Private-Cloud-Betrieb, den Ihre Finanzkunden prüfen können
Banken, Versicherer und Kapitalverwaltungsgesellschaften müssen nach DORA belegen, wie ihre Dienstleister arbeiten. Die Fragen landen bei Ihnen als Hersteller. Wir betreiben Ihre Software so, dass Sie die Antworten belegen können.
Ihre Kunden prüfen auch Ihren Betrieb
Für Ihre Finanzkunden sind Sie IKT-Drittdienstleister. Wer Ihre Software betreibt, steht damit in deren Informationsregister und in deren Prüfungen.
Fragebögen von jedem Kunden
Jede Bank schickt eigene DORA-Fragebögen, Versicherer nutzen zusätzlich das Drittdienstleisterportal des GDV, in Österreich gibt es den Standardfragebogen der WKO. Die Antworten zum Betrieb müssen stimmen und belegbar sein.
Vertragsinhalte nach Artikel 30
Ihre Kunden müssen Mindestinhalte vereinbaren: Standorte der Datenverarbeitung, Prüfrechte, Unterstützung bei Vorfällen, Kündigung und Ausstieg. Was Sie zusagen, muss Ihr Betriebspartner mittragen.
Die Kette bis zum Rechenzentrum
Unterstützt Ihre Software kritische oder wichtige Funktionen, führen Ihre Kunden auch Ihre Unterauftragnehmer im Register. Eine kurze, dokumentierte Kette ist leichter zu prüfen als eine lange.
Was Ihr Kunde prüft, was wir liefern
Sechs Fragen, die in Fragebögen und Prüfungen immer wieder kommen, und der Beleg, den Sie dafür von uns bekommen.
Funktionieren die Kontrollen im Betrieb?
Prüfbericht nach IDW PS 951 Typ 2 und ISAE 3402 Typ II über zwölf Monate. Ihr Kunde und sein Wirtschaftsprüfer setzen direkt darauf auf.
Wie ist Informationssicherheit organisiert?
ISO/IEC 27001:2022, geprüft durch TÜV Austria, dazu TISAX Assessment Level 3. Beides jährlich erneuert.
Wo laufen die Daten, wer ist beteiligt?
Betrieb in den NTT-Rechenzentren Frankfurt (Produktion) und München (Business Continuity). Die Kette ist kurz: Adacor und NTT.
Was steht im Vertrag, wie läuft der Ausstieg?
Auslagerungsverträge nach den Anforderungen von DORA, mit Prüfrechten, Unterstützung bei Vorfällen und dokumentierter Exit-Strategie.
Was passiert bei einem Vorfall?
Betrieb rund um die Uhr mit Incident-Klassifizierung P1 bis P4, Eskalation und Post-Incident-Review. Backups geografisch getrennt in Frankfurt und München.
Wer kontrolliert den Dienstleister?
Interne Revision bei einer Wirtschaftsprüfungsgesellschaft mit Schwerpunkt Bankenregulatorik. Unser Informationssicherheitsbeauftragter war zuvor Prüfer beim Genossenschaftsverband.
Kunden aus Finance & Banking
Was Softwarehersteller zu DORA fragen
Die Fragen, die CTO, Betrieb und Compliance eines Herstellers stellen, wenn die ersten Fragebögen der Bankkunden kommen.
-
Sind wir als Softwarehersteller IKT-Drittdienstleister nach DORA?
In der Regel ja, sobald Sie Finanzunternehmen Software als Dienst bereitstellen oder für sie betreiben. Artikel 3 Nummer 21 DORA definiert IKT-Dienstleistungen als digitale Dienste und Datendienste über IKT-Systeme, Softwareanbieter eingeschlossen. Die Pflichten aus DORA treffen zuerst Ihre Kunden. Sie geben sie über Verträge, Fragebögen und Prüfungen an Sie weiter.
-
Werden wir als kritischer IKT-Drittdienstleister eingestuft?
Sehr wahrscheinlich nicht. Kritische IKT-Drittdienstleister benennen die europäischen Finanzaufsichtsbehörden, die erste Liste vom 18. November 2025 umfasst große Cloud- und Plattformanbieter. Nur diese stehen unter direkter europäischer Aufsicht. Für einen mittelständischen Softwarehersteller kommt der Druck über die Kunden: Unterstützt Ihre Software dort kritische oder wichtige Funktionen, gelten für Ihren Vertrag strengere Anforderungen.
-
Gibt es ein DORA-Zertifikat für Dienstleister?
Nein. DORA kennt kein Zertifikat für Dienstleister, die Verantwortung für das IKT-Risiko bleibt beim Finanzunternehmen. Schulungen mit Personenzertifikat gibt es, sie belegen das Wissen einzelner Mitarbeitender, nicht den Betrieb. Belastbar sind unabhängig geprüfte Nachweise wie ein Bericht nach IDW PS 951 Typ 2 oder ISAE 3402 Typ II und ein ISO-27001-Zertifikat, dazu Verträge mit den Mindestinhalten nach Artikel 30.
-
Was gehört ins Informationsregister unserer Kunden?
Ihre Kunden führen alle Verträge über IKT-Dienstleistungen im Informationsregister und melden es der Aufsicht. Unterstützt Ihre Software kritische oder wichtige Funktionen, gehören auch die Unterauftragnehmer dazu, die Ihre Leistung wesentlich mittragen. Betreiben wir Ihre Software, stehen Adacor und das Rechenzentrum von NTT in dieser Kette. Die Angaben dazu liefern wir.
-
Was verlangt DORA bei der Exit-Strategie?
Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, müssen Ihre Kunden nach Artikel 28 Absatz 8 DORA eine Exit-Strategie haben, dazu vertragliche Übergangsfristen. Deshalb fragen Banken und Versicherer, wie Daten und Betrieb im Ernstfall übergeben werden, ohne den Geschäftsbetrieb zu unterbrechen. Das hängt auch an Ihrem Betriebspartner, darum gehört die Exit-Strategie bei uns in den Auslagerungsvertrag.
Bereit für die nächste Kundenprüfung?
Im Erstgespräch gehen wir mit Ihnen durch, welche Fragen Ihre Kunden stellen, welche unserer Nachweise dazu passen und was in Ihrem Betrieb heute noch fehlt.
- PS 951 Typ 2 Bericht zur Einsicht
- Abgleich mit den Fragebögen Ihrer Kunden
- Einschätzung, welche Ihrer Leistungen kritische Funktionen stützen
- Kein Commitment: ein Fachgespräch, kein Vertriebspitch
