Die BaFin verteilt ihre Antworten über mehr als ein Dutzend Verzeichnisse ohne Übersicht; EBA und EIOPA führen Suchmasken, in denen man den Suchbegriff schon kennen muss. Wer wissen will, was die Aufsicht zu einem bestimmten Artikel gesagt hat, findet es hier an einer Stelle. Jeder Verweis führt auf den Eintrag im Artikel, dort stehen die Zusammenfassung, die Herkunft und der Stand der Erfassung.
| Bestand | Antworten | Hinweis |
|---|---|---|
| BaFin, FAQ zu DORA | 123 | ohne Datumsangabe der Behörde |
| EBA, Single Rulebook Q&A | 22 | mit Kennung, Status und Antwortdatum |
| EIOPA, Antwort der Europäischen Kommission | 6 | mit Kennung und Status |
151 Antworten, 238 Einordnungen: eine Antwort, die mehrere Artikel betrifft, steht unter jedem davon. Wann zuletzt geprüft wurde, steht im Änderungsprotokoll; letzter Prüflauf 5. Oktober 2026.
Inhalt
Kapitel IAllgemeine BestimmungenArt. 1–4 · 44 Einträge
Kapitel IIIKT-RisikomanagementArt. 5–16 · 25 Einträge
Kapitel IIIBehandlung, Klassifizierung und Berichterstattung IKT-bezogener VorfälleArt. 17–23 · 34 Einträge
Kapitel IVTesten der digitalen operationalen ResilienzArt. 24–27 · 12 Einträge
Kapitel VManagement des Risikos durch IKT-DrittanbieterArt. 28–44 · 113 Einträge
Kapitel VIVereinbarungen über den Austausch von InformationenArt. 45–45 · 4 Einträge
Kapitel VIIZuständige BehördenArt. 46–56 · 4 Einträge
Kapitel IXÜbergangs- und SchlussbestimmungenArt. 58–64 · 2 Einträge
Kapitel I · Allgemeine Bestimmungen Art. 1–4
Artikel 1 · Gegenstand
Artikel 2 · Geltungsbereich
- BaFinFür welche Unternehmen gilt DORA?
- ESAs · DORA136Gilt DORA auch für die nicht regulierten Tätigkeiten eines Unternehmens?
- EU-Kommission · DORA102Gilt DORA für Drittstaatszweigniederlassungen in einem EU-Staat?
- BaFinMüssen IKT-Drittdienstleister die DORA-Anforderungen auch umsetzen? Gelten erhöhte Anforderungen an kritische IKT-Drittdienstleister?
- BaFinMüssen auch KWG-Institute, die keine CRR-Kreditinstitute sind, die Anforderungen aus DORA erfüllen?
- BaFinSind auch IKT-Drittdienstleister verpflichtet, schwerwiegende IKT-bezogene Vorfälle nach DORA zu melden?
- EU-Kommission · DORA003Welche Verwalter alternativer Investmentfonds fallen in den Anwendungsbereich von DORA?
- BaFinWenn die Muttergesellschaft keinen Sitz in der Europäischen Union hat, wer muss dann das Informationsregister einreichen?
- EU-Kommission · DORA099Wie ist zu berechnen, ob das Kriterium von 250 Beschäftigten erfüllt ist?
- ESAs · 2024_7290Wie sind Artikel 3 Nummer 21, Erwägungsgrund 63, Artikel 2 und Artikel 58 Absatz 2 DORA zutreffend zu lesen?
- EU-Kommission · DORA237Wie sind die Schwellenwerte bei Vermittlern zu berechnen, deren Haupttätigkeit nicht der Versicherungsvertrieb ist?
Artikel 3 · Begriffsbestimmungen
- BaFinBeziehen sich „kritische oder wichtige Funktionen“ nur auf das Schutzziel Verfügbarkeit?
- BaFinFallen Angebote, die nicht unmittelbar im Zusammenhang mit erlaubnispflichtigen Tätigkeiten stehen, auch unter den Begriff der IKT-Dienstleistung?
- ESAs · 2024_7096Fällt ein außerhalb der EU ansässiger gruppeninterner IKT-Dienstleister unter die Ausnahme des Artikels 31 Absatz 8?
- EU-Kommission · DORA001Gibt es eine detaillierte Liste kritischer oder wichtiger Funktionen im Sinne von DORA?
- BaFinGilt DORA auch bei Auslagerungen, Ausgliederungen bzw. Weiterverlagerungen?
- BaFinHandelt es sich bei der Nutzung des MVP-Portals um eine IKT-Dienstleistung nach DORA?
- BaFinHat das Finanzunternehmen eine eigene Einstufung nach kritisch oder wichtig vorzunehmen, oder ist die Einstufung der Aufsicht abschließend?
- ESAs · 2025_7466Ist die Ausnahme für öffentliche Stellen in Erwägungsgrund 63 eine allgemeine Befreiung oder auf Zahlungsdienste beschränkt?
- BaFinIst ein reiner Software-as-a-Service-Dienst eine IKT-Dienstleistung?
- BaFinIst es korrekt, dass keine Angaben vorzunehmen sind, wenn das Finanzunternehmen den direkten IKT-Drittdienstleister als unwichtig klassifiziert hat?
- BaFinKann der sonstige Fremdbezug von IT-Dienstleistungen eine IKT-Dienstleistung sein, die der Unterstützung einer kritischen oder wichtigen Funktion dient?
- BaFinKann ein beaufsichtigtes Finanzunternehmen IKT-Drittdienstleister für ein anderes beaufsichtigtes Finanzunternehmen sein?
- BaFinKann pauschal davon ausgegangen werden, dass jeder sonstige Fremdbezug von IT-Dienstleistungen auch eine IKT-Dienstleistung ist?
- ESAs · 2025_7613Können einzelne Phishing-Angriffe, die Kunden in deren privatem Umfeld treffen, einen meldepflichtigen schwerwiegenden IKT-Vorfall darstellen?
- BaFinNimmt das Finanzunternehmen oder auch der IKT-Drittdienstleister die Bewertung vor, ob eine IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt?
- BaFinSind Hersteller von Hardware, die nicht nur liefern, sondern dauerhaft die Betreuung übernehmen, von DORA erfasst?
- BaFinSind Tochter- oder Muttergesellschaften, die IKT-Dienstleistungen zur Verfügung stellen, automatisch IKT-Dienstleister, oder gelten konzernintern vereinfachte Regeln?
- BaFinSind kritische oder wichtige Funktionen immer auch wesentliche Auslagerungen und umgekehrt?
- BaFinStellt ein Bezug von „reiner“ Hardware eine IKT-Dienstleistung dar?
- BaFinStellt ein isolierter Softwarebezug eine IKT-Dienstleistung dar?
- BaFinWas ist der Unterschied zwischen „kritisch“ und „wichtig“?
- BaFinWas ist die Definition von „kritischen Dienstleistungen“?
- BaFinWas sind IKT-Dienstleistungen im Sinne von DORA?
- EU-Kommission · DORA030Welche Arten von Dienstleistungen sind auf Grundlage der Definition in Artikel 3 Nummer 21 als IKT-Dienstleistungen anzusehen?
- ESAs · 2025_7539Welche Arten von Telefondiensten fallen unter die Definition der IKT-Dienstleistungen?
- BaFinWelche Kriterien haben Finanzunternehmen, um zu beurteilen, ob eine Dienstleistung eine kritische oder wichtige Funktion unterstützt?
- EU-Kommission · DORA003Welche Verwalter alternativer Investmentfonds fallen in den Anwendungsbereich von DORA?
- EU-Kommission · DORA099Wie ist zu berechnen, ob das Kriterium von 250 Beschäftigten erfüllt ist?
- ESAs · 2024_7290Wie sind Artikel 3 Nummer 21, Erwägungsgrund 63, Artikel 2 und Artikel 58 Absatz 2 DORA zutreffend zu lesen?
- BaFinWie sind die Kritikalität der betroffenen Dienste und kritische Funktionen zu unterscheiden?
- EU-Kommission · DORA237Wie sind die Schwellenwerte bei Vermittlern zu berechnen, deren Haupttätigkeit nicht der Versicherungsvertrieb ist?
- BaFinWie wird ein IKT-bezogener Vorfall in DORA definiert?
Kapitel II · IKT-Risikomanagement Art. 5–16
Artikel 5 · Governance und Organisation
- BaFinFür wen gelten die BAIT seit dem 17.01.2025 noch?
- ESAs · DORA252Ist es zulässig, einen unabhängigen Dritten mit einem regelmäßigen gemeinsamen Audit eines IKT-Drittdienstleisters zu beauftragen?
- BaFinWas muss das Leitungsorgan künftig leisten?
Artikel 6 · IKT-Risikomanagementrahmen
- BaFinFür wen gelten die BAIT seit dem 17.01.2025 noch?
- BaFinMuss die IKT-Risikokontrollfunktion einer Person zugewiesen sein, oder kann ein Gremium diese Funktion erfüllen?
- ESAs · DORA272Warum sind die Auslagerungsanforderungen im vereinfachten IKT-Risikomanagementrahmen strenger als im regulären?
- BaFinWas ist alles durch den IKT-Risikomanagementrahmen von DORA umfasst?
- BaFinWas ist die IKT-Risikokontrollfunktion?
- BaFinWas steht künftig im Fokus: IKT-Risiken oder Informationssicherheit?
- BaFinWie ist die DOR-Strategie im Vergleich zur IT-Strategie zu verstehen?
- BaFinWird mit DORA der ISB wie in den VAIT beschrieben noch gefordert?
Artikel 9 · Schutz und Prävention
- BaFinGibt es keine Wesentlichkeitsgrenze im Änderungsmanagement mehr?
- BaFinWas steht künftig im Fokus: IKT-Risiken oder Informationssicherheit?
- ESAs · 2024_7178Wie ist ein separates und dediziertes Netz für die IKT-Administration zu verstehen – genügt ein vLAN oder muss physisch getrennt werden?
Artikel 11 · Reaktion und Wiederherstellung
Artikel 13 · Lernprozesse und Weiterentwicklung
- BaFinMuss mein Finanzunternehmen IKT-Sicherheitsschulungen für IKT-Drittdienstleister durchführen?
- ESAs · 2024_7178Wie ist ein separates und dediziertes Netz für die IKT-Administration zu verstehen – genügt ein vLAN oder muss physisch getrennt werden?
Artikel 15 · Weitere Harmonisierung von Tools, Methoden, Prozessen und Richtlinien für IKT-Risikomanagement
Artikel 16 · Vereinfachter IKT-Risikomanagementrahmen
- BaFinFür wen gelten die BAIT seit dem 17.01.2025 noch?
- BaFinMuss die IKT-Risikokontrollfunktion einer Person zugewiesen sein, oder kann ein Gremium diese Funktion erfüllen?
- BaFinMüssen auch KWG-Institute, die keine CRR-Kreditinstitute sind, die Anforderungen aus DORA erfüllen?
- ESAs · 2025_7388Sind Finanzunternehmen, die nach Artikel 16 Absatz 1 von den Artikeln 5 bis 15 ausgenommen sind, auch von Artikel 28 ausgenommen?
- ESAs · DORA272Warum sind die Auslagerungsanforderungen im vereinfachten IKT-Risikomanagementrahmen strenger als im regulären?
- BaFinWird es seitens der BaFin Konkretisierungsrundschreiben zu DORA geben?
- BaFinWird mit DORA der ISB wie in den VAIT beschrieben noch gefordert?
Kapitel III · Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle Art. 17–23
Artikel 17 · Prozess für die Behandlung IKT-bezogener Vorfälle
- BaFinDarf die Meldepflicht von einem Dienstleister erfüllt werden?
- BaFinWie wird ein IKT-bezogener Vorfall in DORA definiert?
- BaFinÜber welchen Kommunikationskanal soll gemeldet werden, wenn die Meldung nicht über die MVP erfolgen kann?
Artikel 18 · Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen
- ESAs · 2025_7613Können einzelne Phishing-Angriffe, die Kunden in deren privatem Umfeld treffen, einen meldepflichtigen schwerwiegenden IKT-Vorfall darstellen?
- ESAs · 2024_7047Müssen alle drei Komponenten kumulativ erfüllt sein, damit das Kriterium „Beeinträchtigung kritischer Dienste“ ausgelöst wird?
- BaFinSind die zu meldenden wiederholten Vorfälle auch zu melden, wenn sie jeweils einzeln nicht zu berichten wären?
- BaFinWann müssen beaufsichtigte Unternehmen einen IKT-bezogenen Vorfall melden?
- BaFinWie sind die Kritikalität der betroffenen Dienste und kritische Funktionen zu unterscheiden?
- BaFinWie sollen erhebliche Cyberbedrohungen gemeldet werden?
- ESAs · 2025_7439Zählen kalkulatorische Personalkosten zu den Personalkosten bei der Bewertung eines Vorfalls?
Artikel 19 · Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen
- BaFinAn wen sind die Meldungen eines IKT-bezogenen Vorfalls zu erstatten?
- BaFinBenötigt jedes Finanzunternehmen einen Legal Entity Identifier (LEI)-Code?
- BaFinDarf die Meldepflicht von einem Dienstleister erfüllt werden?
- BaFinGibt es Erleichterungen für eine Meldepflicht außerhalb von Geschäftszeiten oder an Wochenenden und Feiertagen?
- BaFinHandelt es sich beim aggregierten Meldeverfahren typischerweise um einen Anwendungsfall von konzerninternen Drittpartei-Auslagerungen?
- BaFinIn welcher Sprache werden Vorfallsmeldungen entgegengenommen?
- BaFinIst es möglich, Meldungen durch außereuropäische Dienstleister einzureichen?
- ESAs · 2024_7050Ist neben der DORA-Meldung zusätzlich eine Meldung über das EZB-Cyber-Incident-Reporting einzureichen?
- ESAs · 2025_7613Können einzelne Phishing-Angriffe, die Kunden in deren privatem Umfeld treffen, einen meldepflichtigen schwerwiegenden IKT-Vorfall darstellen?
- BaFinMuss für das Einreichen aggregierter Meldungen ein gesonderter Antrag bei der BaFin gestellt werden?
- BaFinSind auch IKT-Drittdienstleister verpflichtet, schwerwiegende IKT-bezogene Vorfälle nach DORA zu melden?
- BaFinSind die zu meldenden wiederholten Vorfälle auch zu melden, wenn sie jeweils einzeln nicht zu berichten wären?
- BaFinWann müssen beaufsichtigte Unternehmen einen IKT-bezogenen Vorfall melden?
- BaFinWelche Meldeformate werden mit der IKT-Vorfallsmeldung nach DORA abgelöst?
- BaFinWie kann ich mich als Melder für das Fachverfahren „Digital Operational Resilience Act“ freischalten lassen?
- BaFinWie muss der BaFin die Auslagerung der Meldepflicht an einen Dienstleister mitgeteilt werden?
- BaFinWie sind aggregierte Meldungen zu verstehen?
- BaFinWie sollen erhebliche Cyberbedrohungen gemeldet werden?
- BaFinÜber welchen Kommunikationskanal soll gemeldet werden, wenn die Meldung nicht über die MVP erfolgen kann?
Artikel 20 · Harmonisierung von Inhalt und Vorlagen von Meldungen
- BaFinBenötigt jedes Finanzunternehmen einen Legal Entity Identifier (LEI)-Code?
- BaFinGibt es Erleichterungen für eine Meldepflicht außerhalb von Geschäftszeiten oder an Wochenenden und Feiertagen?
- BaFinWie sind aggregierte Meldungen zu verstehen?
- BaFinWird es seitens der BaFin Konkretisierungsrundschreiben zu DORA geben?
Artikel 23 · Zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen
Kapitel IV · Testen der digitalen operationalen Resilienz Art. 24–27
Artikel 24 · Allgemeine Anforderungen für das Testen der digitalen operationalen Resilienz
Artikel 26 · Erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis von TLPT
- BaFinKönnen IKT-Drittdienstleister auch eine Bescheinigung nach Artikel 26 Absatz 7 DORA über die ordnungsgemäße Durchführung eines TLPT erhalten?
- BaFinWann erfahre ich, dass ich verpflichtet bin, TLPT durchzuführen?
- BaFinWas sind sogenannte „Pooled Tests“ im Kontext von TLPT?
- BaFinWelche Institute und Unternehmen müssen die erweiterten Anforderungen an das Testen im Sinne von TLPT erfüllen?
- BaFinWie erfahre ich, dass ich verpflichtet bin, TLPT durchzuführen?
- BaFinWie sind die TLPT-Prozesse für Kreditinstitute unter EZB-Aufsicht bzw. andere nicht von der BaFin beaufsichtigte Finanzunternehmen ausgestaltet?
- BaFinWie werden die Anforderungen an einen TLPT aus Artikel 26 und 27 DORA in Deutschland umgesetzt?
- BaFinWird die BaFin bei der Anordnung von TLPT bereits durchgeführte TIBER-DE-Tests berücksichtigen?
- BaFinWird es seitens der BaFin Konkretisierungsrundschreiben zu DORA geben?
Artikel 27 · Anforderungen an Tester bezüglich der Durchführung von TLPT
- BaFinGibt es eine Übersicht aller in Deutschland zugelassenen Tester für TLPT?
- BaFinWie werden die Anforderungen an einen TLPT aus Artikel 26 und 27 DORA in Deutschland umgesetzt?
Kapitel V · Management des Risikos durch IKT-Drittanbieter Art. 28–44
Artikel 28 · Allgemeine Prinzipien
- ESAs · DORA188Auf welche Standards bezieht sich Artikel 28 Absatz 5?
- BaFinBewirkt die DORA-Umsetzung eine wesentliche Veränderung gemäß AT 8.2 MaRisk?
- BaFinBis zu welchem Rang müssen Finanzunternehmen die IKT-Drittdienstleister im Informationsregister aufführen?
- BaFinDarf das Informationsregister in deutscher Sprache befüllt werden?
- ESAs · 2025_7313Der Datenpunkt B_06.01.0050 fehlt in den amtlichen Vorlagen. Gilt er nicht mehr?
- BaFinGelten die strengen Vorgaben an Verträge oder den Exit auch für rein konzerninterne IKT-Dienstleister?
- BaFinGibt es Erleichterungen für die Prüfung des Dienstleisters durch das Finanzunternehmen, wenn eine behördliche Überwachung vorliegt?
- BaFinGibt es die Möglichkeit, die Abgabe eines Informationsregisters vorab zu testen?
- BaFinGibt es einen Zeitrahmen, wann mit einer Einstufung kritischer IKT-Drittdienstleister zu rechnen ist?
- BaFinGibt es weiterhin die Möglichkeit des direkten Austauschs zwischen den Internen Revisionen von IKT-Dienstleistern und Finanzunternehmen?
- BaFinGilt DORA auch bei Auslagerungen, Ausgliederungen bzw. Weiterverlagerungen?
- BaFinHandelt es sich beim aggregierten Meldeverfahren typischerweise um einen Anwendungsfall von konzerninternen Drittpartei-Auslagerungen?
- BaFinHat das Finanzunternehmen eine eigene Einstufung nach kritisch oder wichtig vorzunehmen, oder ist die Einstufung der Aufsicht abschließend?
- BaFinIn welchem Verhältnis stehen die Anforderungen an das Drittparteienrisikomanagement nach DORA zu den nationalen Anforderungen an Auslagerungen?
- BaFinIn welchem technischen Dateiformat soll das Informationsregister eingereicht werden?
- ESAs · DORA187Ist die Liste der IKT-Dienstleistungsarten in Anhang III des technischen Standards abschließend?
- BaFinIst ein Unterauftragnehmer, der Software programmiert, wirklich kritisch, wenn ein anderer Dienstleister diese Software ebenso programmieren könnte?
- BaFinIst es korrekt, dass keine Angaben vorzunehmen sind, wenn das Finanzunternehmen den direkten IKT-Drittdienstleister als unwichtig klassifiziert hat?
- ESAs · DORA252Ist es zulässig, einen unabhängigen Dritten mit einem regelmäßigen gemeinsamen Audit eines IKT-Drittdienstleisters zu beauftragen?
- BaFinIst geplant, das KWG/ZAG-Auslagerungsregister und das DORA-Informationsregister inhaltlich anzugleichen?
- BaFinKann ein Finanzunternehmen bei Nutzung eines kritischen IKT-Drittdienstleisters von Risikofreiheit ausgehen, solange es keine Empfehlungen der Aufsicht erhält?
- BaFinKann ein beaufsichtigtes Finanzunternehmen IKT-Drittdienstleister für ein anderes beaufsichtigtes Finanzunternehmen sein?
- BaFinKann man sich bei der Einschätzung, ob ein Unterauftragnehmer kritisch ist, auf die Einschätzung des Dienstleisters verlassen?
- BaFinKönnen externe Prüfberichte zur Beurteilung von IKT-Dienstleistern herangezogen werden?
- ESAs · 2024_7098Muss ein EU-Mutterinstitut das Register nur für DORA-pflichtige Tochtergesellschaften führen oder auch für Töchter außerhalb der EU?
- BaFinMüssen Finanzunternehmen kritische IKT-Drittdienstleister nicht mehr überwachen oder prüfen, wenn dies die Aufsicht übernimmt?
- ESAs · 2025_7297Müssen Finanzunternehmen nicht-finanzielle Unternehmen derselben Gruppe im Informationsregister erfassen?
- BaFinMüssen IKT-Drittdienstleister die DORA-Anforderungen auch umsetzen? Gelten erhöhte Anforderungen an kritische IKT-Drittdienstleister?
- BaFinMüssen IKT-Drittdienstleister ein Informationsregister führen?
- BaFinMüssen von den europäischen Aufsichtsbehörden überwachte kritische IKT-Drittdienstleister auch im Informationsregister aufgelistet werden?
- BaFinNimmt das Finanzunternehmen oder auch der IKT-Drittdienstleister die Bewertung vor, ob eine IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt?
- BaFinReichen bedeutende Kreditinstitute ihre Informationsregister bei der BaFin oder der Europäischen Zentralbank ein?
- ESAs · 2025_7388Sind Finanzunternehmen, die nach Artikel 16 Absatz 1 von den Artikeln 5 bis 15 ausgenommen sind, auch von Artikel 28 ausgenommen?
- ESAs · 2024_7089Sind IKT-Subunternehmer von Nicht-IKT-Dienstleistern im Informationsregister zu erfassen?
- BaFinSind Tochter- oder Muttergesellschaften, die IKT-Dienstleistungen zur Verfügung stellen, automatisch IKT-Dienstleister, oder gelten konzernintern vereinfachte Regeln?
- ESAs · 2025_7387Soll das Feld „refPeriod“ den Meldetermin für das Informationsregister wiedergeben?
- BaFinSoll ein Finanzunternehmen alle Unternehmen in seiner Unterauftragskette kennen?
- ESAs · 2025_7309Verlangt Artikel 28 Absatz 3 eine gesonderte Anzeige zusätzlich zur Registereinreichung?
- BaFinWann muss das Informationsregister eingereicht werden?
- BaFinWas ist der Unterschied zwischen dem DORA-Informationsregister und dem KWG/ZAG-Auslagerungsregister?
- BaFinWas sind sogenannte „Pooled Tests“ im Kontext von TLPT?
- ESAs · DORA282Welche Währung ist bei einem gruppeninternen Vertrag im Informationsregister anzugeben, wenn die Beteiligten in unterschiedlichen Währungen bilanzieren?
- BaFinWenn die Muttergesellschaft keinen Sitz in der Europäischen Union hat, wer muss dann das Informationsregister einreichen?
- BaFinWerden Unternehmen als kritische IKT-Drittdienstleister überwacht, weil sie in der Vergangenheit negativ aufgefallen sind?
- BaFinWerden die Daten des Informationsregisters vertraulich behandelt?
- BaFinWie sollen Änderungen im Informationsregister an die Aufsicht kommuniziert werden?
- BaFinWird es eine Dummy-LEI für kleinere IKT-Drittdienstleister geben?
- BaFinWird es seitens der BaFin Konkretisierungsrundschreiben zu DORA geben?
- BaFinWoher erhalten Finanzunternehmen die geforderten LEI-Nummern bzw. EUIDs für die IKT-Drittdienstleister?
Artikel 29 · Vorläufige Bewertung des IKT-Konzentrationsrisikos auf Unternehmensebene
- BaFinBis zu welchem Rang müssen Finanzunternehmen die IKT-Drittdienstleister im Informationsregister aufführen?
- BaFinIn welchem Verhältnis stehen die Anforderungen an das Drittparteienrisikomanagement nach DORA zu den nationalen Anforderungen an Auslagerungen?
- BaFinIst ein Unterauftragnehmer, der Software programmiert, wirklich kritisch, wenn ein anderer Dienstleister diese Software ebenso programmieren könnte?
- BaFinKann man sich bei der Einschätzung, ob ein Unterauftragnehmer kritisch ist, auf die Einschätzung des Dienstleisters verlassen?
- BaFinSoll ein Finanzunternehmen alle Unternehmen in seiner Unterauftragskette kennen?
- BaFinWie wirkt sich die Einstufung eines Subdienstleisters als kritisch auf die Einstufung eines nicht kritischen Hauptdienstleisters aus?
Artikel 30 · Wesentliche Vertragsbestimmungen
- BaFinDürfen die kritischen IKT-Drittdienstleister die Überwachungskosten an die Finanzunternehmen weiterreichen?
- BaFinGelten die strengen Vorgaben an Verträge oder den Exit auch für rein konzerninterne IKT-Dienstleister?
- BaFinGibt es Erleichterungen für die Prüfung des Dienstleisters durch das Finanzunternehmen, wenn eine behördliche Überwachung vorliegt?
- BaFinGibt es Standardverträge, die die in DORA genannten Standardvertragsklauseln beinhalten?
- BaFinGibt es weiterhin die Möglichkeit des direkten Austauschs zwischen den Internen Revisionen von IKT-Dienstleistern und Finanzunternehmen?
- BaFinGilt DORA auch bei Auslagerungen, Ausgliederungen bzw. Weiterverlagerungen?
- BaFinIn welchem Verhältnis stehen die Anforderungen an das Drittparteienrisikomanagement nach DORA zu den nationalen Anforderungen an Auslagerungen?
- ESAs · 2025_7466Ist die Ausnahme für öffentliche Stellen in Erwägungsgrund 63 eine allgemeine Befreiung oder auf Zahlungsdienste beschränkt?
- BaFinIst ein Unterauftragnehmer, der Software programmiert, wirklich kritisch, wenn ein anderer Dienstleister diese Software ebenso programmieren könnte?
- ESAs · DORA252Ist es zulässig, einen unabhängigen Dritten mit einem regelmäßigen gemeinsamen Audit eines IKT-Drittdienstleisters zu beauftragen?
- BaFinKann ein beaufsichtigtes Finanzunternehmen IKT-Drittdienstleister für ein anderes beaufsichtigtes Finanzunternehmen sein?
- BaFinKann eine Erweiterung des Umfangs von standardisierten Zertifikaten überhaupt sinnvoll verlangt werden?
- BaFinKann man sich bei der Einschätzung, ob ein Unterauftragnehmer kritisch ist, auf die Einschätzung des Dienstleisters verlassen?
- BaFinKönnen externe Prüfberichte zur Beurteilung von IKT-Dienstleistern herangezogen werden?
- BaFinMuss ein Finanzunternehmen besondere Anforderungen beachten, wenn es in einem Vertragsverhältnis zu einem kritischen IKT-Drittdienstleister steht?
- BaFinMuss mein Finanzunternehmen IKT-Sicherheitsschulungen für IKT-Drittdienstleister durchführen?
- BaFinMüssen IKT-Drittdienstleister die DORA-Anforderungen auch umsetzen? Gelten erhöhte Anforderungen an kritische IKT-Drittdienstleister?
- BaFinSoll ein Finanzunternehmen alle Unternehmen in seiner Unterauftragskette kennen?
Artikel 31 · Einstufung kritischer IKT-Drittdienstleister
- ESAs · 2024_7096Fällt ein außerhalb der EU ansässiger gruppeninterner IKT-Dienstleister unter die Ausnahme des Artikels 31 Absatz 8?
- BaFinGibt es einen Zeitrahmen, wann mit einer Einstufung kritischer IKT-Drittdienstleister zu rechnen ist?
- BaFinHat das Finanzunternehmen eine eigene Einstufung nach kritisch oder wichtig vorzunehmen, oder ist die Einstufung der Aufsicht abschließend?
- BaFinHängt die Einstufung des IKT-Drittdienstleisters als kritisch von der Einschätzung des Finanzunternehmens ab?
- BaFinIn welchem Zeitabstand erfolgt eine Einstufung?
- BaFinKommen durch die Überwachung kritischer IKT-Drittdienstleister künftig noch mehr Kosten auf Finanzunternehmen zu?
- BaFinKönnen IKT-Drittdienstleister, die nur ein einziges Finanzunternehmen betreuen, als kritisch eingestuft werden?
- BaFinMuss ein Finanzunternehmen besondere Anforderungen beachten, wenn es in einem Vertragsverhältnis zu einem kritischen IKT-Drittdienstleister steht?
- BaFinMüssen alle IKT-Drittdienstleister aus Drittstaaten einen Sitz in der EU begründen, damit sie von Finanzunternehmen genutzt werden dürfen?
- BaFinMüssen von den europäischen Aufsichtsbehörden überwachte kritische IKT-Drittdienstleister auch im Informationsregister aufgelistet werden?
- BaFinRichtet sich die Höhe des Zwangsgelds nach dem Tagesumsatz des Unternehmens oder der Gruppe?
- BaFinStehen IKT-Drittdienstleister durch DORA künftig unter der Finanzdienstleistungsaufsicht?
- BaFinWarum hat die EU mit DORA eine Überwachung kritischer IKT-Drittdienstleister eingeführt?
- BaFinWas hat es für Auswirkungen auf bestehende Verträge, wenn ein Dienstleister aus einem Drittland keine Gesellschaft in der EU gründet?
- BaFinWas ist die Definition von „kritischen Dienstleistungen“?
- BaFinWelche Anforderungen stellt der Gesetzgeber an den Sitz, den kritische IKT-Drittdienstleister in der EU haben müssen?
- BaFinWerden Cloud-Dienstleister künftig als kritische IKT-Drittdienstleister überwacht?
- BaFinWerden Unternehmen als kritische IKT-Drittdienstleister überwacht, weil sie in der Vergangenheit negativ aufgefallen sind?
- BaFinWie erfahre ich, ob ein IKT-Dienstleister als kritischer IKT-Drittdienstleister eingestuft wurde?
- ESAs · 2024_7290Wie sind Artikel 3 Nummer 21, Erwägungsgrund 63, Artikel 2 und Artikel 58 Absatz 2 DORA zutreffend zu lesen?
- BaFinWie wirkt sich die Einstufung eines Subdienstleisters als kritisch auf die Einstufung eines nicht kritischen Hauptdienstleisters aus?
Artikel 33 · Aufgaben der federführenden Überwachungsbehörde
- BaFinStehen IKT-Drittdienstleister durch DORA künftig unter der Finanzdienstleistungsaufsicht?
- BaFinWas genau wird bei einem kritischen IKT-Drittdienstleister bewertet?
- BaFinWerden auf alle kritischen IKT-Drittdienstleister in jedem Jahr Überwachungsmaßnahmen zukommen?
Artikel 35 · Befugnisse der federführenden Überwachungsbehörde
- BaFinRichtet sich die Höhe des Zwangsgelds nach dem Tagesumsatz des Unternehmens oder der Gruppe?
- BaFinStehen IKT-Drittdienstleister durch DORA künftig unter der Finanzdienstleistungsaufsicht?
- BaFinWelche Rechte erhalten europäische Aufsichtsbehörden bei der Überwachung?
Artikel 36 · Ausübung der Befugnisse der federführenden Überwachungsbehörde außerhalb der Union
Artikel 37 · Auskunftsersuchen
Artikel 38 · Allgemeine Untersuchungen
Artikel 41 · Harmonisierung der Voraussetzungen für die Durchführung der Überwachungstätigkeiten
Artikel 42 · Folgemaßnahmen zuständiger Behörden
- BaFinMüssen Finanzunternehmen kritische IKT-Drittdienstleister nicht mehr überwachen oder prüfen, wenn dies die Aufsicht übernimmt?
- BaFinWelche Rechte erhalten europäische Aufsichtsbehörden bei der Überwachung?
- BaFinWerden Finanzunternehmen die Überwachungsberichte über den kritischen IKT-Drittdienstleister zur Verfügung gestellt?
- BaFinWie erfahre ich als Finanzunternehmen von den Empfehlungen, die gegenüber meinem kritischen IKT-Drittdienstleister ausgesprochen wurden?
- BaFinWo werden die öffentlich zugänglichen Informationen über nicht umgesetzte Empfehlungen oder verhängte Zwangsgelder veröffentlicht?
Artikel 43 · Überwachungsgebühren
- BaFinDürfen die kritischen IKT-Drittdienstleister die Überwachungskosten an die Finanzunternehmen weiterreichen?
- BaFinKommen durch die Überwachung kritischer IKT-Drittdienstleister künftig noch mehr Kosten auf Finanzunternehmen zu?
- BaFinMüssen kritische IKT-Drittdienstleister die Kosten der Überwachung selbst tragen?
- BaFinWie hoch sind die Überwachungskosten mindestens?
Kapitel VI · Vereinbarungen über den Austausch von Informationen Art. 45–45
Artikel 45 · Vereinbarungen über den Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen
- BaFinMüssen Finanzunternehmen nun verpflichtend Informationen und Erkenntnisse zu Cyberbedrohungen mit anderen Marktteilnehmern austauschen?
- BaFinWann ist eine Meldung gegenüber der BaFin nach Artikel 45 Absatz 3 DORA erforderlich?
- BaFinWas ist ein Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen im Sinne von Artikel 45 DORA?
- BaFinWie erfolgt die Meldung gegenüber der BaFin nach Artikel 45 Absatz 3 DORA?
Kapitel VII · Zuständige Behörden Art. 46–56
Artikel 46 · Zuständige Behörden
- BaFinReichen bedeutende Kreditinstitute ihre Informationsregister bei der BaFin oder der Europäischen Zentralbank ein?
- BaFinWie sind die TLPT-Prozesse für Kreditinstitute unter EZB-Aufsicht bzw. andere nicht von der BaFin beaufsichtigte Finanzunternehmen ausgestaltet?
Artikel 49 · Sektorübergreifende Übungen, Kommunikation und Zusammenarbeit im Finanzbereich
Artikel 54 · Öffentliche Bekanntmachung verwaltungsrechtlicher Sanktionen
Kapitel IX · Übergangs- und Schlussbestimmungen Art. 58–64
Artikel 64 · Inkrafttreten und Anwendung
Zur Verbindlichkeit
Die Einträge sind Zusammenfassungen in eigenen Worten, keine Abschriften. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt. Antworten der Aufsicht sind keine Rechtsnormen; sie binden die Behörde in ihrer Verwaltungspraxis, nicht das Gericht.
Fehlt eine Antwort oder stimmt eine nicht mehr? Meine Anschrift steht im Impressum.