DORA-konforme Dokumenten­verarbeitung: Ein Leitfaden für Finanz­unternehmen

Die Frage „Welche Tools für die Dokumentenverarbeitung sind DORA-konform?“ lässt sich nicht über ein Produktsiegel beantworten. Die Verordnung (EU) 2022/2554 (DORA) verpflichtet Finanzunternehmen, nicht deren Softwareanbieter. Eine DORA-Zertifizierung für Tools gibt es nicht: Konform ist das Finanzunternehmen, das den Dienstleister einsetzt.

Damit verschiebt sich die Auswahlfrage: DORA-tauglich ist eine Lösung dann, wenn sie dem Finanzunternehmen erlaubt, seine Pflichten aus den Artikeln 28 bis 30 DORA nachweisbar zu erfüllen: durch belegte Informationssicherheit, vertraglich zusicherbare Prüf- und Zugangsrechte, dokumentierte Verarbeitungsketten und einen offengelegten Verarbeitungsstandort. Dieser Artikel ordnet die regulatorischen Anforderungen ein und benennt die Kriterien, die bei der Auswahl einer Lösung für die Dokumentenverarbeitung prüfbar sein müssen.

‍

DORA-Konformität und regulatorische Anforderungen

DORA gilt seit dem 17. Januar 2025. In Deutschland erweitert das Finanzmarktdigitalisierungsgesetz (FinmadiG) den Anwendungsbereich auf weitere KWG-Institute, die keine CRR-Kreditinstitute sind. Für diese gelten die Meldepflichten nach Kapitel III seit dem 17. Januar 2025, die übrigen DORA-Regelungen ab dem 1. Januar 2027.

Ein Anbieter für Dokumentenverarbeitung fällt unter DORA als IKT-Drittdienstleister. Artikel 3 Nummer 19 DORA definiert diesen als „ein Unternehmen, das IKT-Dienstleistungen bereitstellt“. IKT-Dienstleistungen sind nach Artikel 3 Nummer 21 „digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden“. Eine cloudbasierte Plattform zur Erfassung, Klassifizierung und Weiterverarbeitung von Dokumenten erfüllt diese Definition.

Davon zu unterscheiden ist die Einstufung als kritischer IKT-Drittdienstleister. Sie erfolgt durch die europäischen Aufsichtsbehörden nach den Kriterien des Artikels 31 Absatz 2 DORA und betrifft in der Praxis vor allem große Infrastrukturanbieter. Für das Finanzunternehmen ändert das nichts an den eigenen Pflichten: Auch ein nicht als kritisch eingestufter Dienstleister muss vollständig im Risikomanagement abgebildet sein.

‍

Prüfpunkte beim Einsatz einer Lösung zur Dokumenten­verarbeitung

• Risikoorientierte Bewertung (Artikel 28 Absatz 2 und 4 DORA): Das Finanzunternehmen beschließt eine Strategie für das IKT-Drittparteienrisiko, die das Leitungsorgan regelmäßig überprüft (Absatz 2). Vor Vertragsschluss ist der Dienstleister im Rahmen der gebotenen Sorgfaltspflicht zu bewerten (Absatz 4).
• Informationsregister (Artikel 28 Absatz 3 DORA): Jede vertragliche Vereinbarung über IKT-Dienstleistungen ist im Informationsregister zu führen, nach der einheitlichen Vorlage der Durchführungsverordnung (EU) 2024/2956. Der Anbieter muss die dafür nötigen Angaben liefern, etwa Rechtsträger, Kennungen, Subunternehmer und Verarbeitungsstandorte.
• Vertragsinhalte (Artikel 30 DORA): Für jede Vereinbarung gilt nach Absatz 2: Schriftform, Funktions- und Leistungsbeschreibung, Angabe der Orte der Datenverarbeitung und -speicherung, Datenschutz- und Sicherheitsanforderungen, Regelungen zu Verfügbarkeit, Integrität und Rückgabe der Daten, Unterstützung bei IKT-Vorfällen und Kündigungsrechte. Unterstützt die Dienstleistung eine kritische oder wichtige Funktion, kommen nach Absatz 3 hinzu: Leistungsziele, Zugangs-, Inspektions- und Auditrechte für das Finanzunternehmen und die Aufsicht sowie Notfall- und Ausstiegsregelungen.
• Risikomanagementrahmen (Artikel 5 bis 16 DORA): Prozesse, Rollen und Datenflüsse der eingesetzten Lösung müssen beschrieben und überprüfbar sein.

‍

Eignung verschiedener Plattformtypen

Aus diesen Prüfpunkten lässt sich ableiten, woran Automatisierungsplattformen in der Praxis scheitern: meist nicht an der Funktion, sondern am Nachweis.

Das entscheidende Auswahlkriterium ist deshalb nicht der Funktionsumfang, sondern die Frage, welche Angaben ein Anbieter für Informationsregister und Vertragsprüfung unmittelbar liefern kann.

Damit rückt die revisionssichere Dokumentenverarbeitung aus dem Steuerrecht in die Nachweisführung nach DORA. Sie belegt, dass ein eingehendes Dokument nachvollziehbar erfasst, unverändert gespeichert und kontrolliert weitergegeben wurde. Über welchen Kanal es in das Unternehmen gelangt ist, spielt dabei keine Rolle.

Genau hier setzt der Beitrag automatisierter Dokumentenprozesse zur operativen Resilienz an. Ein manuell bearbeiteter Dokumenteneingang ist ein personenabhängiger Prozess ohne durchgängige Dokumentation: Fristen hängen an Anwesenheit, Ablageorte an Gewohnheiten, der Nachweis der Bearbeitung an Einzelpersonen. Werden diese Schritte in definierte Regeln mit Rollen, Berechtigungen und Protokollierung überführt, werden Bearbeitungsstände prüfbar. Caya unterstützt Finanzunternehmen bei der Erfüllung dieser Anforderungen mit einer automatisierten Dokumenten-Suite, die auf regulierte Unternehmen im DACH-Raum ausgerichtet ist.

‍

Sichere und zertifizierte Dokumenten­verarbeitung in Deutschland

DORA schreibt keine bestimmte Zertifizierung vor. Artikel 28 Absatz 4 verlangt jedoch, den Dienstleister vor Vertragsschluss mit der gebotenen Sorgfalt zu bewerten. In dieser Bewertung sind Zertifizierungen und Prüfberichte das übliche Nachweismittel.

Eine ISO-27001-Zertifizierung belegt, dass der Anbieter ein Informationssicherheits-Managementsystem betreibt, das von einer unabhängigen Stelle geprüft wurde: Risikobehandlung, Zugriffskontrolle, Lieferantensteuerung, Vorfallmanagement. Für das Finanzunternehmen verkürzt das die eigene Due Diligence, weil es sich auf ein externes Prüfurteil stützen kann statt auf Selbstauskünfte des Anbieters.

Der Verarbeitungsstandort ist der zweite prüfbare Faktor. Artikel 30 DORA verlangt die Angabe der Orte, an denen Daten verarbeitet und gespeichert werden. Hosting in Deutschland vereinfacht diesen Nachweis in drei Punkten: Die Prüfung von Drittlandtransfers nach Kapitel V DSGVO entfällt, der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO bleibt im europäischen Rechtsrahmen, und die Kontrolle über sensible Finanzdaten wie Kontodaten, Vollstreckungsunterlagen und Vertragskorrespondenz bleibt in einer Jurisdiktion mit bekannten Zugriffsregeln.

Dokumente werden als durchsuchbare PDF in versionierten, verschlüsselten Speicherobjekten unveränderbar abgelegt und erhalten eine eindeutige ID mit digitalem Zeitstempel. Darauf setzt die digitale Dokumentenverwaltung der Document Automation Suite auf, mit Rechte- und Rollenverwaltung bis auf Ordner- und Dokumentebene.

Hinweis: Für die GoBD-Konformität bleibt die Verfahrensdokumentation Aufgabe des einsetzenden Unternehmens. Caya stellt dafür eine Mustervorlage bereit, ersetzt die unternehmenseigene Dokumentation aber nicht.

Automatisierte Posteingangs­lösungen für Unternehmen

Dokumente erreichen Finanzunternehmen über mehrere Kanäle: E-Mail, Portale, Schnittstellen und weiterhin als Briefpost. Der physische Posteingang ist dabei der Kanal, an dem Digitalisierungsvorhaben am häufigsten scheitern.

Eine digitale Posteingangslösung schließt diese Lücke, indem sie die Digitalisierung als festen Prozessschritt übernimmt: Briefpost wird an ein zertifiziertes Scanzentrum umgeleitet, digitalisiert und in der Document Suite bereitgestellt. Damit entsteht die Vollständigkeit, die ein prüfbarer Dokumenteneingang voraussetzt, und alle Kanäle münden in dieselbe kontrollierte Verarbeitungskette.

‍

Wie Intelligent Document Processing funktioniert

Auf die Erfassung setzt Intelligent Document Processing (IDP) auf. IDP kombiniert Texterkennung mit Modellen zur Klassifizierung und Extraktion und arbeitet in drei Schritten:

Klassifizierung

Das Dokument wird einem Typ zugeordnet, etwa Pfändungs- und Überweisungsbeschluss, Kontokündigung oder Insolvenzkorrespondenz.

Validierung

Über Regeln lassen sich unsichere Ergebnisse zur manuellen Prüfung ausleiten, statt sie ungeprüft weiterzugeben. Der Prüfschritt bleibt dokumentiert.

Zentraler Dokumenteneingang

Ob per Post, E-Mail oder Upload – alle Dokumente landen automatisch an einem Ort.

Der Effekt auf die Prozessgeschwindigkeit entsteht erst durch die Integration in bestehende Systeme. Werden Dokument und extrahierte Daten automatisch an DMS, ERP, Buchhaltung oder per Schnittstelle an Fachverfahren übergeben, entfällt die manuelle Erfassung und mit ihr die häufigste Fehlerquelle im Dokumenteneingang. Die Datenextraktion von Caya exportiert dafür in über 130 Softwarelösungen. Fristgebundene Vorgänge erreichen die zuständige Stelle am Eingangstag, jeder Schritt bleibt protokolliert.

Für regulierte Unternehmen ist das der eigentliche Prüfpunkt: nicht Geschwindigkeit allein, sondern Geschwindigkeit bei durchgängiger Nachvollziehbarkeit.

Fazit

Fazit

DORA-Konformität ist keine Produkteigenschaft, sondern eine Nachweispflicht des Finanzunternehmens. Eine Lösung zur Dokumentenverarbeitung unterstützt diese Pflicht, wenn sie drei Dinge liefert: ein extern geprüftes Informationssicherheitsmanagement, einen offengelegten und stabilen Verarbeitungsstandort sowie ein Vertragswerk, das die Anforderungen des Artikels 30 DORA und die Angaben für das Informationsregister abdeckt. Funktional entscheidet, ob alle Eingangskanäle in eine protokollierte Verarbeitungskette münden.

Registerangaben direkt von Caya

Wenn Sie prüfen möchten, welche dieser Angaben Caya für Ihr Informationsregister und Ihre Vertragsprüfung bereitstellt:

Enterprise-Team sprechen