Wenn Regulatorik auf Realität trifft: 5 Erkenntnisse aus DORA-Vertragsverhandlungen

DORA-Verträge können nicht isoliert betrachtet werden. Je nach Leistung greifen zusätzlich internationale, europäische und nationale Vorgaben, etwa aus KWG, MaRisk, GwG, LkSG oder dem Datenschutzrecht. Diese Anforderungen müssen aufeinander abgestimmt werden. Besonders bei grenzüberschreitend tätigen IKT-Dienstleistern entstehen Diskussionen, wenn ähnliche Pflichten bereits aus anderen Regelwerken bestehen oder Prüf- und Kontrollrechte eingeschränkt werden sollen.

DORA enthält an mehreren Stellen unbestimmte Begriffe und lässt Raum für Interpretationen. Finanzunternehmen leiten daraus teilweise unterschiedliche Anforderungen ab. Für IKT-Dienstleister bedeutet das zusätzliche Individualisierung, die sich insbesondere bei standardisierten oder skalierbaren Produkten nur schwer wirtschaftlich und operativ umsetzen lässt.

Die Umsetzung von DORA verursacht zusätzlichen Prüfungs-, Dokumentations- und Anpassungsaufwand. Bei bestehenden Verträgen sind häufig Gap-Analysen und eine erneute Bewertung der Leistungsdokumentation erforderlich. Auch Anforderungen wie TLPT, erweiterte Prüfungsrechte oder individuelle Kontrollmaßnahmen können zu Nachverhandlungen über Kosten und Haftung führen. Das verlängert den Abschlussprozess.

Nicht jede DORA-Anforderung passt gleichermaßen zu jeder Leistung. Bei SaaS- und Cloud-Modellen können etwa Datenschutz, Vertraulichkeit und Prüfungsrechte miteinander kollidieren. Standardprodukte bieten zudem nur begrenzte Möglichkeiten zur Individualisierung. Auch Penetrationstests oder außerordentliche Kündigungsrechte müssen an das konkrete Leistungsmodell angepasst werden. Bei langjährigen und komplexen Auslagerungen ist ein sicherer Ausstieg in der Regel nicht sofort möglich, sondern braucht eine angemessene Übergangsfrist.

DORA-Vertragsverhandlungen sind keine reine Routine. Sie betreffen Risikoteilung, Kontrollrechte und Abhängigkeiten. Der wichtigste Hebel liegt deshalb vor dem Verhandlungstisch: Finanzunternehmen sollten die eigenen Prioritäten, nicht verhandelbaren Anforderungen und Alternativen frühzeitig klären. Wer Sinn und Zweck der Anforderungen versteht, sie in den Kontext des konkreten Leistungsmodells einordnet und die Ergebnisse nachvollziehbar dokumentiert, schafft die Grundlage für effiziente und belastbare Verhandlungen.

DORA stellt Finanzunternehmen vor komplexe vertragliche und operative Herausforderungen. Wir helfen Ihnen, diese frühzeitig zu erkennen, Ihre Anforderungen klar zu formulieren und Verhandlungen mit IKT-Dienstleistern gezielt vorzubereiten. Nehmen Sie Kontakt mit uns auf und lassen Sie uns gemeinsam den nächsten Schritt besprechen