Zuletzt geprüft: Juli 2026
Vertragsgovernance für Banken in der DORA-Ära
Seit dem 17. Januar 2025 macht der EU-Rechtsakt zur digitalen operationalen Resilienz — DORA, Verordnung (EU) 2022/2554 — jeden IKT-Lieferantenvertrag eines Finanzunternehmens zu einem regulierten Objekt: erfasst in einem Register, nachgebessert mit Pflichtklauseln, überwacht auf Verlängerungen, Ausstiege und Unterauftragsvergabe. Die meisten Banken erfüllen diese Pflicht mit geteilten Ordnern und einer Tabellenkalkulation.
Die meisten Banken haben kein Vertragsproblem. Sie haben ein Sichtbarkeitsproblem — und DORA hat Sichtbarkeit gerade zur regulatorischen Pflicht gemacht.
In 30 Sekunden
- DORA verpflichtet Finanzunternehmen, ein Informationsregister über jede vertragliche Vereinbarung mit IKT-Drittdienstleistern zu führen — und jährlich einzureichen.
- Artikel 30 schreibt verpflichtende Vertragsklauseln vor, mit einer strengeren Stufe für Verträge, die kritische oder wichtige Funktionen unterstützen — einschließlich Ausstiegsstrategien und Prüfungsrechten.
- Aufsichtsbehörden identifizieren die Drittparteien-Bestimmungen (Artikel 28–30) durchgängig als den Bereich mit den größten Compliance-Lücken — unvollständige Register, fehlende Kritikalitätsklassifizierungen, nicht konforme Klauseln.
- bizSupply gibt Banken das vertragsseitige Fundament, von dem all das abhängt: jeden Lieferantenvertrag finden, seine Konditionen extrahieren und Verlängerungen kontrollieren.
Was verlangt DORA von Ihren Lieferantenverträgen?
DORAs Kapitel zum IKT-Drittparteienrisiko (Artikel 28–30) macht Vertragsgovernance zur Aufsichtsangelegenheit. Praktisch bedeutet das, eine Bank muss:
- Ein Informationsregister führen (Artikel 28 Absatz 3): ein strukturiertes Verzeichnis aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, auf Unternehmensebene und, wo anwendbar, konsolidiert — mit Kennzeichnung der Vereinbarungen, die kritische oder wichtige Funktionen unterstützen (Funktionen, deren Ausfall die Finanzleistung der Bank oder die Solidität und Kontinuität ihrer Dienstleistungen wesentlich beeinträchtigen würde).
- Es jährlich melden an die zuständige Behörde, in den Standardvorlagen der ESAs und in maschinenlesbarem Format.
- Vor Vertragsschluss prüfen (Artikel 29): Due Diligence und Bewertung des IKT-Konzentrationsrisikos, bevor Vereinbarungen eingegangen werden.
- Die Verträge selbst nachbessern (Artikel 30): ein Grundbestand verpflichtender Bestimmungen in jedem IKT-Dienstleistungsvertrag — Leistungsbeschreibungen, Datenverarbeitungsstandorte, Datenschutz, Zugang/Wiederherstellung/Rückgabe von Daten bei Beendigung, Kündigungsfristen, Unterstützung bei Vorfällen, Kündigungsrechte — plus eine erweiterte Stufe für kritische oder wichtige Funktionen: präzise quantitative und qualitative Leistungsziele, uneingeschränkte Prüf- und Inspektionsrechte, Teilnahme an bedrohungsorientierten Penetrationstests (TLPT) und Ausstiegsstrategien mit angemessener Übergangsfrist, damit die Bank den Anbieter wechseln oder Dienste ohne Unterbrechung selbst übernehmen kann (Artikel 28 Absatz 8).
- Unterauftragsvergabe kontrollieren: wissen, wann Ihre Anbieter Funktionen weitervergeben, und die vertragliche Sichtbarkeit entlang dieser Kette behalten.
Volltext: Verordnung (EU) 2022/2554 auf EUR-Lex. Sektorleitlinien: der DORA-Hub der EBA und die Materialien der ESAs zum Informationsregister.
Das Informationsregister ist jetzt eine jährliche Routine — kein einmaliges Projekt
Der erste Einreichungszyklus lief 2025. Von nun an wiederholt er sich jedes Jahr: Die Register bilden den Stand Ihrer vertraglichen Vereinbarungen zum 31. Dezember ab, die nationalen Behörden sammeln sie im ersten Quartal ein und leiten sie an die ESAs weiter — 2026 lagen die nationalen Fristen zwischen Mitte Februar und Ende März, vor der Konsolidierung der ESAs Ende März, im vorgeschriebenen xBRL-CSV-Format.
Die eigentliche Frage ist also nicht „Können wir das Register einmal aufbauen?“ — sondern „Können wir ein vollständiges, aktuelles Vertragsinventar als operative Routine führen?“ Ein Register ist nur so gut wie die Vertragssichtbarkeit, die es speist. Wenn alte Verträge nicht zu ihrem Ursprung zurückverfolgt werden können, wenn Verlängerungen in der Tabelle einer einzelnen Person leben, wenn jede Abteilung ihre Vereinbarungen im eigenen geteilten Ordner hält — wird jeder Jahreszyklus zu einem Archäologieprojekt.
Warum trifft das kleine und mittelgroße Banken am härtesten?
DORA skaliert mit der Verhältnismäßigkeit (Artikel 4): Die Tiefe Ihres IKT-Risikorahmens darf Ihre Größe und Ihr Risikoprofil widerspiegeln, und bestimmte kleinere Unternehmenstypen qualifizieren sich für den vereinfachten Rahmen des Artikels 16. Was die Verhältnismäßigkeit nicht tut: die Drittparteien-Vertragspflichten aufheben — Register, Artikel-30-Klauseln und Ausstiegsstrategien gelten weiterhin.
Das bringt kleinere Institute in eine Zwickmühle:
- Zu reguliert für Tabellenkalkulationen. Ein Excel-Inventar und Netzlaufwerke pro Abteilung können gegenüber einer Aufsichtsbehörde keine vollständige, aktuelle Vertragsabdeckung nachweisen.
- Zu klein für Enterprise-GRC. Die dafür gebauten Plattformen — Enterprise-GRC-Suiten — sind für Institute mit eigenen Drittparteien-Risikoteams bepreist und zugeschnitten. Eine Bank mit ein paar hundert Mitarbeitenden bekommt dieselbe Pflicht mit einem Bruchteil des Tooling-Budgets.
- Das Wissen ist konzentriert. In kleineren Instituten lebt die Vertragshistorie oft bei einer Handvoll langjähriger Mitarbeitender. DORAs Register verlangt sie in strukturierter, meldefähiger Form.
Die Zahlen
8,6 % des jährlichen Vertragswerts versickern durch schlechte Vertragsgovernance — verpasste Verlängerungen, nicht durchgesetzte Klauseln, nicht angewandte Rabatte (WorldCC / Deloitte, 2023). Für eine Bank macht DORA aus diesen stillen Kosten eine explizite Aufsichtsfeststellung.
DORA gilt seit dem 17. Januar 2025 für rund 20 Kategorien von Finanzunternehmen — Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer und mehr (Verordnung (EU) 2022/2554).
Informationsregister werden jährlich eingereicht, mit Stichtag 31. Dezember, im xBRL-CSV-Format der ESAs.
Europäische Aufsichtsbehörden identifizieren Artikel 28–30 — Register und Vertragsbestimmungen — durchgängig als den Bereich mit den größten Compliance-Lücken über alle Finanzunternehmen hinweg.
Wo passt bizSupply — und wo nicht?
bizSupply ist keine GRC-Plattform und behauptet nicht, Sie DORA-konform zu machen. Es löst die Schicht darunter, von der jede DORA-Vertragspflicht abhängt: wissen, welche Verträge Sie haben, was darin steht und wann sie sich ändern.
| Was DORA von Ihnen verlangt | Was bizSupply heute leistet |
|---|---|
| Ein vollständiges Inventar der Lieferantenverträge | Findet Verträge in Postfächern, Laufwerken, per Weiterleitung und manuellem Upload — auch die, an die sich niemand erinnert hat — in einem zentralen Inventar |
| Die Konditionen, die Register und Governance speisen | Extrahiert die Metadaten: Parteien, Preise, Verlängerungstermine, Kündigungsfristen, Vertragsstrafen, Zahlungsbedingungen |
| Verträge, die rechtzeitig verlängert oder nachgebessert werden — nicht abgelaufen entdeckt | Verlängerungskontrolle: Alarme und Trigger auf Verlängerungstermine und Kündigungsfenster, als Ersatz für die Tabellenkalkulation |
| Verhandlungsposition, wenn Verträge zur Nachbesserung anstehen | Benchmarking: vergleicht Ihre vertraglichen Kosten, damit Nachverhandlung und DORA-getriebene Vertragsanpassung mit Daten beginnen |
Was bizSupply nicht ist:
- Kein GRC- oder Meldewerkzeug — es erzeugt und übermittelt Ihr xBRL-CSV-Register nicht. Es pflegt das Vertragsinventar und die Metadaten, aus denen Ihr Register-Team schöpft.
- Keine Compliance-Zertifizierung und keine Rechtsberatung. Ihre DORA-Pflichten bleiben Ihre; bizSupply liefert die vertragsseitige Evidenzbasis.
- Nicht bizAPIs. bizAPIs ist Infosistemas API-Produkt für Compliance-Infrastruktur (KYC, Registerdaten). bizSupply ist Lieferantenvertrags-Sichtbarkeit. Gleiche Gruppe — unterschiedliche Produkte, unterschiedliche Aufgaben.
- Kein CLM-Rollout. Keine sechsmonatige Implementierung: Die Vertragserkennung arbeitet mit dem, was Ihre Postfächer und Laufwerke bereits enthalten. Wer sechs Monate Implementierung braucht, um die eigenen Verträge zu verstehen, hat bereits verloren.
Beginnen Sie mit dem vertragsseitigen Fundament
Wenn Ihr Institut irgendwo zwischen „der Prüfer hat nach unserem Vertragsregister gefragt“ und „eine Enterprise-GRC-Suite können wir nicht rechtfertigen“ steht, beginnt man am besten mit dem Fundament, von dem jede DORA-Vertragspflicht abhängt: vollständiges Inventar, extrahierte Konditionen, Verlängerungskontrolle. Genau das leistet bizSupply heute.
In Evaluierung für die Roadmap
Nichts davon ist heute gebaut. Gespräche mit Finanzunternehmen werfen immer wieder dieselben DORA-spezifischen Bedürfnisse auf, und wir evaluieren sie für die Roadmap — das Interesse von Instituten bestimmt ihre Priorität direkt:
- IKT-Lieferanten-Tagging und Kritikalitätsansichten, ausgerichtet an den Kategorien des Informationsregisters
- DORA-Addendum- und Nachbesserungs-Tracking — welche Verträge das Addendum haben, welche angepasst werden müssen
- Abgleich von Verträgen und Rechnungen
- Unterstützung bei der IKT-Drittparteien-Risikobewertung
Wenn einer dieser Punkte verändern würde, wie Ihr Institut DORA-Vertragsgovernance handhabt, sagen Sie es uns — genau dieses Signal bewegt einen Punkt von der Evaluierung in die Entwicklung.
Punkte in Evaluierung sind keine Zusagen. Stand: Juli 2026.
Häufig gestellte Fragen
Was verlangt DORA von Banken in Bezug auf IKT-Lieferantenverträge?
Drei Dinge: ein Informationsregister über jede vertragliche Vereinbarung mit IKT-Drittdienstleistern führen (Artikel 28 Absatz 3), es jährlich bei der zuständigen Behörde einreichen und sicherstellen, dass die Verträge selbst die von DORA vorgeschriebenen Bestimmungen enthalten (Artikel 30) — mit strengeren Anforderungen, einschließlich Ausstiegsstrategien und Prüfungsrechten, wenn der Dienst eine kritische oder wichtige Funktion unterstützt.
Was ist das DORA-Informationsregister?
Ein strukturiertes, maschinenlesbares Verzeichnis aller vertraglichen Vereinbarungen eines Finanzunternehmens mit IKT-Drittdienstleistern, geführt auf Unternehmensebene (und gegebenenfalls konsolidiert), mit Kennzeichnung der Vereinbarungen, die kritische oder wichtige Funktionen unterstützen. Es folgt den Vorlagen der ESAs und wird jährlich im xBRL-CSV-Format eingereicht, mit Stichtag 31. Dezember.
Wann ist das Informationsregister fällig?
Jährlich. Die national zuständigen Behörden (für Banken in Deutschland: die BaFin) legen Einreichungsfenster im ersten Quartal fest (2026 typischerweise Mitte Februar bis Ende März, je nach Land) und leiten die Register bis Ende März an die ESAs weiter. Prüfen Sie die genaue Frist Ihrer nationalen Aufsichtsbehörde.
Welche Vertragsklauseln verlangt Artikel 30 DORA?
Eine Grundausstattung für alle IKT-Dienstleistungsverträge: vollständige Leistungsbeschreibungen, Datenverarbeitungsstandorte, Datenschutzbestimmungen, Zugang/Wiederherstellung/Rückgabe von Daten bei Beendigung oder Insolvenz, Service-Levels, Unterstützung bei Vorfällen, Zusammenarbeit mit Behörden und Kündigungsrechte mit Mindestfristen. Für kritische oder wichtige Funktionen zusätzlich: präzise quantitative und qualitative Leistungsziele, erweiterte Vorfallmeldungen, uneingeschränkte Prüf-, Zugangs- und Inspektionsrechte, Teilnahme an bedrohungsorientierten Penetrationstests (TLPT) und Ausstiegsstrategien mit angemessener Übergangsfrist.
Gilt DORA für kleine Banken?
Ja. Die Verhältnismäßigkeit (Artikel 4) skaliert die Tiefe des IKT-Risikomanagementrahmens, und Artikel 16 gewährt bestimmten kleineren Unternehmenstypen einen vereinfachten Rahmen — aber die Drittparteien-Bestimmungen, einschließlich Informationsregister und Artikel-30-Vertragsklauseln, gelten unabhängig von der Größe.
Gilt das auch über Banken hinaus?
Ja. DORA erfasst rund zwanzig Kategorien von Finanzunternehmen — Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Fondsverwalter, Versicherer und mehr — und die hier beschriebenen Pflichten zum Informationsregister und zu Artikel 30 gelten für sie in gleicher Weise. Alles auf dieser Seite ist übertragbar.
Ist bizSupply ein DORA-Compliance- oder GRC-Tool?
Nein. bizSupply ist ein Produkt für Vertragssichtbarkeit: Es findet Lieferantenverträge in Ihren Postfächern und Laufwerken, extrahiert deren kommerzielle Konditionen und kontrolliert Verlängerungen. Das ist das vertragsseitige Fundament, auf dem DORA-Governance aufbaut — aber Registererstellung, Einreichung und Compliance-Verantwortung liegen bei Ihrer Compliance-Funktion und deren Meldewerkzeugen.
Erstellt bizSupply die xBRL-CSV-Registereinreichung?
Nein. bizSupply pflegt das Vertragsinventar und die Metadaten, aus denen Ihr Register aufgebaut wird; es erstellt keine aufsichtsrechtlichen Einreichungen und reicht keine ein.
Hat bizSupply DORA-spezifische Funktionen wie Addendum-Tracking oder IKT-Lieferanten-Klassifizierung?
Heute nicht. Diese werden für die Roadmap evaluiert, und das Interesse von Finanzunternehmen bestimmt die Priorisierung. Was bizSupply heute bietet, sind das Vertragsinventar, die Metadaten-Extraktion und die Verlängerungskontrolle, auf denen diese Fähigkeiten aufbauen würden.
Worin unterscheidet sich bizSupply von bizAPIs?
Beide sind Produkte von Infosistema. bizAPIs bietet Compliance-Infrastruktur-APIs (KYC, amtliche Registerdaten) für Verifizierungsprozesse. bizSupply ist ein Produkt für die Sichtbarkeit von Lieferantenverträgen für Finanz- und Drittparteien-Management-Teams. Sie lösen unterschiedliche Probleme und teilen keine Daten.
Diese Seite ist allgemeine Information über die Verordnung (EU) 2022/2554 (DORA) und die Fähigkeiten von bizSupply, zuletzt geprüft am oben angegebenen Datum. Sie ist keine Rechts- oder Aufsichtsberatung. Die Pflichten aus DORA liegen bei jedem Finanzunternehmen selbst; wenden Sie sich an Ihre Compliance-Funktion und Ihre Rechtsberatung. bizSupply ist ein Produkt von Infosistema (Joyn-Gruppe).