Die neunzehn Arten von IKT-Dienstleistungen nach DORA, S01 bis S19: welche ein SaaS-Produkt ist, was das Informationsregister dazu festhält, und warum ein Vertrag mehrere Zeilen sein kann

Wenn ein Finanzkunde gefragt hat, welche „Art von IKT-Dienstleistung" Sie erbringen, und eine Liste mit neunzehn Einträgen vorgelegt hat, dann ist diese Liste Anhang III der Durchführungsverordnung (EU) 2024/2956 der Kommission vom 29. November 2024, des Rechtsakts, der die Meldebögen des Informationsregisters festlegt, das jedes Finanzunternehmen nach Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554, DORA, führt. Der Code ist keine Einstufung von Ihnen; er ist eine Spalte im Register Ihres Kunden, das bei dessen zuständiger Behörde eingereicht wird, und er muss in jedem Register, in dem Sie stehen, derselbe sein. Dieser Artikel liest die Taxonomie aus der Durchführungsverordnung auf CELLAR am 12. September 2026, sagt, welchen Code die Produkte eines Softwareunternehmens üblicherweise bekommen, und listet auf, was der Kunde neben dem Code festhält. Er ist keine Rechtsberatung.

Warum es überhaupt eine Taxonomie gibt

DORA gilt seit dem 17. Januar 2025 und definiert IKT-Dienstleistungen in Artikel 3 Absatz 21 als digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden, Hardware als Dienstleistung eingeschlossen, herkömmliche analoge Telefondienste ausgenommen. Diese Definition ist weit genug für eine Lohnabrechnungs-SaaS, eine verwaltete Firewall, einen Marktdatenfeed und die Stunden eines Beraters, also braucht das Register eine Möglichkeit zu sagen, welches davon ein Vertrag ist. Anhang III der Durchführungsverordnung ist diese Möglichkeit: neunzehn Arten, jede mit einer Kennung von S01 bis S19 und einer einzeiligen Beschreibung, und die Anweisung, dass in den Meldebögen nur die Kennung gemeldet wird. Meldebogen B_02.02, die Zeile je vertraglicher Vereinbarung und Dienstleistung, trägt sie in Spalte B_02.02.0060, „Art der IKT-Dienstleistungen", eine erschöpfende Liste von Optionen, obligatorisch.

Das Register wird nicht nur einmal eingereicht. Artikel 28 Absatz 3 lässt das Unternehmen es auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene führen, mindestens jährlich seiner zuständigen Behörde über die neuen Vereinbarungen, die Kategorien der Dienstleister, die Vertragsarten und die erbrachten Dienstleistungen und Funktionen berichten und das vollständige Register auf Verlangen vorlegen. Artikel 31 Absatz 10 lässt die zuständigen Behörden diese jährlichen Berichte dann aggregiert an das Überwachungsforum übermitteln, das daraus die IKT-Drittparteienabhängigkeiten der Finanzunternehmen bewertet; die Einstufung eines Dienstleisters als kritisch für den Finanzsektor nach Artikel 31 Absatz 1 stützt sich auf die Kriterien von Artikel 31 Absatz 2, deren erstes die systemische Auswirkung eines Ausfalls ist, gemessen an der Zahl der bedienten Finanzunternehmen und dem Wert ihrer Vermögenswerte. Der Code eines Anbieters, wiederholt in den Registern seiner Kunden, ist die Art, wie er gezählt wird.

Die neunzehn Arten, im Wortlaut der Verordnung

Die Tabelle ist Anhang III, wie die Durchführungsverordnung ihn in dieser Sprache veröffentlicht, Nummerierung und Beschreibungen eingeschlossen; nichts darin stammt von StandardOS.

Welche ein Softwareunternehmen ist

Die Durchführungsverordnung definiert die drei Cloud-Arten nicht über ihre Namen hinaus, also ist das Folgende die schlichte Lesart der Beschreibungen, und den Eintrag nimmt der Kunde vor, nicht der Anbieter. Ein Produkt, das der Kunde über Ihr Hosting im Abonnement nutzt, ist S19, Cloud-Dienste: SaaS. Dasselbe Produkt als Paket, das der Kunde auf seinen eigenen Systemen installiert und betreibt, ist S13, Softwarelizenzierung (ohne SaaS), dessen Beschreibung „Bereitstellung von Software, die lokal ausgeführt wird" lautet. Wenn der Kunde Sie zusätzlich dafür bezahlt, seine Infrastruktur zu betreiben, ist dieser Teil S14, IKT-Betriebsmanagement, das Managed Service Provider ausdrücklich nennt. Individualentwicklung, Geschäftsanalyse und Tests sind S02. Ein Abonnement eines Datenfeeds ist S05, und Analyse darauf S06. Ein als Dienstleistung verkaufter Helpdesk ist S03. Beratung ist S15, und eine Überprüfung des eigenen IKT-Risikomanagementrahmens des Kunden nach Artikel 6 Absatz 10 ist S16, eine Art, die es nur gibt, weil DORA die Überprüfung geschaffen hat.

Zwei Punkte zählen mehr als das Etikett. Erstens wird das Register „mit dem höchstmöglichen Detaillierungsgrad" ausgefüllt, und wenn eine vertragliche Vereinbarung mehrere IKT-Dienstleistungen umfasst, die mehrere Funktionen unterstützen, verwendet das Unternehmen so viele Zeilen, wie es Kombinationen aus Dienstleistung und Funktion gibt. Ein SaaS-Vertrag, der das gehostete Produkt, First-Level-Support und einen Datenfeed bündelt, ist drei Dienstleistungsarten, und wenn das Produkt zwei Funktionen des Kunden unterstützt, bis zu sechs Zeilen. Zweitens tragen die Zeilen der Cloud-Arten die Datenspalten: ob Sie Daten speichern (B_02.02.0140), die Länder, in denen Daten gespeichert (B_02.02.0150) und in denen sie verarbeitet werden (B_02.02.0160), obligatorisch, wenn die Dienstleistung auf Datenverarbeitung beruht oder sie vorsieht, und die Sensibilität der gespeicherten Daten (B_02.02.0170). Eine S13-Lizenz, die beim Kunden installiert ist, hat in diese Spalten nichts einzutragen; ein S19-Produkt immer.

Was der Kunde neben dem Code festhält

Für jede Dienstleistungszeile hält der Kunde außerdem das Land der Erbringung (B_02.02.0130), das Land des anwendbaren Rechts (B_02.02.0120), die Kündigungsfrist für den Kunden und die Kündigungsfrist für den Dienstleister, beide in Kalendertagen (B_02.02.0100 und B_02.02.0110), fest und, wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt, seinen Grad der Abhängigkeit von der Dienstleistung (B_02.02.0180), auf einer vierstufigen Skala von „unerheblich" bis „vollständige Abhängigkeit". Im Meldebogen B_05.01 hält er fest, wer Sie sind: den Firmennamen wie eingetragen, den Namen in lateinischer Schrift, ob Sie eine juristische Person oder eine als Unternehmer handelnde natürliche Person sind, Ihren Identifikationscode und dessen Art (LEI, EUID oder ein nationaler Code mit vorangestelltem Ländercode), das Land Ihres Hauptsitzes und den Code Ihres obersten Mutterunternehmens. Im Meldebogen B_05.02 hält er Ihre Lieferkette nach Rang fest: Sie sind Rang 1, ein Unterauftragnehmer, der die Dienstleistung unterstützt, Rang 2, dessen Unterauftragnehmer Rang 3, jeder mit eigenem Identifikationscode.

Keine dieser Spalten kann der Kunde sich ausdenken. Es sind Angaben über Sie, und jeder Kunde fragt sie einzeln ab, in seinem eigenen Fragebogen, in seinen eigenen Worten. Das Datenblatt zum Register listet sie unter ihren Meldebogen-Codes und den Spaltenbezeichnungen der Verordnung in dieser Sprache auf, mit den erschöpfenden Listen im Wortlaut der Verordnung, und schreibt die Antworten als ein Dokument, das Sie jedem Kunden geben können.

Was der Code für Sie ändert

Nichts in DORA knüpft eine Pflicht an den Code selbst; die Klauseln nach Artikel 30, die Ihr Kunde in den Vertrag aufnehmen muss, sind für jede IKT-Dienstleistung dieselben neun und für eine kritische oder wichtige Funktion dieselben sechs weiteren, welcher Art auch immer. Was der Code ändert, ist Arithmetik. Artikel 29 lässt den Kunden vor der Unterzeichnung für eine kritische oder wichtige Funktion bewerten, ob er mehrere solcher Dienstleistungen bei Ihnen oder bei mit Ihnen eng verbundenen Dienstleistern konzentriert, und die Spalte mit der Art ist, wie er das sieht. Artikel 31 lässt die ESA die Finanzunternehmen zählen, die von Ihnen abhängen. Und die eigene Bewertung des Kunden in B_07.01 zu Ihrer Ersetzbarkeit und zur Auswirkung einer Einstellung Ihrer Dienstleistung wird gegen die Zeile geschrieben, in der Ihr Code steht.

Nennen Sie also jedem Kunden denselben Code, halten Sie die Zeilen ehrlich in dem, was ein Vertrag tatsächlich bündelt, und füllen Sie Standorte, die Speicherantwort und die Kündigungsfristen einmal aus. Die Klausel-Checkliste zu Artikel 30 deckt den Vertrag ab, auf den die Zeile zeigt, und der DORA-Hub hält die Daten und die Rechtsakte bereit.