BaFin: Cyber-Aufsicht im Finanzsektor und DORA

Kurzdefinition: Die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) ist die zuständige Aufsichtsbehörde für Finanzunternehmen und die zentrale DORA-Aufsichtsspur. Sie beaufsichtigt die digitale operationale Resilienz erfasster Finanzunternehmen; in gemischten Strukturen können daneben BSIG-/BSI-Spuren bestehen bleiben. [N-DORA-2]

Der Normwortlaut

Art. 2 Abs. 1 DORA bestimmt den Anwendungsbereich und zählt die erfassten „Finanzunternehmen“ auf — Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungs- und Rückversicherungsunternehmen und weitere. Für diese Unternehmen ist in Deutschland die BaFin die zuständige Aufsichtsbehörde im Sinne der DORA. [N-DORA-2]

Welche Rolle hat die BaFin im Cyber-Recht?

Sie ist die DORA-Aufsichtsspur. Für DORA-Pflichten beaufsichtigt die BaFin die digitale operationale Resilienz erfasster Finanzunternehmen und ist Adressat der DORA-Meldungen und Berichte. Ob daneben BSIG-/BSI-Spuren bestehen, ist gesondert zu prüfen. [N-DORA-2]

Wann ist die BaFin neben oder anstelle des BSI zuständig?

Wo DORA als spezielleres Recht greift. Also für die erfassten Finanzunternehmen und ihre IKT-Pflichten. Für nicht-finanzielle Pflichten oder Konzernteile kann daneben weiterhin das BSI zuständig sein; die Abgrenzung ist im Einzelfall zu klären. [N-DORA-2]

Was bedeutet die BaFin-Zuständigkeit für Meldungen?

Andere Adressaten und Fristen. DORA-Vorfallmeldungen laufen nach den DORA-Vorgaben an die Finanzaufsicht. Ob eine BSIG-/BSI-Meldespur daneben entfällt oder verbleibt, folgt aus der konkreten DORA-/BSIG-Abgrenzung. [N-DORA-2]

Wie hängt die BaFin mit den europäischen Behörden zusammen?

Sie ist die nationale Ebene. Die BaFin ist der direkte Ansprechpartner in Deutschland; die europäischen Finanzaufsichtsbehörden (EBA, EIOPA, ESMA) setzen den einheitlichen Rahmen und die technischen Standards. [N-DORA-2]

Worauf muss die Geschäftsleitung achten?

Auf die Zuordnung. Früh klären, welche Konzerneinheit unter DORA/BaFin und welche unter BSIG/BSI fällt. Diese Zuordnung steuert Meldeorganisation, IKT-Verträge und Berichtswege — in gemischten Strukturen selten trivial. [N-DORA-2]

Häufige Fehlannahmen

„Für Finanzunternehmen ist immer das BSI zuständig.“ Nein. Für DORA-Pflichten liegt die Finanzaufsichtsspur im Vordergrund; in Deutschland ist dafür regelmäßig die BaFin maßgeblich. [N-DORA-2]
„BaFin und BSI schließen sich immer aus.“ Nicht zwingend. In gemischten Strukturen können beide Spuren bestehen. [N-DORA-2]
„Die BaFin setzt die europäischen Standards.“ Nein. Das tun die ESAs; die BaFin ist nationale Aufsicht. [N-DORA-2]
„DORA-Meldungen laufen ans BSI.“ Nein. Sie laufen nach DORA an die Finanzaufsicht. [N-DORA-2]
„Die Zuständigkeit ist immer eindeutig.“ Nein. In Konzernen ist die Abgrenzung oft komplex. [N-DORA-2]
„Kleine Finanzunternehmen sind nie erfasst.“ Nicht pauschal. Der Anwendungsbereich richtet sich nach Art. 2 DORA. [N-DORA-2]

Was die Geschäftsleitung tun sollte

Zuordnen. Klären, welche Einheit unter DORA/BaFin fällt.
Meldewege bauen. Adressaten und Fristen der DORA-Meldung festlegen.
Abgrenzen. BSIG-/BSI-Spuren für nicht erfasste Teile prüfen.
Dokumentieren. Die Zuständigkeitszuordnung festhalten.

Für die Geschäftsleitung

Klären Sie früh, welche Konzerneinheit unter DORA und die BaFin fällt und welche unter das BSIG und das BSI. Diese Zuordnung steuert Meldeorganisation, IKT-Verträge und Berichtswege — in gemischten Strukturen ist sie selten trivial, aber entscheidend.