Question 1

Seit wann gilt DORA und wen betrifft sie?

Accepted Answer

Finanzunternehmen aus allen Branchen müssen DORA, die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor, seit dem 17. Januar 2025 anwenden. Wer im Einzelnen erfasst ist, regelt Artikel 2 Absatz 1. Die europäische Versicherungsaufsicht nennt Banken und Versicherungsunternehmen ausdrücklich. Für Versicherer galten bis dahin die Versicherungsaufsichtlichen Anforderungen an die IT (VAIT). Um Doppelregulierung zu vermeiden, hob die BaFin dieses Rundschreiben mit Ablauf des 16. Januar 2025 auf.

Die Verordnung betrifft mittelbar auch Dienstleister. Die IKT-Drittdienstleister treffen die Regeln nur indirekt, weil die Finanzunternehmen, für die sie arbeiten, bei der Vertragsgestaltung bestimmte Anforderungen berücksichtigen müssen.

Das Finanzmarktdigitalisierungsgesetz hat § 1a Absatz 2 des Kreditwesengesetzes neu gefasst. Danach müssen ab dem 1. Januar 2027 weitere Unternehmen DORA anwenden.

Question 2

Was ist NIS2 und wie steht sie zu DORA?

Accepted Answer

NIS2 ist die Richtlinie (EU) 2022/2555; das BSI-Gesetz führt sie als „NIS-2-Richtlinie“ (§ 2 Nummer 27). Mit ihrer Umsetzung im BSI-Gesetz steigen nach dem BSI die Anforderungen, Cybersicherheitsmaßnahmen „systematisch zu planen, umzusetzen und zu überwachen“. Besonders wichtige und wichtige Einrichtungen müssen nach § 30 Absatz 1 „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ ergreifen. Im Sektor Finanzwesen nennt Anlage 1 unter Bankwesen die Kreditinstitute.

Für Finanzunternehmen unter DORA gilt eine Ausnahme. § 28 Absatz 6 Nummer 1 nimmt Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die diese Verordnung nach dem Kreditwesengesetz oder dem Versicherungsaufsichtsgesetz gilt, von den §§ 30, 31, 32, 35, 36, 38 und 39 aus. Für sie gibt DORA vor, was beim Management der IKT-Risiken zu beachten ist.

Question 3

Was regelt der Cyber Resilience Act und ab wann gelten seine Pflichten?

Accepted Answer

Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847. Er legt ein angemessenes Maß an Cybersicherheit für alle vernetzten Produkte fest, die auf dem EU-Markt erhältlich sind. Er gilt für alle Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen, unabhängig davon, ob sie ihren Geschäftssitz innerhalb oder außerhalb der EU haben.

Die Pflichten setzen in Etappen ein. Ab dem 11. September 2026 gelten die Meldepflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit ihrer Produkte auswirken. Ab dem 11. Dezember 2027 gelten alle Anforderungen des CRA, einschließlich der grundlegenden Cybersicherheitsanforderungen vor dem Inverkehrbringen eines Produkts.

Question 4

Was ist der EU AI Act und was bedeutet er für Banken und Versicherer?

Accepted Answer

Der EU AI Act ist die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz. Für Kreditinstitute, Versicherer und andere Finanzunternehmen übernimmt die BaFin die Marktüberwachung für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen.

Sie überwacht, ob verbotene Praktiken nach Artikel 5 vorkommen, ob die Transparenzpflichten nach Artikel 50 eingehalten werden und ob Maßnahmen zur KI-Kompetenz nach Artikel 4 ergriffen werden. Bestimmte KI-Praktiken sind seit dem 2. Februar 2025 verboten. Die ersten Transparenzpflichten gelten ab dem 2. August 2026, die Anforderungen an Hochrisiko-KI-Systeme ab dem 2. Dezember 2027. Hochrisiko sind zum Beispiel Systeme, die Banken in der Kreditwürdigkeitsprüfung einsetzen oder die Versicherer für die Risikobewertung in der Lebens- und Krankenversicherung nutzen.

Bei Verstößen kann die BaFin Bußgelder verhängen; im Extremfall nennt sie bis zu 35 Millionen Euro oder sieben Prozent des Jahresumsatzes. Die Verantwortung für den Einsatz von KI liegt bei den beaufsichtigten Unternehmen und ihren Geschäftsleitungen.

Question 5

Was regelt das KRITIS-Dachgesetz?

Accepted Answer

Das Gesetz dient der Stärkung der physischen Resilienz kritischer Anlagen. Es „gilt für Betreiber kritischer Anlagen“ in den Sektoren des § 4 Absatz 1, darunter Finanzwesen, Leistungen der Sozialversicherung und Gesundheitswesen. Welche Dienstleistungen kritisch sind, bestimmt das Bundesministerium des Innern durch Rechtsverordnung (§ 4 Absatz 3).

Ein Betreiber muss sich „spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt“, beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren (§ 8 Absatz 1). Danach beginnen die Fristen: Die Verpflichtungen nach § 12 gelten erstmals neun Monate, die nach den §§ 13, 18 und 20 erstmals zehn Monate nach der Registrierung (§ 8 Absatz 7).

Für bestimmte Betreiber entfallen nach § 4 Absatz 2 einzelne dieser Pflichten. Die Risikoanalyse führt der Betreiber „mindestens jedoch alle vier Jahre“ durch. Er muss Maßnahmen zur Gewährleistung seiner Resilienz treffen, Vorfälle „unverzüglich, spätestens 24 Stunden nach Kenntnis“ melden und die Geschäftsleitung ist zur Umsetzung der Resilienzmaßnahmen verpflichtet.

Question 6

Gilt das KRITIS-Dachgesetz für Banken und Versicherer?

Accepted Answer

Das Finanzwesen steht als Sektor im Gesetz (§ 4 Absatz 1 Nummer 3). Für Banken und Versicherer, die als Finanzunternehmen unter DORA fallen, entfallen dennoch wesentliche Vorschriften.

§ 4 Absatz 2 Nummer 1 bestimmt: § 3 Absatz 8, die §§ 9, 10, 12 bis 16, 18, 19 Absatz 2 sowie die §§ 20, 21 Absatz 6 gelten nicht für „Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554“ und für Unternehmen, für die diese Verordnung „auf Grund von § 1a Absatz 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes“ gilt. Dazu zählen die Risikoanalyse des Betreibers, die Resilienzpflichten, das Meldewesen und die Umsetzungs- und Überwachungspflicht der Geschäftsleitung. Die Registrierung nach § 8 steht nicht in dieser Aufzählung.

Question 7

Betrifft das KRITIS-Dachgesetz gesetzliche Krankenversicherungen?

Accepted Answer

Das Gesetz nennt den Sektor „Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende“ (§ 4 Absatz 1 Nummer 4). Das Vierte Buch des Sozialgesetzbuchs führt die gesetzliche Krankenversicherung als Versicherungszweig neben der Unfall-, der Renten- und der Pflegeversicherung auf. Für die kritische Dienstleistung der Erbringung von Leistungen der Sozialversicherung bestimmt das Gesetz die Aufsichtsbehörde des „jeweiligen Leistungsträgers nach dem Sozialgesetzbuch“ (§ 3 Absatz 2 Nummer 10).

Für Betreiber kritischer Anlagen in diesem Sektor gelten die §§ 9, 10, 12 bis 16, 18, 19 Absatz 2 sowie die §§ 20, 21 Absatz 6 nicht, „mit Ausnahme des § 12“ (§ 4 Absatz 2 Nummer 4). Die Risikoanalyse bleibt damit Pflicht: Der Betreiber führt sie „im Bedarfsfall, mindestens jedoch alle vier Jahre“ durch.

Ob eine gesetzliche Krankenversicherung Betreiber einer kritischen Anlage ist, hängt von der Rechtsverordnung ab, die die kritischen Dienstleistungen bestimmt (§ 4 Absatz 3).

Question 8

Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Meldepflichten gelten seit dem 11. September 2026?

Accepted Answer

Der Cyber Resilience Act knüpft an das Produkt an, nicht an die Branche. Erfasst sind Produkte mit digitalen Elementen, nach Darstellung des Bundesamts für Sicherheit in der Informationstechnik auch reine Softwareprodukte wie mobile Apps. Als Inverkehrbringen gilt die erstmalige Bereitstellung eines Produkts auf dem Unionsmarkt, entgeltlich oder unentgeltlich, im Rahmen einer Geschäftstätigkeit. Als Ausnahmesektoren nennt das Bundesamt Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt und Schiffsausrüstung. Banken und Versicherer stehen nicht auf dieser Liste.

Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit ihrer Produkte auswirken. Die Frühwarnung ist innerhalb von 24 Stunden nach belastbarer Kenntnis abzugeben, eine detailliertere Meldung folgt innerhalb von 72 Stunden, der Abschlussbericht zu einer Schwachstelle innerhalb von 14 Tagen nach Bereitstellung einer Abhilfe. Der Meldeweg ist die Single Reporting Platform der ENISA.

Ein Ransomware-Vorfall bei einem Hersteller ist nicht automatisch ein schwerwiegender Sicherheitsvorfall im Sinne des CRA. Ein Vorfall kann zugleich nach NIS-2 und nach dem CRA meldepflichtig sein. Dann sind beide Meldewege zu bedienen.

Question 9

Was regeln die MaRisk und was hat die Neufassung geändert?

Accepted Answer

Die MaRisk sind das Rundschreiben der BaFin zu den Mindestanforderungen an das Risikomanagement. Die BaFin gibt darin vor, wie Kreditinstitute und bestimmte Finanzdienstleister ihr Risikomanagement organisieren müssen; die MaRisk konkretisieren das KWG.

Im Juni 2026 haben BaFin und Bundesbank die neunte Novelle veröffentlicht. Aus 122 Seiten wurden rund 80, denn die BaFin hat Detailregelungen entfernt und in allgemeinere Formulierungen überführt. Sie hat drei Größenklassen festgelegt. Für die meisten Häuser entscheidet die Bilanzsumme, ob und welche Erleichterungen sie in Anspruch nehmen können. Nach Schätzung der BaFin schaffen die neuen Größenklassen für 80 bis 85 Prozent der Häuser Erleichterungen. Die Aufsicht nennt das einen Vertrauensvorschuss. Geschäftsführung, Aufsichtsräte und Wirtschaftsprüfer können stärker selbst einschätzen, welche Risiken wie wichtig für ihr Haus sind.

Für Versicherer gilt das Rundschreiben 09/2025 (VA) der BaFin, die MaGo. Es legt die Vorschriften über die Geschäftsorganisation im VAG und in der Delegierten Verordnung (EU) 2015/35 für die BaFin verbindlich aus. Maßstab ist nach § 23 Absatz 1 VAG die Art, der Umfang und die Komplexität der Tätigkeiten des Versicherungsunternehmens.

Question 10

Was regeln die MaGo für Versicherer und was hat die Neufassung geändert?

Accepted Answer

Die MaGo für Versicherungsunternehmen unter Solvabilität II sind das Rundschreiben 09/2025 (VA) der BaFin. Es gibt Hinweise zur Auslegung der Vorschriften über die Geschäftsorganisation im VAG und in der Delegierten Verordnung (EU) 2015/35 und legt sie für die BaFin verbindlich aus. Die Gesamtverantwortung der Geschäftsleitung besteht unabhängig von einer Ressortverteilung. Beziehen sich Anforderungen ausdrücklich auf Leitungsaufgaben der gesamten Geschäftsleitung, kann sie diese Verantwortung nicht delegieren, auch nicht auf einzelne Mitglieder.

Das Rundschreiben trat am 14.10.2025 in Kraft. Es hob das Rundschreiben 02/2017 (VA) auf. Grundlegende inhaltliche Änderungen hat die BaFin nach eigenen Angaben nicht vorgenommen. Neu sind Hinweise zum Umgang mit Nachhaltigkeitsrisiken und ein ergänzter Abschnitt zu automatisierten Geschäftsabläufen verbindet die allgemeinen Regelungen zur Geschäftsorganisation mit den Anforderungen aus DORA und der KI-Verordnung. Einzelne Themen hat die BaFin herausgelöst und in separate Veröffentlichungen überführt.

Question 11

Was bedeutet ordnungsgemäße Geschäftsorganisation bei Banken nach § 25a KWG und bei Versicherern nach § 23 VAG?

Accepted Answer

Nach § 25a KWG muss ein Kreditinstitut über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der zu beachtenden gesetzlichen Bestimmungen und der betriebswirtschaftlichen Notwendigkeiten sicherstellt. Die Geschäftsleiter sind dafür verantwortlich. Die Geschäftsorganisation muss eine solide Unternehmensführung sowie ein angemessenes und wirksames Risikomanagement umfassen. Die Aufsicht kann im Einzelfall Anordnungen treffen, die geeignet und erforderlich sind, die ordnungsgemäße Geschäftsorganisation sicherzustellen.

Nach § 23 VAG muss die Geschäftsorganisation eines Versicherungsunternehmens wirksam und ordnungsgemäß sein und der Art, dem Umfang und der Komplexität der Tätigkeiten angemessen. Sie muss dafür sorgen, dass das Unternehmen solide und umsichtig geleitet wird. Der Vorstand sorgt dafür, dass sie regelmäßig intern überprüft wird. Schriftliche interne Leitlinien bedürfen der vorherigen Zustimmung des Vorstands und sind mindestens einmal jährlich zu überprüfen.

Question 12

Was verlangt das Gesetz von der Compliance-Funktion bei Banken und bei Versicherern?

Accepted Answer

Nach § 25a KWG muss ein Kreditinstitut interne Kontrollverfahren einrichten, mit einem internen Kontrollsystem und einer unabhängigen Internen Revision. Zum internen Kontrollsystem gehören eine unabhängige Risikocontrolling-Funktion und eine unabhängige Compliance-Funktion. Genannt ist das Merkmal der Unabhängigkeit. Für die Interne Revision nennt das Gesetz eine weitere Grenze: Sie darf nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen kombiniert werden.

Die Geschäftsleiter sind für die ordnungsgemäße Geschäftsorganisation verantwortlich, zu der das Risikomanagement gehört. Dessen Ausgestaltung hängt von Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit ab und seine Angemessenheit und Wirksamkeit ist regelmäßig zu überprüfen. Verlangt ist auch eine angemessene personelle und technisch-organisatorische Ausstattung. Nach Angaben der Aufsicht konkretisieren die MaRisk das KWG.

Für Versicherer verlangt § 29 VAG: Das interne Kontrollsystem muss über eine Funktion zur Überwachung der Einhaltung der Anforderungen verfügen, die Compliance-Funktion. Sie berät den Vorstand in Bezug auf die Einhaltung der Gesetze und Verwaltungsvorschriften, die für den Betrieb des Versicherungsgeschäfts gelten. Die interne Revision muss nach § 30 VAG objektiv und unabhängig von anderen operativen Tätigkeiten sein und berichtet direkt an den Vorstand. Ein wirksames Risikomanagementsystem fordert § 26 VAG.

FAQ: Regelwerke im Überblick

Regelwerke im Überblick