DORA oder BSIG? — Die Abgrenzung für Finanzunternehmen

1. Worum es geht

Die Frage „DORA [EU-DORA] oder BSIG?“ hat keine pauschale Antwort. Für Finanzgruppen entstehen die meisten Fehler nicht, weil eine Norm übersehen wird, sondern weil drei verschiedene Normwelten ineinandergezogen werden: DORA als unmittelbar geltendes EU-Verordnungsrecht, die NIS-2-Richtlinie [EU-NIS2] als europäische Herkunftsschicht und das deutsche BSIG/KWG/VAG als nationale Anschlussarchitektur.

Der erste Grundsatz lautet deshalb: DORA-Finanzunternehmen-/Erstreckungsstatus und BSIG-Einrichtungsstatus sind zwei getrennte Prüfungen. Ein Unternehmen kann DORA-Finanzunternehmen sein und im deutschen BSIG-Finanzwesen-Katalog trotzdem keine eigene Einrichtungsart haben. Ein anderes Unternehmen kann eine BSIG-Einrichtung sein, aber kein DORA-Finanzunternehmen. Und ein drittes Unternehmen kann beides sein; dann verdrängt § 28 Abs. 6 BSIG [N-BSIG-28] aber nur eine abschließende Liste von BSIG-Vorschriften.

Der zweite Grundsatz lautet: „Finanzunternehmen“ ist hier kein Alltagswort. Der Begriff bezeichnet in DORA die Unternehmen aus Art. 2 Abs. 1 Buchstaben a bis t. Der IKT-Drittdienstleister aus Buchstabe u ist zwar im DORA-Geltungsbereich, aber gerade kein DORA-Finanzunternehmen. Deutsche Erstreckungsfälle nach § 1a Abs. 2 und 2a KWG [N-KWG-1a] sowie § 293 Abs. 5 VAG [N-VAG-293] sind zusätzlich in § 28 Abs. 6 Nr. 1 BSIG genannt; sie werden dadurch aber nicht zu DORA-„Finanzunternehmen“ umetikettiert.

Daraus ergeben sich im DORA/BSIG-Ausschnitt drei Antwortklassen:

A1-05 ist der Abgrenzungsartikel. Die NIS-2-Gesamtübersicht steht in Selbst-Check für Geschäftsführer, die Größenschwellen in Schwellenwerte (250 MA / 50 Mio. €), größenunabhängige Sondertatbestände und KRITIS-DachG-Abgrenzung in Sondertatbestände + KRITIS. Die DORA-Tiefe — also Governance, IKT-Risikomanagement, Vorfallsmeldungen, Tests, Drittparteienverträge und Aufsicht im Einzelnen — steht in DORA — Pflichten & Aufsicht. Die BSIG-Pflichten stehen in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG), die BSI-Meldekaskade in BSI-Meldepflicht (§ 32 BSIG), Haftung und Sanktionen in Haftung und Sanktionen — Überblick.

Was nach diesem Artikel entschieden sein muss

Ein brauchbares Ergebnis von A1-05 ist nicht der Satz „DORA gilt“. Ein brauchbares Ergebnis ist ein dokumentierter Statusvermerk pro Rechtsträger. Nach der Prüfung müssen mindestens diese Entscheidungen vorliegen:

Wer diese Entscheidungen nicht dokumentiert, verschiebt die eigentliche Arbeit nur. Genau daraus entstehen Compliance-Schulden: Der Vorstand glaubt, das Thema sei mit „DORA statt BSIG“ erledigt, während Registrierung, Drittparteienverträge, Meldewege oder Tochtergesellschaften ungeklärt bleiben.

Der Entscheidungsbaum in acht Ja-/Nein-Fragen

Für eine gute Vorstandsvorlage reicht keine Normensammlung. Die Prüfung sollte als Entscheidungsbaum dokumentiert werden:

1. Welcher Rechtsträger wird geprüft? Nicht „die Gruppe“, sondern Bank AG, Versicherung SE, Holding GmbH, IT-GmbH oder Zahlungsinstitut einzeln.
2. Ist dieser Rechtsträger DORA-Finanzunternehmen nach Art. 2 Abs. 1 Buchstaben a bis t? Buchstabe u zählt hierfür nicht.
3. Greift eine DORA-Ausnahme nach Art. 2 Abs. 3 oder eine Art.-2-Abs.-4-Spur? Dann keine Entlastung ohne dokumentierte Rechtsprüfung.
4. Greift eine deutsche Erstreckungsnorm? § 1a Abs. 2 KWG, § 1a Abs. 2a KWG oder § 293 Abs. 5 VAG.
5. Ist der Rechtsträger zusätzlich besonders wichtige Einrichtung oder wichtige Einrichtung nach BSIG? Anlage 1 [N-BSIG-Anl1] oder 2, § 28 Abs. 1/2, Schwellen und Sondertatbestände getrennt prüfen.
6. Wenn beides vorliegt: Welche Vorschriften verdrängt § 28 Abs. 6 wirklich? Nur §§ 30, 31, 32, 35, 36, 38 und 39 BSIG.
7. Bleiben § 33 BSIG [N-BSIG-33] oder § 34 BSIG [N-BSIG-34] als Registrierungsschienen relevant? Diese Entscheidung gehört ausdrücklich in die Akte; § 34 ist gesondert zu prüfen, wenn digitale Sonderrollen oder EU-/Vertreterkonstellationen in Betracht kommen.
8. Gibt es Tochter-, Dienstleister- oder Meldewegschnittstellen? Besonders bei Konzern-IT, Telematik, KRITIS-DachG-Routing und § 1a Abs. 2a KWG.

Der Entscheidungsbaum hat einen einfachen Qualitätstest: Ein Dritter muss am Ende erkennen können, warum gerade diese Gesellschaft DORA-, BSIG-, Doppel- oder Drittparteienfall ist. Wenn die Begründung nur auf Branchengefühl, Konzernzugehörigkeit oder „DORA gilt bei uns“ beruht, ist sie nicht belastbar.

Vier typische Startpunkte

Diese Fallbilder ersetzen keine Einzelfallprüfung. Sie zeigen nur, warum die Ausgangsfrage falsch gestellt ist. Die richtige Frage lautet: Welche Gesellschaft hat welchen Status, welche Pflichten werden listengenau verdrängt und welche Pflichten bleiben daneben bestehen?

Befundformeln, die in die Akte passen

Der Nutzen des Artikels zeigt sich daran, ob daraus gute Befundformeln entstehen. Diese Formeln sind keine Gutachtenersatztexte, aber sie zeigen die richtige Richtung:

Diese Befundformeln sind absichtlich nüchtern. Sie zwingen dazu, Rechtsträger, Status, Verdrängung, Restpflichten und Unsicherheiten getrennt zu halten.

2. Wer ist DORA-Finanzunternehmen?

DORA [EU-DORA] gilt seit dem 17. Januar 2025. Der Adressatenkreis steht in Art. 2 der Verordnung (EU) 2022/2554. Für A1-05 ist entscheidend, dass Art. 2 Abs. 1 zunächst 21 Unternehmenstypen von Buchstabe a bis u nennt, Art. 2 Abs. 2 aber nur die Buchstaben a bis t als „Finanzunternehmen“ zusammenfasst.

Art. 2 Abs. 1 DORA — Anwendungsbereich
Unbeschadet der Absätze 3 und 4 gilt diese Verordnung für folgende Unternehmen:
a) Kreditinstitute,
b) Zahlungsinstitute, einschließlich gemäß der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute,
c) Kontoinformationsdienstleister,
d) E-Geld-Institute, einschließlich gemäß der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute,
e) Wertpapierfirmen,
f) Anbieter von Krypto-Dienstleistungen, die gemäß einer Verordnung des Europäischen Parlaments und des Rates über Märkte von Krypto-Werten und zur Änderung der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 1095/2010 sowie der Richtlinien 2013/36/EU und (EU) 2019/1937 (im Folgenden „Verordnung über Märkte von Krypto-Werten“) zugelassen sind, und Emittenten wertreferenzierter Token,
g) Zentralverwahrer,
h) zentrale Gegenparteien,
i) Handelsplätze,
j) Transaktionsregister,
k) Verwalter alternativer Investmentfonds,
l) Verwaltungsgesellschaften,
m) Datenbereitstellungsdienste,
n) Versicherungs- und Rückversicherungsunternehmen,
o) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit,
p) Einrichtungen der betrieblichen Altersversorgung,
q) Ratingagenturen,
r) Administratoren kritischer Referenzwerte,
s) Schwarmfinanzierungsdienstleister,
t) Verbriefungsregister,
u) IKT-Drittdienstleister.

Art. 2 Abs. 2 DORA — Legalbegriff „Finanzunternehmen“
Für die Zwecke dieser Verordnung werden die in Absatz 1 Buchstaben a bis t genannten Unternehmen zusammen als „Finanzunternehmen“ bezeichnet.

Normlock zu Buchstabe f: Der Krypto-Eintrag bleibt im Blockquote so stehen, wie er in der deutschen DORA-Kontrollfassung abgedruckt ist. Die MiCA-Verordnung [EU-MICA] (EU) 2023/1114 darf erläuternd außerhalb des Zitats genannt werden, aber nicht als eigene Ergänzung in den zitierten Wortlaut hineingeschrieben werden.

Diese kleine Grenze — a bis t, nicht a bis u — trägt den gesamten Artikel. Ein Zahlungsinstitut kann DORA-Finanzunternehmen sein. Ein Versicherer kann DORA-Finanzunternehmen sein. Eine Wertpapierfirma kann DORA-Finanzunternehmen sein. Ein IKT-Drittdienstleister ist dagegen Buchstabe u und damit gerade nicht Finanzunternehmen nach Art. 2 Abs. 2 DORA.

Das gilt auch dann, wenn der IKT-Drittdienstleister in der Finanzgruppe sitzt. Die Konzern-IT-Tochter ist DORA-nah, weil die bedienten Finanzunternehmen ihr IKT-Drittparteienrisiko steuern müssen. Diese Nähe begründet aber keinen Finanzunternehmen-Status.

Bereichsausnahmen nach Art. 2 Abs. 3 DORA

Art. 2 Abs. 1 gilt „unbeschadet der Absätze 3 und 4“. Deshalb endet die Statusprüfung nicht bei der a-bis-t-Liste. Der nächste Schritt sind die Ausnahmen.

Art. 2 Abs. 3 DORA — Ausnahmen
Diese Verordnung gilt nicht für:
a) Verwalter alternativer Investmentfonds im Sinne von Artikel 3 Absatz 2 der Richtlinie 2011/61/EU;
b) Versicherungs- und Rückversicherungsunternehmen im Sinne von Artikel 4 der Richtlinie 2009/138/EG;
c) Einrichtungen der betrieblichen Altersversorgung, die Altersversorgungssysteme mit insgesamt weniger als 15 Versorgungsanwärtern betreiben;
d) gemäß den Artikeln 2 und 3 der Richtlinie 2014/65/EU ausgenommene natürliche oder juristische Personen;
e) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, bei denen es sich um Kleinstunternehmen oder kleine oder mittlere Unternehmen handelt;
f) Postgiroämter im Sinne von Artikel 2 Absatz 5 Nummer 3 der Richtlinie 2013/36/EU.

Für die Erstprüfung heißt das: Ein Unternehmen, das formal in einer a-bis-t-Kategorie auftaucht, kann trotzdem aus dem DORA-Geltungsbereich herausfallen. Bei solchen Fällen ist für § 28 Abs. 6 Nr. 1 BSIG keine Entlastung ohne dokumentierte Rechtsprüfung anzunehmen. Das ist eine vorsichtige Anwaltsregel, weil § 28 Abs. 6 Nr. 1 BSIG auf „Finanzunternehmen nach Artikel 2 Absatz 2“ verweist, Art. 2 Abs. 1 aber selbst „unbeschadet“ der Absätze 3 und 4 gilt.

Mitgliedstaaten-Option nach Art. 2 Abs. 4 DORA

Art. 2 Abs. 4 DORA — Mitgliedstaaten-Option
Die Mitgliedstaaten können die in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU aufgeführten Stellen, die sich in ihrem jeweiligen Hoheitsgebiet befinden, vom Geltungsbereich dieser Verordnung ausnehmen. Macht ein Mitgliedstaat von dieser Möglichkeit Gebrauch, so setzt er die Kommission hiervon sowie von allen nachfolgenden Änderungen in Kenntnis. Die Kommission macht diese Informationen auf ihrer Website oder auf andere leicht zugängliche Weise öffentlich zugänglich.

Für diese Prüffassung gilt deshalb ein Publikationstags-Check: Ob Deutschland zu Art. 2 Abs. 4 DORA eine veröffentlichte Ausnahmeinformation hinterlegt hat, wird nicht aus dem Gedächtnis behauptet. Die deutsche § 1a KWG-Architektur wird davon getrennt dargestellt.

Die wichtigsten DORA-Definitionen für diesen Artikel

DORA arbeitet mit eigenen Legaldefinitionen. Die folgenden Begriffe sind für A1-05 tragend:

Art. 3 DORA — ausgewählte Begriffe
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:

1. „digitale operationale Resilienz“ die Fähigkeit eines Finanzunternehmens, seine operative Integrität und Betriebszuverlässigkeit aufzubauen, zu gewährleisten und zu überprüfen, indem es entweder direkt oder indirekt durch Nutzung der von IKT-Drittdienstleistern bereitgestellten Dienste das gesamte Spektrum an IKT-bezogenen Fähigkeiten sicherstellt, die erforderlich sind, um die Sicherheit der Netzwerk- und Informationssysteme zu gewährleisten, die von einem Finanzunternehmen genutzt werden und die kontinuierliche Erbringung von Finanzdienstleistungen und deren Qualität, einschließlich bei Störungen, unterstützen;
2. „IKT-Drittparteienrisiko“ ein IKT-bezogenes Risiko, das für ein Finanzunternehmen im Zusammenhang mit dessen Nutzung von IKT-Dienstleistungen entstehen kann, die von IKT-Drittdienstleistern oder deren Unterauftragnehmern, einschließlich über Vereinbarungen zur Auslagerung, bereitgestellt werden;
3. „IKT-Drittdienstleister“ ein Unternehmen, das IKT-Dienstleistungen bereitstellt;
4. „gruppeninterner IKT-Dienstleister“ ein Unternehmen, das Teil einer Finanzgruppe ist und überwiegend IKT-Dienstleistungen für Finanzunternehmen derselben Gruppe oder für Finanzunternehmen, die demselben institutsbezogenen Sicherungssystem angehören, bereitstellt, einschließlich deren Mutterunternehmen, Tochterunternehmen und Zweigniederlassungen oder anderer Unternehmen, die in gemeinsamem Eigentum oder unter gemeinsamer Kontrolle stehen;
5. „IKT-Dienstleistungen“ digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung und Hardwaredienstleistungen, wozu auch technische Unterstützung durch den Hardwareanbieter mittels Software- oder Firmware-Aktualisierungen gehört, mit Ausnahme herkömmlicher analoger Telefondienste;
6. „kritischer IKT-Drittdienstleister“ einen IKT-Drittdienstleister, der gemäß Artikel 31 als kritisch eingestuft wurde;
7. „Kleinstunternehmen“ ein Finanzunternehmen, bei dem es sich nicht um einen Handelsplatz, eine zentrale Gegenpartei, ein Transaktionsregister oder einen Zentralverwahrer handelt, das weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR nicht überschreitet;

Diese Definitionen verhindern zwei Kurzschlüsse. Erstens ist digitale operationale Resilienz nicht nur „IT-Sicherheit“, sondern die Fähigkeit, operative Integrität und Betriebszuverlässigkeit auch bei Störungen zu tragen. Zweitens ist ein gruppeninterner IKT-Dienstleister zwar DORA-begrifflich erfasst, aber nicht schon deshalb DORA-Finanzunternehmen.

3. Die deutschen Erstreckungsfälle

§ 28 Abs. 6 Nr. 1 BSIG nennt neben den DORA-Finanzunternehmen auch Unternehmen, für die DORA-Anforderungen aufgrund deutscher Erstreckungsnormen gelten. Für A1-05 sind drei Spuren wichtig: § 1a Abs. 2 KWG [N-KWG-1a], § 1a Abs. 2a KWG und § 293 Abs. 5 VAG [N-VAG-293].

§ 1a Abs. 2 KWG
(2) Für Einrichtungen, die in Artikel 2 Absatz 5 Nummer 5 der Richtlinie 2013/36/EU namentlich genannt werden, gelten die Vorgaben der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1) und die Vorgaben der auf Grundlage der Verordnung (EU) 2022/2554 erlassenen Rechtsakte sowie die Bestimmungen dieses Gesetzes, die auf Vorgaben der Verordnung (EU) 2022/2554 verweisen, als wenn diese Einrichtungen CRR-Kreditinstitute wären.

§ 1a Abs. 2a KWG
(2a) Für Institute, die nicht nach Artikel 2 der Verordnung (EU) 2022/2554 im Geltungsbereich der Verordnung (EU) 2022/2554 liegen, gelten die Vorgaben der Verordnung (EU) 2022/2554 und die Vorgaben der auf Grundlage der Verordnung (EU) 2022/2554 erlassenen Rechtsakte sowie die Bestimmungen dieses Gesetzes, die auf Vorgaben der Verordnung (EU) 2022/2554 verweisen so, als wären diese Institute CRR-Kreditinstitute. Abweichend von Satz 1 finden

1. anstelle der Vorgaben der Artikel 5 bis 15 der Verordnung (EU) 2022/2554 die Vorgaben des vereinfachten Informations- und Kommunikationstechnologien-Risikomanagementrahmens nach Artikel 16 der Verordnung (EU) 2022/2554 Anwendung,
2. die Vorgaben an die Durchführung der bedrohungsgeleiteten Penetrationstests nach den Artikeln 26 und 27 der Verordnung (EU) 2022/2554 keine Anwendung,
3. die Vorgaben an das IKT-Drittparteienrisikomanagement nach den Artikeln 28 bis 30 der Verordnung (EU) 2022/2554 auf Kleinstunternehmen im Sinne von Artikel 3 Nummer 60 der Verordnung (EU) 2022/2554 keine Anwendung.

Wichtig ist die zeitliche Staffelung des § 1a Abs. 2a KWG. Für den Stand dieser Prüffassung darf die Norm nicht pauschal so behandelt werden, als gelte sie bereits vollständig.

§ 65a Abs. 3 KWG
(3) § 1a Absatz 2a ist ab dem 1. Januar 2027 anzuwenden. Die Anforderungen an das Meldewesen nach Kapitel III der Verordnung (EU) 2022/2554 sind ab dem 17. Januar 2025 anzuwenden.

Die Kausalkette für § 1a Abs. 2a KWG lautet deshalb: 2025/2026 ist das Kapitel-III-DORA-Meldewesen sicher vorgezogen. Die übrige § 1a Abs. 2a-Erstreckung beginnt erst am 1. Januar 2027. Für § 28 Abs. 6 BSIG [N-BSIG-28] darf daraus in 2025/2026 keine pauschale vollständige Verdrängung aller gelisteten BSIG-Vorschriften abgeleitet werden, ohne die Übergangsschnittstelle ausdrücklich zu begründen.

§ 293 Abs. 4 und 5 VAG
(4) Für Unternehmen mit Sitz im Inland, deren Haupttätigkeit der Erwerb und das Halten unmittelbarer oder mittelbarer Beteiligungen an Erst- oder Rückversicherungsunternehmen oder Pensionsfonds ist und die nicht bereits der Aufsicht nach diesem Gesetz unterliegen, gelten die Absätze 1 bis 3 entsprechend.
(5) Für Versicherungs-Holdinggesellschaften nach § 7 Nummer 31 und für Unternehmen nach Absatz 4 gelten die Vorgaben der Verordnung (EU) 2022/2554, die Vorgaben der auf Grundlage der Verordnung (EU) 2022/2554 erlassenen Rechtsakte sowie die Bestimmungen dieses Gesetzes, die auf Vorgaben der Verordnung (EU) 2022/2554 verweisen. Anstelle der Artikel 5 bis 15 der Verordnung (EU) 2022/2554 gilt der vereinfachte Informations- und Kommunikationstechnologien-Risikomanagementrahmen (IKT-Risikomanagementrahmen) nach Artikel 16 der Verordnung (EU) 2022/2554.

Diese deutschen Erstreckungsfälle sind keine Erweiterung des DORA-Legalbegriffs „Finanzunternehmen“. Sie bilden in § 28 Abs. 6 Nr. 1 BSIG eine zweite Adressatengruppe neben den Finanzunternehmen nach Art. 2 Abs. 2 DORA [EU-DORA].

4. Der Verdrängungsmechanismus — § 28 Abs. 6 BSIG

§ 28 Abs. 6 BSIG [N-BSIG-28] ist die deutsche Scharniernorm. Er sagt nicht: „DORA [EU-DORA] ersetzt das BSIG.“ Er sagt nur, dass bestimmte BSIG-Vorschriften für bestimmte Adressaten nicht gelten.

§ 28 Abs. 6 BSIG
(6) Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für

1. Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten,
2. die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen.

§ 28 Abs. 7 BSIG
(7) § 32 gilt nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben.

Daraus folgen drei Lese-Disziplinen.

Erstens ist die Liste der zurücktretenden Vorschriften abschließend: §§ 30, 31, 32, 35, 36, 38 und 39 BSIG. Nicht genannt sind insbesondere § 33 BSIG [N-BSIG-33], § 34 BSIG [N-BSIG-34] sowie die Sanktions- und Durchsetzungsnormen. Nicht genannte Vorschriften werden durch § 28 Abs. 6 BSIG nicht verdrängt. Ob sie im Einzelfall greifen, bleibt aber eine eigene Tatbestands- und Anschlussprüfung.

Zweitens öffnet Nr. 1 nur für zwei genaue Adressatengruppen: DORA-Finanzunternehmen nach Art. 2 Abs. 2 DORA und Unternehmen, für die DORA-Anforderungen aufgrund von § 1a Abs. 2/2a KWG [N-KWG-1a] oder § 293 Abs. 5 VAG [N-VAG-293] gelten. Wer bloß „Finanzbezug“ hat oder IKT-Drittdienstleister nach Art. 2 Abs. 1 Buchstabe u DORA ist, fällt nicht deshalb unter Nr. 1.

Drittens ist Nr. 2 der Telematikpfad. Die Gesellschaft für Telematik und die in Nr. 2 genannten Telematikinfrastruktur-Konstellationen sind kein DORA-/Erstreckungsfall nach Nr. 1. Sie sind aber sehr wohl ein eigener Pfad im selben Absatz. A1-05 behandelt sie nur als Routing; die Sonderkonstellationen-Navigation steht in Konzern, DORA & Insolvenz — Sonderfälle.

§ 28 Abs. 7 BSIG ist nochmals enger. Er betrifft Betreiber kritischer Anlagen und nur § 32 BSIG [N-BSIG-32], soweit sie eine Anlage für Unternehmen nach Abs. 6 Nr. 1 betreiben. Die Betreiber-Perspektive und die KRITIS-DachG-Abgrenzung stehen in Sondertatbestände + KRITIS.

5. Der EU-Unterbau — warum es die Verdrängung gibt

Die deutsche Verdrängungsmechanik steht nicht isoliert. Sie setzt den europäischen Gedanken aus Art. 4 Abs. 1 und 2 NIS-2 und Art. 1 Abs. 2 DORA [EU-DORA] in deutsches Recht um. Trotzdem wird aus der NIS-2-Richtlinie [EU-NIS2] nicht unmittelbar die deutsche Pflichtenfolge abgeleitet; dafür ist § 28 Abs. 6 BSIG [N-BSIG-28] führend.

Art. 4 Abs. 1 NIS-2-Richtlinie
Wenn wesentliche oder wichtige Einrichtungen gemäß sektorspezifischen Rechtsakten der Union entweder Maßnahmen zum Cybersicherheitsrisikomanagement ergreifen oder erhebliche Sicherheitsvorfälle melden müssen und wenn die entsprechenden Anforderungen in ihrer Wirkung den in dieser Richtlinie festgelegten Verpflichtungen zumindest gleichwertig sind, finden die einschlägigen Bestimmungen dieser Richtlinie, einschließlich der Bestimmungen über Aufsicht und Durchsetzung in Kapitel VII, keine Anwendung auf solche Einrichtungen.
Wenn die sektorspezifischen Rechtsakte der Union nicht für alle in den Anwendungsbereich dieser Richtlinie fallenden Einrichtungen eines bestimmten Sektors gelten, kommen die einschlägigen Bestimmungen dieser Richtlinie weiterhin für Einrichtungen zur Anwendung, die nicht unter diese sektorspezifischen Rechtsakte der Union fallen.

Art. 4 Abs. 2 NIS-2-Richtlinie
Die in Absatz 1 dieses Artikels genannten Anforderungen gelten den in dieser Richtlinie festgelegten Verpflichtungen in ihrer Wirkung als gleichwertig, wenn
a) die Maßnahmen zum Cybersicherheitsrisikomanagement den in Artikel 21 Absätze 1 und 2 festgelegten Maßnahmen in ihrer Wirkung mindestens gleichwertig sind, oder
b) der sektorspezifische Rechtsakt der Union einen unmittelbaren — gegebenenfalls automatischen und direkten — Zugang zu den Meldungen von Sicherheitsvorfällen durch die CSIRTs, die zuständigen Behörden oder die zentralen Anlaufstellen gemäß dieser Richtlinie vorsieht und wenn die Anforderungen an die Meldung erheblicher Sicherheitsvorfälle in ihrer Wirkung mindestens den in Artikel 23 Absätze 1 bis 6 festgelegten gleichwertig sind.

Art. 1 Abs. 2 DORA
In Bezug auf Finanzunternehmen, die gemäß den nationalen Vorschriften zur Umsetzung von Artikel 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Unternehmen ermittelt wurden, gilt diese Verordnung für die Zwecke von Artikel 4 der genannten Richtlinie als sektorspezifischer Rechtsakt der Union.

Die Konditionierung ist wichtig: Art. 1 Abs. 2 DORA spricht von Finanzunternehmen, die gemäß den nationalen Vorschriften zur Umsetzung von Art. 3 NIS-2 als wesentliche oder wichtige Unternehmen ermittelt wurden. Das ist die europäische Brücke. Die deutsche Pflichtenfolge ergibt sich dann aus dem deutschen BSIG, insbesondere § 28 Abs. 6.

Die Kommissionsleitlinien [EU-NIS2-LL-C328] 2023/C 328/02 zu Art. 4 Abs. 1 und 2 NIS-2 sind eine amtliche Einordnungshilfe. Sie ersetzen aber nicht die deutsche Tatbestandsprüfung nach BSIG, KWG und VAG.

6. Wer ist überhaupt BSIG-Einrichtung im Finanzwesen?

Der DORA-Adressatenkreis ist deutlich breiter als der deutsche BSIG-Katalog im Sektor Finanzwesen. Für den hier geprüften Stand führt A1-05 Anlage 1 [N-BSIG-Anl1] BSIG, Sektor 3 „Finanzwesen“, mit den drei nachfolgend genannten Einrichtungsarten; der exakte Anlagenwortlaut ist im Normlock zu spiegeln:

Nicht in dieser Dreierliste stehen etwa Versicherungsunternehmen, Rückversicherungsunternehmen, Zahlungsinstitute, E-Geld-Institute, Verwaltungsgesellschaften oder Ratingagenturen. Sie können DORA-Finanzunternehmen sein, haben aber regelmäßig keine Einrichtungsart im BSIG-Sektor 3 Finanzwesen. Dann ist § 28 Abs. 6 BSIG [N-BSIG-28] praktisch gegenstandslos, weil nichts verdrängt werden muss.

Das ist kein Freibrief. Eine Erfassung über eine andere Einrichtungsart der Anlagen 1 oder 2 kann im Einzelfall bestehen. Außerdem bleiben fachaufsichtsrechtliche, gesellschaftsrechtliche und vertragliche Pflichten unberührt.

BSIG-Einstiegsroute außerhalb der Sondertatbestände

Für Anlage-1-/Anlage-2-Einrichtungen ist der Einstieg dreistufig: Einrichtungsart, Entgeltlichkeits-/Angebotsmerkmal und Schwelle.

§ 28 Abs. 1 Satz 1 Nr. 4 BSIG — besonders wichtige Einrichtungen
4. sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in Anlage 1 bestimmten Einrichtungsarten zuzuordnen sind, und
a) mindestens 250 Mitarbeiter beschäftigen oder
b) einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.

§ 28 Abs. 2 Satz 1 Nr. 3 BSIG — wichtige Einrichtungen
3. sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in den Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen sind und
a) mindestens 50 Mitarbeiter beschäftigen oder
b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen.

Für die IT-Tochter ist gerade die Formulierung „anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten“ praktisch wichtig. Bei konzerninternen Leistungsbeziehungen ist sie nicht beiläufig zu bejahen oder zu verneinen. Die volle Größenschwellen- und Konzernlogik steht in Schwellenwerte (250 MA / 50 Mio. €) und Konzern: Größenklassen & IT-Tochter.

7. Box: Die Konzern-IT-Tochter

Praxisbox — Konzern-IT-Tochter einer Finanzgruppe
Die Konzern-IT-Tochter ist regelmäßig DORA-nah, aber nicht deshalb DORA-Finanzunternehmen. Sie ist typischerweise gruppeninterner IKT-Dienstleister und damit IKT-Drittdienstleister nach Art. 2 Abs. 1 Buchstabe u DORA. Buchstabe u steht außerhalb der Finanzunternehmen-Definition des Art. 2 Abs. 2 DORA.

Die Kausalkette lautet:

1. Die IT-Tochter erbringt überwiegend IKT-Dienstleistungen für Finanzunternehmen derselben Gruppe, für Finanzunternehmen desselben institutsbezogenen Sicherungssystems oder für vergleichbare Einheiten unter gemeinsamem Eigentum oder gemeinsamer Kontrolle.
2. Sie ist deshalb regelmäßig gruppeninterner IKT-Dienstleister im Sinne von Art. 3 Nr. 20 DORA [EU-DORA].
3. Als Unternehmen, das IKT-Dienstleistungen bereitstellt, ist sie IKT-Drittdienstleister im Sinne von Art. 3 Nr. 19 DORA und fällt in Art. 2 Abs. 1 Buchstabe u.
4. Art. 2 Abs. 2 DORA bezeichnet aber nur Buchstaben a bis t als Finanzunternehmen.
5. § 28 Abs. 6 Nr. 1 BSIG öffnet deshalb nicht allein wegen dieser DORA-Nähe.
6. Die eigene BSIG-Pflicht der IT-Tochter ist nach Anlage 1 [N-BSIG-Anl1], Sektor 6 „Digitale Infrastruktur“, und nach den Schwellen des § 28 BSIG [N-BSIG-28] zu prüfen.

Für die IT-Tochter kommen im BSIG besonders folgende Einrichtungsarten aus Anlage 1, Sektor 6 „Digitale Infrastruktur“, in Betracht: 6.1.4 Anbieter von Cloud-Computing-Diensten, 6.1.5 Anbieter von Rechenzentrumsdiensten, 6.1.10 Managed Services Provider und 6.1.11 Managed Security Services Provider. Ob die konkrete Gesellschaft darunterfällt, hängt von ihrer Leistung, ihrem Marktauftritt, ihren Verträgen und ihrer technischen Rolle ab.

Der schwierigste Praxispunkt ist häufig nicht die Einrichtungsart, sondern die Formulierung „anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten“. Bei konzerninternen Leistungsbeziehungen kann das Merkmal einzelfall- und strukturabhängig sein. Gegen eine vorschnelle Entlastung spricht, dass die IT-Tochter regelmäßig eine eigene juristische Person ist und entgeltliche Leistungen an andere Gruppengesellschaften erbringt. Für eine vorsichtige Prüfung spricht, dass interne Konzernfunktionen nicht immer wie offene Marktangebote strukturiert sind. Die Konzern-Schwellenberechnung und die Details der Zurechnung stehen in Konzern: Größenklassen & IT-Tochter.

DORA-seitig wird die IT-Tochter über das IKT-Drittparteienrisiko der bedienten Finanzunternehmen vertraglich erfasst. Das ist ein Drittparteien- und Vertragsregime, nicht automatisch ein eigener Finanzunternehmen-Status der IT-Tochter.

Was IT und CISO für die Statusprüfung liefern müssen

Die Rechtsabteilung kann die IT-Tochter nicht sauber einordnen, wenn IT, CISO, Einkauf und Finance nur abstrakt von „IT-Betrieb“ sprechen. Für A1-05 braucht die Prüfung konkrete Tatsachen:

Für den CISO heißt das: Die Statusprüfung ist kein reines Legal-Memo. Sie braucht ein belastbares Bild der technischen Dienste, der Gesellschaftsbeziehungen und der Meldeorganisation.

Kritische IKT-Drittdienstleister: Art. 31 Abs. 8 DORA vollständig mitdenken

Die Einstufung als kritischer IKT-Drittdienstleister ist für echte Konzern-IT-Töchter nicht offen zu lassen, ohne Art. 31 Abs. 8 DORA zu lesen.

Art. 31 Abs. 8 DORA — Ausschlüsse von der Einstufung nach Art. 31 Abs. 1 Buchstabe a
(8) Die Einstufung nach Absatz 1 Buchstabe a gilt nicht für:
i) Finanzunternehmen, die IKT-Dienstleistungen für andere Finanzunternehmen bereitstellen;
ii) IKT-Drittdienstleister, die Überwachungsrahmen unterliegen, die zur Unterstützung der in Artikel 127 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union genannten Aufgaben eingerichtet wurden;
iii) gruppeninterne IKT-Dienstleister;
iv) IKT-Drittdienstleister, die IKT-Dienstleistungen ausschließlich in einem Mitgliedstaat für Finanzunternehmen bereitstellen, die nur in diesem Mitgliedstaat tätig sind.

Für A1-05 folgt daraus: Eine echte gruppeninterne IT-Tochter wird nicht nach Art. 31 Abs. 1 Buchstabe a DORA als kritischer IKT-Drittdienstleister eingestuft. Auch ein eigener Finanzunternehmenstatus öffnet diese kritische Einstufung nicht; Finanzunternehmen, die IKT-Dienstleistungen für andere Finanzunternehmen bereitstellen, stehen in Art. 31 Abs. 8 selbst als Ausschlussfall. Ein eigener regulierter Finanzstatus ist separat für die DORA-/BSIG-Statusfrage relevant, nicht als Grund, die kritische Einstufung wieder zu öffnen.

Offen bleibt nur eine andere Konstellation: Die Gesellschaft ist tatsächlich nicht gruppenintern, fällt nicht unter einen anderen Art.-31-Abs.-8-Ausschluss und erbringt IKT-Dienstleistungen in einer Weise, die die Kriterien des Art. 31 DORA relevant machen kann. Diese Tiefe gehört nach DORA — Pflichten & Aufsicht.

8. Folgen der Einordnung — Pflichten-Landkarte im Überblick

Bei Klasse 1 — DORA [EU-DORA] ohne BSIG-Einrichtungsstatus im DORA/BSIG-Ausschnitt — laufen die digitalen Resilienzpflichten über DORA und die zuständige Finanzaufsicht. § 28 Abs. 6 BSIG [N-BSIG-28] muss praktisch nichts verdrängen, weil das Unternehmen nicht als besonders wichtige Einrichtung oder wichtige Einrichtung nach § 28 BSIG in der relevanten Einrichtungsart steht.

Bei Klasse 2 — beides mit listengenauer Verdrängung — laufen die vom sektorspezifischen DORA-Regime erfassten Themen im verdrängten Bereich über DORA: IKT-Risikomanagement, Vorfallsmeldewesen, Resilienztests, Drittparteirisiko und Governance. BSIG-seitig treten nur die gelisteten Vorschriften zurück. Soweit ein BSIG-Einrichtungsstatus besteht, bleibt insbesondere die Registrierungspflicht nach § 33 BSIG [N-BSIG-33] nicht wegen § 28 Abs. 6 gestrichen.

Sonderzeile § 1a Abs. 2a KWG [N-KWG-1a]: Für 2025/2026 darf die Klasse 2 bei § 1a Abs. 2a-Instituten nicht pauschal auf alle DORA-Pflichten und alle gelisteten BSIG-Vorschriften übertragen werden. Nach § 65a Abs. 3 KWG [N-KWG-65a] ist in dieser Übergangsphase nur das Meldewesen nach Kapitel III DORA sicher vorgezogen; die übrige Anwendung des § 1a Abs. 2a KWG beginnt erst am 1. Januar 2027. Die Wirkung auf § 28 Abs. 6 BSIG ist deshalb pflichtenbezogen zu dokumentieren.

Für die Akte bedeutet das: Bei § 1a-Abs.-2a-KWG-Fällen wird für jede Norm der Verdrängungsliste einzeln markiert, ob der konkrete Vorgang schon 2025/2026 durch die vorgezogene Kapitel-III-DORA-Spur erfasst ist oder ob die volle Erstreckungs-/Verdrängungslogik erst ab dem 1. Januar 2027 belastbar angenommen wird. Ohne diese Einzelzuordnung darf weder Vollverdrängung noch Nichtverdrängung pauschal behauptet werden.

Bei Klasse 3 — BSIG ohne § 28 Abs. 6 Nr. 1-Entlastung; DORA nur Drittparteien-/Vertragsrouting — gelten die BSIG-Pflichten nach eigener Tatbestandsprüfung. Für die Konzern-IT-Tochter heißt das: Ist sie Anbieterin von Cloud-Computing-Diensten (6.1.4), Anbieterin von Rechenzentrumsdiensten (6.1.5), Managed Services Provider (6.1.10) oder Managed Security Services Provider (6.1.11) und erfüllt sie die Schwellen, steht sie im BSIG-Pflichtenprogramm. Ihre DORA-Einbindung bleibt dann zusätzlich über Verträge und Drittparteiensteuerung der bedienten Finanzunternehmen relevant.

Was genau tritt bei § 28 Abs. 6 zurück?

Die zurücktretenden Vorschriften sind:

Nicht in der Liste stehen § 33 BSIG und § 34 BSIG [N-BSIG-34]. Deshalb werden Registrierung und Sonderregistrierung nicht schon durch § 28 Abs. 6 verdrängt. § 33 gehört in die allgemeine Registrierungsentscheidung; § 34 ist als eigene Sonderregistrierungs-/ENISA-/Vertreterspur zu prüfen, wenn die einschlägigen digitalen Rollen oder EU-Niederlassungs-/Vertreterkonstellationen überhaupt berührt sind.

Bei Betreibern kritischer Anlagen ist außerdem § 66 BSIG [N-BSIG-66] als Übergangsfilter vorzuschalten: § 33 Abs. 2 BSIG und die neuen Begriffs-/Registrierungsfolgen greifen erst nach Geltung der einschlägigen KRITIS-DachG-Rechtsverordnung; bis dahin ist die Übergangs-/Altlogik gesondert zu prüfen. A1-05 routet diesen Pfad nur; die Tiefe steht in Sondertatbestände + KRITIS.

Kleine DORA-Adressaten sind nicht pflichtenfrei

DORA enthält selbst Verhältnismäßigkeitsmechaniken. Art. 16 Abs. 1 DORA ordnet für bestimmte kleinere oder ausgenommene Adressaten den vereinfachten IKT-Risikomanagementrahmen an. Auch § 1a Abs. 2a KWG und § 293 Abs. 5 VAG [N-VAG-293] verweisen für ihre Erstreckungsfälle auf Art. 16 statt Art. 5 bis 15. Das bedeutet: klein heißt nicht pflichtenfrei; klein kann einen vereinfachten Rahmen bedeuten. Bei § 1a Abs. 2a KWG gilt zusätzlich der Zeitfilter des § 65a Abs. 3 KWG.

Aufsicht und Leitungsverantwortung

In Deutschland sind je nach Finanzunternehmen, Meldegegenstand und Aufsichtsspur insbesondere BaFin-Konstellationen relevant. Eine Bundesbank-Einbindung ist dort zu prüfen, wo das jeweilige Melde- oder Aufsichtsregime sie vorsieht. Eine pauschale Zuständigkeitsaussage trägt nicht.

DORA suspendiert außerdem nicht die gesellschaftsrechtliche Leitungsverantwortung. § 43 GmbHG [N-GmbHG-43], § 93 AktG [N-AktG-93] und § 116 AktG [N-AktG-116] laufen weiter. Die Geschäftsleitung kann sich also nicht auf „DORA statt BSIG“ zurückziehen, wenn die Organisation keine belastbare digitale Resilienz- und Zuständigkeitsarchitektur hat. Die Haftungs- und Sanktionsvertiefung steht in Haftung und Sanktionen — Überblick.

Vorstandsperspektive: worüber entschieden werden muss

Aus Vorstandssicht ist die Kernfrage nicht, ob ein Schlagwort richtig ist. Die Kernfrage ist, ob die Gruppe weiß, welche Gesellschaft welchen Pflichtenträger bildet. Ein Vorstand sollte deshalb nicht nur fragen: „Gilt DORA?“ Er sollte sich vier Antworten vorlegen lassen:

1. Welche Gesellschaften der Gruppe sind DORA-Finanzunternehmen oder deutsche Erstreckungsfälle?
2. Welche Gesellschaften sind zusätzlich oder stattdessen besonders wichtige Einrichtungen oder wichtige Einrichtungen nach BSIG?
3. Welche BSIG-Pflichten treten nach § 28 Abs. 6 wirklich zurück, und welche bleiben, insbesondere Registrierung nach § 33 BSIG und — bei berührter Sonderrolle — Sonderregistrierung nach § 34 BSIG?
4. Welche Tochtergesellschaften, Dienstleister, Verträge und Meldewege sind noch nicht eindeutig geroutet?

Die Vorstandsvorlage sollte nicht mit „DORA ersetzt NIS-2“ überschrieben sein. Sie sollte eine Statusmatrix, eine Verdrängungsliste, eine Registrierungs-/Sonderregistrierungsentscheidung, eine Meldewege-Matrix und eine offene-Punkte-Liste enthalten. Nur dann ist erkennbar, ob die Gruppe Pflichten wirklich zugeordnet hat oder nur Compliance-Schulden verwaltet.

Mindestinhalt einer guten Vorstandsvorlage

Eine gute Vorstandsvorlage zu A1-05 sollte auf eine Seite verdichtbar sein, ohne die Nachweise zu verlieren. Sie sollte mindestens enthalten:

Für die Geschäftsleitung ist diese Struktur wichtiger als die Frage, ob das Dokument „DORA“ oder „NIS-2“ im Titel trägt. Der Vorwurf in einer späteren Prüfung lautet selten, dass ein Schlagwort fehlte. Der Vorwurf lautet eher, dass ein Rechtsträger, eine Registrierung, ein Meldeweg oder eine Tochtergesellschaft nicht sauber zugeordnet wurde.

Compliance-Arbeitsprodukte

Für Compliance ist A1-05 erst erledigt, wenn aus der Abgrenzung konkrete Artefakte entstehen. Mindestens sinnvoll sind:

Kontrollinhaber und Mindestnachweise

Eine gute Abgrenzung braucht Verantwortliche. Sonst bleibt sie ein Rechtsmemorandum ohne Umsetzungswirkung.

Diese Rollenverteilung verhindert, dass jede Funktion glaubt, eine andere habe die Abgrenzung bereits erledigt. Gerade bei Finanzgruppen ist A1-05 kein reines Legal-Thema, sondern ein Governance-Test.

9. Wie du prüfst — die Prüfreihenfolge

Diese Reihenfolge verhindert den gefährlichen Kurzschluss: „Finanzbranche, also DORA [EU-DORA], also kein BSIG.“ Richtig ist: Unternehmenstyp prüfen, Ausnahmen prüfen, Erstreckung prüfen, BSIG-Einrichtungsstatus prüfen, Übergangsrecht prüfen, dann erst die Verdrängungsliste anwenden.

10. Wer fällt nicht unter § 28 Abs. 6 Nr. 1 BSIG — und was ist nur der gesonderte Nr.-2-Pfad?

Nicht unter § 28 Abs. 6 Nr. 1 BSIG fallen IKT-Drittdienstleister einschließlich gruppeninterner IKT-Dienstleister, soweit sie nicht daneben einen eigenen Finanzunternehmen- oder Erstreckungsstatus haben. Buchstabe u ist DORA-Geltungsbereich, aber kein Finanzunternehmen nach Art. 2 Abs. 2 DORA [EU-DORA]. Ein daneben bestehender eigener Finanzstatus ist gesondert zu prüfen; die bloße Rolle als IT-Dienstleister begründet ihn nicht.

Nicht unter Nr. 1 fallen außerdem Unternehmen mit bloßem Finanzbezug ohne Art.-2-a-bis-t-Status und ohne deutsche Erstreckung. Reine Beratungs-, Inkasso-, Software- oder FinTech-Konstellationen können im Einzelfall reguliert sein; der Finanzbezug allein reicht aber nicht.

Telematik-Adressaten sind kein DORA-/Erstreckungsfall nach Nr. 1. Sie sind aber ein eigener § 28 Abs. 6 Nr. 2 BSIG-Pfad. Sie dürfen deshalb nicht als „außerhalb von Abs. 6“ dargestellt werden. A1-05 benennt diesen Pfad nur; die Navigation durch Sonderkonstellationen steht in Konzern, DORA & Insolvenz — Sonderfälle.

Finanzunternehmen, die mangels BSIG-Einrichtungsstatus die Ausnahme gar nicht brauchen, fallen ebenfalls nicht praktisch unter die Verdrängungswirkung. Das betrifft regelmäßig DORA-Finanzunternehmen, die keine Einrichtungsart nach Anlage 1 [N-BSIG-Anl1], Sektor 3 Finanzwesen erfüllen und auch nicht über eine andere Einrichtungsart erfasst sind.

Für nach Art. 2 Abs. 3 DORA ausgenommene Unternehmen bleibt die Schnittstelle offen. Die vorsichtige Arbeitsregel lautet: Keine § 28 Abs. 6-Entlastung ohne dokumentierte Rechtsprüfung. Der Text sollte beide Konsequenzen benennen, aber nicht behaupten, dass der bloße Platz in einer a-bis-t-Kategorie trotz Bereichsausnahme immer reicht.

Qualifizierte Vertrauensdiensteanbieter und sonstige eIDAS-Sonderrollen sind kein DORA-Finanzunternehmen-Fall. Ihre größenunabhängigen Sondertatbestände gehören in Sondertatbestände + KRITIS.

Typische Fehlentscheidungen

Die häufigsten Fehler sind nicht exotisch. Sie entstehen aus zu schnellen Abkürzungen:

Anwaltlicher Angriffstest

Ein guter Text hält nicht nur der eigenen Lesart stand, sondern auch einer skeptischen Gegenprüfung. Die stärksten Angriffspunkte sind:

Wenn eine dieser Verteidigungen fehlt, ist der Befund nicht reviewfest. Dann liegt kein Stilproblem vor, sondern eine Lücke im Kontrollnachweis.

Der Bäckerei-Test bleibt, aber ohne Drittparteien-Verwechslung: Wer weder DORA-Finanzunternehmen noch deutscher Erstreckungsfall noch BSIG-Einrichtung ist, fällt in diesem A1-05-Ausschnitt nicht in eines der beiden eigenen Pflichtenregime. Eine mittelbare vertragliche Betroffenheit über DORA-Finanzunternehmen bleibt davon unberührt. Dann führt der Selbst-Check in Selbst-Check für Geschäftsführer weiter.

11. Zeitlicher Geltungsstand

DORA [EU-DORA] gilt ab dem 17. Januar 2025. Die BSIG/NIS2UmsuCG-Fassung wird mit dem 6. Dezember 2025 geführt. Der aktuelle BSIG-Stand ist außerdem nach KRITISDachGEG mitzudenken.

Für § 1a Abs. 2a KWG [N-KWG-1a] gilt zusätzlich § 65a Abs. 3 KWG [N-KWG-65a]: § 1a Abs. 2a ist erst ab dem 1. Januar 2027 anzuwenden. Bereits seit dem 17. Januar 2025 gelten nur die Anforderungen an das Meldewesen nach Kapitel III DORA. Diese Staffelung ist in Matrix, Pflichtenlandkarte und Prüfreihenfolge mitzulesen.

Das DORA-Level-2-Programm ist dynamisch. Für den A1-05-Überblick wird es nicht vertieft, aber der Stand wird breiter gespiegelt, damit DORA nicht auf Meldewesen verkürzt wird:

• Delegierte Verordnung (EU) 2024/1502 [EU-DORA-L2-1502] zu Kriterien für die Einstufung von IKT-Drittdienstleistern als kritisch,
• Delegierte Verordnung (EU) 2024/1505 [EU-DORA-L2-1505] zu Überwachungsgebühren für kritische IKT-Drittdienstleister,
• Delegierte Verordnung (EU) 2024/1772 [EU-DORA-L2-1772] zur Klassifizierung IKT-bezogener Vorfälle und Cyberbedrohungen,
• Delegierte Verordnung (EU) 2024/1773 [EU-DORA-L2-1773] zur Leitlinie über Vertragsvereinbarungen für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen,
• Delegierte Verordnung (EU) 2024/1774 [EU-DORA-L2-1774] zum IKT-Risikomanagementrahmen und zum vereinfachten IKT-Risikomanagementrahmen,
• Durchführungsverordnung (EU) 2024/2956 [EU-DORA-L2-2956] zu Standardvorlagen für das Informationsregister,
• Delegierte Verordnung (EU) 2025/295 [EU-DORA-L2-295] zur Harmonisierung der Bedingungen für die Durchführung der Überwachungstätigkeiten,
• Delegierte Verordnung (EU) 2025/301 [EU-DORA-DR-2025-301] zu Meldeinhalten und Meldefristen,
• Durchführungsverordnung (EU) 2025/302 [EU-DORA-IR-2025-302] zu Formularen, Meldebögen und Verfahren,
• Delegierte Verordnung (EU) 2025/420 [EU-DORA-L2-420] zu gemeinsamen Untersuchungsteams,
• Delegierte Verordnung (EU) 2025/532 [EU-DORA-L2-532] zur Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen,
• Delegierte Verordnung (EU) 2025/1190 [EU-DORA-L2-1190] zu Kriterien, Anforderungen und Verfahren für bedrohungsorientierte Penetrationstests; in KWG-Kontexten kann daneben der Begriff „bedrohungsgeleitete Penetrationstests“ auftauchen.

A1-05 stellt diese Rechtsakte nicht im Detail dar. Die DORA-Pflichten- und Aufsichtstiefe steht in DORA — Pflichten & Aufsicht. Für den Stand 10. Juni 2026 ist der Level-2-Stand als Überblick nach Quellenblock gespiegelt; eine je Rechtsakt amtlich verriegelte Detailprüfung bleibt A6-04 und dem Publikationstags-Check vorbehalten.

12. Schnittstellen

Die NIS-2-Gesamtübersicht steht in Selbst-Check für Geschäftsführer. Dort beginnt der Selbst-Check für Unternehmen, die weder DORA-Finanzunternehmen noch deutscher Erstreckungsfall noch BSIG-Einrichtung sind.

Die Größenschwellen und Kategorienlogik stehen in Schwellenwerte (250 MA / 50 Mio. €). A1-05 erwähnt Schwellen nur, soweit sie für die Abgrenzung nötig sind.

Die größenunabhängigen Sondertatbestände, eIDAS-Rollen, KRITIS-DachG-Abgrenzung und die Betreiber-Perspektive aus § 28 Abs. 7 BSIG [N-BSIG-28] stehen in Sondertatbestände + KRITIS.

Die Pflichten, die aus der BSIG-Einordnung folgen, stehen in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG). Die BSI-Meldekaskade nach § 32 BSIG [N-BSIG-32] steht in BSI-Meldepflicht (§ 32 BSIG). § 33 und § 34 BSIG [N-BSIG-34] bleiben als Registrierungs- und Sonderregistrierungsspuren eigenständig zu prüfen, soweit die jeweilige Einrichtungs- oder Sonderrolle berührt ist.

Haftung und Sanktionen stehen in Haftung und Sanktionen — Überblick. Die Konzern-Schwellenberechnung und die konzerninterne Entgeltlichkeit stehen in Konzern: Größenklassen & IT-Tochter. Die Navigation durch Sonderkonstellationen steht in Konzern, DORA & Insolvenz — Sonderfälle.

Die DORA-Tiefe — Pflichten, Governance, Vorfälle, Testregime, Drittparteienverträge, AVB/Standardbedingungen, BaFin-/Bundesbank-/EU-Aufsichtsspuren und Level-2 — steht in DORA — Pflichten & Aufsicht.

13. Kurzantworten auf die 24 Lese-Fragen

1. Gilt für Banken einfach DORA statt NIS-2? Nein, so pauschal nicht. DORA-Finanzunternehmen-/Erstreckungsstatus und BSIG-Einrichtungsstatus sind zwei getrennte Prüfungen; erst aus beiden zusammen folgt eine der drei Antwortklassen.
2. Wer ist DORA-Finanzunternehmen? Die Unternehmen aus Art. 2 Abs. 1 Buchstaben a bis t DORA — Art. 2 Abs. 2 fasst genau diese als „Finanzunternehmen“ zusammen. Der Begriff ist kein Alltagswort.
3. Und der IKT-Drittdienstleister aus Buchstabe u? Er steht im DORA-Anwendungsbereich, zählt aber nicht zum Legalbegriff „Finanzunternehmen“ — und trägt deshalb allein keinen § 28 Abs. 6 Nr. 1-Status.
4. Welche Ausnahmen kennt Art. 2 DORA? Abs. 3 nimmt sechs Gruppen (Buchstaben a bis f) aus; Abs. 4 enthält eine Mitgliedstaaten-Option — deren Anwendungsstand bleibt als gekennzeichnete Publikations-/Kommissionsveröffentlichungsfrage offen.
5. Was sind die deutschen Erstreckungsfälle? § 1a Abs. 2 und 2a KWG für Institute und § 293 Abs. 5 VAG für Versicherungs-Holdinggesellschaften nach § 7 Nummer 31 VAG und Unternehmen nach § 293 Abs. 4 VAG — dort gelten die DORA-Vorgaben entsprechend, teils mit vereinfachtem Rahmen nach Art. 16 DORA.
6. Was verdrängt § 28 Abs. 6 BSIG genau? Ausschließlich die dort gelistete Aufzählung: §§ 30, 31, 32, 35, 36, 38 und 39 BSIG. Die Liste ist abschließend; nicht genannte Vorschriften treten nicht zurück.
7. Bleibt die Registrierung bestehen? Ja. § 33 BSIG steht nicht in der Liste; § 34 BSIG ist eine eigene Sonderregistrierungsspur, die rollenabhängig gesondert zu prüfen ist — beides darf nicht mit der Verdrängung verwechselt werden.
8. Was ist der Nr.-2-Pfad? § 28 Abs. 6 Nr. 2 BSIG betrifft die Gesellschaft für Telematik und bestimmte Telematikinfrastruktur-Dienste nach dem SGB V — ein eigener Pfad, kein DORA-Fall.
9. Was regelt § 28 Abs. 7 BSIG? Nur einen §-32-Carve-out: Betreiber kritischer Anlagen melden nicht nach § 32, soweit sie eine Anlage für Unternehmen nach Abs. 6 Nr. 1 betreiben — kein genereller Ausstieg.
10. Gilt § 1a Abs. 2a KWG schon vollständig? Nein. Nach § 65a Abs. 3 KWG ist die übrige Anwendung erst ab dem 1. Januar 2027 vorgesehen; seit dem 17. Januar 2025 gilt nur das Meldewesen nach Kapitel III DORA. 2025/2026 gibt es deshalb keine pauschale Vollverdrängung — die Wirkung ist pflichtenbezogen zu dokumentieren.
11. Seit wann gilt das alles? DORA gilt ab dem 17. Januar 2025; das BSIG in der NIS2UmsuCG-Architektur wird mit dem 6. Dezember 2025 geführt; der Stand ist zeitstandsabhängig und vor jeder konkreten Nutzung erneut amtlich zu prüfen.
12. Warum gibt es die Verdrängung überhaupt? Wegen des EU-Unterbaus: Art. 4 Abs. 1 und 2 NIS-2 lassen sektorspezifische EU-Rechtsakte mit mindestens gleichwertiger Wirkung vorgehen, und Art. 1 Abs. 2 DORA erklärt DORA zum sektorspezifischen Rechtsakt. Die deutsche Pflichtenfolge läuft trotzdem über § 28 Abs. 6 BSIG.
13. Ist die Konzern-IT-Tochter aus dem BSIG raus, weil die Gruppe unter DORA steht? Nein. DORA-Nähe macht sie nicht zum Finanzunternehmen; ihr eigener BSIG-Status ist separat zu prüfen — typisch über die Anlage-1-Route Digitale Infrastruktur.
14. Wird die gruppeninterne IT-Tochter als kritischer IKT-Drittdienstleister eingestuft? Nach Art. 31 Abs. 8 DORA sind gruppeninterne IKT-Dienstleister von der Einstufung ausgenommen; ein eigener Finanzunternehmens-Status der Tochter bleibt als Sonderfall gesondert zu prüfen.
15. Welche BSIG-Tür hat das Finanzwesen? Anlage 1 Sektor 3 mit den dort geführten Einrichtungsarten (Bankwesen, Finanzmarktinfrastrukturen) plus die Schwellen des § 28 Abs. 1 Satz 1 Nr. 4 bzw. Abs. 2 Satz 1 Nr. 3 BSIG; der exakte Anlagenwortlaut ist verriegelt.
16. Sind Versicherer „nie im BSIG“? So pauschal falsch. Versicherer sind DORA-Finanzunternehmen; ob daneben ein BSIG-Einrichtungsstatus besteht, folgt nicht aus DORA, sondern aus den Anlagen und § 28 BSIG.
17. Welche drei Antwortklassen gibt es? (1) DORA ohne BSIG-Einrichtungsstatus im DORA/BSIG-Ausschnitt; (2) beides mit listengenauer Verdrängung; (3) BSIG voll ohne Abs.-6-Nr.-1-Entlastung, DORA nur als Drittparteien-/Vertragspfad.
18. Was läuft bei Klasse 2 über DORA? IKT-Risikomanagement, Vorfallsmeldewesen, Resilienztests, Drittparteirisiko und Governance — BSIG-seitig treten nur die gelisteten Vorschriften zurück.
19. Wer ist zuständig — BaFin, Bundesbank, BSI, ENISA? Keine pauschale Zuordnung. Die Aufsichts-, Registrierungs- und Meldewege werden je Ereignis, Rechtsträger und Normspur dokumentiert; DORA-Meldewesen, BSIG-Registrierung/-Meldung, § 34-Sonderregistrierung und Spezialaufsicht laufen getrennt.
20. Wie steht es um das DORA-Level-2-Programm? Der Artikel spiegelt den Stand vom 10. Juni 2026 als Überblick (u. a. Vorfall-Klassifizierung, Meldeinhalte und -formulare, Informationsregister, Überwachung, TLPT). Die Detailprüfung je Rechtsakt gehört in die DORA-Tiefe und den Publikationstags-Check; beim TLPT-Rechtsakt lautet der amtliche Titel „bedrohungsorientierte“ Penetrationstests.
21. Suspendiert DORA die Leitungsverantwortung? Nein. § 43 GmbHG, § 93 AktG und § 116 AktG laufen weiter; die Statusentscheidung gehört dokumentiert in die Akte der Geschäftsleitung.
22. Was gilt für Betreiber kritischer Anlagen im Finanzumfeld? Vor § 33 Abs. 2 BSIG und den KRITIS-Registrierungsfolgen ist § 66 BSIG als Übergangsfilter vorzuschalten; die Tiefe trägt der Sondertatbestands-Satellit.
23. Was gehört in den Statusvermerk pro Rechtsträger? DORA-/Erstreckungsstatus, BSIG-Einrichtungsstatus, Verdrängungsvermerk mit abschließender Liste, Registrierungs- und Sonderregistrierungsvermerk, Aufsichts- und Meldewege-Matrix, IT-Tochter-/Drittparteienrouting und der § 65a-Übergangsvermerk.
24. Wer fällt nicht unter § 28 Abs. 6 Nr. 1 BSIG? Wer weder Finanzunternehmen nach Art. 2 Abs. 2 DORA noch ausdrücklicher KWG-/VAG-Erstreckungsfall ist — insbesondere IKT-Drittdienstleister ohne eigenen Finanzstatus; der Telematik-Pfad läuft gesondert über Nr. 2. Der Negativbefund wird dokumentiert, eine Entlastungs- oder Erfassungszusage gibt es nicht.

14. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

14.1 Nationale Normen

• [N-BSIG-Anl1] Anlage 1 BSIG — Sektoren besonders wichtiger und wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-33] § 33 BSIG — Registrierungspflicht. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• [N-BSIG-34] § 34 BSIG — besondere Registrierungspflicht digitaler Einrichtungsarten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__34.html
• [N-BSIG-66] § 66 BSIG — Anwendungsbestimmungen und Übergangsregelungen (KRITIS-DachG-Übergang). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__66.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-KWG-1a] § 1a KWG — Geltung von EU-Rechtsakten (inkl. DORA) für Institute. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__1a.html
• [N-KWG-65a] § 65a Abs. 3 KWG — Übergangsvorschrift (§ 1a Abs. 2a ab 1.1.2027; Kapitel-III-Meldewesen seit 17.1.2025). Fundstelle: https://www.gesetze-im-internet.de/kredwg/__65a.html
• [N-VAG-293] § 293 VAG — Verordnungsermächtigung / DORA-Geltung im Versicherungsaufsichtsrecht. Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__293.html

14.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-DORA-DR-2025-301] Delegierte Verordnung (EU) 2025/301 der Kommission vom 23.10.2024 (RTS: Inhalt und Fristen der Erst-, Zwischen- und Abschlussmeldung schwerwiegender IKT-bezogener Vorfälle), ABl. L, 2025/301, 20.2.2025. Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/301/oj
• [EU-MICA] Verordnung (EU) 2023/1114 (MiCA — Märkte für Kryptowerte). Fundstelle: https://eur-lex.europa.eu/eli/reg/2023/1114/oj
• [EU-DORA-L2-1502] Delegierte Verordnung (EU) 2024/1502 (Kriterien für die Einstufung von IKT-Drittdienstleistern als kritisch). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1502/oj
• [EU-DORA-L2-1505] Delegierte Verordnung (EU) 2024/1505 (Höhe der Überwachungsgebühren für kritische IKT-Drittdienstleister). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1505/oj
• [EU-DORA-L2-1772] Delegierte Verordnung (EU) 2024/1772 (RTS: Klassifizierung IKT-bezogener Vorfälle und Cyberbedrohungen). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1772/oj
• [EU-DORA-L2-1773] Delegierte Verordnung (EU) 2024/1773 (RTS: Leitlinie zu vertraglichen Vereinbarungen über IKT-Dienstleistungen für kritische oder wichtige Funktionen). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1773/oj
• [EU-DORA-L2-1774] Delegierte Verordnung (EU) 2024/1774 (RTS: IKT-Risikomanagementrahmen und vereinfachter IKT-Risikomanagementrahmen). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1774/oj
• [EU-DORA-L2-2956] Durchführungsverordnung (EU) 2024/2956 (ITS: Standardvorlagen für das Informationsregister). Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj
• [EU-DORA-L2-295] Delegierte Verordnung (EU) 2025/295 (RTS: Harmonisierung der Bedingungen für die Durchführung der Überwachungstätigkeiten). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/295/oj
• [EU-DORA-L2-420] Delegierte Verordnung (EU) 2025/420 (RTS: Zusammensetzung des gemeinsamen Untersuchungsteams). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/420/oj
• [EU-DORA-L2-532] Delegierte Verordnung (EU) 2025/532 (RTS: Untervergabe von IKT-Dienstleistungen für kritische oder wichtige Funktionen). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/532/oj
• [EU-DORA-L2-1190] Delegierte Verordnung (EU) 2025/1190 (RTS: bedrohungsorientierte Penetrationstests — Bestimmung der Finanzunternehmen, Anforderungen, Methodik). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/1190/oj
• [EU-NIS2-LL-C328] Leitlinien der Kommission zur Anwendung des Artikels 4 Absätze 1 und 2 der Richtlinie (EU) 2022/2555 — 2023/C 328/02, ABl. C 328 vom 18.9.2023, S. 2 (Einordnungshilfe, keine deutsche Pflichtquelle). Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52023XC0918(01
• [EU-DORA-IR-2025-302] Durchführungsverordnung (EU) 2025/302 der Kommission vom 23.10.2024 (ITS: Standardformulare, Vorlagen und Verfahren für die Meldung schwerwiegender IKT-bezogener Vorfälle), ABl. L, 2025/302, 20.2.2025. Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2025/302/oj
• [EU-eIDAS] Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/910/oj (ergänzende Quelle, im Body nicht eigens verankert)

14.3 Rechtsprechung

14.4 Behörden und amtliche Praxis

• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/ (ergänzende Quelle, im Body nicht eigens verankert)

14.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage. (ergänzende Quelle, im Body nicht eigens verankert)

14.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

15. CyberSchutzEngel-Hinweis

„DORA oder BSIG?“ ist als Entscheidungsfrage zu grob. Die belastbare Frage lautet: Welche Gesellschaft hat welchen Status, welche Pflichten werden listengenau verdrängt, welche Registrierung bleibt und welche Vertrags- oder Meldewege müssen trotzdem gesteuert werden?

CyberSchutzEngel hilft Geschäftsleitungen, Finanzgruppen und Konzern-IT-Gesellschaften dabei, diese Prüfung nicht in eine pauschale Entweder-oder-Antwort zu verkürzen. Der richtige Startpunkt ist eine saubere Statusmatrix: DORA-Finanzunternehmen oder deutscher Erstreckungsfall, eigener BSIG-Einrichtungsstatus, Verdrängungsliste, verbleibende Pflichten, IT-Tochter-Routing und offene Rechtsfragen. Eine gute Vorlage zeigt außerdem Entscheidungsbaum, Kontrollinhaber, Mindestnachweise und Angriffspunkte für die spätere Prüfung.