DORA-Verträge mit IKT-Dienstleistern in Zypern: Artikel-30-Checkliste

Reguliertes Unternehmen, IKT-Dienst und unterstützte Funktion bestimmen

Beginnen Sie bei der juristischen Person, die den Dienst einkauft. DORA gilt für die in Artikel 2 genannten Finanzunternehmen vorbehaltlich Ausnahmen und Verhältnismäßigkeit. Eine zyprische Wertpapierfirma, Fondsverwaltung oder andere regulierte Gesellschaft muss ihre exakte Kategorie prüfen; eine Schwestergesellschaft teilt diese Einordnung nicht automatisch. Die Vertragsprüfung betrifft IKT-Dienstleistungen eines IKT-Drittdienstleisters. Ein Rechtsberater, der selbst Software benutzt, ist dadurch nicht ohne Weiteres IKT-Lieferant des Finanzunternehmens. Erfassen Sie direkten Anbieter, Vertragspartner, internen Dienstverantwortlichen und den tatsächlichen betrieblichen Einsatz, bevor eine Bestellung als DORA-relevant oder irrelevant markiert wird.

Ordnen Sie die Geschäftsaufgabe zu, die vom Dienst abhängt, nicht nur die Technologiebezeichnung. Was fällt aus, wenn Zahlungsabwicklung, Handelsplattform, Cloudhosting, Identitätsdienst oder Sicherungssystem nicht verfügbar, verändert oder unzugänglich ist? Eine kritische oder wichtige Funktion nach DORA ist eine, deren Unterbrechung finanzielle Leistung, Kontinuität der Dienste oder Tätigkeiten beziehungsweise die fortdauernde Einhaltung der Zulassungs- und Finanzdienstpflichten erheblich beeinträchtigen würde. Auch eine billige Lizenz kann eine regulierte Kernaufgabe tragen. Dokumentieren Sie Funktion, Ausfallszenario, Alternativen, Abhängigkeiten und die begründete Einstufung. Prüfen Sie, welche Kunden und Gruppengesellschaften betroffen wären.

Die Einstufung steuert Umfang der vertraglichen Rechte, vorgelagerte Risikoanalyse und Ausstiegsplan. Übernehmen Sie nicht bei jedem kleinen Vertrag blind denselben Zusatzanhang, wenn er praktisch nicht umsetzbar ist. Lassen Sie aber die Grundrechte aus Artikel 30 Absatz 2 nicht weg, nur weil ein Anbieter intern als nicht kritisch gilt. Unterstützt ein Dienstleister mehrere Funktionen, bewerten Sie jede Abhängigkeit und das Gesamtrisiko. Überprüfen Sie die Entscheidung, wenn Nutzung, Volumen oder Gruppenbezug wachsen oder ein vormals optionales System zum einzigen Kundenkanal wird. Legen Sie den genehmigten Einstufungsvermerk zum unterschriebenen Vertrag und seinen Änderungen.

Weiterführend: Leitfaden zur NIS2-Einordnung.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30; CySEC-Rundschreiben C751 vom 19. Januar 2026 zu DORA-Meldung, Registerformat und Portal; EBA: Vorbereitung auf die Berichterstattung zum DORA-Informationsregister

Die Entscheidung nach Artikel 28 vor Unterzeichnung treffen

Artikel 28 belässt die Verantwortung beim Finanzunternehmen, auch wenn es Technologie einkauft. Vor Abschluss einer IKT-Vereinbarung prüft es unter anderem, ob der Dienst eine kritische oder wichtige Funktion unterstützt, ob die aufsichtsrechtlichen Bedingungen erfüllt sind und welche Risiken einschließlich IKT-Konzentration entstehen. Dazu gehören Sorgfaltsprüfung des Anbieters und mögliche Interessenkonflikte. Diese Schritte müssen als Entscheidung mit Nachweisen stattfinden, nicht als Fragebogen nach dem Einkauf. Der Vertragsverantwortliche sollte erklären können, warum der ausgewählte Anbieter Sicherheits-, Wiederherstellungs- und Leistungsanforderungen des Unternehmens erfüllen kann. Ein ISO-Zertifikat ist dabei ein Beleg, keine vollständige Risikoentscheidung.

Betrachten Sie Konzentration jenseits des Markennamens. Zwei scheinbar unabhängige Lieferanten können dieselbe Cloudinfrastruktur, gemeinsame Eigentümer oder denselben kritischen Unterauftragnehmer nutzen. Vergleichen Sie Regionen, Rechenzentren, privilegierte Zugriffe und Austauschbarkeit. Bei kritischen oder wichtigen Funktionen und einem Anbieter in einem Drittstaat verlangt Artikel 29 besondere Prüfung von EU-Datenschutz und wirksamer Rechtsdurchsetzung. Ist Untervergabe vorgesehen, fragen Sie, ob eine lange oder komplexe Kette die Überwachung der Leistung oder wirksame Aufsicht durch die zuständige Behörde erschwert. Dokumentieren Sie konkrete gemeinsame Ausfallpunkte statt nur zwei Firmennamen in eine Tabelle einzutragen.

Ein brauchbarer Freigabevermerk enthält Dienst, unterstützte Funktion, Einstufung, Anbieterprüfung, Sicherheitsstandards, Alternativen, Konzentrationsrisiko, geplante Unterauftragnehmer, Restrisiken und genehmigendes Organ. Verknüpfen Sie jeden erheblichen Befund mit einem Vertragsschutz oder einer begründeten Risikofreigabe. Das Leitungsorgan des Finanzunternehmens bleibt für den IKT-Risikorahmen verantwortlich; eine Zusicherung des Dienstleisters verschiebt diese Pflicht nicht. Setzen Sie Anlasspunkte für neue Prüfung, wenn sich Standort, Datenverarbeitung, wesentlicher Unterauftragnehmer oder Dienstumfang ändern. Nur am jährlichen Vertragsjubiläum auf den Vorgang zu schauen, ist bei dynamischer Infrastruktur zu langsam.

Weiterführend: Data-Act-Leitfaden zum Cloudwechsel.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30; Delegierte Verordnung (EU) 2025/532 über Untervergabe von IKT-Diensten für kritische oder wichtige Funktionen; Delegierte Verordnung (EU) 2024/1773 zur Strategie für IKT-Dienste für kritische oder wichtige Funktionen

Alle Grundklauseln aus Artikel 30 Absatz 2 prüfen

Artikel 30 Absatz 1 verlangt klar verteilte Rechte und Pflichten in Schriftform; der vollständige Vertrag samt Service-Level-Regeln muss als ein papiergebundenes oder herunterladbares, dauerhaftes und zugängliches Dokument vorliegen. Für jede einschlägige IKT-Vereinbarung braucht Absatz 2 eine vollständige Beschreibung von Aufgaben und Diensten, Angaben zur erlaubten Untervergabe kritischer oder wichtiger Dienste und ihren Bedingungen sowie Regionen oder Ländern der Leistung und Datenverarbeitung einschließlich Speicherung. Beabsichtigte Standortänderungen sind vorab mitzuteilen. Eine Formulierung wie „beliebiges weltweites Rechenzentrum“ kann die vorgeschriebene Standortprüfung leerlaufen lassen. Das Betriebsteam muss den tatsächlichen Speicher- und Leistungsort ermitteln können.

Zu den Grundklauseln gehören Schutz von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten sowie Zugang, Wiederherstellung und Rückgabe personen- und nichtpersonenbezogener Daten in leicht zugänglichem Format bei Insolvenz, Abwicklung, Betriebseinstellung oder Vertragsende. Hinzu kommen Leistungsbeschreibungen und Unterstützung bei IKT-Vorfällen ohne Zusatzkosten oder zu vorher bestimmten Kosten. Prüfen Sie die Rückgabeklausel anhand einer realen Migration: Format, Zeit, Authentisierung, Sicherungskopien und erreichbare Kontaktperson bei Lieferantenkrise. Ein Recht, das erst nach vollständigem Zusammenbruch des Anbieters praktisch anwendbar wäre, schützt trotz korrekter Überschrift nur unzureichend.

Prüfen Sie schließlich die Zusammenarbeit mit zuständigen Aufsichts- und Abwicklungsbehörden, Kündigungsrechte mit Mindestfristen und Bedingungen für die Teilnahme des Anbieters an Sicherheitsbewusstsein und Schulung zur digitalen Resilienz des Finanzunternehmens. Diese Bestimmungen müssen zu Vergütung, Haftung und Geheimhaltung passen. Eine zu breite Geheimhaltungsklausel darf rechtmäßige Behördenkooperation nicht verhindern. Eine offene Gebührenliste für Vorfallhilfe genügt nicht dem Erfordernis kostenloser oder vorher bezifferter Unterstützung. Lesen Sie unterschriebene Bestellung, Rahmenvertrag, Anhänge und einbezogene Richtlinien als zusammenhängendes Vertragspaket. Widersprüche zwischen Dokumenten müssen vor Freigabe aufgelöst werden.

Weiterführend: Leitfaden zur DSGVO-Vorfallmeldung.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30

Bei kritischen oder wichtigen Funktionen Artikel 30 Absatz 3 ergänzen

Unterstützt der IKT-Dienst eine kritische oder wichtige Funktion, reicht ein allgemeines Verfügbarkeitsversprechen nicht. Artikel 30 Absatz 3 fordert genaue quantitative und qualitative Leistungsziele sowie deren Aktualisierung und Überarbeitung, damit das Finanzunternehmen überwachen und rechtzeitig Abhilfe verlangen kann. Definieren Sie Kennzahl, Messzeitraum, Ausnahmen, Datenquelle, Schwelle und Eskalationsperson. Eine Zusage von 99,9 Prozent Verfügbarkeit ohne Messregel kann einen Totalausfall während des Handelsfensters verschleiern. Die Ziele müssen zur betroffenen Funktion und zu den Annahmen der eigenen Kontinuitätsplanung passen. Prüfen Sie neben dem Jahresdurchschnitt auch kritische Tageszeiten.

Der erweiterte Vertrag braucht Vorankündigungs- und Berichtspflichten zu Entwicklungen, die die Dienstleistung wesentlich beeinträchtigen könnten. Er muss vom Anbieter getestete Notfallpläne und geeignete IKT-Sicherheitsmaßnahmen verlangen sowie seine Beteiligung und volle Kooperation an bedrohungsorientierten Penetrationstests, soweit einschlägig. Dafür ist ein Betriebsprotokoll nötig: wer meldet was, wie werden Belege geschützt, wer genehmigt Tests und wie wird eine Schwachstelle behoben? Eine bloße Klausel „Kooperation nach wirtschaftlichem Ermessen“ kann bei einer regulierten Funktion zu unbestimmt sein. Stimmen Sie diese Rechte vorab mit dem technischen Team und dem Anbieter ab.

Nehmen Sie fortlaufende Überwachung sowie unbeschränkte Zugangs-, Inspektions- und Prüfungsrechte nach Artikel 30 Absatz 3 Buchstabe e für das Finanzunternehmen beziehungsweise benannte Dritte und die zuständige Behörde auf. Die Vorschrift enthält eine besondere Erleichterung für Kleinstunternehmen bei Delegation der eigenen Prüfungsrechte an einen unabhängigen Dritten; prüfen Sie ihre Voraussetzungen genau. Absatz 3 verlangt außerdem einen Ausstiegsplan mit angemessener verbindlicher Übergangszeit, in der der Anbieter weiterleistet und eine Migration oder interne Übernahme möglich ist. Testen Sie, ob Haftungsgrenzen, Gebühren oder IP-Beschränkungen die Rechte faktisch blockieren. Entscheidend ist die unterstützte Funktion, nicht die gesonderte Einstufung eines Anbieters als kritisch im DORA-Aufsichtsrahmen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30; Delegierte Verordnung (EU) 2024/1773 zur Strategie für IKT-Dienste für kritische oder wichtige Funktionen

Die Untervergabekette kontrollieren statt pauschal freizugeben

Artikel 30 verlangt klare Angaben, ob ein kritischer oder wichtiger IKT-Dienst oder wesentliche Teile davon untervergeben werden dürfen und unter welchen Bedingungen. Fragen Sie nach Aufgaben jedes Unterauftragnehmers, seinen Standorten, den Datenorten und Zugriffsrechten. Eine Blankoerlaubnis für jede künftige Konzerngesellschaft oder jeden Subunternehmer verhindert die Prüfung von Konzentration, Sicherheit, Aufsicht und Ausstieg. Eine statische Liste ohne Änderungsmitteilung wird hingegen schnell falsch. Vereinbaren Sie Genehmigungs- oder Widerspruchsverfahren und Informationen, die für eine echte Entscheidung gebraucht werden. Die direkte Vertragspartei bleibt für ihre Zusagen erreichbar, auch wenn sie technische Arbeit weitergibt.

Die Delegierte Verordnung (EU) 2025/532 konkretisiert Untervergabestandards für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen. Das Finanzunternehmen sollte Dienst und Anbieter vor Erlaubnis bewerten und kontrollieren, ob der Vertrag laufende Überwachung und Reaktion auf Änderungen ermöglicht. Sicherheits-, Kontinuitäts-, Leistungs-, Melde- und Zugangsrechte müssen entlang der Kette wirksam weitergegeben werden. Ein direkter Anbieter kann nichts Verlässliches versprechen, was ihm seine nächste Vertragsebene verweigert. Prüfen Sie Drittstaatstandort und Insolvenzrisiko, wo relevant. Die tatsächliche Untervergabekette ist zu erfassen; eine allgemeine Webseite mit „Subprozessoren“ reicht für die Resilienzprüfung nicht.

Errichten Sie einen Ablauf für neue Unterauftragnehmer oder wesentliche Aufgabenänderungen: Empfänger der Nachricht, Prüfzeit, verlangbare Belege und Eskalation von Restrisiken. Widerspruchs- und Kündigungsrechte sollten zur technischen Migrationsfähigkeit passen. Wenn der Anbieter eine erhebliche Abhängigkeit nicht offenlegt, dokumentieren Sie die Beschränkung und entscheiden Sie, ob der Dienst rechtmäßig und sicher verwendet werden kann. Bei personenbezogenen Daten kann zusätzlich die Genehmigung von Auftragsunterverarbeitern nach DSGVO erforderlich sein. DSGVO und DORA behandeln unterschiedliche Fragen; eine einzige „Subprocessor“-Klausel erfüllt nicht automatisch beide. Prüfen Sie die einschlägigen Begriffe im Hauptvertrag sorgfältig.

Weiterführend: Leitfaden zur Cyberresilienz-Verordnung.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30; Delegierte Verordnung (EU) 2025/532 über Untervergabe von IKT-Diensten für kritische oder wichtige Funktionen; Verordnung (EU) 2016/679, DSGVO, Artikel 28 und Kapitel V

Das IKT-Register mit unterschriebenen Verträgen abstimmen

Artikel 28 Absatz 3 verlangt ein aktuelles Informationsregister zu allen Verträgen über IKT-Dienstleistungen durch externe IKT-Anbieter, je nach Struktur auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene. Es beschränkt sich nicht auf kritische Funktionen. Das Unternehmen informiert seine zuständige Behörde außerdem rechtzeitig über geplante Vereinbarungen für kritische oder wichtige Funktionen beziehungsweise wenn eine Funktion nachträglich so eingestuft wird. Registereintrag, unterschriebener Vertrag, Anbietername, Dienst, Funktion und Gruppenstruktur müssen übereinstimmen. Erfassen Sie Vertragsänderungen und Beendigung. Die Durchführungsverordnung (EU) 2024/2956 schreibt Vorlagen vor; eine beliebig aufgebaute eigene Tabelle ist kein Ersatz.

CySEC-Rundschreiben C751 vom 19. Januar 2026 bestätigt für die darin genannten regulierten Unternehmen die jährliche Registereinreichung bis zum 28. Februar mit Stichtag 31. Dezember. Der frühere Weg über „Build in Excel“ wurde eingestellt. Nach C751 ist XBRL-CSV mit kompatibler Software anhand der EBA-Regeln zu erzeugen, als ZIP zu komprimieren und über das CySEC-XBRL-Portal einzureichen. Verwenden Sie die Sonderfrist der ersten Meldung 2025 nicht für spätere Jahre und erwarten Sie keine Annahme eines normalen Tabellen-Uploads. Prüfen Sie vor Abgabe aktuelle Hinweise für Ihren Sektor. Einkauf, Risiko und IT müssen einen konsistenten Datenbestand führen.

Vergleichen Sie das Register regelmäßig mit Kreditorenbuchhaltung, Beschaffungsfreigaben, Cloudkonten und Vertragsarchiv. Lösen Sie Unterschiede auf: ein neues SaaS-Konto kann eine IKT-Vereinbarung sein, obwohl kein Rahmenvertrag abgelegt wurde; ein alter Anbieter kann nach Migration fälschlich im Register bleiben. Das öffentliche Material der EBA erklärt, dass die Registerdaten der Aufsicht und Identifizierung kritischer IKT-Anbieter dienen. Benennen Sie eine Person für Kennungen, Zuordnung von Gruppenunternehmen und Datenqualität. Der Vertrag sollte auf den Registereintrag verweisen und das Register auf die maßgeblichen unterzeichneten Dokumente. Eine Meldung aus einem veralteten Export ist schwer zu verteidigen.

Weiterführend: DSGVO-Leitfaden für Datenpannen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30; Durchführungsverordnung (EU) 2024/2956 zu Vorlagen des Informationsregisters; CySEC-Rundschreiben C751 vom 19. Januar 2026 zu DORA-Meldung, Registerformat und Portal; EBA: Vorbereitung auf die Berichterstattung zum DORA-Informationsregister

Ausstieg, Datenrückgabe und andere Rechtspflichten testen

Eine Ausstiegsklausel muss eine praktische Frage beantworten: Kann das Finanzunternehmen die regulierte Funktion fortsetzen, wenn der Anbieter schwächer wird, ausfällt oder nicht verlängert? Benennen Sie Auslöser, Entscheider, Kündigung, verbindliche Übergangsleistung, Datenformat, Exportweg, Unterstützungskosten und Zielbetrieb. Für kritische Funktionen empfiehlt sich eine Übung mit den tatsächlichen Vertragsfristen und technischen Abhängigkeiten. Ein sofortiges Kündigungsrecht kann kontraproduktiv sein, wenn die einzige brauchbare Datenkopie noch beim Anbieter liegt. Umgekehrt kann eine lange Kündigungsfrist ohne vorzeitiges Risikorecht das Unternehmen nach schwerem Sicherheitsversagen binden.

Artikel 28 Absatz 7 nennt Beendigungsszenarien wie erhebliche Vertragsverletzung, Umstände mit möglicher Leistungsänderung, Schwächen im IKT-Risikomanagement und fehlende wirksame Aufsichtsmöglichkeit der zuständigen Behörde. Vertragliche Rechtsbehelfe müssen Handeln in diesen Situationen zulassen. Prüfen Sie, ob Quellunterlagen, Konfiguration, Zugangsdaten und Dokumentation verfügbar werden und ob ein Ersatzanbieter die exportierten Daten wirklich lesen kann. Sicherung und Löschung sind getrennt zu planen: rasche Rückgewinnung kann für Kontinuität nötig sein, gleichzeitig müssen personenbezogene Daten ordnungsgemäß behandelt werden. Testen Sie einen fehlgeschlagenen Export, bevor der Ausstiegsplan als betriebsfähig bezeichnet wird.

DORA verdrängt die DSGVO nicht. Verarbeitet ein Anbieter personenbezogene Daten auf Weisung, braucht die Vereinbarung nach Artikel 28 DSGVO eigene Regeln zu Gegenstand, Zweck, Sicherheit, Unterauftragnehmern und Rückgabe oder Löschung. Bei Übermittlung außerhalb des EWR sind Mechanismus und gegebenenfalls zusätzliche Garantien gesondert zu prüfen. Fachaufsicht und Geheimhaltung können weitere Bedingungen hinzufügen. Erstellen Sie eine Klauselmatrix, die jeder Pflicht die maßgebliche Vertragsstelle zuordnet. Die Überschrift „DORA-Anhang“ heilt keinen Widerspruch im Rahmenvertrag. Halten Sie offene Lücken, Verantwortliche und Behebungsdatum fest, bevor der Dienst für eine regulierte Aufgabe unverzichtbar wird.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30; Verordnung (EU) 2016/679, DSGVO, Artikel 28 und Kapitel V; Delegierte Verordnung (EU) 2024/1773 zur Strategie für IKT-Dienste für kritische oder wichtige Funktionen

Die Vertragsprüfung in der Reihenfolge des Risikos durchführen

Inventarisieren Sie zuerst die wirkliche IKT-Dienstleistung und die beteiligten Rechtsträger, stufen Sie jede unterstützte Funktion ein und schließen Sie die Vorprüfung nach Artikel 28 ab. Vergleichen Sie danach den Vertrag mit Artikel 30 Absatz 2 und bei kritischen oder wichtigen Funktionen zusätzlich mit Absatz 3 und den einschlägigen technischen Standards. Verifizieren Sie anschließend operative Zusagen mit dem Dienstteam: Standortliste, gemessene Service Levels, Vorfallkontakte, Prüfungsnachweise und Exportverfahren. Ein juristisches Häkchen darf nicht gesetzt werden, bevor die Personen, die ein Recht im Notfall ausüben müssten, seine tatsächliche Nutzung bestätigt haben.

Stimmen Sie viertens die final unterschriebenen Unterlagen mit dem Informationsregister und aktuellen CySEC-Anweisungen ab. Planen Sie fünftens laufende Überwachung und anlassbezogene Prüfung: neuer Unterauftragnehmer, Standortwechsel, Ausfall, wesentliche Dienständerung oder behördliche Feststellung öffnen die betroffene Bewertung erneut. Pflegen Sie eine datierte Klauselmatrix mit Dokument und Absatznummer, verantwortlicher Person und genehmigter Abweichung. Das schafft für die Aufsicht eine prüfbare Spur und erspart eine vollständige Vertragsrekonstruktion im Vorfall. Halten Sie daneben fest, welches Team die Rechte praktisch ausüben kann und wo die Beweise liegen.

Simulieren Sie zum Schluss drei Anrufe: Betriebsstörung, behördliche Bitte um Zugang und Lieferantenausstieg. Kann das Unternehmen Verantwortliche bestimmen, Nachweise erhalten, den Anbieter anweisen und die benötigten Daten innerhalb der vertraglichen Zeit zurückholen? Wenn eine Antwort nur vom Entgegenkommen des Lieferanten statt von einem durchsetzbaren, nutzbaren Recht abhängt, ändern Sie Vertrag oder Dienstarchitektur. Prüfen Sie Primärrecht und neue Mitteilungen der CySEC vor Abschluss einer Vorlage erneut: Delegierte Standards und Meldeformate können sich nach Erlass der ursprünglichen DORA-Verordnung verändern. Die 2026er XBRL-CSV-Umstellung zeigt diese praktische Änderungsdynamik.

Weiterführend: Leitfaden zu Cloudwechselverträgen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30; CySEC-Rundschreiben C751 vom 19. Januar 2026 zu DORA-Meldung, Registerformat und Portal; Delegierte Verordnung (EU) 2025/532 über Untervergabe von IKT-Diensten für kritische oder wichtige Funktionen; Durchführungsverordnung (EU) 2024/2956 zu Vorlagen des Informationsregisters

Primärquellen und Geltungsbereich

Quellenabgleich: 7. Oktober 2026. Dieser Leitfaden bezieht sich auf die Republik Zypern. Beispiele sind hypothetisch und keine Kundenfälle. Prüfen Sie vor einer Einreichung die aktuellen amtlichen Anforderungen.

• Verordnung (EU) 2022/2554, DORA, Artikel 2 und 28-30
• Delegierte Verordnung (EU) 2025/532 über Untervergabe von IKT-Diensten für kritische oder wichtige Funktionen
• Delegierte Verordnung (EU) 2024/1773 zur Strategie für IKT-Dienste für kritische oder wichtige Funktionen
• Durchführungsverordnung (EU) 2024/2956 zu Vorlagen des Informationsregisters
• CySEC-Rundschreiben C751 vom 19. Januar 2026 zu DORA-Meldung, Registerformat und Portal
• EBA: Vorbereitung auf die Berichterstattung zum DORA-Informationsregister
• Verordnung (EU) 2016/679, DSGVO, Artikel 28 und Kapitel V