Kurzdefinition: Art. 30 DORA schreibt vor, welche Inhalte ein Vertrag über IKT-Dienstleistungen mindestens haben muss. Die Rechte und Pflichten von Finanzunternehmen und IKT-Drittdienstleister sind eindeutig zuzuweisen und schriftlich darzulegen. Für Dienste, die kritische oder wichtige Funktionen unterstützen, gelten zusätzliche Pflichtelemente. [N-DORA-30]
Der Normwortlaut
Art. 30 Abs. 1 DORA bestimmt: „Die Rechte und Pflichten des Finanzunternehmens und des IKT-Drittdienstleisters werden eindeutig zugewiesen und schriftlich dargelegt.“ Nach Abs. 2 umfassen die vertraglichen Vereinbarungen „mindestens“ die dort in den Buchstaben a bis i genannten Elemente; Abs. 3 verlangt für Dienste zur Unterstützung kritischer oder wichtiger Funktionen zusätzliche Elemente. [N-DORA-30]
Warum regelt DORA Vertragsinhalte?
Zur Beherrschung des Drittparteienrisikos. Ausgelagerte IKT-Dienste sind ein zentrales Risiko für Finanzunternehmen. Indem DORA Mindestinhalte vorschreibt, stellt sie sicher, dass Verantwortlichkeiten, Datenzugang und Ausstiegsrechte vertraglich abgesichert sind. [N-DORA-30]
Welche Elemente sind immer Pflicht?
Die Elemente des Abs. 2. Dazu zählen unter anderem eine vollständige Leistungsbeschreibung, die Angabe der Standorte der Leistungserbringung und Datenverarbeitung, Bestimmungen zu Verfügbarkeit, Integrität und Vertraulichkeit, der Zugang zu und die Rückgabe von Daten, Beschreibungen der Dienstleistungsgüte, Unterstützung bei IKT-Vorfällen sowie Kündigungsrechte und Mindestkündigungsfristen. [N-DORA-30]
Was gilt zusätzlich für kritische Funktionen?
Verschärfte Anforderungen nach Abs. 3. Für Dienste zur Unterstützung kritischer oder wichtiger Funktionen kommen zusätzliche Elemente hinzu — etwa vollständige Beschreibungen der Dienstleistungsgüte mit präzisen quantitativen und qualitativen Leistungszielen, damit das Finanzunternehmen die Leistung wirksam überwachen kann. [N-DORA-30]
Muss der Vertrag schriftlich sein?
Ja. Nach Art. 30 Abs. 1 DORA wird der vollständige Vertrag in einem schriftlichen Dokument dokumentiert, das den Parteien in Papierform oder in einem anderen herunterladbaren, dauerhaften und zugänglichen Format zur Verfügung steht. [N-DORA-30]
Sind Unterauftragsvergabe und Standorte zu regeln?
Ja. Der Vertrag muss angeben, ob die Vergabe von Unteraufträgen für kritische Funktionen zulässig ist und welche Bedingungen gelten, sowie die Standorte der Leistungserbringung und Datenverarbeitung nebst Vorab-Benachrichtigung bei geplanten Standortänderungen. [N-DORA-30]
Häufige Fehlannahmen
- „IKT-Verträge können formfrei geschlossen werden.“ Nein. Der Vertrag ist schriftlich zu dokumentieren. [N-DORA-30]
- „Alle IKT-Verträge haben dieselben Anforderungen.“ Nein. Für kritische oder wichtige Funktionen gelten zusätzliche Elemente. [N-DORA-30]
- „Kündigungsrechte sind optional.“ Nein. Kündigungsrechte und angemessene Kündigungsfristen gehören zu den zu regelnden Vertragselementen. [N-DORA-30]
- „Der Datenzugang muss nicht geregelt werden.“ Doch. Zugang, Wiederherstellung und Rückgabe der Daten sind zu vereinbaren. [N-DORA-30]
- „Standorte der Datenverarbeitung sind unerheblich.“ Nein. Sie sind anzugeben, samt Vorab-Benachrichtigung bei Änderungen. [N-DORA-30]
- „Die Aufzählung in Abs. 2 ist abschließend.“ Nein. Es sind Mindestinhalte; weitere Regelungen sind möglich und für kritische Funktionen sogar geboten. [N-DORA-30]
Was die Geschäftsleitung tun sollte
- Verträge prüfen. Bestehende IKT-Verträge gegen die Pflichtelemente des Art. 30 DORA abgleichen.
- Kritische Dienste erkennen. Verträge für kritische oder wichtige Funktionen um die Zusatzelemente ergänzen.
- Ausstieg sichern. Kündigungsrechte, Datenrückgabe und Ausstiegsstrategien vertraglich verankern.
- Nachträge veranlassen. Altverträge bei Bedarf anpassen.
Für die Geschäftsleitung
Art. 30 DORA verlagert Resilienz in den Vertrag: Wer IKT-Dienste einkauft, muss Verantwortlichkeiten, Datenzugang und Ausstieg schriftlich absichern. Ein systematischer Abgleich aller IKT-Verträge gegen die Pflichtelemente ist der wirksamste Hebel, um das Drittparteienrisiko rechtssicher zu beherrschen.
Quellen
- [N-DORA-30] Art. 30 DORA (VO (EU) 2022/2554, Wesentliche Vertragsbestimmungen). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
