DORA Konzentrationsrisiko steuern.
Wissen, woran kritische Funktionen hängen.

Vor einem Vertrag über IKT-Dienstleistungen für kritische oder wichtige Funktionen müssen Finanzunternehmen prüfen, ob dieser zu einem IKT-Konzentrationsrisiko beiträgt (Art. 28 Abs. 4 lit. c DORA). Art. 29 nennt zwei Fälle: einen Dienstleister, der nicht ohne Weiteres ersetzbar ist, und mehrere Verträge mit demselben oder eng verbundenen Dienstleistern. Unterauftragsketten, besonders in Drittstaaten, sind einzubeziehen. Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung.

Nach Art. 28 Abs. 3 DORA führen Finanzunternehmen ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen, getrennt nach Verträgen für kritische oder wichtige Funktionen und übrigen. Die Aufsicht erhält mindestens jährlich Angaben daraus. Die Vorlagen regelt die Durchführungsverordnung (EU) 2024/2956.

Nein. Die Europäischen Aufsichtsbehörden haben im November 2025 erstmals 19 kritische IKT-Drittdienstleister benannt und beaufsichtigen sie direkt. Finanzunternehmen bleiben für ihr IKT-Drittparteienrisiko voll verantwortlich (Art. 28 Abs. 1 DORA), auch bei allen nicht benannten Dienstleistern.

Im Register an Dienstleistern, die mehrere kritische Funktionen tragen oder schwer ersetzbar sind. Ergänzend zeigt CQTI gemeinsame Knoten von außen, etwa dieselbe Infrastruktur oder denselben Unterauftragnehmer, und ob diese Knoten aktuell exponiert sind. Der Grad der Gewissheit wird je Verknüpfung ausgewiesen.

Nein. Wir erstellen keine Meldungen und ersetzen das Register nicht. Wir nutzen es als Ausgangspunkt und liefern die Bewertung und Überwachung je Dienstleister, die das Register selbst nicht enthält.

Ja. DORA verlangt für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, umfassende, dokumentierte und ausreichend getestete Exit-Pläne (Art. 28 Abs. 8). Szenarien für zentrale Dienstleister und die Lage möglicher Ausweichanbieter liefern dafür eine Grundlage.