DORA – Wechsel des IT-Unterlieferanten, Risikoüberprüfung & Einwand | Word/PDF/Excel

Ihr Cloud-Anbieter oder Betriebspartner teilt Ihnen mit, dass ein wichtiger IKT-Unterlieferant ausgetauscht werden soll. Muss Ihr Finanzunternehmen diese Änderung akzeptieren? Wenn der IKT-Dienst eine kritische oder wichtige Funktion oder einen wesentlichen Teil einer solchen unterstützt, können DORA und der besondere EU-Standard für Unterlieferanten eine dokumentierte Risikobewertung, vertragliche Benachrichtigung und eine rechtzeitige Entscheidung erfordern. Dieses Spezialpaket hilft Ihnen bei der Bearbeitung einer konkreten Änderungsmitteilung – nicht nur bei der Erstellung einer allgemeinen IT-Richtlinie.

Anwendbares Regelwerk: DORA, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025. Die ergänzende delegierte Verordnung (EU) 2025/532 gilt seit dem 22. Juli 2025 und behandelt die Risikobewertung und die Bedingungen für die Unterlieferung von IKT-Diensten, die kritische oder wichtige Funktionen unterstützen. Artikel 5 regelt wesentliche Änderungen; Artikel 6 regelt bestimmte Voraussetzungen für das vertragliche Kündigungsrecht.

Inhalt: 5 schwedische Arbeitsvorlagen, ein schwedischer Benutzerleitfaden und ein separater English User Guide sowohl in Word (DOCX) als auch als durchsuchbare/druckbare A4-PDF, sowie ein Excel-Register mit neun Reitern und 730 administrativen Formeln. Insgesamt 7 DOCX + 7 PDF + 1 XLSX = 15 Dateien in einer ZIP. Einmalpreis 79 SEK; keine physische Lieferung, keine Makros und keine automatisierte Lieferantenintegration.

Wann ist dies die richtige DORA-Vorlage?

Typische Nutzer sind die IKT-Risikofunktion, Compliance, der Jurist, der Einkaufs- und Lieferantenverantwortliche, der Informationssicherheitsverantwortliche und der Geschäftsführer kritischer oder wichtiger Funktionen eines Finanzunternehmens. Beispiel für einen Vorfall: Ein Unternehmen mit einem kritischen Finanzdienst erhält eine schriftliche Mitteilung, dass die Bereitstellung, Infrastruktur, Sicherheitsfunktion oder Datenspeicherung zu einem anderen Unterlieferanten verlagert wird, möglicherweise in ein neues Land oder weiter unten in der Lieferkette.

Abgrenzung: Nicht jeder IT-Einkauf oder gewöhnliche Lieferantenaustausch ist eine wesentliche Änderung gemäß Artikel 5. Dokumentieren Sie zunächst, ob die Einheit von DORA erfasst ist und ob die konkrete Unterlieferantenkette eine kritische oder wichtige Funktion oder einen wesentlichen Teil davon unterstützt. Dieselben gesetzlichen Anforderungen dürfen nicht auf Unternehmen außerhalb des relevanten Anwendungsbereichs übertragen werden.

Alle 15 Kundendateien

Excel – neun Reiter für den Vertrags- und Risikoprozess

Die Arbeitsmappe besteht aus Lies mich, Übersicht, Änderungen, Verträge, Risiken, Antworten, Entscheidungen, Exit und Quellen. Jeder tatsächlichen Änderung wird eine Fall-ID zugewiesen. Die Übersicht zählt Mitteilungen, unvollständige Risikobewertungen, Verträge, die untersucht werden müssen, Anfragen ohne Antwort, Einwände ohne tatsächliche Kommunikation und Exit-Fälle.

Sie enthält 730 Formeln und hat 23 von 23 Szenariotests bestanden, einschließlich Risiko über der Toleranz, nicht vertraglich zulässige Unterlieferung, unvollständige Änderungsmitteilung, fehlender Liefernachweis, Einwand ohne Liefernachweis und Exit-Fall mit fehlender Entscheidungsunterlage. Automatische Etiketten wie „ANWENDBARKEIT PRÜFEN“, „VERTRAG ERGÄNZEN“, „EINWANDSBEDÜRTIGKEIT VOR FRIST“ und „EXIT ERFORDERT MANUELLE ENTSCHEIDUNG“ bedeuten niemals, dass gesetzliche Anforderungen erfüllt sind. Die Kundendatei ist zurückgesetzt und enthält keine fiktiven Testfälle.

So bearbeiten Sie die Änderung in der Praxis

1. Empfangen und sichern Sie die Originalmitteilung. Erfassen Sie den tatsächlichen Absender, den Vertrag, den Zeitpunkt der Mitteilung, die neue Unterlieferantenkette und das geplante Einführungsdatum.
2. Prüfen Sie die Anwendbarkeit. Bewerten Sie die DORA-Einheit, die kritische/wichtige Funktion, die Wesentlichkeit, die Unterlieferantenkette und die vertraglich vereinbarte Erlaubnis zur Beauftragung von Unterlieferanten.
3. Verifizieren Sie die Benachrichtigungsfrist. Artikel 5.2 erfordert eine angemessene vertraglich vereinbarte Periode für die Genehmigung oder den Einwand. Es gibt keine allgemeine gesetzliche Regel von genau 30 Tagen. Lassen Sie die verantwortliche Person die letzte Antwortzeit anhand des tatsächlichen Vertrags festlegen.
4. Bewerten Sie das Risiko der Änderung. Untersuchen Sie Konzentration, Kontinuität, Sicherheit, Datenlokalisierung, die Ressourcen der Unterlieferanten sowie Zugangs-, Inspektions- und Revisionsrechte.
5. Fordern Sie die erforderlichen Ergänzungen an. Lassen Sie den Hauptlieferanten die Kette und die tatsächliche Auswirkung der Änderung dokumentieren. Das Finanzunternehmen behält die Verantwortung auch dann, wenn der Lieferant eine eigene Risikobewertung durchgeführt hat.
6. Treffen und kommunizieren Sie eine sachkundige Entscheidung. Wenn das Risiko die Risikotoleranz überschreitet, muss die Finanzentität gemäß Artikel 5.4 vor Ablauf der Periode den Lieferanten informieren, Einspruch einlegen und Änderungen anfordern. Sichern Sie den tatsächlichen Versand- und Empfangsbeleg.
7. Verfolgen Sie die Umsetzung und einen möglichen Exit. Prüfen Sie das tatsächliche Implementierungsdatum. Prüfen Sie Artikel 6 und DORA Artikel 28.7 sowie den eigenen Vertrag vor einer Kündigung oder Migration.

Was sagen DORA und Verordnung EU 2025/532?

Artikel 3, 2025/532: die Finanzentität muss relevante Bewertungen von Unterlieferanten durchführen, die kritische oder wichtige Funktionen unterstützen. Die Verlässung auf die Due Diligence des IKT-Lieferanten entbindet das Unternehmen nicht von der Endverantwortung.

Artikel 4: der Vertrag muss identifizieren, welche relevanten IKT-Dienste an Unterlieferanten ausgelagert werden dürfen und zu welchen Bedingungen. Eventuelle notwendige Vertragsanpassungen müssen rechtzeitig durchgeführt und dokumentiert geplant werden.

Artikel 5.1–5.3: wesentliche Änderungen müssen rechtzeitig mitgeteilt werden, damit das Unternehmen das Risiko und die Möglichkeit des Lieferanten bewerten kann, den Vertrag zu erfüllen. Es muss eine angemessene vertraglich vereinbarte Einwandperiode vorhanden sein. Der Lieferant darf die Änderung durchführen, wenn die Finanzentität sie genehmigt hat oder bis zum Ende der Periode gemäß dem anwendbaren Vertrag und den Regelwerken keinen Einwand erhoben hat.

Artikel 5.4: wenn die Änderung die festgelegte Risikotoleranz überschreitet, muss das Unternehmen vor Ablauf der Periode seine Bewertung mitteilen, Einspruch einlegen und Änderungen anfordern. Das ist nicht dasselbe wie eine automatische Risikobewertung durch ein System.

Artikel 6: der Vertrag muss ein Kündigungsrecht enthalten, unter anderem wenn der Lieferant die Änderung trotz Einwand durchführt, sie vorzeitig ohne Genehmigung durchführt oder relevante Dienste auslagert, ohne dass der Vertrag dies ausdrücklich zulässt. Dies ist ein bedingtes Vertragsrecht – keine automatische Aufhebung. Prüfen Sie auch Artikel 28.7 in DORA.

Primärquellen: Delegierte Verordnung der Kommission (EU) 2025/532 und DORA (EU) 2022/2554. Sehen Sie sich die Liste der Durchführungsverordnungen der Europäischen Kommission an.

Unterschied zum allgemeinen DORA-Paket von Mallbutiken

Das DORA IKT-Lieferantenvertrags- & Compliance-Vorlagenpaket 2026 bezieht sich auf allgemeines Vertragsmanagement und Regelkonformität. Dieses Spezialprodukt löst einen stärker abgegrenzten Arbeitsschritt: eine tatsächlich mitgeteilte Änderung in der Unterlieferantenkette, mit Bewertung, Antwort innerhalb der vertraglich vereinbarten Zeit, Einwand und separater Exit-Prüfung. Für eine allgemeine IT-Änderungsanfrage gibt es auch IT-Änderungsanfrage & Änderungsmanagement.

Häufig gestellte Fragen

Müssen alle Unterlieferantenwechsel gemäß DORA genehmigt werden?

Nein. Diese besonderen Regeln gelten für IKT-Dienste, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, und für relevante wesentliche Änderungen. Prüfen Sie den tatsächlichen Dienst, die Auswirkungen und den Vertrag.

Ist die Einwandfrist immer 30 Tage?

Nein. Die Verordnung erfordert eine angemessene Benachrichtigungszeit im Vertrag. Es gibt keine universell vorgeschriebene 30-Tage-Frist. Eine solche Zeit gilt nur, wenn sie sich aus dem relevanten Vertrag ergibt und anwendbar ist.

Was machen wir, wenn die Risikobewertung die Risikotoleranz überschreitet?

Artikel 5.4 besagt, dass das Unternehmen vor dem vertraglich vereinbarten Periodenende über seine Risikobewertung informieren, Einspruch einlegen und Änderungen anfordern muss. Dies muss von der sachkundigen Funktion durchgeführt und dokumentiert werden.

Können wir den Vertrag kündigen, wenn der Austausch bereits erfolgt ist?

Artikel 6 legt vertragsbasierte Kündigungsmöglichkeiten in bestimmten Situationen fest. Prüfen Sie den Vertrag, den tatsächlichen Hergang, das Risiko und die Kontinuität und lassen Sie den verantwortlichen Juristen die Maßnahme prüfen. Nicht jede durchgeführte Änderung gewährt ein automatisches Kündigungsrecht.

Kann die Risikountersuchung des Lieferanten unsere ersetzen?

Nein. Die Verordnung besagt, dass die Finanzentität nicht von ihrer Endverantwortung entbunden ist, nur weil sie sich auf die Due Diligence des Lieferanten verlässt.

Kann Excel automatisch eine rechtlich korrekte Einwandfrist berechnen?

Nein. Die Arbeitsmappe erfasst die Frist, die eine verantwortliche Person nach der Vertragsprüfung festgelegt hat; sie berechnet nicht selbst die vertragliche Frist oder eine Genehmigung.

Sind alle Dokumente auf Englisch?

Nein. Fünf Arbeitsvorlagen, ein schwedischer Leitfaden und Excel sind auf Schwedisch. Ein separater English User Guide beschreibt die Verwendung, stellt aber keine vollständige Übersetzung der Arbeitsvorlagen dar.

Sind die PDF-Dateien ausfüllbar?

Nein. Sie sind durchsuchbare und druckbare A4-Kopien der Word-Dokumente, keine PDF-Formulare mit interaktiven Feldern.

Version, Quellenschutz und Einschränkungen

Version 1.0 – 9. November 2026. Der rechtliche Quellenschutz wurde mit offiziellen EU-Rechtsakten und einer technischen Dateiprüfung von DOCX, PDF und XLSX durchgeführt. Kein externer Jurist, Aufsichtsbehörde oder unabhängiger IKT-Rechnungsprüfer hat das Material geprüft oder genehmigt. Die Vorlagen können keine Vertragsmitteilungen senden, die tatsächliche Sicherheit eines Unterlieferanten verifizieren oder eine Kündigungsentscheidung genehmigen. Verwenden Sie sie als administrative Grundlage für eine separate sachkundige und sachkundige Prüfung.