DORA Checkliste für Software für KI Präsentationen im Finanzsektor

DORA gilt für Ihr Institut, nicht für die Software, die Sie kaufen. Dieser eine Satz löst den größten Teil der Verwirrung auf, die mir in diesen Gesprächen begegnet.

Die Verordnung (EU) 2022/2554 trat am 17. Januar 2023 in Kraft und gilt seit dem 17. Januar 2025. Für erfasste Finanzunternehmen macht sie IKT Risikomanagement und das Management von IKT Drittparteien zur zentralen aufsichtlichen Erwartung. Verarbeitet ein Werkzeug für Präsentationen Ihre Daten oder unterstützt es eine Geschäftsfunktion, ist es eine von einer Drittpartei erbrachte IKT Dienstleistung und gehört in diesen Rahmen.

Kein Anbieter kann Ihnen daher DORA Konformität verkaufen. Was ein Anbieter kann: die vertraglichen Regelungen, Nachweise, Transparenz und Unterstützung liefern, die Ihre Vereinbarung braucht, um zu tragen. Das ist die Brille für alles Folgende.

Schritt 1: klären, ob das für Sie überhaupt einschlägig ist

Vor jeder Anbieterfrage zwei interne.

Ist Ihr Unternehmen erfasst? DORA deckt ein breites Spektrum an Finanzunternehmen ab. Der Anwendungsbereich und die Verfügbarkeit des vereinfachten Rahmens für das IKT Risikomanagement hängen von Typ und Merkmalen ab. Die BaFin hat Aufsichtsmitteilungen zur Umsetzung veröffentlicht, darunter Hinweise für kleinere und weniger komplexe Unternehmen zum vereinfachten Rahmen.

Welche Funktion unterstützt das Werkzeug? Nicht „Präsentationen“, sondern die konkrete Funktion. Aufsichtliche Meldepakete zu erstellen ist eine andere Antwort als internes Townhall Material zu bauen, und beide liegen an verschiedenen Punkten Ihrer Kritikalitätsbewertung.

Schreiben Sie diese Funktion auf, bevor Sie irgendetwas bewerten. Alles Weitere hängt daran.

Schritt 2: Kritikalität ehrlich bewerten

DORA fragt, ob die Vereinbarung eine kritische oder wichtige Funktion unterstützt. Für die meisten Präsentationswerkzeuge lautet die ehrliche Antwort nein, aber Sie müssen zu dieser Antwort über eine Prüfung kommen und nicht über eine Annahme, und automatisch ist sie nicht.

Erwägen Sie:

• Würde ein Ausfall oder eine Kompromittierung Ihre finanzielle Leistungsfähigkeit wesentlich beeinträchtigen?
• Würde er Solidität oder Kontinuität Ihrer Dienstleistungen und Tätigkeiten berühren?
• Würde er die Erfüllung aufsichtlicher Pflichten einschließlich Meldefristen beeinträchtigen?
• Welche Wirkung hätte Nichtverfügbarkeit, über welchen Zeitraum?
• Welche Wirkung hätte ein Vertraulichkeits oder Integritätsversagen im erzeugten Material?

Ein Werkzeug für aufsichtliche Meldepakete verdient mehr Aufmerksamkeit als eines für interne Updates. Laufen beide Anwendungsfälle auf demselben Werkzeug, bewerten Sie gegen den anspruchsvolleren und erwägen Sie eine Trennung.

Dokumentieren Sie Prüfung und Begründung. Eine Aufsicht, die nach einem Werkzeug fragt, will sehen, dass Sie nachgedacht haben, und nicht, dass Sie schnell entschieden haben.

Schritt 3: die vertraglichen Regelungen

DORA erwartet für IKT Dienstleistungen bestimmte Vertragsinhalte, und mehr davon bei Vereinbarungen zu kritischen oder wichtigen Funktionen. Arbeiten Sie das mit Recht durch statt Standardbedingungen zu akzeptieren.

Zwei Punkte werden am häufigsten überlesen. Prüf und Zugangsrechte, die im Vertrag stehen und praktisch nicht ausübbar sind, sind keine Prüfrechte. Und eine Mitteilung zur Unterauftragsvergabe ohne Widerspruchsrecht bedeutet, dass Sie Änderungen Ihres eigenen Risikoprofils ohne Mitsprache hinnehmen.

Schritt 4: das Informationsregister

Soweit die Vereinbarung erfasst ist, gehört sie in Ihr Informationsregister, im vorgegebenen maschinenlesbaren Format.

Was das für ein Präsentationswerkzeug praktisch verlangt:

• Die vertragliche Vereinbarung und ihre Kennungen.
• Die Identität des Anbieters, einschließlich Rechtsträgerkennung soweit vorhanden.
• Die unterstützte Funktion und ob es sich um eine kritische oder wichtige Funktion handelt.
• Die an der Leistungserbringung beteiligten Unterauftragnehmer.
• Verarbeitungs und Speicherorte nach Ländern.
• Datum der letzten Risikobewertung und die Kritikalitätsentscheidung.
• Vertragsdaten, Kündigungsfristen und anwendbares Recht.

Häuser berichten das Register konsistent als eine der schwierigeren DORA Pflichten, und der Grund ist nicht das Format. Es sind uneinheitliche Anbietermetadaten, unvollständige Vertragsverzeichnisse und fehlende Verantwortung für die Kette der Unterauftragnehmer. Lösen Sie das vor der Meldefrist und nicht während ihr.

Praktischer Rat: Fragen Sie die Registerfelder beim Anbieter bereits in der Beschaffung strukturiert ab. Ein Anbieter, der das bereithält, hat es schon durchlaufen. Ein Anbieter, der es neu zusammenbauen muss, verzögert Ihre Meldung.

Schritt 5: Konzentrationsrisiko

Betrachten Sie die Vereinbarung im Kontext Ihres gesamten IKT Bestands, nicht isoliert.

• Sitzt dieser Anbieter auf derselben zugrunde liegenden Cloudinfrastruktur wie mehrere Ihrer kritischen Anbieter?
• Welche Modellanbieter oder Unterauftragsverarbeiter stecken in der Kette, und tauchen sie anderswo in Ihrem Bestand auf?
• Wie viele Ihrer Funktionen wären bei Nichtverfügbarkeit dieses Anbieters gleichzeitig betroffen?
• Ist die Leistung ersetzbar, und wie schnell?

Die letzte Frage hängt unmittelbar am Ausgabeformat, weshalb ich immer wieder darauf zurückkomme. Ein Werkzeug, das native, portable Dateien erzeugt, ist ersetzbar. Ein Werkzeug, das Ihr Material in einem proprietären Format hält, ist es nicht, egal was die Ausstiegsklausel sagt, denn ein Vertrag kann Datenrückgabe versprechen und Ihnen trotzdem Dateien hinterlassen, die Sie nicht nutzen können.

Schritt 6: Tests und Resilienz

Bewerten Sie, wie die Vereinbarung in Ihr Testprogramm passt.

• Welche Verfügbarkeitszusagen bestehen und wie werden sie belegt?
• Wie ist die Kontinuitäts und Wiederanlaufaufstellung des Anbieters?
• Können Sie Fehlerszenarien testen, auch mit nicht sensiblen Daten, vor und während der Beziehung?
• Wie liefe die Geschäftsfunktion bei einem Ausfall weiter? Für Präsentationsprozesse lautet die ehrliche Antwort meist, dass Menschen direkt in PowerPoint arbeiten, und das ist ein echter Vorteil nativer Ergebnisse.
• Wirkt der Anbieter an Ihren Tests mit, wo die Vereinbarung es rechtfertigt?

Schritt 7: Vorfallbehandlung

Binden Sie das Werkzeug an Ihren bestehenden IKT Vorfallprozess an, statt es separat zu behandeln.

• Vertragliche Meldefristen und Inhalte, abgestimmt auf Ihre eigenen Meldepflichten.
• Eine benannte Ansprechperson und ein Eskalationsweg, der auch außerhalb der Geschäftszeiten funktioniert.
• Welche Protokolle und forensischen Informationen Sie erhalten können und wie schnell.
• Wie Vorfälle bei Unterauftragnehmern Sie erreichen.
• Wie Vorfälle des Werkzeugs in Ihre bestehende Klassifizierung eingeordnet werden.
• Ob Nutzerinnen wissen, wie sie ein Problem melden, einschließlich Beinahevorfällen und falscher Uploads.

Schritt 8: Ausstieg

Der in der Softwarebeschaffung am häufigsten unterspezifizierte Bereich und der, nach dem die Aufsicht zunehmend fragt.

Der Test, den ich anlegen würde: Müssten Sie diesen Anbieter in neunzig Tagen verlassen, was bekämen Sie tatsächlich zurück, in welchem Format, und könnten Ihre Teams es an Tag einundneunzig nutzen? Für ein Präsentationswerkzeug sollte die Antwort lauten: Ihre Dateien, als native PowerPoint Dateien, sofort nutzbar. Läuft die Antwort auf einen Massenexport proprietärer Objekte hinaus, haben Sie eine Abhängigkeit, die Sie nicht eingepreist haben.

Was Sie den Anbieter konkret fragen sollten

Das Verhältnis von DORA, DSGVO und AI Act

Diese drei Rahmen überschneiden sich in dieser Beschaffung und werden häufig vermischt, also halten Sie sie getrennt.

DORA regelt Ihre operationale Resilienz und Ihre Vereinbarungen mit IKT Drittparteien. Sie reguliert Sie.

Die DSGVO regelt die Verarbeitung personenbezogener Daten im Prozess. Präsentationen tragen mehr personenbezogene Daten, als die meisten Teams annehmen, und die Auftragsverarbeitung nach Artikel 28 ist eine eigenständige Anforderung neben den DORA Vertragsinhalten, auch wenn ein Vertrag beides abdecken kann.

Der EU AI Act gilt je nach System und Rolle. Die Pflicht zur KI Kompetenz nach Artikel 4 gilt für Betreiber seit dem 2. Februar 2025, die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Die Pflichten für Hochrisikosysteme nach Anhang III wurden durch die Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 verschoben.

Eine Anbieterprüfung kann Nachweise für alle drei sammeln, die Schlussfolgerungen sind jedoch getrennt und gehören getrennt dokumentiert.

Wo offgen passt

Wir veröffentlichen die Unterlagen für diese Bewertung, statt um Vertrauen zu bitten. Unser Trust Center, die Security Übersicht und der Auftragsverarbeitungsvertrag decken Verarbeitungsorte, Unterauftragsverarbeiter, Aufbewahrung, Supportzugriff und die vertragliche Position zum Training ab.

Zur Frage der Ersetzbarkeit: offgen erzeugt native PowerPoint Dateien. Ihr Material ist ohne unsere Anwendung nutzbar, und das ist eine belastbare Antwort auf die Fragen zu Ausstieg und Konzentration und keine Designvorliebe.

Mehr zur Branchensicht steht auf unserer Bankenseite.

Der Rahmen, an dem ich durchgehend festhalten würde: Sie kaufen keine Compliance, Sie bauen eine Vereinbarung, die aufsichtlicher Prüfung standhalten muss. Bewerten Sie den Anbieter danach, ob er das leichter oder schwerer macht, und behandeln Sie ungewöhnlich selbstbewusste Konformitätsversprechen als Signal statt als Beruhigung.