Art. 30 der Verordnung (EU) 2022/2554 (DORA) schreibt seit dem 17. Januar 2025 für jeden Vertrag über IKT-Dienstleistungen einen Mindestkatalog an Klauseln vor: Rückgabe der Daten bei Insolvenz, Kündigungsfristen, bei kritischen Funktionen zusätzlich ein uneingeschränktes Prüfrecht, eine Ausstiegsphase und Bedingungen für die Weitervergabe. Die meisten nach Schweizer Muster aufgesetzten Dienstleisterverträge enthalten diese Klauseln nicht — auch jene nicht, die der FINMA seit Jahren genügen. Sichtbar wird das nicht erst beim Audit: Das Informationsregister nach Art. 28 Abs. 3 DORA legt jede Lücke offen, und aus den gemeldeten Registern bezeichneten die europäischen Aufsichtsbehörden am 18. November 2025 die ersten 19 kritischen IKT-Drittdienstleister.

Zwei Stufen, ein Mindestkatalog

Die Norm arbeitet zweistufig. Art. 30 Abs. 2 DORA gilt für jeden IKT-Vertrag, gleich welcher Bedeutung. Er verlangt eine vollständige Leistungsbeschreibung samt Angabe, ob und unter welchen Bedingungen weitervergeben werden darf (lit. a), die Verarbeitungs- und Speicherorte (lit. b), die Rückgabe der Daten bei Insolvenz oder Vertragsende (lit. d) sowie Mindest-Kündigungsfristen, die mit den Erwartungen der zuständigen Behörden und der Abwicklungsbehörden vereinbar sein müssen (lit. h). Stützt die Leistung eine «kritische oder wichtige Funktion», kommt Art. 30 Abs. 3 hinzu. Welche Verträge in diese strenge Stufe fallen, bestimmt das Finanzunternehmen selbst — die Einstufung als «kritisch oder wichtig» ist seine dokumentierte Risikobeurteilung, nicht die des Anbieters. Dort stehen die Klauseln mit Zähnen: die Mitwirkung an Threat-Led Penetration Testing (TLPT) nach lit. d in Verbindung mit Art. 26 f. DORA, ein uneingeschränktes Zugangs-, Inspektions- und Prüfrecht des Finanzunternehmens, eines beauftragten Dritten und der zuständigen Behörde (lit. e Ziff. i) sowie eine Ausstiegsstrategie mit verpflichtender, angemessener Übergangsphase (lit. f).

Schon die Form überfordert manchen Vertragsbestand. Art. 30 Abs. 1 DORA verlangt den vollständigen Vertrag samt Service-Level-Vereinbarungen in einem einzigen, dauerhaft abrufbaren Dokument. Das über Jahre gewachsene Geflecht aus Rahmenvertrag, Anhängen und E-Mail-Nebenabreden genügt dem nicht.

Was die Ausstiegsklausel kostet, zeigt sich erst im Streitfall. Art. 30 Abs. 3 lit. f DORA verlangt eine Übergangsphase, in der auch der gekündigte oder insolvente Anbieter weiterleisten muss, bis die Migration steht. Wer das nicht ausdrücklich vereinbart, verhandelt diese Phase im Moment der Eskalation nach — zum schlechtesten Zeitpunkt und zum Preis des Anbieters. «Uneingeschränkt» in lit. e Ziff. i heisst, dass keine andere Klausel, etwa eine Vertraulichkeits- oder Subunternehmerabrede, den Zugang faktisch aushebeln darf. Ein Standardvertrag, der dem Anbieter die Wahl des Prüfformats überlässt, erfüllt das nicht.

Wo der FINMA-Vertrag nicht reicht

Der Schweizer Leser kennt diese Pflichten in Teilen. Das FINMA-Rundschreiben 2018/3 «Outsourcing – Banken und Versicherer» verlangt seit 2018 ein uneingeschränktes Prüf- und Zugangsrecht für Institut, Prüfgesellschaft und FINMA, dazu eine Ausstiegsstrategie und Vorgaben zur Weiterverlagerung. Wer daraus schliesst, sein Vertragswerk sei DORA-fest, irrt an zwei Stellen. Erstens der Zuschnitt: RS 2018/3 greift bei der wesentlichen Auslagerung; Art. 30 Abs. 2 DORA erfasst jeden IKT-Vertrag, Abs. 3 jede kritische oder wichtige Funktion. Das ist ein anderer und weiterer Filter. Zweitens der Adressat des Prüfrechts: Der nach RS 2018/3 gebaute Vertrag räumt das Auditrecht der FINMA ein, nicht der BaFin, der EZB oder der federführenden Überwachungsbehörde (Lead Overseer) nach DORA. Die TLPT-Mitwirkung nach Art. 30 Abs. 3 lit. d hat im Rundschreiben keine Entsprechung.

Das Register macht die Lücke meldepflichtig

Die gängige Lesart behandelt das Register als Fleissarbeit für die zweite Reihe. Das verkennt seine Funktion. Die Durchführungsverordnung (EU) 2024/2956 giesst die Registerpflicht des Art. 28 Abs. 3 DORA in fünfzehn Meldevorlagen: Jeder IKT-Vertrag ist mit Kündigungsfrist, Datenstandort, gestützter Funktion und, bei kritischen oder wichtigen Funktionen, denjenigen Unterauftragnehmern einzutragen, die diese Funktionen effektiv unterstützen. Ein Vertrag, der diese Punkte nie geregelt hat, liefert die Felder nicht; die leere Zelle wandert zur nationalen Aufsicht und von dort jährlich weiter an die europäischen Aufsichtsbehörden. Dass dies kein Ablageritual ist, belegt der 18. November 2025: Aus eben diesen Registern leiteten die Behörden die erste Liste der kritischen Anbieter ab.

Wen es in der Schweiz trifft

Drei Konstellationen sind für die Schweizer Rechtsabteilung relevant. Die EU-Tochter eines Schweizer Finanzkonzerns ist Finanzunternehmen im Sinne von Art. 2 DORA; ihre in Zürich nach Konzernmuster verhandelten IKT-Verträge müssen Art. 30 genügen, nicht bloss RS 2018/3. Der Schweizer IKT-Anbieter, der EU-Finanzunternehmen beliefert, bekommt die DORA-Nachträge seiner Kunden auf den Tisch: uneingeschränkter Zugang auch für die EU-Aufsicht, Übergangspflicht beim Ausstieg, Offenlegung der Subunternehmer. Und wird er nach Art. 31 DORA als kritischer Anbieter bezeichnet, muss er gemäss Art. 31 Abs. 12 binnen zwölf Monaten eine Tochtergesellschaft in der Union gründen; andernfalls dürfen ihn EU-Finanzunternehmen nicht weiter beauftragen.

Der erste Schritt ist nicht die Vertragssanierung, sondern der Registerfilter: Ordnen Sie jeden IKT-Vertrag einer Meldevorlage zu, markieren Sie die kritischen und wichtigen Funktionen und prüfen Sie für diese drei Klauseln — das Prüfrecht der zuständigen EU-Behörde (Art. 30 Abs. 3 lit. e), die Übergangsphase (lit. f) und die Weitervergabebedingungen (Abs. 2 lit. a). Was fehlt, ist Nachverhandlungsstoff vor dem nächsten Stichtag.

Wie weit die Weitervergabe-Klausel reichen muss, war lange offen. Die Kommission wies den ersten Entwurf des technischen Standards zurück, weil die darin enthaltene Pflicht zur Überwachung der gesamten Subunternehmerkette das Mandat aus Art. 30 Abs. 5 DORA überschritt. Der bereinigte Standard gilt seit dem 22. Juli 2025 als Delegierte Verordnung (EU) 2025/532 — ohne die Pflicht zur Kettenüberwachung, aber mit eigenen Sorgfaltspflichten: Risikobeurteilung, Weitervergabebedingungen und ein Kündigungsrecht bei Verstoss gegen die vereinbarten Konditionen. Bekannt ist damit der Klauselkatalog, bekannt ist die Sichtbarkeit der Lücke; offen ist allein, ob die nächste Bezeichnungsrunde erstmals einen Schweizer Anbieter erfasst und damit die Zwölf-Monats-Frist des Art. 31 Abs. 12 auslöst. Die Antwort steht in der nächsten Liste der Aufsichtsbehörden.