In diesem Artikel:

Warum DORA für Technologieunternehmen von Bedeutung ist

Was passiert, wenn Sie nicht DORA-konform sind?

Vier Kernbereiche, auf die Sie sich bei DORA konzentrieren sollten

DORA-Konformität schneller erreichen: Wie LEGALFLY Sie bei der Erfüllung der Anforderungen unterstützt

Der Digital Operational Resilience Act (DORA) ist in der gesamten EU in Kraft getreten. Obwohl er sich direkt an Finanzinstitute richtet, erstrecken sich seine Auswirkungen auf jedes Technologieunternehmen, das diese unterstützt. Wenn Sie Cloud-Hosting, Datendienste, Cybersicherheits-Tools oder andere ICT-Dienstleistungen für ein reguliertes Unternehmen bereitstellen, betrifft DORA höchstwahrscheinlich auch Sie.

Hier erfahren Sie, was Sie wissen müssen, um konform zu bleiben und unnötige Risiken zu vermeiden. 

Warum DORA für Technologieunternehmen von Bedeutung ist

DORA wurde eingeführt, um die digitale operationelle Resilienz des EU-Finanzsystems zu verbessern. Die Verordnung gilt für Banken, Zahlungsdienstleister, Handelsplätze, Versicherer und Krypto-Asset-Plattformen. Sie erlegt jedoch auch deren Zulieferern, einschließlich Drittanbietern von ICT-Dienstleistungen, indirekte Verpflichtungen auf.

Obwohl Technologieanbieter nicht die primäre Zielgruppe sind, sind sie dennoch auf zwei wesentliche Weisen indirekt betroffen:

1. Durch vertragliche Anforderungen:

Regulierte Finanzunternehmen sind unter DORA nun verpflichtet, ICT-Risiken durch Drittanbieter strenger zu steuern. Das bedeutet, dass sie sicherstellen müssen, dass ihre Zulieferer (Cloud-Plattformen, SaaS-Unternehmen, Cybersicherheits-Anbieter etc.) spezifische Standards in folgenden Bereichen erfüllen:

• Risikokontrollen

• Incident-Reporting (Meldung von Vorfällen)

• Prüfungsrechte (Audit Rights)

• Operationelle Resilienz

• Datenzugriff und -wiederherstellung

• Ausstiegs- und Substitutionsklauseln‍

2. Bei Einstufung als kritischer Drittdienstleister (Critical Third-Party Provider - CTPP):

Die Europäischen Aufsichtsbehörden (ESAs) können bestimmte große oder essenzielle ICT-Anbieter als kritisch für das Finanzsystem einstufen. In diesem Fall unterliegt der Anbieter der direkten DORA-Aufsicht, einschließlich Audits und Durchsetzungsmaßnahmen.

Das bedeutet: Wenn Ihre Technologie eine Finanzdienstleistung unterstützt, werden Ihre Verträge, Prozesse und Reaktionsprotokolle genauestens überprüft. DORA trat am 17. Januar 2025 in Kraft, wobei die Durchsetzung ab Mai intensiviert wird.

Mehr lesen: Ein einfacher Leitfaden zur Bewältigung der DORA-Konformität

Oder sehen Sie sich das Webinar an: DORA-Konformität über den Januar hinaus: Wie geht es weiter?

Was passiert, wenn Sie nicht DORA-konform sind?

Die Nichteinhaltung der DORA-Standards kann schwerwiegende Konsequenzen haben:

• Geldbußen von bis zu 2 % des weltweiten Gesamtumsatzes

• Vertragsrisiken und verzögerte Geschäftsabschlüsse mit regulierten Kunden

• Für als kritisch eingestufte Anbieter direkte Strafen von bis zu 5 Millionen Euro

• Reputationsschäden und eingeschränkter Zugang zu Finanzmärkten

Vier Kernbereiche, auf die Sie sich bei DORA konzentrieren sollten

Um Ihren Kunden im Finanzsektor dabei zu helfen, ihre eigenen DORA-Verpflichtungen zu erfüllen, müssen Sie vier Hauptbereiche angehen:

1. ICT-Risikomanagement

Sie sollten darauf vorbereitet sein, Rollen, Verantwortlichkeiten und Risikokontrollen in Ihren Verträgen klar zu definieren. Kunden werden sich erkundigen, wie Sie mit Ausfallzeiten, Cyber-Bedrohungen und Systemausfällen umgehen. Stellen Sie sicher, dass Ihre internen Richtlinien mit Ihren vertraglichen Zusagen übereinstimmen.

2. Incident-Reporting (Meldung von Vorfällen)

Schwerwiegende ICT-Vorfälle müssen schnell und transparent gemeldet werden. Da Ihre Kunden die Aufsichtsbehörden informieren müssen, sollte Ihr Vertrag klare Meldefristen, Eskalationswege und den erforderlichen Detailgrad festlegen.

3. Resilienztests

Finanzinstitute müssen ihre operationelle Resilienz regelmäßig testen. Dies kann Penetrationstests, Disaster-Recovery-Übungen und Live-Failover-Tests umfassen. Ihre Verträge müssen unter Umständen Verpflichtungen zu Testplänen und zur Teilnahme an koordinierten Übungen enthalten.

4. Vertragsbedingungen

Aufsichtsbehörden erwarten detaillierte und transparente Verträge. Sie sollten Ausstiegsklauseln, Bedingungen für Unterauftragnehmer, Datenzugriffsrechte und Prüfungsbestimmungen aufnehmen. Diese Bedingungen helfen Ihren Kunden, Kontrolle und Rechenschaftspflicht zu wahren – eine Kernforderung von DORA.

DORA-Compliance-Checkliste für Technologieunternehmen

Nutzen Sie diese Checkliste, um zu zeigen, dass Ihre Organisation DORA-ready ist:

• Überprüfen Sie ICT-Verträge auf erforderliche Klauseln: Prüfungsrechte, Datenzugriff, Einschränkungen bei Unteraufträgen und Ausstiegsbedingungen

• Stimmen Sie interne Risikomanagementprozesse mit vertraglichen Verpflichtungen ab

• Formalisieren Sie Verfahren zur Eskalation von Vorfällen und Protokolle für das Kunden-Reporting

• Planen und dokumentieren Sie regelmäßige Resilienztests

• Führen Sie ein klares Verzeichnis kritischer Drittanbieter und deren Risikostatus

• Führen Sie prüfungsbereite Aufzeichnungen über Entscheidungen, Überprüfungen und Compliance-Maßnahmen

• Befähigen Sie Vertriebs- und Account-Teams, auf DORA-bezogene Due-Diligence-Anfragen professionell zu reagieren

Diese Erwartungen konsistent und in großem Maßstab zu erfüllen, ist komplex. Es erfordert eine präzise Abstimmung zwischen Rechts-, Compliance-, Beschaffungs- und Vertriebsteams. Genau hier bietet LEGALFLY entscheidenden Mehrwert.

DORA-Konformität schneller erreicht: Wie LEGALFLY Technologieunternehmen dabei unterstützt, DORA-Bereitschaft zu erfüllen und nachzuweisen

LEGALFLY ist eine juristische KI-Plattform, die Technologieunternehmen dabei unterstützt, ein hohes Aufkommen an Vertragsarbeiten mit höherer Geschwindigkeit, Genauigkeit und Kontrolle zu bewältigen. Für Teams, die DORA-Verpflichtungen umsetzen müssen, unterstützt LEGALFLY sowohl die Compliance als auch die Absicherung gegenüber Mandanten und Kunden.

Mehr lesen: DORA-Compliance leicht gemacht mit juristischer KI

Das Herzstück von LEGALFLY bilden KI-Agenten. Diese spezialisierten Funktionen sind darauf trainiert, spezifische rechtliche Aufgaben wie die Prüfung von Verträgen, das Umschreiben von Klauseln, den Vergleich von Versionen oder die Beantwortung von Fragen zu Regularien wie DORA zu übernehmen. Jeder Agent ist so konzipiert, dass er Aufgaben zuverlässig, reproduzierbar und im Einklang mit den Unternehmensrichtlinien und aufsichtsrechtlichen Standards ausführt.

Spezialisierter DORA-Compliance-Agent: LEGALFLY verfügt über einen speziell für die DORA-Compliance trainierten Agenten. Er analysiert Tausende von Verträgen mit Drittanbietern gleichzeitig und markiert nicht-konforme Bedingungen. Sobald Lücken identifiziert werden, kann der Agent Klauseln oder gesamte Verträge automatisch neu formulieren, um sie mit den aufsichtsrechtlichen Erwartungen in Einklang zu bringen.

Verträge unter dem DORA-Fokus prüfen: Die DORA-trainierten Agenten von LEGALFLY analysieren ICT-Vereinbarungen, um fehlende oder unzureichende Klauseln zu identifizieren. Dazu gehören Prüfungsrechte, Einschränkungen bei Unteraufträgen, Datenzugriffsbedingungen und Ausstiegsregelungen. Werden Lücken festgestellt, können Agenten Formulierungen vorschlagen oder neu entwerfen, um die Verträge konform zu gestalten.

Unterstützen Sie die Compliance-Bemühungen Ihrer Kunden: Finanzinstitute müssen nachweisen, dass ihre Drittpartner DORA-konform sind. LEGALFLY hilft Ihnen, präzise, gesetzeskonforme Vertragstexte bereitzustellen, die den Kundenanforderungen entsprechen. Dies reduziert den Verhandlungsaufwand, beschleunigt den Beschaffungsprozess und schafft Vertrauen bei Vertragsverhandlungen.

Behalten Sie die Aufsicht über Ihre eigenen ICT-Lieferanten: Als Technologieanbieter sind Sie auch für das Risikomanagement in Ihrem eigenen Lieferanten-Ökosystem verantwortlich. LEGALFLY prüft Lieferantenverträge, um sicherzustellen, dass kritische Schutzmaßnahmen getroffen wurden, und führt ein zentrales, aktuelles Repository für den einfachen Zugriff und die lückenlose Aufsicht.

Erstellen Sie strukturierte, auditierbare Compliance-Workflows: Mit LEGALFLY können Sie DORA-spezifische Playbooks erstellen, die auf Ihre Verpflichtungen und Kundenbedürfnisse zugeschnitten sind. Diese leiten die KI-Agenten an, Risiken zu prüfen, einheitliche Bedingungen durchzusetzen und einen lückenlosen Prüfpfad für jeden geprüften Vertrag zu gewährleisten.

DORA in verständlicher Sprache erklären: Mit dem Discovery Agent von LEGALFLY können Sie analysieren, wie DORA auf Ihr Unternehmen anwendbar ist. Stellen Sie Fragen in natürlicher Sprache und erhalten Sie präzise Antworten, die auf den offiziellen regulatorischen Vorgaben basieren.

Erfahren Sie mehr über die Agenten von LEGALFLY.

Konform bleiben, Vertrauen aufbauen und schneller skalieren mit LEGALFLY

DORA markiert einen Wendepunkt in der Art und Weise, wie Aufsichtsbehörden und Kunden von Technologieanbietern verlangen, operationelle Risiken zu steuern. Wenn Ihre Plattformen oder Dienstleistungen essenzielle Finanzfunktionen unterstützen, wird von Ihnen nun mehr Kontrolle, Transparenz und vertragliche Klarheit erwartet.

Für Technologieunternehmen bedeutet dies, Vereinbarungen zu aktualisieren, Vorfallsprozesse zu formalisieren und sicherzustellen, dass die interne Compliance den externen Verpflichtungen entspricht. Diese Schritte minimieren Haftungsrisiken und machen Ihr Unternehmen zu einem vertrauenswürdigen, verlässlichen Partner.

Die Herausforderung liegt in der Skalierung. Manuelle Prüfungen, verstreute Prozesse und isolierte Tools können mit den regulatorischen Anforderungen nicht mehr Schritt halten.

LEGALFLY hilft Teams, die DORA-Anforderungen schneller zu erfüllen. Seine KI-Agenten prüfen Verträge, wenden strukturierte Compliance-Schecks an, erstellen Dokumentationen und halten Ihre Prozesse im Einklang mit sich weiterentwickelnden Standards wie DORA – ohne zusätzlichen administrativen Aufwand.