DORA-Aufsicht: 19 kritische IT-Dienstleister geraten unter EU-Kontrolle

Mit dem Digital Operational Resilience Act (DORA) hat die Europäische Union die digitale Betriebsfestigkeit des Finanzsektors auf ein neues regulatorisches Fundament gestellt. Ein zentraler Pfeiler des Regelwerks ist die direkte Überwachung wesentlicher Technologiepartner durch die europäischen Finanzaufsichtsbehörden EBA, EIOPA und ESMA.

Am 18. November 2025 benannten die Aufsichtsbehörden auf Grundlage von Artikel 31 Absatz 9 der DORA-Verordnung erstmals 19 kritische IKT-Drittdienstleister. Die Liste verdeutlicht, wie stark europäische Finanzunternehmen von globalen Technologie- und Infrastrukturkonzernen abhängen.

Zu den 19 eingestuften Unternehmen zählen Cloud- und Plattformanbieter wie AWS EMEA, Google Cloud EMEA, Microsoft Ireland Operations und Oracle Nederland. Ebenfalls erfasst sind Infrastrukturbetreiber und Telekommunikationskonzerne wie Equinix (EMEA), InterXion, Colt, Deutsche Telekom und Orange.

Komplettiert wird das Feld durch IT-Dienstleister und Branchenspezialisten, darunter Accenture, Capgemini, IBM, Kyndryl, NTT DATA, Tata Consultancy Services, Bloomberg, FIS, LSEG Data and Risk sowie SAP.

Zweistufige Einstufung und umfassende Kontrollbefugnisse

Die Einstufung als kritischer IKT-Drittdienstleister erfolgt nach einem strukturierten Verfahren, das in der Delegierten Verordnung (EU) 2024/1502 festgelegt ist.

Dieses Verfahren ist zweistufig aufgebaut: Zunächst werden quantitative Unterkriterien geprüft, woraufhin eine vertiefte qualitative Bewertung folgt. Dabei fließen Aspekte wie systemische Folgen bei Ausfällen, die Bedeutung der betreuten Finanzkunden, die Art der unterstützten Funktionen und die tatsächliche Austauschbarkeit des Dienstleisters ein.

Neben der betrieblichen Resilienz rücken auch neue gesetzliche Rahmenbedingungen für digitale Systeme in den Fokus von Unternehmen und Rechtsabteilungen. Dieser kostenlose Download verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen

Gemäß Artikel 31 Absatz 8 DORA wird die Liste der kritischen Anbieter jährlich aktualisiert. Zudem sieht Artikel 31 Absatz 11 die Möglichkeit eines freiwilligen Benennungsantrags durch Dienstleister vor, der mit einer festen Gebühr von 50.000 Euro verbunden ist und innerhalb von sechs Monaten beantwortet werden muss.

Für jedes benannte Unternehmen fungiert eine der drei Behörden – EBA, EIOPA oder ESMA – als federführender Aufseher. Diese sogenannten Lead Overseer werden durch gemeinsame Untersuchungsteams unterstützt. Die Eingriffsbefugnisse nach Artikel 35 DORA sind weitreichend und reichen von gezielten Informationsverlangen über allgemeine Untersuchungen und Inspektionen vor Ort bis hin zu formellen Empfehlungen.

Eigenverantwortung der Institute und neue Bedrohungslagen

Die europäische Aufsicht über die Drittdienstleister entbindet Finanzunternehmen jedoch nicht von ihren eigenen Pflichten. Die EBA, die EIOPA und die ESMA weisen darauf hin, dass die Überwachung der Dienstleister die Eigenverantwortung der beaufsichtigten Institute lediglich ergänzt, diese aber keinesfalls ersetzt.

Während die Aufsichtsbehörden die großen Infrastrukturbetreiber prüfen, müssen Verantwortliche auch die internen Risiken durch automatisierte Cyberangriffe und neue Technologien bewerten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer im Zusammenhang mit neuen KI-Gesetzen jetzt kennen müssen. Kostenlosen Report zu neuen Cyberrisiken anfordern

DORA legt dabei keine universelle Wiederherstellungszeit fest; stattdessen müssen die Zielvorgaben individuell aus der Kritikalität der Systeme, dem Risikoappetit und den möglichen Auswirkungen auf Kunden abgeleitet werden. Da DORA technologieoffen formuliert ist, reguliert das Rahmenwerk primär nachweisbare Resilienz und nicht den Einsatz bestimmter Werkzeuge.

Gleichzeitig verschärft sich der Fokus auf neuartige Cyberrisiken. Die EZB forderte von Banken bis zum 31. Oktober einen Maßnahmenplan zum Umgang mit KI-gestützten Bedrohungen ein. Die EZB-Aufsicht analysiert derzeit, wie Institute ihre Abwehr auf leistungsfähigere künstliche Intelligenz ausrichten, und verlangt beschleunigte Sicherheitsupdates, belastbare Notfallpläne und eindeutige Zuständigkeiten.

Fachleute betonen vor diesem Hintergrund, dass bei Risiken durch künstliche Intelligenz – etwa bei automatisierten Phishing-Kampagnen, KI-generiertem Schadcode oder Deepfakes – verlässliche statistische Daten für präzise Modellierungen noch weitgehend fehlen.

Auch etablierte Rahmenwerke stoßen an Grenzen: Der BSI-Standard 200-3 stammt aus dem Jahr 2017 und bildet neuartige, KI-basierte Angriffsmuster nicht explizit ab, lässt sich jedoch aufgrund seines technologieoffenen Ansatzes weiterhin anwenden. Anstelle von Scheingenauigkeit wird daher auch künftig eine qualitative Risikobewertung im Finanzsektor unverzichtbar bleiben.