Die EU Prüft Jetzt Direkt Ihren Cloud-Anbieter

Neunzehn Anbieter Unterstehen Jetzt Direkt Der EU-Aufsicht

Am 18. November 2025 benannten die drei Finanzaufsichtsbehörden der EU, EBA, ESMA und EIOPA, gemeinsam 19 Technologieunternehmen als kritische IKT-Drittanbieter nach dem Digital Operational Resilience Act und stellten damit jedes von ihnen erstmals unter direkte EU-Aufsicht. Die Liste umfasst die großen Cloud-Anbieter AWS, Google Cloud, Microsoft und Oracle, dazu SAP, die Telekommunikationsanbieter Deutsche Telekom und Orange sowie spezialisierte Daten- und Fintech-Anbieter wie Bloomberg und NTT.

Die Benennung folgte einem zweistufigen, im Gesetz selbst festgelegten Verfahren: Zuerst zogen die Aufsichtsbehörden Daten aus den Informationsregistern, die Finanzunternehmen über ihre IKT-Verträge führen müssen, und führten dann eine Kritikalitätsprüfung durch, die die systemische Bedeutung jedes Anbieters, die Marktkonzentration und die Möglichkeit eines Anbieterwechsels berücksichtigte. Jeder geprüfte Anbieter erhielt das Recht auf Anhörung und konnte vor der endgültigen Veröffentlichung der Liste Stellung nehmen.

Was Die Regulatorische Aufsicht Für Diese Neunzehn Bedeutet

Jeder benannte Anbieter untersteht nun einem Lead Overseer, einer der drei EU-Aufsichtsbehörden, die im Namen aller drei handelt und das Risikomanagement und die Governance des Anbieters prüfen sowie Änderungen an der Art anordnen kann, wie er seine Finanzkunden bedient. Das ist eine direkte Kontrolle, der sich Cloud- und Telekommunikationsanbieter gegenüber EU-Finanzaufsichtsbehörden bisher nie stellen mussten, und sie besteht zusätzlich zu bereits geltenden nationalen Datenschutz- oder Cybersicherheitsregeln.

Der Lead Overseer erhebt nach Artikel 43 des Gesetzes Gebühren vom Anbieter, die proportional zu dessen Umsatz sind und die Kosten dieser Aufsicht decken. Kommt ein Anbieter einer Anordnung des Lead Overseer nicht nach, drohen zusätzlich Zwangszahlungen von bis zu 1 Prozent seines durchschnittlichen täglichen weltweiten Umsatzes für jeden Tag der fortgesetzten Nichteinhaltung, begrenzt auf sechs Monate.

Warum Nur Neunzehn, Und Was Dabei Außen Vor Bleibt

Als kritisch zu gelten, ist ein enger Test und kein allgemeines Urteil über die Größe oder Bedeutung eines Anbieters. Die Aufsichtsbehörden fragten, wie viele Finanzinstitute von einem bestimmten Anbieter abhängen, wie konzentriert diese Abhängigkeit auf dem Markt ist und ob Finanzunternehmen realistisch zu einer Alternative wechseln könnten, und nur 19 Unternehmen erreichten diese Schwelle.

Jeder andere Cloud-, Software- oder Datenanbieter, den ein europäisches Finanzunternehmen nutzt, fällt weiterhin vollständig außerhalb der direkten EU-Aufsicht. Diese Beziehungen unterliegen weiterhin dem eigenen DORA-Compliance-Programm des Finanzunternehmens und der jährlichen Meldung im Informationsregister, deren zweiter vollständiger Zyklus im März 2026 endete und anhand derer die Aufsichtsbehörden erkennen, welche Anbieter als nächstes kritisch werden könnten.

Was Sich Heute In Einem Anbietervertrag Ändert

Ein Einkaufs- oder Rechtsteam, das mit einem der 19 benannten Anbieter verhandelt, kann sich nun auf eine Aufsichtsbehörde berufen, der der Anbieter bereits direkt unterstellt ist, was ändert, was eine vernünftige Meldeklausel oder Ausstiegsklausel im Vertrag verlangen kann. Ein Institut kann sich auf die eigenen Aufsichtsergebnisse und Sanktionsbefugnisse des Lead Overseer stützen, statt sich allein auf vertragliche Zusagen des Anbieters selbst zu verlassen.

Das Gegenteil ist für ein Budgetgespräch ebenso wichtig. Ist der Cloud- oder Softwareanbieter eines Unternehmens keiner der 19, gilt diese direkte Aufsicht nicht, und die gesamte Compliance-Last für diese Beziehung liegt weiterhin beim eigenen Eintrag des Käufers im Informationsregister und dessen eigener Risikobewertung, nicht bei Brüssel.

Warum wir das tun

Wir tun das für alle, die versuchen mitzuhalten, was Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was uns allen widerfährt, nicht davon abhängen sollte, wer es sich leisten kann.

Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns antreibt.

Weiterlesen: Die EU hat Ihre KI-Verordnung-Frist um 16 Monate verschoben  |  Drei KI-Dienste fielen am 3. September zeitgleich aus