DORA in der Tiefe — Pflichtenprogramm, Schulung und Aufsicht durch BaFin, EZB und zuständige Behörden für Finanzunternehmen

1. Worum es geht — nach der Abgrenzung kommt das Programm

Wer als Finanzunternehmen nach DORA oder als deutscher Erstreckungsfall feststeht, hat die erste Entscheidung bereits getroffen. Es geht dann nicht mehr um die Grundfrage, ob DORA, BSIG oder eine Dienstleisterrolle einschlägig ist. Diese Abgrenzung steht in DORA oder BSIG?. Dieser Artikel beginnt an der Stelle danach: Was muss das Leitungsorgan beschließen, was muss das Haus organisatorisch aufbauen, welche Fristen laufen bei Vorfällen, welche Register- und Vertragsarbeit entsteht, welche Tests sind vorzubereiten, und welche Aufsicht ist zuständig?

Die drei Antwortklassen aus DORA oder BSIG? bleiben der Anschlussanker. Klasse 1 und Klasse 2 lesen hier das DORA-Pflichtenprogramm. Klasse 3 liest diesen Artikel aus Dienstleisterperspektive, insbesondere bei IKT-Drittdienstleistungen für Finanzunternehmen. Bereichsausnahmen nach Art. 2 Abs. 3 und 4 DORA werden hier nicht erneut aufgebaut. Wer dort noch unsicher ist, geht zurück zu DORA oder BSIG?.

DORA ist die Verordnung über die digitale operationale Resilienz im Finanzsektor. Sie regelt kein allgemeines Cybersecurity-Programm für alle Branchen. Sie baut ein aufsichtsrechtliches Betriebsmodell für Finanzunternehmen auf: Governance, IKT-Risikomanagement, Vorfallbehandlung, Meldungen, Resilienztests, Drittparteienrisiken, Überwachungsrahmen für kritische IKT-Drittdienstleister und Informationsaustausch. IKT meint Informations- und Kommunikationstechnologie. Digitale operationale Resilienz meint die Fähigkeit, die operative Integrität und Betriebszuverlässigkeit trotz IKT-Störungen aufzubauen, zu gewährleisten und zu überprüfen. [EU-DORA]

Erwartung an diesen Artikel Dieser Artikel beantwortet: Pflichtenprogramm, Fristen, Schulung, Arbeitsprodukte, Register, Drittparteien, Tests und Aufsicht. Dieser Artikel beantwortet nicht: die DORA-oder-BSIG-Abgrenzung; diese steht in DORA oder BSIG?. Die allgemeinen BSIG-Pflichten stehen in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG). Die BSIG-Schulungspflicht steht in Schulungspflicht der Geschäftsleitung. Die Versicherungsdeckungsfragen liegen in der A5-Familie.

Die praktische Leitfrage lautet: Welche DORA-Schiene gilt, wer entscheidet, wer dokumentiert, wer meldet, wer testet, wer verhandelt mit Dienstleistern, und wer spricht mit der Aufsicht?

Die Antwort ist kein einzelnes Projekt. DORA ist ein dauerhaftes Betriebsmodell. Vorstand oder Geschäftsleitung können technische Umsetzung delegieren. Die Verantwortung für Rahmen, Budget, Risikoappetit, Meldewege, Prüfpläne und Dienstleisterstrategie bleibt auf Leitungsebene verankert.

Kausalkette Programm: Status aus DORA oder BSIG? übernehmen → DORA-Schiene bestimmen → Verhältnismäßigkeit und Art.-16-Sonderpfad prüfen → Governance-Beschluss fassen → Kapitel-II- bis Kapitel-VI-Pflichten in Arbeitsprodukte übersetzen → Fristen, Register, Tests und Aufsichtskontakte nachweisbar machen. Die Kette ist rechtlich angelegt; die Einordnung im Einzelfall bleibt dokumentationspflichtig.

2. Der Leseschlüssel: Verhältnismäßigkeit und vereinfachter Rahmen

DORA arbeitet mit zwei Korrektiven, die oft verwechselt werden: Verhältnismäßigkeit und vereinfachter IKT-Risikomanagementrahmen.

Verhältnismäßigkeit bedeutet: Die Anforderungen werden nach Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Dienstleistungen, Tätigkeiten und Geschäfte angewendet. Das ist eine Anwendungsregel. Es ist keine Befreiung. Ein kleiner Zahlungsdienstleister darf das Programm anders zuschneiden als ein bedeutendes Kreditinstitut. Er darf das Programm aber nicht durch den Hinweis auf Größe ersetzen.

Wortlautanker Art. 4 DORA:

„im Einklang mit dem Grundsatz der Verhältnismäßigkeit“

Art. 4 Abs. 1 DORA bezieht diese Verhältnismäßigkeit auf Kapitel II. Art. 4 Abs. 2 DORA bezieht sie zusätzlich auf Kapitel III, IV und Kapitel V Abschnitt I, soweit die jeweiligen Kapitel das ausdrücklich vorsehen. Daraus folgt eine harte Arbeitsregel: Verhältnismäßigkeit ist kapitelbezogen zu prüfen. Sie darf nicht pauschal über das ganze DORA-Programm gelegt werden.

Vereinfachter IKT-Risikomanagementrahmen meint Art. 16 DORA. Art. 16 nimmt bestimmte Unternehmen aus den Art. 5 bis 15 heraus und setzt an ihre Stelle einen vereinfachten Rahmen. Erfasst sind kleine und nicht verflochtene Wertpapierfirmen, bestimmte ausgenommene Zahlungsinstitute, bestimmte ausgenommene Institute nach der Richtlinie 2013/36/EU, ausgenommene E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung. Auch dieser Sonderpfad ist kein Opt-out. Er ist ein anderes Pflichtenprogramm.

Art.-16-Unternehmen: weniger Vollprogramm, aber kein Freibrief

Für Art.-16-Unternehmen gilt die erste Negativkette:

Negativkette Art. 16 Das Vollprogramm der Art. 5 bis 15 wird nicht ausgelöst; der vereinfachte Rahmen nach Art. 16 und das Vorfallregime des Kapitels III folgen weiter ihrem eigenen Tatbestand; die Dokumentation des vereinfachten Rahmens bleibt. Befreiung ist das nicht.

Art. 16 verlangt insbesondere einen soliden und dokumentierten IKT-Risikomanagementrahmen, fortlaufende Überwachung der Sicherheit und Funktionsfähigkeit der IKT-Systeme, Schutz von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit, rasche Ermittlung und Handhabung von IKT-Risiken und -Anomalien, Identifikation wesentlicher Abhängigkeiten von IKT-Drittdienstleistern sowie Kontinuität kritischer oder wichtiger Funktionen. Der vereinfachte Rahmen ist also schlanker, aber nicht leer.

Deutscher Erstreckungs-Sonderpfad KWG/VAG

DORA selbst erfasst die Finanzunternehmen aus Art. 2 Abs. 1 Buchst. a bis t DORA. Daneben gibt es deutsche Erstreckungspfade. Für bestimmte KWG-Institute, die nicht bereits unmittelbar nach Art. 2 DORA im Geltungsbereich liegen, ordnet § 1a Abs. 2a KWG die Anwendung der DORA-Vorgaben und der darauf beruhenden Rechtsakte an. Die Norm verschiebt diese Häuser nicht in ein frei erfundenes nationales Cyberregime. Sie koppelt sie an DORA an und setzt zugleich Abweichungen: statt Art. 5 bis 15 DORA der vereinfachte Rahmen nach Art. 16, keine TLPT-Pflicht nach Art. 26/27, und für Kleinstunternehmen keine Anwendung der Art. 28 bis 30. [N-KWG-1a]

Nach § 65a Abs. 3 KWG ist § 1a Abs. 2a KWG ab dem 1. Januar 2027 anzuwenden. Das Kapitel-III-Meldewesen gilt für diese Erstreckungsfälle seit dem 17. Januar 2025. Diese Zeitschicht gehört in jeden Statusvermerk. Wer sie übersieht, setzt entweder zu spät Meldestrukturen auf oder wendet das Vollprogramm zu früh als sichere Pflichtschiene an. [N-KWG-65a]

Für Versicherungs-Holdinggesellschaften nach § 7 Nr. 31 VAG und bestimmte Unternehmen nach § 293 Abs. 4 VAG ordnet § 293 Abs. 5 VAG die Anwendung von DORA und der ergänzenden Rechtsakte an. Für diese Gruppe gilt statt der Art. 5 bis 15 DORA der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA. § 293 Abs. 5 VAG trat am 30. Dezember 2024 in Kraft; weil DORA seit dem 17. Januar 2025 anwendbar ist, greifen die inkorporierten DORA-Pflichten für diese Erstreckungsfälle grundsätzlich ab diesem Datum. Eine dem § 1a Abs. 2a KWG vergleichbare Verschiebung auf den 1. Januar 2027 besteht nicht. Der Statusvermerk muss unmittelbare DORA-Adressaten und nationale VAG-Erstreckungsfälle deshalb getrennt ausweisen. [N-VAG-293] [N-FinmadiG]

Kompakte Pflichtenübersicht

Die folgende Tabelle vergleicht Pflichtenprogramme. Sie bildet Kleinstunternehmen sowie die unterschiedlichen KWG- und VAG-Erstreckungspfade nicht als eigene Entscheidungsspalten vollständig ab; diese Statusdimensionen sind im anschließenden Statusvermerk getrennt zu dokumentieren.

FrageVollprogrammArt.-16-RahmenKWG-/VAG-Erstreckung

Wer ist erfasst?Finanzunternehmen nach Art. 2 Abs. 1 Buchst. a bis t DORA, soweit keine Ausnahme greiftUnternehmen aus Art. 16 Abs. 1 UAbs. 1 DORADeutsche Erstreckungsfälle, insbesondere nach KWG/VAG Governance Art. 5 bis 15JaErsetzt durch Art. 16Nach Fachgesetz: regelmäßig Art. 16 statt Art. 5 bis 15 Kapitel III VorfälleJaJa, eigenständigKWG-Erstreckung: Kapitel III seit 17. Januar 2025; VAG-Erstreckung: inkorporierte DORA-Pflichten grundsätzlich ab 17. Januar 2025 Kapitel IV TestsJa, verhältnismäßigBasistests risikobasiert; TLPT ausgenommenNach Fachgesetz und Schiene prüfen Kapitel V DrittparteienJaArt. 28 Abs. 2 nimmt Art.-16-Unternehmen und Kleinstunternehmen von der dortigen Strategiepflicht aus; Art. 28 Abs. 3 ist grundsätzlich separat zu prüfenKWG: Kleinstunternehmen sind nach § 1a Abs. 2a von Art. 28 bis 30 ausgenommen; VAG: keine entsprechende Sonderausnahme, statusbezogen prüfen DokumentationsfolgeVollständiger DORA-NachweisNachweis des vereinfachten RahmensStatusvermerk mit Rechtsgrundlage und Zeitschicht

Die operative Konsequenz ist ein Statusvermerk mit vier getrennten Entscheidungen: erstens unmittelbarer DORA-Status oder nationaler Erstreckungspfad, zweitens Art.-16- oder Vollprogramm, drittens Kleinstunternehmensstatus, viertens einschlägige Zeitlage. Unmittelbare Art.-16-Unternehmen, Kleinstunternehmen, KWG-Erstreckungsfälle und VAG-Erstreckungsfälle sind keine einheitliche Befreiungsgruppe. Ohne diese Trennung entstehen Compliance-Schulden, weil spätere Register-, Melde- und Testentscheidungen auf einer unklaren Schiene aufbauen.

3. Governance: Das Leitungsorgan trägt das Programm — Art. 5 DORA

Welches Leitungsorgan DORA adressiert, bestimmt sich zunächst nach den sektorspezifischen Verweisdefinitionen. Ergänzend erfasst DORA die entsprechenden Personen, die das Unternehmen tatsächlich leiten oder nach Unions- oder nationalem Recht Schlüsselfunktionen innehaben. Der Begriff ist deshalb für Rechtsform und Finanzsektor gesondert zu bestimmen und nicht deckungsgleich mit dem BSIG-Begriff „Geschäftsleitung“ nach § 2 Nr. 13 BSIG. Die BSIG-Begriffsschicht steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) und Schulungspflicht der Geschäftsleitung.

Eine kritische oder wichtige Funktion ist nach DORA nicht bloß eine interne Prioritätsstufe. Gemeint ist eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit, die Solidität oder Kontinuität der Dienstleistungen und Tätigkeiten oder die fortlaufende Einhaltung von Zulassungs- und Finanzmarktpflichten wesentlich beeinträchtigen würde. Diese Legaldefinition ist für Vorfälle, Tests und Drittparteienverträge jeweils gesondert anzuwenden.

Art. 5 DORA ist der Governance-Kern. Das Finanzunternehmen braucht einen internen Governance- und Kontrollrahmen, der ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet. Das Leitungsorgan definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen nach Art. 6 Abs. 1 DORA.

Wortlautanker Art. 5 Abs. 2 DORA:

„definiert, genehmigt, überwacht und verantwortet“

Dieser Kernsatz ist praktisch wichtiger als jede technische Maßnahme. DORA will nicht, dass Cyber-Resilienz als reines IT-Thema versickert. Die Leitungsebene muss Risikoappetit, Strategie, Rollen, Budget, Schulung, Revisionsplan, Meldewege und Drittparteienüberwachung tragen.

Art.-5-Kerncheckliste für Vorstand und Geschäftsleitung

Art. 5 Abs. 2LeitungsaufgabeArbeitsprodukt

Buchst. aLetztendliche Verantwortung für das Management der IKT-RisikenVorstandsbeschluss zur DORA-Verantwortung; RACI für IKT-Risiko Buchst. bLeitlinien zur Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von DatenIKT-Sicherheitsleitlinie; Daten- und Systemschutzprinzipien Buchst. cKlare Aufgaben und Verantwortlichkeiten für IKT-Funktionen; Governance für Kommunikation, Zusammenarbeit und KoordinierungRollenmodell, Eskalationsmatrix, Schnittstelle CISO/Compliance/Revision/Vendor Management Buchst. dStrategie für digitale operationale Resilienz samt Toleranzschwelle für IKT-RisikoDORA-Strategie, Risikoappetit, Toleranzschwellen, KPI/KRI Buchst. eGenehmigung, Überwachung und regelmäßige Überprüfung der IKT-Geschäftsfortführungsleitlinie und der IKT-Reaktions- und WiederherstellungspläneBCM-/ICT-Continuity-Policy, Wiederanlaufpläne, Krisenkommunikationsplan Buchst. fGenehmigung und regelmäßige Überprüfung interner IKT-Revisionspläne, IKT-Prüfungen und wesentlicher ÄnderungenIT-Auditplan, Revisionsberichte, Maßnahmenverfolgung Buchst. gBudget für digitale operationale Resilienz, einschließlich SchulungsprogrammeBudgetbeschluss, Schulungsbudget, Nachweisplan Buchst. hGenehmigung und regelmäßige Überprüfung der Leitlinie für IKT-DrittdienstleisterDrittparteienstrategie, Vertragsstandard, Exit-Strategie Buchst. i Ziffer iAuf Unternehmensebene eingerichtete Berichtskanäle zu Vereinbarungen mit IKT-Drittdienstleisternformaler Berichtsweg, Vorstandsvorlage zur IKT-Vertragslandschaft Buchst. i Ziffer iiUnterrichtung über geplante wesentliche Änderungen einschließlich Auswirkungen auf kritische oder wichtige Funktionen und zusammenfassender RisikoanalyseChange-Board, Vorstandsreport mit Kritikalitäts- und Risikoanalyse Buchst. i Ziffer iiiUnterrichtung mindestens über schwerwiegende IKT-bezogene Vorfälle, deren Auswirkungen sowie Reaktions-, Wiederherstellungs- und KorrekturmaßnahmenIncident-Folgenbericht, Maßnahmen- und Lessons-Learned-Vorlage

Die häufigste Governance-Falle ist die Verkürzung auf „IT macht DORA“. Das ist falsch. IT liefert Risikoanalyse, technische Kontrollen und Nachweise. Compliance strukturiert Pflichten. Legal prüft Verträge. Einkauf verhandelt Dienstleister. Interne Revision prüft. Das Leitungsorgan entscheidet über Rahmen, Gewichtung, Budget, Toleranz und Eskalation.

Art. 5 Abs. 3: Drittparteienüberwachung auf Leitungsebene

Finanzunternehmen, die keine Kleinstunternehmen sind, müssen nach Art. 5 Abs. 3 DORA entweder eine Funktion zur Überwachung der mit IKT-Drittdienstleistern geschlossenen Vereinbarungen einrichten oder ein Mitglied der Geschäftsleitung benennen, das für die Überwachung der damit verbundenen Risikoexposition und einschlägiger Dokumentation zuständig ist. Das ist kein bloßer Vendor-Management-Hinweis. Es ist eine Governance-Schnittstelle zwischen Drittparteienrisiko, Register, Vertragsprüfung und Leitungsebene.

Art. 5 Abs. 4: Schulung des Leitungsorgans

Wortlautanker Art. 5 Abs. 4 DORA:

„regelmäßig spezielle Schulungen“

Die Mitglieder des Leitungsorgans müssen ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand halten. Dazu gehören regelmäßige spezielle Schulungen. Diese Schulung ist nicht identisch mit der allgemeinen Mitarbeiterschulung aus Art. 13 Abs. 6. Sie zielt auf Leitungsfähigkeit: Risikoappetit verstehen, DORA-Reports lesen, Eskalationen bewerten, Meldeentscheidungen mittragen, Drittparteienrisiken einordnen und Prüfungsbefunde ernst nehmen.

Gesellschaftsrecht läuft weiter. DORA suspendiert weder § 43 GmbHG noch § 93 AktG oder § 116 AktG. Die Innenhaftung der Geschäftsleitung wird hier nicht vertieft; sie steht in Innenhaftung der Geschäftsleitung. Für A6-04 genügt der Satz: DORA schafft eine aufsichtsrechtliche Pflichtschicht, ersetzt aber nicht die gesellschaftsrechtliche Sorgfalts- und Überwachungsebene. [N-GmbHG-43] [N-AktG-93-116]

Vorstandsbeschluss als Arbeitsprodukt

Ein veröffentlichungsreifer DORA-Beschluss auf Leitungsebene sollte mindestens enthalten:

BeschlusspunktWarum er erforderlich istNachweis

DORA-Status und SchieneOhne Status keine richtige PflichtenmatrixStatusvermerk aus

DORA oder BSIG?

plus A6-04-Schiene IKT-Risikoappetit und ToleranzArt. 5 Abs. 2 Buchst. dRisikoappetit-Dokument, KPI/KRI Rollen und EskalationArt. 5 Abs. 2 Buchst. cOrganigramm, Eskalationsmatrix Budget und SchulungArt. 5 Abs. 2 Buchst. g, Art. 5 Abs. 4Budgetlinie, Schulungskalender VorfallprozessArt. 17 bis 20, RTS 2025/301Incident-Runbook, risikobasierte Erreichbarkeits- und Eskalationskette; 24/7 nur, soweit Fristenstatus, Risikoprofil, Vertrag oder dokumentierte Aufsichtserwartung dies tragen TestprogrammArt. 24 bis 26Testplan, TLPT-Vorprüfung DrittparteienstrategieArt. 28 bis 30Vertragsstandard, Informationsregister, Exit-Plan Revisions- und Follow-up-PlanArt. 5 Abs. 2 Buchst. fAuditplan, Maßnahmenliste

Kausalkette Governance: Leitungsorgan → Art.-5-Verantwortung → Strategie und Toleranz → Budget, Rollen, Meldewege, Test- und Drittparteienplan → prüffähige Nachweise. Gegenprobe: Wenn der Vorstand nur „nimmt zur Kenntnis“ beschließt, fehlt regelmäßig der Genehmigungs- und Überwachungsteil.

4. Schulung und Sensibilisierung — die zweite Ebene: Art. 13 Abs. 6 DORA

DORA enthält zwei Schulungsebenen. Die erste liegt in Art. 5 Abs. 4 und betrifft das Leitungsorgan. Die zweite liegt in Art. 13 Abs. 6 und betrifft alle Beschäftigten und die Geschäftsleitung.

Wortlautanker Art. 13 Abs. 6 DORA:

„für alle Beschäftigten und die Geschäftsleitung“

Art. 13 Abs. 6 verlangt Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als obligatorische Module der Mitarbeiterschulung. Diese Programme gelten für alle Beschäftigten und die Geschäftsleitung. Der Komplexitätsgrad muss dem jeweiligen Aufgabenbereich angemessen sein. Gegebenenfalls sind IKT-Drittdienstleister nach Maßgabe von Art. 30 Abs. 2 Buchst. i einzubeziehen.

EbeneNormZielgruppeInhaltNachweis

LeitungsebeneArt. 5 Abs. 4 DORAMitglieder des Leitungsorgansspezielle Schulungen zu IKT-Risiken, Governance, DORA-Pflichten, EskalationVorstands-/Geschäftsleitungsschulung, Teilnahme, Aktualisierung OrganisationsebeneArt. 13 Abs. 6 DORAalle Beschäftigten und GeschäftsleitungIKT-Sicherheit, digitale operationale Resilienz, Vorfallwege, RollenwissenPflichtmodul, Rollenkonzepte, Lernnachweise DienstleisterbezugArt. 13 Abs. 6 i.V.m. Art. 30 Abs. 2 Buchst. i DORArelevante IKT-DrittdienstleisterTeilnahmebedingungen an Schulungs-/SensibilisierungsprogrammenVertragsklausel, Einbindungsnachweis

Die Schulung darf nicht nur Awareness-Folien liefern. Ein Zahlungsverkehrsteam braucht andere Inhalte als Einkauf, Vorstand, IT-Betrieb, Kundenservice oder Interne Revision. Entscheidend ist die Frage: Welche Person muss in welchem Moment welche DORA-relevante Entscheidung erkennen, eskalieren oder dokumentieren?

Pflichtmodule nach Funktion

FunktionMindestinhalt

LeitungsorganDORA-Schiene, Art.-5-Verantwortung, Risikoappetit, Fristen, Drittparteienrisiko, Aufsichtskorrespondenz CISO/IT-BetriebIncident Handling, Klassifizierung, Testprogramm, Wiederherstellung, Evidenzsicherung ComplianceFristenlogik, Normwelt-Trennung, Registerpflicht, Kontrollkalender, Nachweisführung Legal/EinkaufArt.-30-Vertragsklauseln, Untervergabe, Exit, Auditrechte, TLPT-Mitwirkung Kundenservice/KommunikationKundeninformation nach Art. 19 Abs. 3, Krisenkommunikation, keine unkoordinierte Zusage Interne RevisionPrüfprogramm, Art.-5-Beschlüsse, Register, Vorfall-Drills, Follow-up

Kontrast zu BSIG-Schulung Die BSIG-Schulungspflicht wird hier nicht gleichgesetzt. Die BSIG-Schulungspflicht steht in Schulungspflicht der Geschäftsleitung. DORA arbeitet mit Leitungsorgan-Schulung und organisationsweiter Resilienzschulung. Beide Normwelten sind getrennt zu prüfen.

Kausalkette Schulung: Art. 5 Abs. 4 → Leitungsorgan kann DORA steuern → Art. 13 Abs. 6 → Organisation erkennt und eskaliert richtig → Art. 30 Abs. 2 Buchst. i → relevante Dienstleister werden vertraglich eingebunden → Schulungsnachweise schließen Compliance-Schulden. Gegenprobe: Eine reine Phishing-Schulung erfüllt diese Kette nicht.

5. IKT-Risikomanagement — Kapitel II als Landkarte

Kapitel II ist das Herzstück des DORA-Betriebsmodells. Art. 6 Abs. 1 verlangt einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen als Teil des Gesamtrisikomanagements. Der Rahmen soll Finanzunternehmen ermöglichen, IKT-Risiken schnell, effizient und umfassend anzugehen und ein hohes Niveau digitaler operationaler Resilienz sicherzustellen.

Wortlautanker Art. 6 Abs. 1 DORA:

„soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen“

Der IKT-Risikomanagementrahmen ist kein einzelnes IT-Sicherheitskonzept. Er ist die Klammer für Identifizierung, Schutz, Erkennung, Reaktion, Wiederherstellung, Lernen, Kommunikation und Drittparteiensteuerung. Das Haus muss zeigen können, welche kritischen und wichtigen Funktionen existieren, welche IKT-Assets sie tragen, welche Abhängigkeiten bestehen, welche Kontrollen greifen und wie Störungen behandelt werden.

Kapitel-II-Landkarte

BausteinDORA-OrtKernfrageArbeitsprodukt

Rahmen und GovernanceArt. 6Wie ist IKT-Risiko in das Gesamtrisikomanagement eingebettet?IKT-Risikomanagementrahmen, Governance-Dokumentation Systeme, Protokolle und ToolsArt. 7Welche IKT-Systeme tragen Geschäftsfunktionen?Architektur- und Systeminventar IdentifizierungArt. 8Welche Funktionen, Assets, Abhängigkeiten und Risiken bestehen?Asset-/Service-Inventar, Kritikalitätsbewertung Schutz und PräventionArt. 9Welche Kontrollen schützen Daten und Systeme?Sicherheitsrichtlinien, Zugriffskonzepte, Patch-/Vulnerability-Prozess ErkennungArt. 10Wie werden anomale Aktivitäten erkannt?Monitoring, SIEM/SOC-Prozess, Erkennungsregeln Reaktion und WiederherstellungArt. 11Wie reagiert das Haus und stellt wieder her?Reaktions- und Wiederherstellungspläne, Krisenfunktion Backup und WiederherstellungArt. 12Wie werden Daten und Systeme wiederhergestellt?Backup-Richtlinie, Restore-Tests, Wiederherstellungsziele Lernen und WeiterentwicklungArt. 13Wie fließen Vorfälle, Tests und Bedrohungen zurück?Lessons-Learned-Prozess, Schulungsprogramm KommunikationArt. 14Wer kommuniziert mit Beschäftigten, Kunden, Gegenparteien und Öffentlichkeit/Medien?Kommunikationsplan, Zuständigkeiten, Sprecherregelung Harmonisierung durch RTSArt. 15/16Welche technischen Standards konkretisieren den Rahmen?RTS-Mapping, Kontrollkatalog

Art. 14 betrifft Kommunikationspläne und Verantwortlichkeiten gegenüber Beschäftigten, Kunden, Gegenparteien und Öffentlichkeit. Die Meldung an die zuständige Aufsicht ist eine eigenständige Pflichtfunktion des Kapitels III, insbesondere nach Art. 19, und muss in Kontroll- und Nachweismatrizen getrennt geführt werden.

RTS (EU) 2024/1774 konkretisiert Risikomanagement-Tools, Methoden, Verfahren und Leitlinien sowie den vereinfachten Rahmen. Für die Praxis bedeutet das: Der Artikel muss nicht jede technische Maßnahme ausbreiten. Aber jedes Haus braucht eine nachvollziehbare Landkarte, warum es welche Kontrollen, Testpläne, Wiederherstellungsziele und Nachweise gewählt hat. [EU-DEL-1774]

Operativer Mindestnachweis

Ein prüffähiger IKT-Risikomanagementrahmen beantwortet mindestens diese Fragen:

FrageVorstandssichtCompliance-/Revision-SichtIT-/CISO-Sicht

Welche Funktionen sind kritisch oder wichtig?Risikoappetit und GeschäftsauswirkungDokumentierte KritikalitätslogikService-/Asset-Mapping Welche IKT-Abhängigkeiten tragen diese Funktionen?Konzentrations- und DienstleisterrisikoRegister- und KontrollnachweisArchitektur, Schnittstellen, Betriebsmodell Welche Kontrollen reduzieren Risiken?Budget und PrioritätKontrollbibliothek, Testnachweistechnische Maßnahmen, Monitoring Wie werden Vorfälle erkannt und eskaliert?Meldewege, KrisenrolleFristenkontrolleSIEM/SOC, Incident Response Wie wird gelernt?jährlicher ManagementreportLessons Learned, Audit-Follow-upBehebung, Patching, Testwiederholung

Kausalkette Kapitel II: Kritische/wichtige Funktion → unterstützende IKT-Assets → Bedrohungen und Schwachstellen → Kontrollen → Tests → Vorfallreaktion → Lernen → Vorstandsvorlage. Gegenprobe: Ein Asset-Inventar ohne Funktionsbezug reicht nicht, weil DORA mit kritischen und wichtigen Funktionen arbeitet.

6. Das Vorfall-Regime — Kapitel III mit echten Fristen

Kapitel III ist der Bereich, in dem falsche Kausalketten am schnellsten zu Aufsichtsrisiko führen. Die richtige Kette lautet nicht „Störung erkannt, 24 Stunden melden“. Sie lautet: Vorfall behandeln, klassifizieren, Zeitpunkt der Kenntnis und Zeitpunkt der Einstufung festhalten, bei schwerwiegendem Vorfall die DORA-Meldestufen auslösen, Kundeninteressen prüfen, Payment-Sonderanker prüfen und andere Normwelten getrennt bewerten.

Der Prozess: Art. 17, Art. 18, Art. 19 und Art. 20 DORA

Art. 17 verlangt einen Prozess für die Behandlung IKT-bezogener Vorfälle. Art. 18 verlangt die Klassifizierung. Art. 19 regelt die Meldung schwerwiegender IKT-bezogener Vorfälle und die freiwillige Meldung erheblicher Cyberbedrohungen. Art. 20 ist der Anker für RTS/ITS zu Inhalt, Fristen, Formularen und Verfahren.

Wortlautanker Art. 19 Abs. 1 DORA:

„melden der nach Artikel 46 jeweils zuständigen Behörde“

Bedeutende Kreditinstitute melden schwerwiegende IKT-bezogene Vorfälle an die jeweils zuständige nationale Behörde; diese leitet die Meldung unverzüglich an die EZB weiter. Das ist für den nächtlichen Vorfall wichtig: Der Meldeweg muss vorab geklärt sein. Im Stress ist keine Zeit für Behördenrecherche.

Klassifizierung schwerwiegender Vorfälle: RTS 2024/1772

Die Klassifizierung ist der zentrale operative Filter. Ein Vorfall ist nicht deshalb schwerwiegend, weil er peinlich, laut oder technisch komplex ist. Er wird anhand der DORA-Kriterien und der RTS-Schwellen bewertet.

RTS (EU) 2024/1772 konkretisiert die Kriterien aus Art. 18 DORA. Das Runbook muss mindestens diese Prüffelder enthalten:

Prüffeld nach RTS 2024/1772Operative FrageTypischer Nachweis

Betroffene Kunden, finanzielle Gegenparteien oder TransaktionenWie viele Kunden, Gegenparteien oder Transaktionen sind betroffen?Zählung, Produkt-/Servicebezug, Transaktionsvolumen ReputationsauswirkungenWird das Vertrauen in das Finanzunternehmen spürbar berührt?Medien-/Social-Monitoring, Kundenbeschwerden, Marktreaktion Dauer und AusfallzeitWie lange dauert der Vorfall, wie lange ist ein Dienst nicht verfügbar?Zeitstempel, Monitoring, Wiederanlaufprotokoll Geografische AusbreitungBetrifft der Vorfall mehrere Mitgliedstaaten oder Standorte?Länder-/Standortmatrix, Gruppenmeldung DatenverlusteSind Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten betroffen?Forensik, Datenintegritätsprüfung, Datenschutz-Triage Kritische Dienste und aufsichtsrelevante ZugriffeUnterstützt der betroffene Dienst eine kritische oder wichtige Funktion, betrifft er beaufsichtigte oder erlaubnispflichtige Finanzdienste, oder liegt ein erfolgreicher böswilliger unbefugter Zugriff auf Netz- und Informationssysteme vor?Kritikalitätsregister, Zulassungs-/Service-Mapping, Forensik Wirtschaftliche AuswirkungenWelche direkten und indirekten Kosten, Verluste oder Schäden entstehen?Kosten-/Verlustschätzung, Buchungsdaten, Kundenkompensation

Die sieben Prüffelder sind noch kein Entscheidungsalgorithmus. Die Schwerwiegendenlogik nach Art. 8 DelVO (EU) 2024/1772 verlangt einen betroffenen kritischen Dienst und zusätzlich entweder die einschlägige Datenverlustschwelle nach Art. 9 Abs. 5 Buchst. b oder mindestens zwei weitere Materialitätsschwellen. Das Klassifizierungsprotokoll muss deshalb die Kombination der Kriterien und Schwellen sichtbar ausweisen. [EU-DEL-1772]

Wiederkehrende Vorfälle sind monatlich zu aggregieren. Treten sie mindestens zweimal innerhalb von sechs Monaten auf, haben sie dieselbe offensichtliche Ursache und wären sie zusammen als schwerwiegend einzustufen, ist die Aggregationsschiene nach Art. 15 DelVO (EU) 2024/1772 zu prüfen; gesetzliche Ausnahmen sind gesondert zu dokumentieren.

Die Klassifizierung muss die Zeitpunkte trennen: Kenntnis des Vorfalls, Abschluss erster Analyse, Einstufung als schwerwiegend, Erstmeldung, Zwischenmeldung, Wiederaufnahme des Regelbetriebs, Abschlussmeldung. Diese Zeitpunkte gehören in ein Incident-Log. Ohne Incident-Log lassen sich die Fristen später nicht verteidigen.

Die DORA-Fristen nach RTS 2025/301 Art. 5

RTS (EU) 2025/301 Art. 5 enthält die Fristentrias. Die Trigger sind der Kern.

MeldestufeDORA-FristTriggerPraxisfolge

Erstmeldungso früh wie möglich, in jedem Fall innerhalb von vier Stunden nach Einstufung als schwerwiegend und spätestens 24 Stunden nach KenntnisEinstufung als schwerwiegend plus absolute Obergrenze ab KenntnisKenntniszeit und Einstufungszeit getrennt loggen Späte Einstufungwenn die Einstufung erst später als 24 Stunden nach Kenntnis erfolgt: innerhalb von vier Stunden nach EinstufungEinstufung nach Ablauf von 24 Stunden ab Kenntniskeine rückwirkende künstliche Erstmeldung; Grund dokumentieren Zwischenmeldungspätestens 72 Stunden nach Übermittlung der Erstmeldung; auch ohne Status- oder HandhabungsänderungÜbermittlung der Erstmeldung72 Stunden laufen nicht ab Kenntnis, sondern ab Erstmeldung Aktualisierte Zwischenmeldungunverzüglich, sobald Status oder Handhabung sich wesentlich ändern; jedenfalls bei Wiederaufnahme des Regelbetriebs und auf spezifische Anforderung der zuständigen BehördeStatusänderung, neue Information, Regelbetrieb oder BehördenanforderungIncident-Desk braucht Update- und Behördenanforderungs-Kriterien Abschlussmeldungspätestens einen Monat nach Zwischenmeldung oder nach der letzten aktualisierten ZwischenmeldungZwischenmeldung oder letzte aktualisierte ZwischenmeldungUrsachenanalyse und tatsächliche Auswirkungen nachziehen Unmöglichkeit fristgerechter Übermittlungzuständige Behörde unverzüglich, spätestens innerhalb der jeweiligen Frist, über die Gründe informierenfristgerechte Übermittlung ist unabhängig von der Ursache nicht möglichaktuelle Behördenspezifikation und risikobasierte Ersatzkommunikation prüfen; keine pauschale 24/7-Pflicht Wochenende/FeiertagErstmeldung, Zwischenmeldung und Abschlussbericht können bei Fälligkeit am Wochenende/Feiertag grundsätzlich bis 12 Uhr des nächsten Arbeitstags laufenFälligkeit am Wochenende/Feiertag; meldestufen- und institutsbezogene AusnahmenMeldestufe, Institutsstatus und behördliche Ausschlussentscheidung getrennt dokumentieren

Die allgemeine Verzögerungsmitteilung nach Art. 5 Abs. 3 RTS 2025/301 ist nicht auf technische Probleme beschränkt. Die technische Unmöglichkeit, die vorgesehenen Meldevorlagen zu verwenden, ist davon getrennt nach Art. 19 Abs. 1 DORA und der aktuellen Behördenspezifikation zu behandeln.

Art. 5 Abs. 5 RTS 2025/301 nimmt für die dort abschließend genannten Gruppen die Erst- und Zwischenmeldung von der Wochenend-/Feiertagserleichterung aus; der Abschlussbericht ist davon nicht erfasst. Zu den genannten Gruppen gehören Kreditinstitute, zentrale Gegenparteien, Betreiber von Handelsplätzen und Finanzunternehmen, die als wesentliche oder wichtige Einrichtungen im Sinne von NIS-2 eingestuft sind. Nach Art. 5 Abs. 6 können zuständige Behörden die Erleichterung für weitere bedeutende oder systemrelevante Finanzunternehmen ausschließen. Eine solche Entscheidung wirkt nur für Vorfälle, die nach ihrer Mitteilung gemeldet werden. Deshalb gehört in das Runbook eine Zusatzspalte „Meldestufe / Wochenendregel / Institutsstatus / behördliche Entscheidung“. [EU-DEL-301] [EU-DVO-302]

Art. 19 Abs. 5: Auslagerung der Meldung enthaftet nicht

Finanzunternehmen dürfen Meldepflichten nach Art. 19 im Einklang mit den sektorspezifischen Vorschriften an einen Drittdienstleister auslagern. Das ändert die Verantwortung nicht. Das Finanzunternehmen bleibt in vollem Umfang für die Erfüllung der Anforderungen für die Meldung von Vorfällen verantwortlich.

Dienstleister-Entlastungsfalle im Vorfallregime Ein Dienstleister kann Daten liefern, Vorfallanalyse unterstützen, ein Formular vorbereiten oder einen Meldekanal bedienen. Er ersetzt nicht die Verantwortung des Finanzunternehmens. Vertraglich braucht das Haus deshalb Meldezeiten, Mitwirkungspflichten, Kontaktketten, Evidenzpflichten und Eskalationsrechte.

Kundeninformation nach Art. 19 Abs. 3 DORA

DORA ist nicht nur Behördenkommunikation. Wenn ein schwerwiegender IKT-bezogener Vorfall Auswirkungen auf die finanziellen Interessen von Kunden hat, müssen Finanzunternehmen ihre Kunden unverzüglich über den Vorfall und über Minderungsmaßnahmen unterrichten. Bei erheblicher Cyberbedrohung sind potenziell betroffene Kunden gegebenenfalls über angemessene Schutzmaßnahmen zu informieren.

Aus Nutzersicht ist das der wichtigste Satz des Vorfallkapitels. Der Kunde fragt nicht zuerst nach Art. 46. Er fragt: Betrifft mich das finanziell, muss ich etwas tun, kann ich Dienste nutzen, muss ich Zahlungen prüfen? Die Antwort muss juristisch korrekt und operativ verständlich sein. Deshalb gehört Kundenkommunikation in den Krisenkommunikationsplan, nicht in eine spätere PR-Schleife.

Art. 23: zahlungsbezogene Betriebs- oder Sicherheitsvorfälle

Art. 23 DORA verhindert eine zu enge IKT-Brille. Die Anforderungen des Kapitels III gelten auch für zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, auch schwerwiegender Art, wenn sie Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen.

Für Zahlungsinstitute und Banken heißt das: Der Incident Desk darf nicht nur „klassischer Cybervorfall“ denken. Auch ein zahlungsbezogener Betriebs- oder Sicherheitsvorfall kann in die DORA-Kette fallen. Zahlungsverkehr, Kontoinformationsdienste und E-Geld-Prozesse brauchen daher eigene Runbook-Trigger.

DORA-Fristen sind nicht BSIG-Fristen

Kontrastbox DORA/BSIG Die folgende Tabelle erklärt Trigger-Unterschiede. Sie ist keine Doppelmelde-Anweisung und keine Entwarnung. Ob BSIG-Meldungen in einem verdrängten Bereich entfallen, folgt allein der §-28-Abs.-6-Listen-Mechanik aus DORA oder BSIG?.

§ 28 Abs. 6 BSIG verdrängt nur die dort ausdrücklich aufgezählten Vorschriften. § 33 BSIG gehört nicht zu dieser Liste. Besteht daneben ein BSIG-Anwendungsbereich, ist eine Registrierungspflicht nach § 33 deshalb separat zu prüfen; der DORA-Status beseitigt sie nicht automatisch. [N-BSIG-28] [N-BSIG-33]

StufeDORATrigger DORABSIG-KontrastTrigger BSIG

Frühe MeldungErstmeldung innerhalb von vier Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach KenntnisEinstufung plus Kenntnis-Obergrenzefrühe Erstmeldung spätestens 24 StundenKenntniserlangung Zweite StufeZwischenmeldung spätestens 72 Stunden nach ErstmeldungÜbermittlung der ErstmeldungMeldung spätestens 72 StundenKenntniserlangung Abschlusseinen Monat nach Zwischenmeldung oder letzter aktualisierter ZwischenmeldungZwischenmeldung/UpdateAbschlussmeldung einen Monat nach 72-Stunden-MeldungBSIG-72-Stunden-Meldung

Die Verwechslung dieser Trigger ist ein echter Fehler. Bei DORA beginnt die 72-Stunden-Frist nicht mit Kenntnis, sondern mit der Übermittlung der Erstmeldung. Die Erstmeldung wiederum hängt an Einstufung und Kenntnis-Obergrenze. Wer das im Runbook falsch aufsetzt, produziert falsche Eskalations- und Nachweislogik.

DSGVO-Normwelt: parallel prüfen, nicht vermengen

Normwelt-Trennung DSGVO/DORA Betrifft der Vorfall personenbezogene Daten, läuft die DSGVO-Schiene nach Art. 33/34 DSGVO nach eigenem Tatbestand neben der DORA-Meldung. Die DORA-Meldung an die Finanzaufsicht ersetzt keine Datenschutzmeldung. Die Datenschutzmeldung ersetzt keine DORA-Meldung. Die Tiefe steht in DSGVO-Datenpanne (Art. 33 / 34).

Negativkette ohne Personenbezug: Liegt kein Personenbezug vor, wird die DSGVO-Art.-33/34-Schiene nicht ausgelöst; die DORA-Klassifizierung und die DORA-Meldekaskade folgen weiter ihrem eigenen Tatbestand; die Klassifizierungsdokumentation bleibt. [EU-DSGVO]

Negativkette ohne schwerwiegenden Vorfall: Liegt kein schwerwiegender Vorfall vor, wird die Art.-19-Pflichtmeldung nicht ausgelöst; Behandlung, Klassifizierung, Aufzeichnung und interne Lessons Learned folgen weiter ihrem eigenen Tatbestand. Die freiwillige Cyberbedrohungs-Meldung nach Art. 19 Abs. 2 ist eine Option, aber nie Ersatz einer Pflichtmeldung.

Kausalkette Vorfall: Vorfall → Behandlung nach Art. 17 → Klassifizierung nach Art. 18 und RTS 2024/1772 → Kenntniszeit und Einstufungszeit festhalten → bei schwerwiegendem Vorfall Erstmeldung → Zwischenmeldung → Abschlussmeldung → Kundeninformation und Payment-Sonderanker prüfen → DSGVO/BSIG getrennt bewerten. Gegenprobe: Jeder Fristensatz muss eine Trigger-Spalte haben.

7. Testen der Resilienz — Kapitel IV und TLPT

Kapitel IV wird häufig zu schnell auf TLPT reduziert. Das ist falsch. DORA kennt zuerst ein allgemeines Testprogramm. TLPT ist die erweiterte Schiene für bestimmte ermittelte Finanzunternehmen.

Basistestprogramm nach Art. 24 und 25 DORA

Finanzunternehmen, die keine Kleinstunternehmen sind, müssen ein solides und umfassendes Programm für das Testen der digitalen operationalen Resilienz erstellen, pflegen und überprüfen. Dieses Programm ist Teil des IKT-Risikomanagementrahmens. Es soll Vorbereitung auf Vorfälle bewerten, Schwächen und Lücken erkennen und Korrekturmaßnahmen auslösen.

Art. 24 Abs. 6 ist für den Betrieb zentral: Bei allen IKT-Systemen und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, sind mindestens einmal jährlich angemessene Tests durchzuführen. Das ist keine TLPT-Pflicht, sondern Basistestpflicht.

Art. 25 nennt Beispiele für angemessene Tests: Schwachstellenbewertungen und -scans, Open-Source-Analysen, Netzwerksicherheitsbewertungen, Lückenanalysen, physische Sicherheitsprüfungen, Fragebögen, Software-Scans, Quellcodeprüfungen soweit durchführbar, szenariobasierte Tests, Kompatibilitäts-, Leistungs-, End-to-End- und Penetrationstests.

TestschichtWer?Was?Nachweis

BasistestprogrammFinanzunternehmen, die keine Kleinstunternehmen sindrisikobasierte Tests der digitalen operationalen ResilienzTeststrategie, Testkalender, Befundliste Jährliche TestsIKT-Systeme/-Anwendungen für kritische oder wichtige Funktionenmindestens einmal jährlich angemessene TestsJahresnachweis, Abweichungsbegründung, Maßnahmen BCP-/Recovery-TestsKapitel-II-Continuity- und Recovery-PläneWiederanlauf, Backup, KrisenkommunikationRestore-Protokoll, BIA-Bezug, Krisenübungsbericht TLPTermittelte Finanzunternehmen nach Art. 26bedrohungsorientierte PenetrationstestsTLPT-Behördenabstimmung, Scope, Abschluss, Remediation

TLPT nach Art. 26 DORA

Wortlautanker Art. 26 Abs. 1 DORA:

„mindestens alle drei Jahre anhand von TLPT“

Art. 26 Abs. 1 gilt nur für ermittelte Finanzunternehmen, die weder Art.-16-Unternehmen noch Kleinstunternehmen sind. Die zuständige Behörde kann auf Grundlage des Risikoprofils und betrieblicher Gegebenheiten verlangen, die Häufigkeit zu verringern oder zu erhöhen. Der Drei-Jahres-Rhythmus steht im Normtext; der konkrete Startpunkt ergibt sich aus dem Ermittlungs- und Aufsichtsweg, nicht aus einer pauschalen Kalenderformel.

Art. 26 Abs. 2 verlangt, dass jeder bedrohungsorientierte Penetrationstest mehrere oder alle kritischen oder wichtigen Funktionen einbezieht und an Live-Produktionssystemen durchgeführt wird, die solche Funktionen unterstützen. Das ist der Grund, warum TLPT nicht wie ein gewöhnlicher Penetrationstest behandelt werden darf. TLPT braucht Scope, Risikoakzeptanz, Krisenkommunikation, rechtliche Freigaben und aufsichtliche Validierung.

Drittanbieter im TLPT

Art. 26 Abs. 3 schließt eine wichtige Entlastungsfalle. Sind IKT-Drittdienstleister in das Spektrum des TLPT einbezogen, muss das Finanzunternehmen alle erforderlichen Maßnahmen und Vorkehrungen treffen, um deren Einbindung sicherzustellen. Das Finanzunternehmen trägt jederzeit die volle Verantwortung für die Gewährleistung der Einhaltung der Verordnung.

Für Einkauf und Legal bedeutet das: Kritische oder wichtige IKT-Verträge müssen TLPT-Mitwirkung ermöglichen. Für IT bedeutet es: Der Testumfang darf Dienstleistersysteme nicht ausblenden, wenn diese kritische oder wichtige Funktionen tragen. Für den Vorstand bedeutet es: Ein Cloud- oder Plattformanbieter macht TLPT nicht unmöglich, sondern erfordert frühere Vertrags- und Koordinationsarbeit.

RTS 2025/1190

RTS (EU) 2025/1190 konkretisiert die Kriterien zur Bestimmung der Finanzunternehmen, die TLPT durchführen müssen, Anforderungen an interne Tester, Scope, Testmethodik, Phasen, Ergebnisse, Abschluss, Behebung sowie aufsichtliche und sonstige Zusammenarbeit. Der amtliche Titel spricht von „bedrohungsorientierten Penetrationstests“. Im KWG-Kontext kann der Begriff „bedrohungsgeleitet“ auftauchen. Beide Terminologien sind je Normquelle sauber zu führen.

Werden interne Tester eingesetzt, muss jeder dritte TLPT durch externe Tester durchgeführt werden. Bedeutende Kreditinstitute dürfen ausschließlich externe Tester einsetzen. Unabhängigkeit, Eignung und Interessenkonflikte der Tester sind zusätzlich nach Art. 27 DORA und RTS (EU) 2025/1190 zu prüfen. [EU-DEL-1190]

Kausalkette TLPT: Finanzunternehmen → Art.-16-/Kleinstunternehmensstatus ausschließen → zuständige Behörde/TLPT-Behörde ermittelt TLPT-Pflicht → kritische/wichtige Funktionen und Live-Systeme scopen → Dienstleister einbinden → Test durchführen → Ergebnis schließen → Remediation nachweisen. Gegenprobe: „Alle DORA-Häuser müssen TLPT“ ist falsch.

8. IKT-Drittparteienrisiko — Kapitel V Abschnitt I

Kapitel V Abschnitt I ist der Bereich, in dem DORA am deutlichsten in Einkauf, Legal, IT, Compliance und Vorstand hineinwirkt. DORA behandelt IKT-Drittparteienrisiko als Teil des IKT-Risikomanagements. Das Finanzunternehmen bleibt verantwortlich, auch wenn es IKT-Dienstleistungen vertraglich bezieht.

Wortlautanker Art. 28 Abs. 1 DORA:

„bleiben jederzeit in vollem Umfang“

Dieser Gedanke zieht sich durch das gesamte Drittparteienkapitel. Cloud, Rechenzentrum, Kernbanksoftware, Zahlungsverkehrsplattform, SOC, Incident-Dienstleister oder SaaS-Anwendung können operativ entscheidend sein. Aufsichtsrechtlich wird daraus keine Verantwortungslücke.

Informationsregister nach Art. 28 Abs. 3 DORA

Das Informationsregister ist die strukturierte Übersicht über vertragliche Vereinbarungen zu IKT-Dienstleistungen. Es ist nicht dasselbe wie eine BSIG-Registrierung nach § 33 BSIG.

Wortlautanker Art. 28 Abs. 3 DORA:

„auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene“

Das Register erfasst alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen. Es muss unterscheiden zwischen Vereinbarungen, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen abdecken, und anderen Vereinbarungen. Finanzunternehmen berichten den zuständigen Behörden mindestens einmal jährlich über neue Vereinbarungen, Kategorien von IKT-Drittdienstleistern, Art der Vereinbarungen sowie bereitgestellte IKT-Dienstleistungen und -Funktionen. Auf Verlangen ist das vollständige Register oder ein Teilregister vorzulegen. Geplante Vereinbarungen für kritische oder wichtige Funktionen sowie nachträglich kritisch oder wichtig gewordene Funktionen sind der zuständigen Behörde zeitnah mitzuteilen.

Register/Registrierung Das DORA-Informationsregister nach Art. 28 Abs. 3 ist eine Vertrags- und Dienstleistungsübersicht für IKT-Drittparteienrisiko. Die BSIG-Registrierung nach § 33 BSIG ist eine andere Pflicht in einer anderen Normwelt. Beide dürfen nicht vermengt werden. Übergangsfragen zur BSIG-Registrierung stehen in Sondertatbestände + KRITIS.

Register-Kette

SchrittFrageArbeitsprodukt

1. Vertrag erkennenIst es eine IKT-Dienstleistung?Vertragsinventar, Lieferantenklassifizierung
2. Funktion bewertenUnterstützt die Leistung eine kritische oder wichtige Funktion?Kritikalitätsentscheidung mit BIA-Bezug
3. Registerdaten erfassenWelche Pflichtfelder der ITS-Vorlage sind auszufüllen?Informationsregister nach ITS 2024/2956
4. Ebenen prüfenUnternehmens-, teilkonsolidierte und konsolidierte Ebene betroffen?Gruppen-/Konzernregister
5. Jahresbericht vorbereitenWelche neuen Vereinbarungen und Kategorien sind zu berichten?jährliche Aufsichtsmeldung
6. Behörde informierenGeplante kritische/wichtige Vereinbarung oder neue Kritikalität?zeitnahe Unterrichtung
7. Vertrag nachziehenFehlen Art.-30-Rechte, Untervergabe, Exit, TLPT-Mitwirkung?Vertrags-Patchplan

Art. 30: Vertragsinhalte

Art. 30 Abs. 2 DORA enthält Mindestinhalte für vertragliche Vereinbarungen über IKT-Dienstleistungen. Dazu gehören insbesondere eine klare und vollständige Leistungsbeschreibung, die Orte der Leistungserbringung sowie der Datenverarbeitung und -speicherung einschließlich Vorabmitteilung von Standortänderungen, Anforderungen an Verfügbarkeit, Authentizität, Integrität, Vertraulichkeit und Datenschutz, Zugang, Wiederherstellung und Rückgabe von Daten in leicht zugänglichem Format bei Insolvenz, Abwicklung oder Vertragsende, Dienstleistungsgüte, Vorfallunterstützung ohne Zusatzkosten oder zu vorab festgelegten Kosten, Zusammenarbeit mit zuständigen Behörden und Abwicklungsbehörden, Kündigungsrechte und Kündigungsfristen sowie Bedingungen für die Teilnahme an Schulungs- und Sensibilisierungsprogrammen.

Für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen verlangt Art. 30 Abs. 3 zusätzlich unter anderem präzise quantitative und qualitative Leistungsziele, Berichtspflichten, Notfall- und Sicherheitspläne, TLPT-Mitwirkung, fortlaufende Überwachung, Zugangs-, Inspektions- und umfassende Auditrechte einschließlich Vor-Ort-Kooperation, Bedingungen der Untervergabe sowie Ausstiegsstrategien und angemessene Übergangszeiträume. Diese Zusammenfassung ersetzt keine vollständige Klausel-für-Klausel-Prüfung von Art. 30 Abs. 2 und 3.

Wortlautanker Art. 30 Abs. 3 DORA:

„kritischer oder wichtiger Funktionen“

Die Vertragsprüfung muss deshalb zweistufig sein. Erst prüfen: Ist es eine IKT-Dienstleistung? Dann prüfen: Unterstützt sie eine kritische oder wichtige Funktion? Erst danach steht fest, welche Klauseltiefe erforderlich ist.

Level-2 und BaFin-Praxis zum Register

ITS (EU) 2024/2956 enthält Standardvorlagen für das Informationsregister. Die Delegierte Verordnung (EU) 2024/1773 konkretisiert den detaillierten Inhalt der Leitlinie für vertragliche Vereinbarungen über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen. RTS (EU) 2025/532 konkretisiert die Untervergabe von IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. [EU-DVO-2956] [EU-DEL-1773] [EU-DEL-532]

Nach BaFin-Praxis zum Informationsregister war für die Einreichung 2026 ein Fenster vom 9. bis 30. März 2026 vorgesehen; die BaFin verweist zudem auf das MVP-Portal und Hinweise zur Einreichung über das DORA-Fachverfahren. Diese Behördenpraxis ist ein Verfahrensstand, kein Normersatz. Maßgeblich bleibt Art. 28 Abs. 3 DORA in Verbindung mit den ITS-Vorlagen und den aktuellen Aufsichtsvorgaben. [B-BaFin-Register]

Vendor-Management-Sicht

Einkauf und Legal brauchen einen DORA-Workflow:

PhaseDORA-FrageMindestaktion

BedarfWird eine IKT-Dienstleistung beschafft?DORA-Screening im Procurement starten KritikalitätUnterstützt der Dienst kritische/wichtige Funktionen?BIA-/Fachbereichsentscheidung dokumentieren Due DiligenceIst der Dienstleister geeignet?Informationssicherheitsprüfung, Konzentrationsrisiko, Subdienstleister VertragEnthält der Vertrag Art.-30-Inhalte?Klauselmatrix, Abweichungsfreigabe UntervergabeWelche Subdienstleister und Ketten bestehen?RTS-2025/532-Prüfung, Zustimmung/Rechte BetriebWird Leistung überwacht?SLA/KPI, Auditplan, Risikoreview VorfallLiefert der Dienstleister fristgerecht Informationen?Incident-Klausel, belastbare Erreichbarkeit und Eskalation; 24/7 nur, soweit Risikoprofil, Fristen, Vertrag oder dokumentierte Aufsichtserwartung dies erfordern ExitKann das Haus wechseln oder zurückholen?Exitplan, Datenrückgabe, Übergangszeitraum

Kausalkette Drittparteien: IKT-Vertrag → Kritikalitätsprüfung → Registereintrag → Vertragsklauseln → Untervergabeprüfung → Betriebskontrolle → Jahresbericht/Unterrichtung → Exitfähigkeit. Gegenprobe: Ein „DORA Addendum“ ohne Register- und Kritikalitätslogik reicht nicht.

9. Der Überwachungsrahmen für kritische IKT-Drittdienstleister — Kapitel V Abschnitt II und Art. 45

Kapitel V Abschnitt II betrifft nicht den normalen Dienstleistersteuerungsprozess des Finanzunternehmens. Es betrifft die unionsweite Einstufung und Überwachung kritischer IKT-Drittdienstleister durch die Europäischen Aufsichtsbehörden.

Ein kritischer IKT-Drittdienstleister ist ein Anbieter, den die ESA nach Art. 31 DORA als für Finanzunternehmen kritisch einstufen. Die Einstufung berücksichtigt unter anderem systemische Auswirkungen auf Stabilität, Kontinuität oder Qualität der Finanzdienstleistung, den systemischen Charakter der nutzenden Finanzunternehmen, Abhängigkeiten bei kritischen oder wichtigen Funktionen und Substituierbarkeit.

Die federführende Überwachungsbehörde wird nicht allein nach einem Etikett „Finanzsektor“ bestimmt. Nach Art. 31 Abs. 1 Buchst. b DORA ist grundsätzlich die ESA federführend, auf deren Sektor die nutzenden Finanzunternehmen mit dem größten Anteil an den Gesamtvermögenswerten entfallen; erforderlichenfalls ist eine Entscheidung im Gemeinsamen Ausschuss einzubeziehen. Je nach Nutzungsstruktur kann damit EBA, ESMA oder EIOPA federführend sein.

Die Delegierte Verordnung (EU) 2024/1502 — kein RTS — konkretisiert die Einstufungskriterien. DelVO (EU) 2024/1505 betrifft Gebühren. RTS (EU) 2025/295 harmonisiert Bedingungen für Überwachungstätigkeiten. RTS (EU) 2025/420 konkretisiert Zusammensetzung und Aufgaben gemeinsamer Untersuchungsteams. [EU-DEL-1502] [EU-DEL-1505] [EU-DEL-295] [EU-DEL-420]

Art. 31 Abs. 8: Ausschlüsse vollständig mitdenken

Die Einstufung als kritischer IKT-Drittdienstleister gilt nicht für vier Gruppen:

Art. 31 Abs. 8AusschlussgruppePraxisfolge

Ziffer iFinanzunternehmen, die IKT-Dienstleistungen für andere Finanzunternehmen bereitstellenNicht über Kapitel V Abschnitt II einstufen; sonstige Pflichten separat prüfen Ziffer iiIKT-Drittdienstleister unter bestimmten Überwachungsrahmen zur Unterstützung von Art. 127 Abs. 2 AEUV-AufgabenSonderrahmen beachten Ziffer iiigruppeninterne IKT-DienstleisterKeine Kritisch-Einstufung nach Art. 31; Register und Verträge bleiben dennoch Ziffer ivAnbieter, die IKT-Dienstleistungen ausschließlich in einem Mitgliedstaat für Finanzunternehmen erbringen, die ausschließlich in demselben Mitgliedstaat tätig sindKeine unionsweite Kritisch-Einstufung nach dieser Schiene; beide Ausschließlichkeitsvoraussetzungen müssen kumulativ vorliegen

Negativkette gruppeninterner IKT-Dienstleister Die Kritisch-Einstufung nach Art. 31 wird nicht ausgelöst; sämtliche Kapitel-V-Abschnitt-I-Pflichten des Finanzunternehmens folgen weiter ihrem eigenen Tatbestand. Registereintrag, Vertragsdokumentation, Kritikalitätsprüfung, Kontrollrechte und Exitfähigkeit bleiben.

Dienstleisterüberwachung entlastet das Finanzunternehmen nicht

Der Überwachungsrahmen adressiert den Dienstleister. Die Pflichten des Finanzunternehmens aus Kapitel V Abschnitt I bestehen unabhängig davon weiter. Ein Cloud-Anbieter kann kritisch eingestuft und unionsweit überwacht sein. Daraus folgt nicht, dass das Finanzunternehmen kein Informationsregister, keine Vertragsprüfung, keine Exit-Strategie oder keine Vorfall-Mitwirkung braucht.

Kausalkette kritischer IKT-Drittdienstleister: ESA-Einstufung → federführende Überwachungsbehörde → unionsweite Überwachung des Dienstleisters → Finanzunternehmen bleiben in Kapitel V Abschnitt I verantwortlich. Gegenprobe: „Unser Anbieter ist beaufsichtigt, also sind wir fertig“ ist falsch.

Informationsaustausch nach Art. 45 DORA

Art. 45 DORA erlaubt Finanzunternehmen, Informationen und Erkenntnisse über Cyberbedrohungen untereinander auszutauschen. Das kann Indikatoren für Beeinträchtigungen, Taktiken, Techniken und Verfahren, Warnungen und Konfigurationstools betreffen. Der Austausch muss die digitale operationale Resilienz stärken, innerhalb vertrauenswürdiger Gemeinschaften erfolgen und den sensiblen Charakter der Informationen schützen. Geschäftsgeheimnisse, Datenschutz und Wettbewerbsvorgaben sind zu beachten.

Finanzunternehmen müssen den zuständigen Behörden ihre Einbindung in solche Vereinbarungen mitteilen, sobald die Mitwirkung bestätigt wurde, sowie wenn die Teilnahme endet und diese Beendigung in Kraft ist. Art. 45 ist also keine Einladung zu informellem Datenabfluss. Er ist ein geregelter Kooperationskanal.

10. Aufsicht: Wer prüft — Art. 46 DORA und deutsche Durchführung

Art. 46 DORA ist die Zuständigkeitslandkarte. Der Titel dieses Artikels nennt BaFin, EZB und zuständige Behörden bewusst gemeinsam. „BaFin-Aufsicht“ ist die deutsche Praxisperspektive für viele Gruppen, aber nicht die ganze Normstruktur. Art. 46 differenziert nach Adressatengruppen und verweist auf die zuständigen Behörden der jeweiligen sektoralen Rechtsakte. Bei bedeutenden Kreditinstituten ist die EZB ausdrücklich einbezogen.

Wortlautanker Art. 46 DORA:

„durch die folgenden zuständigen Behörden“

EU-Zuständigkeitslandkarte nach Art. 46 DORA

Art. 46AdressatengruppeZuständigkeitsanker

aKreditinstitute und bestimmte ausgenommene Institutezuständige Behörde nach CRD; bei bedeutenden Instituten EZB nach SSM-Verordnung bZahlungsinstitute und ausgenommene Zahlungsinstitute, E-Geld-Institute und ausgenommene E-Geld-Institute sowie Kontoinformationsdienstleisterzuständige Behörde nach Zahlungsdienste-/E-Geld-Regime cWertpapierfirmenzuständige Behörde nach IFD dKrypto-Dienstleister und Emittenten vermögenswertereferenzierter Tokenzuständige Behörde nach MiCAR eZentralverwahrerzuständige Behörde nach CSDR fzentrale Gegenparteienzuständige Behörde nach EMIR gHandelsplätze und Datenbereitstellungsdienstezuständige Behörde nach MiFID II/MiFIR hTransaktionsregisterzuständige Behörde nach EMIR iVerwalter alternativer Investmentfondszuständige Behörde nach AIFMD jVerwaltungsgesellschaftenzuständige Behörde nach OGAW-Richtlinie kVersicherungs- und Rückversicherungsunternehmenzuständige Behörde nach Solvency II lVersicherungsvermittler, Rückversicherungsvermittler, Vermittler in Nebentätigkeitzuständige Behörde nach IDD mEinrichtungen der betrieblichen Altersversorgungzuständige Behörde nach IORP-II nRatingagenturenzuständige Behörde nach Ratingagentur-Verordnung oAdministratoren kritischer Referenzwertezuständige Behörde nach Benchmark-Verordnung pSchwarmfinanzierungsdienstleisterzuständige Behörde nach ECSP-Verordnung qVerbriefungsregisterzuständige Behörde nach Verbriefungsverordnung

Die Meldung nach Art. 19 muss an die nach dieser Landkarte jeweils zuständige Behörde gehen. Unterliegt ein Finanzunternehmen mehreren nach Art. 46 zuständigen nationalen Behörden, muss eine einzige einschlägige zuständige Behörde für die Art.-19-Aufgaben benannt sein. Für bedeutende Kreditinstitute läuft die Erstmeldung an die nationale zuständige Behörde, die unverzüglich an die EZB weiterleitet.

Deutsche und unionsunmittelbare Durchführungsschicht: statusbezogene Matrix

Die Durchführung wird über sektorale EU-Aufsicht und deutsche Fachgesetze abgebildet. Formelle Zuständigkeit, operative Mitwirkung und technischer Meldekanal sind getrennt zu dokumentieren; eine Sammelformel „BaFin/Bundesbank“ genügt nicht. Die Matrix ist kein Bußgeldkatalog und ersetzt keine statusbezogene Bestätigung des aktuellen Art.-19-Empfängers.

GruppeFormell zuständige Stelle / PrimärpfadMitwirkung und Routinghinweis

Unmittelbar DORA-erfasste KreditinstituteBaFin als nationale Art.-46-Behörde; bei bedeutenden Instituten zusätzliche EZB-SchichtBundesbank-Mitwirkung und laufende Aufsicht getrennt vom formellen Art.-19-Empfänger führen; nationale Behörde leitet bei bedeutenden Instituten unverzüglich an die EZB weiter Nationale KWG-Erstreckungsfälle nach § 1a Abs. 2a KWGBaFin nach KWGErstreckungsgrund, Kapitel-III-Start 17. Januar 2025 und übrige Anwendbarkeit ab 1. Januar 2027 im Statusvermerk trennen Zahlungs- und E-Geld-Institute einschließlich ausgenommener Institute sowie KontoinformationsdienstleisterBaFin nach ZAGBundesbank übernimmt nur gesetzlich zugewiesene operative Aufgaben; Art.-19-Empfänger und Art.-26/27-Mitwirkung nicht vermengen WertpapierinstituteBaFin nach WpIGBundesbank-Mitwirkung getrennt ausweisen; § 5/§ 5a WpIG als Zuständigkeits- und Befugnisanker Krypto-Dienstleister/MiCAR-GruppenMiCAR-/deutscher Durchführungspfad, regelmäßig BaFin nach Zulassungsstatuskonkreten Zulassungs- und Durchführungstatbestand dokumentieren Zentralverwahrersektorale zuständige Behörde nach CSDRdeutschen Empfänger nach Zulassungsstatus bestätigen; eigene Art.-46-e-Zeile im Runbook Zentrale Gegenparteiensektorale zuständige Behörde nach EMIRdeutschen Empfänger nach Status bestätigen; eigene Art.-46-f-Zeile im Runbook Börsen und sonstige Handelsplätzejeweilige Börsenaufsichtsbehörde bzw. sektorale MiFID-II-BehördeBörsG- und Handelsplatzstatus prüfen; nicht mit Datenbereitstellungsdiensten zusammenziehen Datenbereitstellungsdienstegrundsätzlich ESMA; begrenzte nationale Derogation für bestimmte APA/ARMzuerst ESMA-Direktaufsicht oder nationalen Derogationsstatus prüfen; bei nationalem deutschen Pfad insbesondere WpIG § 78d Transaktionsregisterunmittelbare ESMA-Aufsicht nach EMIRkein deutscher Ersatzkontakt als Primärpfad Kapitalverwaltungsgesellschaften/AIFM/OGAWBaFin nach KAGBArt. 46 Buchst. i/j und KAGB-Fachaufsicht; operative Art.-26/27-Mitwirkung ändert die Zuständigkeit nicht Versicherungs- und Rückversicherungsunternehmenjeweilige VAG-Aufsichtsbehörde: BaFin oder zuständige Landesaufsichtsbehördeunmittelbaren DORA-Status und konkrete Aufsichtszuordnung nach den einschlägigen Zuständigkeitsnormen, insbesondere VAG §§ 320, 321 und 324, dokumentieren Einrichtungen der betrieblichen Altersversorgungjeweilige VAG-Aufsichtsbehörde: BaFin oder zuständige LandesaufsichtsbehördeArt.-46-m-Pfad getrennt von Versicherungsunternehmen und Holding-Erstreckung führen Versicherungs-Holdinggesellschaften und sonstige §-293-Abs.-5-VAG-Erstreckungsfällejeweilige VAG-Aufsichtsbehördenationale Erstreckungsgrundlage, Art.-16-Folge und eigene Zeitlage getrennt dokumentieren Versicherungs-, Rückversicherungs- und Nebentätigkeitsvermittlergrundsätzlich zuständige Industrie- und Handelskammer nach § 34d Abs. 13 GewObei zugleich bestehender KWG-Erlaubnis greift die gesetzliche BaFin-Sonderzuordnung; Status vor Routing prüfen Ratingagenturenunmittelbare ESMA-Aufsichtkein deutscher Ersatzkontakt als Primärpfad Administratoren kritischer Referenzwerteunmittelbare ESMA-Aufsicht im einschlägigen kritischen Scopeandere Benchmarkfälle statusbezogen nach nationaler Zuständigkeitsnorm routen Schwarmfinanzierungsdienstleisternationale zuständige Behörde nach ECSP-Regimedeutschen Zulassungsstatus und konkreten Meldeempfänger bestätigen Verbriefungsregisterunmittelbare ESMA-Aufsichtkein deutscher Ersatzkontakt als Primärpfad

Der Statusvermerk muss mindestens die Art.-46-Gruppe, unmittelbaren DORA- oder nationalen Erstreckungsstatus, formell zuständige Behörde, operative Mitwirkung, mögliche EU-Direktaufsicht, aktuellen Meldekanal und internen Owner enthalten. Bei bedeutenden Instituten muss außerdem die EZB-Weiterleitungsschicht im Runbook sichtbar sein. [N-WpIG-78d] [N-BoersG-3a] [N-VAG-320-324] [N-GewO-34d] [B-ESMA-Supervision]

Was Aufsicht praktisch sehen will

Die Aufsicht prüft nicht nur, ob ein Unternehmen ein DORA-Projekt hatte. Sie kann fragen:

AufsichtsfrageNachweis

Welche DORA-Schiene gilt?Statusvermerk, Art.-16-/Erstreckungsprüfung Wie trägt das Leitungsorgan Art. 5?Beschlüsse, Risikoappetit, Budget, Schulungsnachweise Wie wird Kapitel II umgesetzt?IKT-Risikomanagementrahmen, Asset-/Service-Mapping, Kontrollnachweise Wie funktioniert das Vorfallregime?Runbook, Fristentabelle, Klassifizierungslog, Meldeübungen Wie wird getestet?Testkalender, jährliche Tests, TLPT-Vorprüfung, Remediation Wie wird Drittparteienrisiko gesteuert?Informationsregister, Vertragsmatrix, Untervergabeprüfung, Exitpläne Wie werden Kunden und Behörden informiert?Kommunikationsplan, Art.-19- und DSGVO-Triage, Behördenkontakte

Kausalkette Aufsicht: Adressatengruppe → Art. 46-Zuständigkeit → deutscher Fachgesetzpfad → Melde-/Kontaktweg → interne Owner → Nachweisakte. Gegenprobe: Eine Aufsichtsmatrix ohne Art.-46-Buchstaben ist zu grob.

11. Arbeitsprodukte und Prüfreihenfolge

Dieser Abschnitt übersetzt das Pflichtenprogramm in eine Reihenfolge. Die Reihenfolge ist ein Navigationsbild, kein Testat. Ob die konkrete Umsetzung genügt, entscheidet die dokumentierte Einzelfallprüfung und letztlich die zuständige Aufsicht.

Prüfreihenfolge

SchrittFrageErgebnis

1. Status übernehmenWelche Antwortklasse aus

DORA oder BSIG?

liegt vor?Statusvermerk 2. Schiene bestimmenVollprogramm, Art. 16 oder deutscher Erstreckungspfad?DORA-Schienenvermerk 3. Governance beschließenWas muss das Leitungsorgan genehmigen und überwachen?Vorstandsbeschluss, Risikoappetit, Rollen 4. Schulung aufsetzenLeitungsorgan und alle Beschäftigten abgedeckt?Schulungskalender, Rollencurriculum 5. Kapitel-II-Rahmen dokumentierenSind Funktionen, Assets, Kontrollen und Recovery nachvollziehbar?IKT-Risikomanagementrahmen 6. Vorfall-Drill fahrenKennt das Haus DORA-Fristen, Art. 23, Art. 19 Abs. 3 und DSGVO-Triage?Runbook, Drill-Protokoll, Kontaktliste 7. Testprogramm bauenJährliche Tests und TLPT-Vorprüfung vorhanden?Testplan, Befund- und Remediationlog 8. Register und Verträge prüfenSind alle IKT-Verträge erfasst und DORA-Klauseln vorhanden?Informationsregister, Vertrags-Patchplan 9. Aufsichtskontakte sichernWer meldet was an wen?Art.-46-Matrix, MVP-/Portalverantwortung 10. Revision und Follow-upWird die Umsetzung unabhängig geprüft?Auditplan, Maßnahmenverfolgung

Vorstandsfazit-Ministruktur

Ein Vorstandspapier sollte nicht mit 80 Normseiten beginnen. Es braucht eine klare Entscheidungsseite:

1. Beschlusslage: Welche DORA-Schiene und welcher Risikoappetit gelten?
2. Lücken: Welche Art.-5-, Kapitel-II-, Vorfall-, Test- oder Drittparteienlücken bestehen?
3. Budget und Schulung: Welche Mittel, Rollen und Pflichtmodule werden freigegeben?
4. Nächste Entscheidung: Welcher Meilenstein kommt in die nächste Sitzung?

Perspektiven im Arbeitsprogramm

PerspektiveAntwort im Programm

Nutzer/KundeArt. 19 Abs. 3 beantwortet, wann Kunden bei finanzieller Betroffenheit informiert werden. Anwalt/LegalArt.-46-Matrix, Fachgesetzpfad und Vertragsklauselprüfung beantworten die Fundstellen- und Vertragsfrage. Vorstand/GeschäftsleitungArt.-5-Checkliste und Vorstandsfazit zeigen Beschlüsse, Budget, Risikoappetit und Aufsichtskontakt. ComplianceFristen, Register, Normwelt-Trennung und Kontrollkalender machen die Pflichten prüfbar. IT/CISOKapitel-II-Landkarte, Vorfallklassifizierung und Testprogramm übersetzen DORA in Betrieb. Einkauf/Vendor ManagementArt. 28/30, Informationsregister, Untervergabe und Exit geben den Beschaffungsworkflow vor. Interne RevisionArt.-5-Revisionsplan, Testbefunde und Follow-up liefern das Prüfprogramm.

Kausalkette Arbeitsprodukte: Status → Schiene → Beschluss → Rahmen → Vorfall → Test → Register/Verträge → Aufsicht → Revision. Gegenprobe: Jede Maßnahme ohne Owner und Nachweis erzeugt Compliance-Schulden.

12. Zeitlicher Geltungsstand

DORA trat am 16. Januar 2023 in Kraft und ist seit dem 17. Januar 2025 anwendbar. Für deutsche KWG-Erstreckungsfälle nach § 1a Abs. 2a KWG ist die Zeitschicht besonders wichtig: § 1a Abs. 2a gilt ab dem 1. Januar 2027; das Kapitel-III-Meldewesen gilt für diese Erstreckungsfälle seit dem 17. Januar 2025. Für §-293-Abs.-5-VAG-Erstreckungsfälle trat die nationale Erstreckungsnorm am 30. Dezember 2024 in Kraft; die inkorporierten DORA-Pflichten greifen grundsätzlich ab dem DORA-Anwendungsbeginn am 17. Januar 2025, ohne eine KWG-gleiche Verschiebung auf 2027.

Der Level-2-Stand dieses Artikels ist der 10. Juni 2026. Für operative Einreichungen, Meldungen und Aufsichtskorrespondenz ist zusätzlich der jeweilige tagesaktuelle Behördenkanal zu prüfen. Das ist keine fachliche Lücke des Artikels, sondern eine Eigenschaft lebender Aufsichtspraxis.

Level-2-Matrix Stand 10. Juni 2026

RechtsaktPflichtenfeldVeröffentlichung / InkrafttretenPraktische Funktion

Delegierte VO (EU) 2024/1502Kriterien für kritische IKT-DrittdienstleisterABl. L 2024/1502, 30.05.2024; Inkrafttreten 19.06.2024Einstufungskriterien nach Art. 31 DORA Delegierte VO (EU) 2024/1505Gebühren für Überwachung kritischer IKT-DrittdienstleisterABl. L 2024/1505, 30.05.2024; Inkrafttreten 19.06.2024Gebührenrahmen des Überwachungsregimes Delegierte VO (EU) 2024/1772Klassifizierung IKT-Vorfälle/CyberbedrohungenABl. L 2024/1772, 25.06.2024; Inkrafttreten 15.07.2024Kriterien und Schwellen für schwerwiegende Vorfälle Delegierte VO (EU) 2024/1773Detaillierter Inhalt der Leitlinie für vertragliche Vereinbarungen über IKT-DienstleistungenABl. L 2024/1773, 25.06.2024; Inkrafttreten 15.07.2024Vertrags- und Drittparteienstrategie für kritische/wichtige Funktionen Delegierte VO (EU) 2024/1774IKT-Risikomanagement und vereinfachter RahmenABl. L 2024/1774, 25.06.2024; Inkrafttreten 15.07.2024Konkretisierung Kapitel II und Art. 16 DurchführungsVO (EU) 2024/2956Informationsregister-VorlagenABl. L 2024/2956, 02.12.2024; Inkrafttreten 22.12.2024Standardvorlagen für Art. 28 Abs. 3 Delegierte VO (EU) 2025/295Harmonisierung der ÜberwachungstätigkeitenABl. L 2025/295, 13.02.2025; Inkrafttreten 05.03.2025Bedingungen für Überwachung kritischer IKT-Drittdienstleister Delegierte VO (EU) 2025/301Inhalte und Fristen für VorfallmeldungenABl. L 2025/301, 20.02.2025; Inkrafttreten 12.03.2025Fristentrias und Inhalte der DORA-Meldungen DurchführungsVO (EU) 2025/302Meldeformulare und VerfahrenABl. L 2025/302, 20.02.2025; Inkrafttreten 12.03.2025Templates und Verfahren für Meldungen und Cyberbedrohungen Delegierte VO (EU) 2025/420gemeinsame UntersuchungsteamsABl. L 2025/420, 24.03.2025; Inkrafttreten 13.04.2025Zusammensetzung und Aufgaben der Untersuchungsteams Delegierte VO (EU) 2025/532Untervergabe kritischer/wichtiger IKT-DienstleistungenABl. L 2025/532, 02.07.2025; Inkrafttreten 22.07.2025Prüfung und Bewertung von Untervergabe Delegierte VO (EU) 2025/1190TLPTABl. L 2025/1190, 18.06.2025; Inkrafttreten 08.07.2025Kriterien, Methodik, Scope, interne Tester, Remediation

BaFin-Verfahrensstand zum Informationsregister

Nach BaFin-Hinweisen zum Informationsregister wurde die Einreichung 2026 über das MVP-Portal vorbereitet; die BaFin nannte ein Einreichungsfenster vom 9. bis 30. März 2026 und stellte Hinweise für die Einreichung über das DORA-Fachverfahren bereit. Für künftige Einreichungen gilt: Das Register muss normativ nach Art. 28 Abs. 3 und ITS 2024/2956 gepflegt werden; der konkrete Portal- und Fristenweg wird nach den jeweils aktuellen BaFin-Hinweisen gesteuert.

13. Schnittstellen

A6-04 ist ein Tiefenartikel. Er ersetzt nicht die Nachbarartikel.

Cross-LinkFunktion

DORA oder BSIG?

Die DORA-oder-BSIG-Abgrenzung samt Antwortklassen steht dort.

Konzern, DORA & Insolvenz — Sonderfälle

Der Sonderkonstellationen-Hub steht dort.

NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG)

Die allgemeinen BSIG-Pflichten stehen dort.

Schulungspflicht der Geschäftsleitung

Die BSIG-Schulungspflicht steht dort.

Innenhaftung der Geschäftsleitung

Die Innenhaftung der Geschäftsleitung steht dort.

BSI-Meldepflicht (§ 32 BSIG)

Die BSI-Meldekaskade steht dort.

DSGVO-Datenpanne (Art. 33 / 34)

Die DSGVO-Datenpannen-Schiene nach Art. 33/34 DSGVO steht dort.

Sondertatbestände + KRITIS

Sondertatbestände und KRITIS-/Übergangsfragen stehen dort.

Diese Cross-Links sind Vertiefungsangebote. Die Lese-Frage dieses Artikels wird im eigenen Text beantwortet: DORA-Schiene, Governance, Schulung, IKT-Risikomanagement, Vorfälle, Tests, Drittparteienrisiko, kritische IKT-Drittdienstleister, Informationsaustausch, Aufsicht, Arbeitsprodukte und zeitlicher Stand.

14. Kurzantworten auf die 24 Lese-Fragen

1. Was beantwortet dieser Artikel — und was nicht? Er beantwortet das DORA-Pflichtenprogramm: Schiene, Governance, Schulung, IKT-Risikomanagement, Vorfälle, Tests, Drittparteienrisiko, Register, Aufsicht und Zeitstand. Er beantwortet nicht die DORA-oder-BSIG-Abgrenzung; die steht in DORA oder BSIG?.
2. Was ist DORA? Die Verordnung über die digitale operationale Resilienz im Finanzsektor — kein allgemeines Cybersecurity-Programm, sondern ein aufsichtsrechtliches Betriebsmodell für Finanzunternehmen.
3. Was bedeutet Verhältnismäßigkeit nach Art. 4? Eine kapitelbezogene Anwendungsregel: Art. 4 Abs. 1 gilt für Kapitel II; Art. 4 Abs. 2 erfasst Kapitel III, IV und Kapitel V Abschnitt I nur, soweit die jeweiligen Kapitel dies ausdrücklich vorsehen. Verhältnismäßigkeit ist keine Befreiung und kein pauschaler Maßstab über das ganze Programm.
4. Was ist der vereinfachte Rahmen nach Art. 16? Er ersetzt für bestimmte Unternehmen die Art. 5 bis 15 durch einen schlankeren, aber dokumentierten Rahmen. Auch das ist kein Opt-out, sondern ein anderes Pflichtenprogramm.
5. Wie wirken die deutschen Erstreckungspfade KWG/VAG? § 1a Abs. 2a KWG und § 293 Abs. 5 VAG koppeln bestimmte Häuser an DORA an; statt Art. 5 bis 15 gilt der vereinfachte Rahmen nach Art. 16. Unmittelbare DORA-Adressaten und nationale Erstreckungsfälle sind getrennt auszuweisen.
6. Wann gelten die Zeitlagen? DORA ist seit dem 17. Januar 2025 anwendbar; § 1a Abs. 2a KWG gilt erst ab dem 1. Januar 2027 (Kapitel-III-Meldewesen aber seit 17. Januar 2025); § 293 Abs. 5 VAG trat am 30. Dezember 2024 in Kraft, ohne KWG-gleichen 2027-Aufschub.
7. Was trägt das Leitungsorgan nach Art. 5? Es definiert, genehmigt, überwacht und verantwortet den IKT-Risikomanagementrahmen — mit Risikoappetit, Strategie, Budget, Rollen, Revisionsplan, Meldewegen und Drittparteienüberwachung.
8. Was ist eine kritische oder wichtige Funktion? Eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit, die Solidität oder Kontinuität der Dienstleistungen oder die fortlaufende Einhaltung von Zulassungs- und Finanzmarktpflichten wesentlich beeinträchtigen würde; für Vorfälle, Tests und Verträge jeweils gesondert anzuwenden.
9. Welche zwei Schulungsebenen kennt DORA? Art. 5 Abs. 4 (Leitungsorgan) und Art. 13 Abs. 6 (alle Beschäftigten und Geschäftsleitung); relevante IKT-Drittdienstleister sind nach Art. 30 Abs. 2 Buchst. i einzubeziehen.
10. Was ist der IKT-Risikomanagementrahmen (Kapitel II)? Die Klammer für Identifizierung, Schutz, Erkennung, Reaktion, Wiederherstellung, Lernen, Kommunikation und Drittparteiensteuerung nach Art. 6 bis 15, konkretisiert durch RTS (EU) 2024/1774.
11. Wie läuft das Vorfallregime (Kapitel III)? Behandeln (Art. 17), klassifizieren (Art. 18), Kenntnis- und Einstufungszeit trennen, bei schwerwiegendem Vorfall die DORA-Meldestufen auslösen (Art. 19), Kundeninteressen und Payment-Sonderanker prüfen.
12. Wie wird ein Vorfall als schwerwiegend klassifiziert? Nach den Kriterien des Art. 18 DORA und RTS (EU) 2024/1772: Art. 8 verlangt einen betroffenen kritischen Dienst plus entweder die Datenverlustschwelle nach Art. 9 Abs. 5 Buchst. b oder mindestens zwei weitere Materialitätsschwellen; wiederkehrende Vorfälle werden nach Art. 15 aggregiert.
13. Wie lauten die DORA-Meldefristen? Erstmeldung innerhalb von vier Stunden nach Einstufung und spätestens 24 Stunden nach Kenntnis; Zwischenmeldung spätestens 72 Stunden nach Erstmeldung; Abschlussmeldung spätestens einen Monat nach der Zwischenmeldung oder nach der letzten aktualisierten Zwischenmeldung. Wochenend-/Feiertagserleichterung mit meldestufen- und institutsbezogenen Ausnahmen.
14. Enthaftet die Auslagerung der Meldung? Nein. Nach Art. 19 Abs. 5 bleibt das Finanzunternehmen in vollem Umfang verantwortlich.
15. Wann müssen Kunden informiert werden? Nach Art. 19 Abs. 3, wenn ein schwerwiegender Vorfall ihre finanziellen Interessen berührt; bei erheblicher Cyberbedrohung gegebenenfalls über Schutzmaßnahmen.
16. Was regelt Art. 23? Zahlungsbezogene Betriebs- oder Sicherheitsvorfälle fallen ebenfalls unter Kapitel III, wenn sie Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister oder E-Geld-Institute betreffen.
17. Sind DORA-Fristen BSIG-Fristen? Nein. Die Trigger unterscheiden sich; bei DORA läuft die 72-Stunden-Frist ab der Erstmeldung, nicht ab Kenntnis.
18. Wie verhält sich DORA zur DSGVO? Parallel. Bei personenbezogenen Daten läuft die Schiene nach Art. 33/34 DSGVO nach eigenem Tatbestand neben der DORA-Meldung; keine ersetzt die andere.
19. Was ist Basistest, was TLPT? Das Basistestprogramm nach Art. 24/25 mit mindestens jährlichen Tests für IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, gilt für Nicht-Kleinstunternehmen. TLPT nach Art. 26 betrifft nur ermittelte Finanzunternehmen und findet grundsätzlich mindestens alle drei Jahre statt; die zuständige Behörde kann die Häufigkeit risikobasiert verringern oder erhöhen.
20. Welche Tester-Regeln gelten beim TLPT? Nach Art. 26 Abs. 8 muss bei internen Testern jeder dritte TLPT durch externe Tester erfolgen; bedeutende Kreditinstitute dürfen ausschließlich externe Tester einsetzen.
21. Was ist das Informationsregister (Art. 28 Abs. 3)? Die strukturierte Übersicht aller IKT-Dienstleistungsverträge auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene — nicht zu verwechseln mit der BSIG-Registrierung nach § 33 BSIG.
22. Welche Vertragsinhalte verlangt Art. 30? Abs. 2 die Mindestinhalte (Leistungsbeschreibung, Standorte, Datenrückgabe, Kündigungsrechte u. a.); Abs. 3 für kritische oder wichtige Funktionen zusätzlich Leistungsziele, Auditrechte, TLPT-Mitwirkung, Untervergabe und Ausstiegsstrategien.
23. Wer beaufsichtigt — Art. 46 und deutsche Durchführung? Art. 46 ordnet die zuständige Behörde nach der jeweiligen Adressatengruppe zu. In Deutschland kommen abhängig von Status und Fachregime insbesondere BaFin, bei bedeutenden Instituten die EZB, Landesaufsichtsbehörden oder Industrie- und Handelskammern in Betracht; für einzelne Gruppen besteht unmittelbare ESMA-Aufsicht. Bundesbank-Mitwirkung und technischer Meldekanal sind von der formellen Zuständigkeit getrennt zu dokumentieren.
24. Was gehört in den Statusvermerk und das Vorstandsfazit? Art.-46-Gruppe, unmittelbarer DORA- oder Erstreckungsstatus, formell zuständige Behörde, operative Mitwirkung, mögliche EU-Direktaufsicht, aktueller Meldekanal und interner Owner; auf Vorstandsebene Beschlusslage, Lücken, Budget/Schulung und nächste Entscheidung.

15. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat. Rechtsstand und Abruf: 10. Juni 2026. Maßgeblich sind amtliche Fassungen; Behördenpraxis ist als Praxisstand gekennzeichnet und ersetzt keinen Normtext.

15.1 Nationale Normen

• [N-KWG-1a] § 1a KWG — Geltung der EU-Rechtsakte einschließlich DORA; Abs. 2a deutscher Erstreckungspfad (Art. 16 statt Art. 5–15, keine TLPT, Art. 28–30 nicht für Kleinstunternehmen). Fundstelle: https://www.gesetze-im-internet.de/kredwg/__1a.html
• [N-KWG-6] § 6 KWG — Aufgaben/Aufsichtsanker; Abs. 1g zuständige Behörde nach Art. 46 DORA, Bundesbank-Mitwirkung Art. 26/27. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__6.html
• [N-KWG-47a] § 47a KWG — Besondere Befugnisse nach der Verordnung (EU) 2022/2554. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__47a.html
• [N-KWG-56] § 56 KWG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__56.html
• [N-KWG-60c] § 60c KWG — Bekanntmachung von Maßnahmen und Sanktionen u. a. wegen Verstößen gegen die Verordnung (EU) 2022/2554. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__60c.html
• [N-KWG-65a] § 65a Abs. 3 KWG — Übergangs-/Zeitschicht: § 1a Abs. 2a ab 1. Januar 2027, Kapitel-III-Meldewesen seit 17. Januar 2025. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__65a.html
• [N-ZAG-4] § 4 ZAG — Aufgaben/Zuständigkeitsanker; Abs. 5 zuständige Behörde nach Art. 46 DORA. Fundstelle: https://www.gesetze-im-internet.de/zag_2018/__4.html
• [N-ZAG-4b] § 4b ZAG — Besondere Befugnisse nach der Verordnung (EU) 2022/2554. Fundstelle: https://www.gesetze-im-internet.de/zag_2018/__4b.html
• [N-WpIG-5] § 5 WpIG — Aufgaben/Zuständigkeitsanker; zuständige Behörde nach Art. 46 DORA. Fundstelle: https://www.gesetze-im-internet.de/wpig/__5.html
• [N-WpIG-5a] § 5a WpIG — Besondere Befugnisse nach der Verordnung (EU) 2022/2554. Fundstelle: https://www.gesetze-im-internet.de/wpig/__5a.html
• [N-WpIG-78d] § 78d WpIG — Zulassungsverfahren für Datenbereitstellungsdienste (Art. 27b MiFIR), nationaler Derogationspfad. Fundstelle: https://www.gesetze-im-internet.de/wpig/__78d.html
• [N-WpHG-10a] § 10a WpHG — Besondere Befugnisse nach der Verordnung (EU) 2022/2554. Fundstelle: https://www.gesetze-im-internet.de/wphg/__10a.html
• [N-BoersG-3a] § 3a BörsG — Aufgaben und Befugnisse der Börsenaufsichtsbehörde zur Ausführung u. a. der Verordnung (EU) 2022/2554. Fundstelle: https://www.gesetze-im-internet.de/b_rsg_2007/__3a.html
• [N-KAGB-5] § 5 KAGB — Zuständige Behörde/Aufsichtsanker; Abs. 15 zuständige Behörde nach Art. 46 DORA. Fundstelle: https://www.gesetze-im-internet.de/kagb/__5.html
• [N-VAG-7] § 7 Nr. 31 VAG — Begriff Versicherungs-Holdinggesellschaft (Erstreckungsadressat). Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__7.html
• [N-VAG-293] § 293 VAG — Aufsicht; Abs. 5 DORA-Erstreckung für Holdings (§ 7 Nr. 31) und Abs.-4-Unternehmen, Art. 16 statt Art. 5–15. Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__293.html
• [N-VAG-295] § 295 VAG — Zuständige Behörde in Bezug auf EU-Verordnungen; Abs. 1 Nr. 8 Verordnung (EU) 2022/2554, Abs. 3 Bundesbank-Mitwirkung Art. 26/27. Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__295.html
• [N-VAG-308d] § 308d VAG — Besondere Befugnisse nach der Verordnung (EU) 2022/2554. Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__308d.html
• [N-VAG-320-324] §§ 320, 321 und 324 VAG — Bundes-/Länderzuständigkeit der Versicherungsaufsicht. Fundstellen: https://www.gesetze-im-internet.de/vag_2016/__320.html , https://www.gesetze-im-internet.de/vag_2016/__321.html und https://www.gesetze-im-internet.de/vag_2016/__324.html
• [N-GewO-34d] § 34d Abs. 13 GewO — zuständige Industrie- und Handelskammer überwacht die Einhaltung der Verordnung (EU) 2022/2554 (Versicherungsvermittler). Fundstelle: https://www.gesetze-im-internet.de/gewo/__34d.html
• [N-FinmadiG] Finanzmarktdigitalisierungsgesetz, BGBl. 2024 I Nr. 438 — u. a. VAG-Erstreckungszeitlage (Inkrafttreten § 293 Abs. 5 VAG am 30. Dezember 2024). Fundstelle: https://www.recht.bund.de/bgbl/1/2024/438/regelungstext.pdf?__blob=publicationFile&v=1
• [N-BSIG-2] § 2 BSIG — Begriffsanker (u. a. Geschäftsleitung nach § 2 Nr. 13), nur Kontrast zum DORA-Leitungsorgan. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-28] § 28 BSIG — DORA-/BSIG-Schnittstelle; Abs. 6 Verdrängungsliste. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-32] § 32 BSIG — Meldekontrast. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-33] § 33 BSIG — gesonderter Registrierungsanker (nicht in der §-28-Abs.-6-Verdrängungsliste). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• [N-BSIG-38] § 38 BSIG — Leitungsschicht, nur Kontrast. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-GmbHG-43] § 43 GmbHG — Sorgfaltspflicht/Verantwortlichkeit der Geschäftsführer (gesellschaftsrechtliche Parallelebene). Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-93-116] §§ 93 und 116 AktG — Sorgfaltspflicht und Verantwortlichkeit von Vorstand und Aufsichtsrat. Fundstellen: https://www.gesetze-im-internet.de/aktg/__93.html und https://www.gesetze-im-internet.de/aktg/__116.html

15.2 EU-Recht

• [EU-DORA] Verordnung (EU) 2022/2554 (DORA) — konsolidierte deutsche Fassung CELEX 02022R2554-20221227, ELI-Ausgangsfassung und Berichtigung DE (CELEX 32022R2554R(05)). Fundstellen: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02022R2554-20221227 , https://eur-lex.europa.eu/eli/reg/2022/2554/oj/deu und https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554R(05
• [EU-MIFIR] Verordnung (EU) Nr. 600/2014 (MiFIR) — Datenbereitstellungsdienste und ESMA-/Derogationsschicht. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/600/oj/deu
• [EU-CSDR] Verordnung (EU) Nr. 909/2014 (CSDR) — Zentralverwahrer. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/909/oj/deu
• [EU-EMIR] Verordnung (EU) Nr. 648/2012 (EMIR) — zentrale Gegenparteien und Transaktionsregister. Fundstelle: https://eur-lex.europa.eu/eli/reg/2012/648/oj/deu
• [EU-CRA] Verordnung (EG) Nr. 1060/2009 — Ratingagenturen, unmittelbare ESMA-Aufsicht. Fundstelle: https://eur-lex.europa.eu/eli/reg/2009/1060/oj/deu
• [EU-BMR] Verordnung (EU) 2016/1011 — Benchmark-/Referenzwert-Administratoren. Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/1011/oj/deu
• [EU-ECSP] Verordnung (EU) 2020/1503 — Schwarmfinanzierungsdienstleister. Fundstelle: https://eur-lex.europa.eu/eli/reg/2020/1503/oj/deu
• [EU-VERBRIEFUNG] Verordnung (EU) 2017/2402 — Verbriefungsregister. Fundstelle: https://eur-lex.europa.eu/eli/reg/2017/2402/oj/deu
• [EU-IORP] Richtlinie (EU) 2016/2341 (IORP II) — Einrichtungen der betrieblichen Altersversorgung. Fundstelle: https://eur-lex.europa.eu/eli/dir/2016/2341/oj/deu
• [EU-DEL-1502] Delegierte Verordnung (EU) 2024/1502 — Kriterien für kritische IKT-Drittdienstleister (Art. 31 DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1502/oj/deu
• [EU-DEL-1505] Delegierte Verordnung (EU) 2024/1505 — Gebühren für die Überwachung kritischer IKT-Drittdienstleister. Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1505/oj/deu
• [EU-DEL-1772] Delegierte Verordnung (EU) 2024/1772 — Klassifizierung von IKT-Vorfällen/Cyberbedrohungen (Kriterien und Schwellen). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1772/oj/deu
• [EU-DEL-1773] Delegierte Verordnung (EU) 2024/1773 — detaillierter Inhalt der Leitlinie für vertragliche Vereinbarungen über IKT-Dienstleistungen. Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1773/oj/deu
• [EU-DEL-1774] Delegierte Verordnung (EU) 2024/1774 — IKT-Risikomanagement und vereinfachter Rahmen (Kapitel II, Art. 16). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2024/1774/oj/deu
• [EU-DVO-2956] Durchführungsverordnung (EU) 2024/2956 — Standardvorlagen für das Informationsregister (Art. 28 Abs. 3). Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj/deu
• [EU-DEL-295] Delegierte Verordnung (EU) 2025/295 — Harmonisierung der Überwachungstätigkeiten. Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/295/oj/deu
• [EU-DEL-301] Delegierte Verordnung (EU) 2025/301 — Inhalte und Fristen für Vorfallmeldungen (Fristentrias, Art. 5). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/301/oj/deu
• [EU-DVO-302] Durchführungsverordnung (EU) 2025/302 — Meldeformulare und Verfahren. Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2025/302/oj/deu
• [EU-DEL-420] Delegierte Verordnung (EU) 2025/420 — Zusammensetzung und Aufgaben gemeinsamer Untersuchungsteams. Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/420/oj/deu
• [EU-DEL-532] Delegierte Verordnung (EU) 2025/532 — Untervergabe kritischer/wichtiger IKT-Dienstleistungen. Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/532/oj/deu
• [EU-DEL-1190] Delegierte Verordnung (EU) 2025/1190 — TLPT (Kriterien, Methodik, Scope, interne Tester, Remediation). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/1190/oj/deu
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO) — Art. 33/34 nur als Routing-Anker der Parallelschiene. Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu

15.3 Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung.

15.4 Behörden und amtliche Praxis

• [B-BaFin-DORA] BaFin — DORA-Themenseite (Behördenpraxis, kein Normtext). Fundstelle: https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/DORA_node.html
• [B-BaFin-Register] BaFin — Informationsregister und Anzeigepflichten (Verfahrens-/Praxisstand, u. a. MVP-Portal). Fundstelle: https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/Informationsregister_und_Anzeigepflichten/Informationsregister_und_Anzeigepflichten_node.html
• [B-BaFin-Ueberwachung] BaFin — Überwachungsrahmen für kritische IKT-Drittdienstleister. Fundstelle: https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/Ueberwachungsrahmen_IKT_Drittdienstleister/Ueberwachungsrahmen_IKT_Drittdienstleister_node.html
• [B-Bundesbank] Deutsche Bundesbank — BAIT/DORA. Fundstelle: https://www.bundesbank.de/de/aufgaben/finanzaufsicht/einzelaspekte/risikomanagement/bait-dora-598580
• [B-ESMA-DRSP] ESMA — Data Reporting Services Providers (Direktaufsicht). Fundstelle: https://www.esma.europa.eu/esmas-activities/markets-and-infrastructure/data-reporting-services-providers
• [B-ESMA-Supervision] ESMA — Supervisory responsibilities (unmittelbare Aufsicht u. a. Transaktionsregister, Ratingagenturen, Verbriefungsregister, kritische Benchmark-Administratoren). Fundstelle: https://www.esma.europa.eu/esmas-activities/supervision

15.5 Markt, Standards und sonstige Praxis

Keine eigenständigen Markt- oder Standardquellen in dieser Fassung; die genannten Arbeitsprodukte sind redaktionelle Umsetzungshilfen ohne eigene Quellenbehauptung.

15.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex). Zeitgebundene Behörden- und Portalangaben (insbesondere BaFin-Einreichungsfenster und MVP-Portal) sind Verfahrensstand zum dokumentierten Redaktionsstand und vor jeder konkreten Einreichung tagesaktuell zu prüfen. Die offene Status-, Zuständigkeits- und Zeitlage einzelner Adressatengruppen wird nicht geglättet.

16. CyberSchutzEngel-Hinweis

CyberSchutzEngel nutzt diese DORA-Landkarte als Struktur für Statusvermerke, Schulungspläne, Vorfall-Drills, Registerprüfungen und Vorstandsvorlagen. Der Nutzen liegt nicht in einem pauschalen Versprechen, sondern in der sauberen Übersetzung der Normkette in dokumentierte Entscheidungen, Rollen und Nachweise.