DORA: die ersten kritischen IKT-Drittdienstleister sind benannt
Die ESAs haben 19 kritische IKT-Drittdienstleister nach DORA benannt, die nun direkt von der EU überwacht werden. Was das für Finanzunternehmen heißt.
Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 für Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute und andere Finanzunternehmen. Die Überwachung der größten Technologieanbieter ist jetzt in Betrieb.
19 Anbieter unter direkter EU-Überwachung
Am 18. November 2025 haben die drei Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) die erste Liste der kritischen IKT-Drittdienstleister (CTPPs) veröffentlicht. Zu den 19 benannten Anbietern gehören große Cloud-, Rechenzentrums-, Telekommunikations-, Beratungs- und Finanzdatenunternehmen, darunter Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture und IBM.
Grundlage waren die Informationsregister, die Finanzunternehmen über ihre IKT-Verträge führen, und eine anschließende Kritikalitätsbewertung mit den nationalen Behörden. Benannte Anbieter haben nun eine federführende Überwachungsbehörde, die Informationen anfordern, Prüfungen vor Ort durchführen und Empfehlungen aussprechen kann. Die Liste wird jährlich aktualisiert.
Informationsregister: jedes Jahr
Finanzunternehmen führen ein Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. Ab 2026 melden die nationalen Behörden diese Register jedes Jahr bis zum 31. März an die ESAs, mit dem 31. Dezember des Vorjahres als Stichtag. Die nationalen Behörden setzen für die beaufsichtigten Unternehmen eigene, frühere Fristen.
Was das bedeutet
- Für Finanzunternehmen: Die Überwachung eines CTPP nimmt Ihnen die eigene Verantwortung nicht ab. Sie steuern das IKT-Drittparteienrisiko weiterhin selbst: Verträge mit den Klauseln aus Artikel 30, Ausstiegsstrategien und ein vollständiges, korrektes Register.
- Für IKT-Anbieter, die nicht auf der Liste stehen, auch kleinere SaaS-Anbieter: Rechnen Sie mit DORA-Klauseln in Verträgen, Fragen zu Unterauftragnehmern und Standorten sowie Anfragen zu Ausstiegs- und Vorfallunterstützung. Wer darauf klare Antworten hat, verkürzt die Beschaffung.
Mehr zur Sicht der Anbieter: DORA für IKT-Drittanbieter und SaaS-Dienstleister.
Quellen
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 19. Oktober 2026.
Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål