Die kurze Fassung DORA gilt für diese Häuser nicht über Artikel 2 DORA, sondern über deutsches Recht, nämlich § 1a Absatz 2a KWG. Die Vorschrift ordnet an, dass die Vorgaben gelten, „als wären diese Institute CRR-Kreditinstitute“. Ausgenommen sind nur die Artikel 5 bis 15, an deren Stelle der vereinfachte Rahmen nach Artikel 16 tritt, sowie die bedrohungsgeleiteten Penetrationstests nach den Artikeln 26 und 27. Für Kleinstunternehmen entfällt zusätzlich das Drittparteienrisikomanagement nach den Artikeln 28 bis 30. Alles andere kommt in voller Breite: Meldewesen, Tests, Informationsregister, Vertragsanforderungen, Informationsaustausch.
Wen das betrifft
Finanzdienstleistungsinstitute nach dem KWG, also insbesondere Finanzierungsleasing, Factoring und die Kryptowertpapierregisterführung. Die BaFin beaufsichtigt 372 Finanzdienstleistungsinstitute, davon 339 aus Finanzierungsleasing und Factoring (Jahresbericht 2025). Daneben gehören Bürgschaftsbanken, Drittstaatenzweigstellen nach § 53 KWG und Wohnungsunternehmen mit Spareinrichtung zu derselben Übergangsgruppe. Die Einzelheiten dazu stehen in der Anleitung zum Übergang auf Artikel 16.
Diese Häuser haben zwei Eigenschaften, die den Aufwand bestimmen und in der Verordnung nicht vorkommen. Sie sind erstens personell deutlich kleiner als eine Bank vergleichbarer Bilanzsumme. Und sie stehen zweitens in der Regel nicht in einem Verbund, der eine fertige Plattform, einen abgestimmten Dienstleisterkatalog und vorformulierte Richtlinien beisteuert. Was eine Sparkasse oder eine Genossenschaftsbank aus dem Verbund zieht, muss hier aus eigener Hand entstehen.
Die beiden Termine, und warum der frühere der wichtigere ist
§ 65a Absatz 3 KWG teilt die Anwendung in zwei Stufen. Nur die zweite ist allgemein bekannt.
Tabelle seitlich wischbar
| Ab wann | Was |
|---|---|
| 17. Januar 2025 läuft bereits |
Das Meldewesen nach Kapitel III DORA, also die Artikel 17 bis 23: Verfahren für das Management IKT-bezogener Vorfälle, Klassifizierung, Meldung schwerwiegender Vorfälle an die BaFin mit Erst-, Zwischen- und Abschlussmeldung. § 65a Absatz 3 Satz 2 KWG nennt dafür ausdrücklich den 17. Januar 2025, nicht 2027. |
| 1. Januar 2027 | Alle übrigen Vorgaben: der vereinfachte IKT-Risikomanagementrahmen nach Artikel 16, die Tests nach den Artikeln 24 und 25, das Drittparteienrisikomanagement nach den Artikeln 28 bis 30 samt Informationsregister und Vertragsanforderungen sowie der Informationsaustausch nach Artikel 45. |
Der Punkt, der in Gesprächen am häufigsten fehlt Ein Haus, das sagt „wir fangen 2026 an, wir haben bis 2027 Zeit“, beschreibt damit nur den Rahmen. Die Meldepflicht für schwerwiegende IKT-Vorfälle gilt davon unabhängig und gilt bereits. Dazu gehört nicht nur die Meldung selbst, sondern auch das Verfahren, das sie ermöglicht: eine Erfassung von Vorfällen, eine Klassifizierung nach den Schwellenwerten der Delegierten Verordnung (EU) 2024/1772 und ein Melder, der für das Fachverfahren der BaFin freigeschaltet ist. Wer bisher keinen schwerwiegenden Vorfall hatte, hat Glück gehabt, nicht vorgesorgt.
Was ausgenommen ist, und was die Ausnahme wert ist
Die Artikel 5 bis 15 entfallen, Artikel 16 tritt an ihre Stelle
Das ist die eigentliche Erleichterung. Statt des vollen Rahmens mit Strategie, Risikotoleranz, vollständigem Risikoregister, Konzentrationsrisikoanalyse und Jahresbericht genügen die acht Grundpflichten des Artikels 16 Absatz 1, konkretisiert durch Titel III der Delegierten Verordnung (EU) 2024/1774. Erleichterung heißt dabei nicht Wegfall: Der Rahmen ist zu dokumentieren, vom Leitungsorgan zu genehmigen und regelmäßig zu überprüfen.
Die TLPT nach den Artikeln 26 und 27 entfallen vollständig
Bedrohungsgeleitete Penetrationstests sind für diese Institute kein Thema, auch nicht in abgeschwächter Form. Die Tests nach Artikel 24 und 25, also das Programm aus Schwachstellen-, Wiederherstellungs- und Fortführungstests, bleiben dagegen bestehen.
Die Artikel 28 bis 30 entfallen nur für Kleinstunternehmen
Und zwar für Kleinstunternehmen im Sinne von Artikel 3 Nummer 60 DORA. Die amtliche Definition verlangt zweierlei gleichzeitig: weniger als zehn beschäftigte Personen und einen Jahresumsatz oder eine Bilanzsumme von höchstens 2 Mio. Euro. Die zweite Schwelle schließt den größten Teil der Leasing- und Factoringhäuser aus, weil die Bilanzsumme dort durch das Forderungs- und Leasingvermögen bestimmt wird und diese Grenze fast immer überschreitet. Für diese Häuser gilt das Drittparteienrisikomanagement also voll, mit Informationsregister, Vorabbewertung, Vertragsanforderungen nach Artikel 30 und Ausstiegsstrategie.
Die Rechnung in einem Satz Von den 64 Artikeln des operativen Teils fallen für ein nicht als Kleinstunternehmen geltendes Leasing- oder Factoringinstitut dreizehn weg, nämlich die Artikel 5 bis 15 sowie 26 und 27. Der Rest gilt. Wer die Lage als „DORA light“ beschreibt, beschreibt sie falsch.
Woran der Aufbau in diesen Häusern erfahrungsgemäß hängt
Nicht am Verständnis der Verordnung. Sondern an drei Stellen, die Arbeit außerhalb des eigenen Hauses erfordern.
-
Der Dienstleisterbestand ist nirgends vollständig erfasst. Leasing- und Factoringhäuser arbeiten oft mit einem Kernbanksystem im Rechenzentrumsbetrieb, einer Handvoll Fachanwendungen für Objektverwaltung, Bonität und Inkasso, dazu Archiv, Post und Telefonie. Die Verträge liegen verteilt, und die Unterauftragsketten sind unbekannt. Das Informationsregister ist deshalb nicht die letzte Aufgabe, sondern die erste, weil es die Lücken sichtbar macht. Die Anleitung zum Informationsregister und die Vorlagen zur Dienstleisterabfrage sind dafür gedacht.
-
Die Vertragsanforderungen nach Artikel 30 brauchen den Dienstleister. Prüf- und Zugangsrechte, Weiterverlagerungsregeln, Kündigungsrechte und Ausstiegsunterstützung bekommt man nicht durch eine eigene Richtlinie, sondern nur durch eine Vertragsänderung. Bei einem großen Anbieter dauert das Monate, und die Verhandlungsposition eines Hauses mit wenigen Millionen Euro Jahresvolumen ist begrenzt. Ohne Verbund, der gesammelt verhandelt, bleibt nur der eigene Brief.
-
Die Meldefähigkeit muss technisch bestehen, bevor etwas passiert. Die Freischaltung als Melder für das Fachverfahren im MVP-Portal der BaFin ist ein eigener Vorgang mit eigener Laufzeit. Wer sie erst beantragt, wenn der Vorfall da ist, verpasst die Fristen. Diese Pflicht läuft, wie oben gezeigt, seit Januar 2025.
Eine sinnvolle Reihenfolge Erst die Meldefähigkeit herstellen, weil die Pflicht bereits läuft. Dann den Dienstleisterbestand erheben, weil er die Grundlage für Register, Verträge und Risikosicht ist. Dann den Rahmen nach Artikel 16 schreiben und vom Leitungsorgan genehmigen lassen. Die Tests zum Schluss, weil sie auf den Rahmen aufsetzen. Wer in dieser Reihenfolge arbeitet, hat zu jedem Zeitpunkt etwas Vorzeigbares.
Wie es weitergeht
Stand: 17. Oktober 2026 · Grundlagen:
BaFin,
Fragen und Antworten zu DORA: müssen auch KWG-Institute, die keine CRR-Kreditinstitute sind, die
Anforderungen der DORA erfüllen, mit dem Wortlaut von § 1a Absatz 2a und § 65a Absatz 3 KWG;
§ 1a KWG;
Verordnung (EU) 2022/2554,
insbesondere Artikel 3 Nummer 60, Artikel 16 und Kapitel III;
Delegierte Verordnung (EU) 2024/1774, Titel III;
Delegierte Verordnung (EU) 2024/1772
zu den Schwellenwerten für schwerwiegende Vorfälle;
BaFin,
Aufsichtsmitteilung vom 21. August 2025: Hinweise zu Artikel 16 DORA; BaFin, Jahresbericht
2025, für die Zahl der beaufsichtigten Finanzdienstleistungsinstitute.
Die Einschätzung, dass die Bilanzsummenschwelle für Kleinstunternehmen in diesem Marktsegment
regelmäßig überschritten wird, ist eine fachliche Einschätzung aus der Umsetzungspraxis und
keine amtliche Feststellung. Diese Seite ist ein fachlicher Hinweis und keine Rechtsberatung.
Prüfen Sie die Betroffenheit Ihres Hauses im Einzelfall.
Die Anleitungen auf dieser Seite reichen, um den Rahmen selbst aufzubauen. Wer den Katalog, die Register und das Meldewesen lieber in einer Anwendung führt, findet unter Software zur Umsetzung, was ich dafür anbiete.