Seit Januar 2025 müssen Finanzunternehmen in der EU ihre IKT-Risiken nach einheitlichen Regeln steuern, dokumentieren und nachweisen. Für das DORA Software Lizenzmanagement bedeutet das: Software ist nicht mehr nur ein Betriebsmittel, sondern Teil einer regulatorisch geforderten IKT-Asset- und Vertragsdokumentation. Dieser Ratgeber ordnet ein, was der Digital Operational Resilience Act (DORA) verlangt, und zeigt, wie lückenlose Lizenz- und Herkunftsnachweise in diese Anforderungen einzahlen.
Hinweis: Dieser Beitrag stellt allgemeine Grundzüge dar und ersetzt keine Rechts- oder Compliance-Beratung im Einzelfall.
DORA Software Lizenzmanagement: Seit wann und für wen gilt die Verordnung
DORA, die Verordnung (EU) 2022/2554, trat bereits am 16. Januar 2023 in Kraft und ist seit dem 17. Januar 2025 nach einer zweijährigen Übergangsfrist unmittelbar anwendbar. Sie gilt laut BaFin für so gut wie alle beaufsichtigten Finanzunternehmen des europäischen Finanzsektors, darunter Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen, Versicherer und Vermögensverwalter, insgesamt rund 20 Arten von Finanzunternehmen. Zusätzlich erfasst DORA IKT-Drittdienstleister, insbesondere solche, die als kritisch eingestuft und einer direkten Aufsicht unterworfen werden.
Was DORA für IKT-Asset- und Vertragsdokumentation verlangt
Kern der Verordnung ist ein umfassendes IKT-Risikomanagement, mit einem vereinfachten Rahmen für kleinere Institute nach Artikel 16 und Standardanforderungen nach den Artikeln 5 bis 15 für die übrigen betroffenen Unternehmen. Zusätzlich schreibt Artikel 28 ein Informationsregister über sämtliche IKT-Drittdienstleister und die zugehörigen Verträge vor. Finanzunternehmen in Deutschland müssen dieses Register über das BaFin-Portal melden. Damit rückt eine strukturierte, aktuelle Dokumentation aller eingesetzten IKT-Dienstleistungen und Software-Lieferanten in den Mittelpunkt der Compliance-Arbeit, nicht nur die technische Absicherung selbst.
Für die betroffenen Unternehmen bedeutet das in der Praxis einen erheblichen Dokumentationsaufwand: Jeder Vertrag mit einem IKT-Drittdienstleister, von der Softwarelizenz bis zum Cloud-Dienst, muss identifizierbar, nachvollziehbar und im Register hinterlegt sein. Wo diese Dokumentation bislang dezentral in einzelnen Fachabteilungen oder gar nicht strukturiert vorlag, braucht es einen zentralen, gepflegten Überblick, der sich auf Anfrage der Aufsicht kurzfristig vorlegen lässt.
Wie Rechtekette und Lizenznachweise in DORA einzahlen
Eine vollständig dokumentierte Rechtekette, bestehend aus Rechnungen, Übertragungs- und gegebenenfalls Löschungserklärungen, liefert einen konkreten Baustein für die von DORA geforderte Asset- und Vertragsdokumentation. Sie beantwortet Fragen, die im Rahmen des IKT-Risikomanagements ohnehin dokumentiert werden müssen: Welche Software ist im Einsatz, seit wann, über welchen Anbieter beschafft und wie ist die rechtmäßige Nutzung belegt. Eine detaillierte Übersicht, welche Dokumente zu einer vollständigen Rechtekette gehören, bietet unsere Checkliste zur Rechtekette. Der erste Schritt dahin ist meist eine saubere Bestandsaufnahme des vorhandenen Lizenzbestands, wie sie unsere Lizenz-Bestandsanalyse unterstützt. Gerade bei gewachsenen IT-Umgebungen mit mehreren Beschaffungswegen über die Jahre lohnt sich dieser Abgleich, bevor das Informationsregister erstmals oder erneut befüllt wird, damit keine Lücken zwischen tatsächlichem Bestand und gemeldeten Angaben entstehen.
On-Premises-Kauflizenzen und Anbieterunabhängigkeit
Ein Aspekt, der im DORA-Kontext an Bedeutung gewinnt, ist die Frage der Anbieterabhängigkeit. On-Premises-Kauflizenzen mit vollständiger Dokumentation liegen dauerhaft im eigenen Bestand des Finanzunternehmens und sind unabhängig von der fortlaufenden vertraglichen Beziehung zu einem einzelnen Cloud-Anbieter nutzbar. Das kann die Übersicht über Anbieterabhängigkeiten unterstützen, die im Rahmen des IKT-Risikomanagements ohnehin zu bewerten sind, ersetzt aber nicht die eigentliche Risikoanalyse einzelner IKT-Dienstleister nach Artikel 28.
Für Finanzunternehmen, die ihren IKT-Bestand konsolidieren, kann der gezielte Ausbau eigener, dauerhaft nutzbarer Kauflizenzen neben laufenden Abo-Diensten eine sinnvolle Ergänzung sein: Während Cloud-Abonnements regelmäßig neu verhandelt und dokumentiert werden müssen, bleibt eine einmal erworbene und dokumentierte On-Premises-Lizenz mit ihrer Rechtekette über die gesamte Nutzungsdauer im selben Nachweisstatus. Das reduziert den wiederkehrenden Dokumentationsaufwand für diesen Teil des IKT-Bestands.
Abgrenzung zu NIS-2: anderer Adressatenkreis
DORA wird gelegentlich mit der NIS-2-Richtlinie verwechselt, richtet sich aber an einen anderen, spezifisch finanzsektorbezogenen Adressatenkreis: beaufsichtigte Finanzunternehmen und ihre kritischen IKT-Drittdienstleister, geregelt über eine unmittelbar geltende EU-Verordnung. NIS-2 adressiert dagegen ein branchenübergreifendes Spektrum kritischer und wichtiger Einrichtungen über nationales Umsetzungsrecht. Ein Finanzunternehmen kann daher grundsätzlich ausschließlich DORA unterliegen, während ein Fertigungsbetrieb typischerweise nur von NIS-2 erfasst wird, auch wenn sich die zugrundeliegenden Anforderungen an IKT-Risikomanagement und Dokumentation in vielen Punkten ähneln. Wer wissen möchte, welche Software-Compliance-Anforderungen NIS-2 für den eigenen, breiteren Adressatenkreis stellt, findet dies in unserem separaten Ratgeber zur NIS-2-Software-Compliance.
Fazit: Dokumentation als gemeinsamer Nenner
Für ein tragfähiges DORA Software Lizenzmanagement zählt vor allem eines: eine lückenlose, jederzeit abrufbare Dokumentation von IKT-Assets, Verträgen und Lizenzherkunft. Eine geprüfte Rechtekette für jede eingesetzte Softwarelizenz liefert dafür einen belastbaren Baustein, unabhängig davon, ob die Lizenz neu oder gebraucht erworben wurde. Bei Lyzio erhalten Finanzunternehmen gebrauchte Microsoft-Kauflizenzen mit vollständiger, prüfbarer Dokumentation der Rechtekette.