DORA Audit & Selbstprüfung
Verträge, Untervergabe & Exit
DORA-Vertragsinhalte, Unterauftragnehmer, Änderungsrechte und geordneter Ausstieg.
DORA Art. 30 · RTS 2025/53214 FragenFramework: Verträge, Untervergabe & Exit
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Enthalten IKT-Verträge eine klare Beschreibung der Leistungen, Funktionen und Verantwortlichkeiten?
Worauf achten?Leistungsgegenstand und unterstützte Funktionen müssen eindeutig sein.
Mögliche NachweiseVertrag; Leistungsbeschreibung; SLA
Regulatorischer BezugDORA Art. 30
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 2
Sind Standorte der Leistungserbringung und Datenverarbeitung sowie Regeln zu Standortänderungen geregelt?
Worauf achten?Auch Speicherung und Verarbeitung durch Unterauftragnehmer betrachten.
Mögliche NachweiseVertrag; Datenstandortliste
Regulatorischer BezugDORA Art. 30
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 3
Sind Verfügbarkeit, Integrität, Sicherheit, Datenschutz und Datenrückgabe/-wiederherstellung vertraglich berücksichtigt?
Worauf achten?Insbesondere Beendigung, Insolvenz und Störungsszenarien.
Mögliche NachweiseVertragsklauseln; Exit-Anhang
Regulatorischer BezugDORA Art. 30
Passendes Framework-ThemaExit & Portability
Existenz · Frage 4
Sind Unterstützungs- und Meldepflichten des Dienstleisters bei IKT-Vorfällen geregelt?
Worauf achten?Zeitnahe Informationen müssen eigene DORA-Pflichten ermöglichen.
Mögliche NachweiseIncident Clauses; SLA; Kontaktmatrix
Regulatorischer BezugDORA Art. 30
Passendes Framework-ThemaIncident Management
Existenz · Frage 5
Sind Zugangs-, Informations-, Prüf- und Auditierungsrechte angemessen vereinbart?
Worauf achten?Keine faktisch unbrauchbaren Auditbeschränkungen akzeptieren.
Mögliche NachweiseAuditklauseln; Prüfberichte; Right-to-Audit
Regulatorischer BezugDORA Art. 30(3)
Passendes Framework-ThemaTesting & Assurance
Umsetzung · Frage 6
Werden Untervergaben kritischer/wichtiger Leistungen vorab risikobewertet und transparent gemacht?
Worauf achten?Kette, Standorte, Konzentration und Kontrollverlust berücksichtigen.
Mögliche NachweiseSubcontractor List; Risikoanalyse
Regulatorischer BezugRTS 2025/532
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 7
Sind wesentliche Änderungen der Untervergabe und daraus resultierende Reaktions-/Kündigungsrechte geregelt?
Worauf achten?Finanzunternehmen muss auf risikorelevante Änderungen reagieren können.
Mögliche NachweiseVertrag; Change Notification; Kündigungsklausel
Regulatorischer BezugRTS 2025/532
Passendes Framework-ThemaExit & Portability
Wirksamkeit · Frage 8
Wurde geprüft, ob Exit-, Datenrückgabe- und Übergangsrechte praktisch umsetzbar sind?
Worauf achten?Vertragliche Rechte müssen operationalisierbar sein.
Mögliche NachweiseExit Test; Transition Plan; Datenexport-Test
Regulatorischer BezugDORA Art. 28(8), 30
Passendes Framework-ThemaExit & Portability
Existenz · Frage 9
Verpflichtet der Vertrag den IKT-Drittdienstleister zur vollständigen Zusammenarbeit mit zuständigen Behörden und Abwicklungsbehörden?
Worauf achten?Die Klausel ist ein ausdrücklicher Mindestinhalt nach Art. 30(2).
Mögliche NachweiseVertragsklausel; Vertragsstandard
Regulatorischer BezugDORA Art. 30(2)(g)
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 10
Sind Kündigungsrechte und angemessene Mindestkündigungsfristen vertraglich geregelt?
Worauf achten?Rechte müssen zur Aufsichtserwartung und zur Exit-Fähigkeit passen.
Mögliche NachweiseVertrag; Exit-Klauseln; Kündigungsmatrix
Regulatorischer BezugDORA Art. 30(2)(h)
Passendes Framework-ThemaExit & Portability
Existenz · Frage 11
Sind Bedingungen für die Teilnahme des Dienstleisters an IKT-Sicherheitsawareness und Resilienztrainings geregelt?
Worauf achten?DORA verlangt diesen Vertragsinhalt ausdrücklich; Relevanz und praktische Ausgestaltung prüfen.
Mögliche NachweiseVertragsklausel; Schulungsregelung
Regulatorischer BezugDORA Art. 30(2)(i); Art. 13(6)
Passendes Framework-ThemaSecurity Awareness
Existenz · Frage 12
Sind bei IKT-Dienstleistungen für kritische oder wichtige Funktionen präzise quantitative und qualitative Leistungsziele sowie geeignete Abhilfemaßnahmen vereinbart?
Worauf achten?SLA-Ziele müssen Überwachung und rechtzeitige Korrektur ermöglichen.
Mögliche NachweiseSLA; KPI/KCI; Eskalationsregeln
Regulatorischer BezugDORA Art. 30(3)
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 13
Muss der Dienstleister Entwicklungen melden, die seine Fähigkeit zur sicheren und regelkonformen Leistungserbringung wesentlich beeinträchtigen könnten?
Worauf achten?Nicht erst nach einem eingetretenen Incident informieren.
Mögliche NachweiseVertragsklausel; Change-/Risk-Notification
Regulatorischer BezugDORA Art. 30(3)
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 14
Sind für kritische oder wichtige Funktionen Anforderungen an Notfallpläne, Sicherheitsmaßnahmen und die Beteiligung an Resilienztests geregelt?
Worauf achten?Vertragliche Pflichten müssen eigene BC-/Testpflichten unterstützen.
Mögliche NachweiseVertrag; BC-Anhang; Testklausel
Regulatorischer BezugDORA Art. 30(3)
Passendes Framework-ThemaBusiness Continuity & Resilience Testing
← Zurück zur Übersicht DORA Audit & Selbstprüfung