Odenwald IT Service
DORA-konformes Hosting für Banken und Finanzdienstleister
Wir betreiben Websites und Webanwendungen von Finanzunternehmen auf Infrastruktur in Deutschland und liefern die vollständige Dokumentenkette dazu: Auftragsverarbeitungsvertrag mit technischen und organisatorischen Maßnahmen, IKT-Dienstleistungsvereinbarung nach Art. 28 bis 30 DORA, Leistungsschein mit messbaren Service-Levels und die Zuarbeit zu Ihrem Informationsregister.
Das Paket wurde von einer Genossenschaftsbank geprüft und unterzeichnet. Es liegt vor und muss für Ihr Haus nicht neu erarbeitet werden.
- Rechtsgrundlage Verordnung (EU) 2022/2554, anwendbar seit 17. Januar 2025
- Vertragspaket Vollständig vorhanden, durch ein Institut geprüft
- Verarbeitungsort Ausschließlich Deutschland, keine Drittlandübermittlung
- Verfügbarkeit Mindestens 99,5 Prozent, Reaktion Prio 1 in zwei Stunden
Seit dem 17. Januar 2025 wird jeder IKT-Dienstleister mitgeprüft
Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor gilt seit dem 17. Januar 2025 unmittelbar. Sie verpflichtet nicht nur das Finanzunternehmen selbst, sondern greift über die Art. 28 bis 30 direkt in jedes Vertragsverhältnis mit einem IKT-Dienstleister durch. Auch dann, wenn dieser nur eine Website betreibt.
In der Praxis heißt das: Ein Vertrag, der die Mindestinhalte aus Art. 30 nicht abbildet, ist ein Prüfungsbefund. Ein Dienstleister, der die Felder für das Informationsregister nicht liefern kann, verursacht Nacharbeit im Meldeprozess. Und ein Dienstleister, der das Thema erst nach Vertragsschluss zur Kenntnis nimmt, blockiert das Auslagerungsmanagement über Monate.
Die meisten Webagenturen und regionalen IT-Dienstleister haben diese Unterlagen nicht. Wir haben sie, weil wir den Prozess mit einem Institut vollständig durchlaufen haben.
- Art. 28 DORA Grundsätze und Informationsregister Steuerung des IKT-Drittparteienrisikos, Führung eines Informationsregisters über alle Vertragsverhältnisse (Abs. 3), Ausstiegsstrategien für kritische und wichtige Funktionen (Abs. 8).
- Art. 29 DORA Bewertung des Konzentrationsrisikos Vorherige Bewertung, ob durch die Beauftragung ein IKT-Konzentrationsrisiko entsteht, einschließlich der Betrachtung eingesetzter Subunternehmer.
- Art. 30 DORA Pflichtinhalte des Vertrags Mindestinhalte für jede IKT-Dienstleistung (Abs. 2) und zusätzliche Anforderungen, sobald eine kritische oder wichtige Funktion unterstützt wird (Abs. 3): quantitative Leistungsziele, Meldepflichten bei Vorfällen, Zugangs- und Prüfrechte, Kündigungs- und Ausstiegsregelungen.
Der DORA-Onboarding-Prozess ist bei uns einmal vollständig durchlaufen
Wir hosten die Webpräsenz einer Genossenschaftsbank aus dem Neckar-Odenwald-Kreis unter DORA-Bedingungen. Der Vertrag ist unterzeichnet, das Hosting läuft. Vorausgegangen ist der komplette Weg durch das Auslagerungs- und Informationssicherheitsmanagement des Instituts.
- Vertragsunterlagen erstellt, durch die Bank geprüft und in Abstimmung nachgeschärft
- Einstufung der Leistung als kritische oder wichtige Funktion gemeinsam bewertet
- Angaben für das Informationsregister nach Art. 28 Abs. 3 DORA zugeliefert
- Nachweise zur Infrastruktur und zum Subunternehmerverhältnis vorgelegt
- Vertrag unterzeichnet, Migration und Betriebsübernahme abgeschlossen
Was Sie von uns bekommen
Die Unterlagen, die Ihr Auslagerungsmanagement für die Akte benötigt, plus den Ansprechpartner, der die Rückfragen dazu beantwortet.
-
Auftragsverarbeitungsvertrag
AVV nach Art. 28 DSGVO einschließlich der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, mit benannten Subunternehmern und geregelten Weisungs- und Löschpflichten.
-
IKT-Dienstleistungsvereinbarung
Vertragsdokument mit den Pflichtinhalten der Art. 28 bis 30 DORA: Leistungsbeschreibung, Verarbeitungsorte, Meldewege bei IKT-Vorfällen, Zugangs- und Prüfrechte, Kündigungs- und Ausstiegsregelungen.
-
Leistungsschein mit SLAs
Messbare Service-Levels statt allgemeiner Zusagen: Verfügbarkeit, Reaktionszeiten nach Priorität, Wiederherstellungszeiten und Fristen für Sicherheitsupdates, jeweils mit Definition und Bezugszeitraum.
-
Zuarbeit zum Informationsregister
Wir liefern die Angaben zu unserem Vertragsverhältnis in der von den Aufsichtsbehörden vorgegebenen Struktur und melden Änderungen an Subunternehmern oder Verarbeitungsorten ohne Nachfrage.
-
Vorbereitete Funktionseinstufung
Die Einstufung als kritische oder wichtige Funktion trifft Ihr Haus. Wir liefern die Grundlage dafür vorbereitet mit: Leistungsabgrenzung, Abhängigkeiten, Ausfallfolgen und Wiederanlaufzeiten.
-
Ansprechpartner mit Fachkenntnis
Die Rückfragen aus der Prüfung beantwortet nicht ein Support-Postfach, sondern die Person, die den Prozess bereits einmal durchlaufen hat. Das verkürzt die Abstimmungsschleifen spürbar.
Infrastruktur und Nachweislage
Wir betreiben kein eigenes Rechenzentrum. Die Infrastruktur stellt ein zertifizierter Betreiber, den wir als Subunternehmer im Vertrag benennen. Diese Kette ist offengelegt, weil sie für Ihre Konzentrationsrisikobewertung nach Art. 29 DORA relevant ist.
| Betreiber der Infrastruktur | Mittwald CM Service GmbH & Co. KG, Espelkamp, benannt als Subunternehmer |
|---|---|
| Zertifizierung des Betreibers | ISO/IEC 27001:2022, ausgestellt durch TÜV Rheinland, gültig bis 03.03.2028 |
| Standort der Verarbeitung | Ausschließlich Deutschland. Keine Übermittlung in Drittländer, kein Zugriff aus Drittländern im Regelbetrieb |
| Datensicherung | Tägliche Backups mit definierter Vorhaltedauer, Wiederherstellung auf Anforderung |
| Überwachung | Monitoring rund um die Uhr auf Erreichbarkeit und Systemzustand, Alarmierung an den Bereitschaftskanal |
| Abwehr von Überlastangriffen | DDoS-Schutz auf Netzebene durch den Infrastrukturbetreiber |
| Datenschutzaufsicht | Externer Datenschutzbeauftragter mit jährlicher Prüfung und schriftlichem Datenschutzbericht |
Die ISO-Zertifizierung bezieht sich auf den Betrieb der Rechenzentren und Plattformdienste durch den Infrastrukturbetreiber, nicht auf uns als Vertragspartner. Wir weisen das so aus, weil eine unklare Zuordnung in der Prüfung regelmäßig zurückkommt.
Zugesicherte Werte aus dem Leistungsschein
Art. 30 Abs. 3 DORA verlangt für kritische und wichtige Funktionen quantitative Leistungsziele. Diese Werte sind vertraglich zugesichert und nicht als Richtwert gemeint.
| Kennzahl | Zusage | Bezug |
|---|---|---|
| Verfügbarkeit | ≥ 99,5 % | Im Monatsmittel, ohne angekündigte Wartungsfenster |
| Reaktionszeit Priorität 1 | ≤ 2 Stunden | Vollständiger Ausfall oder Sicherheitsvorfall, ab Eingang der Meldung |
| Reaktionszeit Priorität 2 | ≤ 4 Stunden | Erhebliche Funktionseinschränkung ohne vollständigen Ausfall |
| Wiederherstellung aus Backup | ≤ 4 Stunden | Ab Freigabe der Wiederherstellung durch das Institut |
| Kritische Sicherheitsupdates | ≤ 24 Stunden | Ab Verfügbarkeit des Herstellerpatches |
Servicezeiten, Meldewege, Eskalationsstufen und die Definition der Prioritätsklassen sind im Leistungsschein ausformuliert. Abweichende Werte für einzelne Anwendungen lassen sich dort abbilden.
In vier Schritten zum Vertrag
-
Erstgespräch
Wir klären, welche Anwendung betrieben werden soll, welche Daten dabei verarbeitet werden und wer bei Ihnen die Auslagerung verantwortet. Dauer in der Regel eine Stunde.
-
Einstufung der Funktion
Sie entscheiden, ob die Leistung eine kritische oder wichtige Funktion unterstützt. Wir liefern die dafür nötigen Angaben zu Abhängigkeiten, Ausfallfolgen und Wiederanlaufzeiten.
-
Vertragspaket
Sie erhalten AVV, IKT-Dienstleistungsvereinbarung und Leistungsschein zur Prüfung, dazu die Nachweise. Anpassungen an Ihre internen Vorgaben stimmen wir schriftlich ab.
-
Onboarding
Migration oder Neuaufbau, Abnahme, Übergabe der Meldewege. Anschließend laufender Betrieb mit den vereinbarten Service-Levels und jährlicher Nachweisaktualisierung.
Unterlagen auf Anfrage
Diese Dokumente versenden wir an Ihr Auslagerungs- oder Informationssicherheitsmanagement, auch schon vor einer Beauftragung. Eine Vertraulichkeitsvereinbarung schließen wir auf Wunsch vorab ab.
- ISO/IEC 27001:2022-Zertifikat des Infrastrukturbetreibers, ausgestellt durch TÜV Rheinland
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, in schriftlicher Fassung
- Aktueller Prüf- und Auditbericht zur eingesetzten Plattform
- Datenschutzbericht des externen Datenschutzbeauftragten aus der letzten Jahresprüfung
- Musterfassung des vollständigen Vertragspakets zur Vorabprüfung
- Übersicht der eingesetzten Subunternehmer mit Sitz und Leistungsanteil
Fragen aus der Prüfpraxis
Sind Sie ein kritischer IKT-Drittdienstleister im Sinne der DORA?
Nein. Die Benennung als kritischer IKT-Drittdienstleister nach Art. 31 DORA nehmen die Europäischen Aufsichtsbehörden vor, und sie betrifft Anbieter von systemischer Bedeutung. Wir sind ein IKT-Drittdienstleister nach Art. 3 Nr. 19 DORA. Ob die von uns erbrachte Leistung eine kritische oder wichtige Funktion unterstützt, entscheidet Ihr Institut. Wir liefern die Angaben, die Sie für diese Einstufung benötigen.
Wer pflegt das Informationsregister nach Art. 28 Abs. 3 DORA?
Die Pflicht liegt beim Finanzunternehmen, sie lässt sich nicht auf den Dienstleister verlagern. Wir liefern die Angaben zu unserem Vertragsverhältnis in der von den Aufsichtsbehörden vorgegebenen Struktur zu und melden Änderungen an Subunternehmern oder am Verarbeitungsstandort ohne gesonderte Nachfrage. In der Praxis ist genau diese Zulieferung der Punkt, an dem Registermeldungen sonst hängen bleiben.
Können wir unsere Audit- und Zugangsrechte wahrnehmen?
Ja. Zugangs-, Inspektions- und Zugriffsrechte nach Art. 30 Abs. 3 DORA sind in der IKT-Dienstleistungsvereinbarung geregelt, einschließlich der Rechte gegenüber dem Rechenzentrumsbetreiber als Subunternehmer. Für die Regelprüfung stellen wir Zertifikate, TOM und Prüfberichte bereit, sodass eine Vor-Ort-Prüfung in den meisten Fällen nicht nötig wird.
Was passiert bei Vertragsende?
Der Vertrag regelt die Ausstiegsphase: Herausgabe der Daten in einem gängigen Format, Unterstützung bei der Übergabe an einen Nachfolgedienstleister, Fortführung des Betriebs während der Übergangszeit und die anschließende Löschung mit Löschbestätigung. Für kritische und wichtige Funktionen fordert Art. 28 Abs. 8 DORA eine dokumentierte Ausstiegsstrategie, unsere Regelungen sind darauf abgestimmt.
Wie lange dauert das Onboarding?
Das Vertragspaket versenden wir innerhalb weniger Arbeitstage nach dem Erstgespräch, da es nicht erst erstellt werden muss. Die Gesamtdauer bestimmt in der Praxis die Prüfung durch Ihr Auslagerungs- und Informationssicherheitsmanagement, nicht die technische Einrichtung. Diese liegt je nach Umfang bei wenigen Tagen bis zwei Wochen.
Betreuen Sie auch Anwendungen jenseits klassischer Websites?
Ja. Neben Webauftritten betreiben wir Webanwendungen, Formular- und Portalstrecken sowie KI-gestützte Assistenzsysteme auf derselben Plattform und unter denselben Vertragsbedingungen. Was im Einzelfall sinnvoll ist, klären wir vor der Einstufung, weil die Antwort die Bewertung der Funktion beeinflusst.
Unterlagen anfordern oder Gespräch vereinbaren
Schildern Sie kurz, welche Anwendung betroffen ist und in welchem Stadium Ihre Prüfung steht. Wir melden uns mit den passenden Unterlagen und einem Terminvorschlag zurück, in der Regel am selben oder am nächsten Werktag.
Ihre Angaben werden ausschließlich zur Bearbeitung der Anfrage verwendet. Einzelheiten in der Datenschutzerklärung.
Weitere Leistungen: IT-Komplettbetreuung · IT-Sicherheit · Server & Netzwerk · Microsoft 365 Betreuung · KI-Chatbot
Diese Seite beschreibt den Leistungsumfang von Odenwald IT Service als IKT-Dienstleister. Sie ist keine Rechtsberatung und ersetzt weder die aufsichtsrechtliche Bewertung noch die Einstufung durch Ihr Institut. Die Verantwortung für das Management des IKT-Drittparteienrisikos verbleibt nach Art. 28 Abs. 1 DORA beim Finanzunternehmen.