Question 1

Was ist das IKT-Informationsregister nach DORA, was gehört hinein und wie gelangt es zur Aufsicht?

Accepted Answer

Das Informationsregister schreibt Artikel 28 Absatz 3 Unterabsatz 1 vor. Es soll alle Verträge mit Drittdienstleistern erfassen, die dem Finanzunternehmen IKT-Dienstleistungen bereitstellen. Stützt eine Dienstleistung kritische oder wichtige Funktionen, soll das Register auch Informationen zu sämtlichen Unterauftragnehmern enthalten, die die Erbringung der Dienstleistung wirksam unterstützen.

Nach der BaFin wird über die Melde- und Veröffentlichungsplattform (MVP) eingereicht. Das MVP-Portal ist dafür der einzige zugelassene Einreichungskanal. Änderungen bei Verträgen tragen Finanzunternehmen umgehend in das Register ein; die reguläre Einreichung erfolgt nach der BaFin im jährlichen Turnus. Auf Anfrage müssen sie das vollständige Register der zuständigen Behörde bereitstellen.

Die Register dienen auch den europäischen Aufsichtsbehörden (ESAs): Sie brauchen sie für die jährliche Einstufung kritischer IKT-Drittdienstleister und die zuständigen Behörden übermitteln ihnen die Register.

Question 2

Was heißt Verhältnismäßigkeit unter DORA (Artikel 4) und wovon hängt der Umfang der Pflichten ab?

Accepted Answer

Die Anforderungen in DORA sind nach Artikel 4 risikoorientiert und proportional umzusetzen. Die Ausgestaltung und vor allem der Umfang der Dokumentation sollen nach den Hinweisen der Aufsicht zur Größe und zum Gesamtrisikoprofil des Unternehmens passen.

Beim Management des IKT-Drittparteienrisikos hängt der Umfang davon ab, welche IKT-Dienstleistungen ein Haus bezieht und ob sie kritische oder wichtige Funktionen unterstützen. Für bestimmte Finanzunternehmen gelten geringere Anforderungen, etwa aufgrund ihrer Größe oder wegen der Dienstleistungen, die sie erbringen. Für Kleinstunternehmen gibt es Ausnahmen.

Der IKT-Risikomanagementrahmen schreibt vor, was Finanzunternehmen erfüllen müssen, nicht unbedingt, wie. Verhältnismäßigkeit ist keine Einbahnstraße: Bei Prüfungen kann die Aufsicht entscheiden, welche Maßnahmen sie unter diesem Gesichtspunkt für angemessen umgesetzt hält.

Question 3

Welche IKT-Vorfälle muss ein Haus nach DORA melden, an wen und in welchen Fristen?

Accepted Answer

Zu melden ist jeder als schwerwiegend eingestufte Vorfall. In Deutschland gehen die Meldungen an die BaFin. Sie leitet sie an alle weiteren zuständigen Behörden weiter, unter anderem an das Bundesamt für Sicherheit in der Informationstechnik (BSI). Wer unter DORA fällt, ist von der sonst geltenden Meldepflicht nach § 32 BSIG befreit.

Die Meldung umfasst Erst-, Zwischen- und Abschlussmeldung. Nach den Angaben der BaFin und den technischen Standards der europäischen Aufsichtsbehörden gelten diese Fristen. Die Erstmeldung erfolgt grundsätzlich spätestens vier Stunden, nachdem der Vorfall als schwerwiegend klassifiziert wurde. Zugleich gilt eine Frist von spätestens 24 Stunden nach der Entdeckung. Die Zwischenmeldung folgt nach 72 Stunden. Die Abschlussmeldung folgt nach einem Monat.

Die IKT-Drittdienstleister selbst sind nicht meldepflichtig. Löst ein Vorfall bei einem Dienstleister ein relevantes Ereignis beim Finanzunternehmen aus, gilt die Meldepflicht des Finanzunternehmens.

Question 4

Welche Tests der digitalen operationalen Resilienz verlangt DORA und wer muss bedrohungsorientierte Penetrationstests (TLPT) durchführen?

Accepted Answer

Jedes Finanzunternehmen braucht ein risikobasiertes, proportionales Testprogramm. Es gehört zum IKT-Risikomanagementrahmen jedes Finanzunternehmens und für Kleinstunternehmen gibt es Erleichterungen beim Umfang. DORA regelt das in Kapitel IV, Artikel 24 und 25. Die BaFin nennt als Bestandteile zum Beispiel die Analyse von Open-Source-Software sowie Prüfungen der Netzsicherheit und der physischen Sicherheit; hinzu kommen szenariobasierte Tests, Kompatibilitätstests und Penetrationstests.

Über das Testprogramm hinaus müssen bestimmte Finanzunternehmen bedrohungsgeleitete Penetrationstests (TLPT) durchführen, und welche das sind, legt DORA anhand von Kriterien in Artikel 26 Absatz 8 Unterabsatz 3 fest. Die BaFin ermittelt regelmäßig, ob die von ihr beaufsichtigten Unternehmen diese Kriterien erfüllen. Trifft es ein Haus, erhält es einen Verpflichtungsbescheid, der auch die Frequenz nennt, zum Beispiel einen Drei-Jahres-Rhythmus.

Nach der BaFin begleitet die Deutsche Bundesbank die Tests operativ. Die Testpflicht lässt sich nicht vollständig auf einen IKT-Drittdienstleister übertragen.

Question 5

Was verlangt DORA an Ausstiegsstrategien für IKT-Dienstleistungen?

Accepted Answer

Für kritische oder wichtige ausgelagerte Funktionen benötigen Finanzunternehmen eine Ausstiegsstrategie. Daneben verlangt DORA nach der BaFin eine Risikoanalyse und eine Due-Diligence-Prüfung vor Vertragsabschluss sowie die Überwachung der Risiken während des gesamten Lebenszyklus.

Ob sich Funktionen bei einem Ausfall des Dienstleisters zurückholen oder verlagern lassen, hängt nach der BaFin davon ab, ob eine Abhängigkeit besteht. Besteht keine, könnten die kritischen oder wichtigen Funktionen bei einer langfristigen Störung oder einem Ausfall ganz oder teilweise zurückgeholt oder auf einen alternativen Dienstleister migriert werden. Ein Abhängigkeitsverhältnis entsteht, wenn Finanzunternehmen die Dienstleistung faktisch nicht selbst erbringen können oder dies wirtschaftlich nicht sinnvoll erscheint und ein Wechsel mangels Alternativen nicht möglich oder praktisch sehr schwierig ist.

Die BaFin beobachtet, dass manche Finanzunternehmen ausgelagerte Aktivitäten wieder ins Unternehmen zurückholen und andere eine Multi-Vendor-Strategie erwägen. Kommt ein kritischer IKT-Drittdienstleister Empfehlungen der Aufsicht nicht nach, können Aufsichtsbehörden die Unternehmen auffordern, vorübergehend auf ihn zu verzichten oder die Zusammenarbeit ganz zu kündigen.

Question 6

Was ist eine kritische oder wichtige Funktion und welche Folgen hat die Einstufung für Verträge und Register?

Accepted Answer

Das Finanzunternehmen bewertet selbst, welche Funktionen kritisch oder wichtig sind. Funktionen sind dabei Aktivitäten, Dienstleistungen, Prozesse oder Vorgänge. Die Definition in Artikel 3 Nummer 22 DORA bezieht sich auf die Auswirkungen eines Ausfalls und teilweise auf die Auswirkungen einer unterbrochenen, fehlerhaften oder unterbliebenen Leistung beim Finanzunternehmen. Kritische oder wichtige Funktionen sind nicht immer wesentliche Auslagerungen und umgekehrt, denn die Kriterien unterscheiden sich.

Für das Register heißt die Einstufung: Es soll dann auch Informationen zu sämtlichen Unterauftragnehmern enthalten, die die Erbringung der Dienstleistung wirksam unterstützen.

Für Verträge gelten zusätzliche Anforderungen nach Artikel 30 Absatz 3. Geplante Verträge zur Nutzung von IKT-Dienstleistungen für solche Funktionen sind der Aufsicht anzuzeigen, auch wenn eine Funktion erst später kritisch oder wichtig wird.

Question 7

Was schreibt DORA für Verträge mit IKT-Drittdienstleistern vor und wo stehen die Mindestinhalte (Artikel 30)?

Accepted Answer

DORA und die technischen Regulierungsstandards (RTS) geben vor, wie Finanzunternehmen Verträge mit IKT-Drittdienstleistern gestalten müssen. Die BaFin hat eine Übersicht der Bestimmungen veröffentlicht, die nach DORA und den RTS mindestens in einem solchen Vertrag enthalten sein müssen. Die Fassung vom Juli 2025 berücksichtigt die Delegierte Verordnung (EU) 2025/532 zur Unterauftragsvergabe.

Unterstützen die Dienstleistungen kritische oder wichtige Funktionen, gelten zusätzliche Anforderungen nach Artikel 30 Absatz 3. Nach Artikel 30 Absatz 2 Buchst. i ist zu vereinbaren, unter welchen Bedingungen der Dienstleister an den Schulungen des Finanzunternehmens teilnimmt. Zu den vertraglichen Bestimmungen aus DORA gehört, dass sich der Dienstleister verpflichtet, bei IKT-Vorfällen, die seine Dienstleistung betreffen, Unterstützung zu leisten.

Artikel 30 Absatz 4 sieht vor, dass Finanzunternehmen und Dienstleister die Verwendung von Standardvertragsklauseln erwägen, die Behörden für bestimmte Dienstleistungen entwickelt haben.

Question 8

Wie verhalten sich VAIT, BAIT und KAIT zu DORA?

Accepted Answer

Die BaFin hebt ihre Rundschreiben auf, um Doppelregulierung zu vermeiden. VAIT und KAIT hat sie mit Ablauf des 16. Januar 2025 aufgehoben.

Die BAIT hebt sie schrittweise auf. Mit Ablauf des 16. Januar 2025 sind Unternehmen, die ab dem 17. Januar 2025 ein IKT-Risikomanagement nach Artikel 5 bis 15 oder Artikel 16 DORA betreiben müssen, aus dem Anwenderkreis der BAIT ausgenommen; Kapitel 11 der BAIT ist aufgehoben. Mit Ablauf des 31. Dezember 2026 werden die BAIT vollständig aufgehoben, weil nach dem Finanzmarktdigitalisierungsgesetz ab dem 1. Januar 2027 weitere Unternehmen DORA anwenden müssen.

Aus den Unterschieden zwischen Rundschreiben und Verordnung ergibt sich der Handlungsbedarf. Die BaFin sieht große Schnittmengen mit dem Risikomanagementrahmen von DORA: Wer die Rundschreiben vollständig umgesetzt hat, ist daher meistens gut aufgestellt.

Question 9

Was bedeutet Konzentrationsrisiko bei IKT-Dienstleistern und was verlangt DORA dazu?

Accepted Answer

Auch wenn zahlreiche Finanzunternehmen auf eine geringe Zahl von Dienstleistern auslagern, besteht nicht immer ein Konzentrationsrisiko. Nach der BaFin kommt es darauf an, ob das Angebot des Dienstleisters so speziell ist, dass die Finanzunternehmen bei ihren kritischen oder wichtigen Funktionen von ihm abhängig sind. Ein Abhängigkeitsverhältnis entsteht, wenn Finanzunternehmen die Dienstleistung faktisch nicht selbst erbringen können oder dies wirtschaftlich nicht sinnvoll erscheint und ein Wechsel mangels Alternativen nicht möglich oder praktisch sehr schwierig ist.

DORA verlangt, die Risiken aus der Abhängigkeit bereits vor Vertragsabschluss zu bewerten und die IKT-Vertragsbeziehungen in ein Informationsregister einzutragen. Mit dem Register erkennen Häuser Konzentrationen und geografische Abhängigkeiten. Die Aufsicht kann damit Konzentrationsrisiken auf Unternehmens-, Sektor- und Finanzmarktebene untersuchen.

Dazu kommt ein europäisches Überwachungsrahmenwerk für kritische IKT-Drittdienstleister. Die Verantwortung der Finanzunternehmen bleibt vollumfänglich bestehen.

Question 10

Wie ist DORA im deutschen Aufsichtsrecht verankert und was gilt für Häuser außerhalb des DORA-Geltungsbereichs?

Accepted Answer

Das Kreditwesengesetz erstreckt DORA auf Häuser, die nicht nach Artikel 2 der Verordnung (EU) 2022/2554 in deren Geltungsbereich liegen. Für sie gelten die Vorgaben so, als wären sie CRR-Kreditinstitute (§ 1a Absatz 2a).

Es gibt drei Abweichungen: Statt der Artikel 5 bis 15 gilt der vereinfachte IKT-Risikomanagementrahmen nach Artikel 16. Die Vorgaben zu bedrohungsgeleiteten Penetrationstests nach den Artikeln 26 und 27 gelten nicht. Artikel 28 bis 30 gelten für Kleinstunternehmen nicht.

Für Versicherungs-Holdinggesellschaften gilt DORA nach § 293 Absatz 5 des Versicherungsaufsichtsgesetzes, auch dort mit dem vereinfachten Rahmen nach Artikel 16 anstelle der Artikel 5 bis 15. Die Finanzaufsicht unterscheidet in ihrer Übersicht „Betroffene Unternehmen gemäß DORA“ und „Betroffene Unternehmen gemäß Finanzmarktdigitalisierungsgesetz“.

FAQ: DORA in der Praxis

DORA in der Praxis