SaaS an Banken verkaufen: Die DORA-Lieferantenprüfung bestehen — von der Art.-30-Klausel bis zum Exit-Plan

Seit Januar 2025 ist eine Bank, die Software kauft, nicht mehr nur Kundin. Nach dem Digital Operational Resilience Act ist sie ein reguliertes Unternehmen, das jeden IKT-Dienst, auf den es sich stützt, bewerten, vertraglich regeln, registrieren, überwachen und verlassen können muss. Für SaaS-Anbieter verändert das den Vertriebszyklus: Die Pflichten des Käufers werden zu Ihrem Fragebogen, zu Ihren Vertragsklauseln — und, richtig gemacht, zu Ihrem Wettbewerbsvorteil.

DORA reguliert Finanzunternehmen, nicht deren Anbieter. Die meisten SaaS-Anbieter werden nicht direkt beaufsichtigt — es sei denn, sie gehören zu den kritischen IKT-Drittdienstleistern, die die Europäischen Aufsichtsbehörden im November 2025 erstmals benannt haben. Doch DORA erreicht jeden Anbieter mittelbar, weil Finanzunternehmen IKT-Dienste nur zu Bedingungen nutzen dürfen, die ihnen die Erfüllung ihrer eigenen Pflichten ermöglichen.

Was der Kunde tun muss — und Sie deshalb fragt

• Prüfung vor Vertragsschluss (Art. 28): Due Diligence zu Eignung, Sicherheit und Risiken des Anbieters — einschließlich der Frage, ob der Dienst eine kritische oder wichtige Funktion unterstützt.
• Informationsregister: Jeder IKT-Vertrag wird in einem Register erfasst, das die Aufsicht einsammelt — bei kritischen Diensten einschließlich Ihrer Subunternehmer.
• Konzentrationsrisiko (Art. 29): Der Kunde muss die Abhängigkeit von einzelnen Anbietern und die Ersetzbarkeit bewerten.
• Vertragsinhalt (Art. 30): Pflichtklauseln für alle IKT-Dienste und erweiterte für Dienste, die kritische oder wichtige Funktionen unterstützen.
• Exit-Strategie: dokumentierte, getestete Pläne, den Anbieter zu verlassen, ohne den Betrieb zu stören.

Die Art.-30-Klauseln, die Anbieter akzeptieren müssen

Für alle IKT-Dienste müssen Verträge unter anderem eine klare Leistungsbeschreibung, die Orte der Datenverarbeitung, Datenschutz und Sicherheit, Zugang zu und Rückgabe von Daten bei Beendigung oder Insolvenz, Service-Level, Unterstützung bei IKT-Vorfällen, die Zusammenarbeit mit Aufsichtsbehörden und Kündigungsrechte regeln. Für Dienste, die kritische oder wichtige Funktionen unterstützen, ergänzt DORA quantitative Leistungsziele, Mitteilungs- und Berichtspflichten, Notfallpläne, die Teilnahme an bedrohungsorientierten Penetrationstests des Kunden, uneingeschränkte Zugangs-, Inspektions- und Prüfungsrechte — auch für die Aufsicht — sowie Exit-Strategien mit angemessener Übergangsfrist. Technische Regulierungsstandards konkretisieren die Vertragsrichtlinie und die Bedingungen für die Unterauslagerung kritischer Funktionen.

“

Unter DORA ist der Anbietervertrag Teil der Aufsichtsakte der Bank. Klauseln, die wie verhandelbare Wünsche aussehen, sind oft regulatorische Pflichten.

Wie die Prüfung in der Praxis aussieht

• Sicherheitsnachweise: ISO 27001, BSI C5 oder SOC-2-Berichte, Zusammenfassungen von Penetrationstests und Schwachstellenmanagement.
• Vorfallsmeldung: feste Stundenfristen für die Information des Kunden — Banken haben für schwerwiegende IKT-Vorfälle eigene enge Fristen.
• Subunternehmerkette: eine vollständige Liste der Subunternehmer, die den Dienst unterstützen, einschließlich Hosting, mit Änderungsmitteilung und Widerspruchsrecht.
• Geschäftsfortführung: getestete Wiederherstellungsziele und Nachweise von Failover- und Backup-Tests.
• Exit-Unterstützung: Exportformate, Übergangsunterstützung und ein Kostenmodell — seit 2025 verstärkt durch die Cloud-Wechselrechte des EU Data Act.
• Finanzielle Stabilität: Der Kunde muss einschätzen, ob es Sie in drei Jahren noch gibt.

Wie SaaS-Anbieter vorbereiten

1. 01Einen DORA-Zusatz erstellen, der die Art.-30-Klauseln bereits enthält — Kunden akzeptieren eine konforme Vorlage des Anbieters schneller, als sie eine eigene entwerfen.
2. 02Registerfähige Informationen vorbereiten: Rechtsträgerkennungen, Leistungsbeschreibungen, Datenstandorte und Subunternehmer in dem Format, das Banken für ihr Register brauchen.
3. 03Prüfungsoptionen anbieten, die skalieren: Sammelprüfungen, Zertifizierungen und einen definierten Prozess für Vor-Ort-Prüfungen, auch durch die Aufsicht.
4. 04Je Produkt einen Exit-Plan dokumentieren: Datenexport, Übergangsfrist, Unterstützung und Kosten.
5. 05Die Vorfallsmeldung mit dem Security-Betrieb verzahnen — ein Versprechen von vier Stunden ist ohne Rufbereitschaft dahinter wertlos.
6. 06Eine Selbstbewertung nutzen — etwa den DORA-Vendor-Check auf dieser Website —, um Lücken zu erkennen, bevor der erste Bankfragebogen eintrifft.

Fazit

Die DORA-Lieferantenprüfung belohnt Vorbereitung. SaaS-Anbieter, die mit konformem Vertragszusatz, registerfähigen Daten, Prüfungsoptionen und dokumentiertem Exit-Plan kommen, können den Bankeinkauf spürbar verkürzen — und heben sich von Wettbewerbern ab, die jede Klausel neu verhandeln. Aegiron Capital Group unterstützt Technologieanbieter bei der Vorbereitung auf DORA-getriebene Einkäufe im DACH-Raum; die Rechtsberatung übernimmt die Kanzlei, die Sie beauftragen.