Compliance-Entscheidungen
DORA KI-Lieferantenverträge: Was ist zu prüfen
Beginnen Sie mit dem IKT-Dienst und der von ihm unterstützten Funktion. Artikel 30 DORA spezifiziert allgemeine Vertragsbedingungen und zusätzliche Anforderungen, wenn ein Dienst eine kritische oder wichtige Funktion unterstützt. Vergleichen Sie die tatsächliche Vereinbarung mit der zutreffenden Ebene; eine „DORA-ready“-Erklärung eines Anbieters ist kein vertragliches Recht.
Für Rechtliche, Beschaffungs- und IKT-Risikoteams der Finanzinstitution
Die Funktionsbewertung bestimmt, welche zusätzlichen Vertragsfragen relevant sind.
Synthetische Vertragspositionen und Prüfergebnisse. Keine tatsächliche Lieferantenklausel, verhandeltes Recht oder rechtliche Genehmigung wird dargestellt.01
Identifizieren Sie den Dienst und die Vertragsdokumente
Artikel 30 verlangt klare schriftliche Rechte und Pflichten, mit dem vollständigen Vertrag einschließlich Service-Level-Agreements in einem dauerhaften, zugänglichen Format. Identifizieren Sie die Vereinbarung, Bestellung, Dienstbeschreibung und eingearbeitete Bedingungen für den genauen KI-Dienst. Eine Verkaufspräsentation ist nicht der vollständige Vertragsnachweis.
Bestätigen Sie die nutzende und vertragsschließende Einheit sowie die unterstützte Funktion. Halten Sie den Registereintrag mit derselben Vereinbarung verbunden. Dieser Leitfaden überprüft Vertragsanforderungen; er bestimmt nicht den Umfang einer Finanzinstitution oder klassifiziert jedes Mitarbeitenden-KI-Tool als kritisch.
Quellkontext: DORA Artikel 30: Wichtige vertragliche Bestimmungen
02
Prüfen Sie die allgemeinen IKT-Vertragsbestimmungen
Die allgemeine Ebene umfasst die Dienstbeschreibung, relevante Untervertragsbedingungen, Dienst- und Datenstandorte mit Vorabänderungsmitteilung, Datenschutz, Zugriff und Rückgabe, Servicelevels, Vorfallhilfe, Behördenzusammenarbeit, Kündigung und relevante Schulungsbedingungen.
Für KI-Nutzung trennen Sie Backend, Modellverarbeitungsort und Weiterempfänger, statt ein Cloud-Region-Label als vollständige Antwort zu akzeptieren. Fragen Sie, wie der Vertrag den tatsächlichen Dienst abdeckt. Artikel 30 behandelt auch Vorfallhilfe ohne Zusatzkosten oder zu vorab festgelegten Kosten, nicht eine undefinierte Notfallgebühr.
Quellkontext: DORA Artikel 30: Wichtige vertragliche Bestimmungen
03
Wenden Sie die zusätzliche Ebene bei Bedarf an
Für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, fügt Artikel 30 Anforderungen hinzu, darunter detaillierte Leistungsziele, Berichterstattung zur Materialentwicklung, Notfall- und Sicherheitsmaßnahmen, kooperative, bedrohungsbasierte Penetrationstests, fortlaufende Überwachungsrechte und Exit-Übergangsregelungen.
Stellen Sie nicht alle diese Bestimmungen als austauschbar mit der allgemeinen Ebene dar. Der Artikel enthält auch spezifische Einschränkungen, einschließlich alternativer Zusicherungen, wenn die Rechte anderer Kunden betroffen sind, sowie eine Regelung für Kleinstunternehmen bezüglich delegiertem Zugriff, Inspektions- und Prüfungsrechten. Prüfen Sie die tatsächlichen Bedingungen, anstatt eine generische unbegrenzte Prüfungsbefugnis zu beschreiben.
Quellkontext: DORA Artikel 30: Wichtige vertragliche Bestimmungen
04
Vergleichen Sie eine tatsächliche Klausel mit dem geforderten Ergebnis
Die fiktive Matrix unten verwendet erfundene Lieferantenpositionen, um die Prüfmethode zu zeigen. Eine Klausel mit dem Wortlaut „Standorte können jederzeit geändert werden“ wirft eine andere Frage auf als eine, die Standorte und Vorankündigung spezifiziert. Ein herunterladbarer Nutzungsbericht gewährt nicht zwangsläufig das relevante Zugriffs-, Inspektions- oder Prüfungsrecht.
Dokumentieren Sie die vertragliche Quelle, Lücke und Frage für Rechtsberatung oder Beschaffung. Vorgeschlagene Formulierungen in einer Übung sind kein durchsetzbares Versprechen eines echten Lieferanten. Behalten Sie die operative Umsetzbarkeit im Blick: Das Team muss in der Lage sein, Benachrichtigungen zu erhalten, Beweise zu nutzen und einen Übergang durchzuführen, nicht nur Vertragsformulierungen zu sammeln.
Quellkontext: DORA Artikel 30: Wichtige vertragliche Bestimmungen
05
Machen Sie den Ausstiegs- und Änderungsprozess nutzbar
Für eine kritische oder wichtige Funktion adressiert die verpflichtende angemessene Übergangsfrist die Kontinuität und Migration zu einem anderen Anbieter oder einer internen Lösung. Ermitteln Sie, welche Daten, Konfigurationen und Serviceunterstützung die Organisation benötigt, um die Vereinbarung ohne relevante Störungen zu verlassen.
Bewahren Sie die genehmigte Vertragsprüfung mit der Funktionsbewertung, Registereintrag und verantwortlichen Eigentümern auf. Überprüfen Sie wesentliche Änderungen bei Service, Unteraufträgen oder Standorten unter den geltenden Anforderungen erneut. Weder dieses Arbeitsblatt noch eine Aona-Kontrollbewertung ersetzen eine rechtliche Vertragsgenehmigung.
Quellkontext: DORA Artikel 30: Wichtige vertragliche Bestimmungen
Setzen Sie es in die Praxis um
DORA KI-Vertragslücken-Übung
Erfundene Lieferantenklauseln veranschaulichen, wie eine Finanzorganisation allgemeine Anforderungen von zusätzlichen Bestimmungen für kritische Funktionen trennt.
Synthetische Vertragspositionen und Prüfergebnisse. Keine tatsächliche Lieferantenklausel, verhandeltes Recht oder rechtliche Genehmigung wird dargestellt.
Allgemeine IKT-Vereinbarung
Service, Standorte, Daten, Vorfallhilfe und Beendigung
Kritische oder wichtige Funktion
Zusätzliche Leistungs-, Überwachungs-, Test- und Übergangsbestimmungen
Tatsächliche Vereinbarung
Klauselverweise, Einschränkungen und ungelöste Lücken
| DORA-Anforderung | Erfundene Lieferantenposition | Lücke oder Frage |
|---|---|---|
| 30(2): Service und Standorte | „Die Verarbeitung kann an jedem beliebigen Ort erfolgen.“ | Identifizieren Sie Service-/Datenstandorte und die erforderliche Vorankündigung von Änderungen. |
| 30(2): Vorfallhilfe | „Notfallunterstützung wird zu unserem zukünftigen Tarif berechnet.“ | Wie wird die im Voraus vereinbarte Bedingung für keine zusätzlichen Kosten oder Kosten gehandhabt? |
| 30(2): Datenzugriff und Rückgabe | „Der Zugriff endet sofort bei Vertragsbeendigung.“ | Welche Vereinbarungen unterstützen den erforderlichen Zugriff, die Wiederherstellung und Rückgabe in einem zugänglichen Format? |
| 30(3): Leistung der kritischen Funktion | „Wir streben an, einen zuverlässigen Service zu bieten.“ | Wo sind die notwendigen quantitativen/qualitativen Ziele und Berichte zur wesentlichen Entwicklung? |
| 30(3): Überwachung der kritischen Funktion | „Ein Marketingzertifikat ist unsere einzige Zusicherung.“ | Wie funktionieren die anwendbaren Zugriffs-, Inspektions-, Prüfungs- und Kooperationsbestimmungen? |
| 30(3): Ausstieg aus der kritischen Funktion | „Kein Übergangsservice verfügbar.“ | Welche angemessene Übergangsfrist und Migrationsunterstützung sind für diese Funktion erforderlich? |
| Geltungsbereich und Einschränkungen | Die fiktive Funktionsklassifizierung wurde noch nicht festgelegt. | Klärung der Anwendbarkeit, bevor jede zusätzliche Bestimmung als verpflichtend für diesen Fall behandelt wird. |
Arbeiten Sie Ihre Bewertung durch
Nutze die Prüfungen, um die benötigten Beweise zu organisieren. Speichere deine Auswahl in Wordund füge dann deine Notizen und Beweise hinzu. Deine Auswahl bleibt in diesem Tab, bis du sie herunterlädst.
0 von 3 Rezension
Beispiele und Rezensionsmaterial
Lesen Sie die Details hier oder halten Sie die PDF, bearbeitbar Word Dokument und Tabellenkalkulationen zusammen.
DORA KI-Vertragslücken-ÜbungLesen
Synthetische Vertragspositionen und Prüfergebnisse. Keine tatsächliche Lieferantenklausel, verhandeltes Recht oder rechtliche Genehmigung wird dargestellt.
Erfundene Lieferantenklauseln veranschaulichen, wie eine Finanzorganisation allgemeine Anforderungen von zusätzlichen Bestimmungen für kritische Funktionen trennt.
Review steps
- Resolve the applicable layer: Connect the ICT service to the documented function assessment und relevant Article 30 provisions.
- Keep the contractual evidence: Record actual clause references, incorporated documents, gaps und negotiated changes.
- Check the operational handoff: Assign owners for notices, incidents, evidence access und exit rather than relying on contract labels alone.
Fictional negotiation note
Arrangement: CONTRACT-EX-21, invented AI drafting service. Observed example gaps: undefined processing locations, unspecified incident-support charges and no transition assistance. Next review: establish actual function criticality and compare the complete agreement with the applicable Article 30 layer.
The quoted positions are invented teaching clauses, not statements about Aona or any named AI vendor. They are not proposed final legal language.
Source und scope
Guide: https://aona.ai/resources/guides/dora-ai-saas-contract-checklist/
Source check: 21 September 2026. General information, not professional approval or a completed control test.
- DORA Article 30: Key contractual provisions: https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng
Bevor du weitermachst
Halte diese Unterscheidungen klar
- Marketing ist kein vertragliches Recht
- Überprüfen Sie die verbindliche Vereinbarung und eingearbeitete Dokumente.
- Die Kritikalität ändert die erforderliche Prüfung
- Wenden Sie die zusätzliche Ebene nicht ohne Funktionsbewertung an oder lassen Sie sie weg.
Wenden Sie sie auf die KI-Nutzung durch Mitarbeiter an
Bring deinen tatsächlichen Datenpfad mit.
Aona kann während einer Serviceprüfung eingeschränkte Informationen über die KI-Nutzung der Mitarbeiter und Kontrollen sensibler Eingaben bereitstellen.
Es verhandelt keine DORA-Klauseln, klassifiziert keine kritischen Funktionen und garantiert keine regulatorische Compliance.
Verwenden Sie eine Sicherheitsbewertung mit unterstütztem Pfad als einen Beweisinput neben dem tatsächlichen Vertrag und der operativen Prüfung.
Überprüfe deinen AnwendungsfallFAQ
Fragen zu dieser Entscheidung
Brauchen alle KI-Verträge jede Klausel für kritische Funktionen?
Ersetzt eine DORA-Erklärung die Vertragsprüfung?
Kann ein Prüfungszertifikat alle Zugriffs- und Prüfungsrechte ersetzen?
Ist die Beispiel-Lieferantenformulierung echt?
Beweise hinter dem Leitfaden
Quellen und Umfang
Erstellt von Aona. Quellen überprüft 2026-09-21. Das zitierte Material unterstützt die unten genannten Punkte; es zertifiziert kein Produkt oder Ihren Anwendungsfall.
- DORA Artikel 30: Wichtige vertragliche Bestimmungen
Allgemeine IKT-Vertragsanforderungen und zusätzliche Verpflichtungen für Dienste, die kritische oder wichtige Funktionen unterstützen, einschließlich Prüfungs- und Übergangsbestimmungen.
law · geprüft 2026-09-21