ohne zusätzliche Kosten oder zu im Voraus festgelegten Kosten (Buchstabe f) | Kündigungsfristen und Informationspflichten des IKT-Drittdienstleisters, einschließlich der Unterrichtung über Ereignisse, die die Erbringung der IKT-Dienste beeinträchtigen könnten (Buchstabe b) |
| Behörden | Vollständige Zusammenarbeit mit den zuständigen Behörden und Abwicklungsbehörden (Buchstabe g) | – |
| Beendigung des Vertrags | Rechte zur Kündigung des Vertrags und Mindestkündigungsfristen (Buchstabe h) | – |
| Schulungen | Bedingungen für die Teilnahme des IKT-Drittdienstleisters an Programmen zur Sensibilisierung für die IKT-Sicherheit und an Schulungen der Bank (Buchstabe i, Artikel 13 Absatz 6) | – |
| Kontinuität | – | Umsetzung und Testen von Notfallplänen und IKT-Sicherheitsmaßnahmen (Buchstabe c) |
| TLPT | – | Teilnahme und vollständige Zusammenarbeit bei Bedrohungsgesteuerten Penetrationstests (Buchstabe d, Artikel 26 und 27) |
| Audit | – | Uneingeschränkte Zugangs-, Inspektions- und Auditrechte für die Bank, einen beauftragten Dritten und die zuständige Behörde (Buchstabe e) |
| Ausstieg | – | Ausstiegsstrategien mit einer verbindlichen Übergangszeit, während der der IKT-Drittdienstleister die IKT-Dienste weiterhin erbringt (Buchstabe f) |
Zwei Dinge werden leicht übersehen. Das Auditrecht nach Absatz 3 Buchstabe e muss durchsetzbar sein – es darf durch keinen anderen Vertrag und keine interne Richtlinie des IKT-Drittdienstleisters eingeschränkt werden. Die Pflicht zur Unterstützung bei Vorfällen (Absatz 2 Buchstabe f) betrifft wiederum jeden Vertrag über IKT-Dienste, nicht nur solche für kritische Funktionen. Wie sich diese Anforderungen auf Rahmenverträge und SOWs übertragen lassen, ohne die Kontrolle über geistiges Eigentum (IP) und Kosten zu verlieren, beschreiben wir in den Beiträgen über die Verhandlung von Verträgen mit Softwareunternehmen und über transparentes IT-Staff-Augmentation.
IKT-Vorfälle: Wer meldet was (Artikel 17–19)
Der Prozess des Managements von IKT-Vorfällen (Artikel 17), deren Klassifizierung (Artikel 18) und die Meldung schwerwiegender IKT-Vorfälle an die zuständige Behörde (Artikel 19) sind Verpflichtungen des Finanzunternehmens. Artikel 19 Absatz 4 sieht drei Phasen vor: die Erstmeldung, den Zwischenbericht und den Abschlussbericht. Die Bank kann die Berichterstattung an einen Dritten auslagern, bleibt jedoch weiterhin voll dafür verantwortlich (Artikel 19 Absatz 5). In Polen werden schwerwiegende IKT-Vorfälle über das System der KNF (Polish Financial Supervision Authority) unter der Adresse csirt.knf.gov.pl gemeldet.
Das IT-Dienstleistungsunternehmen für Personalüberlassung meldet den Vorfall daher nicht im Namen der Bank an die KNF. Seine Aufgabe ist es, die Bank unverzüglich zu benachrichtigen, wenn der Spezialist einen Vorfall im Zusammenhang mit der Dienstleistung entdeckt oder zu diesem beiträgt, die für die Klassifizierung erforderlichen Fakten zu liefern und die Unterstützung gemäß Artikel 30 Absatz 2 Buchstabe f zu leisten. Im Vertrag und beim Onboarding des Spezialisten sollte ein konkreter Ablauf festgelegt werden: wen man benachrichtigt, über welchen Kanal und innerhalb welcher Zeit. Bei reinen Sicherheitsrollen siehe auch Body-Leasing von Cybersecurity-Spezialisten.
Due-Diligence-Checkliste für IT-Spezialisten-Anbieter
Die folgende Liste strukturiert Fragen, die vor Vertragsunterzeichnung an den Anbieter gerichtet werden sollten. Dies ist ein praktischer Prüfungsleitfaden und kein Ersatz für die Richtlinie der Bank.
| Was zu prüfen ist | Was vom Anbieter zu erwarten ist | Rechtsgrundlage |
|---|---|---|
| Handelt es sich um einen IKT-Dienst und welcher Art | Beschreibung der Rolle, der Systeme und der Arbeitsweise; Zuordnung zur Art S01–S19 | Artikel 3 Nummer 21; ITS 2024/2956, Anhang III |
| Unterstützt der Dienst eine kritische oder wichtige Funktion | Klassifizierung durch die Bank; Erklärung des Anbieters zur Bereitschaft, Klauseln gemäß Absatz 3 zu akzeptieren | Artikel 28 Absatz 4 Buchstabe a; Artikel 3 Nummer 22 |
| Unterauftragnehmerkette | Form der Zusammenarbeit mit dem Spezialisten (Festanstellung oder B2B), Unternehmen, Land; Regeln für die Weitervergabe | Artikel 29 Absatz 2; Artikel 30 Absatz 2 Buchstabe a; RTS 2025/532 |
| Standorte | Land der Arbeitsleistung und der Datenverarbeitung; Verfahren zur Meldung von Änderungen | Artikel 30 Absatz 2 Buchstabe b |
| Informationssicherheit | Sicherheitsrichtlinie, NDA, Zugriffsregeln; Arbeiten ausschließlich in von der Bank genehmigten Umgebungen | Artikel 28 Absatz 5; Artikel 30 Absatz 2 Buchstabe c |
| Daten für das Informationsregister | Unternehmenskennung (z. B. LEI), Registerdaten, Position in der Kette | Artikel 28 Absatz 3; ITS 2024/2956 |
| Vorfälle | Meldeweg; Kosten für Unterstützung im Preis inbegriffen oder im Voraus vereinbart | Artikel 30 Absatz 2 Buchstabe f; Artikel 17–19 |
| Schulungen | Zustimmung zur Teilnahme von Spezialisten an den Sensibilisierungsprogrammen der Bank | Artikel 13 Absatz 6; Artikel 30 Absatz 2 Buchstabe i |
| Vertretung und Wissen | Vertretungsplan, Übergangszeitraum, Dokumentation auf Seiten der Bank | Artikel 28 Absatz 8 |
| Prüfung, TLPT, Ausstieg | Bereitschaft zu Audits und Tests; Erbringung von Diensten während der Übergangsfrist | Artikel 28 Absatz 6; Artikel 30 Absatz 3 Buchstaben d–f |
Body-Leasing, Team-Leasing, Outsourcing: Wo DORA die Schwerpunkte setzt
DORA betrifft jedes dieser Modelle. Sie unterscheiden sich darin, wer für das Arbeitsergebnis verantwortlich ist, wie die Konzentration aussieht und was ein Ausstieg in der Praxis bedeutet. Details zu den Modellen beschreiben wir auf den Seiten Kooperationsmodelle und IT-Team-Leasing.
| Modell | Wer steuert die Arbeit | Konzentrationsrisiko (Artikel 29) | Vertrag (Artikel 30) | Ausstieg in der Praxis |
|---|---|---|---|---|
| Body-Leasing / T&M | Bank; Anbieter ist verantwortlich für Person, Kette und Vertretung | Steigt, wenn ein Anbieter mehrere kritische Rollen besetzt | Stets Absatz 2; Absatz 3, wenn die Rolle eine kritische oder wichtige Funktion unterstützt | Personenvertretung oder Übernahme der Rolle durch die Bank |
| Team-Leasing | Anbieter organisiert Zusammensetzung und Arbeitsrhythmus; Bank gibt Ziele vor | Höher – viele Rollen bei einem Anbieter (Artikel 29 Absatz 1 Buchstabe b) | Absatz 2; bei einer kritischen Funktion Absatz 3 (SLA, Audit, TLPT, Übergangszeitraum) | Übergabe des gesamten Teams und Wissens |
| Outsourcing / Managed Service | Anbieter ist für Ergebnis oder Dienstleistungserbringung verantwortlich | Hoch bei geringer Substituierbarkeit und Unterauftragnehmern in Drittländern | Absatz 2 und in der Regel Absatz 3 | Migration von Dienstleistung und Daten zu einem anderen Anbieter oder in-house |
Anti-Patterns
- „Das ist nur Personallieferung, DORA betrifft die Cloud.“ Die Definition gemäß Artikel 3 Nummer 21 und die Typen S01–S19 umfassen Softwareentwicklung, Tests, Sicherheit und IKT-Beratungsleistungen. Eine Abrechnung nach T&M ändert daran nichts.
- Versteckte B2B-Kette. Die Agentur unterzeichnet den Rahmenvertrag, und im Projekt arbeitet der Auftragnehmer eines weiteren Vermittlers. Die Bank weiß nicht, wer die Dienstleistung erbringt, und kann daher weder die Unterauftragsvergabe (Artikel 29 Absatz 2) noch das Informationsverzeichnis ordnungsgemäß bewältigen.
- Fehlender Notfall- oder Ausstiegsplan. Das Wissen über die Deployment-Pipeline existiert nur im Kopf eines einzigen Senior-Entwicklers. Bei kritischen oder wichtigen Funktionen verlangen Artikel 28 Absatz 8 sowie Artikel 30 Absatz 3 Buchstabe c und f Notfallpläne und Übergangsfristen – die Erklärung „Wir werden uns bemühen“ ersetzt diese nicht.
- Audit nur auf dem Papier. Die Auditklausel steht im Anhang, aber die interne Richtlinie des Anbieters sieht das Einlassen von Auditoren nicht vor. Artikel 30 Absatz 3 Buchstabe e verlangt, dass die Ausübung dieser Rechte nicht durch andere Bestimmungen eingeschränkt wird.
Wie Commoditech arbeitet
Commoditech liefert seit 2012 IT-Spezialisten im Rahmen von IT-Staff-Augmentation (Body-Leasing) und Contracting. Wir klassifizieren die Funktion nicht anstelle der Bank und führen auch nicht deren Informationsregister – das sind Pflichten des Finanzunternehmens. Unsere Rolle ist es, ein Anbieter zu sein, der sich verlässlich bewerten, in das Register eintragen und auditieren lässt:
- Offene Marge – der Kunde weiß, welcher Teil des Stundensatzes an den Spezialisten und welcher an den Anbieter geht (wie transparentes Body-Leasing funktioniert).
- Übertragung von 100% der Urheberrechte am erstellten Code an den Kunden.
- Verifizierte Spezialisten – technische Überprüfung vor der Vorstellung des Profils.
- Offene Unterauftragskette – Informationen über die Kooperationsform und das Arbeitsland des Spezialisten sowie Bereitschaft zur Vereinbarung eines Verbots der Weitervergabe von Unteraufträgen ohne Zustimmung der Bank.
- Bereitschaft zu Klauseln gemäß Artikel 30 – Absatz 2 in jedem Vertrag, Absatz 3 dort, wo die Bank die Dienstleistung als eine kritische oder wichtige Funktion unterstützend einstuft.
- Vertraglich festgelegter Vertretungs- und Wissenstransferplan statt mündlicher Zusagen.
- Mitwirkung bei Audits und Tests, die von der Bank, einer von ihr beauftragten Stelle oder der Aufsichtsbehörde durchgeführt werden.
Wir geben keine Zertifikate an, die wir nicht besitzen. Wenn die Richtlinie der Bank eine konkrete Zertifizierung vom Anbieter verlangt, sprechen wir in der Qualifizierungsphase offen darüber. Wenn Sie einen Bedarf an Spezialisten für eine von DORA erfasste Umgebung vorbereiten, schreiben Sie uns – wir beginnen mit einer Liste der Daten, die für Ihr Register und die Due Diligence benötigt werden.
🛠️ Aus der Praxis: Wie ein DORA-Gespräch bei der Beauftragung eines Spezialisten aussieht
Typisches Szenario, ohne Namen und Zahlen. Die Beschaffungsabteilung übermittelt den Bedarf an einen Senior-Backend-Entwickler für ein System, das von der Bank als eine kritische oder wichtige Funktion unterstützend eingestuft wird. Parallel dazu sendet das Third-Party-Risk-Team einen Fragebogen: Art des IKT-Dienstes, Orte der Erbringung und Datenverarbeitung, Liste der Unterauftragnehmer, Meldepfad für Vorfälle, Auditrechte, Übergangszeitraum beim Ausstieg, Teilnahme an Sicherheitsschulungen.
Die Antwort „wir arbeiten im T&M, der Rest wie im Rahmenvertrag“ beendet das Gespräch meist, bevor die Kandidatenprüfung überhaupt beginnt. Ein Anbieter, der sofort die Kette (z. B. B2B- Auftragnehmer aus Polen, ohne weitere Untervergabe), den Arbeitsort, fertige Klauseln gemäß Artikel 30 Absatz 3 und den Vertretungsplan im SOW offenlegt, gelangt in die eigentliche Kompetenzbewertung. DORA ersetzt kein technisches Gespräch – sie stellt ein Tor dar, ohne das dieses Gespräch gar nicht erst beginnt.
FAQ
Ist jeder IT-Body-Leasing-Vertrag mit einer Bank ein IKT-Dienst im Sinne von DORA?
Die Beurteilung obliegt dem Finanzunternehmen, und die Definition in Artikel 3 Nummer 21 ist bewusst weit gefasst. Anhang III des ITS 2024/2956 umfasst unter anderem die IKT-Entwicklung (S02), die IKT-Sicherheit (S04) und die IKT-Beratung (S15), sodass die kontinuierliche Tätigkeit eines Spezialisten in den Systemen der Bank in der Regel unter diese Definition fällt.
Wann erfordert ein T&M-Vertrag für eine einzelne Person Klauseln nach Artikel 30 Absatz 3?
Wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt (Artikel 3 Nummer 22). Die Anzahl der Personen spielt keine Rolle: Absatz 2 gilt für jeden Vertrag über IKT-Dienste, und Absatz 3 kommt immer dann hinzu, wenn die Bank die Funktion als kritisch oder wichtig eingestuft hat.
Ist ein B2B-Auftragnehmer des Dienstleisters ein Unterauftragnehmer, über den die Bank Bescheid wissen muss?
Wenn er die Dienstleistung tatsächlich erbringt – ja. Artikel 3 Nummer 18 erfasst das Risiko im Zusammenhang mit Unterauftragnehmern des IKT-Drittdienstleisters, und bei kritischen oder wichtigen Funktionen verlangen Artikel 29 Absatz 2, Artikel 30 Absatz 2 Buchstabe a und die RTS 2025/532 die Bewertung und vertragliche Regelung der Unterauftragsvergabe.
Wer meldet einen schwerwiegenden IKT-Vorfall an die KNF (Polnische Finanzaufsichtsbehörde) – die Bank oder das Body-Leasing-Unternehmen?
Das Finanzunternehmen (Artikel 19) über das KNF-System unter csirt.knf.gov.pl. Der Dienstleister benachrichtigt die Bank und unterstützt bei der Bewältigung des Vorfalls (Artikel 30 Absatz 2 Buchstabe f). Die Bank kann die Berichterstattung an einen Dritten auslagern, aber die Verantwortung verbleibt bei ihr (Artikel 19 Absatz 5).
Muss ein Spezialisten-Dienstleister ISO 27001 haben, um mit einer Bank zusammenzuarbeiten?
DORA schreibt kein konkretes Zertifikat vor. Artikel 28 Absatz 5 verlangt angemessene Standards für die Informationssicherheit, und die detaillierten Erwartungen werden durch die Richtlinie der Bank bestimmt – diese kann ein Zertifikat, ein Audit oder andere Nachweise fordern. Das Fehlen jeglicher dokumentierter Sicherheitsregeln und der Bereitschaft zu Audits schließt einen Dienstleister in der Praxis aus.
Quellen
- Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (DORA) – EUR-Lex
- Durchführungsverordnung (EU) 2024/2956 der Kommission (Vorlagen für das Informationsregister, Anhang III – Arten von IKT-Diensten) – EUR-Lex
- Delegierte Verordnung (EU) 2024/1773 der Kommission (RTS – vertragliche Regelungen für die Nutzung von IKT-Diensten zur Unterstützung kritischer oder wichtiger Funktionen) – EUR-Lex
- Delegierte Verordnung (EU) 2025/532 der Kommission (RTS – Unterauftragsvergabe in Bezug auf IKT-Dienste zur Unterstützung kritischer oder wichtiger Funktionen) – EUR-Lex; EBA
- KNF (Polnische Finanzaufsichtsbehörde) – DORA; Informationsregister und LEI; Zweite Phase der Registerübermittlung (SPR-PF-18); Übersicht der Berichterstattungspflichten; DORA-Systeme und Vorfallmeldung
- EIOPA – Q&A DORA030-2999 (Definition von IKT-Diensten); DORA
- EBA – DORA
- ESMA – DORA
Der Artikel dient zu Informationszwecken und stellt keine Rechtsberatung dar. Die Klassifizierung des IKT-Dienstes und der kritischen oder wichtigen Funktion, der Vertragsinhalt sowie der Eintrag in das Register hängen von den konkreten Umständen und der Richtlinie des Finanzunternehmens ab. Maßgeblich ist der Text der Verordnung, der Durchführungsrechtsakte sowie der Standpunkt der Aufsichtsbehörde (in Polen: KNF).