IT-Outsourcing in regulierten Branchen: BaFin, DORA und BSI

Was für IT-Outsourcing in regulierten Branchen gilt

IT-Outsourcing in regulierten Branchen ist nicht bloß ein kommerzieller Einkaufsvorgang. Wenn eine Bank ihr Kernbankensystem zu einem Cloud-Anbieter verlagert oder ein Versicherer seine Schadenplattform einer Servicegesellschaft überträgt, verlangt das Aufsichtsrecht, dass das beaufsichtigte Unternehmen die Kontrolle behält, dass die Aufsicht ihren Zugriff behält und dass das Geschäft den Ausfall des Dienstleisters überstehen kann. In Deutschland überlagern sich drei Regelungsebenen: nationale Aufsichtsgesetze wie das Kreditwesengesetz (KWG) und das Versicherungsaufsichtsgesetz (VAG), der Digital Operational Resilience Act der EU (DORA, Verordnung (EU) 2022/2554) und – für Unternehmen außerhalb des Finanzsektors – die Umsetzung der NIS-2-Richtlinie im BSI-Gesetz (BSIG).

Der übergreifende Grundsatz ist auf jeder Ebene derselbe: Das beaufsichtigte Unternehmen kann Aufgaben auslagern, nicht aber die Verantwortung. Die Geschäftsleitung bleibt verantwortlich, die ausgelagerte Tätigkeit muss in das Risikomanagement eingebunden werden, und die Verträge müssen dem Unternehmen und den Behörden die Rechte verschaffen, die sie für Überwachung, Prüfung und notfalls den Ausstieg benötigen.

Dieser Beitrag erläutert jede Ebene, die Vertragsinhalte, welche die Aufsicht erwartet, und die praktischen Schritte für ein IT-Outsourcing-Projekt in einem regulierten deutschen Unternehmen im Jahr 2026.

Bank- und Versicherungsaufsichtsrecht: § 25b KWG und § 32 VAG

Für Kredit- und Finanzdienstleistungsinstitute setzt § 25b KWG die nationalen Grundregeln. Ein Institut, das Aktivitäten und Prozesse auslagert, die für die Durchführung seiner Bankgeschäfte wesentlich sind, muss angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden. Die Auslagerung darf weder die Ordnungsmäßigkeit der Geschäfte noch die Geschäftsorganisation beeinträchtigen, und das Risikomanagement muss die ausgelagerten Aktivitäten einbeziehen. Institute müssen ein Auslagerungsregister führen, das alle wesentlichen und nicht wesentlichen Auslagerungen erfasst (§ 25b Abs. 1 KWG). Die Verantwortung der Geschäftsleitung kann nicht auf den Dienstleister übertragen werden (§ 25b Abs. 2 KWG), und die Auskunfts-, Prüfungs- und Kontrollrechte der BaFin müssen erhalten bleiben, auch gegenüber Dienstleistern mit Sitz außerhalb Deutschlands (§ 25b Abs. 3 KWG).

Versicherer unterliegen einem parallelen Regime. Nach § 32 VAG bleibt ein Versicherer, der Funktionen oder Versicherungstätigkeiten ausgliedert, für die Erfüllung aller aufsichtsrechtlichen Anforderungen verantwortlich. Er muss sicherstellen, dass er selbst, seine Abschlussprüfer und die Aufsichtsbehörde auf alle Daten zugreifen können, dass der Dienstleister mit der Aufsicht zusammenarbeitet und dass die Aufsicht Zugang zu den Geschäftsräumen des Dienstleisters hat. Bei wichtigen Funktionen muss der Versicherer zudem eine wesentliche Beeinträchtigung der Qualität seiner Geschäftsorganisation und eine übermäßige Steigerung des operationellen Risikos vermeiden sowie sich vertraglich Auskunfts- und Weisungsrechte sichern.

Die Mindestanforderungen an das Risikomanagement (MaRisk) der BaFin für Banken ergänzen detaillierte Erwartungen an Risikoanalyse, Wesentlichkeitsbewertung, Vertragsinhalt und Exit-Planung, und die BaFin hat Aufsichtsmitteilungen zur Auslagerung an Cloud-Anbieter veröffentlicht. Diese Verwaltungsdokumente legen die Gesetze aus und werden mit Blick auf DORA überarbeitet. Institute sollten daher die jeweils aktuelle Fassung auf der Website der BaFin prüfen, bevor sie sich auf eine bestimmte Passage stützen.

DORA-Anforderungen an IKT-Verträge

DORA gilt in Deutschland seit dem 17. Januar 2025 unmittelbar. Die Verordnung erfasst Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Anbieter von Krypto-Dienstleistungen, Fondsverwalter und weitere Finanzunternehmen. Kapitel V behandelt das IKT-Drittparteienrisiko. Das Finanzunternehmen bleibt für die Einhaltung der Vorschriften in vollem Umfang verantwortlich (Art. 28 Abs. 1) und muss ein Informationsregister über alle vertraglichen Vereinbarungen über IKT-Dienstleistungen führen (Art. 28 Abs. 3). Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, muss es über Ausstiegsstrategien verfügen (Art. 28 Abs. 8).

Art. 30 DORA schreibt Mindestinhalte für Verträge vor. Der vollständige Vertrag einschließlich der Service Level muss in einem einzigen schriftlichen Dokument festgehalten werden. Die Tabelle fasst die wichtigsten Elemente zusammen.

Durchführungsrechtsakte und delegierte Rechtsakte legen die Vorlagen für das Informationsregister und für die Leitlinie zu IKT-Dienstleistungen fest, die kritische oder wichtige Funktionen unterstützen, einschließlich der Unterauftragsvergabe. Anbieter, die als kritische IKT-Drittdienstleister eingestuft werden, unterliegen zudem der direkten Überwachung durch die Europäischen Aufsichtsbehörden.

BaFin-Vorgaben nach DORA: was sich geändert hat

Vor DORA waren die bankaufsichtlichen Anforderungen an die IT der BaFin – die BAIT für Banken, die VAIT für Versicherer, die KAIT für Kapitalverwaltungsgesellschaften und die ZAIT für Zahlungsinstitute – die maßgeblichen Referenzdokumente für das IT-Outsourcing. Nach der Übersicht der Deutschen Bundesbank zu BAIT und DORA wurden ZAIT, VAIT und KAIT mit Ablauf des 16. Januar 2025 aufgehoben, um eine Doppelregulierung zu vermeiden.

Institute, die den IKT-Risikomanagementrahmen nach DORA anwenden müssen, sind vom Anwendungsbereich der BAIT ausgenommen, und die BAIT werden mit Ablauf des 31. Dezember 2026 vollständig aufgehoben. Die Bundesbank weist außerdem darauf hin, dass DORA nach dem deutschen Durchführungsgesetz (FinmadiG) für bestimmte Finanzdienstleistungsinstitute erst ab dem 1. Januar 2027 gilt.

In der Praxis bedeutet das: Für die meisten Finanzunternehmen ist im Jahr 2026 DORA selbst der Bezugspunkt für Verträge über IT-Outsourcing, gelesen zusammen mit § 25b KWG oder § 32 VAG und dem verbleibenden Auslagerungsmodul der MaRisk. Unternehmen, die noch nicht in den Anwendungsbereich von DORA fallen, sollten prüfen, ob die BAIT für sie bis Ende 2026 noch gelten, und sich auf die Umstellung vorbereiten.

NIS-2, Sicherheit der Lieferkette und BSI C5

Außerhalb des Finanzsektors wird das IT-Outsourcing „besonders wichtiger“ und „wichtiger“ Einrichtungen durch das BSI-Gesetz geprägt, das die NIS-2-Richtlinie umsetzt. § 30 BSIG verpflichtet solche Einrichtungen, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, die den Stand der Technik berücksichtigen, und nennt die Sicherheit der Lieferkette – einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern – als eine der Mindestmaßnahmen. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung diese Maßnahmen umsetzen und ihre Umsetzung überwachen; Geschäftsleiter, die diese Pflicht verletzen, können der Einrichtung gegenüber haften. Verträge mit IT-Dienstleistern brauchen daher Sicherheitsanforderungen, Meldepflichten bei Vorfällen, Prüfungsrechte und Nachweise über die Kontrollen.

Bei Cloud-Diensten stützen sich deutsche Kunden häufig auf den Kriterienkatalog Cloud Computing (C5) des BSI, der Mindestanforderungen an die Sicherheit festlegt. Das BSI gibt an, C5 sei 2025/26 grundlegend überarbeitet worden, und empfiehlt Kunden, den Prüfbericht zunächst einmalig und danach jährlich anzufordern und auszuwerten. Ein aktuelles C5-Testat oder ein vergleichbares Testat zu verlangen und die Kontrollen vertraglich verbindlich zu machen, ist ein pragmatischer Weg, die Sorgfalt in der Lieferkette zu dokumentieren.

Unternehmen aus Gesundheitswesen, Energie und Telekommunikation können zudem Branchenregeln unterliegen, etwa den Sicherheitskatalogen der Bundesnetzagentur, die beeinflussen können, wo Daten verarbeitet werden dürfen und wer auf Systeme zugreifen darf.

Konzerninternes IT-Outsourcing und Shared-Service-Center

Viele Konzerne bündeln ihre IT in einer Shared-Service-Gesellschaft oder nutzen die globalen Plattformen der Muttergesellschaft. Das Aufsichtsrecht nimmt konzerninterne Vereinbarungen nicht aus. Die beaufsichtigte Tochtergesellschaft muss die Vereinbarung dennoch bewerten, in ihren Registern dokumentieren und sich vertragliche Rechte sichern, auch wenn die Aufsicht anerkennt, dass die Risiken geringer sein können, wenn der Konzern wirksame Kontrolle ausübt. Nach DORA sind konzerninterne IKT-Dienstleister selbst IKT-Drittdienstleister, sodass Art. 30 auch für den konzerninternen Vertrag gilt.

In der Praxis scheitern konzerninterne Vereinbarungen häufig an der Dokumentation und nicht an der Substanz. Leistungsbeschreibungen sind vage, Service Level informell, und Prüfungsrechte stehen nur auf dem Papier. Eine deutsche Tochtergesellschaft eines ausländischen Konzerns sollte sicherstellen, dass ihre Geschäftsleitung tatsächlich Informationen erhalten kann, dass Datenstandorte und Unterauftragnehmer bekannt sind und dass die Ausstiegsstrategie auch den Fall abdeckt, dass die Tochtergesellschaft verkauft oder der Konzerndienst eingestellt wird.

Konzerne müssen außerdem Arbeitsrecht und Datenschutz berücksichtigen. Die Übertragung von IT-Personal auf eine Servicegesellschaft kann einen Betriebsübergang nach § 613a BGB darstellen, und Betriebsräte haben Informations- und Mitbestimmungsrechte, wenn neue Systeme eingeführt werden, die zur Überwachung geeignet sind. Personenbezogene Daten, die innerhalb des Konzerns übermittelt werden, benötigen eine Rechtsgrundlage und – wenn der Dienstleister außerhalb der EU sitzt – einen Übermittlungsmechanismus.

Verträge über IT-Outsourcing strukturieren: ein praktischer Ablauf

1. Vereinbarung einordnen. Klären Sie, ob es sich um eine Auslagerung nach § 25b KWG oder § 32 VAG und um eine IKT-Dienstleistung im Sinne von DORA handelt und ob eine kritische oder wichtige Funktion unterstützt wird.
2. Risikoanalyse. Dokumentieren Sie Konzentrationsrisiko, Abhängigkeit vom Dienstleister, Datenstandort und Unterauftragsketten vor der Unterzeichnung.
3. Vertragsinhalt. Gleichen Sie den Entwurf mit Art. 30 DORA und den nationalen Vorschriften ab; ergänzen Sie Prüfungs-, Informations- und Kündigungsrechte.
4. Unterauftragsvergabe. Verlangen Sie die Mitteilung wesentlicher Unterauftragnehmer und Widerspruchsrechte sowie die Weitergabe zentraler Pflichten.
5. Exit-Plan. Erstellen Sie eine getestete Ausstiegsstrategie, Pflichten zur Übergangsunterstützung und Formate für die Datenrückgabe; stimmen Sie diese gegebenenfalls mit den Wechselregeln des Data Act ab.
6. Anzeigen. Prüfen Sie, ob das geplante IT-Outsourcing der Aufsicht anzuzeigen ist, und aktualisieren Sie das Informationsregister.
7. Governance. Benennen Sie interne Verantwortliche, legen Sie Berichtslinien fest und planen Sie regelmäßige Überprüfungen.

Große Cloud-Anbieter bieten in der Regel Zusatzvereinbarungen für Finanzdienstleister an, die viele DORA-Punkte abdecken. Unternehmen sollten diese dennoch Zeile für Zeile prüfen: Standardisierte Zusatzvereinbarungen können Prüfungsrechte auf gemeinsame Prüfungen (Pooled Audits) oder Zertifizierungen beschränken, was nur in den von der Aufsicht zugelassenen Grenzen akzeptabel ist, und decken möglicherweise nicht jedes von DORA verlangte Kündigungsrecht ab.

IT-Outsourcing: Nachverhandlung und Streitigkeiten

Viele bestehende Verträge über IT-Outsourcing wurden vor DORA unterzeichnet und müssen angepasst werden. Dienstleister sind oft bereit, regulatorische Zusatzvereinbarungen zu schließen, wehren sich aber gegen unbegrenzte Prüfungsrechte und kostenlose Unterstützung bei Vorfällen. Eine strukturierte Nachverhandlung, die zwingende Vertragsinhalte von verhandelbaren kommerziellen Punkten unterscheidet, führt in der Regel schneller zu einer Einigung als ein Streit über jede einzelne Klausel.

Streitigkeiten im IT-Outsourcing betreffen typischerweise Leistungsstörungen, Verzögerungen bei der Transition und Exit-Kosten. Detaillierte Service Level, Eintrittsrechte (Step-in) für kritische Dienste und eine klare Eskalation – Lenkungsausschuss, Schiedsgutachten, danach staatliche Gerichte oder Schiedsgericht – verringern das Risiko, dass aus einem regulatorischen Problem eine kommerzielle Blockade wird. Ist der Dienstleister insolvent, wird die DORA-Anforderung, den Zugang zu den Daten und ihre Rückgabe zu sichern, entscheidend; Regelungen zur Datenhinterlegung und Datenportabilität verdienen deshalb ebenso viel Aufmerksamkeit wie die Preisgestaltung.

So unterstützt TRW & Co

Wir beraten Banken, Versicherer, Zahlungsinstitute, Fondsverwalter und NIS-2-regulierte Unternehmen zu IT-Outsourcing und Cloud-Vereinbarungen. Wir ordnen Vereinbarungen nach § 25b KWG, § 32 VAG und DORA ein, entwerfen und verhandeln Verträge und regulatorische Zusatzvereinbarungen mit Dienstleistern, richten Register und Ausstiegsstrategien ein und unterstützen die Kommunikation mit der Aufsicht. Für Dienstleister erstellen wir DORA-konforme Bedingungen für Kunden aus dem Finanzsektor. Unsere Arbeit ist verbunden mit unseren Praxisbereichen Finanzaufsichtsrecht und Cybersicherheit und NIS-2 sowie mit unserem Leitfaden zu SaaS- und Cloud-Verträgen. Bitte nehmen Sie Kontakt mit uns auf, wenn Sie ein Projekt besprechen möchten. Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar.