Der Fragebogen, den eine Bank ihren Softwareanbietern schickt, ist nicht die Erfindung der Bank. Seit dem 15. Juli 2024 muss jedes Finanzunternehmen unter der Verordnung (EU) 2022/2554, DORA, eine schriftliche Leitlinie für seine Verträge über IKT-Dienstleistungen führen, die kritische oder wichtige Funktionen unterstützen, und die Delegierte Verordnung (EU) 2024/1773 der Kommission vom 13. März 2024, veröffentlicht am 25. Juni 2024, legt den detaillierten Inhalt dieser Leitlinie in elf Artikeln fest. Artikel 28 Absatz 2 DORA verlangt die Leitlinie; die Delegierte Verordnung sagt, wonach die Leitlinie die Bank fragen, was sie prüfen, vertraglich regeln und überwachen lassen muss. Aus Sicht des Anbieters gelesen ist sie der Aufriss jedes Sorgfaltsfragebogens, jeder Prüfklausel und jeder vierteljährlichen Berichtsanforderung, die Sie von einem Finanzkunden bekommen werden. Dieser Artikel liest sie am 12. September 2026 aus dem Amtsblatt auf CELLAR. Er ist keine Rechtsberatung.

Die sechs Dinge, die der Kunde vor der Unterzeichnung bewertet, Artikel 6 Absatz 1

Artikel 6 Absatz 1 verlangt, dass die Leitlinie ein verhältnismäßiges Verfahren zur Auswahl und Bewertung künftiger Dienstleister festlegt und eine Bewertung vor Vertragsschluss vorschreibt, ob der Dienstleister: (a) über den geschäftlichen Ruf, ausreichende Fähigkeiten, Fachwissen und angemessene finanzielle, personelle und technische Ressourcen, Informationssicherheitsstandards, eine angemessene Organisationsstruktur, Risikomanagement und interne Kontrollmechanismen und, falls zutreffend, die erforderlichen Zulassungen oder Registrierungen verfügt, um die Dienstleistung zuverlässig und professionell zu erbringen; (b) in der Lage ist, relevante technologische Entwicklungen zu verfolgen, bewährte Verfahren der IKT-Sicherheit zu erkennen und sie, wo angebracht, umzusetzen; (c) Unterauftragnehmer für die Dienstleistung oder wesentliche Teile davon einsetzt oder einsetzen will; (d) in einem Drittland ansässig ist oder dort Daten verarbeitet oder speichert und, falls ja, ob das das operationelle Risiko, das Reputationsrisiko oder das Risiko beeinflusst, von restriktiven Maßnahmen betroffen zu sein, Embargos und Sanktionen eingeschlossen; (e) vertraglichen Vereinbarungen zustimmt, die Prüfungen beim Dienstleister tatsächlich ermöglichen, vor Ort eingeschlossen, durch den Kunden, beauftragte Dritte und zuständige Behörden; (f) ethisch und sozial verantwortlich handelt, Menschenrechte und Kinderrechte achtet, einschließlich des Verbots der Kinderarbeit, die geltenden Grundsätze des Umweltschutzes achtet und angemessene Arbeitsbedingungen sicherstellt.

Buchstabe a ist die Frage, für die Ihr ISO-27001-Zertifikat üblicherweise vorgelegt wird; Buchstabe c ist, wo die Delegierte Verordnung zur Unterauftragsvergabe übernimmt; Buchstabe d ist, warum das Informationsregister nach den Ländern der Speicherung und Verarbeitung fragt; Buchstabe e ist die Prüfklausel, und ein Anbieter, der Vor-Ort-Prüfungen verweigert, fällt durch die Bewertung, bevor der Vertrag existiert. Buchstabe f ist der, den die meisten Anbieterfragebögen inzwischen tragen und über den die meisten Anbieter sich wundern: eine Antwort zum Lieferantenkodex, mit Quelle in diesem Absatz. Artikel 6 Absatz 2 fügt hinzu, dass die Leitlinie das Maß an Sicherheit festlegt, das der Kunde über die Wirksamkeit Ihres Risikomanagementrahmens braucht, und dass die Sorgfaltsprüfung bewerten muss, ob Ihre Risikominderungs- und Geschäftsfortführungsmaßnahmen vorhanden sind und wie ihr Funktionieren sichergestellt wird. Artikel 5 verlangt auf Kundenseite eine vorgelagerte Risikobewertung zu operationellen, rechtlichen, IKT-, Reputations-, Datenschutz-, Datenverfügbarkeits-, Datenstandort-, Anbieterstandort- und Konzentrationsrisiken, und Artikel 7 verlangt vom Kunden, Interessenkonflikte zu erkennen und zu steuern, gruppeninterne Preisgestaltung eingeschlossen.

Die fünf Quellen der Sicherheit, Artikel 6 Absätze 3 und 4

Artikel 6 Absatz 3 verlangt, dass die Leitlinie sagt, welche der folgenden Elemente für das erforderliche Maß an Sicherheit über die Leistung des Dienstleisters genutzt werden: (a) Prüfungen oder unabhängige Bewertungen, die der Kunde selbst oder in seinem Auftrag durchführt; (b) unabhängige Prüfberichte, die der Dienstleister auf Anfrage erstellen lässt; (c) Prüfberichte der internen Revision des Dienstleisters; (d) geeignete Zertifizierungen durch Dritte; (e) sonstige relevante Informationen, die dem Kunden vorliegen oder die der Dienstleister bereitstellt. Artikel 6 Absatz 4 verlangt ein angemessenes Maß an Sicherheit unter Berücksichtigung dieser Elemente und, wo angebracht, mehr als eines davon. Die Aufgabe eines Anbieters ist, (b), (c) und (d) verfügbar zu machen, bevor der Kunde auf (a) zurückgreifen muss: das Zertifikat, den letzten Überwachungsauditbericht, das interne Auditprogramm und seine Berichte.

Die acht Bedingungen, um sich auf Ihr Zertifikat oder Ihren Prüfbericht zu verlassen, Artikel 8

Artikel 8 Absatz 1 verlangt, dass der Vertrag schriftlich ist und alle Elemente von Artikel 30 Absätze 2 und 3 DORA enthält, die Klauseln, die die Klausel-Checkliste aufführt. Artikel 8 Absatz 2 verlangt, dass der Vertrag das Recht des Kunden enthält, auf Informationen zuzugreifen, Inspektionen und Prüfungen durchzuführen und IKT-Tests vorzunehmen, und zwar mit: (a) seiner eigenen internen Revision oder einem beauftragten Dritten; (b) wo angebracht, gemeinsamen Prüfungen und gemeinsamen IKT-Tests, bedrohungsorientierte Penetrationstests eingeschlossen, gemeinsam organisiert mit anderen Kunden desselben Dienstleisters; (c) wo angebracht, Zertifizierungen durch Dritte; (d) wo angebracht, internen oder externen Prüfberichten, die der Dienstleister bereitstellt.

Dann Artikel 8 Absatz 3, der Absatz, der entscheidet, wie weit ein ISO-27001-Zertifikat Sie trägt. Der Kunde darf sich im Zeitverlauf nicht allein auf Zertifizierungen oder Prüfberichte verlassen, und die Leitlinie darf ihre Nutzung nur erlauben, wenn der Kunde: (a) mit Ihrem Prüfplan für den betreffenden Vertrag zufrieden ist; (b) sicherstellt, dass der Geltungsbereich der Zertifizierung oder des Berichts die von ihm identifizierten Systeme und Schlüsselkontrollen abdeckt, und die Einhaltung der einschlägigen regulatorischen Anforderungen sicherstellt; (c) den Inhalt fortlaufend gründlich bewertet und prüft, dass der Bericht oder die Zertifizierung nicht veraltet ist; (d) sicherstellt, dass Schlüsselsysteme und -kontrollen in künftigen Fassungen abgedeckt sind; (e) mit der Eignung der zertifizierenden oder prüfenden Stelle zufrieden ist; (f) sich vergewissert hat, dass die Zertifizierung nach weithin anerkannten einschlägigen Berufsstandards erteilt und die Prüfung danach durchgeführt wurde und einen Test der operativen Wirksamkeit der vorhandenen Schlüsselkontrollen enthält; (g) das vertragliche Recht hat, mit angemessener Häufigkeit Änderungen des Geltungsbereichs der Zertifizierung oder des Berichts auf andere relevante Systeme und Kontrollen zu verlangen; (h) das vertragliche Recht hat, nach eigenem Ermessen einzelne und gemeinsame Prüfungen durchzuführen und diese Rechte in der vereinbarten Häufigkeit auszuüben. Artikel 8 Absatz 4 fügt hinzu, dass wesentliche Änderungen des Vertrags in einem datierten, von allen Parteien unterzeichneten Dokument formalisiert werden und dass die Leitlinie das Verfahren für die Verlängerung festlegt.

Als Anbieter gelesen heißt (b), dass der Geltungsbereich des Zertifikats das Produkt und die Systeme nennen muss, auf denen es läuft, nicht die Hauptverwaltung; (c) und (d) heißen, dass das Zertifikat nur so gut ist wie das letzte Überwachungsaudit und das nächste; (e) heißt eine akkreditierte Zertifizierungsstelle, und die Akkreditierungsregister, die ein Kunde prüfen wird, sind für ISO 27001 dieselben wie für ISO 9001; (f) heißt ein Audit, das getestet hat, ob die Maßnahmen wirken, was ein Zertifizierungsaudit tut und eine Selbsteinschätzung nicht; und (g) und (h) heißen, dass das Zertifikat die Prüfklausel nie ersetzt, sondern nur seltener zum Einsatz kommen lässt.

Die Kennzahlen und die fünf Berichte, Artikel 9

Artikel 9 Absatz 1 verlangt, dass der Vertrag die Maßnahmen und Schlüsselindikatoren festlegt, mit denen die Leistung des Dienstleisters fortlaufend überwacht wird, einschließlich Maßnahmen zur Überwachung der Einhaltung der Anforderungen an Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität von Daten und der einschlägigen Leitlinien des Kunden, sowie die Maßnahmen, die gelten, wenn Dienstleistungsniveaus nicht eingehalten werden, Vertragsstrafen wo angebracht. Artikel 9 Absatz 2 verlangt, dass die Leitlinie insbesondere sicherstellt, (a) dass der Dienstleister dem Kunden angemessene Berichte über seine Tätigkeiten und Dienstleistungen liefert, einschließlich regelmäßiger Berichte, Vorfallberichte, Berichte über die Leistungserbringung, Berichte über die IKT-Sicherheit und Berichte über Geschäftsfortführungsmaßnahmen und deren Tests; (b) dass die Leistung mit Leistungskennzahlen, Kontrollkennzahlen, Prüfungen, Selbstbescheinigungen und unabhängigen Überprüfungen bewertet wird; (c) dass der Kunde sonstige relevante Informationen erhält; (d) dass der Kunde, wo angebracht, über IKT-bezogene Vorfälle und zahlungsbezogene Betriebs- oder Sicherheitsvorfälle benachrichtigt wird; (e) dass eine unabhängige Überprüfung und Prüfungen zur Einhaltung rechtlicher und regulatorischer Anforderungen und Leitlinien durchgeführt werden. Artikel 9 Absatz 3 macht die Bewertung dokumentationspflichtig und lässt sie in die Risikobewertung des Kunden zurückfließen, und Artikel 9 Absatz 4 verlangt Maßnahmen gegen Mängel, mit festgelegtem Zeitrahmen und Überwachung ihrer Umsetzung.

Die fünf Berichte aus Buchstabe a sind die laufenden Kosten eines Finanzkunden, und ein Anbieter mit einem Managementsystem erzeugt vier davon als Nebenprodukt: den regelmäßigen Bericht aus der Verfügbarkeits- und Überwachungsaufzeichnung, den Vorfallbericht aus dem Vorfallprozess, den IKT-Sicherheitsbericht aus internem Audit und Managementbewertung, und den Kontinuitätsbericht aus dem Plan und seinen Testergebnissen. Der Bericht über die Leistungserbringung ist der, den die Dienstleistungsniveaus des Vertrags definieren.

Der Ausstiegsplan, Artikel 10

Artikel 10 verlangt, dass die Leitlinie für jeden Vertrag einen dokumentierten Ausstiegsplan enthält, der regelmäßig überprüft und getestet wird, unter Berücksichtigung unvorhergesehener und anhaltender Dienstunterbrechungen, unangemessener oder gescheiterter Leistungserbringung und der unerwarteten Beendigung des Vertrags; der Plan muss realistisch und durchführbar sein, auf plausiblen Szenarien und vernünftigen Annahmen beruhen und einen Umsetzungszeitplan haben, der mit den Ausstiegs- und Kündigungsbedingungen des Vertrags vereinbar ist. Artikel 30 Absatz 3 Buchstabe f DORA bringt die Übergangsfrist und Ihre Pflicht, die Dienstleistung währenddessen weiter zu erbringen, in den Vertrag; Artikel 10 ist der Grund, warum der Kunde Sie bitten wird, sie zu proben.

Was ein ISO-27001-Zertifikat beantwortet, und was nicht

Die Delegierte Verordnung nennt keine Norm. Das Folgende ist StandardOS' Lesart, wo ein Managementsystem nach ISO/IEC 27001:2022 die Fragen beantwortet, ohne Vermutung der Konformität. Artikel 6 Absatz 1 Buchstabe a ist das ganze System: das Zertifikat, die Erklärung zur Anwendbarkeit (Abschnitt 6.1.3), das interne Auditprogramm (Abschnitt 9.2) und die Managementbewertung (Abschnitt 9.3). Artikel 6 Absatz 1 Buchstabe b sind die Maßnahmen zu Bedrohungsinformationen und Änderungen (A.5.7, A.8.32). Artikel 6 Absatz 1 Buchstabe c ist das Lieferantenverzeichnis (A.5.19 bis A.5.21). Artikel 6 Absatz 2 ist der Kontinuitätsplan mit seinen Tests (A.5.29, A.5.30). Artikel 6 Absatz 3 Buchstaben b bis d sind das Zertifikat selbst, die Überwachungsauditberichte und die internen Auditberichte. Artikel 8 Absatz 3 Buchstabe f wird von einem Zertifizierungsaudit erfüllt, das die operative Wirksamkeit testet, und nicht von einem Selbsteinschätzungsfragebogen. Artikel 9 Absatz 2 Buchstabe a sind die Überwachungsaufzeichnung (A.8.16), der Vorfallprozess (A.5.24 bis A.5.27) und die Kontinuitätstests. Was das Zertifikat nicht beantwortet: Artikel 6 Absatz 1 Buchstabe d, eine Tatsache über Ihre Standorte; Artikel 6 Absatz 1 Buchstabe e und Artikel 8 Absatz 3 Buchstaben g und h, Vertragsbedingungen, die Sie einräumen müssen; Artikel 6 Absatz 1 Buchstabe f, den keine Informationssicherheitsnorm abdeckt; und Artikel 8 Absatz 3 Buchstabe b, der davon abhängt, ob der Geltungsbereich Ihres Zertifikats die Systeme nennt, auf die der Kunde sich verlässt.

Was zu tun ist, bevor der Fragebogen kommt

Formulieren Sie den Geltungsbereich des Zertifikats so, dass er das Produkt und seine Systeme nennt. Halten Sie den letzten Überwachungsauditbericht und das interne Auditprogramm bereit, um sie unter Vertraulichkeitsvereinbarung zu teilen, denn Artikel 6 Absatz 3 Buchstaben b und c sind für beide Seiten die günstigste Sicherheit. Legen Sie die Prüfhäufigkeit und die Bedingungen für gemeinsame Prüfungen fest, die Sie nach Artikel 8 Absatz 3 Buchstabe h einräumen können, und bepreisen Sie Vor-Ort-Prüfungen im Vertrag. Definieren Sie die fünf Berichte aus Artikel 9 Absatz 2 Buchstabe a einmal, mit ihrem Rhythmus, und erzeugen Sie sie aus dem System statt von Hand. Schreiben Sie die Antwort zum Lieferantenkodex für Artikel 6 Absatz 1 Buchstabe f. Und tragen Sie die Standorte, die Unterauftragnehmer und die Kündigungsfristen in das Datenblatt zum Register ein, denn dieselbe Leitlinie lässt den Kunden in Artikel 4 Buchstabe e das Register führen, in dem Sie stehen. Der DORA-Hub hält die Daten der Verordnung und dieses Rechtsakts bereit.