DORA 2026: BaFin-Meldungen für Cloud-Dienstleister

Bis zum 30. März 2026 müssen Finanzunternehmen in Deutschland erstmals ihr vollständiges ICT-Drittanbieter-Register an die BaFin übermitteln. Der Digital Operational Resilience Act (DORA) der EU ist seit Januar 2025 in Kraft und die erste große Meldepflicht rückt näher. Stichtag für die gemeldeten Daten: 31. Dezember 2025. Wer AWS, Azure oder Google Cloud nutzt, muss deren Verträge, Datenspeicherorte und Subunternehmer vollständig dokumentieren.

Das Wichtigste in Kürze

• BaFin-Deadline 30. März 2026: Erstmalige Meldung des ICT-Drittanbieter-Registers im xBRL-CSV-Format (ADVISORI).
• Nur 50 Prozent der europäischen Finanzinstitute hatten Ende 2025 vollständige DORA-Compliance erreicht (The Next Web).
• 19 ICT-Drittanbieter sind als Critical Third-Party Providers (CTPPs) direkt EU-aufsichtspflichtig, darunter AWS, Azure und Google Cloud.
• Meldepflichtig: Art des Dienstes, Datenspeicherort, Subunternehmer, Vertragslaufzeit, Exit-Strategie.
• ⏰ 38 Prozent der Finanzinstitute haben ihr Compliance-Ziel in 2026 verschoben (The Next Web).

Was DORA von Finanzunternehmen verlangt

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Anders als NIS2, das nationale Umsetzungsgesetze erfordert, ist DORA eine Verordnung und damit direkt anwendbar. Die Verordnung betrifft Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister, Krypto-Asset-Dienstleister und zahlreiche weitere Akteure des europäischen Finanzsektors.

DORA verfolgt ein klares Ziel: Die digitale Widerstandsfähigkeit des Finanzsektors stärken. Dazu gehören fünf Säulen: ICT-Risikomanagement, Incident Reporting, Resilience Testing, Third-Party Risk Management und Informationsaustausch. Die dritte Säule, Third-Party Risk Management, ist der Bereich, der IT-Teams jetzt am meisten beschäftigt.

Konkret verlangt DORA, dass jedes Finanzunternehmen ein vollständiges Register aller ICT-Drittanbieter führt. Dieses Register muss der zuständigen Aufsichtsbehörde auf Anfrage und nun erstmalig auch proaktiv übermittelt werden. Die BaFin hat den 30. März 2026 als Deadline für die erste Übermittlung festgelegt.

Was im ICT-Drittanbieter-Register stehen muss

Das Register ist kein einfaches Spreadsheet. Die BaFin verlangt eine strukturierte Meldung im xBRL-CSV-Format, die spezifische Felder für jeden ICT-Drittanbieter enthält.

Pflichtangaben pro Anbieter:

Name und LEI (Legal Entity Identifier) des Anbieters. Art des erbrachten Dienstes (Cloud-Infrastruktur, SaaS, Datenverarbeitung). Datenspeicherorte, einschließlich Backup-Standorte und Disaster-Recovery-Regionen. Subunternehmer, die der Anbieter einsetzt (z.B. nutzt Azure Equinix-Rechenzentren). Vertragslaufzeit und Kündigungsfristen. Exit-Strategie: Was passiert, wenn der Anbieter ausfällt oder gewechselt werden muss?

Für Cloud-Anbieter wie AWS, Azure und Google Cloud bedeutet das: IT-Teams müssen nicht nur den Hauptvertrag dokumentieren, sondern auch verstehen, welche Subunternehmer der Cloud-Anbieter in welchen Regionen einsetzt. Das ist bei Hyperscalern mit hunderten von Rechenzentren und Dutzenden von Subunternehmern eine erhebliche Dokumentationsaufgabe.

Critical Third-Party Providers: Warum AWS, Azure und Google Cloud besonders sind

DORA führt ein neues Konzept ein: Critical Third-Party Providers (CTPPs). Das sind ICT-Drittanbieter, die für den Finanzsektor als systemrelevant eingestuft werden. Seit November 2025 sind 19 Anbieter als CTPPs designiert, darunter AWS, Microsoft Azure und Google Cloud.

Was das bedeutet: CTPPs unterliegen einer direkten EU-Aufsicht durch die European Supervisory Authorities (ESAs). Sie müssen eigene Resilience-Tests durchführen, Incident-Reports an die ESAs liefern und Audit-Rechte für die Aufsichtsbehörden einräumen. Für Finanzunternehmen, die CTPPs nutzen, gelten verschärfte Dokumentationspflichten im Register.

Jeder Vertrag mit einem CTPP muss spezifische Klauseln enthalten: Audit-Rechte, Zugang für die Aufsichtsbehörden, Subunternehmer-Transparenz und definierte Service Levels. Bestehende Verträge, die diese Klauseln nicht enthalten, müssen nachverhandelt werden.

Die Compliance-Lücke: Warum die Hälfte noch nicht bereit ist

Laut The Next Web hatten Ende 2025 nur 50 Prozent der europäischen Finanzinstitute vollständige DORA-Compliance erreicht. 38 Prozent haben ihr Compliance-Ziel in 2026 verschoben. Die Gründe sind vielfältig:

Komplexität der Lieferkette. Ein mittelgroßes Finanzinstitut nutzt typischerweise 40 bis 80 ICT-Drittanbieter. Jeden einzelnen mit LEI, Datenspeicherort, Subunternehmer-Kette und Exit-Strategie zu dokumentieren, ist ein manueller Kraftakt, der Monate dauern kann.

Vertragsanpassungen. Bestehende Cloud-Verträge enthalten selten die spezifischen DORA-Klauseln zu Audit-Rechten und Aufsichtsbehörden-Zugang. Die Nachverhandlung mit Hyperscalern ist aufwendig, insbesondere weil AWS, Azure und Google Cloud standardisierte Verträge bevorzugen.

Fehlende Tooling-Infrastruktur. Die xBRL-CSV-Meldung erfordert spezifische Software. Viele Institute haben diese erst spät beschafft oder arbeiten noch mit manuellen Prozessen. GRC-Plattformen wie ServiceNow, SAP GRC oder spezialisierte RegTech-Anbieter bieten DORA-Module an, deren Implementierung aber Zeit braucht.

Checkliste: In 4 Wochen zur BaFin-Meldung

Für IT-Leiter und Compliance-Verantwortliche, die den 30. März noch einhalten wollen:

Woche 1: Inventar. Alle ICT-Drittanbieter erfassen. Nicht nur Cloud-Anbieter, sondern auch SaaS-Tools, Managed Service Provider und Outsourcing-Partner. Quelle: Einkauf, IT-Asset-Management, Vertragsregister.

Woche 2: Daten ergänzen. Für jeden Anbieter die Pflichtfelder befüllen: LEI, Diensttyp, Datenspeicherort, Subunternehmer, Vertragslaufzeit. Bei Cloud-Anbietern die Shared Responsibility-Dokumentation als Basis nutzen.

Woche 3: Exit-Strategien. Für jeden kritischen Anbieter eine Exit-Strategie dokumentieren. Was passiert bei Ausfall? Wie lange dauert die Migration? Gibt es einen alternativen Anbieter?

Woche 4: xBRL-CSV generieren und prüfen. Die Daten in das xBRL-CSV-Format überführen. Validierung gegen das BaFin-Schema. Testmeldung durchführen, bevor die finale Übermittlung erfolgt.

Cloud-spezifische Herausforderungen im DORA-Register

Die Dokumentation von Cloud-Anbietern im DORA-Register ist komplexer als bei traditionellen IT-Dienstleistern. Drei Faktoren machen Cloud-Verträge besonders anspruchsvoll.

Dynamische Infrastruktur. Cloud-Anbieter ändern ihre Rechenzentrumsstandorte, Availability Zones und Subunternehmer regelmäßig. Ein Register, das den Stand vom 31. Dezember 2025 abbildet, kann drei Monate später veraltet sein. IT-Teams brauchen einen Prozess, der Änderungen in der Cloud-Infrastruktur kontinuierlich erfasst und das Register aktualisiert.

Shared Responsibility. Bei Cloud-Diensten teilen sich Anbieter und Kunde die Verantwortung. Infrastructure as a Service, Platform as a Service und Software as a Service haben unterschiedliche Verantwortungsgrenzen. Das DORA-Register muss abbilden, welche ICT-Funktionen der Cloud-Anbieter übernimmt und welche beim Finanzunternehmen verbleiben. Das erfordert ein tiefes Verständnis der eigenen Cloud-Architektur.

Multi-Cloud-Komplexität. Finanzinstitute, die mehrere Cloud-Anbieter nutzen, müssen jeden einzelnen separat dokumentieren. Dabei entstehen Abhängigkeiten: Wenn ein Backup-System auf Google Cloud läuft und das Primärsystem auf AWS, sind beide Anbieter im Register zu führen, einschließlich der Abhängigkeitsbeziehung zwischen den Systemen.

Was passiert nach dem 30. März: Die nächsten Schritte

Die erste BaFin-Meldung ist nicht das Ende, sondern der Anfang eines kontinuierlichen Prozesses. DORA verlangt, dass das ICT-Drittanbieter-Register laufend aktualisiert und der Aufsichtsbehörde regelmäßig übermittelt wird.

Für 2026 sind zwei weitere Entwicklungen absehbar:

Threat-Led Penetration Testing (TLPT). DORA schreibt für systemrelevante Finanzinstitute regelmäßige Penetrationstests vor, die die gesamte ICT-Lieferkette einschließen. Die BaFin wird voraussichtlich im zweiten Halbjahr 2026 konkrete Anforderungen an TLPT veröffentlichen.

Incident Reporting. Finanzunternehmen müssen schwerwiegende ICT-Vorfälle innerhalb von vier Stunden an die BaFin melden. Wenn ein Vorfall bei einem Cloud-Anbieter auftritt, der Dienste für das Finanzunternehmen erbringt, liegt die Meldepflicht beim Finanzunternehmen, nicht beim Cloud-Anbieter. Das erfordert vertragliche Vereinbarungen über Benachrichtigungsfristen und Eskalationswege.

IT-Teams, die jetzt das Register aufbauen, sollten diese Folge-Anforderungen bereits mitdenken. Ein Register, das nur die Pflichtfelder für die erste Meldung enthält, muss für TLPT und Incident Reporting ohnehin erweitert werden.

DORA und NIS2: Doppelbelastung für IT-Teams

Viele Finanzunternehmen fallen sowohl unter DORA als auch unter NIS2. Die beiden Regulierungen überlappen sich teilweise, haben aber unterschiedliche Schwerpunkte. DORA fokussiert auf die digitale operationelle Resilienz des Finanzsektors, NIS2 auf die allgemeine Cybersicherheit in kritischen Sektoren.

Für IT-Teams bedeutet das: Zwei Registrierungen (BaFin für DORA, BSI für NIS2), zwei Meldepflichten bei Incidents und zwei Sätze von Dokumentationsanforderungen. Die gute Nachricht: Viele der Maßnahmen überlappen sich. Ein gut geführtes ICT-Drittanbieter-Register erfüllt sowohl DORA als auch NIS2-Anforderungen an die Lieferkettensicherheit.

Fazit

Die DORA-Meldepflicht am 30. März 2026 ist kein optionaler Meilenstein. Finanzunternehmen, die ihre Cloud-Dienstleister nicht vollständig dokumentiert haben, riskieren aufsichtsrechtliche Maßnahmen. Der Aufwand ist real, aber beherrschbar, wenn IT-Teams strukturiert vorgehen. Wer parallel die NIS2-Anforderungen mitdenkt, spart sich doppelte Arbeit. Der pragmatische Weg für IT-Leiter und Compliance-Teams: Inventar erstellen, Daten befüllen, Exit-Strategien dokumentieren und fristgerecht melden.

Häufige Fragen

Weiterführende Artikel

• NIS2 und SaaS – Warum die Lieferkette zur Compliance-Lücke wird (cloudmagazin)
• Sovereignty-Washing – Warum EU-Rechenzentrum noch keine Datensouveränität bedeutet (cloudmagazin)
• Confidential Computing – Azure macht KI-Workloads hardwareseitig abschirmbar (cloudmagazin)

Quelle Titelbild: Mikael Blomkvist / Pexels