Stellungnahme zur DORA-Verordnung
Sehr geehrte Kunden und Partner,
wir möchten Ihnen hiermit bestätigen, dass wir uns im Sinne der DORA-Verordnung nicht als relevanter IKT-Dienstleister einstufen. Unsere ausführliche Argumentation dazu finden Sie im Anhang bzw. untenstehend.
Zusätzlich möchten wir darauf hinweisen, dass wir uns bei der Einschätzung auch an den Vorgaben des Genossenschaftsverbandes orientiert haben, insbesondere am Fragebogen zur Klassifikation im notwendigen DORA-Informationsregister. Im Detail heißt es dort:
S13: Software-Lizenzierung (ohne SaaS)
Bereitstellung von lizenzierter Software, die von dem Institut selbst (vor Ort) betrieben wird
Dann anzuwenden, wenn die IKT-Dienstleistung im Vordergrund steht: z. B. wesentliche institutsspezifische Konfiguration oder institutsspezifische Härtung durch den IKT-Dienstleister.
Abgrenzung: Der reine Bezug von Standardsoftware inkl. der SW-Wartung für die Standardsoftware ist keine IKT-Dienstleistung, unabhängig davon, ob es sich um Kauf/Miete/Leasing/Abonnement handelt. Die Verpflichtung, Updates zur Verfügung zu stellen, ist immanenter Vertragsbestandteil und macht aus dem Bezug keine IKT-Dienstleistung – sofern Updates nicht hausindividuell erstellt werden.
Wir erfüllen ausschließlich die Bedingungen des zweiten Punkts, da unsere Softwarelösungen als Standardprodukte bereitgestellt werden, die ausschließlich vor Ort bei den Banken betrieben und dort verwaltet werden. Es erfolgt weder eine hausindividuelle Konfiguration noch eine spezifische Härtung durch uns.
Wir gehen daher davon aus, dass sich Ihre Einschätzung ebenfalls an den Kriterien des Genossenschaftsverbandes orientiert.
Sollte dies wider Erwarten nicht der Fall sein, sind wir selbstverständlich bereit, eine von Ihnen vorgefertigte Vertragsergänzung zu prüfen und diese mit unseren Beratern abzustimmen.
Den Fragebogen des Genossenschaftsverbandes, welcher uns bereits von zahlreichen Kreditinstituten eingereicht wurde, haben wir beigelegt. Die darin von uns gemachten Angaben sind für das DORA-Informationsregister, welches Sie führen müssen, relevant.
Ergänzend hierzu haben wir Ihnen auch einen Ausdruck aus dem LEI-Register beigelegt, um eine sichere Identifikation unseres Unternehmens zu gewährleisten.
Für Rückfragen stehen wir Ihnen selbstverständlich gerne zur Verfügung.
Ausführliche Argumentation
Stand: 25.11.2025
1. Nicht geschäftskritische Softwareprodukte
- Unsere Softwarelösungen wie Vertragsverwaltung, Schlüsselverwaltung und Urlaubsplaner sind Standardanwendungen, die administrative Prozesse unterstützen. Diese Produkte sind nicht geschäftskritisch und haben keinen direkten Einfluss auf die Kernprozesse oder die operationelle Resilienz der Banken.
- Ein Ausfall oder eine Störung unserer Software würde nicht zu einer Beeinträchtigung der Erbringung von Finanzdienstleistungen führen und damit keinen regulatorischen oder systemischen Einfluss auf die Bank oder den Finanzsektor insgesamt haben.
2. Keine Abhängigkeit von unserer Infrastruktur
- Unsere Anwendungen sind nicht als eigenständige Applikationen konzipiert, die unmittelbar auf Betriebssystemebene ausgeführt werden, sondern operieren ausschließlich innerhalb der kontrollierten Umgebung eines Standard-Webbrowsers. Hierbei greifen sie auf die etablierten, ausführlich validierten Sicherheitsarchitekturen moderner Webbrowser zurück, welche eine zuverlässige Isolierung zwischen der Anwendung, dem Betriebssystem sowie anderen Anwendungen gewährleisten.
- Die Verantwortung für die Bereitstellung, Konfiguration und Verwaltung der Browser-Umgebung sowie der damit verbundenen Sicherheitsrichtlinien liegt ausschließlich bei den Banken selbst. Unsererseits erfolgt kein Eingriff in die bestehende Sicherheitskonfiguration des Browsers oder in die IT-Infrastruktur der Banken. Dementsprechend üben unsere Anwendungen keinen Einfluss auf die digitale operationelle Resilienz der Bankensysteme aus, womit sich zusätzliche Sicherheitsrisiken im Kontext ihrer Nutzung ausschließen lassen.
- Des Weiteren handelt es sich bei unseren Anwendungen explizit um Open-Source-Projekte. Sämtliche Komponenten, einschließlich aller Dateien und der korrespondierenden Datenbanktabellen, werden vollständig quelloffen bereitgestellt. Diese Offenheit gewährleistet maximale Transparenz, Prüfbarkeit und Reproduzierbarkeit der Softwarelösungen.
3. Keine Verarbeitung oder Speicherung von Kundendaten
- Unsere Software wird ausschließlich als "leere Hülle" geliefert, ohne jegliche Datenbestände. Die Banken selbst befüllen die Anwendungen mit Daten und sind vollständig für deren Pflege und Schutz verantwortlich.
- Wir haben keinen Zugriff auf diese Daten und führen keine Verarbeitung, Speicherung oder Übertragung von sensiblen Kundendaten durch. Damit entfällt ein zentrales Risikoelement, das DORA adressieren soll, nämlich der Umgang mit sensiblen Informationen durch externe Dienstleister.
4. Langjährige Markterfahrung und makelloser Leumund
- Seit 23 Jahren agieren wir erfolgreich am Markt und haben bisher keinen einzigen sicherheitsrelevanten Vorfall verzeichnet. Dies zeugt von unserer Zuverlässigkeit und Stabilität als Partner.
- Unser hervorragender Ruf wird durch zahlreiche Kundenmeinungen untermauert, die öffentlich auf unserer Website einsehbar sind. Diese positive Bilanz unterstreicht, dass unsere Produkte und Dienstleistungen sicher und vertrauenswürdig sind.
5. Keine Abhängigkeit von unserer Unterstützung
- Der Abschluss von Wartungs- und Supportverträgen mit uns ist freiwillig. Diese Verträge bieten lediglich einen zusätzlichen Mehrwert, wie den Zugriff auf Updates und die Beantwortung von Benutzerfragen, haben jedoch keinen Einfluss auf den sicheren und stabilen Betrieb der Software in der Infrastruktur der Bank.
- Banken sind nicht auf unsere Unterstützung angewiesen, um die Anwendungen weiterhin nutzen zu können. Dies zeigt, dass unsere Rolle als Softwareanbieter keine kritische Abhängigkeit für den Geschäftsbetrieb schafft.
6. Unverhältnismäßigkeit zusätzlicher Anforderungen
- Die Einstufung als relevanter IKT-Dienstleister im Sinne von DORA würde unverhältnismäßige Anforderungen an uns als kleinen Softwarehersteller stellen, insbesondere da unsere Produkte keinen direkten Beitrag zur operationellen Resilienz der Banken leisten.
- Zusätzliche regulatorische Anforderungen würden uns und ähnliche Anbieter ohne Mehrwert belasten und gleichzeitig den Fokus von tatsächlichen kritischen IKT-Dienstleistern ablenken.
Zusammenfassung
Unsere Rolle als Anbieter browserbasierter Open-Source Anwendungen beschränkt sich ausschließlich auf unterstützende, nicht geschäftskritische Softwarelösungen.
Wir haben weder Zugang zu Kundendaten noch Einflussmöglichkeiten auf die zentrale Infrastruktur oder operative Prozesse der Banken und tragen daher auch keine Verantwortung für deren sichere Betriebsführung.
Die etablierten und durch die Banken eigenständig verwalteten Browser-Umgebungen verfügen bereits über umfassende Sicherheitsmechanismen. Zudem erfolgt die Installation der Applikationen bei den Banken ausschließlich auf sogenannten PaaS-Servern der Atruvia-Rechenzentrale. Die Verantwortung für sämtliche sicherheitsrelevanten Einstellungen und Konfigurationen dieser Server liegt bei Atruvia in enger Zusammenarbeit mit den jeweiligen Banken. Hieraus ergibt sich eine eindeutige Abgrenzung unserer Verantwortlichkeiten.
Zusammenfassend erfüllen wir somit nicht die Kriterien eines relevanten IKT-Dienstleisters im Sinne von DORA. Weitergehende regulatorische Anforderungen wären folglich weder notwendig noch verhältnismäßig. Diese Einschätzung beruht auf unserer umfangreichen Recherche, Erfahrung sowie unserem anerkannt guten Ruf innerhalb der Branche.
Mit freundlichen Grüßen,
RI-SE Enterprise GmbH