DORA

Digital Operational Resilience Act · Finanzsektor-Lieferketten · Typische Fehler · Vertragsrealität

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: Warum DORA anders ist als NIS2 und AI Act

DORA gilt seit dem 17. Januar 2025. Es ist kein Rahmenwerk wie NIS2 – es ist eine unmittelbar anwendbare EU-Verordnung mit präzisen Anforderungen für den Finanzsektor. Das macht sie strenger und konkreter als alles, was Schweizer ICT-Lieferanten bisher kennen.

Für Schweizer KMU gilt DORA gewöhnlich nicht unmittelbar. Aber kein Regime hat bisher so schnell und so konkret Anforderungen in Lieferantenverträge eingebracht. Wer EU-Finanzunternehmen bedient, bekommt DORA bereits heute zu spüren.

1. Bin ich betroffen? – Entscheidungslogik

Vorab: DORA richtet sich direkt an EU-Finanzunternehmen. Schweizer KMU sind gewöhnlich nicht unmittelbar als Finanzunternehmen DORA-pflichtig; sie können jedoch vertraglich mittelbar betroffen sein und in besonderen Konstellationen (förmliche Benennung als kritischer ICT-Drittdienstleister nach Art. 31) in den DORA-Drittparteienaufsichtsrahmen fallen. In jedem Fall verpflichtet DORA Finanzunternehmen, die Risiken ihrer ICT-Lieferkette zu steuern – Ihre Kunden stellen deshalb Anforderungen an Sie.

1.1 Der Schnelltest

1.2 Wer sind die DORA-pflichtigen EU-Kunden?

2. Was wird konkret von mir verlangt?

Dieser Abschnitt beschreibt die DORA-nahen Anforderungen, die EU-Finanzkunden typischerweise an Schweizer ICT-Lieferanten stellen. Sie kommen nicht direkt aus dem DORA-Text – sie kommen aus den Vertragsanhängen, die bereits kursieren.

2.1 Vertragsanforderungen – was Finanzunternehmen einbauen müssen

DORA schreibt EU-Finanzunternehmen vor, welche Klauseln in ICT-Verträgen enthalten sein müssen. Das bedeutet: Diese Klauseln kommen auf Sie zu – nicht als Verhandlungsmasse, sondern als Mindestanforderung.

2.2 BCM und Disaster Recovery – was wirklich geprüft wird

Business Continuity ist das Herzstück von DORA. EU-Finanzkunden müssen nachweisen, dass kritische Prozesse auch bei ICT-Ausfällen weiterlaufen. Dafür brauchen sie von Ihnen mehr als ein Policy-Dokument.

2.3 Testbarkeit – der unterschätzte DORA-Punkt

Was viele Schweizer KMU nicht wissen: DORA verlangt von EU-Finanzunternehmen, ihre Resilienztests auf ICT-Drittanbieter auszuweiten. Das bedeutet: Ihr Kunde muss testen können, ob Ihre Systeme und Prozesse funktionieren – nicht nur, ob Sie es behaupten.

Was 'testbar' konkret bedeutet:

Sie müssen Penetrationstests durch Ihren Kunden oder seine Beauftragten ermöglichen (mit definiertem Scope und Voranmeldung)

Sie müssen Restore-Tests durchführen und die Protokolle bereitstellen können

Sie müssen an Tabletop-Übungen (simulierte Vorfälle) teilnehmen können

Für grosse Finanzkunden gilt TLPT (Threat-Led Penetration Testing) – Sie müssen in der Lage sein, daran teilzunehmen

2.4 Exit-Strategien – was viele vergessen

DORA verlangt von Finanzunternehmen nachweisbare Exit-Strategien für kritische ICT-Lieferanten. Das heisst: Ihr Kunde muss beweisen können, dass er Sie ersetzen kann. Und Sie müssen dabei helfen.

Datenportabilität: Kundendaten müssen in einem standardisierten Format exportierbar sein.

Dokumentierter Übergang: Sie müssen beschreiben können, wie ein geordneter Anbieterwechsel aussieht.

Übergangsunterstützung: Viele Verträge enthalten bereits jetzt eine Klausel, die Sie zu Übergangsleistungen verpflichtet.

Datenvernichtungsnachweis: Nach Vertragsende müssen Kundendaten nachweislich gelöscht werden.

3. Was können Sie von EU-Kunden einfordern?

Die andere Seite der DORA-Medaille: DORA legt Pflichten für Finanzunternehmen fest – aber auch Rechte und Grenzen für ihre Lieferanten. Nutzen Sie diese.

3.1 Was Sie brauchen – und verlangen dürfen

3.2 Vertragsklauseln: Verhandlungslinien

BCM- und Recovery-Klauseln

Audit- und Test-Klauseln

Exit-Klauseln

4. Die fünf häufigsten Fehler in der Praxis

Fehler 1: Kritikalität unterschätzen

'Wir sind nur ein kleiner Zulieferer' – das hört man oft. Aber DORA macht keine Ausnahme für kleine Lieferanten, wenn die Leistung kritisch ist. Ein kleines Schweizer KMU, das das Monitoring-System einer deutschen Bank betreibt, ist hochkritisch – unabhängig von seiner eigenen Grösse.

Fehler 2: BCP ohne getestete Recovery

Der Business Continuity Plan existiert als Dokument. Aber die letzte Recovery wurde nie getestet – oder der Test ist drei Jahre alt. EU-Finanzkunden fragen explizit nach Testprotokollen. Ein alter oder fehlender Test ist schlimmer als kein Test, weil er suggeriert, dass Sie es nicht ernst nehmen.

Fehler 3: Subdienstleister-Risiken verbergen

Viele KMU listen in Vertragsverhandlungen nur ihre direkten Subdienstleister auf – nicht die Subdienstleister ihrer Subdienstleister. Bei einem Vorfall kommt dann heraus, dass kritische Infrastruktur bei einem Cloud-Provider liegt, den der Finanzkunde nicht kannte. Das zerstört Vertrauen nachhaltig.

Fehler 4: Incident-Fristen nicht kennen

DORA verlangt von Finanzunternehmen sehr kurze Meldefristen. Viele Schweizer KMU wissen nicht, dass ihre Kunden diese Fristen haben – und richten ihre interne Incident-Response entsprechend nicht aus. Wenn ein Vorfall eintritt, ist der Zeitdruck beim Kunden enorm, und der Lieferant liefert nicht.

Fehler 5: Exit-Szenarien nicht durchgedacht

'Das brauchen wir nie' – falsch. Kunden müssen DORA-konform nachweisen, dass sie Sie ersetzen können. Wenn Sie kein Exit-Konzept haben, blockieren Sie Ihren Kunden bei seinem eigenen Compliance-Nachweis. Das führt entweder dazu, dass Sie aus Lieferantenpools ausgeschlossen werden oder zu sehr ungünstigen Exit-Vertragsklauseln.

5. Branchenprofile: Was bedeutet das konkret für Sie?

Profil A: Schweizer Cloud-Provider, der Core-Banking-Systeme für EU-Regionalbanken hostet

Profil B: Schweizer Managed-Security-Provider mit EU-Versicherungskunden

Profil C: Schweizer Softwarehaus, das Zahlungsabwicklungs-Software für EU-Fintechs liefert

Profil D: Schweizer IT-Berater, der Digitalisierungsprojekte für EU-Retailbanken begleitet

6. Verbindung zu NIS2 und AI Act

Im Finanzsektor laufen DORA, NIS2 und AI Act oft gleichzeitig. Hier ist die Abgrenzung, die in der Praxis nützlich ist:

7. Was Sie jetzt tun – priorisiert

Kontakt & weitere Informationen