DORA und die Lieferkette: Vertragsleitlinie, Untervergabe und Informationsregister im Level-2-Recht

Problem in der Praxis

Viele Häuser haben die drei Themen organisatorisch getrennt: Die Vertragsleitlinie liegt bei Compliance oder Recht, die Untervergabe beim Auslagerungsmanagement, das Register bei einem Meldewesen-Team. Dadurch entstehen drei Einzelbaustellen, obwohl es fachlich eine Kette ist: Die Leitlinie bestimmt, wie Verträge zustande kommen und gesteuert werden; die Untervergabe-Regeln bestimmen, wie tief die Steuerung in die Subunternehmerkette reicht; das Register macht beides sichtbar und meldbar.

Ein zweites Praxisproblem ist die Verwechslung von Leitlinie und Klauselwerk. Wer den RTS 2024/1773 als Klausel-Katalog liest, sucht die Vertragsinhalte an der falschen Stelle; wer umgekehrt nur Musterklauseln pflegt, hat die geforderte Leitlinie nicht. Drittens scheitert die Untervergabe-Steuerung oft an der Realität der Ketten: Der direkte Vertragspartner ist bekannt, aber ab der zweiten Stufe fehlt die Sicht, welche Subunternehmer eine kritische oder wichtige Funktion tatsächlich tragen.

Beim Register schließlich zeigt sich, dass die Templates der VO (EU) 2024/2956 eine Datenqualität verlangen, die verstreute Vertrags- und Einkaufsdaten selten hergeben: eindeutige Anbieteridentifikation, Zuordnung zu Funktionen, Angaben über die Kette hinweg.

CISO-Einordnung

Der CISO sollte die drei Rechtsakte als ein zusammenhängendes Steuerungssystem lesen:

• Leitlinie (VO (EU) 2024/1773): das Governance-Dokument für den gesamten Lebenszyklus vertraglicher Vereinbarungen über IKT-Dienste zur Unterstützung kritischer oder wichtiger Funktionen, von der Risikobewertung vor Vertragsschluss über die laufende Überwachung bis zum Ausstieg. Sie verankert Verantwortlichkeiten und Prüfschritte im Haus.
• Untervergabe (VO (EU) 2025/532): konkretisiert, welche Elemente ein Finanzunternehmen bestimmen und bewerten muss, wenn IKT-Dienste für kritische oder wichtige Funktionen untervergeben werden, einschließlich der Sicht auf die Subunternehmerkette. Praktisch heißt das: Bedingungen der Untervergabe im Vertrag regeln, die relevante Kette kennen und Änderungen bewerten.
• Register (VO (EU) 2024/2956): standardisiert die Struktur des Registers der Informationen über alle vertraglichen Vereinbarungen über IKT-Dienste. Es ist zugleich Meldeformat an die Aufsicht und internes Steuerungsinstrument; die erste Übermittlungsrunde an die ESAs lief zum 30.04.2025 über die zuständigen Behörden.

Die Mindestvertragselemente aus DORA Art. 30 Abs. 2 und 3 (Level 1) bleiben der materielle Kern: Sie gelten unmittelbar für die Verträge, unabhängig davon, ob die Leitlinie schon steht. Leitlinie, Untervergabe-Regeln und Register sorgen dafür, dass diese Pflichten systematisch, kettenweit und nachweisbar umgesetzt werden.

Umsetzungsperspektive

• Eine Kette, ein Owner-Modell: Leitlinie, Untervergabe und Register unter einer fachlichen Gesamtverantwortung verzahnen statt drei Parallelprozesse zu betreiben.
• Leitlinie nachziehen: die bestehende Auslagerungs- oder Drittparteien-Policy gegen die Anforderungen der VO (EU) 2024/1773 prüfen und auf IKT-Dienste für kritische oder wichtige Funktionen zuschneiden.
• Vertragslebenszyklus: die Mindestelemente aus DORA Art. 30 Abs. 2 und 3 als Pflichtprüfung bei Neuabschluss und Verlängerung verankern; Bestandsverträge priorisiert nachziehen.
• Kettentransparenz: für kritische oder wichtige Funktionen die relevanten Subunternehmer erheben und vertraglich Informations- und Zustimmungsmechanismen für Änderungen der Kette vorsehen, ausgerichtet an der VO (EU) 2025/532.
• Registerbetrieb: das Register der Informationen in der Template-Struktur der VO (EU) 2024/2956 als laufend gepflegte Datenbasis führen, mit klaren Quellsystemen und Qualitätssicherung vor jeder Übermittlung.

Typische Fehler

1. Der RTS 2024/1773 wird als Klausel-Katalog missverstanden; die Mindestvertragselemente stehen aber in DORA Art. 30 Abs. 2 und 3 und gelten unmittelbar.
2. Die Leitlinie wird als Papierdokument erstellt, ohne die Prüfschritte im Vertrags- und Auslagerungsprozess tatsächlich zu verankern.
3. Untervergabe wird nur beim direkten Vertragspartner betrachtet; die Subunternehmerkette hinter kritischen Funktionen bleibt unbekannt.
4. Verträge enthalten keine Mechanismen, um Änderungen in der Kette zu erfahren oder zu bewerten, sodass die Steuerung nach Vertragsschluss endet.
5. Das Register wird als jährliche Meldeübung befüllt statt als lebende Datenbasis; vor der Übermittlung beginnt jedes Mal eine Datensammel-Aktion.
6. Leitlinie, Untervergabe-Steuerung und Register laufen in getrennten Teams ohne gemeinsames Datenmodell.

Risiken und Trade-offs

Der zentrale Trade-off liegt in der Tiefe der Kettentransparenz. Eine vollständige Sicht über alle Subunternehmer-Stufen ist bei großen Anbietern kaum erreichbar und pflegeintensiv; eine zu flache Sicht verfehlt den Zweck der Untervergabe-Regeln. Tragfähig ist die Fokussierung auf die Ketten hinter kritischen oder wichtigen Funktionen, mit dokumentierter Begründung der Abgrenzung.

Ein zweiter Trade-off betrifft die Verhandlungsmacht: Informations- und Mitwirkungsrechte über die Kette sowie die Vertragsklauseln aus Art. 30 DORA sind gegenüber marktstarken Anbietern nicht immer ohne Weiteres durchsetzbar. Das Haus muss vorab festlegen, welche Punkte nicht verhandelbar sind, und Alternativen oder Risikoakzeptanzen sauber dokumentieren.

Drittens kann die Registerpflege in Konflikt mit der Datenlage geraten: Verstreute, inkonsistente Vertragsdaten erzeugen entweder hohen manuellen Aufwand oder schlechte Meldequalität. Die Investition in ein gemeinsames Datenmodell zahlt auf alle drei Rechtsakte gleichzeitig ein.

Entscheidungspunkte

• Wer trägt die Gesamtverantwortung für die Kette aus Leitlinie, Untervergabe-Steuerung und Register?
• Welche Funktionen gelten als kritisch oder wichtig, und für welche Verträge greifen damit Leitlinie und Untervergabe-Regeln?
• Welche Vertragsklauseln (Art. 30 DORA) und Ketten-Mechanismen sind nicht verhandelbar, und wie wird mit Anbietern umgegangen, die sie nicht akzeptieren?
• Bis zu welcher Stufe wird die Subunternehmerkette aktiv erhoben und bewertet, und mit welcher Begründung?
• Aus welchen Quellsystemen wird das Register gespeist, und wie wird die Datenqualität vor Übermittlungen gesichert?

Praktische Empfehlungen

1. Behandeln Sie Leitlinie, Untervergabe und Register als ein Steuerungssystem mit gemeinsamem Datenmodell und klarem Owner.
2. Prüfen Sie die bestehende Drittparteien-Policy gegen die VO (EU) 2024/1773 und verankern Sie die Leitlinie in den realen Vertrags- und Auslagerungsprozessen.
3. Verankern Sie die Mindestvertragselemente aus DORA Art. 30 Abs. 2 und 3 als Pflichtprüfung im Vertragslebenszyklus und ziehen Sie Bestandsverträge priorisiert nach.
4. Erheben Sie die Subunternehmerketten hinter kritischen oder wichtigen Funktionen und regeln Sie Änderungen der Kette vertraglich, ausgerichtet an der VO (EU) 2025/532.
5. Betreiben Sie das Register in der Struktur der VO (EU) 2024/2956 als laufend gepflegte Datenbasis mit Qualitätssicherung statt als Stichtagsübung.
6. Nutzen Sie vorhandene ISMS- und TPRM-Strukturen als Basis und ergänzen Sie gezielt die DORA-Spezifika.

Relevante Normreferenzen

• DORA, Verordnung (EU) 2022/2554, Kapitel V, insbesondere Art. 28 bis 30: Grundsätze des IKT-Drittparteienrisikos, Register, Mindestvertragselemente (Art. 30 Abs. 2 und 3, self-executing).
• Delegierte Verordnung (EU) 2024/1773 (CELEX 32024R1773): RTS zum Inhalt der Leitlinie für vertragliche Vereinbarungen über IKT-Dienste zur Unterstützung kritischer oder wichtiger Funktionen (Art. 28 Abs. 10 DORA).
• Delegierte Verordnung (EU) 2025/532 (CELEX 32025R0532): RTS zur Untervergabe und zu Subunternehmerketten (Art. 30 Abs. 5 DORA).
• Durchführungsverordnung (EU) 2024/2956 (CELEX 32024R2956): ITS mit Standard-Templates für das Register der Informationen (Art. 28 Abs. 9 DORA).
• ISO/IEC 27001 (Lieferanten- und Drittparteienmanagement): Umsetzungsgerüst, ersetzt die DORA-Pflichten nicht.