DORA gilt nicht für dein Unternehmen. Die Verordnung richtet sich an Banken, Versicherungen und andere Finanzunternehmen in der EU, und wenn dein Betrieb in Aarau Software wartet, Hosting betreibt oder Support leistet, steht dein Name nirgends im Gesetzestext. Trotzdem landen DORA Anforderungen gerade auf den Schreibtischen Schweizer Zulieferer. Nicht als Brief einer Behörde, sondern als Vertragsanhang eines Kunden.
Das Muster sieht in unserer Erfahrung so aus: Ein langjähriger Kunde aus dem Finanzbereich schickt einen Anhang von zwanzig oder dreissig Seiten. Auditrechte, Meldefristen, Exit-Klauseln, Subunternehmerlisten. Dazu die freundliche Bitte, das bis Ende Quartal zu unterschreiben, weil «wir das regulatorisch brauchen». Und jetzt sitzt du da und fragst dich, was davon dich betrifft.
Warum dich eine Verordnung erreicht, die nicht für dich gilt
DORA, ausgeschrieben Digital Operational Resilience Act, ist seit dem 17. Januar 2025 anwendbar (Verordnung (EU) 2022/2554). Sie verpflichtet Finanzunternehmen in der EU, ihre digitale Widerstandsfähigkeit zu managen, und dazu gehört ausdrücklich das Risiko aus eingekauften ICT-Leistungen.
Zwei Mechanismen sorgen dafür, dass diese Pflicht bei dir ankommt.
Erstens das Informationsregister: Jedes Finanzunternehmen muss ein Verzeichnis sämtlicher Verträge mit ICT-Dienstleistern führen und es der Aufsicht auf Verlangen vorlegen. Übersetzt heisst das: Dein Kunde muss wissen, wer du bist und was du für ihn tust, und er muss dich der Aufsicht melden können. Du stehst ab jetzt auf einer Liste, die eine europäische Aufsichtsbehörde lesen kann.
Zweitens die vertraglichen Mindestinhalte: Die Verordnung schreibt vor, welche Punkte im Vertrag mit einem ICT-Dienstleister geregelt sein müssen. Fehlen sie, hat dein Kunde ein Compliance-Problem. Er kann sich das nicht aussuchen, und er kann es auch nicht auf EU-Lieferanten beschränken. Also schickt er den Anhang an alle, auch nach Aarau.
Daraus folgt nicht, dass jetzt eine EU-Behörde bei dir vor der Tür steht. Die direkte Aufsicht über ICT-Dienstleister trifft nur als «kritisch» eingestufte Anbieter, in der Praxis die grossen Cloud- und Infrastrukturkonzerne. Für ein Schweizer KMU läuft alles über den Vertrag mit dem Kunden. Das ist die gute Nachricht, denn Verträge kann man lesen und verhandeln.
Die Mechanik selbst dürfte dir übrigens bekannt vorkommen. Beim Schweizer Informationssicherheitsgesetz läuft es ähnlich: Direkt verpflichtet ist ein enger Kreis, und der Rest bekommt die Anforderungen über Kunden und Verträge weitergereicht. Wir haben das beim ISG und seiner ISMS-Pflicht beschrieben. DORA ist dieselbe Logik, nur mit Brüssel als Absender.
Was der Anhang verlangt: die DORA-Anforderungen im Klartext
Die Vertragsanhänge sehen bei allen Finanzkunden ähnlich aus, weil sie alle dieselben Vorgaben abbilden. Die wichtigsten Punkte, übersetzt in das, was sie für deinen Betrieb bedeuten:
Vollständige Leistungsbeschreibung mit Standorten. Dein Kunde muss wissen, welche Leistung du wo erbringst, wo Daten liegen und verarbeitet werden. Klingt banal. In unserer Erfahrung scheitern hier die meisten, weil niemand im Haus die eigene Leistung für diesen einen Kunden vollständig aufschreiben kann, inklusive der Frage, welcher Teil davon bei einem Unterlieferanten liegt.
Subunternehmer offenlegen. Wenn du Teile der Leistung weitergibst, an ein Rechenzentrum, einen Hoster, einen Entwicklungspartner, will der Kunde das wissen und teilweise mitreden. Deine Lieferkette wird Teil seiner Risikobetrachtung. Aus der anderen Richtung kennst du das Thema vielleicht schon: Supply Chain Security ist genau diese Frage, nur warst du bisher der Fragende.
Unterstützung bei Vorfällen und Meldefristen. Dein Kunde hat gegenüber seiner Aufsicht enge Meldefristen für ICT-Vorfälle. Diese Fristen kann er nur halten, wenn du ihm schnell meldest, was bei dir passiert ist. Im Anhang steht deshalb typischerweise eine Frist in Stunden, nicht in Tagen.
Audit- und Zugangsrechte. Der Kunde, sein Prüfer und im Zweifel seine Aufsichtsbehörde dürfen deine Leistungserbringung prüfen. Das ist für viele der unangenehmste Punkt. Er ist auch der am wenigsten verhandelbare, weil er wörtlich aus der Verordnung kommt.
Kündigungs- und Exit-Regelungen. Der Kunde muss aus dem Vertrag herauskommen können, ohne dass sein Betrieb stillsteht: Übergangsfristen, Mitwirkung bei der Migration, Rückgabe der Daten in brauchbarer Form.
Unterstützt deine Leistung eine kritische oder wichtige Funktion des Kunden, kommt eine Stufe obendrauf: messbare Leistungsziele, Mitwirkung an Sicherheitstests bis hin zu bedrohungsorientierten Penetrationstests, ausgearbeitete Exit-Strategien. Das ist deutlich mehr Aufwand, und genau deshalb lohnt sich die Frage, ob deine Leistung in diese Kategorie gehört.
Was fix ist und was verhandelbar
Dieser Teil bestimmt deinen Aufwand und deine Marge. Die Anhänge, die wir sehen, sind fast immer Maximalvorlagen. Die Rechtsabteilung des Kunden hat eine Vorlage für den schwersten Fall gebaut und schickt sie an alle Lieferanten, vom Rechenzentrumsbetreiber bis zur Firma, die die Kaffeemaschinen-Software wartet. Für den Kunden ist das effizient. Für dich bedeutet es, dass ein Teil des Anhangs für deine Leistung nicht einschlägig ist.
Die Verordnung selbst unterscheidet nämlich: Der volle Katalog gilt für Leistungen, die kritische oder wichtige Funktionen unterstützen. Für alles andere gilt ein deutlich schlankerer. Ob deine Wartungsleistung für ein internes Reporting-Tool eine kritische Funktion der Bank unterstützt, ist eine Einstufungsfrage, und diese Einstufung trifft der Kunde. Nachfragen ist erlaubt. In unserer Erfahrung ist das Gespräch darüber der wirksamste Hebel im ganzen Prozess: Eine Stunde mit dem Provider-Management des Kunden, in der ihr die Einstufung klärt, spart dir unter Umständen Testpflichten und Exit-Dokumentation, die nie für dich gedacht waren.
Verhandelbar sind erfahrungsgemäss auch Modalitäten: Fristen im Detail, die Form von Audits (Berichte und Zertifikate statt Vor-Ort-Besuch, wo die Einstufung das erlaubt), der Umgang mit bestehenden Unterlieferanten.
Die Art deiner Antwort macht dabei einen Unterschied. Der schwächste Zug ist, den Anhang wortlos zu unterschreiben und zu hoffen, dass nie jemand nachprüft. Der zweitschwächste ist, ihn monatelang liegen zu lassen. Was in unserer Erfahrung gut ankommt: eine kurze, sachliche Rückmeldung an den Kunden mit drei Elementen. Erstens die Rückfrage zur Einstufung deiner Leistung, mit deiner eigenen Einschätzung als Vorschlag. Zweitens die Punkte, die du heute schon erfüllst, mit Beleg. Drittens die Punkte, die du noch nicht erfüllst, mit einem Termin, bis wann. Provider-Manager im Finanzbereich arbeiten selbst unter Druck und Fristen. Ein Lieferant, der so antwortet, macht ihnen das Leben leichter, und das zahlt direkt auf die Geschäftsbeziehung ein.
Nicht verhandelbar ist der Kern. Dass du deine Leistung beschreiben kannst. Dass du Vorfälle erkennst und innerhalb einer zugesagten Frist meldest. Dass du deine Subunternehmer kennst. Dass du bei einem Ausstieg mitwirkst. Wer versucht, diese Punkte wegzuverhandeln, signalisiert dem Kunden vor allem eines: dass er sie nicht erfüllen kann.
Das ist der Befund, den wir aus solchen Mandaten mitnehmen. Das Problem ist selten der Anhang. Das Problem ist, dass der Zulieferer die Antworten nicht hat. Niemand kann die Subunternehmerliste erstellen, weil sie nirgends geführt wird. Niemand kann eine Meldung innert Stunden zusagen, weil kein Prozess und keine zuständige Person existiert. Der Vertrag verlangt nichts Exotisches. Er verlangt, dass du deinen eigenen Laden kennst, und macht sichtbar, wo das bisher nicht der Fall war.
Eine Antwort, die für alle Finanzkunden trägt
Wenn du einen Finanzkunden hast, hast du vermutlich mehrere, oder du willst welche gewinnen. Und weil alle EU-Finanzkunden dieselben Vorgaben abbilden müssen, bekommst du denselben Anhang in Varianten immer wieder. Du kannst ihn jedes Mal einzeln beantworten, mit jeweils einer Woche Aufwand quer durch Geschäftsleitung, IT und Anwalt. Oder du baust die Antworten einmal strukturiert auf: ein gepflegtes Verzeichnis deiner Leistungen und Unterlieferanten, ein Vorfallprozess mit Zuständigkeiten und realistischen Fristen, eine dokumentierte Sicherheitsbaseline, ein definierter Umgang mit Audits.
Das ist, nüchtern betrachtet, ein kleines ISMS, zugeschnitten auf das, was deine Kunden fragen. Es muss nicht zertifiziert sein. Wenn ISO 27001 ohnehin ein Thema ist, weil grössere Kunden danach fragen, deckt ein sauber geschnittenes ISMS die DORA-Anhänge weitgehend mit ab. Was das kostet und wo die Kostentreiber liegen, haben wir separat aufgeschrieben. Wichtig ist die Reihenfolge: erst die Fragen der Kunden verstehen, dann den Rahmen bauen. Nicht umgekehrt, sonst entsteht ein Programm, das mehr abdeckt, als je jemand verlangt hat.
Es gibt noch einen zweiten Grund, das nicht auf die lange Bank zu schieben. Einkäufer im Finanzbereich prüfen Lieferanten heute, bevor das erste Gespräch stattfindet. Wer den Anhang nicht zeichnen kann oder drei Monate für die Antwort braucht, fliegt aus Ausschreibungen, von denen er nie erfahren hat. Umgekehrt gilt dasselbe: Ein Zulieferer, der die Fragen in einer Woche belastbar beantwortet, hebt sich von einem Feld ab, das genau daran scheitert. DORA ist für Schweizer Zulieferer damit weniger ein Compliance-Thema als ein Vertriebsthema.
Falls so ein Anhang gerade bei dir liegt und du nicht sicher bist, welche Hälfte davon dich betrifft: Genau solche Einordnungen machen wir, inklusive der unbequemen Rückfrage an den Kunden, ob die Einstufung stimmt. Ein Erstgespräch ist unverbindlich.
Uns interessiert dabei jeweils eine Frage zuerst, und die kannst du dir heute selbst stellen: Was hast du in den Lieferantenverträgen der letzten Jahre eigentlich schon alles zugesagt, ohne dass es je jemand geprüft hat?
