Wer das hier schreibt und warum
Björn Birenti
Senior Consultant für IKT-Risiko und Aufsichtsrecht · seit 2002 im Finanzsektor · fünf Jahre davon in der IT-Prüfung von Banken
DORA hat einen Beratungsmarkt hervorgebracht, in dem viel behauptet und wenig belegt wird. Ich halte das für das eigentliche Problem, nicht die Verordnung.
Deshalb steht auf dieser Seite bei jeder Aussage, worauf sie sich stützt: der amtliche Wortlaut mit Fundstelle, die technischen Standards, die Antworten der Aufsicht, jeweils mit Verweis auf das Original und mit einem Datum. Wo ich etwas nicht aus eigener Anschauung kenne, steht das dabei.
Sie sollen nachprüfen können, was hier steht, statt darauf angewiesen zu sein, dass es stimmt. Das ist der ganze Grund, warum es diese Seite gibt und warum sie nichts kostet.
Wo stehen Sie?
An diesem Tisch sitzen Parteien mit ganz verschiedenen Aufgaben. Ein Text, der alle gleichzeitig anspricht, hilft am Ende keinem. Deshalb sind die Wege getrennt.
Sie müssen prüfen und melden
Bank, Sparkasse, Versicherung, Zahlungs- oder Wertpapierinstitut, Kapitalverwaltungsgesellschaft: Sie führen das Informationsregister, bewerten vor der Beauftragung, prüfen Vertragsinhalte, überwachen laufend und halten Ausstiegspläne vor.
Sie müssen Auskunft geben
Sie beliefern Finanzunternehmen mit Software, Hosting, Betrieb oder Beratung. Ihre Kunden verlangen Zusagen, Nachweise und ausgefüllte Fragebögen. Wer darauf vorbereitet ist, gewinnt Ausschreibungen, in denen andere hängen bleiben.
Sie kommen gerade erst dazu
Rund 1.100 Häuser arbeiten unter dem vereinfachten Rahmen nach Artikel 16: kleine Wertpapierinstitute, kleine Einrichtungen der betrieblichen Altersversorgung, Versicherungsholdings und Institute außerhalb der CRR. Für Versicherungsholdings gilt das seit Anfang 2025; für die Häuser, die bis Ende 2026 noch nach den BAIT arbeiten, ab dem 1. Januar 2027.
Das Nachschlagewerk
Die Verordnung (EU) 2022/2554 artikelweise: jeder der 64 Artikel auf einer eigenen Seite, mit dem amtlichen Wortlaut, der Einordnung und dem, was in der Umsetzung dahintersteckt. Bei jedem Artikel steht, wen er betrifft: den vollen Rahmen, den vereinfachten Rahmen nach Artikel 16 oder die IKT-Dienstleister.
Kostenlos, ohne Anmeldung, ohne Formular. Jeder Absatz und jeder
Buchstabe hat eine eigene Adresse, zum Verweisen aus Ihrer Hausrichtlinie, einer
Vorlage oder einem Prüfungsprotokoll. artikel-30.html#abs-3-b führt genau auf
Artikel 30 Absatz 3 Buchstabe b.
Alle 64 Artikel sind fertig, von Artikel 1 bis Artikel 64, jeder mit Wortlaut, Einordnung, Hinweisen zur Umsetzung, den konkretisierenden Rechtsakten und einer Aufstellung dessen, was am Ende vorliegen muss. Dazu die 65 Begriffsbestimmungen des Artikels 3, jede einzeln verlinkbar.
Wenn Sie nicht sicher sind, ob DORA für Ihr Haus gilt, fangen Sie bei Artikel 2 an. Dort stehen die 21 Arten von Unternehmen im Geltungsbereich und die sechs Ausnahmen.
Werkzeuge, die im Ernstfall Zeit sparen
Ein Nachschlagewerk sagt Ihnen, was gilt. Manchmal brauchen Sie aber eine Rechnung, und zwar in dem Moment, in dem niemand mehr Zeit hat nachzuschlagen.
Fristenrechner
Sie tragen zwei Zeitpunkte ein, Kenntnis und Einstufung, und erhalten die drei Meldefristen nach Artikel 19 DORA. Mit der Wochenend- und Feiertagsregel und der Ausnahme für Kreditinstitute, an die im Ernstfall niemand denkt.
Kritisch oder wichtig?
Die Einstufung, an der Vertragsinhalte, Ausstiegsplan und Meldepflicht hängen. Das Werkzeug entscheidet nicht; es erzeugt den begründeten Vermerk, der in Prüfungen am häufigsten fehlt.
Alles bleibt auf Ihrem Gerät
Die Werkzeuge rechnen im Browser. Es gibt keine Datenbank, kein Konto, keine Sitzung. Damit gibt es auch nichts, was jemand auswerten, verlieren oder herausgeben könnte.
Wer für einen Fristenrechner eine Registrierung verlangt, sammelt keine Nutzer, sondern Adressen.
Wenn Sie bisher nach den BAIT gearbeitet haben: Der 1. Januar 2027 ist Ihr Termin Zum 31. Dezember 2026 werden die BAIT ersatzlos aufgehoben. Bürgschaftsbanken, Drittstaatenzweigstellen, Finanzdienstleistungsinstitute (Leasing, Factoring, Kryptowertpapierregisterführung) und Wohnungsunternehmen mit Spareinrichtung brauchen ab diesem Tag ein IKT-Risikomanagement nach Artikel 16 DORA. Zur Anleitung: was zu tun ist und was Sie weiterverwenden können →
Der nächste Termin, der wirklich zählt
Das Informationsregister nach Art. 28 Abs. 3 DORA ist jährlich einzureichen und gibt den Stand zum 31. Dezember des Vorjahres wieder. Damit ist die Einreichung der einzige DORA-Termin mit einem festen Datum. Sie ist auch der Termin, an dem sich zeigt, ob der Rest gepflegt ist.
Stichtag
31. Dezember 2026. Was an diesem Tag gilt, steht im Register, nicht der Stand am Tag der Einreichung. Ein Vertrag, der im Dezember endet, gehört noch hinein.
Frist
31. März 2027. Bis dahin muss der Einreichungsprozess bei der BaFin vollständig und fehlerfrei durchlaufen sein, nicht nur begonnen.
Weg und Format
Über das Fachverfahren DORA in der Melde- und Veröffentlichungsplattform der BaFin, als xBRL-Datei nach ESA-Taxonomie oder mit der Excel-Vorlage. Die Vorlagen selbst stehen in Verordnung (EU) 2024/2956.
Eingereicht heißt nicht angenommen
Als aufsichtsrechtlich eingereicht gilt das Register erst, wenn es die Validierungsregeln der ESAs besteht. Vorher ist es eine Datei auf einem Server.
Was daraus für Ihre Planung folgt Die Datenqualität entscheidet sich nicht im März, sondern im Dezember. Wer im Januar anfängt, Vertragsnummern, Länderkennungen und LEI-Angaben zusammenzusuchen, reicht im März etwas ein, das die Validierung nicht besteht, und korrigiert dann unter Zeitdruck. Das ist der häufigste Verlauf, und er ist jedes Mal vermeidbar.
Die sechs Bereiche
Dieselbe Aufteilung wie oben in der Leiste. Jeder Bereich ist für sich benutzbar; man muss nicht der Reihe nach vorgehen.
Die Verordnung
Alle 64 Artikel im amtlichen Wortlaut, je Artikel eine Seite. Jeder Absatz und jeder Buchstabe hat eine eigene Adresse, die 65 Begriffsbestimmungen des Artikels 3 sind einzeln verlinkbar. Dazu Einordnung, Hinweise zur Umsetzung und was am Ende vorliegen muss.
Umsetzung
Der Weg in acht Schritten für Finanzunternehmen, der Auskunftsweg für IKT-Dienstleister, der Übergang von den BAIT auf Artikel 16, dazu die Anleitungen und die Beispiele.
Werkzeuge
Der Fristenrechner für die drei Meldefristen nach einem IKT-Vorfall und die Entscheidungshilfe für die Einstufung einer Funktion. Beide rechnen im Browser, ohne Konto und ohne Datenbank.
Vorlagen
Erhebungsliste für das Informationsregister, Abfrage an den Dienstleister, Prüfliste zu den Vertragsinhalten, Vorlage für die Vorabbewertung, Muster einer Selbstauskunft. Ohne Formular und ohne E-Mail-Adresse.
Rechtsquellen
DORA und die zwölf technischen Standards mit geprüften Verweisen. Getrennt davon die Leitlinien der Aufsichtsbehörden, die nicht verbindlich sind: was von den alten EBA-Leitlinien noch gilt und was in DORA aufgegangen ist.
Wer hier schreibt
Woher die Einschätzungen stammen und woher nicht. Damit Sie einordnen können, was Sie hier lesen, und was Sie besser selbst prüfen.
Ein Hinweis, der Ihnen Arbeit ersparen kann
Wenn Sie ein Cloud-Werkzeug einsetzen, um DORA umzusetzen, schaffen Sie damit einen neuen IKT-Drittdienstleister. Das Werkzeug gehört ins Informationsregister, braucht die Vertragsinhalte nach Art. 30 DORA, eine Vorabbewertung nach Art. 28 Abs. 4 und, wenn es eine kritische oder wichtige Funktion stützt, einen Ausstiegsplan. Das Programm zur Registerführung erzeugt also selbst einen Registereintrag.
Das ist kein Argument gegen Cloud. Es ist ein Argument dafür, diese Frage vor der Auswahl zu stellen und nicht danach. Bei jedem Werkzeug, das Ihnen angeboten wird.