DORA für Logistiker: Warum die Finanzverordnung in Ihren Verträgen ankommt und was Sie vorbereiten

DORA, die EU-Verordnung zur digitalen Betriebsstabilität im Finanzsektor, gilt seit Anfang 2025 für Banken, Versicherer und Zahlungsdienstleister, und sie erreicht Logistiker auf dem Umweg über deren Verträge. Nicht der Lkw ist reguliert, sondern das Portal, die Schnittstelle oder die Datenplattform, über die eine Bank Ihre Leistung nutzt.

Was DORA ist und warum Ihr Finanzkunde plötzlich Fragen stellt

DORA verpflichtet Finanzunternehmen, die Risiken aus ihren IT-Dienstleistern zu steuern: Sie müssen wissen, welche Systeme von wem betrieben werden, vertraglich festlegen, was bei Störungen passiert, und nachweisen, dass sie einen Dienstleister auch wieder verlassen könnten. Diese Pflicht geben sie an ihre Lieferanten weiter. Wer für eine Bank Dokumentenlogistik mit Online-Nachverfolgung betreibt, Werttransporte über eine Dispositionsplattform steuert oder Sendungsdaten per Schnittstelle in Bankprozesse liefert, bekommt deshalb neue Fragebögen und neue Vertragsklauseln.

Ob Ihr Unternehmen im rechtlichen Sinn als kritischer IT-Dienstleister gilt, entscheidet die Aufsicht, und das trifft nur wenige. Die Vertragsklauseln der Finanzkunden treffen dagegen alle, die IT-gestützt liefern.

Managed Hosting mit SLA: Deutschland-Standort, Reaktionszeit, Meldeweg

Die Fragen, die aus DORA in Ihre Verträge wandern, sind konkret. Wo laufen die Systeme, mit denen die Bank arbeitet, und in welchem Land liegen die Daten? Welche Reaktionszeit ist bei einer Störung zugesichert, und wer garantiert sie? Wie schnell erfahren Finanzkunden von einem Sicherheitsvorfall, und über welchen Weg? Gibt es einen geprobten Plan, wie die Auftragsabwicklung nach einem Ransomware-Angriff wieder anläuft, und wer hat ihn wann getestet?

Für viele Logistiker ist die ehrliche Antwort: Das weiß der externe Dienstleister, der die Plattform vor Jahren gebaut hat, und mit ihm gibt es keinen Wartungsvertrag, nur eine Handynummer. Dazu kommt die Frage nach dem Ausstieg: Kann die Bank Ihre Leistung und ihre Daten in geordneter Form zu einem anderen Dienstleister mitnehmen, wenn sie muss? Wer darauf keine Antwort hat, hat aus Sicht des Finanzkunden ein Klumpenrisiko, und genau das soll DORA verhindern.

Genau diese Lücke macht DORA sichtbar. Unklare Verantwortung für den Betrieb war bisher ein internes Ärgernis; jetzt steht sie in einem Fragebogen, den ein Großkunde auswertet.

Warum die IT-Architektur entscheidet, ob Sie antworten können

Die Nachweise, die Finanzkunden verlangen, setzen voraus, dass Ihre Systeme trennbar und beschreibbar sind. Eine historisch gewachsene Dispositionssoftware, bei der Kundenportal, Datenbank und Auftragslogik auf demselben Server liegen, lässt sich weder segmentieren noch getrennt wiederherstellen. Wer dort einen Vorfall hat, hat ihn überall.

Umgekehrt beantwortet eine saubere Architektur die meisten Fragen von selbst: getrennte Umgebungen für Betrieb und Test, dokumentierte Schnittstellen, Datenhaltung in europäischen Rechenzentren, Backups, deren Wiederherstellung regelmäßig geprobt wird, und ein Betreiber, der Reaktionszeiten schriftlich zusagt. Das ist keine DORA-Sonderausstattung, sondern das, was ein verlässlicher Betrieb ohnehin braucht. DORA liefert nur den Anlass, es nachzuholen.

Was bei Nichteinhaltung passiert

Die Bußgelder der Verordnung richten sich in erster Linie an die Finanzunternehmen und an die wenigen Dienstleister, die die Aufsicht als kritisch einstuft. Für einen Logistiker ist das realistischere Risiko der Vertrag: Ein Finanzkunde, der Ihre Antworten im Fragebogen nicht akzeptieren kann, muss das Risiko intern begründen oder den Dienstleister wechseln. Im Zweifel wechselt er, und zwar zu dem Wettbewerber, der den Fragebogen ausgefüllt zurückgeschickt hat. Die Vorbereitung ist deshalb weniger eine Compliance-Übung als eine Frage, ob Sie den Kunden behalten.

Häufige Fragen

Betrifft DORA auch kleinere Logistikunternehmen?

Direkt nur, wenn die Aufsicht sie als kritischen IT-Dienstleister einstuft, was selten ist. Indirekt über die Verträge mit Finanzkunden: ja, unabhängig von der Größe.

Was ist der erste Schritt?

Eine Liste aller Systeme, über die Finanzkunden Ihre Leistung nutzen, mit Betreiber, Speicherort, zugesagter Reaktionszeit und Datum des letzten Wiederherstellungstests. Wo eine Spalte leer bleibt, liegt die Arbeit.

Müssen wir dafür ein Zertifikat vorweisen?

Nein. DORA verlangt Nachweise, keine bestimmte Zertifizierung. Eine ISO-27001-Zertifizierung Ihres Betreibers hilft im Fragebogen, ersetzt aber nicht die Antworten zu Ihrem konkreten System und Vertrag.

Reicht ein Umzug in eine europäische Cloud?

Nein. Der Speicherort ist eine der Fragen, nicht alle. Ohne Meldeweg, Wartungsvertrag und geprobten Wiederanlauf bleibt der Fragebogen unvollständig.

Ihr nächster Schritt

Legen Sie die Liste aus der ersten Frage an, auch wenn sie unangenehm kurz ausfällt, und bringen Sie sie mit in den Potenzial-Check, eine halbe Stunde, kostenlos. Wir sagen Ihnen, welche Lücke Ihr Finanzkunde zuerst sehen wird und ob Betrieb und Wartung bei uns richtig aufgehoben wären; wenn nicht, sagen wir Ihnen das auch. Potenzial-Check buchen