DORA-Fragebögen als Vertragsbedingungen beantworten

Ein DORA-Fragebogen funktioniert am besten, wenn jede Antwort eine Zusage enthält, die Ihre Rechts-, Sicherheits- und Serviceteams einhalten können. Nach der Verordnung über die digitale operationale Resilienz der EU fließen viele dieser Antworten in eines von zwei Dokumenten ein: in den schriftlichen Vertrag, den Ihr Kunde mit Ihnen schließen muss, oder in das Informationsregister, das er für jeden IKT-Vertrag führt. Eine Antwort, die Eindruck machen soll, kann Sie daher an ein Prüfungsrecht, ein Servicelevel oder eine Kündigungsfrist binden, die niemand genehmigt hat. Dieser Leitfaden führt Sie der Reihe nach durch die Aufgabe: Legen Sie den Umfang Ihrer Dienstleistung fest, bereiten Sie Ihre Identifikatoren vor, ordnen Sie jede Frage der entsprechenden Vertragsklausel zu, antworten Sie auch für Ihre Unterauftragnehmer, nutzen Sie Zertifizierungen als Nachweise und verpflichten Sie sich nur zu Abläufen, die Sie tatsächlich umsetzen können.

Wer ihn beantwortet und was zuerst zusammenzutragen ist

Sie beantworten ihn als Anbieter. DORA definiert einen IKT-Drittdienstleister als jedes Unternehmen, das IKT-Dienstleistungen erbringt. Mit dem Fragebogen bewertet Sie eine Bank, ein Versicherer oder eine Investmentgesellschaft in der EU, bevor sie einen Vertrag mit Ihnen abschließt oder verlängert. Rechnen Sie künftig sowohl bei Vertragsverlängerungen als auch bei Neuverträgen mit diesen Fragen.

Er steht neben den anderen Due-Diligence-Fragebögen, die Ihr Team bearbeitet. Zudem überschneidet er sich mit der umfassenderen Lieferanten-Due-Diligence, die ein Kunde aus dem Finanzsektor durchführt. Der Unterschied liegt darin, wo die Antworten einfließen. Bevor jemand einen Entwurf erstellt, tragen Sie die Dokumente zusammen, anhand derer die Antworten geprüft werden:

• der Vertragsentwurf oder DORA-Nachtrag, den Sie mit diesem Kunden unterzeichnen würden
• eine aktuelle Liste aller Unterauftragnehmer, die den Service unterstützen, einschließlich ihrer jeweiligen Aufgaben
• Ihre aktuellen Zertifizierungen und Auditberichte mit Geltungsbereich und Datum
• Ihr Incident-Response-Runbook, einschließlich der Frage, wie und wann Sie Kunden benachrichtigen
• Ihr Service-Level-Zeitplan sowie Ihr Verfahren für den Ausstieg und die Datenrückgabe

Benennen Sie anschließend für jedes Thema einen Verantwortlichen, bevor der Fragebogen aufgeteilt wird. Die Rechtsabteilung übernimmt alles, was wie eine Vertragsklausel formuliert ist, und die Sicherheitsabteilung verantwortet die Fragen zu Kontrollen und Nachweisen. Der Servicebereich übernimmt Service Levels, die Bearbeitung von Vorfällen und den Ausstieg. Wer Ihre eigenen Anbieter verwaltet, verantwortet die Antworten zu Unterauftragnehmern. Der Bid-Manager verantwortet die gesamte Antwort und gibt sie frei.

Klären Sie, ob Ihr Service eine kritische oder wichtige Funktion unterstützt

Bevor Sie Ihren Entwurf erstellen, fragen Sie Ihren Kunden, ob Ihre Dienstleistung eine seiner kritischen oder wichtigen Funktionen unterstützt. Diese eine Information entscheidet darüber, wie viel vom Fragebogen zum Vertragsbestandteil wird.

Ein Ja löst eine zweite Stufe von Pflichten aus. DORA verlangt zusätzliche Vertragsbedingungen für einen Dienst, der eine kritische oder wichtige Funktion unterstützt. Dazu gehören vollständige Beschreibungen der Service Levels mit präzisen Zielvorgaben. Außerdem umfassen sie uneingeschränkte Zugangs-, Inspektions- und Auditrechte für drei Parteien: den Kunden, einen von ihm beauftragten Dritten und seine Aufsichtsbehörde. Bei einem Ja gilt zudem die Delegierte Verordnung (EU) 2025/532 der Kommission zur Untervergabe. Sie legt Bedingungen für Ihre Unterauftragnehmerkette fest, die für einen nicht kritischen Dienst nicht gelten.

Eine falsche Einstufung hat in jedem Fall Folgen. Beantworten Sie die Frage zu einem kritischen Service so, als wäre er nicht kritisch, beschreiben Sie einen Vertrag, den der Kunde nicht unterzeichnen kann. Beantworten Sie die Frage zu einem nicht kritischen Service nach dem Standard für kritische Services, räumen Sie möglicherweise unnötige Audit-Rechte ein und machen detaillierte Angaben zu Service Levels, die niemand benötigt.

Wenn der Fragebogen keine Klassifizierung nennt, fragen Sie über den Klärungsweg des Kunden nach. Formulieren Sie die Frage so, dass sie mit Ja oder Nein beantwortet werden kann, zum Beispiel: Unterstützt die Leistung im Rahmen dieses Vertrags eine kritische oder wichtige Funktion oder einen wesentlichen Teil davon? Wenn Sie vor Ablauf der Frist keine Antwort erhalten, geben Sie in Ihrer Antwort an, auf welcher Grundlage Sie geantwortet haben. Jede Verpflichtung wird dann auf dieser Grundlage ausgelegt.

Ein Nein bedeutet nicht, dass Sie nicht mehr in den Anwendungsbereich fallen. Ein Dienst, der keine kritische Funktion unterstützt, wird dennoch in das Informationsregister des Kunden aufgenommen. Der nächste Abschnitt gilt daher in jedem Fall.

Halten Sie Ihre Identifikatoren für das Informationsregister bereit

Halten Sie die Kennung Ihrer juristischen Person bereit, bevor Sie beginnen. DORA verpflichtet jedes Finanzunternehmen, ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen zu führen. Ihre Antworten liefern die dafür erforderlichen Angaben. Deshalb wird im Fragebogen danach gefragt, wer Sie sind, welche juristische Person den Vertrag schließt, welche Dienstleistung Sie erbringen und wer Sie dabei unterstützt.

Das Register umfasst mehr als nur kritische Dienste. Auch für einen kleinen, nicht kritischen Dienst ist eine eindeutige Antwort zur Identifizierung erforderlich.

Durchführungsverordnung (EU) 2024/2956 der Kommission ist die Durchführungsnorm für das Register. Sie legt fest, wie Sie darin identifiziert werden:

• Ein in der EU niedergelassener Anbieter wird anhand seines LEI oder seiner EUID identifiziert.
• Ein außerhalb der EU niedergelassener Anbieter wird ausschließlich anhand seiner LEI identifiziert.

Daraus ergeben sich drei praktische Punkte:

• Verwenden Sie die Kennung des Unternehmens in Ihrer Gruppe, das diesen Vertrag unterzeichnen wird, nicht die Kennung der Muttergesellschaft.
• Wenn diese Gesellschaft außerhalb der EU ansässig ist und keine LEI hat, beantragen Sie eine, bevor Sie antworten, da sie im Register durch nichts anderes identifiziert wird.
• Halten Sie den eingetragenen Namen und die Kennung des Rechtsträgers im Fragebogen und im Vertrag identisch. Bei Abweichungen muss der Kunde zunächst ein Datenproblem klären, bevor er Sie erfassen kann.

Ordnen Sie jede Frage der Vertragsklausel zu, in die sie einfließt

Kennzeichnen Sie jede Frage mit der DORA-Vertragsbestimmung, in die sie einfließt, und der Person, die sie genehmigt. DORA verlangt, dass die Rechte und Pflichten beider Parteien klar zugeordnet und schriftlich festgehalten werden, wobei die SLA in einem schriftlichen Dokument zusammenzufassen sind. Im Fragebogen erfasst Ihr Kunde die Inhalte für dieses Dokument. Eine Antwort zum Speicherort Ihrer Daten ist ein erster Entwurf der Standortklausel. Eine Antwort zur Unterstützung bei Vorfällen ist ein erster Entwurf der Unterstützungsklausel.

Ein Fragebogen ist in der Regel nach den Themen seines Verfassers gegliedert, nicht nach dem Vertrag. Die Fragen nach Vertragsbestimmung zu sortieren, erfüllt drei Zwecke. Es zeigt, welche Antworten die Rechtsabteilung prüfen muss. Es trennt die Bedingungen, die nur für eine kritische Dienstleistung gelten. Und es weist jeder Verpflichtung einen Genehmiger zu, der dafür einsteht.

Eine Klauselübersicht zum Kopieren

Nutzen Sie für alles, was die Übersicht nicht abdeckt, ein einziges Prüfkriterium:

• Wenn eine Antwort eine Zahl festlegt, ein Recht einräumt, einen Ort nennt oder Kosten festschreibt, behandeln Sie sie als Vertragsbedingung. Leiten Sie sie an das Team weiter, das sie einhalten muss.
• Wenn die Antwort lediglich Ihre heutige Arbeitsweise beschreibt, kann der Themenverantwortliche sie freigeben.

In jedem Fall gibt der Bid-Manager das gesamte Angebot frei und trägt die Verantwortung für die Verpflichtungen, die das Unternehmen damit eingeht.

In SEQUESTO: Jede Frage in einem SEQUESTO aOS Projekt hat einen eigenen Prüfer und Genehmiger. Die Rechtsabteilung genehmigt die Antworten, die zu Vertragsbedingungen werden, und die Sicherheitsabteilung genehmigt die Antworten zu Kontrollen, bevor der Bid-Manager die Freigabe erteilt.

Beantworten Sie Fragen zu Unterauftragnehmern anhand Ihrer tatsächlichen Lieferkette

Führen Sie alle Unterauftragnehmer auf, die die Dienstleistung tatsächlich unterstützen. Bei einer kritischen oder wichtigen Funktion darf Ihr Kunde nur dann einen Vertrag mit Ihnen schließen, wenn Sie drei Dinge leisten können: alle diese Unterauftragnehmer benennen, den Kunden über sie informieren und ihm die Informationen bereitstellen, die er für ihre Bewertung benötigt. Diese Bedingung ergibt sich aus der Verordnung zur Unterauftragsvergabe. Eine vage Antwort, etwa ein Verweis auf vertrauenswürdige Partner, gibt dem Kunden einen Grund, den Vertrag nicht zu unterzeichnen.

Zwei weitere Vorschriften derselben Verordnung bestimmen, welche Angaben Sie wahrheitsgemäß machen können:

• Prüfrechte. Soweit Unterauftragsvergabe zulässig ist, muss der Vertrag jeden Unterauftragnehmer verpflichten, Ihrem Kunden und dessen Aufsichtsbehörden dieselben Zugangs-, Inspektions- und Prüfrechte einzuräumen, die auch Sie gewähren.
• Änderungen. Sie dürfen eine wesentliche Änderung an der Unterbeauftragung erst vornehmen, nachdem der Kunde ihr zugestimmt hat oder eine angemessene Ankündigungsfrist ohne Widerspruch verstrichen ist.

Prüfen Sie daher, was Ihre eigenen Unterverträge zulassen, bevor jemand eine Audit-Frage mit Ja beantwortet. Wenn beispielsweise die Bedingungen eines Hosting-Anbieters keine entsprechenden Auditrechte vorsehen, würden Sie etwas versprechen, das Sie nicht einhalten können.

Prüfen Sie für jeden Unterauftragnehmer auf Ihrer Liste drei Punkte, bevor Sie antworten:

1. Unterstützt er die Dienstleistung, die Sie diesem Kunden anbieten, oder einen wesentlichen Teil davon?
2. Gewähren Ihre Vereinbarungen mit diesem Anbieter dieselben Zugangs-, Inspektions- und Prüfungsrechte?
3. Können Sie diesen Kunden über eine Änderung daran informieren und die Genehmigung oder das Ausbleiben eines Widerspruchs abwarten, bevor die Änderung wirksam wird?

Ein Nein auf die zweite oder dritte Frage weist auf eine Lücke hin, die Sie jetzt mit der Rechtsabteilung klären sollten. Das ist kein Detail, das Sie in der Antwort beschönigen sollten.

Nutzen Sie Zertifizierungen als Nachweis, nicht als Antwort

Ein ISO 27001-Zertifikat oder ein SOC 2-Bericht stützt Ihre Antwort, vervollständigt sie aber nicht. Ihr Kunde darf sich auf Dauer nicht ausschließlich auf Zertifizierungen oder Auditberichte verlassen. Diese Vorgabe stammt aus der Delegierten Verordnung (EU) 2024/1773 der Kommission über die Leitlinie des Finanzunternehmens zur Nutzung von IKT-Drittdienstleistungen. Dieselbe Verordnung verpflichtet den Kunden zu prüfen, ob der Umfang eines Berichts seine Systeme und wesentlichen Kontrollen abdeckt und ob der Bericht noch aktuell ist.

Diese Antworten haben erhebliches Gewicht. Nach DORA dürfen Finanzunternehmen nur Verträge mit IKT-Dienstleistern schließen, die angemessene Standards für die Informationssicherheit einhalten. Ihre Antworten zur Sicherheit entscheiden darüber, ob der Vertrag unterzeichnet werden kann.

Formulieren Sie jede Antwort zu einer Kontrollanforderung so, dass sie auch ohne den Anhang verständlich ist:

• Beschreiben Sie, worin die Kontrollmaßnahme besteht und wie sie für diesen Service umgesetzt wird.
• Geben Sie an, wo der Kunde dies im Bericht überprüfen kann.
• Nennen Sie in der Antwort den Geltungsbereich und das Datum des Berichts, damit der Kunde nicht selbst prüfen muss, ob er anwendbar ist.

Zwei Prüfungen entscheiden darüber, ob ein Bericht die Antwort stützt oder sie untergräbt:

• sein Geltungsbereich umfasst den Service, die Systeme und die Standorte, die dieser Kunde nutzen wird
• der Gültigkeitszeitraum ist aktuell, und Sie wissen, wann die nächste fällig ist

Wenn eine der beiden Prüfungen negativ ausfällt, weisen Sie darauf hin und erläutern Sie, wie die Lücke abgedeckt wird. Hängen Sie den Bericht nicht einfach an und hoffen Sie, dass das genügt. Bei einer kritischen oder wichtigen Funktion hat der Kunde zudem uneingeschränkte Prüfrechte. Kann er etwas anhand des Berichts nicht verifizieren, kann er es vor Ort prüfen. Erfahren Sie mehr darüber, wie Sie belastbare Antworten zu Sicherheitsfragen formulieren, wenn der Bericht allein nicht ausreicht.

In SEQUESTO: Sie hängen einen Bericht, etwa Ihren SOC 2-Bericht, an die Antwort an, die er belegt. Wenn eine neue Version hochgeladen wird, wird jede Antwort, die auf die alte Version verwiesen hat, zur Prüfung markiert.

Verpflichten Sie sich nur zu Service Levels sowie Störungs- und Ausstiegsbedingungen, die Sie einhalten können

Verpflichten Sie sich nur zu Service Levels sowie Regelungen für Vorfälle und den Vertragsausstieg, die Ihre Teams bereits umsetzen. Denn jede davon wird zu einer schriftlichen Verpflichtung, auf die Ihr Kunde Sie festlegen kann. Manchmal wird in einer Frage mehr verlangt, als Ihre Standardbedingungen vorsehen. Weisen Sie in Ihrer Antwort darauf hin und nennen Sie die Bedingung, die Sie anbieten, statt den höheren Wert zu akzeptieren, nur damit die Antwort stimmig wirkt. Die Abweichung wird anschließend in den Vertragsverhandlungen geklärt, unter Einbeziehung der Rechtsabteilung.

Service Levels und Vorfälle

Bei einer kritischen oder wichtigen Funktion müssen die Beschreibungen der Service Levels so präzise sein, dass der Kunde Korrekturmaßnahmen ergreifen kann, wenn Sie einen Zielwert verfehlen. Nennen Sie die Kennzahlen, die Ihr Monitoring bereits erfasst, und erläutern Sie, wie Sie diese messen.

Ihre Antworten zu Vorfällen zeigen dem Kunden, wie schnell Sie ihn informieren. Geben Sie die in Ihrem Runbook festgelegten Benachrichtigungsfristen an. Lassen Sie den Vertrieb bestätigen, ob die Unterstützung bei Vorfällen kostenlos ist oder zu einem Preis berechnet wird, den Sie bereits nennen können.

Ausstieg und Datenrückgabe

Jeder IKT-Vertrag muss den Zugriff auf die Daten des Kunden, deren Wiederherstellung und Rückgabe in einem leicht zugänglichen Format regeln. Dies gilt, wenn Sie zahlungsunfähig werden, ein Abwicklungsverfahren durchlaufen, den Geschäftsbetrieb einstellen oder der Vertrag endet. Nennen Sie das Format und den Prozess, den Sie verwenden würden. Lassen Sie sich vom Service-Delivery-Team bestätigen, dass Ihr Team diesen Prozess tatsächlich bereits durchgeführt hat.

Meldepflichtige Änderungen

Der Vertrag muss die Standorte nennen, an denen Sie die Dienstleistung erbringen sowie Daten verarbeiten und speichern. Zudem muss er vorschreiben, dass Änderungen vorab angekündigt werden. Auch wesentliche Änderungen bei Unterauftragnehmern sind kundenspezifisch, sodass für jeden Kunden eigene Mitteilungsfristen gelten können. Erfassen Sie jede Zusage beim jeweiligen Kunden in einer Antwortbibliothek mit Verantwortlichen und Prüfterminen. So gibt der nächste Fragebogen Ihre Vereinbarungen wieder, statt neue Angaben zu erfinden.

Checkliste für die Beantwortung eines DORA-Fragebogens

Prüfen Sie dies, bevor Sie die Antwort freigeben. Jede Zeile sollte auf die Antwort zutreffen, die Sie gleich einreichen.

• Der Kunde hat bestätigt, ob der Service eine kritische oder wichtige Funktion unterstützt, oder in der Antwort ist angegeben, auf welcher Grundlage Sie geantwortet haben.
• Der LEI der vertragschließenden Rechtseinheit oder, falls sie in der EU niedergelassen ist, ihre EUID ist in der Antwort enthalten und stimmt mit der Rechtseinheit überein, die unterzeichnen wird.
• Jede Frage ist der DORA-Bestimmung zugeordnet, in die sie einfließt, und nennt einen zuständigen Genehmiger.
• Jeder Unterauftragnehmer, der die Dienstleistung unterstützt, ist aufgeführt und räumt dieselben Zugangs-, Inspektions- und Auditrechte ein.
• Jede angeführte Zertifizierung und jeder angeführte Bericht deckt den betreffenden Service ab und ist aktuell.
• Jede Verpflichtung zu Service Levels, Vorfällen, Ausstieg und Benachrichtigungen wird von dem dafür zuständigen Team genehmigt und für diesen Kunden dokumentiert.

Beginnen Sie bei Ihrem nächsten DORA-Fragebogen mit der ersten Zeile. Solange der Geltungsbereich nicht geklärt ist, bleibt jede weitere Antwort eine Vermutung darüber, für welchen Vertrag Sie sie formulieren.