DORA erzeugt keine eigene Zeile auf der Cloud-Rechnung, aber mehrere Pflichten, die Geld kosten: ein Informationsregister mit Kostenangabe je Vertrag, Vertragsklauseln nach Art. 30, getestete Ausstiegspläne, Resilienztests sowie Protokolle und Backups, die eine Vorfallmeldung tragen. Wer DORA-Cloud-Kosten planen will, ordnet jede dieser Pflichten einer Kostenzeile, einer Datenquelle und einem Owner zu. Dieser Beitrag liefert dafür eine Tabelle, eine Prüfsequenz und die Fragen für Ihre Rechtsberatung. Er ist keine Rechtsberatung.
Wer DORA anwendet und wer mittelbar betroffen ist
Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025 (Art. 64). Unmittelbar verpflichtet sind Finanzunternehmen nach Art. 2 Abs. 2, etwa Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungsunternehmen und Anbieter von Krypto-Dienstleistungen. Versicherungsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind, nimmt Art. 2 Abs. 3 aus; das betrifft manches Insurtech. In Deutschland ist die BaFin zuständig, flankiert vom Finanzmarktdigitalisierungsgesetz (BGBl. 2024 I Nr. 438).
Unter anderem kleine, nicht verflochtene Wertpapierfirmen sowie ausgenommene Zahlungs- und E-Geld-Institute nutzen nach Art. 16 einen vereinfachten IKT-Risikomanagementrahmen. Die Regeln zum Drittparteienrisiko in Art. 28 bis 30 gelten für sie trotzdem; die Verhältnismäßigkeit nach Art. 4 bestimmt die Tiefe.
Ein SaaS-Anbieter, der Banken oder Versicherer beliefert, ist IKT-Drittdienstleister. Die BaFin schreibt in ihren DORA-FAQ, die Verordnung gelte nur für Finanzunternehmen; Drittdienstleister treffe sie indirekt über die Vertragsgestaltung. Direkte Aufsicht entsteht erst mit der Benennung als kritischer IKT-Drittdienstleister. Die erste Liste der Europäischen Aufsichtsbehörden vom 18. November 2025 nennt 19 Anbieter, darunter Amazon Web Services EMEA Sarl, Google Cloud EMEA Limited und Microsoft Ireland Operations Limited. Laut BaFin entbindet die Überwachung eines benannten Anbieters Finanzunternehmen nicht von ihren eigenen Pflichten, etwa der Prüfung dieses Dienstleisters, soweit sie vorgeschrieben ist.
Wo DORA in der Cloud Kosten auslöst
Informationsregister mit Kostenfeld
Art. 28 Abs. 3 verlangt ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen. Die Vorlagen der Durchführungsverordnung (EU) 2024/2956 enthalten das Pflichtfeld B_02.01.0050: die jährlichen Ausgaben oder geschätzten Kosten je Vereinbarung im Vorjahr, ohne Doppelzählung zwischen Rahmen- und Einzelverträgen. Die BaFin erwartet das Register jährlich mit Stand 31. Dezember bis spätestens 31. März über ihre Melde- und Veröffentlichungsplattform (MVP).
Für die Cloud heißt das: Jemand muss die Ausgaben je Vertrag aus Rechnungen und Kostenexporten ableiten. Marketplace-Käufe laufen über die AWS- oder Azure-Rechnung, haben aber einen anderen Vertragspartner und gehören in eine eigene Registerzeile.
Vertragsklauseln nach Art. 30
Jeder IKT-Vertrag braucht nach Art. 30 Abs. 2 unter anderem die Orte der Datenverarbeitung und -speicherung mit Vorankündigung von Änderungen, die Rückgabe von Daten, Unterstützung bei IKT-Vorfällen „ohne zusätzliche Kosten oder zu vorab festzusetzenden Kosten“, Kooperation mit den Behörden sowie Kündigungsrechte mit Mindestfristen. Stützt der Dienst eine kritische oder wichtige Funktion, kommen nach Abs. 3 quantitative Service-Level, die Teilnahme am TLPT, uneingeschränkte Zugangs-, Inspektions- und Prüfrechte und Ausstiegsstrategien mit einem „verbindlichen angemessenen Übergangszeitraum“ hinzu.
Die großen Anbieter haben eigene Vertragswerke: AWS bietet berechtigten Kunden ein DORA Financial Services Addendum über das Account-Team an, Google Cloud hat seine Vertragsbedingungen nach eigener Aussage auf Art. 30 ausgerichtet. Der Kostenposten ist die juristische Prüfung, ob diese Texte Ihre Konstellation abdecken.
Ausstiegsstrategien und Ausstiegspläne
Für IKT-Dienste, die kritische oder wichtige Funktionen stützen, verlangt Art. 28 Abs. 8 Ausstiegsstrategien. Die Ausstiegspläne müssen umfassend und dokumentiert sein; sie werden ausreichend getestet und regelmäßig überprüft. Ein Probelauf kostet Datenübertragung, eine Zielumgebung, Parallelbetrieb und Migrationsarbeit.
Der EU Data Act verschiebt nur einen Teil davon: Ab dem 12. Januar 2027 dürfen Anbieter für den Wechselprozess keine Wechselentgelte mehr verlangen (Art. 29 der Verordnung (EU) 2023/2854). Reguläre Nutzungsentgelte bleiben, also auch der Parallelbetrieb. Details stehen in EU Data Act: Cloud-Wechselkosten vor 2027 richtig planen, die Transferzeilen in AWS-Datentransferkosten: CUR-Zeilen, NAT und Flow Logs.
Konzentrationsrisiko
Vor einem Vertrag für eine kritische oder wichtige Funktion prüft das Finanzunternehmen nach Art. 29, ob der Anbieter schwer ersetzbar ist, und wägt „Nutzen und Kosten alternativer Lösungen“ ab, etwa anderer Anbieter. DORA verlangt diese Abwägung, keinen zweiten Cloud-Anbieter. Eine Standby-Umgebung in einer zweiten Region oder bei einem zweiten Anbieter ist eine Entscheidung mit laufenden Kosten und gehört mit Begründung ins Budget.
Tests, Backups und Vorfallmeldung
Außer Kleinstunternehmen testen Finanzunternehmen nach Art. 24 Abs. 6 mindestens jährlich alle IKT-Systeme, die kritische oder wichtige Funktionen stützen. Bedrohungsorientierte Penetrationstests (TLPT) alle drei Jahre betreffen nur Unternehmen, die die Behörde dafür bestimmt; die Delegierte Verordnung (EU) 2025/1190 nennt als Ausgangskriterien unter anderem systemrelevante Banken und Zahlungsinstitute, deren Zahlungsvolumen in beiden Vorjahren 150 Mrd. EUR überstieg.
Art. 12 DORA verlangt Backup-Richtlinien und, wenn Sicherungen mit eigenen Systemen wiederhergestellt werden, IKT-Systeme, die vom Quellsystem physisch und logisch getrennt sind. Die Delegierte Verordnung (EU) 2024/1774 fordert dokumentierte Protokollierungsverfahren einschließlich Aufbewahrungsfrist. Schwerwiegende Vorfälle melden Sie nach der Delegierten Verordnung (EU) 2025/301 binnen vier Stunden nach Einstufung und spätestens 24 Stunden nach Kenntnis, den Zwischenbericht binnen 72 Stunden nach der Erstmeldung, den Abschlussbericht spätestens einen Monat danach. Ohne gesicherte Logs ist das nicht zu schaffen.
Kostenzeilen für Budget und Register
| Pflicht | Kostenzeile | Wo sie sichtbar wird | Rhythmus | Owner |
|---|---|---|---|---|
| Register, Art. 28 Abs. 3 | Zuordnung Konto zu Vertrag, Kostenermittlung, Einreichung | interne Arbeitszeit | jährlich | Finance und Compliance |
| Verträge, Art. 30 | Prüfung, Nachverhandlung, Addenda | Rechtsberatung | bei Abschluss und Änderung | Recht und Einkauf |
| Ausstiegsplan, Art. 28 Abs. 8 | Egress, Zielumgebung, Parallelbetrieb, Migrationsarbeit | Data-Transfer-Zeilen, zweites Konto, Personentage | je Probelauf | Engineering |
| Konzentration, Art. 29 | Bewertung, gegebenenfalls Standby | Zeilen der zweiten Region oder des zweiten Anbieters | laufend, falls beschlossen | Geschäftsführung |
| Backup, Art. 12 | getrennte Kopien, Restore-Tests | Backup-Speicher, Snapshots, Cross-Region-Transfer | laufend | Engineering |
| Tests, Art. 24 bis 26 | Testumgebung, externe Tester, gegebenenfalls TLPT | Compute in Testkonten, Dienstleisterrechnungen | jährlich, TLPT alle drei Jahre | Security |
| Logs und Meldung, Art. 17 bis 19 | Log-Aufnahme, Aufbewahrung, Bereitschaft | CloudTrail, Log Analytics, Cloud Logging | laufend | Plattform-Team |
Bei der Aufbewahrung lohnt ein Blick auf die Standardwerte: Azure Log Analytics hält die meisten Tabellen standardmäßig 30 Tage, verlängerbar auf insgesamt bis zu zwölf Jahre, abgerechnet nach Datenvolumen und Tagen. Der _Default-Bucket in Google Cloud Logging speichert 30 Tage, einstellbar von 1 bis 3.650 Tagen. Bei AWS CloudTrail ist die erste Kopie der Management-Events kostenlos; weitere Kopien, Data Events und der S3-Speicher kosten extra.
Was SaaS-Anbieter für Finanzkunden einpreisen
Jede Klausel aus Art. 30 wird beim Anbieter zu Aufwand. Kalkulieren Sie vor dem ersten Bankvertrag:
- Datenstandort: Zugesagte Regionen und Vorankündigungspflichten schränken spätere Regionswechsel ein.
- Vorfallunterstützung: Sie ist kostenlos oder zu vorab festgelegten Kosten zu leisten, also gehört der Preis vorher in den Vertrag.
- Prüf- und Zugangsrechte, TLPT-Teilnahme: Planen Sie Personentage und gegebenenfalls einen getrennten Test-Mandanten.
- Übergangszeitraum: Nach einer Kündigung betreiben Sie den Dienst weiter und liefern einen Export. Beides kostet Infrastruktur.
- Unterauftragnehmer: Ihr Cloud-Anbieter steht in der Kette Ihres Kunden; die Delegierte Verordnung (EU) 2025/532 regelt diese Unterauftragsvergabe.
Entscheiden Sie bewusst, ob Sie ein Standard-Addendum anbieten oder jeden Vertrag einzeln verhandeln.
Prüfsequenz in fünf Schritten
- Funktionen einstufen. Compliance legt fest, welche Funktionen kritisch oder wichtig sind und welche Cloud-Verträge sie stützen.
- Kostenquelle je Vertrag festlegen. AWS-Organisation, Azure-Abrechnungskonto oder Google-Cloud-Rechnungskonto, Marketplace-Positionen getrennt, dazu ein Tag oder Label mit der Vertragsreferenz.
- Vorjahreskosten ableiten. Summieren Sie je Vertrag in der Registerwährung und dokumentieren Sie Abfrage und Datenstand.
- Ausstiegsszenario als Formel rechnen. Datenvolumen × Transferpreis + Monate Parallelbetrieb × Monatskosten der Zielumgebung + Personentage × Tagessatz.
- Posten in die Planung übernehmen. Mit Owner und Prüfturnus, wie in Cloud-Budget 2027 planen beschrieben.
Häufige Fehler
- Registerwert aus der Gesamtrechnung: Support, Marketplace und Steuern landen im falschen Vertrag.
- Ausstiegsplan als reine Egress-Rechnung: Parallelbetrieb und der Neuaufbau verwalteter Dienste fehlen.
- Multi-Cloud als Reflex: Art. 29 verlangt eine Abwägung, kein Doppelbudget.
- Log-Aufbewahrung nie festgelegt: Entweder fehlen Daten für die Meldung, oder die Kosten wachsen unbemerkt.
Fragen an Rechtsberatung und Compliance
- Sind wir Finanzunternehmen nach Art. 2 Abs. 2, greift eine Ausnahme nach Abs. 3 oder der vereinfachte Rahmen nach Art. 16?
- Welche unserer Funktionen sind kritisch oder wichtig, und welche Cloud-Verträge stützen sie?
- Decken die Addenda unserer Cloud-Anbieter Art. 30 Abs. 2 und 3 ab, und an welche Vertragsform sind sie gebunden?
- Welche Testtiefe erwartet die Aufsicht, und sind wir für TLPT bestimmt?
- Welche Aufbewahrungsfristen für Logs und Backups setzt unsere Richtlinie, und woraus leiten sie sich ab?
- Wie ändert sich unser Meldeweg, falls der Digital-Omnibus-Vorschlag COM(2025) 837 die zentrale Meldestelle einführt? Am 10. Oktober 2026 ist er noch nicht beschlossen.
Was Costfluent beitragen kann
Costfluent liest Abrechnungsdaten von AWS, Azure und Google Cloud über schreibgeschützte Verbindungen und zeigt Kosten nach Anbieter, Konto, Service, Ressource und Tag. Mit Allocation-Regeln und Segmenten ordnen Sie Kosten Verantwortlichen zu, etwa dem Produkt, das eine kritische Funktion trägt; ein gespeicherter Kostenbericht kann regelmäßig per E-Mail an Compliance gehen. Das ergibt eine nachvollziehbare Grundlage für das Kostenfeld im Register, aber keinen DORA-Nachweis. Wenn Sie Costfluent selbst als IKT-Dienstleister bewerten, beschreibt die Seite Sicherheit Hosting-Land, Zugriffsumfang und Zertifizierungsstand.
Quellen und Methode
Geprüft am 10. Oktober 2026: Verordnung (EU) 2022/2554 (DORA), Durchführungsverordnung (EU) 2024/2956 zum Informationsregister, Delegierte Verordnung (EU) 2024/1774 zum IKT-Risikomanagement, Delegierte Verordnung (EU) 2025/301 zur Vorfallmeldung, Delegierte Verordnung (EU) 2025/1190 zu TLPT, Delegierte Verordnung (EU) 2025/532 zur Unterauftragsvergabe, ESA-Liste kritischer IKT-Drittdienstleister vom 18. November 2025, BaFin-FAQ zu DORA, BaFin zum Informationsregister, BaFin-Workshop zur Registereinreichung 2026, Finanzmarktdigitalisierungsgesetz, Data Act, Verordnung (EU) 2023/2854, Verfahren 2025/0360(COD) zum Digital Omnibus, AWS zu DORA, Google Cloud zu DORA-Verträgen, Azure Monitor: Aufbewahrung, Cloud Logging: Aufbewahrung, AWS CloudTrail Preise. Die Tabellen, die Prüfsequenz und die Fragen sind Costfluent-Empfehlungen und keine Rechtsberatung.
