Question 1

Was verlangt die DORA konkret von unserer Softwareseite?

Accepted Answer

Die Verordnung (EU) 2022/2554 gilt seit dem 17.01.2025 unmittelbar für Finanzunternehmen in der EU. Für die Anwendungsentwicklung läuft das auf fünf greifbare Dinge hinaus: ein gepflegtes Verzeichnis der eingesetzten IKT-Komponenten und ihrer Abhängigkeiten, protokollierte Erkennung und Meldung von IKT-Vorfällen, erprobte Wiederanlaufverfahren mit gemessener Wiederherstellungszeit, regelmäßige Resilienztests und geregelte Verträge mit IKT-Drittdienstleistern samt Informationsregister. Diese Bestandteile bauen wir in jedes Bankprojekt ein und übergeben sie als Dokumente, nicht als Zusage. Ob und in welchem Umfang Ihr Haus betroffen ist, stellt Ihre Compliance fest.

Question 2

Wie ordnen Sie sich gegenüber BaFin und MaRisk ein?

Accepted Answer

Zuständige Aufsicht in Deutschland ist die BaFin, bei bedeutenden Instituten zusammen mit der EZB. Prüfungsmaßstab Ihrer internen Revision sind die MaRisk, das Rundschreiben der BaFin zu den Mindestanforderungen an das Risikomanagement. Wir legen keine Auslegung vor, wie sich MaRisk und DORA in Ihrem Haus überlagern, weil das eine aufsichtsrechtliche Frage ist und keine technische. Was wir liefern, ist die Nachweisebene darunter: Änderungshistorie mit Freigabe im Vieraugenprinzip, Trennung von Entwicklung, Test und Produktion, Berechtigungskonzept mit Rollen, revisionssichere Protokolle, dokumentierte Notfallverfahren. Diese Unterlagen legen Sie Ihrer Revision vor, ohne dass jemand sie nachträglich zusammensuchen muss.

Question 3

Bauen Sie PSD2-Schnittstellen nach Berlin Group?

Accepted Answer

Ja. Die PSD2, Richtlinie (EU) 2015/2366, und die technischen Regulierungsstandards der EBA verlangen eine Schnittstelle für den Zugang zum Zahlungskonto. Die im deutschsprachigen Raum am weitesten verbreitete Spezifikation dafür ist NextGenPSD2 der Berlin Group, mit den Rollen für Kontoinformationsdienste, Zahlungsauslösedienste und die Deckungsanfrage. Wir setzen sie mit OAuth2 und OpenID Connect um, mit Einwilligungsverwaltung, Sitzungsbegrenzung und Protokollierung jeder Abfrage. Die starke Kundenauthentifizierung und die Ausnahmen davon sind der Punkt, an dem die meiste Abstimmung anfällt, weil sie Fachbereich, Betrugsprävention und Aufsicht gleichzeitig berührt.

Question 4

Wo liegen die Daten, und geht auch Betrieb im eigenen Rechenzentrum?

Accepted Answer

Beides ist möglich, und die Entscheidung treffen Sie. Variante eins ist der Betrieb in einer EU-Region, Frankfurt oder vergleichbar, mit Verschlüsselung im Ruhezustand und getrennten Mandanten. Variante zwei ist der vollständige Betrieb in Ihrem Rechenzentrum auf Kubernetes, mit Terraform beschrieben und über eine Freigabekette ausgerollt; dann verlässt kein Datensatz Ihr Netz. Bei personenbezogenen Daten schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ungarn ist EU-Mitgliedstaat, ein Drittlandtransfer mit Standardvertragsklauseln entfällt. Welche Komponente wo läuft und welche Unterauftragnehmer beteiligt sind, steht namentlich im Angebot.

Question 5

Fällt unser Scoring-Modell unter die KI-Verordnung?

Accepted Answer

Wahrscheinlich ja, und zwar über Anhang III. Die Bonitätsbewertung natürlicher Personen und die Risikobewertung in der Lebens- und Krankenversicherung sind dort als Hochrisikoanwendungen genannt. Die Fristen hat der AI Omnibus, Verordnung (EU) 2026/1744, in Kraft seit dem 27.07.2026, verschoben: Anhang III gilt ab dem 02.12.2027, Anhang I ab dem 02.08.2028. Seit dem 02.08.2026 greifen die Transparenzpflichten und der Sanktionsrahmen. Achten Sie darauf, dass viele Übersichten im Netz noch den alten Termin 02.08.2026 für Hochrisikosysteme zeigen. Wir liefern für ein solches Modell die technische Dokumentation, die Protokollierung der Entscheidungen und die Möglichkeit zur menschlichen Prüfung. Die Einstufung selbst gehört zu Ihrer Rechtsabteilung.

Question 6

Betrifft uns NIS2 zusätzlich zur DORA?

Accepted Answer

Das lässt sich nicht pauschal beantworten. Das BSIG in der Fassung des NIS2-Umsetzungsgesetzes ist am 06.12.2025 in Kraft getreten und knüpft die Betroffenheit in § 28 an Sektor und Größe. Für Finanzunternehmen gilt zusätzlich, dass die DORA als sektorspezifischer Rechtsakt ausgestaltet ist; wie beide Regime bei Ihnen zusammenwirken, klärt Ihre Rechtsabteilung. Praktisch relevant ist für uns der zweite Weg: § 30 BSIG führt die Sicherheit der Lieferkette als eigenen Pflichtbereich, weshalb betroffene Auftraggeber Sicherheitsklauseln, Auditrechte und Meldefristen an ihre Dienstleister weitergeben. Diese Klauseln erfüllen wir, statt sie zu verhandeln.

Question 7

Was kostet ein Projekt im Bankumfeld?

Accepted Answer

Vier belastbare Spannen aus unseren dokumentierten Projektgrößen, umgerechnet zu 385 HUF/EUR und unverbindlich. Eine Meldestrecke auf Basis des EBA Data Point Model mit XBRL-Erzeugung, Validierung und Wiederholungslogik liegt bei 47.000 bis 117.000 EUR und 4 bis 7 Monaten. Ein neues Schnittstellenmodul nach Berlin Group liegt bei 91.000 bis 234.000 EUR und 6 bis 10 Monaten. Eine Zwischenschicht vor ein Kernbanksystem liegt bei 130.000 bis 338.000 EUR und 7 bis 12 Monaten. Ein Gap-Audit zu DORA und NIS2 mit Umsetzungsplan liegt bei 7.800 bis 23.400 EUR und 4 bis 6 Wochen. Bankprojekte liegen bei uns rund 30 % über einem gleich großen Vorhaben ohne Aufsichtsbezug, weil Prüfung, Freigabe und Dokumentation Aufwand kosten. Stundensätze veröffentlichen wir nicht, weil wir je Bauabschnitt zum Festpreis anbieten.

Question 8

Werkvertrag oder Dienstvertrag?

Accepted Answer

Für abgegrenzte Bauabschnitte arbeiten wir im Werkvertrag nach § 631 BGB, also mit definiertem Leistungsumfang, Festpreis, Abnahme gegen vorher vereinbarte Kriterien und Gewährleistung. Aufnahme, Pilot und jede Ausbaustufe lassen sich so schneiden. Wo Sie dauerhaft Kapazität in einer gemischten Mannschaft brauchen, ist ein Dienstvertrag der ehrlichere Rahmen. Vertragspartner ist eine ungarische Kft. mit eigener Werk- und Weisungsverantwortung; deutsches Recht und Gerichtsstand lassen sich vereinbaren. Die DORA verlangt für Verträge mit IKT-Drittdienstleistern bestimmte Mindestinhalte und ein Informationsregister über diese Dienstleister. Die entsprechenden Klauseln nehmen wir auf und liefern die Angaben für Ihr Register zu.

Question 9

Was passiert mit dem Quellcode, und gibt es eine Hinterlegung?

Accepted Answer

Der Quellcode geht mit der Abnahme an Sie über, samt Repository, Build-Strecke und Betriebsdokumentation. Es gibt keine Nutzerlizenz je Arbeitsplatz und keine Wartungspflicht bei uns. Zusätzlich lässt sich eine Hinterlegung bei einem Escrow-Anbieter vereinbaren, wenn Ihre Revision das für eine Anwendung mit langer Laufzeit verlangt; die Kosten des Hinterlegungsdienstes tragen Sie und sie stehen getrennt im Angebot. Bei einer Anwendung, die zehn Jahre und länger läuft, ist die Übergabe der wesentliche Unterschied zu einem lizenzierten Standardprodukt.

Question 10

Warum ein Entwicklungspartner aus Budapest?

Accepted Answer

Drei nachprüfbare Gründe. Erstens dieselbe Zeitzone wie Frankfurt und Wien, was bei Abstimmungen mit Fachbereich und Revision mehr zählt als bei reiner Anwendungsentwicklung. Zweitens EU-Recht in beide Richtungen, also Auftragsverarbeitung nach Art. 28 DSGVO ohne Drittlandkonstruktion. Drittens das Kostenniveau. Der Freelancer-Kompass 2026 nennt für den DACH-Raum einen Median von 95 EUR pro Stunde über alle IT-Rollen und 120 EUR bei SAP und ERP. Das ist eine Freelancer-Erhebung und kein Agenturpreis, taugt aber als Größenordnung. Eine Prozentzahl für den Abstand zu einem deutschen Anbieter nennen wir nicht, weil uns keine Erhebung bekannt ist, die Agenturpreise beider Märkte vergleichbar erfasst. Stellen Sie unser Angebot neben ein deutsches, dann sehen Sie den Abstand für Ihren Umfang.

Regelwerk	Zeitpunkt	Gegenstand	Rahmen
DORA, Verordnung (EU) 2022/2554	seit 17.01.2025	IKT-Risiko, Vorfallmeldung, Resilienztests, Drittdienstleister	Aufsicht in Deutschland: BaFin
MaRisk, Rundschreiben der BaFin	laufend fortgeschrieben	Mindestanforderungen an das Risikomanagement	Prüfungsmaßstab von Revision und Aufsicht
PSD2, Richtlinie (EU) 2015/2366	starke Kundenauthentifizierung ab 14.09.2019	Zugang zum Zahlungskonto, Authentifizierung	Berlin Group NextGenPSD2 als verbreitete Spezifikation
BSIG in der Fassung des NIS2UmsuCG	in Kraft seit 06.12.2025	Betroffenheit nach § 28, Lieferkette nach § 30	Registrierung beim BSI
KI-Verordnung (EU) 2024/1689	Anhang III ab 02.12.2027	Bonitätsbewertung, Risikobewertung in der Versicherung	Transparenz und Sanktionen seit 02.08.2026
DSGVO, Verordnung (EU) 2016/679	seit 25.05.2018	Bankdaten, automatisierte Entscheidung, Auftragsverarbeitung	bis 20 Mio. EUR oder 4 % des Jahresumsatzes

System	Protokoll	Anmerkung
Kernbanksystem (z. B. Temenos Transact)	REST über Zwischenschicht	Anbindung ohne Eingriff in den Kern, Formatabbildung und Protokoll außerhalb.
SAP Banking und S/4HANA	BAPI, OData, IDoc	Buchhaltung, Stammdaten und Zulieferung für das Meldewesen.
Berlin Group NextGenPSD2	REST, OAuth2, OpenID Connect	Kontoinformation, Zahlungsauslösung, Deckungsanfrage mit Einwilligungsverwaltung.
SEPA und Echtzeitüberweisung	ISO 20022 (pain, pacs, camt)	Aufträge, Rückläufer, Kontoauszüge in einer Verarbeitungsstrecke.
SWIFT MX und CBPR+	ISO 20022	Grenzüberschreitender und hochwertiger Zahlungsverkehr.
Aufsichtliches Meldewesen	EBA Data Point Model, XBRL	Zuordnung aus dem Quellsystem, Prüfregeln vor dem Versand, Wiederholungslogik.
Auskunfteien (z. B. SCHUFA, Creditreform)	je Anbieter REST oder SOAP	Bonitätsabfrage mit dokumentierter Einwilligung und Protokoll.
Anbieter für Identitätsprüfung und Geldwäscheprävention	REST, Webhook	Legitimationsprüfung, Sanktionslistenabgleich, Wiedervorlage.
Zahlungsdienstleister im Handel	REST, 3-D Secure 2	Kartenzahlung und Rückabwicklung auf der Kundenseite.

Softwareentwicklung für den Bankensektor

Kurzfassung

Woran es in Instituten gerade hängt

DORA-Nachweise liegen in fünf Werkzeugen

Das Kernbanksystem lässt sich nicht anfassen

Meldestrecken laufen über Tabellen

Scoring-Modelle ohne technische Dokumentation

Freigaben sind gelebte Praxis, aber nicht belegbar

Der regulatorische Rahmen, auf den wir bauen

Schnittstellen, die wir bedienen

Was ein Institut von uns bekommt

Nachweise als Teil der Lieferung

Betriebsort nach Ihrer Vorgabe

Freigabekette im Vieraugenprinzip

Quellcode und Hinterlegung

Was ein Bankprojekt kostet

Sprechen Sie mit dem Entwickler, nicht mit dem Vertrieb

Banken, Zahlungsdienste und Versicherer in der Praxis

Was in Instituten meist dazugehört

NIS2-Compliance

KI-Verordnung, Hochrisiko-Checkliste

Systemintegration

Individuelle ERP-Entwicklung

DSGVO-konformer KI-Chatbot

Nearshore aus Ungarn

Aufnahme für Ihr Bankprojekt anfragen