EN
FR
IT
العربية
Inhalt 5
Seit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554, bekannt als DORA, unmittelbar für nahezu alle beaufsichtigten Finanzunternehmen in der EU. Am 18. November 2025 haben EBA, ESMA und EIOPA erstmals 19 kritische IKT-Drittdienstleister benannt, darunter grosse Cloud- und Technologieanbieter. Damit wird der bislang abstrakte Überwachungsrahmen konkret: Finanzunternehmen müssen nicht nur wissen, welche ihrer Dienstleister als kritisch eingestuft sind, sondern auch ihre eigenen Verträge, Risiken und Abhängigkeiten systematisch im Blick behalten. Ein strukturiertes Third-Party Risk Management (TPRM) wird damit zu einem wichtigen Bestandteil der DORA-Umsetzung.
Seit die ESAs am 18. November 2025 erstmals 19 kritische IKT-Drittdienstleister benannt haben, unterstehen diese einem Lead Overseer mit weitreichenden Prüfungs- und Informationsrechten. Die eigene Verantwortung der Finanzunternehmen bleibt jedoch bestehen: Sie müssen nach Artikel 28 und 30 DORA weiterhin Sorgfaltsprüfungen, Konzentrationsrisikobewertungen, Audit- und Zugriffsrechte sowie verbindliche Ausstiegsstrategien in ihren Verträgen und Prozessen verankern. Damit gewinnt ein systematisches Third-Party Risk Management weiter an Bedeutung.
Was ändert die Liste vom 18. November 2025 konkret?
Die Liste bestimmt erstmals namentlich, welche IKT-Drittdienstleister als kritisch eingestuft werden und künftig direkt durch eine europäische Aufsichtsbehörde überwacht werden. Die ersten 19 designierten kritischen IKT-Drittdienstleister decken verschiedene Technologiebereiche ab, darunter Cloud Computing, Rechenzentren, Telekommunikation, Managed Services und weitere ICT-Dienstleistungen.
Mit der ersten Liste kritischer IKT-Drittdienstleister vom 18. November 2025 stuften EBA, ESMA und EIOPA 19 Anbieter als kritisch ein. Dazu zählen unter anderem Amazon Web Services EMEA Sarl, Google Cloud EMEA Limited, IBM, Accenture, Capgemini, Deutsche Telekom und Bloomberg. Die Einstufung erfolgte auf Grundlage der in DORA festgelegten Kriterien.
Für die betroffenen Anbieter bedeutet die Designation eine direkte europäische Aufsicht. Für Finanzunternehmen ändert sich dadurch jedoch nicht die eigene Verantwortung für das Management ihrer ICT-Drittanbieter. Sie müssen weiterhin beurteilen, welche Dienstleister kritische oder wichtige Funktionen unterstützen, welche Abhängigkeiten und Konzentrationsrisiken bestehen und ob ihre Verträge die regulatorischen Anforderungen erfüllen.
Genau hier setzt ein strukturiertes Third-Party Risk Management (TPRM) an: Kritische Dienstleister, Abhängigkeiten, Risiken, Vertragsanforderungen und deren laufende Überwachung sollten zentral erfasst und nachvollziehbar gesteuert werden.
Wie läuft die Aufsicht durch den Lead Overseer ab?
Für jeden designierten Anbieter übernimmt je nach Sektor die EBA, die EIOPA oder die ESMA die Rolle des Lead Overseer und koordiniert die Aufsicht.
Unterstützt wird der Lead Overseer durch Joint Examination Teams, die aus Mitarbeitenden der europäischen Aufsichtsbehörden und relevanten zuständigen Behörden bestehen. Diese Teams führen risikobasierte Prüfungen durch und beurteilen nach Artikel 33 DORA unter anderem, ob ein Anbieter über wirksame Strukturen für ICT-Risikomanagement, Vorfallsbehandlung, Sicherheit und Unterauftragsvergabe verfügt.
Den Ablauf von der Designation über die Risikobewertung und Prüfung bis zur Nachverfolgung von Empfehlungen beschreibt der Leitfaden zu den Aufsichtsaktivitäten, den die europäischen Aufsichtsbehörden am 15. Juli 2025 veröffentlichten. Die Aufsicht umfasst unter anderem Informationsanforderungen, Untersuchungen und Inspektionen vor Ort.
Für Finanzunternehmen bedeutet diese Entwicklung vor allem eines: Die direkte Aufsicht über einen kritischen Dienstleister ersetzt nicht das eigene Third-Party Risk Management. Vielmehr müssen Unternehmen weiterhin nachvollziehen können, welche Anbieter ihre kritischen Funktionen unterstützen, welche Risiken daraus entstehen und wie diese Risiken überwacht und gesteuert werden. Eine zentrale Erfassung von Dienstleistern, Kritikalität, Abhängigkeiten und Massnahmen schafft dafür die notwendige Transparenz.
Welche vertraglichen Pflichten bleiben bei den Finanzunternehmen?
Finanzunternehmen müssen vor Vertragsabschluss weiterhin selbst prüfen, ob eine Funktion kritisch oder wichtig ist, welches Konzentrationsrisiko entsteht und ob der Anbieter die erforderliche Sorgfaltsprüfung besteht.
Nach Artikel 28 DORA ist vor Abschluss einer vertraglichen Vereinbarung zu beurteilen, ob diese eine kritische oder wichtige Funktion betrifft, das ICT-Konzentrationsrisiko nach Artikel 29 zu bewerten und eine Sorgfaltsprüfung des Anbieters durchzuführen. Für Verträge zu kritischen oder wichtigen Funktionen verlangt Artikel 30 DORA unter anderem angemessene Zugangs-, Inspektions- und Auditrechte des Finanzunternehmens, beauftragter Dritter und zuständiger Behörden.
Artikel 30 DORA verlangt zudem eine Ausstiegsstrategie, die einen geordneten Übergang ermöglicht. Diese vertraglichen Mindestinhalte bestehen unabhängig davon, ob ein Anbieter auf der Liste der kritischen IKT-Drittdienstleister steht. Durch die zunehmende Bedeutung kritischer ICT-Abhängigkeiten gewinnen sie jedoch weiter an praktischer Relevanz.
Für Unternehmen bedeutet das: Vertragsmanagement und Third-Party Risk Management sollten nicht isoliert betrachtet werden. Kritikalität, Risiken, Vertragsanforderungen und Ausstiegsstrategien gehören in einen durchgängigen Prozess, der über den gesamten Lebenszyklus eines Dienstleisters hinweg nachvollziehbar bleibt.
Was geschieht, wenn ein Anbieter Empfehlungen nicht umsetzt?
Setzt ein kritischer Anbieter die Empfehlungen des Lead Overseer nicht um, kann die zuständige nationale Aufsichtsbehörde unter den Voraussetzungen von Artikel 42 DORA das betroffene Finanzunternehmen verpflichten, die Zusammenarbeit mit dem Anbieter auszusetzen oder zu beenden.
Damit wird deutlich: Auch wenn die direkte Prüfung beim kritischen ICT-Drittdienstleister ansetzt, bleibt das Finanzunternehmen für die Steuerung seiner eigenen ICT-Risiken verantwortlich. Die Kosten der europäischen Überwachung werden dagegen von den kritischen IKT-Drittdienstleistern getragen.
Für Finanzunternehmen ist deshalb eine laufende Übersicht über kritische Dienstleister, deren Risikoprofile, Vertragsstatus, Abhängigkeiten und aufsichtsrelevante Feststellungen entscheidend. Nur so lassen sich Veränderungen frühzeitig erkennen und notwendige Massnahmen nachvollziehbar steuern.
Was folgt daraus für Schweizer Institute?
Für Schweizer Finanzunternehmen gilt DORA nicht generell unmittelbar als Schweizer Regulierung. Relevant wird der europäische Rahmen insbesondere dann, wenn Geschäftsaktivitäten, EU-Niederlassungen oder vertragliche Beziehungen zu EU-regulierten Finanzunternehmen und deren Dienstleistern betroffen sind. Für die nationale Regulierung Schweizer Institute bleibt das FINMA-Rundschreiben 2023/01 «Operationelle Risiken» beziehungsweise der geltende regulatorische Rahmen der FINMA massgeblich.
In der Praxis kann DORA dennoch über grenzüberschreitende Geschäftsbeziehungen und vertragliche Anforderungen Wirkung entfalten. Schweizer Institute sollten deshalb nicht nur prüfen, ob DORA unmittelbar auf sie anwendbar ist, sondern auch analysieren, welche Anforderungen durch Kunden, Geschäftspartner oder Dienstleister faktisch an sie weitergegeben werden.
Ein konkreter erster Schritt besteht darin, die eigene Dienstleisterliste mit der Liste der 19 designierten kritischen IKT-Drittdienstleister abzugleichen. Anschliessend sollte geprüft werden, welche kritischen oder wichtigen Funktionen von diesen Anbietern unterstützt werden, welche Abhängigkeiten und Konzentrationsrisiken bestehen und ob bestehende Verträge die relevanten Anforderungen aus Artikel 28 und 30 DORA abdecken. Diese Informationen sollten zentral dokumentiert und regelmässig aktualisiert werden, damit Veränderungen bei Dienstleistern und Risiken frühzeitig erkannt werden.
Third-Party Risk und Operational Resilience zentral steuern
Die SwissGRC Plattform unterstützt Unternehmen dabei, kritische Funktionen, Dienstleisterabhängigkeiten und Risiken strukturiert abzubilden. Mit Third-Party Risk Management und Operational Resilience lassen sich Risiken, Vertragsanforderungen und Massnahmen über den gesamten Lebenszyklus eines Dienstleisters hinweg zentral überwachen und nachvollziehbar steuern.
Operational ResilienceHäufige Fragen
Welche Anbieter stehen seit November 2025 auf der DORA-Liste kritischer IKT-Drittdienstleister?
EBA, ESMA und EIOPA haben am 18. November 2025 erstmals 19 Anbieter als kritisch eingestuft. Dazu gehören unter anderem grosse Cloud- und Technologieanbieter. Die Liste wird von den europäischen Aufsichtsbehörden veröffentlicht und aktualisiert.
Was ist ein Lead Overseer nach DORA?
Der Lead Overseer ist je nach Finanzsektor die EBA, die ESMA oder die EIOPA und übernimmt die direkte Aufsicht über einen designierten kritischen IKT-Drittdienstleister. Unterstützt durch Joint Examination Teams führt er unter anderem Risikobewertungen und Aufsichtsprüfungen durch und verfolgt Empfehlungen gegenüber den Anbietern nach.
Müssen Finanzunternehmen trotz der EU-Aufsicht über Cloud-Anbieter noch eigene Vertragsprüfungen durchführen?
Ja. Die Designation verändert die Aufsicht über den Anbieter, nicht aber die eigene Verantwortung des Finanzunternehmens. Nach Artikel 28 und 30 DORA bleiben unter anderem Sorgfaltsprüfung, Konzentrationsrisikobewertung sowie angemessene Audit-, Zugriffs- und Ausstiegsrechte relevant.
Was passiert, wenn ein kritischer IKT-Anbieter Empfehlungen des Lead Overseer nicht umsetzt?
Unter den Voraussetzungen von Artikel 42 DORA kann die zuständige nationale Aufsichtsbehörde das betroffene Finanzunternehmen verpflichten, die Zusammenarbeit mit einem Anbieter auszusetzen oder zu beenden. Die eigene Verantwortung des Finanzunternehmens für die Steuerung seiner ICT-Risiken bleibt damit bestehen.
Gilt DORA auch für Schweizer Banken?
DORA gilt nicht generell unmittelbar für Schweizer Institute. Relevant kann der europäische Rechtsrahmen jedoch insbesondere über EU-Niederlassungen, grenzüberschreitende Geschäftsbeziehungen und vertragliche Anforderungen werden. Schweizer Institute sollten deshalb prüfen, welche direkten und indirekten Berührungspunkte zu DORA bestehen.
