Gilt DORA für meine Agentur?

Nicht unmittelbar, es sei denn, Ihre Agentur ist selbst ein in Artikel 2 genanntes Finanzunternehmen. Sie erreicht Sie über den Vertrag mit einem Finanzkunden: Artikel 30 verlangt einen festen Katalog an Bestimmungen in dieser Vereinbarung, und der Kunde braucht Nachweise von Ihnen für sein eigenes Register und sein eigenes Meldewesen.

Wer entscheidet, dass ein Dienstleister nach DORA kritisch ist?

Die Europäischen Aufsichtsbehörden nach Artikel 31, anhand von Kriterien wie systemischer Bedeutung und Ersetzbarkeit. Ein eingestufter Dienstleister erhält einen federführenden Überwacher und fällt unter die Überwachungsbefugnisse der Artikel 33 bis 35.

Ersetzt DORA für einen Finanzkunden die KI-Verordnung?

Nein. Beide regeln Unterschiedliches: DORA die operationale Resilienz und das IKT-Drittparteirisiko, Artikel 50 der KI-Verordnung die Pflicht, einer Person zu sagen, dass sie mit einer KI spricht. Ein Finanzkunde mit KI-Gesprächen fällt unter beides.

In Kraft · 17. Januar 2025

DORA: was ein Finanzkunde über seine Dienstleister sagen können muss.

In Kraft seit 17. Januar 2025

Zuletzt geprüft: 6. Oktober 2026

Der Digital Operational Resilience Act, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 für Banken, Versicherer, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Kryptodienstleistungen und die übrigen in Artikel 2 genannten Finanzunternehmen. Fast jede Pflicht daraus trifft das Finanzunternehmen selbst, nicht seine Dienstleister. Wer KI-Gespräche für einen Finanzkunden betreibt, wird von DORA über dessen Vertrag, dessen Informationsregister und dessen Meldewesen erreicht.

Was das Gesetz verlangt

DORA gilt für die in Artikel 2 genannten Finanzunternehmen und über sie für die IKT-Drittdienstleister, die sie einsetzen.: Verordnung (EU) 2022/2554, Art. 2; anwendbar seit 17. Januar 2025 (Art. 64)
Ein Finanzunternehmen führt ein Informationsregister zu allen vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene.: Verordnung (EU) 2022/2554, Art. 28(3)
Verträge über IKT-Dienstleistungen müssen einen festen Katalog an Bestimmungen enthalten, darunter Leistungsbeschreibungen, Unterstützung ohne Zusatzkosten bei einem IKT-Vorfall, Prüf- und Zugangsrechte sowie Ausstiegsstrategien.: Verordnung (EU) 2022/2554, Art. 30
Schwerwiegende IKT-bezogene Vorfälle sind zu klassifizieren und der zuständigen Behörde innerhalb der in den technischen Regulierungsstandards gesetzten Fristen zu melden.: Verordnung (EU) 2022/2554, Art. 18 und Art. 19
Die Einstufung als kritischer IKT-Drittdienstleister nehmen die Europäischen Aufsichtsbehörden vor; sie bringt eine unmittelbare Überwachung mit sich. Jeder andere Dienstleister wird über den Vertrag des Finanzunternehmens gesteuert.: Verordnung (EU) 2022/2554, Art. 31
Bei einem eingestuften kritischen Dienstleister kann der federführende Überwacher Zwangsgelder von 1 % des durchschnittlichen weltweiten Tagesumsatzes verhängen.: Verordnung (EU) 2022/2554, Art. 35(8)

Was Audact dazu beiträgt

Für gesteuerte Gespräche ist im Produkt eine Quittung sichtbar: Eingabe-Hash, Ausgabe-Hash, die Verkettung zur vorherigen Quittung und die Merkle-Zugehörigkeit, sodass eine nachträgliche Änderung oder Umordnung erkennbar ist. Die ersten drei rechnen sich ohne Schlüssel nach; die vierte, der Einschluss in der Merkle-Wurzel, wird mit dem Einschlussnachweis aus dem Artikel-50-Bericht des Anrufs gegen die veröffentlichte Wurzel geprüft.: Im Produkt sichtbar · Merkle-Wurzeln veröffentlicht
Die Artikel-50-Offenlegung, im Gesprächsablauf gesprochen und pro Interaktion festgehalten.: In kontrollierten Tests
Primäres Anwendungs-Hosting: Frankfurt. Die vollständige Liste der Unterauftragsverarbeiter und die Übermittlungsgrundlage stehen im Trust Center.: Läuft heute
Vorfallaufzeichnungen mit Zeitstempel und dem Gesprächskontext, zu dem sie gehören, exportierbar in den Vorfallbericht Ihres Kunden.: In Entwicklung

Wessen Pflicht

DORA ist an Ihren Kunden geschrieben und erreicht Sie über dessen Vertrag.

Diese Unterscheidung entscheidet, wie viel von DORA Ihr Problem ist. Das Informationsregister, die Vorfallklassifizierung und die Meldefristen sind Pflichten des Finanzunternehmens. Artikel 30 schiebt lediglich einen festen Katalog an Bestimmungen in den Vertrag, den dieses Unternehmen mit Ihnen schließt: Leistungsniveaus, Unterstützung während eines IKT-Vorfalls, Prüf- und Zugangsrechte, Ausstiegsstrategien und die Orte der Verarbeitung.

Die praktische Folge: Ein Dienstleister wird selten gefragt, ob er DORA einhält. Er wird gefragt, ob sein Vertrag Artikel 30 tragen kann und ob er Nachweise schnell genug herausgibt, damit das Unternehmen Artikel 19 einhalten kann. Das sind beantwortbare Fragen, und die Antwort fällt besser aus, wenn der Nachweis während des Gesprächs entstanden ist, statt nach Eintreffen des Fragebogens rekonstruiert zu werden.

Die Einstufung als kritisch

Kritischer IKT-Drittdienstleister ist ein Status, keine Beschreibung.

Der Begriff fällt in jedem DORA-Gespräch und wird oft ungenau verwendet. Nach Artikel 31 ist es eine förmliche Einstufung durch die Europäischen Aufsichtsbehörden, anhand von Kriterien wie systemischer Bedeutung und Ersetzbarkeit. Sie bringt einen federführenden Überwacher und die Durchsetzungsbefugnisse aus Artikel 35 mit sich und betrifft eine kurze Liste sehr großer Anbieter.

Jeder andere Dienstleister ist ein gewöhnlicher IKT-Drittdienstleister. Seine Pflichten sind vertraglich: das, was Artikel 30 dem Finanzunternehmen für die Vereinbarung vorgibt, und das, was das Unternehmen von Ihnen zurückbekommen muss, um seine eigene Berichterstattung zu erfüllen.

Hinweis

Information, keine Rechtsberatung.

Diese Seite gibt die Regeln so wieder, wie wir sie lesen, mit den Artikelnummern, damit Sie uns nachprüfen können. Sie ist keine Rechtsberatung, und Ihre eigene Lage hängt von Umständen ab, die diese Seite nicht kennt. Holen Sie qualifizierten Rat ein, bevor Sie sich darauf stützen.

Fragen

Gilt DORA für meine Agentur?: Nicht unmittelbar, es sei denn, Ihre Agentur ist selbst ein in Artikel 2 genanntes Finanzunternehmen. Sie erreicht Sie über den Vertrag mit einem Finanzkunden: Artikel 30 verlangt einen festen Katalog an Bestimmungen in dieser Vereinbarung, und der Kunde braucht Nachweise von Ihnen für sein eigenes Register und sein eigenes Meldewesen.
Wer entscheidet, dass ein Dienstleister nach DORA kritisch ist?: Die Europäischen Aufsichtsbehörden nach Artikel 31, anhand von Kriterien wie systemischer Bedeutung und Ersetzbarkeit. Ein eingestufter Dienstleister erhält einen federführenden Überwacher und fällt unter die Überwachungsbefugnisse der Artikel 33 bis 35.
Ersetzt DORA für einen Finanzkunden die KI-Verordnung?: Nein. Beide regeln Unterschiedliches: DORA die operationale Resilienz und das IKT-Drittparteirisiko, Artikel 50 der KI-Verordnung die Pflicht, einer Person zu sagen, dass sie mit einer KI spricht. Ein Finanzkunde mit KI-Gesprächen fällt unter beides.

Der Nachweis entsteht, während das Gespräch läuft

Was ein Finanzunternehmen von einem Dienstleister braucht, ist ein Nachweis dessen, was tatsächlich geschehen ist. Audact erzeugt ihn während des Gesprächs und zeigt ihn im Produkt. Der Produktivexport funktionierte bei der Nachprüfung am 26. August 2026 nach dem Deploy, gemessen an Browser-Anrufen statt über eine Telefonleitung. Das monatliche Nachweispaket ist nicht im Angebot; In Validierung.

Eine Quittung ansehen