--- title: "DORA-Exit-Strategie: Kostenlose Vorlage 2026 (Word)" description: "Exit-Strategie nach Art. 28 Abs. 8 plus Exit-Plan je Vereinbarung: Trigger, Alternativen, Übergangsplan, Testprotokoll. DOCX + PDF + MD, kostenlos." canonical: https://www.orbiqhq.com/de/vorlagen/dora-exit-strategie-vorlage html: https://www.orbiqhq.com/de/vorlagen/dora-exit-strategie-vorlage publisher: Orbiq GmbH language: en --- # DORA-Exit-Strategie: Kostenlose Vorlage 2026 (Word) Exit-Strategie nach Art. 28 Abs. 8 plus Exit-Plan je Vereinbarung: Trigger, Alternativen, Übergangsplan, Testprotokoll. DOCX + PDF + MD, kostenlos. **Kurzantwort:** Diese kostenlose **DORA-Exit-Strategie-Vorlage** ist ein herunterladbares DOCX (plus PDF-Leitfaden und maschinenlesbares Markdown; die herunterladbaren Dateien sind auf Deutsch verfügbar) und deckt die zwei Ebenen ab, die Artikel 28 Abs. 8 der [Verordnung (EU) 2022/2554](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen verlangt: eine **Exit-Strategie** auf Unternehmensebene, gebaut auf den fünf Risikoszenarien des Artikels 28 Abs. 8, und ein **Exit-Plan-Formular je Vereinbarung** — Trigger, Alternativlösungen, Übergangsplan, Datenportabilität, Notfallmaßnahmen und das Testprotokoll, das [RTS (EU) 2024/1773](https://eur-lex.europa.eu/eli/reg_del/2024/1773/oj) Artikel 10 verpflichtend macht. Sie unterscheidet geplante von Stress-Exits, erfasst die vertragliche Übergangsfrist nach Artikel 30 Abs. 3 Buchst. f je Vereinbarung und enthält ein vollständig ausgefülltes fiktives Beispiel. Kostenlose Exit-Plan-Artefakte gibt es — NOREA, die niederländische Berufsorganisation der IT-Auditoren, veröffentlicht eines, und an Checklisten-Blogs herrscht kein Mangel. Was sie teilen, ist genau die Form, die die Aufsicht bereits kritisiert: ein Dokument, das einmal ausgefüllt und abgelegt wird. Frühe EZB-geführte DORA-Prüfungen beanstandeten **zu generische und ungetestete Exit-Strategien** als wiederkehrenden Befund. Diese Vorlage ist um diesen Fehlermodus herum gebaut: Testprotokoll und Überprüfungsrhythmus sind strukturelle Bestandteile des Dokuments, die Planfelder erzwingen Spezifik je Vereinbarung (welche Alternative, welches Datenformat, welches Übergangsfenster), und die maschinenlesbare Markdown-Variante lässt einen KI-Agenten die Pläne parallel zu Ihrem Informationsregister pflegen. --- ## Die wichtigsten Erkenntnisse - **Zwei Ebenen, wie es die Verordnung verlangt.** Artikel 28 Abs. 8 verlangt die Strategie; RTS (EU) 2024/1773 Artikel 10 verlangt **einen dokumentierten Exit-Plan für jede vertragliche Vereinbarung**, die eine kritische oder wichtige Funktion unterstützt. Die Vorlage liefert beides — ein Strategiedokument, ein wiederverwendbares Planformular. - **Die drei geschützten Ergebnisse.** Jeder Exit muss **ohne Unterbrechung des Geschäftsbetriebs, ohne Einschränkung der regulatorischen Compliance und ohne Beeinträchtigung von Kontinuität und Qualität der Kundendienstleistungen** abgeschlossen werden — das Planformular bewertet jede Phase gegen alle drei. - **Testen ist die Compliance-Messlatte, kein Extra.** Pläne müssen *realistisch, durchführbar, auf plausiblen Szenarien und angemessenen Annahmen* beruhen und gegen **unvorhergesehene und anhaltende Serviceunterbrechungen** getestet werden (RTS Art. 10). Das eingebaute Testprotokoll erfasst Szenario, Testtyp (Tabletop / partielle Datenextraktion / Vollsimulation), Befunde und Abhilfemaßnahmen. - **Geplante vs. Stress-Exits.** DORAs Kündigungsgründe nach Artikel 28 Abs. 7 plus die Insolvenz des Anbieters liefern die Stress-Szenarien; kommerzielle oder strategische Entscheidungen die geplanten. Das Formular deckt beide ab — und erfüllt damit zugleich die stressed/non-stressed-Unterscheidung des britischen PRA SS2/21 in einem Dokument. - **Am Vertrag verankert.** Die **verpflichtende angemessene Übergangsfrist** nach Artikel 30 Abs. 3 Buchst. f wird je Vereinbarung erfasst, und der Zeitplan des Plans wird gegen sie geprüft — ein Exit-Plan, der nicht in sein vertragliches Übergangsfenster passt, ist Fiktion. --- ## Was in der Vorlage steckt Das DOCX enthält vier Arbeitsteile plus ein ausgefülltes Beispiel; das PDF ist ein Feldleitfaden; die MD-Variante trägt die volle Struktur mit Enums für Agenten-Workflows. ### 1. Exit-Strategie auf Unternehmensebene Die Richtlinienebene: Anwendungsbereich (welche Vereinbarungen im kritischen/wichtigen Perimeter liegen, über die Vertragsreferenz mit Ihrem Informationsregister verknüpft), Governance und Verantwortlichkeit, die fünf Risikoszenarien des Artikels 28 Abs. 8 im Einzelnen — | # | Szenario | Quelle | |---|---|---| | 1 | Ausfall des IKT-Drittdienstleisters | Art. 28 Abs. 8 | | 2 | Verschlechterung der Qualität der bereitgestellten IKT-Dienstleistungen | Art. 28 Abs. 8 | | 3 | Geschäftsunterbrechung durch ungeeignete oder fehlgeschlagene Leistungserbringung | Art. 28 Abs. 8 | | 4 | Wesentliches Risiko für die angemessene und kontinuierliche Bereitstellung der Dienstleistung | Art. 28 Abs. 8 | | 5 | Kündigung aus einem Grund des Artikels 28 Abs. 7 (Verstoß, Überwachungsbefunde, belegte IKT-Risiko-Schwächen, Beaufsichtigbarkeit) | Art. 28 Abs. 7–8 | — plus die drei geschützten Ergebnisse als Strategieziele und die Methode der Alternativenbewertung (Substituierbarkeit, Marktalternativen, Inhouse-Option). ### 2. Exit-Plan-Formular je Vereinbarung Ein Formular je kritischer/wichtiger Vereinbarung: | Abschnitt | Felder | |---|---| | Identifikation | Vertragsreferenz (RoI-Schlüssel), Dienstleister, IKT-Dienstleistung, unterstützte kritische/wichtige Funktion | | Trigger | Gründe für geplante Exits; Stress-Trigger gemappt auf Art. 28 Abs. 7 Buchst. a–d + Insolvenz | | Alternativen | Bewertete Alternativanbieter / Inhouse-Wiedereingliederung / Substituierbarkeitseinstufung | | Übergangsplan | Phasen, Zeitplan, Datenmigrationsschritte, Datenrückgabeformat, sicheres Übertragungsverfahren, Integritätsprüfung, Parallelbetriebsfenster, Rollback-Kriterien | | Vertragliche Anker | Übergangsfrist nach Art. 30 Abs. 3 Buchst. f, Kündigungsfristen, Datenrückgabe- und Löschklauseln, Übergangsunterstützung | | Notfallmaßnahmen | Interimsmaßnahmen, die die Funktion während des Exits am Laufen halten (Art. 28 Abs. 8 letzter Unterabsatz) | | Governance | Planverantwortlicher, Entscheidungsträger für die Aktivierung, Eskalationspfad, Kosten- und Ressourcenschätzung | ### 3. Test- & Überprüfungsprotokoll für Exit-Pläne Datum, getestete Vereinbarung, Szenario (einschließlich der vom RTS geforderten Fälle unvorhergesehener und anhaltender Unterbrechungen), Testtyp, Beteiligte, Befunde, Abhilfemaßnahmen, nächster geplanter Test und Datum der letzten Überprüfung — die Nachweisspur, nach der Prüfer zuerst fragen. ### 4. Aktivierungs-Runbook (Gerüst) Eine kurze sequenzierte Checkliste für den Tag, an dem ein Exit tatsächlich ausgelöst wird: erklären, benachrichtigen (intern, Dienstleister, zuständige Behörde wo erforderlich), Scope-Änderungen einfrieren, Übergangsphasen ausführen, Datenrückgabe und Löschung verifizieren, abschließen und das Informationsregister aktualisieren. ### 5. Ausgefülltes fiktives Beispiel Das Beispiel nutzt dasselbe fiktive Universum wie unsere anderen DORA-Vorlagen — Nordbank SE steigt beim Cloud-Anbieter „CloudCore GmbH" aus (Vertrag CTR-2024-018) —, sodass der Exit-Plan, die [Nachweis-Checkliste für IKT-Dienstleister](/de/vorlagen/dora-ikt-dienstleister-nachweis-checkliste) und die [Informationsregister-Vorlage](/de/vorlagen/dora-informationsregister-vorlage) sich wie ein zusammenhängender Workflow lesen. --- ## So nutzen Sie diese Vorlage 1. **Den Anwendungsbereich aus dem Register ziehen.** Holen Sie jede Vereinbarung, die als Unterstützung einer kritischen oder wichtigen Funktion gekennzeichnet ist, aus Ihrem Informationsregister — diese Vertragsreferenzen sind Ihre Exit-Plan-Arbeitsliste. Ein Plan je Vereinbarung (RTS Art. 10), nicht ein Plan für alles. 2. **Die Strategie einmal schreiben.** Vervollständigen Sie die Strategie auf Unternehmensebene: Szenarien, geschützte Ergebnisse, Methode der Alternativenbewertung, Governance. 3. **Ein Planformular je Vereinbarung ausfüllen.** Werden Sie konkret: Nennen Sie den Alternativanbieter, das Datenexportformat, die Übergangsphasen. „Migration zu einem vergleichbaren Anbieter" ist exakt die generische Formulierung, die Prüfungen beanstanden. 4. **Den Plan gegen den Vertrag prüfen.** Der Übergangszeitplan muss in die Übergangsfrist nach Artikel 30 Abs. 3 Buchst. f passen, und die Datenrückgabeklauseln müssen Ihre Migrationsschritte tragen. Lücken hier sind Vertragsnachbesserungen, keine Fußnoten im Plan. 5. **Testen, protokollieren, nachbessern.** Führen Sie je Vereinbarung mindestens einen Tabletop-Test in risikobasierter Kadenz durch — und testen Sie bei den kritischsten Vereinbarungen die Datenextraktion real. Protokollieren Sie alles im Testlog. 6. **Regelmäßig überprüfen.** Bewerten Sie neu, wenn sich Dienstleister, Dienstleistung, Marktalternativen oder die Kritikalität der Funktion ändern — und mindestens in dem Rhythmus, den Ihre Richtlinie vorgibt. Für die *Nachweise*, die in diese Pläne einfließen — Prüfberichte, Resilienztest-Ergebnisse, Unterauftragsketten —, nutzen Sie die begleitende [DORA-Nachweis-Checkliste für IKT-Dienstleister](/de/vorlagen/dora-ikt-dienstleister-nachweis-checkliste); für das Register, in das die Pläne einhaken, die [DORA-Informationsregister-Vorlage](/de/vorlagen/dora-informationsregister-vorlage). --- ## Rechtsgrundlage - **Artikel 28 Abs. 8, Verordnung (EU) 2022/2554 (DORA)** — für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen: Exit-Strategien, die Dienstleisterausfall, Qualitätsverschlechterung, Geschäftsunterbrechung, wesentliche Bereitstellungsrisiken und eine Kündigung nach Artikel 28 Abs. 7 berücksichtigen; die Fähigkeit auszusteigen ohne Geschäftsunterbrechung, regulatorische Einschränkung oder Kundennachteil; umfassende, dokumentierte, ausreichend getestete und regelmäßig überprüfte Exit-Pläne; identifizierte Alternativlösungen und Übergangspläne für die sichere und vollständige Überführung von Dienstleistungen und Daten zu Alternativanbietern oder ins eigene Haus; sowie Notfallmaßnahmen zur Aufrechterhaltung des Geschäftsbetriebs. - **Artikel 28 Abs. 7, Verordnung (EU) 2022/2554** — die verpflichtenden Kündigungsgründe (erheblicher Verstoß; durch Überwachung festgestellte Umstände, die die Leistungserbringung verändern können; belegte Schwächen im IKT-Risikomanagement des Dienstleisters; aufsichtliche Bedenken), gegen die die Exit-Strategie ausführbar sein muss. - **Artikel 30 Abs. 3 Buchst. f, Verordnung (EU) 2022/2554** — Verträge über kritische/wichtige IKT-Dienstleistungen müssen Exit-Strategien enthalten, insbesondere eine **verpflichtende angemessene Übergangsfrist**, während der der Dienstleister weiterliefert und die Migration zu einem anderen Anbieter oder zu Inhouse-Lösungen entsprechend der Komplexität der Dienstleistung möglich ist. - **[Delegierte Verordnung (EU) 2024/1773 der Kommission](https://eur-lex.europa.eu/eli/reg_del/2024/1773/oj), Artikel 10** (RTS zur IKT-Drittparteien-Leitlinie) — die Leitlinie muss **einen dokumentierten Exit-Plan für jede vertragliche Vereinbarung** zur Unterstützung kritischer oder wichtiger Funktionen verlangen, regelmäßig überprüft und getestet; Pläne müssen realistisch und durchführbar sein, auf plausiblen Szenarien und angemessenen Annahmen beruhen, einen mit den Exit- und Kündigungsbedingungen des Vertrags kompatiblen Umsetzungszeitplan haben, und die Tests müssen unvorhergesehene und anhaltende Serviceunterbrechungen berücksichtigen. Das vollständige regulatorische Bild zeichnet unser [DORA-Compliance-Leitfaden](/de/eu-vorschriften/dora-compliance); warum die Artikel 19, 28 und 30 über ein klassisches ISMS hinauswachsen, zeigt die [Analyse zu DORA Artikel 19, 28 und 30](/de/eu-vorschriften/incident-reporting-provider-monitoring-dora-article-19-28-30). --- ## UK, Norwegen und der EWR **UK:** DORA gilt nicht, aber die Exit-Pflicht existiert unter anderem Namen. [PRA SS2/21](https://www.bankofengland.co.uk/prudential-regulation/publication/2021/march/outsourcing-and-third-party-risk-management-ss) erwartet, dass Firmen für jede wesentliche Auslagerungsvereinbarung eine **dokumentierte Exit-Strategie entwickeln, pflegen und testen**, mit ausdrücklicher Unterscheidung zwischen **Stress-Exits** (Ausfall, Insolvenz des Anbieters) und **geplanten** Exits ohne Stress, samt Kosten-, Ressourcen- und Trigger-Analyse — getestet in risikobasiertem Ansatz neben den Szenariotests der operationellen Resilienz (SS1/21). Das Critical-Third-Parties-Regime nach dem FSMA 2023 ergänzt die direkte Aufsicht über designierte Anbieter, nimmt den Firmen aber keine Exit-Erwartung ab. Die geplante/Stress-Trigger-Aufteilung dieser Vorlage bildet SS2/21 direkt ab. **Norwegen / EWR:** DORA gilt über das EWR-Abkommen; Norwegens **DORA-Gesetz ist seit dem 1. Juli 2025 in Kraft**, mit **Finanstilsynet** als zuständiger Behörde. Die norwegische Umsetzung übernimmt Artikel 28 Abs. 8 unverändert — Exit-Strategien für kritische/wichtige Vereinbarungen, Exit ohne Beeinträchtigung von Kontinuität, Kundenservice oder Compliance, und Pläne, die umfassend, gut dokumentiert, getestet und regelmäßig überprüft sind. Finanstilsynet hat erklärt, dass es **realistische und regelmäßig getestete** Exit-Pläne erwartet. --- ## Die aufsichtliche Realität: Papierpläne fallen durch Das Muster aus der ersten Welle der DORA-Aufsicht ist konsistent. EZB-geführte Prüfungen im Anschluss an den IT-Risiko-Fragebogen beanstandeten zu generische und ungetestete Exit-Strategien als häufigen Befund. Für Deutschland hat die BaFin die Messlatte ausdrücklich benannt: Ihre **Aufsichtsmitteilung zur Umsetzung von DORA** vom 8. Juli 2024 stellt fest, dass Exit-Strategien und -Pläne für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen gegenüber dem bisherigen BAIT/VAIT-Niveau deutlich zu stärken sind — mit plausiblen Szenarien, angemessenen Annahmen und ausreichenden Tests ([BaFin-Aufsichtsmitteilung DORA, PDF](https://www.bafin.de/SharedDocs/Downloads/DE/Anlage/Aufsichtsmitteilung/dl_2024_07_08_Aufsichtsmitteilung_Umsetzungshinweise_DORA.pdf?__blob=publicationFile&v=1)). Schon in den früheren Cloud-Outsourcing-Reviews der EBA war die Lücke zwischen einer Exit-Strategie auf Papier und einer je getesteten Datenextraktion ein Top-Befund — DORA macht aus dieser Lücke einen Mangel nach Artikel 28 Abs. 8. Die operative Antwort: Exit-Pläne nicht mehr als Dokumente behandeln, sondern als gepflegte Datensätze mit Testnachweisen. Orbiqs [Vendor Assurance Platform](/de/plattform/vendor-assurance-platform) hält Dienstleisterdatensätze, Exit-Plan-Status und Nachweise mit Ablaufverfolgung in einem gesteuerten Workflow — gebaut für europäische Finanzunternehmen mit EU-Datenresidenz. Die maschinenlesbare Markdown-Variante dieser Vorlage ist für KI-Agenten-Workflows unter [/downloads/templates/de/dora-exit-strategy-plan.md](/downloads/templates/de/dora-exit-strategy-plan.md) verfügbar. --- ## Quellen & Referenzen 1. [Verordnung (EU) 2022/2554 (DORA) — EUR-Lex](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) — Artikel 28 Abs. 7, 28 Abs. 8, 30 Abs. 3 Buchst. f 2. [Delegierte Verordnung (EU) 2024/1773 der Kommission — EUR-Lex](https://eur-lex.europa.eu/eli/reg_del/2024/1773/oj) — RTS zur IKT-Drittparteien-Leitlinie; Exit-Plan-, Überprüfungs- und Testanforderungen des Artikels 10 3. [BaFin — Aufsichtsmitteilung zur Umsetzung von DORA (8. Juli 2024, PDF)](https://www.bafin.de/SharedDocs/Downloads/DE/Anlage/Aufsichtsmitteilung/dl_2024_07_08_Aufsichtsmitteilung_Umsetzungshinweise_DORA.pdf?__blob=publicationFile&v=1) — Exit-Strategien und -Pläne gegenüber BAIT/VAIT deutlich zu stärken; plausible Szenarien, angemessene Annahmen, ausreichende Tests 4. [KPMG ECB Office — Understanding the DORA risk questionnaire and first inspection findings](https://kpmg.com/xx/en/our-insights/ecb-office/kpmg-european-central-bank-office-fs/understanding-dora-risk-questionnaire.html) — generische und ungetestete Exit-Strategien unter den häufigen JST-Befunden 5. [PRA SS2/21 — Outsourcing and third party risk management](https://www.bankofengland.co.uk/prudential-regulation/publication/2021/march/outsourcing-and-third-party-risk-management-ss) — dokumentierte Exit-Strategien in UK; stressed vs. non-stressed Exits 6. [Finanstilsynet — Norwegisches DORA-Gesetz in Kraft seit 1. Juli 2025](https://www.finanstilsynet.no/nyhetsarkiv/nyheter/2025/ny-lov-om-digital-operasjonell-motstandsdyktighet-i-finanssektoren-dora-loven-trer-i-kraft-1.-juli) — Umsetzung in Norwegen / EWR, Finanstilsynet als zuständige Behörde 7. [NOREA — DORA exit plan template](https://www.norea.nl/dora/dora-template-exit-plan) — das bestehende kostenlose Artefakt der niederländischen IT-Auditoren-Berufsorganisation, das diese Vorlage erweitert (Strategie + Plan + Testprotokoll + agentenlesbare Variante)