DORA-Compliance im Fragebogen vom Bankkunden: den Betrieb nachweisfähig machen
Ein DORA-Fragebogen vom Bankkunden fragt nicht nach einem Dokument, sondern nach eurem Betrieb: Artikel 30 regelt die Vertragsbestimmungen, das Informationsregister nach Artikel 28 Absatz 3 nennt Betriebsorte und Subunternehmer. Pexon macht den Kubernetes-Betrieb nachweisfähig, mit Ausstiegsfähigkeit und dokumentierten Verarbeitungsregionen. Kein Testat, sondern Antworten aus dem laufenden Betrieb.
Beleg aus dem regulierten Umfeld: eine Azure-AKS-Umgebung für eine Genossenschaftsbank, Volumen 102.700 EUR.
Warum das Raten beim DORA-Fragebogen teuer wird
Der Fragebogen kommt, weil DORA euren Bankkunden dazu zwingt. Beantworten müsst ihr ihn, und zwar mit Angaben aus dem Betrieb statt mit einer Selbstauskunft. Seit dem 16. Januar 2025 sind VAIT, KAIT und ZAIT aufgehoben, die BAIT bestehen nur noch übergangsweise für Institute, die DORA noch nicht anwenden müssen, und laufen zum 31. Dezember 2026 aus.
Was bedeutet DORA-Compliance für einen IKT-Dienstleister?
DORA-Compliance bedeutet für einen IKT-Dienstleister nicht, selbst eine Zulassung zu haben, sondern die Angaben liefern zu können, die ein Finanzunternehmen für seine eigenen Pflichten braucht. DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor und ist seit dem 17. Januar 2025 anzuwenden. Verpflichtet sind Banken, Versicherer, Zahlungsdienstleister und weitere Finanzunternehmen. Wer sie mit Software oder Betrieb beliefert, ist IKT-Drittdienstleister und wird über den Vertrag seines Kunden erfasst.
Konkret sind es drei Pflichten, die bei euch ankommen. Erstens schreibt Artikel 30 Absatz 2 Mindestinhalte für jeden IKT-Vertrag vor, darunter Leistungsbeschreibung, Verarbeitungs- und Speicherorte, Meldewege und Kündigung. Zweitens kommen nach Artikel 30 Absatz 3 Zugangs- und Inspektionsrechte sowie eine Ausstiegsstrategie dazu, sobald euer Dienst eine kritische oder wichtige Funktion stützt. Drittens meldet euer Kunde euch nach Artikel 28 Absatz 3 in seinem Informationsregister an die BaFin, mit Betriebsorten, Diensten und Subunternehmern.
Deshalb entscheidet sich DORA-Compliance im Betrieb und nicht im Marketing-Text. Ein Kubernetes-Cluster, dessen Regionen, Zugriffe, Änderungen und Wiederherstellungen laufend dokumentiert sind, beantwortet den Fragebogen aus Belegen. Ein Cluster ohne diese Dokumentation beantwortet ihn aus dem Gedächtnis, und genau das fällt in der Prüfung auf.
Quelle: Verordnung (EU) 2022/2554 (DORA), Artikel 28 und 30. Anwendungsbeginn 17. Januar 2025.
Welche DORA-Fundstellen treffen den Betrieb?
Vier Fundstellen entscheiden, was ein Bankkunde von euch verlangen darf. Alle vier betreffen den Betrieb, nicht die Werbeaussage.
Ab wann sich der nachweisfähige Betrieb lohnt
Was steht in DORA Artikel 30 Absatz 2 und Absatz 3?
Die Tabelle ordnet jede Fundstelle einer Betriebsfrage zu: was verlangt wird, was das im Cluster bedeutet und wer den Nachweis liefert. Die letzte Zeile ist der Fehler, der in fast jedem Fragebogen-Gespräch auftaucht.
| Fundstelle | Was verlangt wird | Was das im Cluster bedeutet | Wer liefert |
|---|---|---|---|
| Artikel 30 Absatz 2 | Mindestinhalte für alle IKT-Verträge: Leistungsbeschreibung, Verarbeitungs- und Speicherorte, Meldewege, Mitwirkung, Kündigung | Cluster-Umfang, Regionen und Zuständigkeiten sind dokumentiert | Pexon liefert die Betriebsangaben, euer Vertrag trägt sie |
| Artikel 30 Absatz 3 | Zusatzanforderungen bei kritischen oder wichtigen Funktionen, unter anderem Zugangs- und Inspektionsrechte sowie Ausstiegsstrategien | Exportwege, Datenformate, Übergabepfad und Prüfzugänge | Pexon baut den Nachweis, die Einstufung trifft euer Kunde |
| Artikel 28 Absatz 3 | Informationsregister, mindestens jährlich an die BaFin | Aktuelle Liste von Betriebsorten, Subunternehmern und Diensten | Pexon liefert zu, gemeldet wird vom Finanzunternehmen |
| Einreichungsfenster | 2026 vom 9. bis 30. März, Datenstichtag ist der 31. Dezember des Vorjahres | Die Angaben müssen zum Jahreswechsel stehen, nicht erst im März | Euer Kunde reicht ein, ihr liefert vorher zu |
| Der 31. März | Frist der BaFin an die europäischen Aufsichtsbehörden | Betrifft euch nicht direkt, wird aber regelmäßig als eure Frist gelesen | Die Aufsicht, nicht ihr |
Stand 20. August 2026. Grundlage: Verordnung (EU) 2022/2554 sowie die BaFin-Angaben zur Einreichung der Informationsregister 2026 (Datenstichtag 31. Dezember 2025, Einreichungsfenster 9. bis 30. März 2026). Ob euer Dienst als kritische oder wichtige Funktion eingestuft wird, entscheidet euer Kunde, nicht wir.
Wofür Bankkunden Nachweise verlangen
Fragebogen eines Bankkunden beantworten
Der Kunde fragt das IKT-Drittparteienrisiko ab. Pexon liefert die Betriebsangaben dazu: Cluster-Umfang, Regionen, Zugriffswege, Änderungshistorie, Meldewege.
Verarbeitungsorte und Subunternehmer belegen
Wo laufen die Nodes, wo liegen die Backups, wer sind die Vorlieferanten. Pexon führt das als Betriebsliste und schreibt sie im Retainer monatlich fort. Ein Muster der Liste gibt es noch nicht.
Ausstiegsfähigkeit nachweisen
Artikel 30 Absatz 3 verlangt eine Ausstiegsstrategie. Pexon beschreibt Exportwege, Datenformate und den Übergabepfad und übt die Wiederherstellung.
Zulieferung zum Informationsregister
Euer Kunde meldet, ihr liefert zu. Pexon wird die Felder bereitstellen, die für Dienstleister, Betriebsorte und Dienste gefordert sind.
Muss unser Cluster für DORA umziehen?
Nein. Nachweisfähig wird der Betrieb, nicht die Plattform darunter. Wir setzen auf der Umgebung auf, in der euer Cluster heute läuft.
Plattform und Betriebsmodell
Nachweise und Prüfzugänge
Wie der nachweisfähige Betrieb funktioniert
Wer beantwortet den DORA-Fragebogen für euren Betrieb?
In vier Phasen zur belegten Antwort
Was kostet ein DORA-fähiger Betrieb?
Der Einstieg ist das NIS2- und C5-Modul: der monatliche Nachweis-Betrieb, aus dem die DORA-Antworten kommen. Die Zahlen sind Orientierung, kein verbindliches Angebot.
Häufige Fragen
Was verlangt DORA Artikel 30 von einem IKT-Dienstleister?
Was ist das DORA-Informationsregister?
Wann muss das DORA-Informationsregister eingereicht werden?
Was kostet ein DORA-fähiger Kubernetes-Betrieb?
Gilt DORA für uns, wenn wir keine Bank sind?
Wo hört unsere Leistung beim DORA-Fragebogen auf?
Wie machen wir unseren Kubernetes-Betrieb DORA-fähig?
Nachricht senden
Kein passender Termin? Schreibt uns, wir melden uns in der Servicezeit Mo-Fr 08:00-18:00 MEZ zurück.
Sie suchen einen Partner für Ihr Projekt?
Wir analysieren Ihren individuellen Bedarf, geben erste Empfehlungen zu Umsetzungsstrategien und bieten Ihnen transparente Einblicke in unsere Methoden, Technologien und Referenzen.
Vertrieb kontaktieren