DORA Informationsregister für WordPress-Lieferanten: Pflichtfelder
Artikel 28(3) der Verordnung 2022/2554 verpflichtet jedes Finanzunternehmen, ein Informationsregister zu vertraglichen Vereinbarungen mit IKT-Drittparteidienstleistern zu führen und zu aktualisieren. Die Durchführungsverordnung (EU) 2024/2956 setzt die Feldstruktur: fünfzehn Tabellen mit benannten Spalten. Eine WordPress-Agentur, die eine Bank, einen Versicherer, ein Wertpapierdienstleistungsunternehmen oder ein Zahlungsinstitut beliefert, landet in diesem Register und muss die Daten rechtzeitig in der richtigen Form liefern.
Dies ist ein vertiefender Artikel innerhalb der NIS2 und DORA WordPress Säule, mit Querverweis zur DORA Artikel 28 Drittparteienrisiko-Erklärung.
TL;DR
- Fünfzehn Tabellen, gesetzt durch Durchführungsverordnung 2024/2956.
- Vereinbarungen über kritische oder wichtige Funktionen haben Zusatzspalten (Substituierbarkeit, Konzentrationsrisiko, Exit-Plan).
- Subkontraktorenketten transparent bis zur für das Finanzunternehmen relevanten Ebene.
- Die Agentur reicht das Register nicht ein; die Agentur speist es.
- Die meisten Agenturen verfehlen vier der fünfzehn Tabellen bei Erstabgabe.
Was das Finanzunternehmen einreicht
Gemäß Artikel 28(3) muss jedes Finanzunternehmen das Register mindestens jährlich an seine zuständige Behörde und die europäische Aufsichtsbehörde über das gemeinsame Reporting-Framework melden. Die Durchführungsverordnung 2024 definiert das Schema. Die fünfzehn Tabellen sind:
- Unternehmensinformationen.
- Niederlassungsinformationen.
- Tochtergesellschaftsinformationen.
- IKT-Dienstleistungen.
- Funktionsidentifikation.
- Vertragliche Vereinbarungen.
- Funktionen der vertraglichen Vereinbarung.
- IKT-Dienstleistungen der vertraglichen Vereinbarung.
- Risiko der vertraglichen Vereinbarung.
- Subkontraktoren.
- Kündigungsbestimmungen.
- Standorte.
- Verantwortliche Personen oder Stellen.
- Vereinbarungen für kritische oder wichtige Funktionen.
- Konzentrationsvereinbarungen (gruppenweit).
Eine WordPress-Agentur erscheint typisch in Tabellen 4, 6, 8, 9, 10, 11, 12, 14. Tabellen 1-3, 5, 7, 13 gehören dem Finanzunternehmen. Tabelle 15 ist selten und nur, wenn die Agentur eine Muttergesellschaft hat oder häufig in der Gruppe liefert.
Was die WordPress-Agentur liefern muss
Pro IKT-Dienstleistung (Tabelle 4) und pro vertraglicher Vereinbarung (Tabelle 6) liefert die Agentur die Spalten, die das Finanzunternehmen ins Register überträgt. Die nicht-erschöpfende Praxisliste:
- Dienstleistungsbeschreibung: WordPress-Hosting, Plugin-Entwicklung, Headless-Frontend, Support, Sicherheitsaudits - pro Posten, nicht ein Sammelposten.
- Lieferantenname und LEI: der Legal Entity Identifier der Agentur. Eine kleine WordPress-Agentur ohne LEI muss vor Vertragsabschluss einen erwerben.
- Eintragungsland und Hauptsitz.
- Gruppenzugehörigkeit: Mutter, Tochter, Schwesterfirmen.
- Erbrachte Dienstleistungen: welche Produkte berührt werden, mit Kritikalitätsflagge.
- Verarbeitete Daten: Kundendaten, Transaktionsdaten, Mitarbeiterdaten, keine.
- Datenstandorte: Land und Rechenzentrumsanbieter pro Speicherebene (Produktion, Backup, Log-Archiv).
- Subprocessor: jeder Lieferant, den die Agentur zur Erbringung nutzt (Cloudflare, Sentry, Deployment-Plattform, Monitoring, KI-APIs).
- Subprocessor-Jurisdiktionen: Land und anwendbares Recht pro Subprocessor.
Tabelle 11 (Kündigungsbestimmungen) verlangt von der Agentur:
- Kündigungsfrist für das Finanzunternehmen.
- Kündigungsfrist für die Agentur.
- Auslöser für vorzeitige Kündigung durch das Finanzunternehmen.
- Exit-Plan: wie das Finanzunternehmen Daten und Betrieb zurückbekommt.
Tabelle 14 (kritische oder wichtige Funktion) verlangt zusätzliche Evidenz, wenn die WordPress-Dienstleistung eine kritische oder wichtige Funktion stützt. Substituierbarkeitsbewertung, Konzentrationsrisiko, Exit-Plan mit realistischen Zeiten, regelmäßiger Testkalender.
Was die meisten WordPress-Agenturen verfehlen
Fünf wiederkehrende Lücken aus Lieferanten-Reviews 2025-2026:
LEI nicht beschafft. Eine WordPress-Agentur ohne Legal Entity Identifier verzögert Vertrag und Register. LEIs kosten ungefähr eine Domain-Verlängerung pro Jahr. Es gibt keinen Grund, ohne LEI zu arbeiten, wenn man regulierte Finanzkunden bedient.
Subprocessor-Liste unvollständig. Cloudflare ist gelistet; Sentry ist gelistet; der KI-Anbieter für redaktionelle Tools, der E-Mail-Relay-Anbieter, die Deployment-Plattform und der Off-Site-Backup-Speicher werden vergessen. Das Register fällt durch das Review und die Agentur läuft erneut durch Beschaffung.
Exit-Plan ist ein Absatz. “Wir übergeben Daten auf Anfrage” ist kein Exit-Plan. Das Finanzunternehmen braucht Übergabetage geschätzt, Datenformate, Source-Code-Repository-Übergabe, Runbook-Übergabe, Abhängigkeitsliste und Konten-Stilllegungsverfahren. Mindestens drei Seiten, idealerweise versioniert.
Fehlender Backup-Testnachweis. Artikel 11 DORA verlangt regelmäßige Tests operativer Resilienz einschließlich Restore. Die Agentur ohne Quartalsrestore-Log fällt im Lieferanten-Review beim ersten Audit.
Keine Bewertung als kritische Funktion. Die Agentur behauptet “wir sind nicht kritisch”, weil die WordPress-Site “nur Marketing” ist. Die Compliance-Abteilung des Finanzunternehmens widerspricht, weil ein Marken-Ausfall Kundenvertrauen schadet. Klärt das früh im Vertrag, nicht während des Audits.
Wie man sich auf die erste Aufnahme vorbereitet
Eine praktische Checkliste für eine WordPress-Agentur vor dem ersten Register:
- LEI besorgen, falls fehlend.
- Subprocessor inventarisieren, mit Land und anwendbarem Recht pro Anbieter.
- Versionierten Exit-Plan schreiben: Daten, Code, Runbook, Konten.
- Datenstandorte pro Speicherebene und pro Subprocessor dokumentieren.
- Vollständigen Restore aus Off-Site-Backup testen; Zeitstempel, Dauer und Ergebnis loggen.
- Erbrachte Dienstleistungen auf Funktionen des Finanzunternehmens mappen; kritisch oder wichtig flaggen.
- Substituierbarkeits-Statement entwerfen: welche Konkurrenten ersetzen euren Dienst, in wie vielen Wochen.
- Quartals-Review-Kadenz starten: jedes Quartal Daten auffrischen, abzeichnen, ablegen.
Vor dem ersten Vertrag erledigt zahlt sich diese Vorbereitung mehrfach aus. Während des ersten Audits erledigt verdoppelt sie die Beauftragungskosten.
