Tippel.ai
DORA-Datenblatt

DORA für Finanzunternehmen in zwei Minuten.

Was der Digital Operational Resilience Act verlangt, wen er betrifft — und warum eine On-Premise-Lizenz nach Auffassung der BaFin keine IKT-Dienstleistung im Sinne der Verordnung ist.

Zur Sentinel-Prüfschicht

Allgemeine Information, kein Rechtsrat. Anwendbarkeit und Einordnung sind im Einzelfall zu prüfen. Stand: August 2026.

Die Fakten

Der Rechtsakt auf einen Blick

RechtsaktVerordnung (EU) 2022/2554 — Digital Operational Resilience Act (DORA)
Anwendbar seit17. Januar 2025
Wen es betrifftFinanzunternehmen (Banken, Versicherer, Wertpapierfirmen u. a.) und ihre IKT-Drittdienstleister
Vier SäulenIKT-Risikomanagement · IKT-Vorfallsmeldung · Resilienz-Tests · Management des IKT-Drittparteienrisikos
Aufsicht (DE)BaFin

Die IKT-Vorfallsmeldung nach DORA verläuft parallel zur NIS2-Meldelogik: NIS2-Meldepflichten in der Praxis →

Der springende Punkt

Die Bezugsform entscheidet: Lizenz oder Dienst

Art. 3 Nr. 21 DORA definiert IKT-Dienstleistungen bewusst weit — die Einordnung einer konkreten Beschaffung bleibt Aufgabe des Finanzunternehmens. Für die Abgrenzung von Lizenz und SaaS zieht die BaFin in ihrer DORA-FAQ eine klare Linie:

„Bei reinen Softwarelizenzen handelt es sich üblicherweise um Nutzungsrechte, die keine IKT-Dienstleistung i. S. d. Art. 3 Nr. 21 DORA darstellen.“

— BaFin, DORA-FAQ „Management des IKT-Drittparteienrisikos“, zum isolierten Softwarebezug

„Bei Software-as-a-Service-Anwendungen handelt es sich um eine IKT-Dienstleistung, die bei dauerhaftem Bezug unter Art. 3 Nr. 21 DORA fällt.“

— BaFin, DORA-FAQ, zu reinem Software-as-a-Service

On-Premise-Lizenz

  • Die Sentinel-Prüfschicht läuft offline in Ihrem Perimeter — kein Netzzugriff, 185 Tests, ausgeliefert als reines Nutzungsrecht.
  • Nach BaFin-Auffassung keine IKT-Dienstleistung (Art. 3 Nr. 21).
  • Der Zulieferer wird nicht zum registrierten IKT-Drittdienstleister.
  • Keine Vertragspflichten aus Art. 30, kein Registereintrag, kein Ausstiegsplan (Art. 28).

Gehosteter Dienst (SaaS)

  • Dieselbe Software als dauerhaft bezogener Dienst — Daten und Logik laufen beim Anbieter.
  • IKT-Dienstleistung bei dauerhaftem Bezug (Art. 3 Nr. 21).
  • Anbieter fällt in den IKT-Drittparteien-Rahmen.
  • Vertragliche Mindestinhalte (Art. 30), Registereintrag und Ausstiegsstrategie (Art. 28).
Die BaFin weist zugleich darauf hin: Wartungs- und Supportverträge, die eine Lizenz flankieren, können ihrerseits IKT-Dienstleistungen sein. Maßgeblich ist die tatsächliche Bezugsform, nicht die Bezeichnung. Für die Beschaffung heißt das: Weil die Prüfschicht als Offline-Lizenz geliefert wird, löst der Kauf weder Drittparteien-Register noch Ausstiegsplanung aus — so kann auch ein Ein-Personen-Betrieb an ein reguliertes Finanzunternehmen liefern.
Der Nutzen im Audit

Ein Beleg, den Sie der Prüfung vorlegen können

Die Prüfschicht bindet jede Detektionsregel deterministisch gegen Microsofts eigenen KQL-Parser; was sich nicht gegen Ihr reales Schema verifizieren lässt, wird markiert statt still ausgeliefert. Der Bericht dokumentiert reproduzierbar, dass Ihre Detektionen tragen — ein Beleg für die DORA-Erwartungen an Resilienz-Tests und Nachweisführung. Der Bericht bleibt bei Ihnen, die Prüfung läuft in Ihrem Perimeter.

Wie die Prüfung technisch funktioniert →

Kein Rechtsrat. Dieses Datenblatt informiert allgemein und ersetzt keine rechtliche Beratung. Ob DORA auf Ihr Unternehmen anwendbar ist und wie eine konkrete Beschaffung einzuordnen ist, klären Sie mit Ihrem Rechtsbeirat und gegebenenfalls mit der BaFin. Hier werden keine Fristen, Schwellenwerte oder Artikelnummern erfunden; die zitierten Aussagen stammen aus den BaFin-FAQ und der Verordnung (EU) 2022/2554. Stand: August 2026.

Sprechen wir über Ihren DORA-Kontext

On-Premise, offline, prüfbar — für regulierte Finanzunternehmen und ihre Security-Teams. Direkt an info@tippel.ai.

Kontakt aufnehmen