DORA und NIS2 regeln die Auslagerung in die Cloud von zwei Seiten: DORA, die Verordnung (EU) 2022/2554, verlangt von Finanzunternehmen, jede Vereinbarung mit IKT-Drittdienstleistern zu erfassen, Verträge mit vorgegebenen Inhalten zu schließen und den Ausstieg vorzubereiten, und NIS2, die Richtlinie (EU) 2022/2555, verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagement und Meldungen, wobei sie die Anbieter von Cloud-Computing-Diensten selbst zu diesen Einrichtungen zählt. Keiner der beiden Texte ändert einen Listenpreis. Die Kosten entstehen aus dem, was sie verlangen: ein Register, das jemand pflegt, Verträge mit zusätzlichen Klauseln, Ausstiegspläne, die getestet werden, und Resilienz, die Kapazität in einer zweiten Region oder bei einem zweiten Anbieter bindet. Ob und wie weit die Texte für ein Unternehmen gelten, beurteilen Rechtsberatung und Aufsicht.
So funktioniert es
DORA
DORA gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten. Artikel 2 zählt zwanzig Arten von Finanzunternehmen auf, von Banken bis zu Versicherungen, und nennt IKT-Drittdienstleister als weitere Kategorie. IKT-Dienstleistungen sind nach Artikel 3 digitale und Datendienste, die über IKT-Systeme fortlaufend bereitgestellt werden; ausgenommen ist nur die herkömmliche analoge Telefonie. Vier Pflichten aus Kapitel V berühren die Cloud-Rechnung:
- Informationsregister. Artikel 28 Absatz 3 verlangt ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen, getrennt danach, ob sie kritische oder wichtige Funktionen unterstützen, und mindestens jährlich einen Bericht an die Behörde über neue Vereinbarungen. Die Vorlagen der Durchführungsverordnung (EU) 2024/2956 bilden die Lieferkette ab: Der direkte Dienstleister trägt Rang 1, jeder Unterauftragnehmer einen höheren Rang.
- Vertragsinhalte. Artikel 30 nennt Mindestinhalte, darunter die Orte der Datenverarbeitung, den Zugang zu Daten und ihre Rückgabe bei Insolvenz oder Vertragsende und die Pflicht des Dienstleisters, bei einem IKT-Vorfall ohne Aufpreis oder zu einem vorab festgelegten Preis zu helfen. Für kritische oder wichtige Funktionen kommen genaue Service Levels, uneingeschränkte Zugangs-, Inspektions- und Prüfrechte und eine Übergangsfrist für den Ausstieg hinzu.
- Ausstiegsstrategien. Für kritische oder wichtige Funktionen verlangt Artikel 28 Absatz 8 dokumentierte Ausstiegspläne, ausreichend getestet und regelmäßig überprüft, samt Übergangsplänen zu einem anderen Anbieter oder ins eigene Haus.
- Konzentrationsrisiko. Vor einem Vertrag für kritische oder wichtige Funktionen fragt Artikel 29, ob der Anbieter schwer ersetzbar ist und ob sich Vereinbarungen bei ihm bündeln, und verlangt, Nutzen und Kosten von Alternativen abzuwägen.
Kritische IKT-Drittdienstleister benennen die drei Europäischen Aufsichtsbehörden (ESA) nach Artikel 31. Ihre erste Liste vom 18. November 2025 nennt 19 Unternehmen, darunter Amazon Web Services EMEA SARL, Google Cloud EMEA Limited und Microsoft Ireland Operations Limited. Die Benennung stellt den Anbieter unter direkte Aufsicht.
NIS2
NIS2 wirkt über nationales Recht: Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und ab dem 18. Oktober 2024 anwenden. Anhang I führt im Sektor digitale Infrastruktur die Anbieter von Cloud-Computing-Diensten. Die genannten Arten sind ab mittlerer Unternehmensgröße erfasst, einige unabhängig von der Größe; Einrichtungen aus Anhang I oberhalb der Schwellen für mittlere Unternehmen sind wesentliche, die übrigen wichtige Einrichtungen. Zuständig für einen Cloud-Anbieter ist der Mitgliedstaat seiner Hauptniederlassung in der Union (Artikel 26).
Artikel 21 verlangt unter anderem Aufrechterhaltung des Betriebs mit Backup-Management und Notfallwiederherstellung sowie Sicherheit der Lieferkette, also auch der Beziehungen zu den eigenen Dienstleistern. Artikel 23 setzt Fristen für erhebliche Sicherheitsvorfälle: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht spätestens einen Monat danach. Die Durchführungsverordnung (EU) 2024/2690 konkretisiert die Anforderungen für Cloud-Anbieter; erheblich ist ein Vorfall dort unter anderem, wenn ein Dienst länger als 30 Minuten vollständig ausfällt. Für Finanzunternehmen verdrängt DORA die NIS2-Pflichten, soweit DORA mindestens gleichwertig ist (Artikel 4).
Deutschland hat NIS2 mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung umgesetzt, verkündet am 5. Dezember 2025. Sein Kern ist ein neues BSI-Gesetz mit Risikomanagementmaßnahmen (§ 30), Meldepflichten (§ 32), Registrierung (§ 33) und Pflichten der Geschäftsleitung (§ 38). EUR-Lex führt am Lesetag zwei Änderungsvorschläge der Kommission zu NIS2, beschlossen ist keiner.
Was die Provider veröffentlichen
| AWS | Microsoft | Google Cloud | |
|---|---|---|---|
| Auf der ESA-Liste | Amazon Web Services EMEA SARL | Microsoft Ireland Operations Limited | Google Cloud EMEA Limited (nach Google samt Töchtern in Frankreich, Italien und Polen) |
| DORA-Vertragsbedingungen | DORA Financial Services Addendum, auf Anfrage | bestehende Vertragsbedingungen samt Financial Services Amendment; DORA-Mapping auf Anfrage | angepasste Bedingungen zu Artikel 30, auf Anfrage; Mapping zu Artikel 30 |
| Hilfe für das Register | auf der DORA-Seite nicht genannt | auf der DORA-Seite nicht genannt | Leitfaden zum Informationsregister |
| Weitere Unterlagen | DORA-Leitfaden; Level-1-Arbeitsmappe und Level-2-Leitfaden in AWS Artifact | Compliance Program for Microsoft Cloud, ein Premium-Support-Angebot | Leitfaden zum IKT-Risikomanagement |
| NIS2 | Leitfaden NIS 2 Considerations for AWS Customers | NIS2 und DORA als Standards in Defender for Cloud | Sicherheitszusagen im Cloud Data Processing Addendum |
Was es für Ihre Kosten bedeutet
Die Kosten liegen in Arbeit, Verträgen und vorgehaltener Kapazität, und jeder Teil gehört zu einer Pflicht:
| Pflicht | Grundlage | Wo Kosten entstehen | Wo sie in den Kostendaten erscheinen |
|---|---|---|---|
| Register pflegen | DORA Art. 28 Abs. 3 | Erfassen jeder Vereinbarung samt Unterauftragnehmern | keine eigene Zeile |
| Hilfe bei Vorfällen | DORA Art. 30 Abs. 2 | Support-Vertrag oder vereinbarter Preis | Support-Plan |
| Ausstieg testen | DORA Art. 28 Abs. 8 | Parallelbetrieb, Datenexport, Migrationsarbeit | Datentransfer, doppelte Ressourcen |
| Konzentration und Kontinuität | DORA Art. 29, NIS2 Art. 21 | zweite Region oder zweiter Anbieter, Backups | Backup, Replikation, Transfer zwischen Regionen |
| Prüfen und Melden | DORA Art. 30 Abs. 3, NIS2 Art. 23 | Prüfrechte, Protokollierung, Bereitschaft | Logging- und Monitoring-Dienste |
Wie Support abgerechnet wird, zeigt Support-Pläne und ihre Abrechnung; ob ein bestimmter Plan Artikel 30 genügt, ist eine Vertragsfrage. Was ein Anbieterwechsel noch kosten darf, beschreibt Data Act und Wechselentgelte, die Kosten von Kopien und Notfallregionen Backup, Snapshots und Disaster Recovery.
Register und Kostendaten haben eine gemeinsame Quelle: die Rechnungen. Jedes Konto, jeder Marketplace-Verkäufer, jedes SaaS-Abo und jede Modell-API, die abrechnet, beruht auf einem Vertrag; die Abrechnungsdaten prüfen das Register also auf Vollständigkeit, und das Register ordnet jede Kostenzeile einer Vereinbarung zu. Wo Ausstieg und Konzentration in Entscheidungen gehören, beschreibt Kosten in Architektur- und Beschaffungsreviews, Verträge Cloud-Beschaffung: Kanäle, Verträge, Verlängerungen.
Wo es schiefgeht
- Die Compliance-Seite des Providers als eigene Erfüllung gelesen. Benennung und DORA-Nachtrag verlagern keine Pflicht; das Finanzunternehmen bleibt verantwortlich (Artikel 28 Absatz 1), wie auch Microsoft und Google festhalten.
- Ein Ausstiegsplan ohne Kosten. Der Plan nennt einen Zielanbieter, aber keinen Parallelbetrieb, keinen Datentransfer und keine Migrationsarbeit, und erst der Test findet die Lücke im Budget.
- Ein Register, das bei der Cloud-Plattform aufhört. SaaS-Werkzeuge, Monitoring, Modell-APIs und Marketplace-Käufe stammen oft von eigenen Anbietern mit eigenen Verträgen.
- Die Lieferkette fehlt. Die Vorlagen fragen nach Unterauftragnehmern mit Rang, und die Liste der Unterauftragsverarbeiter, auf die der Datenschutznachtrag von AWS verweist, ändert sich mit der Zeit.
- Bedingungen nie angefordert. AWS und Google geben ihre DORA-Bedingungen auf Anfrage heraus, über den Account Manager von AWS oder den Ansprechpartner bei Google Cloud.
- NIS2 nur beim Provider vermutet. Dass ein Cloud-Anbieter unter NIS2 fällt, sagt nichts darüber, ob der Kunde wesentliche oder wichtige Einrichtung ist; das ergibt sich aus nationalem Recht.
Ob ein Unternehmen unter DORA oder NIS2 fällt, ob eine Vereinbarung kritische oder wichtige Funktionen unterstützt und welche Klauseln genügen, entscheiden Rechtsberatung und Aufsicht.
Quellen
Gelesen am 2026-10-16. EUR-Lex Verordnung (EU) 2022/2554 (DORA), Durchführungsverordnung (EU) 2024/2956 zum Informationsregister, Richtlinie (EU) 2022/2555 (NIS2) und Durchführungsverordnung (EU) 2024/2690; ESMA Pressemitteilung der ESA zur Benennung kritischer IKT-Drittdienstleister und Liste der benannten Dienstleister; Bundesgesetzblatt BGBl. 2025 I Nr. 301 und BSI-Gesetz; AWS DORA, NIS 2 und die Verantwortung von AWS und Datenschutznachtrag; Microsoft What is DORA? und Regulatory compliance in Defender for Cloud; Google Cloud EU DORA und EU NIS2.