Was das DORA-Oversight für Banken bedeutet

Ich beginne die Serie mit der Neuerung, welche DORA von einer weiteren IT-Richtlinie unterscheidet: dem Oversight kritischer IKT-Drittdienstleister. Seit November 2025 gibt es eine erste Liste mit 19 Anbietern, darunter alle großen Hyperscaler. Aber was heißt „unter EU-Aufsicht”, wenn der Aufseher keine Lizenz erteilt und auch keine entziehen kann?

Wie ein Anbieter kritisch wird

Nicht jeder Cloud-Dienstleister fällt unter das Oversight. Ob ein Anbieter als kritisch (CTPP) eingestuft wird, entscheidet sich an vier Kriterien, welche DORA in Artikel 31 Abs. 2 festlegt:

• Systemische Auswirkung: Was würde ein großflächiger Ausfall des Anbieters für die Stabilität und Kontinuität der Finanzdienstleistungen bedeuten, gemessen an Zahl und Aktiva der betroffenen Institute?
• Systemische Bedeutung der Abhängigen: Wie viele global oder anderweitig systemrelevante Institute (G-SRI/A-SRI) hängen am Anbieter, und wie stark sind sie untereinander verflochten?
• Kritische Funktionen: Inwieweit stützen Banken ihre kritischen oder wichtigen Funktionen auf den Dienst, auch mittelbar über Unterauftragsketten?
• Substituierbarkeit: Wie schwer ist der Anbieter zu ersetzen? Hier zählen wenige Alternativen, hohe Marktanteile, proprietäre Technik sowie prohibitive Migrationskosten und -risiken.

Diese Kriterien lesen sich wie eine Beschreibung der Hyperscaler. Und weil viele von ihnen außerhalb der EU sitzen, schafft Art. 31 Abs. 12 einen praktischen Hebel: Ein als kritisch eingestufter Anbieter aus einem Drittland muss binnen zwölf Monaten eine Tochtergesellschaft in der Union gründen, damit die Aufsicht greifen kann.

Der Lead Overseer und seine Werkzeuge

Für jeden kritischen Anbieter benennen die europäischen Aufsichtsbehörden eine federführende Überwachungsbehörde, den Lead Overseer. Das ist je nach Anbieter die EBA, die ESMA oder die EIOPA. Eine neue Behörde entsteht dafür nicht, es übernimmt eine der drei ESAs in koordinierender Rolle.

Welche der drei es wird, hängt vom Nutzerkreis ab. Federführend ist die ESA, deren beaufsichtigte Institute zusammen den größten Anteil an der Bilanzsumme aller Finanzunternehmen halten, welche den Anbieter nutzen (Art. 31 Abs. 1 lit. b). Läuft ein Cloud-Anbieter ganz überwiegend bei Banken, führt die EBA die Aufsicht. Bei einem Anbieter, dessen Kundschaft vor allem aus Versicherern besteht, ist es die EIOPA, und sobald Wertpapierfirmen, Fondsgesellschaften oder Marktinfrastrukturen den Nutzerkreis dominieren, übernimmt die ESMA. Bei den großen Hyperscalern, deren Finanzsektor-Kundschaft stark bankgeprägt ist, deutet die Logik auf die EBA. Die konkrete Zuweisung je Anbieter bleibt aber Sache des Überwachungsforums.

Der Werkzeugkasten steht in Artikel 35 Abs. 1. Der Lead Overseer kann Informationen und Unterlagen anfordern und Untersuchungen bis hin zu Vor-Ort-Inspektionen durchführen. Dazu kommen Empfehlungen. Solche Empfehlungen können IKT-Sicherheits- und Qualitätsanforderungen betreffen, Vertragskonditionen und geplante Unterauftragsvergaben. Kommen ein Drittland-Subunternehmer, eine kritische Funktion und ein ernstes Risiko für die Finanzstabilität zusammen, kann er sogar empfehlen, auf weitere Unterauftragsvergaben zu verzichten.

Gesteuert wird das kollektiv, auf drei Ebenen. Das Überwachungsforum (Art. 32), ein Unterausschuss des Gemeinsamen Ausschusses der ESAs, sorgt für die sektorübergreifende Steuerung mit jährlicher Gesamtbewertung, Benchmarks und Konsultation vor Empfehlungen. Ihm gehören die drei ESAs, die nationalen Aufseher sowie Beobachter von Kommission, EZB, ESRB und ENISA an. Im gemeinsamen Überwachungsnetzwerk (Joint Oversight Network, JON) stimmen sich die federführenden Behörden operativ ab, damit über alle kritischen Anbieter hinweg ein kohärenter Aufsichtsansatz entsteht (Art. 33–34). Die eigentliche Prüfarbeit leisten die gemeinsamen Prüfteams (Joint Examination Teams, JET), welche je Anbieter gebildet werden (Art. 40).

Sollte ein Anbieter nicht mitziehen, dann greift Art. 35 Abs. 6: ein Zwangsgeld, welches täglich und für längstens sechs Monate verhängt werden kann, in Höhe von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des Anbieters im Vorjahr. Bei einem Hyperscaler ist das keine symbolische Summe.

Oversight ist keine Lizenzierung

Und trotzdem ist all das keine Lizenzierung. Die Aufsichtsbehörden können den Hyperscalern nichts verbieten und sie nicht zulassen. Sie beaufsichtigen sie nur. Die Vertragsbeziehung bleibt zwischen Bank und Anbieter, und die regulatorische Verantwortung wandert nicht weg vom Institut. Sie wird von einer zusätzlichen Ebene flankiert. Das eigene Informationsregister und die eigenen Exit-Szenarien verlieren dadurch nicht an Bedeutung. Im Gegenteil, sie sind die Grundlage, auf der das Oversight aufsetzt.

Wo die Macht sitzt

Der Lead Overseer kann einem AWS oder Microsoft vieles nur empfehlen, seine Macht liegt trotzdem an zwei Stellen. Das Zwangsgeld ist die erste. Die zweite, wirksamere, liegt eine Ebene tiefer: DORA bindet nicht in erster Linie die Hyperscaler, sondern die Banken. Eine Empfehlung an einen außereuropäischen Anbieter mag unverbindlich sein, die DORA-Vertragsanforderungen sind es für ein reguliertes Institut in der EU nicht. Wer mit einem Hyperscaler Geschäft machen will, muss ihn vertraglich auf DORA-Kurs bringen. Die Aufsicht wirkt also mittelbar über die Pflichten der Kunden, einen direkten Durchgriff auf den Anbieter braucht sie dafür nicht.

Dieser Druck verstärkt sich derzeit selbst. Europäische Institute bündeln ihre Nachfragemacht gegenüber den dominierenden US-Anbietern und suchen oder fördern europäische Alternativen. Das Oversight macht das Konzentrationsrisiko sichtbar, und der Markt zieht daraus seine eigenen Konsequenzen. So wird aus einer IKT-Aufsichtsfrage eine Souveränitätsfrage, die direkt bei den souveränen Cloud-Initiativen landet.

Die Grenzen

Man sollte die Reichweite trotzdem nicht überschätzen. Der Lead Overseer soll Doppelarbeit mit der NIS2-Richtlinie vermeiden (Art. 35 Abs. 2). Die Melde- und Aufsichtswelten überlappen sich also weiterhin, aufgelöst sind sie nicht. Die Pflicht zur Tochtergesellschaft schafft einen Anknüpfungspunkt, aber ob sie der Aufsicht bei außereuropäischen Konzernen juristischen Griff verschafft, muss sich erst zeigen. Und zwischen „kritisch benannt” und „tatsächlich steuerbar” liegt eine Lücke, die kein Rechtstext allein schließt.

Ausblick

Offen bleibt für mich vor allem, wie viel faktische Steuerungswirkung ein Oversight entfaltet, dessen schärfstes direktes Instrument ein Zwangsgeld ist. Auch bleibt abzuwarten, ob die zweite Einreichung der Informationsregister 2026 die Datenqualität liefert, welche belastbare Substituierbarkeits- und Exit-Analysen brauchen, und ob die Unions-Tochter eines Hyperscalers der Aufsicht echten jurisdiktionellen Zugriff verschafft oder ein formaler Anknüpfungspunkt bleibt. Diese Fragen nehme ich mit ins Dossier DORA.