Zum Inhalt springen
News
  1. tricept_rimago DORA-Praxis: Tricept zeigt mit RIMAGO Lösungen für Drittparteien- und IKT-Risiken
  2. ESMA News EU-Aufsicht warnt vor externen Abhän­gig­kei­ten und wachsenden Cyberrisiken
  3. ESMA News ESMA setzt ab 2027 einen Auf­sichts­schwer­punkt auf KI und Tokenisierung
  4. BaFin Aktuell BaFin ver­öf­fent­licht ab Oktober 2026 Übersicht zu ESA- und AMLA-Leitlinien statt Rundschreiben
  5. BaFin Aktuell BaFin-Rundschreiben 13/2026: Neue Mel­de­pflich­ten für Pen­si­ons­kas­sen beim Arbeitgeber-Siche­rungs­fall
  6. GDV Nachrichten Büro­kra­tie­kos­ten für Versicherer steigen laut Bundesbank auf zehn Prozent des Umsatzes
  7. GDV Nachrichten VSAAG beschlossen: Bafin erhält mehr Auf­sichts­be­fug­nisse, Versicherer müssen Sanie­rungs­pläne erstellen
  8. EBA News Europäische Ban­ken­auf­sicht konsultiert Änderungen an gemeinsamen Kapital- und Liqui­di­täts­ent­schei­dun­gen
Alle Meldungen
Kostenloses ErstgesprächErstgespräch

Einordnung

DORA für Förderbanken und Lan­des­för­der­insti­tute: Erste Einordnung

Förderbanken und Lan­des­för­der­insti­tute führen öffentliche För­der­pro­gramme aus. Ob und wie die Verordnung (EU) 2022/2554 (DORA) für sie gilt, ist im Einzelfall zu klären. Dabei spielt ein Wahlrecht der Mit­glied­staa­ten eine Rolle: Artikel 2 Absatz 4 DORA erlaubt es, bestimmte Stellen aus der Richtlinie 2013/36/EU auszunehmen. Zu diesen Stellen zählen die in der Richtlinie namentlich genannten deutschen Förderbanken. Ob und in welchem Umfang Deutschland das Wahlrecht für sie genutzt hat, ist in den geprüften Quellen nicht belegt. Die Frage gehört im Einzelfall zur Rechts­ab­tei­lung und zur Aufsicht.

Wer ist gemeint?

Gemeint sind Förderbanken des Bundes und der Länder sowie Lan­des­för­der­insti­tute, auch solche, die rechtlich unselbständig in einer Landesbank geführt werden. Eine abschließende amtliche Gesamtliste mit Gat­tungs­de­fi­ni­tion liegt nicht vor. Die Aufzählung in Artikel 2 Absatz 5 der Richtlinie 2013/36/EU und die Verbandsliste des VÖB (ohne Datumsangabe) weichen voneinander ab. Das Kre­dit­we­sen­ge­setz verweist für den Begriff des För­der­insti­tuts des Bundes oder eines Landes auf § 5 Absatz 1 Nummer 2 des Kör­per­schaft­steu­er­ge­set­zes (§ 2 Absatz 9d KWG).

Erste Einordnung

Die folgende Tabelle ist eine Prüfhilfe. Sie ersetzt keine rechtliche Bewertung.

PrüffrageStand nach den Quellen
Fällt das Institut unter DORA?Kre­dit­in­sti­tute nennt Artikel 2 Absatz 1 Buchstabe a DORA. Eine Ausnahme für Förderbanken enthält Artikel 2 Absatz 3 nicht. Das Wahlrecht nach Artikel 2 Absatz 4 erlaubt den Mit­glied­staa­ten jedoch, die Stellen nach Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU auszunehmen. Die Nutzung dieses Wahlrechts durch Deutschland ist nicht belegt.
Welche Aufsicht gilt?Für Kre­dit­in­sti­tute nach dem Kre­dit­we­sen­ge­setz die BaFin. Die Rechts­auf­sicht über das einzelne Institut richtet sich nach dessen Rechts­grund­lage und ist im Einzelfall zu klären.
Gilt DORA vereinfacht?Für Institute, die nicht nach Artikel 2 DORA im Gel­tungs­be­reich liegen, gilt DORA nach § 1a Absatz 2a KWG so, als wären sie CRR-Kre­dit­in­sti­tute, mit drei Abweichungen: vereinfachter Rahmen nach Artikel 16, keine bedro­hungs­ori­en­tier­ten Pene­tra­ti­ons­tests, Dritt­par­tei­en­ri­si­ko­ma­nage­ment nicht für Kleinst­un­ter­neh­men. Anzuwenden ab 1. Januar 2027 (§ 65a Absatz 3 KWG).

Was zu tun ist

  1. Rechtsform, Erlaubnis und zuständige Aufsicht schriftlich festhalten, getrennt nach Bundesrecht, Landesgesetz und Aufsicht der Länder.
  2. Die Anwendbarkeit von DORA nach Artikel 2 und die Nutzung des Wahlrechts nach Artikel 2 Absatz 4 von der Rechts­ab­tei­lung oder der Rechts­be­ra­tung klären lassen und die Entscheidung dokumentieren.
  3. Das Infor­ma­ti­ons­re­gis­ter aufbauen: Artikel 28 Absatz 3 DORA verlangt ein Register über alle vertraglichen Ver­ein­ba­run­gen zu IKT-Dienst­leis­tun­gen von IKT-Dritt­dienst­leis­tern. Dienstleister werden dort mit LEI oder EUID geführt (Durch­füh­rungs­ver­ord­nung (EU) 2024/2956).
  4. Gemein­schafts­dienst­leis­ter, die für mehrere Institute arbeiten, ebenso erfassen wie jeden anderen IKT-Dienstleister und die Vertragslage je Dienstleister festhalten.
  5. Die Verantwortung im Haus verankern: Nach Artikel 28 Absatz 1 Buchstabe a DORA bleibt das Finanz­un­ter­neh­men jederzeit für alle Pflichten ver­ant­wort­lich, auch wenn Dienstleister liefern.
  6. Prüfen, ob das Institut als Teilnehmer bedro­hungs­ori­en­tier­ter Pene­tra­ti­ons­tests ermittelt ist. Artikel 26 DORA verlangt sie mindestens alle drei Jahre nur für die von der Behörde ermittelten Finanz­un­ter­neh­men.
  7. Für wichtige Funktionen eine Aus­stiegs­stra­te­gie beschreiben und die Verträge auf Prüfrechte und Mel­de­pflich­ten prüfen, Unter­auf­trag­neh­mer ein­ge­schlos­sen.

Quellen

Prüfhinweis

Dieser Text ist eine fachliche Einordnung aus der Praxis und keine Rechts­be­ra­tung. Offen ist unter anderem, ob Deutschland das Wahlrecht aus Artikel 2 Absatz 4 DORA für Förderbanken genutzt hat. Die rechtliche Prüfung im Einzelfall liegt bei der Rechts­ab­tei­lung oder der Rechts­be­ra­tung des Instituts.

Wie Qvestcon unterstützt

Qvestcon begleitet Vorstände und die Ver­ant­wort­li­chen für Risiko, Betrieb, Infor­ma­ti­ons­si­cher­heit und Compliance bei der praktischen Umsetzung: vom Infor­ma­ti­ons­re­gis­ter über die Steuerung der Dienstleister und Ver­bund­struk­tu­ren bis zur Abstimmung mit MaRisk und Aus­la­ge­rungs­ma­nage­ment. Markus Junge, Executive Management Consultant DORA und KI, arbeitet dabei mit den Fachbereichen und stimmt sich mit der Rechts­be­ra­tung ab.

Möchten Sie die Lage Ihres Instituts einordnen lassen? Sprechen Sie uns über die Kontaktseite an und vereinbaren Sie ein Erstgespräch.