DORA verlangt Nachweisbarkeit – wer trägt die Verantwortung bei ausgelagerter IT?
Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (DORA) für Finanzinstitute in der gesamten EU. Die Verordnung legt fest, wie Banken, Versicherungen, Wertpapierfirmen und andere beaufsichtigte Institute ihre digitale Betriebsstabilität organisieren müssen. Betroffen sind dabei die Institute selbst ebenso wie die IT-Dienstleister, mit denen sie zusammenarbeiten.
Eine Frage taucht dabei besonders häufig auf: Wer haftet, wenn ein Institut seine IT an einen externen Partner auslagert und dort etwas schiefläuft? Diese Frage ist in DORA eindeutig beantwortet.
Wer haftet, wenn IT-Prozesse ausgelagert werden?
Die Antwort ist klar geregelt: Die Verantwortung für die digitale Resilienz bleibt beim Finanzinstitut – auch dann, wenn IT-Prozesse vollständig an einen externen Partner übergeben werden. Das schreiben die Artikel 28 bis 30 DORA fest. Ein Institut kann Betriebsleistungen auslagern. Die Pflicht, gegenüber der Aufsicht nachzuweisen, dass diese Leistungen sicher und nachvollziehbar erbracht werden, bleibt aber beim Institut selbst.
Das ist ein bewusster regulatorischer Ansatz: DORA will verhindern, dass sich ein Institut aus seiner Verantwortung "herausorganisiert", indem es kritische Aufgaben einfach an Dritte weiterreicht.
Warum Auslagerung trotzdem sinnvoll ist
Wenn die Verantwortung ohnehin beim Institut bleibt, drängt sich eine berechtigte Frage auf: Warum überhaupt auslagern?
Die Antwort liegt in den Anforderungen selbst. DORA und die parallel geltende MaRisk verlangen spezialisiertes Fachwissen, kontinuierliche Überwachung und dokumentierte Prozesse. Diese intern aufzubauen und dauerhaft auf aktuellem Stand zu halten, bedeutet einen erheblichen Aufwand – ein spezialisierter Betriebspartner bringt dieses Know-how bereits mit.
Hinzu kommt die Wahlfreiheit bei der technischen Umsetzung: Der Betrieb kann im eigenen Rechenzentrum des Instituts, in einer privaten Cloud oder in der Public Cloud erfolgen, je nach den eigenen regulatorischen und individuellen Anforderungen. So kann ein Institut seine IT-Strategie an die eigenen Vorgaben individuell anpassen, und dies von einem erfahrenen Partner sicher, souverän und nachweisbar compliant betreiben lassen.
Am Ende zählt vor allem die operative Entlastung. Fachkräfte für Cloud-Betrieb und IT-Sicherheit sind knapp: Bundesweit gibt es aktuell rund 109.000 unbesetzte IT-Stellen (Quelle: Bitkom, 2026). Ein Betriebspartner mit vorhandenem Spezialwissen schließt diese Lücke, ohne dass ein Institut dafür über Jahre eigene Teams aufbauen muss.
Was das für die Zusammenarbeit mit einem IT-Dienstleister bedeutet
Auch wenn die Haftung beim Institut bleibt, ist der IT-Dienstleister damit nicht aus der Pflicht. DORA verlangt in Artikel 30 konkrete vertragliche Vereinbarungen mit sogenannten IKT-Drittdienstleistern: vollständige Leistungsbeschreibungen, messbare Service Level, klare Angaben zu Standorten der Leistungserbringung und Datenverarbeitung sowie Prüf- und Zugangsrechte für die Aufsicht.
Ein IT-Dienstleister, der Finanzinstitute betreut, muss also so arbeiten, dass sein Kunde diese Nachweise jederzeit liefern kann. Damit unterstützt der Dienstleister das Institut dabei, seine eigenen DORA-Pflichten zu erfüllen. Die aufsichtsrechtliche Pflicht selbst bleibt beim Institut.
Was die Aufsicht in der Praxis bereits prüft
Die BaFin hat 2026 begonnen, DORA-Anforderungen bei einzelnen Instituten gezielt zu prüfen. Erste Rückmeldungen zeigen laut dem Bundesverband Öffentlicher Banken Deutschlands (VÖB), worauf es der Aufsicht ankommt: Institute sollten genau wissen, welche ihrer Funktionen und Prozesse kritisch für den Geschäftsbetrieb sind, klare interne Zuständigkeiten für das Thema digitale Resilienz haben und ihre Sicherheitsüberwachung lückenlos über alle relevanten Systeme hinweg organisieren (Quelle: VÖB, 2026).
Diese Punkte betreffen zunächst das Institut selbst. Sie zeigen aber auch, welche Erwartungen ein Institut an seinen IT-Betriebspartner stellen sollte: konkrete Nachvollziehbarkeit und Nachweisbarkeit im laufenden Betrieb.
Worauf Finanzinstitute bei der Wahl eines Betriebspartners achten sollten
Nachweisbarkeit entsteht im laufenden Betrieb, durch das, was sich dort tatsächlich überprüfen lässt. Ein paar konkrete Punkte helfen dabei, das bereits bei der Auswahl eines Betriebspartners einzuschätzen:
- Dokumentierte Prozesse, die im Ernstfall auch tatsächlich vorgeführt und geprüft werden können.
- Vertragliche Transparenz gemäß den Anforderungen aus Artikel 30 DORA.
- Anerkannte Sicherheitsstandards, die regelmäßig extern zertifiziert werden – etwa nach ISO/IEC 27001:2022.
- Betriebsverantwortung mit Wahlfreiheit: eine Infrastruktur, die sich an den regulatorischen und individuellen Anforderungen des Instituts ausrichtet, ob im eigenen Rechenzentrum, in einer privaten Cloud oder in der Public Cloud.
- Eigene Prüfrechte: die Möglichkeit, die Arbeit des Betriebspartners regelmäßig selbst zu auditieren, unabhängig von dessen eigenen Zusicherungen.
Bei uns erhalten Kunden beispielsweise je nach gebuchtem Leistungsumfang volle Auditrechte und können damit unsere Betriebsprozesse jederzeit eigenständig und regelmäßig überprüfen.
Kurz gesagt
Wer trägt nach DORA die Verantwortung für ausgelagerte IT-Leistungen? Das Finanzinstitut selbst. Das gilt unabhängig davon, wie umfangreich die Auslagerung ist.
Was müssen IT-Dienstleister für Finanzinstitute nach DORA leisten? Sie müssen ihre Leistungen so dokumentieren und erbringen, dass das Institut seine eigenen Nachweispflichten gegenüber der Aufsicht erfüllen kann – unter anderem durch vollständige Leistungsbeschreibungen, Service Level und Prüfrechte gemäß Artikel 30 DORA.
Ist cloudopserve DORA-zertifiziert? Eine "DORA-Zertifizierung" für Dienstleister gibt es nicht – DORA richtet sich an die Finanzinstitute selbst. Eine Prüfung durch die Aufsicht ist aber dennoch möglich. cloudopserve ist nach ISO/IEC 27001:2022 zertifiziert und unterstützt Kunden mit dokumentierten, auditierbaren Betriebsprozessen dabei, ihre eigenen DORA-Anforderungen nachweisbar compliant zu erfüllen.
Fazit
Die Verantwortung für die digitale Resilienz bleibt beim Institut. Verlässlicher, nachweisbarer Betrieb ist die Aufgabe des Dienstleisters. Die Aufsicht schaut aufs Institut – und ein Betriebspartner, der Nachweisbarkeit von sich aus mitbringt, sorgt dafür, dass dieser Blick entspannt bleibt.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Beratung. Für die verbindliche Einordnung einzelner DORA-Anforderungen empfiehlt sich die Rücksprache mit den zuständigen Fachabteilungen oder der BaFin. Bild: iStock1308836134