DORA Artikel 28 IKT-Drittparteirisiko: WordPress-Hosting- und WAF-Lieferanten-Audit
Artikel 28 der Verordnung 2022/2554 ist der Teil von DORA, der entscheidet, ob ein Kunde aus dem Finanzsektor überhaupt einen Hosting-Vertrag oder ein WAF-Abonnement unterzeichnen darf. Er gilt für Kreditinstitute, Zahlungsinstitute, Versicherer, Wertpapierfirmen, Kryptowert-Dienstleister und rund fünfzehn weitere Kategorien aus Artikel 2. Seit 17. Januar 2025 gilt er unmittelbar, ohne nationale Umsetzung.
Dies ist ein vertiefender Beitrag im Pillar zu NIS2 und DORA auf WordPress mit Querverweisen auf den NIS2-Anhang-II-Nachweispfad und die CRA + NIS2 + DORA-Stack-Übersicht.
TL;DR
- DORA Artikel 28 = allgemeine Grundsätze für das IKT-Drittparteirisikomanagement.
- Artikel 30 = die zwingenden Vertragsklauseln.
- Artikel 31 = das CTPP-Benennungsverfahren der Europäischen Aufsichtsbehörden.
- Ein WordPress-Mandat mit einer Bank oder einem Versicherer löst Registereintrag, Due Diligence, zwingende Klauseln und Ausstiegsstrategie aus.
- Hosting, CDN, WAF, Zahlungs-Plugin und E-Mail-Versand-Plugin landen alle im Register.
Wer unter DORA fällt
Artikel 2 Absatz 1 von DORA zählt die Finanzeinrichtungen auf. Die häufigsten in WordPress-Mandaten:
- Kreditinstitute und ihre Gruppen.
- Zahlungsinstitute und E-Geld-Institute.
- Wertpapierfirmen, einschließlich Betreibern eines MTF oder OTF.
- Kryptowert-Dienstleister unter MiCA.
- Versicherungs- und Rückversicherungsunternehmen.
- Versicherungsvermittler oberhalb der Schwelle.
- Schwarmfinanzierungsdienstleister.
- Investmentfonds (OGAW-Verwalter, AIFM).
Hinzu kommen die kritischen IKT-Drittdienstleister (CTPP), die nach Artikel 31 von den Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) über den Gemeinsamen Ausschuss auf Empfehlung des Überwachungsforums benannt werden. Die erste Liste wurde am 18. November 2025 veröffentlicht und nennt 19 Anbieter: öffentliche Clouds (Amazon Web Services, Google Cloud, Microsoft, Oracle), IT-Beratungs- und Outsourcing-Häuser (Accenture, Capgemini, IBM, Kyndryl, NTT DATA, Tata Consultancy Services), Telekommunikations- und Rechenzentrumsbetreiber (Colt, Deutsche Telekom, Equinix, InterXion, Orange), Finanzdatenanbieter (Bloomberg, LSEG Data and Risk) und Softwarehersteller (FIS, SAP). Kein WordPress-Hoster und kein CDN steht darauf. Eine WordPress-Agentur ist ein gewöhnlicher IKT-Drittdienstleister, und die Pflichten der Artikel 28 bis 30 erreichen sie über den Vertrag mit der Finanzeinrichtung.
Anforderungen von DORA Artikel 28 im Überblick
Artikel 28 hat zehn Absätze. Die ersten acht verpflichten die Finanzeinrichtung, die Absätze 9 und 10 beauftragen die Europäischen Aufsichtsbehörden mit technischen Standards. Was jeder Absatz für ein WordPress-Mandat bedeutet:
Artikel 28 Absatz 1. Die Finanzeinrichtung steuert das IKT-Drittparteienrisiko als integralen Bestandteil des IKT-Risikos in ihrem IKT-Risikomanagementrahmen. Buchstabe a ist der Satz, den der Einkauf am häufigsten zitiert: Die Einrichtung bleibt jederzeit voll verantwortlich für die Einhaltung ihrer Pflichten, auch wenn sie die Leistung ausgelagert hat. Buchstabe b führt die Verhältnismäßigkeit ein, gemessen an Art, Umfang, Komplexität und Bedeutung der IKT-Abhängigkeiten. Der Lieferant liefert Nachweise, die Verantwortung wandert nicht mit.
Artikel 28 Absatz 2. Eine regelmäßig überprüfte Strategie für das IKT-Drittparteienrisiko, die eine Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen enthält. Das Leitungsorgan überprüft regelmäßig die Risiken dieser Vereinbarungen. Kleinstunternehmen und Unternehmen im vereinfachten Rahmen nach Artikel 16 Absatz 1 fallen nicht unter diesen Absatz.
Artikel 28 Absatz 3. Ein Informationsregister über alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, das jene zur Unterstützung kritischer oder wichtiger Funktionen von den übrigen unterscheidet. Die Einrichtung meldet der zuständigen Behörde mindestens jährlich die Zahl neuer Vereinbarungen, die Kategorien von Dienstleistern und die erbrachten Leistungen, stellt das vollständige Register auf Anfrage bereit und informiert die Behörde rechtzeitig über jede geplante Vereinbarung für eine kritische oder wichtige Funktion. Für WordPress: Hosting, CDN, WAF, Zahlungs-Gateway, transaktionale E-Mail, KI-Anbieter, Monitoring-Werkzeug, Backup-Ziel.
Artikel 28 Absatz 4. Vor Vertragsschluss prüft die Einrichtung, ob die Vereinbarung eine kritische oder wichtige Funktion unterstützt (Buchstabe a), ob die aufsichtsrechtlichen Voraussetzungen erfüllt sind (Buchstabe b), alle relevanten Risiken einschließlich des IKT-Konzentrationsrisikos nach Artikel 29 (Buchstabe c), führt die Due Diligence zur Eignung des Anbieters durch (Buchstabe d) und bewertet Interessenkonflikte (Buchstabe e).
Artikel 28 Absatz 5. Verträge nur mit Anbietern, die angemessene Standards für Informationssicherheit einhalten. Bei kritischen oder wichtigen Funktionen berücksichtigt die Einrichtung die aktuellsten und höchsten Qualitätsstandards. Ein ISO/IEC-27001- oder SOC-2-Bericht des Hosters zählt als Nachweis nur, wenn sein Geltungsbereich die vertraglich vereinbarte Leistung abdeckt.
Artikel 28 Absatz 6. Die Einrichtung legt risikobasiert im Voraus Häufigkeit und Bereiche von Audits und Inspektionen beim Anbieter fest und prüft bei technisch komplexen Leistungen, ob die Prüfer die nötige Fachkunde haben.
Artikel 28 Absatz 7. Der Vertrag muss kündbar sein bei erheblichem Verstoß des Anbieters, bei Umständen, die die Erbringung der Funktionen verändern können (einschließlich wesentlicher Änderungen beim Anbieter), bei nachgewiesenen Schwächen in seinem IKT-Risikomanagement oder wenn die zuständige Behörde die Einrichtung wegen der Vereinbarung nicht mehr wirksam beaufsichtigen kann.
Artikel 28 Absatz 8. Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Der Ausstieg darf den Geschäftsbetrieb nicht stören, die Einhaltung regulatorischer Anforderungen nicht einschränken und die Kontinuität und Qualität der Leistungen für Kunden nicht beeinträchtigen. Ausstiegspläne sind umfassend, dokumentiert, ausreichend getestet und werden regelmäßig überprüft.
Artikel 28 Absätze 9 und 10. Aufträge für technische Standards. Aus Absatz 9 entstand die Durchführungsverordnung (EU) 2024/2956 mit den Mustervorlagen für das Register. Aus Absatz 10 entstand die Delegierte Verordnung (EU) 2024/1773 zum Inhalt der Leitlinie nach Absatz 2.
Vertragsklauseln nach DORA Artikel 30 im WordPress-Hosting
Artikel 30 Absatz 1 verlangt, dass der vollständige Vertrag einschließlich der Service-Level-Vereinbarungen in einem einzigen schriftlichen Dokument festgehalten wird. Absatz 2 listet die Mindestinhalte jedes IKT-Vertrags, Absatz 3 ergänzt die Inhalte für Verträge, die kritische oder wichtige Funktionen unterstützen. Die Agenturvorlage, die ich mit Hosting- und WAF-Verträgen ausliefere, folgt derselben Nummerierung:
| Klausel | Art. 30 | Was im WordPress-Vertrag steht |
|---|---|---|
| Vollständige Leistungsbeschreibung und Bedingungen für Unterauftragsvergabe | 2(a) | Hosting-Stufe, WAF-Regelwerk, enthaltene Plugins, ob Unterauftragsvergabe erlaubt ist und unter welchen Bedingungen |
| Orte der Leistungserbringung und Datenverarbeitung | 2(b) | Regionen oder Länder von Rechenzentrum und Support, Vorabanzeige jeder Standortänderung |
| Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten | 2(c) | Verschlüsselung im Ruhezustand und bei Übertragung, Zugriffskontrolle, AV-Vertrag nach Artikel 28 DSGVO |
| Zugang, Wiederherstellung und Rückgabe der Daten | 2(d) | SQL-Dump und Upload-Archiv in leicht zugänglichem Format bei Insolvenz, Geschäftsaufgabe oder Vertragsende |
| Service-Level-Beschreibungen | 2(e) | Verfügbarkeits-SLA, Reaktionszeiten, Aktualisierungen des SLA |
| Unterstützung bei IKT-Vorfällen | 2(f) | Hilfe ohne Zusatzkosten oder zu vorab festgelegten Kosten |
| Zusammenarbeit mit Behörden | 2(g) | Uneingeschränkte Zusammenarbeit mit zuständigen Behörden und Abwicklungsbehörden |
| Kündigungsrechte und Kündigungsfristen | 2(h) | Kündigungsgründe und Mindestkündigungsfrist |
| Sicherheitsschulungen | 2(i) | Teilnahme an den IKT-Sicherheitsprogrammen der Einrichtung (Artikel 13 Absatz 6) |
| Vollständige Service Levels mit messbaren Zielen | 3(a) | RPO, RTO, quantitative und qualitative Leistungsziele, Abhilfemaßnahmen |
| Kündigungsfristen und Berichtspflichten | 3(b) | Mitteilung jeder Entwicklung, die die Leistungserbringung beeinträchtigen kann |
| Notfallpläne und Sicherheitsmaßnahmen | 3(c) | Getesteter Notfallplan, Sicherheitsrichtlinien des Anbieters |
| Bedrohungsorientierte Penetrationstests | 3(d) | Mitwirkung an TLPT nach Artikel 26 und 27 |
| Laufende Überwachung und Audit | 3(e) | Uneingeschränkte Zugangs-, Inspektions- und Auditrechte für Einrichtung und Behörde |
| Ausstiegsstrategie und Übergangszeitraum | 3(f) | Verpflichtender Übergangszeitraum während der Migration zu einem anderen Anbieter oder ins eigene Haus |
Absatz 4 ergänzt, dass die Parteien von Behörden entwickelte Standardvertragsklauseln in Betracht ziehen. Diese Matrix führe ich als einzelne Markdown-Datei im Mandatsordner. Jeder Vertrag wird vor Unterzeichnung dagegen geprüft.
DORA Informationsregister für WordPress-Dienstleister
Ein WordPress-Mandat für eine Finanzeinrichtung berührt mehr IKT-Dritte, als der Einkauf üblicherweise erwartet. Das Register, das ich am ersten Tag eines Mandats aufstelle:
- Hosting-Anbieter. Der tatsächliche Rechenzentrumsbetreiber, die Verwaltungsoberfläche, das Support-Team. Kritisch oder wichtig, wenn die WordPress-Site Teil der Kundendienste ist.
- CDN-Anbieter. Cloudflare, Fastly, Akamai. Verarbeitet Verkehr, kann Request-Bodies sehen, terminiert TLS. Häufig kritisch oder wichtig.
- WAF-Anbieter. Manchmal identisch mit dem CDN, manchmal getrennt (Sucuri, Imperva). Inspiziert Nutzdaten. Kritisch oder wichtig.
- Zahlungs-Plugin. Stripe, Adyen, mollie, regionale Gateways. Der Plugin-Autor ist ein Lieferant; der Gateway-Betreiber ein anderer. Beide ins Register.
- Transaktionale E-Mail. SES, Postmark, SendGrid. Trägt Passwort-Resets, KYC-Benachrichtigungen, AML-Alerts. Häufig kritisch oder wichtig.
- Monitoring und APM. New Relic, Datadog, Sentry. Empfängt Stack Traces und teilweise Request-Payloads.
- Backup-Ziel. S3, Backblaze, Wasabi. Hält Datenbank und Uploads. Von ihm hängt die Wiederherstellung ab, daher unterstützt es meist eine kritische oder wichtige Funktion.
- KI-Anbieter. Wenn die WordPress-Site einen LLM für eine Kundenfunktion einsetzt (Chat, Zusammenfassung), ist der LLM-Anbieter im Anwendungsbereich.
- Plugin-Marktplatz. WordPress.org, Premium-Marktplätze. Update-Kanäle gehören zur Lieferkette im Sinne der IKT-Dienstleistungslieferkette nach Artikel 1 Nummer 2 der Durchführungsverordnung 2024/2956.
Pro Anbieter führt das Register: rechtlicher Name, Vertragsreferenz, Leistungsbeschreibung, Datenflüsse, Kritikalitätsklassifizierung, Verarbeitungsstandort, Datum der letzten Due Diligence, Verweis auf die Ausstiegsstrategie.
Mustervorlagen für das DORA-Informationsregister nach Durchführungsverordnung 2024/2956
Das Register hat kein freies Format. Die Durchführungsverordnung (EU) 2024/2956 legt die Mustervorlagen fest, mit denen die Einrichtung das Register nach Artikel 28 Absatz 3 führt. Drei ihrer Regeln ändern, was eine WordPress-Agentur liefern muss:
- Kennung des Anbieters. Artikel 3 Absatz 5 verlangt, jeden Anbieter, der eine juristische Person ist, mit einer gültigen und aktiven Rechtsträgerkennung (LEI) oder der europäischen einheitlichen Kennung (EUID) zu identifizieren, und mit beiden, wenn vorhanden. Für ein Unternehmen in der EU ergibt sich die EUID aus dem Handelsregister; die LEI wird gesondert beantragt. Natürliche Personen, die gewerblich handeln, sind ausgenommen.
- Rang in der Lieferkette. Artikel 2 weist jedem Anbieter einen Rang zu: Der direkte Anbieter hat immer Rang 1, jeder Unterauftragnehmer eine höhere Zahl. Stellt die Agentur das Hosting eines Dritten in Rechnung, ist die Agentur Rang 1 und der Hoster Rang 2.
- Unterauftragnehmer hinter kritischen oder wichtigen Funktionen. Artikel 3 Absatz 2 Buchstabe b verlangt, alle Unterauftragnehmer ins Register aufzunehmen, die diese Leistungen tatsächlich tragen, und Absatz 6 verlangt, dass auch sie über den direkten Anbieter eine LEI oder EUID angeben.
Artikel 5 zählt die Vorlagen auf, darunter B_05.01 (direkte Anbieter und Unterauftragnehmer), B_05.02 (IKT-Dienstleistungslieferkette), B_06.01 (Identifizierung der Funktionen) und B_07.01 (Bewertung der Leistungen, die kritische oder wichtige Funktionen unterstützen). Entlang dieser Struktur enthält das Blatt, das ich dem Kunden übergebe, je Anbieter den Firmennamen, LEI oder EUID, Rang, Leistung, Orte der Erbringung und Verarbeitung und die unterstützte Funktion.
Wie bewertet man das DORA-Konzentrationsrisiko bei einem Cloud-Anbieter
Das Konzentrationsrisiko hat einen eigenen Artikel. Artikel 28 Absatz 4 Buchstabe c verweist auf Artikel 29. Danach prüft die Einrichtung bei Leistungen für kritische oder wichtige Funktionen, ob ein neuer Vertrag sie an einen nicht leicht ersetzbaren Anbieter bindet oder mehrere Vereinbarungen mit demselben oder mit eng verbundenen Anbietern anhäuft. Eine Bank, die Cloudflare für CDN, Cloudflare Workers fürs Backend, Cloudflare R2 für Objektspeicher und Cloudflare Stream für Video nutzt, fällt in den zweiten Fall. Das ist kein Cloudflare-spezifischer Befund; dasselbe gilt für AWS-, Azure- oder GCP-Stacks.
Bei WordPress sieht es meist so aus: Hosting auf AWS, Backups nach S3, E-Mail über SES, Monitoring mit CloudWatch. Vier AWS-Abhängigkeiten, ein Anbieter. Artikel 29 Absatz 1 verlangt, Nutzen und Kosten von Alternativen abzuwägen, etwa den Einsatz verschiedener Anbieter; eine Diversifizierung um jeden Preis verlangt er nicht. Das Risikoregister muss die Konzentration ausdrücklich anerkennen und sie begründen oder eine Diversifizierung planen. Artikel 29 Absatz 2 ergänzt für Unterauftragnehmer in einem Drittland das anwendbare Insolvenzrecht, Hindernisse bei der dringenden Wiederherstellung von Daten und die Einhaltung des Datenschutzrechts der Union.
DORA Exit-Strategie für WordPress-Hosting und WAF
Artikel 28 Absatz 8 verlangt, dass die Ausstiegsstrategie dokumentiert und getestet wird. Für WordPress-Hosting und WAF umfasst eine echte Ausstiegsstrategie:
- Datenbank-Export im Standardformat. SQL-Dump kompatibel mit Stock-MySQL oder MariaDB, ohne proprietäre Erweiterungen.
- Dateisystem-Export einschließlich Uploads. Tar- oder Zip-Archiv, von außerhalb der Anbieterkonsole herunterladbar.
- DNS-Kontrolle. Domain-Registrar-Konto im Eigentum der Finanzeinrichtung, weder bei Agentur noch beim Hoster.
- Lizenz-Portabilität für Plugins und Themes. Lizenzen im Namen der Einrichtung, übertragbar an einen neuen Hoster.
- Getesteter Übergang. Eine Staging-Umgebung bei einem alternativen Hoster, die in einem dokumentierten Zeitfenster zur Produktion erhoben werden kann. Der Test ist protokolliert und datiert.
- Vertragliches Übergangsfenster. Artikel 30 Absatz 3 Buchstabe f verlangt einen verpflichtenden Übergangszeitraum, in dem der Anbieter die Leistung weiter erbringt, während die Einrichtung migriert. Der Hosting-Vertrag legt Dauer und Preis fest.
- Rückgabe der Daten. Artikel 30 Absatz 2 Buchstabe d verlangt, dass die Einrichtung bei Insolvenz, Geschäftsaufgabe des Anbieters oder Vertragsende auf ihre Daten zugreifen, sie wiederherstellen und in leicht zugänglichem Format zurückerhalten kann.
Die Preisgestaltung für Mandate, die das Ausstiegsstrategie-Paket beinhalten, ist individuell; das Ausstiegsdokument selbst nimmt Tage, nicht Stunden, und ist ein Liefergegenstand.
Wie DORA den Einkauf bei WordPress-Agenturen verändert
Eine WordPress-Agentur, die mit der bereits gefüllten Artikel-30-Klauselmatrix, der vorbereiteten Lieferantenregister-Vorlage und einer bewährten Ausstiegsstrategie kommt, passiert den Einkauf schneller. Die Finanzeinrichtung muss Artikel 28 nicht in einen Vertrag übersetzen; sie fügt die Liefergegenstände der Agentur in ihren eigenen IKT-Risikomanagement-Rahmen ein.
Das ist auch der Grund, warum ein regulierter Kunde Lieferanten-Shortlists nach Jurisdiktion filtert. Eine in der EU ansässige Agentur unter EU-Vertragsrecht entfernt eine Reibungsschicht; bei einer Agentur außerhalb der EU muss die Einrichtung zusätzlich abwägen, was Artikel 29 Absatz 2 für ein Drittland verlangt: anwendbares Insolvenzrecht, dringende Wiederherstellung der Daten und Einhaltung des Datenschutzrechts der Union.
Wie stuft man kritische oder wichtige Funktionen nach DORA ein
Artikel 3 Nummer 22 DORA definiert eine kritische oder wichtige Funktion als Funktion, deren Ausfall die finanzielle Leistungsfähigkeit der Einrichtung oder die Solidität oder Fortführung ihrer Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde, oder deren fehlerhafte oder unterbliebene Leistung die Einhaltung der Zulassungsbedingungen oder sonstiger Pflichten nach dem Finanzdienstleistungsrecht erheblich beeinträchtigen würde. Weder Markenname noch Vertragswert bestimmen die Kritikalität. Ausgangspunkt ist die Funktion, die das Vertragsverhältnis unterstützt, sowie die Auswirkung von Ausfall, Leistungsabfall oder Kompromittierung. Eine Informationsseite einer Bank kann für die Kommunikation relevant sein, ohne unmittelbar eine kritische Finanzdienstleistung zu tragen. Ein preisgünstiges Plugin für Anmeldung oder Zahlungsstatus kann dagegen eine erhebliche operative Wirkung haben.
Der Bewertungsvermerk benennt Geschäftsservice, Prozessverantwortung, betroffene Kunden, verarbeitete Daten, Wiederherstellungsziele, mögliche manuelle Ersatzverfahren und Abhängigkeiten von weiteren Anbietern. Zusätzlich hält er fest, wer die Einstufung als kritische oder wichtige Funktion genehmigt hat und wann sie erneut geprüft wird. Diese Einstufung steuert Tiefe der Due Diligence und zusätzliche Vertragsanforderungen. Der Lieferant kann sie nicht durch eine Selbstauskunft verbindlich festlegen. Artikel 3 Absatz 2 der Delegierten Verordnung 2024/1773 verlangt, dass die Leitlinie der Einrichtung die Methode festlegt, nach der bestimmt wird, welche IKT-Dienstleistungen kritische oder wichtige Funktionen unterstützen, und wann diese Bewertung überprüft wird.
Due-Diligence-Checkliste für IKT-Dienstleister
Der Einkauf sollte Nachweise zur konkret angebotenen Leistung verlangen, nicht nur eine allgemeine Sicherheitsbroschüre. Bei WordPress-Hosting, CDN, WAF oder Managed Service gehören regelmäßig dazu:
- Rechtsträger, Eigentümergruppe, Leistungsorte und benannte Unterauftragnehmer;
- Architektur- und Datenflussgrenzen einschließlich administrativer Zugänge und Supportpfade;
- Nachweise zu MFA, privilegierten Konten, Zugriffsprüfungen und Offboarding;
- Verfahren für Schwachstellen, Patches und Änderungen mit aktuellen Betriebsbelegen;
- Meldeweg für Vorfälle, Eskalationskontakte und Fähigkeit zur Beweissicherung;
- Ergebnisse von Wiederherstellungs- und Kontinuitätstests für die Vertragsleistung;
- unabhängige Prüfberichte mit Geltungsbereich, Ausschlüssen und Status offener Maßnahmen;
- vorgeschlagene Service Levels, Wiederherstellungsziele, Auditunterstützung und Übergangshilfe.
Ein Zertifikat kann die Prüfung stützen. Es beweist jedoch nicht automatisch, dass WordPress-Verwaltungsoberfläche, Supportteam und Backup-Ziel im zertifizierten Geltungsbereich liegen. Nachweisdatum, geprüfter Zeitraum, Prüfer und offene Fragen gehören in die Akte. Kann ein Anbieter sensible Unterlagen nicht vollständig herausgeben, werden kontrollierte Einsicht, unabhängiger Bericht oder eine konkrete vertragliche Zusicherung vereinbart. Der Punkt darf nicht stillschweigend als erfüllt gelten.
DORA Unterauftragsvergabe bei WordPress-Dienstleistern
Der direkte Vertragspartner betreibt selten den gesamten Stack. Eine Managed-WordPress-Agentur nutzt möglicherweise Cloud-Plattform, CDN, Ticketsystem, Monitoring und einen weiteren Supportdienstleister. Vertrag und Register müssen deshalb zwischen dem Vertragspartner und den Unternehmen unterscheiden, die tatsächlich Daten speichern, Systeme administrieren oder eine kritische beziehungsweise wichtige Funktion unterstützen.
Festgelegt wird, welche Änderungen der Unterauftragskette anzeigepflichtig sind, welche Angaben die Anzeige enthält, wie Widerspruch oder Kündigung funktionieren und was mit vorhandenen Daten geschieht. Der Einkauf prüft außerdem Konzentration auf der vierten Ebene: Zwei scheinbar unabhängige Anbieter können vom selben Hyperscaler, Identitätsdienst oder DNS-Betreiber abhängen. Eine nur bei Vertragsschluss erhobene Liste ist keine dauerhaft wirksame Kontrolle.
Die Delegierte Verordnung (EU) 2025/532, die Artikel 30 Absatz 2 Buchstabe a konkretisiert, regelt diese Bedingungen. Nach ihrem Artikel 3 entscheidet die Einrichtung vor Vertragsschluss, ob der Anbieter eine Leistung für eine kritische oder wichtige Funktion weitervergeben darf, und unterschreibt nur, wenn der Anbieter seine Unterauftragnehmer bewerten und alle benennen kann. Artikel 4 verlangt, dass der Vertrag festlegt, welche Leistungen weitervergeben werden dürfen, und dass der Anbieter für die Leistungen seiner Unterauftragnehmer verantwortlich bleibt und sie überwacht. Artikel 5 regelt wesentliche Änderungen: Der Anbieter kündigt sie rechtzeitig an, der Vertrag setzt eine angemessene Frist für Zustimmung oder Widerspruch, und die Änderung wird erst umgesetzt, wenn die Einrichtung zugestimmt oder die Frist ohne Widerspruch verstreichen lassen hat.
Wie testet man einen Ausstiegsplan nach DORA
Zwei Logos in einem Architekturdiagramm bedeuten noch keine Diversifizierung. Nutzt der Ersatzhost dieselbe Cloud-Region, teilt das Backup denselben Identitätsdienst oder bleibt DNS unter Kontrolle des bisherigen Lieferanten, kann die Alternative zusammen mit dem Primärdienst ausfallen. Zu erfassen sind gemeinsame Eigentümerschaft, Infrastruktur, geografische Lage, Administrationszugänge und Spezialwissen.
Ein Ausstiegstest weist nach, dass berechtigte Personen aktuelle Daten und Konfigurationen erhalten, deren Integrität prüfen, den Dienst neu aufbauen, Verkehr umschalten, erforderliche Aufzeichnungen erhalten und alte Zugänge entziehen können. Die gemessene Dauer wird mit der genehmigten Geschäftstoleranz verglichen. Manuelle Schritte, Lizenzgrenzen, Formatprobleme und nicht reproduzierbare Funktionen werden protokolliert. Das Ergebnis kann ein akzeptiertes Restrisiko, eine Maßnahme oder ein Anbieterwechsel sein. Artikel 28 verlangt nicht automatisch, jede Abhängigkeit unabhängig von Kosten zu verdoppeln.
DORA Dienstleisterüberprüfung und Freigabekriterien
Frequenz und Tiefe der Neubewertung folgen Kritikalität und Veränderung. Artikel 28 Absatz 6 verlangt, Häufigkeit und Bereiche der Audits im Voraus festzulegen, und Artikel 3 Absatz 1 der Delegierten Verordnung (EU) 2024/1773 verpflichtet das Leitungsorgan, die Leitlinie für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen mindestens einmal jährlich zu überprüfen. Auslöser für eine Neubewertung des Anbieters sind unter anderem ein wesentlicher Vorfall, eine Übernahme, ein neuer Verarbeitungsort, ein bedeutender Wechsel bei Unterauftragnehmern, eine erhebliche Leistungsänderung oder wiederholte SLA-Abweichungen. Service Owner, Einkauf, Informationssicherheit, Recht und Datenschutz benötigen klare Rollen. Ein jährlich versandter Fragebogen ohne Bewertung der Antworten ist keine ausreichende Steuerung.
Vor Freigabe sollten ein benannter Kontrollverantwortlicher, ein vollständiges Nachweisprotokoll, vertraglich gelöste Lücken oder formell akzeptierte Ausnahmen, der Registereintrag, ein umsetzbarer Ausstiegsplan und der nächste Prüftermin vorliegen. Die Abnahme trennt belegte Tatsachen, reine Anbieteraussagen, nicht geprüfte Bereiche und Restrisiken. Ein Lieferantenaudit reduziert Unsicherheit, zertifiziert aber weder die DORA-Konformität der Finanzeinrichtung noch einen unterbrechungsfreien Betrieb.
Für eine belastbar abgrenzbare Prüfung senden Sie einen schriftlichen Brief mit Finanzfunktion, Anbieter und Leistung, Architektur, Datenklassen, bekannten Unterauftragnehmern, Wiederherstellungszielen, Vertragsstand und Beschaffungsfrist. Die NIS2- und DORA-Readiness-Prüfung kann daraus Lieferanteninventar, Nachweislücken, Vertragscheckliste, Konzentrationsanalyse und Retest-Plan für die WordPress-Fläche ableiten.
