Wenn zu Ihren Kunden eine Bank, ein Versicherer, eine Wertpapierfirma, ein Zahlungs- oder E-Geld-Institut, ein Anbieter von Kryptowerte-Dienstleistungen oder ein Fondsverwalter in der Union gehört, haben Sie wahrscheinlich einen Vertragsnachtrag erhalten, den Sie nicht verfasst haben, mit Klauseln zu Prüfrechten, Ausstiegsstrategien und den Ländern, in denen Ihre Server stehen. Das ist die Verordnung (EU) 2022/2554, der Digital Operational Resilience Act, der seit dem 17. Januar 2025 gilt. Er reguliert nicht Sie; er reguliert Ihren Kunden, und Artikel 28(1)(a) macht den Kunden in vollem Umfang für alles verantwortlich, was er an Sie auslagert, sodass der Kunde die Pflichten im Vertrag weitergibt. Dieser Artikel liest die Klauseln, die Artikel 30 verlangt, das Informationsregister, in dem Ihr Vertrag landet, die delegierten Rechtsakte, die die Einzelheiten ausfüllen, und welche Klauseln ein Managementsystem nach ISO 27001 bereits beantwortet, aus den Texten auf CELLAR am 12. September 2026. Er ist keine Rechtsberatung.

Wer Sie sind, in den Worten von DORA

Artikel 3(19) definiert einen IKT-Drittdienstleister als Unternehmen, das IKT-Dienstleistungen erbringt, und Artikel 3(21) definiert IKT-Dienstleistungen als digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden. Ein SaaS-Produkt ist das; ein Managed Service, eine gehostete API, ein Datenfeed ebenso. Ob der Vertrag kurz oder lang, gelistet oder verhandelt ist, spielt keine Rolle. Was zählt, ist eine Frage, die der Kunde nach Artikel 28(4)(a) vor der Unterschrift beantwortet: Unterstützt der Dienst eine kritische oder wichtige Funktion, definiert in Artikel 3(22) als Funktion, deren Störung die finanzielle Leistungsfähigkeit des Kunden, die Solidität oder Kontinuität seiner Dienste oder seine fortlaufende Einhaltung der Zulassungsbedingungen wesentlich beeinträchtigen würde. Die Antwort entscheidet, ob Sie neun Klauseln bekommen oder fünfzehn.

Die neun Klauseln jedes IKT-Vertrags, Artikel 30(2)

Artikel 30(1) beginnt mit der Form: Rechte und Pflichten klar zugewiesen und schriftlich festgelegt, der vollständige Vertrag einschließlich der Dienstleistungsvereinbarungen in einem schriftlichen Dokument, verfügbar auf Papier oder in einem herunterladbaren, dauerhaften und zugänglichen Format. Dann zählt Artikel 30(2) auf, was jeder Vertrag über die Nutzung von IKT-Dienstleistungen mindestens enthält:

(a) eine klare und vollständige Beschreibung aller bereitgestellten Funktionen und IKT-Dienstleistungen, mit der Angabe, ob die Unterauftragsvergabe einer Dienstleistung, die eine kritische oder wichtige Funktion unterstützt, zulässig ist und unter welchen Bedingungen; (b) die Standorte, Regionen oder Länder, in denen die Funktionen und Dienstleistungen erbracht und Daten verarbeitet werden, Speicherung eingeschlossen, und die Pflicht, den Kunden vorab über eine Änderung des Standorts zu informieren; (c) Bestimmungen zu Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, personenbezogene Daten eingeschlossen; (d) Bestimmungen, die den Zugang, die Wiederherstellung und die Rückgabe der personenbezogenen und nicht personenbezogenen Daten des Kunden in einem leicht zugänglichen Format im Fall Ihrer Insolvenz, Abwicklung oder Geschäftseinstellung oder bei Beendigung sicherstellen; (e) Beschreibungen des Dienstleistungsniveaus, einschließlich ihrer Aktualisierungen und Überarbeitungen; (f) Ihre Pflicht, dem Kunden ohne zusätzliche Kosten oder zu vorab festgelegten Kosten Unterstützung zu leisten, wenn ein IKT-Vorfall im Zusammenhang mit dem Dienst eintritt; (g) Ihre Pflicht, mit den zuständigen Behörden und den Abwicklungsbehörden des Kunden, einschließlich der von ihnen benannten Personen, uneingeschränkt zusammenzuarbeiten; (h) Kündigungsrechte und Mindestkündigungsfristen, im Einklang mit den Erwartungen dieser Behörden; (i) die Bedingungen Ihrer Teilnahme an den Programmen des Kunden zur Sensibilisierung für IKT-Sicherheit und an den Schulungen zur digitalen operationalen Resilienz nach Artikel 13(6).

Zwei davon verändern den Betrieb eines Anbieters, nicht nur seine Papiere. Buchstabe (b) bedeutet, dass ein Regionswechsel auf Ihrem Cloud-Konto ein vertragliches Mitteilungsereignis ist. Buchstabe (f) bedeutet, dass Vorfallunterstützung vor dem Vorfall bepreist wird oder gar nicht.

Die sechs weiteren für kritische oder wichtige Funktionen, Artikel 30(3)

Unterstützt der Dienst eine kritische oder wichtige Funktion, enthält der Vertrag zusätzlich:

(a) vollständige Beschreibungen des Dienstleistungsniveaus mit präzisen quantitativen und qualitativen Leistungszielen, damit der Kunde überwachen und unverzüglich Korrekturmaßnahmen ergreifen kann, wenn die Niveaus nicht eingehalten werden; (b) Kündigungsfristen und Berichtspflichten gegenüber dem Kunden, einschließlich der Meldung jeder Entwicklung, die Ihre Fähigkeit, den Dienst auf dem vereinbarten Niveau zu erbringen, wesentlich beeinträchtigen könnte; (c) Anforderungen, Notfallpläne umzusetzen und zu testen und IKT-Sicherheitsmaßnahmen, -werkzeuge und -richtlinien zu haben, die ein angemessenes Sicherheitsniveau für den Regulierungsrahmen des Kunden bieten; (d) Ihre Pflicht, an den bedrohungsorientierten Penetrationstests des Kunden nach den Artikeln 26 und 27 teilzunehmen und uneingeschränkt mitzuwirken; (e) das Recht des Kunden, Ihre Leistung fortlaufend zu überwachen: uneingeschränkte Zugangs-, Inspektions- und Prüfrechte des Kunden, eines von ihm benannten Dritten und der zuständigen Behörde, mit dem Recht, vor Ort Kopien relevanter Unterlagen anzufertigen, wo Sie für deren Betrieb kritisch sind, nicht durch andere Verträge behindert; das Recht, alternative Zusicherungsniveaus zu vereinbaren, wenn die Rechte anderer Kunden betroffen sind; Ihre Pflicht, bei Vor-Ort-Inspektionen und Prüfungen der zuständigen Behörden, des federführenden Überwachers, des Kunden oder seines Beauftragten uneingeschränkt mitzuwirken; und die Pflicht, Einzelheiten zu Umfang, Verfahren und Häufigkeit solcher Inspektionen und Prüfungen bereitzustellen; (f) Ausstiegsstrategien, mit einer verpflichtenden angemessenen Übergangsfrist, während der Sie den Dienst weiter erbringen, damit der Kunde ohne Störung zu einem anderen Anbieter oder in den eigenen Betrieb wechseln kann.

Eine Ausnahme: Ist der Kunde ein Kleinstunternehmen, erlaubt Artikel 30(3) den Parteien zu vereinbaren, dass seine Zugangs-, Inspektions- und Prüfrechte an einen von Ihnen benannten unabhängigen Dritten delegiert werden, von dem der Kunde jederzeit Informationen und Zusicherungen anfordern kann. Und Artikel 30(4) fordert beide Seiten auf, die Verwendung von Standardvertragsklauseln zu erwägen, die Behörden für bestimmte Dienste entwickelt haben.

Das Informationsregister, und die Rechtsakte hinter den Einzelheiten

Artikel 28(3) verpflichtet jeden Kunden, ein Informationsregister über alle seine vertraglichen Vereinbarungen über IKT-Dienstleistungen zu führen, unterschieden nach solchen, die kritische oder wichtige Funktionen unterstützen, seiner zuständigen Behörde jährlich über neue Vereinbarungen, die Kategorien der Anbieter, die Vertragsarten und die Dienstleistungen und Funktionen zu berichten, das vollständige Register auf Verlangen vorzulegen und die Behörde vor einem Vertragsschluss über eine kritische oder wichtige Funktion zu informieren. Die Durchführungsverordnung (EU) 2024/2956 der Kommission vom 29. November 2024 legt die Standardvorlagen dieses Registers fest, sodass Ihr Name, Ihre Rechtsträgerkennung, der Dienst, die Funktion, die er unterstützt, und die Länder, aus denen er erbracht wird, Felder in einem Formular sind, das Ihr Kunde einreicht.

Drei delegierte Verordnungen füllen den Rest aus. Die Delegierte Verordnung (EU) 2024/1773 vom 13. März 2024 präzisiert den Inhalt der Leitlinie des Kunden zu vertraglichen Vereinbarungen für kritische oder wichtige Funktionen: die Sorgfaltsprüfung, die er vor der Unterschrift bei Ihnen durchführt (Artikel 28(4)(d)), einschließlich der Frage, ob Sie angemessene Informationssicherheitsstandards einhalten, was Artikel 28(5) zur Voraussetzung jedes Vertragsschlusses macht und bei kritischen oder wichtigen Funktionen zu einer Frage der aktuellsten und hochwertigsten Standards. Die Delegierte Verordnung (EU) 2024/1774 vom selben Tag präzisiert die eigenen IKT-Risikomanagementwerkzeuge, -methoden, -prozesse und -richtlinien des Kunden, den Rahmen, zu dessen Bestandteil Artikel 28(1) Ihren Dienst macht. Die Delegierte Verordnung (EU) 2025/532 vom 24. März 2025 präzisiert, was der Kunde bestimmt und bewertet, wenn Sie einen Dienst, der eine kritische oder wichtige Funktion unterstützt, an Unterauftragnehmer vergeben, weshalb Buchstabe (a) der neun Klauseln von Ihnen verlangt zu sagen, ob Sie Unteraufträge vergeben und unter welchen Bedingungen.

Die Ebene über dem Vertrag

Artikel 29 verpflichtet den Kunden, vor der Unterschrift zu bewerten, ob Sie nicht leicht ersetzbar sind und ob er mehrere kritische Dienste bei Ihnen oder bei eng mit Ihnen verbundenen Anbietern konzentriert; ein schwer ersetzbarer Anbieter ist ein Anbieter, dessen Ausstiegsstrategie nach Artikel 30(3)(f) hart verhandelt wird. Artikel 31 erlaubt den Europäischen Aufsichtsbehörden, IKT-Drittdienstleister, die für den Finanzsektor insgesamt kritisch sind, nach Kriterien der systemischen Auswirkung, der Zahl und Bedeutung der bedienten Finanzunternehmen und der Ersetzbarkeit zu benennen; ein benannter Anbieter bekommt einen federführenden Überwacher mit eigenen Befugnissen. Diese Ebene erreicht die Hyperscaler und die Kernbankanbieter, nicht ein Unternehmen mit drei Bankkunden, aber das Informationsregister ist, wie die Behörden zählen.

Was ISO 27001 bereits beantwortet

Artikel 28(5) ist die Klausel, die fragt, welchen Standard Sie einhalten, und das Prüfrecht nach Artikel 30(3)(e) ist die Klausel, die verlangt, ihn zu sehen. Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 erfüllt keine Vertragsklausel; es erzeugt die Nachweise, die die Sorgfaltsprüfung und die Prüfung eines Kunden unter mehreren von ihnen verlangen. Die Tabelle ist die Lesart von StandardOS zur Passung; DORA nennt keinen Standard und gewährt keine Vermutung.

Klausel des Artikels 30 Was der Kunde sehen will ISO 27001
30(2)(a) Beschreibung und Unterauftragsvergabe Der Leistungsumfang, die Lieferantenliste und die Bedingungen, die Sie Unterauftragsverarbeitern auferlegen Klausel 4.3, A.5.19 bis A.5.21
30(2)(b) Standorte und Daten Wo Verarbeitung und Speicherung stattfinden, und die Änderungssteuerung, die die Mitteilung auslöst A.5.9, A.8.9, A.8.32
30(2)(c) Verfügbarkeit, Integrität, Vertraulichkeit Die Risikobeurteilung, die angewandten Maßnahmen, die Nachweise zu Verschlüsselung und Sicherung Klauseln 6.1 und 8.2, A.8.13, A.8.24
30(2)(d) Zugang, Wiederherstellung und Rückgabe von Daten Das Export- und Löschverfahren, getestet A.5.30, A.8.10, A.8.13
30(2)(e) und 30(3)(a) Dienstleistungsniveaus Verfügbarkeitsüberwachung und die Aufzeichnung gegen das Ziel A.5.30, A.8.6, A.8.16
30(2)(f) Vorfallunterstützung Der Vorfallprozess, die Rollen und die Reaktionsaufzeichnung A.5.24 bis A.5.28
30(3)(b) Meldung wesentlicher Entwicklungen Die Änderungsaufzeichnung und die Mitteilungsbedingungen in der Lieferantenvereinbarung A.8.32, A.5.20
30(3)(c) Notfallpläne und Sicherheitsmaßnahmen Der Kontinuitätsplan und seine Testergebnisse, die Erklärung zur Anwendbarkeit A.5.29, A.5.30, A.8.14
30(3)(d) bedrohungsorientierte Penetrationstests Die Aufzeichnung des Schwachstellenmanagements und frühere Testberichte A.8.8, A.8.29
30(3)(e) Zugang, Inspektion und Prüfung Das interne Auditprogramm, das Zertifikat, die Auditberichte Klauseln 9.2 und 9.3, A.5.35
30(3)(f) Ausstiegsstrategie Das Übergangsverfahren und das Datenrückgabeformat A.5.30, A.8.10

Zwei Klauseln haben keine ISO-27001-Antwort und sind reiner Vertrag: 30(2)(g), die Zusammenarbeit mit den Behörden des Kunden, und 30(2)(h), Kündigungsrechte im Einklang mit den Erwartungen dieser Behörden. Schreiben Sie sie einmal und verwenden Sie sie wieder.

Was zu tun ist, bevor der nächste Nachtrag kommt

Entscheiden Sie je Produkt, ob Sie für einen Kunden eine kritische oder wichtige Funktion sein können, und bereiten Sie die Fassung mit fünfzehn Klauseln vor, statt von den neun aus zu verhandeln. Schreiben Sie den Standortsatz genau: Regionen, Länder, Unterauftragsverarbeiter, Speicherung. Bepreisen Sie Vorfallunterstützung vorab. Schreiben Sie das Ausstiegs- und Übergangsverfahren mit einer Frist in Monaten und einem Datenrückgabeformat. Veröffentlichen Sie die Prüfbedingungen, mit denen Sie leben können, einschließlich des alternativen Zusicherungswegs für geteilte Infrastruktur. Die Klausel-Checkliste listet die neun oder fünfzehn in Ihrer Sprache mit einem Status für jede. Bringen Sie dann die ISO-27001-Nachweise, die die Tabelle nennt, in die Sorgfaltsprüfung ein, damit die Frage des Kunden nach Artikel 28(5) beantwortet ist, bevor sie gestellt wird.