Was sind IKT-Unterauftragnehmer und Weitervergabe?
IKT-Unterauftragnehmer und Weitervergabe bezeichnen im DORA-Kontext die Einschaltung weiterer Dienstleister durch einen IKT-Drittdienstleister; das besondere RTS-Regime betrifft Leistungen für kritische oder wichtige Funktionen oder wesentliche Teile davon.
Einordnung: Der Ausdruck „IKT-Unterauftragnehmer“ besitzt in den hier maßgeblichen Normen keine eigenständige abstrakte Legaldefinition. Die vertragliche Zulässigkeit ist Voraussetzung für die geregelte Weitervergabe, aber kein Definitionsmerkmal des Unterauftragnehmers.
Der Normwortlaut
Die vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen umfassen mindestens folgende Elemente: a) eine klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen, die vom IKT-Drittdienstleister zu erbringen sind, wobei angegeben wird, ob die Untervergabe einer IKT-Dienstleistung zur Unterstützung einer kritischen oder wichtigen Funktion oder wesentlicher Teile davon zulässig ist und wenn ja, unter welchen Bedingungen diese Untervergabe erfolgt;
Verordnung (EU) 2022/2554 (DORA), Artikel 30 Absatz 2 Buchstabe a, amtlicher Wortlaut bei EUR-Lex.
Auslegung: Kumulativ konkretisiert Artikel 3 Absatz 1 der Delegierten Verordnung (EU) 2025/532 diese Grundnorm: Das Finanzunternehmen muss vor Vertragsschluss entscheiden, ob die einschlägige Weitervergabe erlaubt wird, und darf den Vertrag nur schließen, wenn es festgestellt hat, dass sämtliche Bedingungen der Buchstaben a bis j erfüllt sind. Eine Ausnahme von diesen Bedingungen ist nicht vorgesehen.
Quellenebene: Dieser Beitrag trennt den zitierten Normtext von seiner quellengebundenen Einordnung. Eine darüber hinausgehende eigenständige Behördenpraxis ist in den Recherchegrundlagen nicht belegt und wird nicht behauptet.
Wann gilt das besondere RTS-Regime?
Es gilt ausschließlich für weitervergebene IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen. Sonstige IKT-Untervergaben fallen nicht allein wegen einer Unterauftragskette unter dieses besondere Regime; die allgemeinen DORA-Anforderungen bleiben unberührt. Bei konsolidierter oder teilkonsolidierter Anwendung muss das verantwortliche Mutterunternehmen eine konsistente und angemessene Umsetzung in den Gruppenunternehmen sicherstellen, soweit die Weitervergabe vertraglich zulässig ist.
Was muss vor Vertragsschluss geprüft werden?
Das Finanzunternehmen muss bei einem beabsichtigten Vertrag mit erlaubter einschlägiger Weitervergabe vor dem Abschluss feststellen, dass alle Voraussetzungen des Artikels 3 Absatz 1 Buchstaben a bis j der Delegierten Verordnung erfüllt sind. Dazu gehören die dort geregelten Anforderungen an Sorgfalt, Identifizierbarkeit und Information, Ressourcen, Risikoanalyse sowie durchgängige Zugangs- und Prüfungsrechte. Die Prüfung darf nicht auf eine Auswahl dieser Bedingungen verkürzt werden.
Was muss der Vertrag zur Weitervergabe regeln?
Bei zulässiger Weitervergabe muss der Vertrag insbesondere bestimmen, welche IKT-Dienstleistungen oder wesentlichen Teile weitervergeben werden dürfen und unter welchen Bedingungen. Der IKT-Drittdienstleister bleibt für die Leistungen seiner Unterauftragnehmer verantwortlich, muss sie überwachen und wesentliche Änderungen der Unterauftragsvereinbarungen melden. Kontinuität, Sicherheitsanforderungen sowie Zugangs-, Inspektions- und Auditrechte müssen entlang der relevanten Kette vertraglich abgesichert sein.
Welche Fristen und Schwellen gelten?
Es gibt keine allgemeine Kalendertagesfrist und keine quantitative Schwelle. Die Zulässigkeits- und Bedingungsprüfung muss vor Vertragsschluss erfolgen. Danach ist die Risikobewertung periodisch vorzunehmen, ohne dass die Delegierte Verordnung eine feste Frequenz nennt. Beabsichtigte wesentliche Änderungen muss der IKT-Drittdienstleister so früh ankündigen, dass das Finanzunternehmen die Risiken und die Vertragserfüllung vor der Umsetzung bewerten kann.
Welche Risiken sind entlang der Kette zu bewerten?
Die fallbezogene Bewertung erfasst insbesondere Art der Leistung, Standorte der Unterauftragnehmer und der tatsächlichen Leistungserbringung, Verarbeitung und Speicherung von Daten, Datenarten sowie Länge und Komplexität der Unterauftragskette. Hinzu kommen Kontinuität, Sicherheitsanforderungen und die tatsächliche Ausübbarkeit von Zugangs-, Inspektions- und Auditrechten. Daraus folgt keine pauschale technische Zertifizierungspflicht.
Wann muss ein Beendigungsrecht bestehen?
Für eine nicht ausdrücklich genehmigte Weitervergabe einer erfassten IKT-Dienstleistung muss dem Finanzunternehmen nach Artikel 7 in Verbindung mit Artikel 6 Buchstabe c der Delegierten Verordnung ein Beendigungsrecht zur Verfügung stehen. Das bedeutet nicht, dass der Vertrag automatisch endet; das vertragliche Recht muss vielmehr ausgeübt werden können.
Häufige Fehlannahmen
- „Weitervergabe ist generell verboten.“ Nein. Sie kann zulässig sein, wenn der Vertrag sie vorsieht, ihre Bedingungen festlegt und die einschlägigen Voraussetzungen erfüllt sind.
- „Jede IKT-Unterauftragskette unterliegt dem besonderen RTS-Regime.“ Nein. Das Sonderregime betrifft Leistungen für kritische oder wichtige Funktionen oder wesentliche Teile davon.
- „Mit der Weitervergabe geht die regulatorische Verantwortung über.“ Nein. Der IKT-Drittdienstleister bleibt für die untervergebenen Leistungen verantwortlich; die Endverantwortung des Finanzunternehmens für seine Pflichten bleibt ebenfalls bestehen.
- „Für Prüfungen und Änderungsmeldungen gilt stets eine feste Tagesfrist.“ Nein. Vor Vertragsschluss gilt ein klarer Prüfzeitpunkt; für die periodische Bewertung und die Vorankündigung wesentlicher Änderungen nennt das RTS keine feste Zahl von Tagen.
- „Eine ungenehmigte Weitervergabe beendet den Vertrag automatisch.“ Nein. Vorgesehen ist ein verfügbares Beendigungsrecht, keine automatische Beendigung.
- „Gruppeninterne Unterauftragnehmer sind pauschal ausgenommen.“ Nein. Eine solche generelle Ausnahme besteht nicht.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind organisatorische Empfehlungen und werden nicht als zusätzliche gesetzliche Einzelpflichten ausgegeben.
- Unterauftragnehmerrisiken ausdrücklich in den IKT-Risikomanagementrahmen und seine laufende Überwachung einbeziehen.
- Klare Verantwortlichkeiten für Vorabprüfung, Vertragsfreigabe, Änderungsbewertung und Eskalation festlegen.
- Für jeden relevanten Vertrag nachvollziehbar dokumentieren lassen, welche Leistungen weitervergeben werden dürfen, welche Bedingungen gelten und ob sämtliche Voraussetzungen vor Vertragsschluss geprüft wurden.
- Identifizierbarkeit, Standorte, Datenflüsse, Kettenkomplexität sowie Zugangs-, Inspektions- und Auditrechte in einem prüfbaren Nachweis zusammenführen.
- Prozesse für periodische Risikobewertungen, rechtzeitige Änderungsmeldungen, Gegenmaßnahmen und die Entscheidung über Beendigungsrechte einrichten.
Operative Aufgaben können delegiert werden. Die letztendliche Verantwortung des Leitungsorgans für das IKT-Risikomanagement bleibt nach Artikel 5 Absatz 2 DORA bestehen.
Für die Geschäftsleitung
Das besondere Regime reicht nur bis zu Weitervergaben für kritische oder wichtige Funktionen oder wesentliche Teile davon. Entscheidend sind die bewusste Zulassungsentscheidung und die vollständige Prüfung vor Vertragsschluss sowie die laufende Kontrolle von Vertrag, Risiken und wesentlichen Änderungen. Als Nachweis sollten Verantwortlichkeiten, Prüfergebnis, Vertragsbedingungen, relevante Unterauftragnehmer, Risikobewertungen, Meldungen und gegebenenfalls die Entscheidung über ein Beendigungsrecht nachvollziehbar dokumentiert sein.
Quellen
- Verordnung (EU) 2022/2554 (DORA), insbesondere Artikel 5 Absatz 2, Artikel 30 Absatz 2 Buchstabe a und Artikel 30 Absatz 5 Unterabsatz 4.
- Delegierte Verordnung (EU) 2025/532, insbesondere Erwägungsgründe 4 und 5 sowie Artikel 1 bis 7.
