Der Hosting-Anbieter unter Ihrem Produkt ist ein Unterauftragnehmer im Sinne von DORA, und wenn Ihr Produkt eine kritische oder wichtige Funktion einer Bank, eines Versicherers oder eines Zahlungsinstituts unterstützt, musste Ihr Kunde vor der Unterzeichnung entscheiden, ob er diese Weitervergabe zulässt, zu Bedingungen, die die Europäischen Aufsichtsbehörden entworfen und die Kommission als Delegierte Verordnung (EU) 2025/532 vom 24. März 2025 erlassen hat, veröffentlicht am 2. Juli 2025 und in Kraft seit dem 22. Juli 2025. Sie ist der dritte der delegierten Rechtsakte zur Verordnung (EU) 2022/2554, die einen Anbieter über den Vertrag erreichen, erlassen auf Grundlage von Artikel 30 Absatz 5, und sie ist kurz: sieben Artikel. Dieser Artikel liest sie am 12. September 2026 aus dem Amtsblatt auf CELLAR, aus der Sicht des Anbieters. Er ist keine Rechtsberatung.
Was als Weitervergabe zählt, und welche Unterauftragnehmer zählen
Buchstabe a von Artikel 30 Absatz 2 DORA lässt jeden IKT-Dienstleistungsvertrag sagen, ob die Weitervergabe einer Dienstleistung, die eine kritische oder wichtige Funktion unterstützt, erlaubt ist und unter welchen Bedingungen. Die Delegierte Verordnung füllt „welche Bedingungen" aus. Ihr erster Erwägungsgrund benennt das Problem: Die Erbringung von IKT-Dienstleistungen hängt oft von einer komplexen Kette von Unterauftragnehmern ab, und die Möglichkeit des Kunden, von diesen Unterauftragnehmern Informationen zu erhalten, ist begrenzt. Ihr zweiter Erwägungsgrund grenzt das Feld ein: Unter den Unterauftragnehmern einer Dienstleistung, die eine kritische oder wichtige Funktion unterstützt, richtet der Kunde den Blick auf jene, die sie tatsächlich tragen, einschließlich jedes Unterauftragnehmers, dessen Störung die Sicherheit oder Kontinuität der Dienstleistung beeinträchtigen würde, wie im Informationsregister festgehalten. Erwägungsgrund 5 fügt hinzu, dass gruppeninterne Unterauftragnehmer zählen, und die Artikel sprechen durchgehend von Dienstleistungen, die kritische oder wichtige Funktionen „oder wesentliche Teile davon" unterstützen.
Für einen SaaS-Anbieter ist die Kette meist kurz und das Tragende offensichtlich: der Cloud-Anbieter, auf dem das Produkt läuft, der Anbieter der Datenbank oder des Objektspeichers, wenn es nicht dasselbe Unternehmen ist, das E-Mail- oder SMS-Gateway, von dem ein Authentifizierungsschritt abhängt, ein verwaltetes Security Operations Centre. Ein Zahlungs-Gateway oder ein Datenfeed, den das Produkt lediglich aufruft, ist eine schwierigere Frage, und der Kunde beantwortet sie, nicht der Anbieter; das Informationsregister hält die Kette nach Rang fest, den Anbieter auf Rang 1 und jeden Unterauftragnehmer darunter mit eigener Kennung, und Meldebogen B_05.02 ist, wo die Antwort landet.
Die zehn Bedingungen, die Ihr Kunde vor der Unterzeichnung bewertet, Artikel 3
Artikel 3 Absatz 1 lässt den Kunden vor Abschluss des Vertrags entscheiden, ob Sie eine Dienstleistung, die eine kritische oder wichtige Funktion unterstützt, weitervergeben dürfen, und ihn nur abschließen, wenn er bewertet hat, dass alle folgenden Bedingungen erfüllt sind. Vier betreffen Sie: (a) seine Sorgfaltsprüfung zeigt, dass Sie in der Lage sind, die operativen und finanziellen Fähigkeiten möglicher Unterauftragnehmer auszuwählen und zu bewerten, auch durch Teilnahme an seinen Tests der digitalen operationalen Resilienz, wenn er es verlangt; (b) Sie sind in der Lage, alle Unterauftragnehmer, die solche Dienstleistungen erbringen, zu identifizieren, den Kunden über sie zu benachrichtigen und zu informieren und ihm alle Informationen zu liefern, die er für diese Bewertung braucht; (c) Sie stellen sicher, dass Ihre Verträge mit diesen Unterauftragnehmern es dem Kunden ermöglichen, seine eigenen Pflichten nach DORA und dem anwendbaren Unions- und nationalen Recht zu erfüllen; (e) Sie selbst verfügen über ausreichende Fähigkeit, Fachwissen und angemessene finanzielle, personelle und technische Ressourcen, um die IKT-Risiken auf Ebene Ihrer Unterauftragnehmer zu überwachen, auch durch Anwendung angemessener Informationssicherheitsstandards, eine Organisationsstruktur, Risikomanagement und interne Kontrollmechanismen sowie Vorfallmeldung und -reaktion.
Eine betrifft Ihren Unterauftragnehmer: (d) Er räumt dem Kunden sowie den zuständigen Behörden und Abwicklungsbehörden dieselben vertraglichen Zugangs- und Inspektionsrechte ein wie Sie. Fünf sind die Hausaufgaben des Kunden, aber gegen Ihre Fakten geschrieben: (f) seine eigenen Ressourcen zur Überwachung der weitervergebenen Dienstleistung; (g) die Auswirkung eines möglichen Ausfalls des Unterauftragnehmers auf seine Resilienz und finanzielle Solidität; (h) die Risiken des Standorts des Unterauftragnehmers; (i) sein IKT-Konzentrationsrisiko nach Artikel 29 DORA; (j) ob etwas die Prüf-, Inspektions- und Zugangsrechte der Behörden oder des Kunden behindert. Artikel 3 Absatz 2 lässt den Kunden die Buchstaben f bis j regelmäßig gegen Veränderungen seines Geschäftsumfelds wiederholen, einschließlich IKT-Bedrohungen, Konzentrations- und geopolitischer Risiken, und Artikel 3 Absatz 3 sagt, dass das Vertrauen auf Ihre eigene Risikobewertung Ihrer Unterauftragnehmer die Letztverantwortung des Kunden nicht einschränkt. Artikel 1 listet die Elemente auf, die all das an Größe und Risikoprofil des Kunden anpassen, darunter die Art der Dienstleistung, die Sie weitervergeben, der Standort des Unterauftragnehmers oder seiner Muttergesellschaft, Länge und Komplexität der Kette, die Art der mit ihm geteilten Daten, ob er in einem Mitgliedstaat oder einem Drittland sitzt, ob er beaufsichtigt wird, ob die Erbringung auf einen Unterauftragnehmer konzentriert ist und ob die Weitervergabe die Übertragbarkeit der Dienstleistung auf einen anderen Anbieter beeinträchtigen würde.
Die zwölf Bestimmungen, die der Vertrag dann trägt, Artikel 4
Artikel 4 Absatz 1 sagt, dass der Vertrag festlegt, welche Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, für eine Weitervergabe in Frage kommen und unter welchen Bedingungen, und regelt: (a) dass Sie für die von den Unterauftragnehmern erbrachten Dienstleistungen verantwortlich sind; (b) dass Sie alle weitervergebenen Dienstleistungen dieser Art überwachen müssen, damit Ihre Pflichten gegenüber dem Kunden fortlaufend erfüllt werden; (c) Ihre Überwachungs- und Berichtspflichten gegenüber dem Kunden in Bezug auf diese Unterauftragnehmer; (d) dass Sie alle Risiken bewerten, die mit dem Standort gegenwärtiger oder möglicher Unterauftragnehmer und ihrer Muttergesellschaft sowie mit dem Ort verbunden sind, von dem aus die Dienstleistung erbracht wird; (e) den Ort der vom Unterauftragnehmer verarbeiteten oder gespeicherten Daten, soweit relevant; (f) dass Sie in Ihrem Vertrag mit jedem Unterauftragnehmer dessen Überwachungs- und Berichtspflichten Ihnen gegenüber und, wenn vereinbart, dem Kunden gegenüber festlegen; (g) dass Sie die Kontinuität der Dienstleistung entlang der gesamten Kette sicherstellen, wenn ein Unterauftragnehmer seine Pflichten nicht erfüllt; (h) dass Ihr Vertrag mit dem Unterauftragnehmer die Anforderungen an Notfallpläne nach Artikel 30 Absatz 3 Buchstabe c DORA und die Dienstleistungsniveaus enthält, die der Unterauftragnehmer in Bezug auf diese Pläne einhalten muss; (i) dass er die IKT-Sicherheitsstandards und etwaige zusätzliche Sicherheitsanforderungen desselben Buchstabens c festlegt; (j) dass der Unterauftragnehmer dem Kunden und den Behörden dieselben Zugangs-, Inspektions- und Prüfrechte einräumt wie Artikel 30 Absatz 3 Buchstabe e DORA; (k) dass Sie den Kunden über jede wesentliche Änderung der Unterauftragsvereinbarungen benachrichtigen; (l) dass der Kunde kündigen darf, wenn die Bedingungen von Artikel 6 der Delegierten Verordnung oder von Artikel 28 Absatz 7 DORA erfüllt sind.
Artikel 4 Absatz 2 fügt die Übergangsregel hinzu: Änderungen bestehender Verträge, die durch die Delegierte Verordnung nötig werden, sind zeitnah und so bald wie möglich umzusetzen, und der Kunde dokumentiert den geplanten Zeitplan. Deshalb kam der Nachtrag nach dem 22. Juli 2025 und nicht mit dem ursprünglichen Vertrag.
Die Frist, bevor Sie einen Unterauftragnehmer wechseln, Artikel 5
Artikel 5 ist die operative Klausel. Der Vertrag sieht vor, dass Sie den Kunden über jede beabsichtigte wesentliche Änderung Ihrer Unterauftragsvereinbarungen so rechtzeitig informieren, dass er die Auswirkung auf seine Risiken und auf Ihre Fähigkeit, Ihre Pflichten zu erfüllen, bewerten kann; der Vertrag enthält eine angemessene Frist, innerhalb derer der Kunde zustimmt oder widerspricht; Sie setzen die Änderung erst um, nachdem der Kunde zugestimmt oder bis zum Ende der Frist nicht widersprochen hat; und wenn der Kunde meint, die Änderung übersteige seine Risikotoleranz, informiert er Sie vor Ende der Frist, widerspricht und verlangt Anpassungen vor der Umsetzung. Ein Umzug von einer Cloud-Region oder einem Cloud-Anbieter zu einem anderen, ein neuer Unterauftragnehmer für verwaltete Sicherheit oder eine Änderung des Orts, an dem der Unterauftragnehmer Daten verarbeitet, ist nach dieser Lesart eine wesentliche Änderung, und Buchstabe b von Artikel 30 Absatz 2 DORA machte einen Standortwechsel ohnehin schon zu einem Ereignis mit Mitteilungspflicht.
Artikel 6 nennt die drei Fälle, in denen der Kunde vorsehen darf, dass der Vertrag endet: Sie haben eine wesentliche Änderung umgesetzt, der er widersprochen und deren Anpassung er verlangt hat; Sie haben eine wesentliche Änderung vor Ende der Frist ohne Zustimmung umgesetzt; oder Sie haben eine Dienstleistung, die eine kritische oder wichtige Funktion unterstützt, weitervergeben, obwohl der Vertrag Ihnen die Weitervergabe nicht ausdrücklich erlaubt hat. Artikel 28 Absatz 7 DORA fügt die allgemeinen Gründe hinzu, darunter einen erheblichen Verstoß und nachgewiesene Schwächen in Ihrem IKT-Risikomanagement.
Was ein ISO-27001-System bereits enthält
Die Delegierte Verordnung nennt keine Norm; Buchstabe e von Artikel 3 Absatz 1 verlangt „angemessene Informationssicherheitsstandards" auf Ebene Ihrer Unterauftragnehmer, und das Folgende ist StandardOS' Lesart, wo ein System nach ISO/IEC 27001:2022 die Nachweise bereits enthält, ohne Vermutung der Konformität. Von den vier Bedingungen des Anbieters ist (b) ein Lieferantenverzeichnis mit identifizierten Unterauftragnehmern und beschriebenen Leistungen (Anhang-A-Maßnahmen A.5.19 bis A.5.21), (c) und (e) sind die Lieferantenvereinbarungen und die Überwachung der Lieferantenleistungen (A.5.20, A.5.22), und (a) ist die Auswahlaufzeichnung hinter dem Verzeichnis. Von den zwölf Bestimmungen sind (b), (c) und (f) dieselbe Überwachungsaufzeichnung; (d) und (e) sind die Standorte, die Sie für die Speicher- und Verarbeitungsspalten des Registers ohnehin vorhalten; (g) und (h) sind der Kontinuitätsplan und seine Tests (A.5.29, A.5.30), ausgedehnt auf die Dienstleistungsniveaus des Unterauftragnehmers; (i) ist die Erklärung zur Anwendbarkeit, die Kette hinunter weitergereicht; (j) ist die Prüfklausel; (k) ist die Aufzeichnung des Änderungsmanagements (A.8.32). Nichts davon erfüllt die Delegierte Verordnung für sich; es ist der Nachweis, den die Bewertung des Kunden nach Artikel 3 sehen will.
Was zu tun ist, bevor der Kunde fragt
Schreiben Sie die Liste der Unterauftragnehmer, die jedes Produkt tragen, mit Rang, Kennung und Standort, und halten Sie sie im Datenblatt zum Register vor. Nehmen Sie die zwölf Bestimmungen von Artikel 4 Absatz 1 dort in Ihre eigenen Unterauftragsverträge auf, wo sie hingehören, insbesondere die Prüfrechte aus (j) und die Notfallanforderungen aus (h), denn der Kunde wird prüfen, dass sie weitergereicht werden. Legen Sie die Frist fest, mit der Sie bei einem Wechsel des Unterauftragnehmers leben können, und schreiben Sie sie einmal, damit jeder Nachtrag von Ihrer Zahl aus verhandelt wird und nicht von der des Kunden. Bringen Sie dann das Lieferantenverzeichnis und die Kontinuitätstests in die Sorgfaltsprüfung ein. Die Klausel-Checkliste zu Artikel 30 deckt die Klauseln ab, an denen die Bestimmungen zur Weitervergabe hängen, und der DORA-Hub hält die Daten der Verordnung und ihrer Rechtsakte bereit.