DORA-Exit-Strategie: Kostenlose Vorlage 2026 (Word)

DORA-Exit-Strategie: Kostenlose Vorlage 2026 (Word)

Kurzantwort: Diese kostenlose DORA-Exit-Strategie-Vorlage ist ein herunterladbares DOCX (plus PDF-Leitfaden und maschinenlesbares Markdown; die herunterladbaren Dateien sind auf Deutsch verfügbar) und deckt die zwei Ebenen ab, die Artikel 28 Abs. 8 der Verordnung (EU) 2022/2554 für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen verlangt: eine Exit-Strategie auf Unternehmensebene, gebaut auf den fünf Risikoszenarien des Artikels 28 Abs. 8, und ein Exit-Plan-Formular je Vereinbarung — Trigger, Alternativlösungen, Übergangsplan, Datenportabilität, Notfallmaßnahmen und das Testprotokoll, das RTS (EU) 2024/1773 Artikel 10 verpflichtend macht. Sie unterscheidet geplante von Stress-Exits, erfasst die vertragliche Übergangsfrist nach Artikel 30 Abs. 3 Buchst. f je Vereinbarung und enthält ein vollständig ausgefülltes fiktives Beispiel.

Kostenlose Exit-Plan-Artefakte gibt es — NOREA, die niederländische Berufsorganisation der IT-Auditoren, veröffentlicht eines, und an Checklisten-Blogs herrscht kein Mangel. Was sie teilen, ist genau die Form, die die Aufsicht bereits kritisiert: ein Dokument, das einmal ausgefüllt und abgelegt wird. Frühe EZB-geführte DORA-Prüfungen beanstandeten zu generische und ungetestete Exit-Strategien als wiederkehrenden Befund. Diese Vorlage ist um diesen Fehlermodus herum gebaut: Testprotokoll und Überprüfungsrhythmus sind strukturelle Bestandteile des Dokuments, die Planfelder erzwingen Spezifik je Vereinbarung (welche Alternative, welches Datenformat, welches Übergangsfenster), und die maschinenlesbare Markdown-Variante lässt einen KI-Agenten die Pläne parallel zu Ihrem Informationsregister pflegen.

---

Die wichtigsten Erkenntnisse

• Zwei Ebenen, wie es die Verordnung verlangt. Artikel 28 Abs. 8 verlangt die Strategie; RTS (EU) 2024/1773 Artikel 10 verlangt einen dokumentierten Exit-Plan für jede vertragliche Vereinbarung, die eine kritische oder wichtige Funktion unterstützt. Die Vorlage liefert beides — ein Strategiedokument, ein wiederverwendbares Planformular.
• Die drei geschützten Ergebnisse. Jeder Exit muss ohne Unterbrechung des Geschäftsbetriebs, ohne Einschränkung der regulatorischen Compliance und ohne Beeinträchtigung von Kontinuität und Qualität der Kundendienstleistungen abgeschlossen werden — das Planformular bewertet jede Phase gegen alle drei.
• Testen ist die Compliance-Messlatte, kein Extra. Pläne müssen realistisch, durchführbar, auf plausiblen Szenarien und angemessenen Annahmen beruhen und gegen unvorhergesehene und anhaltende Serviceunterbrechungen getestet werden (RTS Art. 10). Das eingebaute Testprotokoll erfasst Szenario, Testtyp (Tabletop / partielle Datenextraktion / Vollsimulation), Befunde und Abhilfemaßnahmen.
• Geplante vs. Stress-Exits. DORAs Kündigungsgründe nach Artikel 28 Abs. 7 plus die Insolvenz des Anbieters liefern die Stress-Szenarien; kommerzielle oder strategische Entscheidungen die geplanten. Das Formular deckt beide ab — und erfüllt damit zugleich die stressed/non-stressed-Unterscheidung des britischen PRA SS2/21 in einem Dokument.
• Am Vertrag verankert. Die verpflichtende angemessene Übergangsfrist nach Artikel 30 Abs. 3 Buchst. f wird je Vereinbarung erfasst, und der Zeitplan des Plans wird gegen sie geprüft — ein Exit-Plan, der nicht in sein vertragliches Übergangsfenster passt, ist Fiktion.

---

Was in der Vorlage steckt

Das DOCX enthält vier Arbeitsteile plus ein ausgefülltes Beispiel; das PDF ist ein Feldleitfaden; die MD-Variante trägt die volle Struktur mit Enums für Agenten-Workflows.

1. Exit-Strategie auf Unternehmensebene

Die Richtlinienebene: Anwendungsbereich (welche Vereinbarungen im kritischen/wichtigen Perimeter liegen, über die Vertragsreferenz mit Ihrem Informationsregister verknüpft), Governance und Verantwortlichkeit, die fünf Risikoszenarien des Artikels 28 Abs. 8 im Einzelnen —

#	Szenario	Quelle
1	Ausfall des IKT-Drittdienstleisters	Art. 28 Abs. 8
2	Verschlechterung der Qualität der bereitgestellten IKT-Dienstleistungen	Art. 28 Abs. 8
3	Geschäftsunterbrechung durch ungeeignete oder fehlgeschlagene Leistungserbringung	Art. 28 Abs. 8
4	Wesentliches Risiko für die angemessene und kontinuierliche Bereitstellung der Dienstleistung	Art. 28 Abs. 8
5	Kündigung aus einem Grund des Artikels 28 Abs. 7 (Verstoß, Überwachungsbefunde, belegte IKT-Risiko-Schwächen, Beaufsichtigbarkeit)	Art. 28 Abs. 7–8

— plus die drei geschützten Ergebnisse als Strategieziele und die Methode der Alternativenbewertung (Substituierbarkeit, Marktalternativen, Inhouse-Option).

2. Exit-Plan-Formular je Vereinbarung

Ein Formular je kritischer/wichtiger Vereinbarung:

Abschnitt	Felder
Identifikation	Vertragsreferenz (RoI-Schlüssel), Dienstleister, IKT-Dienstleistung, unterstützte kritische/wichtige Funktion
Trigger	Gründe für geplante Exits; Stress-Trigger gemappt auf Art. 28 Abs. 7 Buchst. a–d + Insolvenz
Alternativen	Bewertete Alternativanbieter / Inhouse-Wiedereingliederung / Substituierbarkeitseinstufung
Übergangsplan	Phasen, Zeitplan, Datenmigrationsschritte, Datenrückgabeformat, sicheres Übertragungsverfahren, Integritätsprüfung, Parallelbetriebsfenster, Rollback-Kriterien
Vertragliche Anker	Übergangsfrist nach Art. 30 Abs. 3 Buchst. f, Kündigungsfristen, Datenrückgabe- und Löschklauseln, Übergangsunterstützung
Notfallmaßnahmen	Interimsmaßnahmen, die die Funktion während des Exits am Laufen halten (Art. 28 Abs. 8 letzter Unterabsatz)
Governance	Planverantwortlicher, Entscheidungsträger für die Aktivierung, Eskalationspfad, Kosten- und Ressourcenschätzung

3. Test- & Überprüfungsprotokoll für Exit-Pläne

Datum, getestete Vereinbarung, Szenario (einschließlich der vom RTS geforderten Fälle unvorhergesehener und anhaltender Unterbrechungen), Testtyp, Beteiligte, Befunde, Abhilfemaßnahmen, nächster geplanter Test und Datum der letzten Überprüfung — die Nachweisspur, nach der Prüfer zuerst fragen.

4. Aktivierungs-Runbook (Gerüst)

Eine kurze sequenzierte Checkliste für den Tag, an dem ein Exit tatsächlich ausgelöst wird: erklären, benachrichtigen (intern, Dienstleister, zuständige Behörde wo erforderlich), Scope-Änderungen einfrieren, Übergangsphasen ausführen, Datenrückgabe und Löschung verifizieren, abschließen und das Informationsregister aktualisieren.

5. Ausgefülltes fiktives Beispiel

Das Beispiel nutzt dasselbe fiktive Universum wie unsere anderen DORA-Vorlagen — Nordbank SE steigt beim Cloud-Anbieter „CloudCore GmbH" aus (Vertrag CTR-2024-018) —, sodass der Exit-Plan, die Nachweis-Checkliste für IKT-Dienstleister und die Informationsregister-Vorlage sich wie ein zusammenhängender Workflow lesen.

---

So nutzen Sie diese Vorlage

1. Den Anwendungsbereich aus dem Register ziehen. Holen Sie jede Vereinbarung, die als Unterstützung einer kritischen oder wichtigen Funktion gekennzeichnet ist, aus Ihrem Informationsregister — diese Vertragsreferenzen sind Ihre Exit-Plan-Arbeitsliste. Ein Plan je Vereinbarung (RTS Art. 10), nicht ein Plan für alles.
2. Die Strategie einmal schreiben. Vervollständigen Sie die Strategie auf Unternehmensebene: Szenarien, geschützte Ergebnisse, Methode der Alternativenbewertung, Governance.
3. Ein Planformular je Vereinbarung ausfüllen. Werden Sie konkret: Nennen Sie den Alternativanbieter, das Datenexportformat, die Übergangsphasen. „Migration zu einem vergleichbaren Anbieter" ist exakt die generische Formulierung, die Prüfungen beanstanden.
4. Den Plan gegen den Vertrag prüfen. Der Übergangszeitplan muss in die Übergangsfrist nach Artikel 30 Abs. 3 Buchst. f passen, und die Datenrückgabeklauseln müssen Ihre Migrationsschritte tragen. Lücken hier sind Vertragsnachbesserungen, keine Fußnoten im Plan.
5. Testen, protokollieren, nachbessern. Führen Sie je Vereinbarung mindestens einen Tabletop-Test in risikobasierter Kadenz durch — und testen Sie bei den kritischsten Vereinbarungen die Datenextraktion real. Protokollieren Sie alles im Testlog.
6. Regelmäßig überprüfen. Bewerten Sie neu, wenn sich Dienstleister, Dienstleistung, Marktalternativen oder die Kritikalität der Funktion ändern — und mindestens in dem Rhythmus, den Ihre Richtlinie vorgibt.

Für die Nachweise, die in diese Pläne einfließen — Prüfberichte, Resilienztest-Ergebnisse, Unterauftragsketten —, nutzen Sie die begleitende DORA-Nachweis-Checkliste für IKT-Dienstleister; für das Register, in das die Pläne einhaken, die DORA-Informationsregister-Vorlage.

---

Rechtsgrundlage

• Artikel 28 Abs. 8, Verordnung (EU) 2022/2554 (DORA) — für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen: Exit-Strategien, die Dienstleisterausfall, Qualitätsverschlechterung, Geschäftsunterbrechung, wesentliche Bereitstellungsrisiken und eine Kündigung nach Artikel 28 Abs. 7 berücksichtigen; die Fähigkeit auszusteigen ohne Geschäftsunterbrechung, regulatorische Einschränkung oder Kundennachteil; umfassende, dokumentierte, ausreichend getestete und regelmäßig überprüfte Exit-Pläne; identifizierte Alternativlösungen und Übergangspläne für die sichere und vollständige Überführung von Dienstleistungen und Daten zu Alternativanbietern oder ins eigene Haus; sowie Notfallmaßnahmen zur Aufrechterhaltung des Geschäftsbetriebs.
• Artikel 28 Abs. 7, Verordnung (EU) 2022/2554 — die verpflichtenden Kündigungsgründe (erheblicher Verstoß; durch Überwachung festgestellte Umstände, die die Leistungserbringung verändern können; belegte Schwächen im IKT-Risikomanagement des Dienstleisters; aufsichtliche Bedenken), gegen die die Exit-Strategie ausführbar sein muss.
• Artikel 30 Abs. 3 Buchst. f, Verordnung (EU) 2022/2554 — Verträge über kritische/wichtige IKT-Dienstleistungen müssen Exit-Strategien enthalten, insbesondere eine verpflichtende angemessene Übergangsfrist, während der der Dienstleister weiterliefert und die Migration zu einem anderen Anbieter oder zu Inhouse-Lösungen entsprechend der Komplexität der Dienstleistung möglich ist.
• Delegierte Verordnung (EU) 2024/1773 der Kommission, Artikel 10 (RTS zur IKT-Drittparteien-Leitlinie) — die Leitlinie muss einen dokumentierten Exit-Plan für jede vertragliche Vereinbarung zur Unterstützung kritischer oder wichtiger Funktionen verlangen, regelmäßig überprüft und getestet; Pläne müssen realistisch und durchführbar sein, auf plausiblen Szenarien und angemessenen Annahmen beruhen, einen mit den Exit- und Kündigungsbedingungen des Vertrags kompatiblen Umsetzungszeitplan haben, und die Tests müssen unvorhergesehene und anhaltende Serviceunterbrechungen berücksichtigen.

Das vollständige regulatorische Bild zeichnet unser DORA-Compliance-Leitfaden; warum die Artikel 19, 28 und 30 über ein klassisches ISMS hinauswachsen, zeigt die Analyse zu DORA Artikel 19, 28 und 30.

---

UK, Norwegen und der EWR

UK: DORA gilt nicht, aber die Exit-Pflicht existiert unter anderem Namen. PRA SS2/21 erwartet, dass Firmen für jede wesentliche Auslagerungsvereinbarung eine dokumentierte Exit-Strategie entwickeln, pflegen und testen, mit ausdrücklicher Unterscheidung zwischen Stress-Exits (Ausfall, Insolvenz des Anbieters) und geplanten Exits ohne Stress, samt Kosten-, Ressourcen- und Trigger-Analyse — getestet in risikobasiertem Ansatz neben den Szenariotests der operationellen Resilienz (SS1/21). Das Critical-Third-Parties-Regime nach dem FSMA 2023 ergänzt die direkte Aufsicht über designierte Anbieter, nimmt den Firmen aber keine Exit-Erwartung ab. Die geplante/Stress-Trigger-Aufteilung dieser Vorlage bildet SS2/21 direkt ab.

Norwegen / EWR: DORA gilt über das EWR-Abkommen; Norwegens DORA-Gesetz ist seit dem 1. Juli 2025 in Kraft, mit Finanstilsynet als zuständiger Behörde. Die norwegische Umsetzung übernimmt Artikel 28 Abs. 8 unverändert — Exit-Strategien für kritische/wichtige Vereinbarungen, Exit ohne Beeinträchtigung von Kontinuität, Kundenservice oder Compliance, und Pläne, die umfassend, gut dokumentiert, getestet und regelmäßig überprüft sind. Finanstilsynet hat erklärt, dass es realistische und regelmäßig getestete Exit-Pläne erwartet.

---

Die aufsichtliche Realität: Papierpläne fallen durch

Das Muster aus der ersten Welle der DORA-Aufsicht ist konsistent. EZB-geführte Prüfungen im Anschluss an den IT-Risiko-Fragebogen beanstandeten zu generische und ungetestete Exit-Strategien als häufigen Befund. Für Deutschland hat die BaFin die Messlatte ausdrücklich benannt: Ihre Aufsichtsmitteilung zur Umsetzung von DORA vom 8. Juli 2024 stellt fest, dass Exit-Strategien und -Pläne für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen gegenüber dem bisherigen BAIT/VAIT-Niveau deutlich zu stärken sind — mit plausiblen Szenarien, angemessenen Annahmen und ausreichenden Tests (BaFin-Aufsichtsmitteilung DORA, PDF). Schon in den früheren Cloud-Outsourcing-Reviews der EBA war die Lücke zwischen einer Exit-Strategie auf Papier und einer je getesteten Datenextraktion ein Top-Befund — DORA macht aus dieser Lücke einen Mangel nach Artikel 28 Abs. 8.

Die operative Antwort: Exit-Pläne nicht mehr als Dokumente behandeln, sondern als gepflegte Datensätze mit Testnachweisen. Orbiqs Vendor Assurance Platform hält Dienstleisterdatensätze, Exit-Plan-Status und Nachweise mit Ablaufverfolgung in einem gesteuerten Workflow — gebaut für europäische Finanzunternehmen mit EU-Datenresidenz. Die maschinenlesbare Markdown-Variante dieser Vorlage ist für KI-Agenten-Workflows unter /downloads/templates/de/dora-exit-strategy-plan.md verfügbar.

---

Quellen & Referenzen

1. Verordnung (EU) 2022/2554 (DORA) — EUR-Lex — Artikel 28 Abs. 7, 28 Abs. 8, 30 Abs. 3 Buchst. f
2. Delegierte Verordnung (EU) 2024/1773 der Kommission — EUR-Lex — RTS zur IKT-Drittparteien-Leitlinie; Exit-Plan-, Überprüfungs- und Testanforderungen des Artikels 10
3. BaFin — Aufsichtsmitteilung zur Umsetzung von DORA (8. Juli 2024, PDF) — Exit-Strategien und -Pläne gegenüber BAIT/VAIT deutlich zu stärken; plausible Szenarien, angemessene Annahmen, ausreichende Tests
4. KPMG ECB Office — Understanding the DORA risk questionnaire and first inspection findings — generische und ungetestete Exit-Strategien unter den häufigen JST-Befunden
5. PRA SS2/21 — Outsourcing and third party risk management — dokumentierte Exit-Strategien in UK; stressed vs. non-stressed Exits
6. Finanstilsynet — Norwegisches DORA-Gesetz in Kraft seit 1. Juli 2025 — Umsetzung in Norwegen / EWR, Finanstilsynet als zuständige Behörde
7. NOREA — DORA exit plan template — das bestehende kostenlose Artefakt der niederländischen IT-Auditoren-Berufsorganisation, das diese Vorlage erweitert (Strategie + Plan + Testprotokoll + agentenlesbare Variante)