Zuletzt geprüft: August 2026
Vertragsgovernance für Finanzunternehmen in der DORA-Ära
Die meisten Finanzunternehmen erfüllen diese Pflicht bislang mit geteilten Ordnern und einer Tabelle.
Zehn Fragen, etwa zwei Minuten, keine E-Mail-Adresse.
Wo steht Ihr Unternehmen auf der Vertragsseite?
Sie haben das einmal gemacht. Im zweiten Zyklus entscheidet es sich.
Die erste Einreichung war ein Projekt. Alles danach ist Routine, und der Unterschied zwischen beidem liegt darin, ob das Vertragsbild zwischenzeitlich aktuell geblieben ist oder aus Erinnerung und geteilten Ordnern neu aufgebaut werden musste.
Das nächste Register bezieht sich auf Ihre vertraglichen Vereinbarungen zum 31. Dezember, das sind 18 Wochen. Was bis dahin stimmen muss, entscheidet sich vor Dezember, nicht im Februar.
Die Zahlen
8,6 % des jährlichen Vertragswerts versickern durch schlechte Vertragsgovernance — verpasste Verlängerungen, nicht durchgesetzte Klauseln, nicht angewandte Rabatte (WorldCC / Deloitte, 2023). Für eine Bank macht DORA aus diesen stillen Kosten eine explizite Aufsichtsfeststellung.
DORA gilt seit dem 17. Januar 2025 für rund 20 Kategorien von Finanzunternehmen — Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer und mehr (Verordnung (EU) 2022/2554).
Informationsregister werden jährlich eingereicht, mit Stichtag 31. Dezember, im xBRL-CSV-Format der ESAs.
Europäische Aufsichtsbehörden identifizieren Artikel 28–30 — Register und Vertragsbestimmungen — durchgängig als den Bereich mit den größten Compliance-Lücken über alle Finanzunternehmen hinweg.
Warum ist das für kleinere Finanzunternehmen am schwierigsten?
DORA skaliert mit der Verhältnismäßigkeit (Artikel 4): Die Tiefe Ihres IKT-Risikorahmens darf Ihre Größe und Ihr Risikoprofil widerspiegeln, und bestimmte kleinere Unternehmenstypen qualifizieren sich für den vereinfachten Rahmen des Artikels 16. Was die Verhältnismäßigkeit nicht tut: die Drittparteien-Vertragspflichten aufheben — Register, Artikel-30-Klauseln und Ausstiegsstrategien gelten weiterhin.
Das bringt kleinere Finanzunternehmen in eine Zwickmühle:
- Zu reguliert für Tabellenkalkulationen. Ein Excel-Inventar und Netzlaufwerke pro Abteilung können gegenüber einer Aufsichtsbehörde keine vollständige, aktuelle Vertragsabdeckung nachweisen.
- Zu klein für Enterprise-GRC. Die dafür gebauten Plattformen — Enterprise-GRC-Suiten — sind für Unternehmen mit eigenen Drittparteien-Risikoteams bepreist und zugeschnitten. Ein Unternehmen mit ein paar hundert Mitarbeitenden bekommt dieselbe Pflicht mit einem Bruchteil des Tooling-Budgets.
- Das Wissen ist konzentriert. In kleineren Finanzunternehmen lebt die Vertragshistorie oft bei einer Handvoll langjähriger Mitarbeitender. DORAs Register verlangt sie in strukturierter, meldefähiger Form.
Das DORA-Kit zur Vertragsgovernance
Checklisten, Übersichten zu den Registerfeldern und ein Jahreszykluskalender für die Vertragsseite der Artikel 28 bis 30: die Klausel-Checkliste zu Artikel 30 in beiden Stufen, welche Registerfelder aus dem Vertrag stammen und welche nicht, ein Kalender, den Sie mit der Frist Ihrer eigenen Behörde ausfüllen, und das interne Schreiben, mit dem Sie Verträge bei den Fachbereichen einsammeln.
Oder schreiben Sie an press@bizsupply.ai mit „DORA Kit“ im Betreff, dann senden wir es Ihnen zu.
Wo passt bizSupply — und wo nicht?
bizSupply ist keine GRC-Plattform und behauptet nicht, Sie DORA-konform zu machen. Es löst die Schicht darunter, von der jede DORA-Vertragspflicht abhängt: wissen, welche Verträge Sie haben, was darin steht und wann sie sich ändern.
| Was DORA von Ihnen verlangt | Was bizSupply heute leistet |
|---|---|
| Ein vollständiges Inventar der Lieferantenverträge | Findet Verträge in Postfächern, Laufwerken, per Weiterleitung und manuellem Upload — auch die, an die sich niemand erinnert hat — in einem zentralen Inventar |
| Die Konditionen, die Register und Governance speisen | Extrahiert die Metadaten: Parteien, Preise, Verlängerungstermine, Kündigungsfristen, Vertragsstrafen, Zahlungsbedingungen |
| Verträge, die rechtzeitig verlängert oder nachgebessert werden — nicht abgelaufen entdeckt | Verlängerungskontrolle: Alarme und Trigger auf Verlängerungstermine und Kündigungsfenster, als Ersatz für die Tabellenkalkulation |
| Verhandlungsposition, wenn Verträge zur Nachbesserung anstehen | Benchmarking: vergleicht Ihre vertraglichen Kosten, damit Nachverhandlung und DORA-getriebene Vertragsanpassung mit Daten beginnen |
Was bizSupply nicht ist:
- Kein GRC- oder Meldewerkzeug — es erzeugt und übermittelt Ihr xBRL-CSV-Register nicht. Es pflegt das Vertragsinventar und die Metadaten, aus denen Ihr Register-Team schöpft.
- Keine Compliance-Zertifizierung und keine Rechtsberatung. Ihre DORA-Pflichten bleiben Ihre; bizSupply liefert die vertragsseitige Evidenzbasis.
- Nicht bizAPIs. bizAPIs ist Infosistemas API-Produkt für Compliance-Infrastruktur (KYC, Registerdaten). bizSupply schafft Transparenz über Lieferantenverträge. Gleiche Gruppe — unterschiedliche Produkte, unterschiedliche Aufgaben.
- Kein CLM-Rollout. Keine sechsmonatige Implementierung: Die Vertragserkennung arbeitet mit dem, was Ihre Postfächer und Laufwerke bereits enthalten. Wer sechs Monate Implementierung braucht, um die eigenen Verträge zu verstehen, hat bereits verloren.
Wenn Ihr Institut irgendwo zwischen „der Prüfer hat nach unserem Vertragsregister gefragt“ und „eine Enterprise-GRC-Suite können wir nicht rechtfertigen“ steht, beginnt man am besten mit dem Fundament, von dem jede DORA-Vertragspflicht abhängt: vollständiges Inventar, extrahierte Konditionen, Verlängerungskontrolle. Genau das leistet bizSupply heute.
In Evaluierung für die Roadmap
Nichts davon ist heute gebaut. Gespräche mit Finanzunternehmen werfen immer wieder dieselben DORA-spezifischen Bedürfnisse auf, und wir evaluieren sie für die Roadmap — das Interesse von Instituten bestimmt ihre Priorität direkt:
- IKT-Lieferanten-Tagging und Kritikalitätsansichten, ausgerichtet an den Kategorien des Informationsregisters
- DORA-Addendum- und Nachbesserungs-Tracking — welche Verträge das Addendum haben, welche angepasst werden müssen
- Abgleich von Verträgen und Rechnungen
- Unterstützung bei der IKT-Drittparteien-Risikobewertung
Wenn einer dieser Punkte verändern würde, wie Ihr Institut DORA-Vertragsgovernance handhabt, sagen Sie es uns — genau dieses Signal bewegt einen Punkt von der Evaluierung in die Entwicklung.
Punkte in Evaluierung sind keine Zusagen. Stand: August 2026.
Regulatorische Grundlagen anzeigenWas DORA von Ihren Dienstleisterverträgen verlangt, der jährliche Registerzyklus und alle fünfzehn Klauseln aus Artikel 30, Klausel für Klausel.
In 30 Sekunden
- DORA verpflichtet Finanzunternehmen, ein Informationsregister über jede vertragliche Vereinbarung mit IKT-Drittdienstleistern zu führen — und jährlich einzureichen.
- Artikel 30 schreibt verpflichtende Vertragsklauseln vor, mit einer strengeren Stufe für Verträge, die kritische oder wichtige Funktionen unterstützen — einschließlich Ausstiegsstrategien und Auditrechten.
- Aufsichtsbehörden identifizieren die Drittparteien-Bestimmungen (Artikel 28–30) durchgängig als den Bereich mit den größten Compliance-Lücken — unvollständige Register, fehlende Kritikalitätsklassifizierungen, nicht konforme Klauseln.
- bizSupply gibt Banken das vertragsseitige Fundament, von dem all das abhängt: jeden Lieferantenvertrag finden, seine Konditionen extrahieren und Verlängerungen kontrollieren.
Seit dem 17. Januar 2025 macht der EU-Rechtsakt zur digitalen operationalen Resilienz — DORA, Verordnung (EU) 2022/2554 — jeden IKT-Lieferantenvertrag eines Finanzunternehmens zu einem regulierten Objekt: erfasst in einem Register, nachgebessert mit Pflichtklauseln, überwacht auf Verlängerungen, Ausstiege und Unterauftragsvergabe. Die meisten Finanzunternehmen erfüllen diese Pflicht bislang mit geteilten Ordnern und einer Tabelle.
Die meisten Finanzunternehmen haben kein Vertragsproblem. Sie haben ein Transparenzproblem, und DORA hat Transparenz gerade zur aufsichtsrechtlichen Anforderung gemacht.
Was verlangt DORA von Ihren Lieferantenverträgen?
DORAs Kapitel zum IKT-Drittparteienrisiko (Artikel 28–30) macht Vertragsgovernance zur Aufsichtsangelegenheit. Praktisch bedeutet das, eine Bank muss:
- Ein Informationsregister führen (Artikel 28 Absatz 3): ein strukturiertes Verzeichnis aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, auf Unternehmensebene und, wo anwendbar, konsolidiert — mit Kennzeichnung der Vereinbarungen, die kritische oder wichtige Funktionen unterstützen (Funktionen, deren Ausfall die Finanzleistung der Bank oder die Solidität und Kontinuität ihrer Dienstleistungen wesentlich beeinträchtigen würde).
- Es jährlich melden an die zuständige Behörde, in den Standardvorlagen der ESAs und in maschinenlesbarem Format.
- Vor Vertragsschluss prüfen (Artikel 29): Due Diligence und Bewertung des IKT-Konzentrationsrisikos, bevor Vereinbarungen eingegangen werden.
- Die Verträge selbst nachbessern (Artikel 30): ein Grundbestand verpflichtender Bestimmungen in jedem IKT-Dienstleistungsvertrag — Leistungsbeschreibungen, Datenverarbeitungsstandorte, Datenschutz, Zugang/Wiederherstellung/Rückgabe von Daten bei Beendigung, Kündigungsfristen, Unterstützung bei Vorfällen, Kündigungsrechte — plus eine erweiterte Stufe für kritische oder wichtige Funktionen: präzise quantitative und qualitative Leistungsziele, uneingeschränkte Prüf- und Inspektionsrechte, Teilnahme an bedrohungsorientierten Penetrationstests (TLPT) und Ausstiegsstrategien mit angemessener Übergangsfrist, damit die Bank den Anbieter wechseln oder Dienste ohne Unterbrechung selbst übernehmen kann (Artikel 28 Absatz 8).
- Unterauftragsvergabe kontrollieren: wissen, wann Ihre Anbieter Funktionen weitervergeben, und die vertragliche Transparenz entlang dieser Kette behalten.
Volltext: Verordnung (EU) 2022/2554 auf EUR-Lex. Sektorleitlinien: der DORA-Hub der EBA und die Materialien der ESAs zum Informationsregister.
Das Informationsregister ist jetzt eine jährliche Routine — kein einmaliges Projekt
Der erste Einreichungszyklus lief 2025. Von nun an wiederholt er sich jedes Jahr: Die Register bilden den Stand Ihrer vertraglichen Vereinbarungen zum 31. Dezember ab, die nationalen Behörden sammeln sie im ersten Quartal ein und leiten sie an die ESAs weiter — 2026 lagen die nationalen Fristen zwischen Mitte Februar und Ende März, vor der Konsolidierung der ESAs Ende März, im vorgeschriebenen xBRL-CSV-Format.
Die eigentliche Frage ist also nicht „Können wir das Register einmal aufbauen?“ — sondern „Können wir ein vollständiges, aktuelles Vertragsinventar als operative Routine führen?“ Ein Register ist nur so gut wie die Vertragstransparenz, die es speist. Wenn alte Verträge nicht zu ihrem Ursprung zurückverfolgt werden können, wenn Verlängerungen in der Tabelle einer einzelnen Person leben, wenn jede Abteilung ihre Vereinbarungen im eigenen geteilten Ordner hält — wird jeder Jahreszyklus zu einem Archäologieprojekt.
Was Artikel 30 tatsächlich verlangt, Klausel für Klausel
Artikel 30 Absatz 2 legt eine Basisstufe für jeden IKT-Dienstleistungsvertrag fest. Artikel 30 Absatz 3 ergänzt eine zweite Stufe, wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt. Beide Stufen gelten für denselben Vertrag, eine Vereinbarung der höheren Stufe trägt also alle fünfzehn.
| Ref | Was der Vertrag enthalten muss (Zusammenfassung) |
|---|---|
| 30(2)(a) | Beschreibung der Funktionen und Dienstleistungen sowie der Bedingungen, unter denen eine Unterauftragsvergabe zulässig ist |
| 30(2)(b) | Orte und Regionen, an denen Daten verarbeitet und gespeichert werden, mit vorheriger Ankündigung von Änderungen |
| 30(2)(c) | Bestimmungen zum Schutz der Daten hinsichtlich Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit |
| 30(2)(d) | Zugang zu, Wiederherstellung und Rückgabe von Daten bei Insolvenz des Dienstleisters oder Vertragsbeendigung |
| 30(2)(e) | Beschreibungen des Dienstleistungsniveaus, fortlaufend aktualisiert |
| 30(2)(f) | Unterstützung bei Vorfällen, ohne zusätzliche oder zu im Voraus festgelegten Kosten |
| 30(2)(g) | Zusammenarbeit mit Ihren zuständigen Behörden und Abwicklungsbehörden |
| 30(2)(h) | Kündigungsrechte mit Mindestkündigungsfristen |
| 30(2)(i) | Bedingungen für die Teilnahme an Schulungen zu Sicherheitsbewusstsein und digitaler operationaler Resilienz |
| Ref | Was der Vertrag enthalten muss (Zusammenfassung) |
|---|---|
| 30(3)(a) | Vollständige Beschreibungen des Dienstleistungsniveaus mit präzisen quantitativen und qualitativen Leistungszielen |
| 30(3)(b) | Melde- und Berichtspflichten bei wesentlichen Entwicklungen, die die Dienstleistung betreffen |
| 30(3)(c) | Notfallpläne und implementierte IKT-Sicherheitsmaßnahmen |
| 30(3)(d) | Teilnahme an und uneingeschränkte Mitwirkung bei Ihren bedrohungsgeleiteten Penetrationstests |
| 30(3)(e) | Laufende Überwachung, einschließlich uneingeschränkter Zugangs-, Inspektions- und Auditrechte |
| 30(3)(f) | Ausstiegsstrategien, insbesondere die Festlegung eines verbindlichen angemessenen Übergangszeitraums |
Zusammenfassungen, keine Zitate. Verbindlich ist der Text der Verordnung (EU) 2022/2554, Artikel 30.
Häufig gestellte Fragen
Was verlangt DORA von Banken in Bezug auf IKT-Lieferantenverträge?
Drei Dinge: ein Informationsregister über jede vertragliche Vereinbarung mit IKT-Drittdienstleistern führen (Artikel 28 Absatz 3), es jährlich bei der zuständigen Behörde einreichen und sicherstellen, dass die Verträge selbst die von DORA vorgeschriebenen Bestimmungen enthalten (Artikel 30) — mit strengeren Anforderungen, einschließlich Ausstiegsstrategien und Auditrechten, wenn der Dienst eine kritische oder wichtige Funktion unterstützt.
Was ist das DORA-Informationsregister?
Ein strukturiertes, maschinenlesbares Verzeichnis aller vertraglichen Vereinbarungen eines Finanzunternehmens mit IKT-Drittdienstleistern, geführt auf Unternehmensebene (und gegebenenfalls konsolidiert), mit Kennzeichnung der Vereinbarungen, die kritische oder wichtige Funktionen unterstützen. Es folgt den Vorlagen der ESAs und wird jährlich im xBRL-CSV-Format eingereicht, mit Stichtag 31. Dezember.
Wann ist das Informationsregister fällig?
Jährlich. Die national zuständigen Behörden (für Banken in Deutschland: die BaFin) legen Einreichungsfenster im ersten Quartal fest (2026 typischerweise Mitte Februar bis Ende März, je nach Land) und leiten die Register bis Ende März an die ESAs weiter. Prüfen Sie die genaue Frist Ihrer nationalen Aufsichtsbehörde.
Welche Vertragsklauseln verlangt Artikel 30 DORA?
Eine Grundausstattung für alle IKT-Dienstleistungsverträge: vollständige Leistungsbeschreibungen, Datenverarbeitungsstandorte, Datenschutzbestimmungen, Zugang/Wiederherstellung/Rückgabe von Daten bei Beendigung oder Insolvenz, Service-Levels, Unterstützung bei Vorfällen, Zusammenarbeit mit Behörden und Kündigungsrechte mit Mindestfristen. Für kritische oder wichtige Funktionen zusätzlich: präzise quantitative und qualitative Leistungsziele, erweiterte Vorfallmeldungen, uneingeschränkte Prüf-, Zugangs- und Inspektionsrechte, Teilnahme an bedrohungsorientierten Penetrationstests (TLPT) und Ausstiegsstrategien mit angemessener Übergangsfrist.
Gilt DORA für kleine Banken?
Ja. Die Verhältnismäßigkeit (Artikel 4) skaliert die Tiefe des IKT-Risikomanagementrahmens, und Artikel 16 gewährt bestimmten kleineren Unternehmenstypen einen vereinfachten Rahmen — aber die Drittparteien-Bestimmungen, einschließlich Informationsregister und Artikel-30-Vertragsklauseln, gelten unabhängig von der Größe.
Gilt das auch über Banken hinaus?
Ja. DORA erfasst rund zwanzig Kategorien von Finanzunternehmen — Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Fondsverwalter, Versicherer und mehr — und die hier beschriebenen Pflichten zum Informationsregister und zu Artikel 30 gelten für sie in gleicher Weise. Alles auf dieser Seite ist übertragbar.
Ist bizSupply ein DORA-Compliance- oder GRC-Tool?
Nein. bizSupply ist ein Produkt für Vertragstransparenz: Es findet Lieferantenverträge in Ihren Postfächern und Laufwerken, extrahiert deren kommerzielle Konditionen und kontrolliert Verlängerungen. Das ist das vertragsseitige Fundament, auf dem DORA-Governance aufbaut — aber Registererstellung, Einreichung und Compliance-Verantwortung liegen bei Ihrer Compliance-Funktion und deren Meldewerkzeugen.
Erstellt bizSupply die xBRL-CSV-Registereinreichung?
Nein. bizSupply pflegt das Vertragsinventar und die Metadaten, aus denen Ihr Register aufgebaut wird; es erstellt keine aufsichtsrechtlichen Einreichungen und reicht keine ein.
Hat bizSupply DORA-spezifische Funktionen wie Addendum-Tracking oder IKT-Lieferanten-Klassifizierung?
Heute nicht. Diese werden für die Roadmap evaluiert, und das Interesse von Finanzunternehmen bestimmt die Priorisierung. Was bizSupply heute bietet, sind das Vertragsinventar, die Metadaten-Extraktion und die Verlängerungskontrolle, auf denen diese Fähigkeiten aufbauen würden.
Worin unterscheidet sich bizSupply von bizAPIs?
Beide sind Produkte von Infosistema. bizAPIs bietet Compliance-Infrastruktur-APIs (KYC, amtliche Registerdaten) für Verifizierungsprozesse. bizSupply ist ein Produkt für die Transparenz über Lieferantenverträge für Finanz- und Drittparteien-Management-Teams. Sie lösen unterschiedliche Probleme und teilen keine Daten.
Diese Seite ist allgemeine Information über die Verordnung (EU) 2022/2554 (DORA) und die Fähigkeiten von bizSupply, zuletzt geprüft am oben angegebenen Datum. Sie ist keine Rechts- oder Aufsichtsberatung. Die Pflichten aus DORA liegen bei jedem Finanzunternehmen selbst; wenden Sie sich an Ihre Compliance-Funktion und Ihre Rechtsberatung. bizSupply ist ein Produkt von Infosistema (Joyn-Gruppe).