Der DORA-Fragebogen — und warum Sie ihn immer wieder neu bekommen
DORA ist kein Fragebogen, sondern eine Verordnung, die Fragebögen erzeugt. Wer als IKT-Dienstleister ein Finanzunternehmen beliefert, bekommt sie — von jedem Kunden einzeln, in jeweils eigener Form.
Kurz gefasst
Anders als CAIQ oder VDA ISA gibt es kein einheitliches DORA-Formular. Jedes Finanzunternehmen leitet aus der Verordnung seinen eigenen Bogen ab, und der Dienstleister beantwortet sie alle. Die Branche hat das selbst als Problem erkannt: Die Wirtschaftskammern Österreichs haben mit einer KSÖ-Arbeitsgruppe einen modularen IKT-Standardfragebogen veröffentlicht, ausdrücklich damit Dienstleister nicht laufend verschiedenste Bögen ausfüllen müssen. Durchgesetzt hat er sich noch nicht überall.
DORA auf einen Blick
| Rechtsgrundlage | Verordnung (EU) 2022/2554, in der Europäischen Union gültig seit dem 17. Januar 2025. |
| Wen es reguliert | Finanzunternehmen. IKT-Dienstleister sind nicht selbst Adressat, werden aber vertraglich in die Pflicht genommen. |
| Vertragliche Mindestinhalte | Artikel 30 DORA legt fest, was in einer Vereinbarung über IKT-Dienstleistungen stehen muss; die Aufsichtsbehörden ergänzen ihn durch technische Regulierungsstandards. |
| Unterauftragsvergabe | Die Delegierte Verordnung (EU) 2024/1773 vom 25. Juni 2024 regelt die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen. |
| Informationsregister | Finanzunternehmen führen ein Register ihrer IKT-Drittdienstleistungen — die Angaben dafür holen sie sich beim Dienstleister. |
| Format | Kein einheitliches. Meist Excel oder ein Portal des Kunden; zunehmend auch der modulare IKT-Standardfragebogen. |
Wie die Datei aufgebaut ist
Weil jedes Institut seinen eigenen Bogen baut, ist die Form unbeständig — die Themen sind es nicht.
Was Compliance Concierge mit einem DORA macht
Nichts davon zertifiziert irgendetwas. Das Tool entwirft Antworten aus den hochgeladenen Dokumenten, zeigt zu jeder Antwort den Beleg und exportiert nichts, was nicht von einem Menschen freigegeben wurde. Wo die Dokumente einen Kontrollpunkt nicht abdecken, steht das da — statt einer gefüllten Zelle.
Diese Seite ordnet ein und ersetzt keine Rechtsberatung. Ob und wie eine Vorschrift für Ihr Unternehmen gilt, hängt vom Einzelfall ab.
Die Themenblöcke — und die vier, die Dienstleister aufhalten
Die Verordnung ordnet ihre Anforderungen in mehrere Bereiche: IKT-Risikomanagement, Behandlung und Meldung von Vorfällen, Testen der digitalen operationalen Resilienz, Management des IKT-Drittparteienrisikos und Informationsaustausch. Vier Punkte daraus kosten in der Praxis die meiste Zeit.
Vertragliche Mindestinhalte
- Was gefragt ist
- Ob Ihr Vertrag die vorgeschriebenen Bestandteile enthält — Leistungsbeschreibung, Verarbeitungsorte, Zugangs- und Prüfrechte, Kündigungsgründe.
- Was es belegt
- Der Vertrag selbst, meist als Anlage oder Nachtrag. Wo etwas fehlt, ist die ehrliche Antwort ein Nachtragsentwurf, keine Zusicherung.
- Häufiger Fehler
- Zusicherungen ankreuzen, die der laufende Vertrag nicht hergibt. Das ist keine Fragebogenantwort mehr, sondern eine rechtsverbindliche Erklärung — sie gehört vor die Geschäftsführung, nicht in eine Tabelle.
Weitergabe an Unterauftragnehmer
- Was gefragt ist
- Wen Sie einsetzen, wo diese sitzen, und ob sie kritische oder wichtige Funktionen unterstützen.
- Was es belegt
- Aktuelle Liste der Unterauftragnehmer mit Leistung und Standort, dazu die vertragliche Grundlage der Weitergabe.
- Häufiger Fehler
- Eine veraltete Liste einreichen. Der Kunde führt sie in seinem Informationsregister weiter — eine Abweichung fällt beim nächsten Abgleich auf und wirft ein Licht auf alle anderen Angaben.
Meldung IKT-bezogener Vorfälle
- Was gefragt ist
- Wie schnell Sie melden, an wen, mit welchem Inhalt — und ob Sie den Kunden bei seinen eigenen aufsichtlichen Meldefristen unterstützen können.
- Was es belegt
- Vorfallprozess mit Fristen und benannten Kontakten, Nachweis einer Übung oder eines realen Vorfalls.
- Häufiger Fehler
- Eine allgemeine Reaktionszeit nennen, ohne sie an die Meldefristen des Kunden zu binden. Der Kunde steht selbst unter Frist; er braucht Ihre Zulieferung früher als seine eigene Meldung fällig ist.
Ausstiegsstrategie
- Was gefragt ist
- Was passiert, wenn die Zusammenarbeit endet: Datenrückgabe, Format, Fristen, Unterstützung beim Übergang.
- Was es belegt
- Dokumentierter Ausstiegsplan mit Fristen und Formaten, idealerweise als Vertragsbestandteil.
- Häufiger Fehler
- Den Punkt als theoretisch behandeln. Bei kritischen oder wichtigen Funktionen ist der Ausstieg einer der am genauesten geprüften Bereiche — eine vage Antwort dort verzögert die gesamte Prüfung.
Die Verordnung gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten; eine nationale Umsetzung wie bei NIS2 gibt es nicht. Ergänzt wird sie fortlaufend durch technische Regulierungsstandards der europäischen Aufsichtsbehörden — die Delegierte Verordnung (EU) 2024/1773 zur Unterauftragsvergabe ist die für Dienstleister bislang folgenreichste. Wer Fragebögen beantwortet, sollte damit rechnen, dass die Fragen zur Weitergabe an Unterauftragnehmer künftig eher zunehmen.
Häufige Fragen
Falle ich als IKT-Dienstleister selbst unter DORA?+
Adressat der Verordnung sind Finanzunternehmen. Als Dienstleister erreichen Sie die Anforderungen über den Vertrag — Ihr Kunde muss bestimmte Inhalte vereinbaren und bestimmte Angaben erheben, und beides gibt er weiter. Eine Ausnahme bilden Anbieter, die von den europäischen Aufsichtsbehörden als kritisch eingestuft werden; die unterliegen einer eigenen Überwachung.
Warum bekomme ich von jedem Kunden einen anderen Bogen?+
Weil die Verordnung Pflichten beschreibt, aber kein Formular vorgibt. Jedes Institut leitet daraus seinen eigenen Fragenkatalog ab. Genau deshalb haben die Wirtschaftskammern Österreichs mit einer KSÖ-Arbeitsgruppe einen modularen IKT-Standardfragebogen veröffentlicht — mit dem erklärten Ziel, die Mehrfachbelastung der Dienstleister zu senken.
Was bedeutet die Einstufung als kritische oder wichtige Funktion für mich?+
Es ist die Einstufung Ihrer Leistung durch den Kunden und der wichtigste Hebel im ganzen Bogen: Sie entscheidet über Prüftiefe, vertragliche Anforderungen und die Genauigkeit, mit der Unterauftragsvergabe und Ausstieg abgefragt werden. Fragen Sie nach, wie der Kunde Sie eingestuft hat, bevor Sie mit dem Ausfüllen beginnen.
Hilft mir ISO 27001 bei DORA?+
Für den sicherheitstechnischen Teil erheblich — viele Nachweise lassen sich unverändert verwenden. Für den vertraglichen Teil nach Artikel 30, für die Unterauftragsvergabe und für die Ausstiegsstrategie nicht: Das sind Themen des Vertrags und der Organisation, die kein Sicherheitszertifikat abdeckt.
Weitere Assessments: CAIQ v4, SIG & SIG Lite, HECVAT, VSA, TISAX / VDA ISA, ISO 27001. Zum Vorgehen selbst: Leitfaden zum Beantworten von Sicherheitsfragebögen. Werkzeuge, die solche Arbeitsmappen automatisieren, ehrlich verglichen: Vanta, SafeBase und Conveyor.
DORA mit Belegen beantworten
Richtlinien und Arbeitsmappe hochladen. Jeder Entwurf ist aus den eigenen Dokumenten belegt, und nichts verlässt das System ohne Freigabe. Der erste Fragebogen ist kostenlos.