DORA und KI im Finanzsektor: IKT-Drittparteirisiko für Modellanbieter

Was DORA ist und warum es seit dem 17. Januar 2025 gilt

DORA ist die Verordnung (EU) 2022/2554 vom 14. Dezember 2022 und schafft einen einheitlichen Rahmen für das Management von Risiken der Informations- und Kommunikationstechnologie (IKT) im gesamten EU-Finanzsektor. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten und muss nicht in nationales Recht umgesetzt werden; sie ist seit dem 17. Januar 2025 anwendbar.

Der Rechtstext ruht auf fünf Säulen, die jeweils einem Kapitel entsprechen: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, Management des IKT-Drittparteirisikos sowie Vereinbarungen zum Informationsaustausch. Für den Einsatz von KI ist vor allem die vierte Säule maßgeblich, weil sie externe Technologieabhängigkeiten adressiert.

• IKT-Risikomanagement (Art. 5–16): governance-verankerter, verhältnismäßiger Rahmen.
• Vorfallmeldung (Art. 17–23): Klassifizierung und Meldung schwerwiegender Vorfälle.
• Resilienztests (Art. 24–27): einschließlich bedrohungsgeleiteter Penetrationstests.
• IKT-Drittparteirisiko (Art. 28–30): Vertragspflichten und Lebenszyklussteuerung.
• Informationsaustausch (Art. 45): freiwilliger Austausch von Cyberbedrohungsdaten.

Wie KI- und LLM-Anbieter zu IKT-Drittdienstleistern werden

DORA definiert IKT-Dienstleistungen weit. Ein extern bezogenes Sprachmodell, eine Modell-API, eine Vektordatenbank oder eine gehostete Inferenzplattform fällt regelmäßig unter den IKT-Dienstleistungsbegriff, sobald das Finanzunternehmen sich darauf stützt. Die Auslagerung an einen KI-Anbieter überträgt keine regulatorische Verantwortung: Das Finanzunternehmen bleibt jederzeit vollständig rechenschaftspflichtig.

Entscheidend ist die Einstufung nach kritischen oder wichtigen Funktionen. Stützt ein KI-Dienst eine Funktion, deren Ausfall die Geschäftskontinuität oder die Einhaltung regulatorischer Pflichten wesentlich beeinträchtigen würde, greifen die verschärften Anforderungen der Artikel 28 und 30 – unabhängig davon, ob der Anbieter innerhalb oder außerhalb der EU ansässig ist.

Register, Unterauftragsvergabe und Ausstiegsstrategien

Nach Artikel 28 müssen Finanzunternehmen alle IKT-Drittdienstleistungsvereinbarungen in einem Informationsregister dokumentieren. Das Standardtemplate ist durch die Durchführungsverordnung (EU) 2024/2956 festgelegt; es erfasst Anbieter, Vertragsumfang, Dienstleistungsorte, Unterauftragnehmer und die Kritikalitätseinstufung und dient den Aufsichtsbehörden zugleich als Grundlage für die Benennung kritischer Anbieter.

Artikel 30 legt die verbindlichen Vertragsklauseln fest; bei kritischen oder wichtigen Funktionen kommen erweiterte Pflichten hinzu, darunter volle Prüf- und Zugangsrechte, Regelungen zur Unterauftragsvergabe und dokumentierte Ausstiegsstrategien. Eine Ausstiegsstrategie muss Datenportabilität, Übergangsfristen und Notfallvorkehrungen realistisch abbilden – der Bewertungsrahmen für die Unterauftragsvergabe wird durch die Delegierte Verordnung (EU) 2025/532 weiter konkretisiert.

Aufsicht über kritische Anbieter und praktische Schritte

Artikel 31 begründet einen EU-weiten Aufsichtsrahmen für als kritisch benannte IKT-Drittdienstleister (CTPPs), koordiniert durch die drei Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA über einen benannten federführenden Überwacher. Am 18. November 2025 veröffentlichten die Behörden die erste offizielle Liste mit 19 benannten kritischen Anbietern. Da große Cloud- und KI-Infrastrukturen häufig auf denselben wenigen Anbietern beruhen, wird Konzentrationsrisiko zu einem eigenständigen Steuerungsgegenstand.

Praktisch sollten Banken und Versicherer ihre KI-Abhängigkeiten wie jede andere kritische IKT-Dienstleistung behandeln: erfassen, einstufen, vertraglich absichern und beim Ausstieg testen. Eine zentrale, prüfbare Sicht auf Modelle, Datenflüsse und Anbieterketten – wie sie eine KI-Governance-Plattform bereitstellen kann – verkürzt den Weg von der Bestandsaufnahme zur nachweisbaren Compliance.

• Alle KI-/LLM-Dienste im Informationsregister erfassen (Art. 28) und nach Kritikalität einstufen.
• Verträge gegen Artikel 30 prüfen; Unterauftragsketten transparent machen.
• Ausstiegsstrategien für kritische Funktionen erstellen und auf Machbarkeit prüfen.
• Konzentrationsrisiko bewerten, wenn mehrere Funktionen auf denselben Anbieter entfallen.