Erst die Ebenen, dann die Liste
Wer zum ersten Mal in DORA hineinsieht, sucht die Antwort meist an der falschen Stelle. Das liegt am Aufbau des europäischen Rechts, und den sollte man einmal verstanden haben; danach findet man alles in Minuten statt in Stunden.
Stufe 1: die Verordnung
Verordnung (EU) 2022/2554, beschlossen von Parlament und Rat. Sie sagt, was zu tun ist: ein Risikomanagementrahmen, ein Register, Meldepflichten, Verträge mit bestimmten Inhalten. Sie bleibt dabei allgemein.
Stufe 2: RTS und ITS
Von den europäischen Aufsichtsbehörden entworfen, von der Kommission erlassen. Sie sagen, wie: welche Felder, welche Schwellen, welche Fristen. Ein RTS ist eine delegierte Verordnung und regelt Inhaltliches. Ein ITS ist eine Durchführungsverordnung und regelt Formulare und Verfahren.
Stufe 3: Leitlinien
Von den europäischen Aufsichtsbehörden herausgegeben. Sie sagen, wie die Regeln zu verstehen sind. Für Ihr Haus sind sie nicht unmittelbar verbindlich; die zuständigen Behörden müssen aber erklären, wenn sie ihnen nicht folgen, und tun es deshalb fast immer. In der Prüfung begegnen sie Ihnen als Erwartungshaltung.
Stufe 4: nationale Aufsicht
Die BaFin bestimmt nichts Inhaltliches mehr, aber den Weg: über welches Portal eingereicht wird, in welchem Zeitraum, mit welchen Formaten. Diese Angaben stehen in keiner Verordnung.
Stufe 5: Auslegung im Einzelfall
Antworten auf gestellte Fragen: die FAQ der BaFin und die Q&A der europäischen Aufsichtsbehörden. Sie setzen kein Recht und binden niemanden, sagen aber, wie die Aufsicht eine bestimmte Vorschrift liest. Und genau das entscheidet in der Prüfung. Bei jedem betroffenen Artikel stehen sie unter „Was die Aufsicht dazu sagt“.
Die Frage-und-Antwort-Bestände
Beide Bestände wachsen laufend. Wer eine Frage hat, die hier nicht beantwortet ist, sollte zuerst dort nachsehen und kann dort auch selbst eine Frage einreichen.
Nach Themen geordnet: Anwendungsbereich, IKT-Risikomanagement, Meldewesen, Informationsregister, TLPT, Überwachungsrahmen, Informationsaustausch. Die BaFin datiert ihre Antworten nicht; einzelne Antworten stammen erkennbar aus der Einführungsphase Anfang 2025 und nennen Fristen, die längst verstrichen sind. Lesen Sie sie deshalb mit einem Blick auf das Datum der Rechtsakte, die sie zitieren.
EBA, EIOPA und ESMA beantworten Auslegungsfragen im gemeinsamen Verfahren des Single Rulebook. Jede Antwort trägt ein Aktenzeichen, ein Datum und einen Status. Ein Teil der Antworten stammt ausdrücklich von der Europäischen Kommission und nicht von den Behörden. Bei einer Auslegungsfrage ist das ein Unterschied, auf den es ankommen kann. Die einzelnen Bestände liegen bei EBA, EIOPA und ESMA.
Was auf dieser Seite noch fehlt Von den Q&A der ESMA ist hier bisher fast nichts eingearbeitet: Ihr Bestand lässt sich nur über eine Oberfläche durchsuchen, die maschinell nicht auszulesen ist. Die Angaben bei den Artikeln stützen sich deshalb auf die Bestände von BaFin, EBA und EIOPA. Wer im Wertpapierbereich arbeitet, sollte bei der ESMA zusätzlich selbst nachsehen.
Der praktische Nutzen dieser Unterscheidung Wenn Sie eine Frage haben, die mit „welche Angaben“ oder „ab welcher Schwelle“ beginnt, steht die Antwort fast nie in DORA selbst, sondern in einem RTS oder ITS. Beginnt sie mit „wie ist das gemeint“, steht sie in einer Leitlinie. Und beginnt sie mit „bis wann muss ich einreichen“, steht sie bei der BaFin. Das erspart das Durchsuchen von hundertsechzig Artikeln.
Die Verordnung selbst
Vom 14. Dezember 2022, über die digitale operationale Resilienz im Finanzsektor. Veröffentlicht am 27.12.2022, anzuwenden seit dem 17. Januar 2025.
Die Artikel, die in der täglichen Arbeit vorkommen:
Tabelle seitlich wischbar
| Artikel | Worum es geht |
|---|---|
| Art. 3 Nr. 21 | Begriffsbestimmung der kritischen oder wichtigen Funktion: der Satz, an dem die ganze Einstufung hängt. |
| Art. 5–16 | IKT-Risikomanagement: Rahmen, Verantwortung des Leitungsorgans, Schutz, Erkennung, Reaktion, Wiederherstellung, Lernen. Art. 16 enthält den vereinfachten Rahmen. |
| Art. 17–23 | Behandlung und Meldung IKT-bezogener Vorfälle. |
| Art. 24–27 | Testen der digitalen operationalen Resilienz, einschließlich TLPT. |
| Art. 28 | Allgemeine Grundsätze zum Drittparteienrisiko. Absatz 3 regelt das Informationsregister und den Jahresbericht, Absatz 4 die Vorabbewertung, Absatz 8 die Ausstiegsstrategien. |
| Art. 29 | Bewertung des Konzentrationsrisikos auf Ebene des Unternehmens. |
| Art. 30 | Die Vertragsinhalte. Absatz 2 für alle Vereinbarungen, Absatz 3 zusätzlich bei kritischen oder wichtigen Funktionen. |
| Art. 31–44 | Überwachungsrahmen für kritische IKT-Drittdienstleister; betrifft die Anbieter, nicht Ihr Haus. |
Tipp zum Lesen: EUR-Lex zeigt oben rechts alle Sprachfassungen. Wenn eine deutsche Formulierung unklar ist, hilft ein Blick in die englische: Sie ist oft die Fassung, in der verhandelt wurde.
Die zwölf technischen Standards
Alle in Kraft. Nach Themen geordnet. Jede Nummer führt zum amtlichen deutschen Text bei EUR-Lex.
Tabelle seitlich wischbar
| Nummer | Gegenstand | Grundlage | Amtsblatt |
|---|---|---|---|
| 2024/1772 RTS |
Klassifizierung von Vorfällen Wann ist ein IKT-Vorfall schwerwiegend? Dieser RTS nennt die Kriterien und die Wesentlichkeitsschwellen: betroffene Kunden, Datenverlust, Dauer, geografische Ausbreitung, wirtschaftliche Auswirkung. Er entscheidet damit darüber, ob Sie melden müssen. |
Art. 18 Abs. 4 | 25.06.2024 i. K. 15.07.2024 |
| 2024/1773 RTS |
Leitlinie für Verträge zu kritischen Funktionen Was in der internen Leitlinie stehen muss, nach der Ihr Haus Verträge über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen schließt. Wer eine Auslagerungsrichtlinie überarbeitet, arbeitet mit diesem Text. |
Art. 28 Abs. 10 | 25.06.2024 i. K. 15.07.2024 |
| 2024/1774 RTS |
IKT-Risikomanagementrahmen Der große Text: Werkzeuge, Methoden, Prozesse und Richtlinien des IKT-Risikomanagements, also Zugriffsverwaltung, Verschlüsselung, Protokollierung und Änderungsmanagement. Enthält auch den vereinfachten Rahmen für kleinere Unternehmen, der oft übersehen wird. |
Art. 15 und Art. 16 Abs. 3 | 25.06.2024 i. K. 15.07.2024 |
| 2024/2956 ITS |
Standardvorlagen für das Informationsregister Die Meldebögen selbst, samt Anhängen: welche Felder es gibt, welche Werte zulässig sind und wie die Bögen zusammenhängen. Hier stehen auch die Dienstleistungsarten S01–S19. |
Art. 28 Abs. 9 | 02.12.2024 i. K. 22.12.2024 |
| 2024/1502 RTS |
Einstufung kritischer IKT-Drittdienstleister Nach welchen Kriterien die europäischen Aufsichtsbehörden einen Anbieter als kritisch einstufen und damit unter ihre unmittelbare Überwachung stellen. Für Ihr Haus vor allem dann wichtig, wenn ein Anbieter, den Sie nutzen, diesen Status bekommt. |
Art. 31 Abs. 6 | 30.05.2024 i. K. 19.06.2024 |
| 2024/1505 RTS |
Überwachungsgebühren Die Gebühren, die kritische IKT-Drittdienstleister an die federführende Überwachungsbehörde zahlen. Für Finanzunternehmen ohne praktische Bedeutung, hier nur der Vollständigkeit halber aufgeführt. |
Art. 43 Abs. 2 | 30.05.2024 i. K. 19.06.2024 |
| 2025/295 RTS |
Durchführung von Überwachungstätigkeiten Wie die Aufsicht ihre Überwachung kritischer Drittdienstleister durchführt. |
Art. 41 Abs. 2 | 13.02.2025 i. K. 05.03.2025 |
| 2025/301 RTS |
Inhalt und Fristen der Vorfallsmeldung Was in die Erst-, Zwischen- und Abschlussmeldung eines schwerwiegenden Vorfalls gehört und bis wann. Zusammen mit 2024/1772 der Kern des Meldewesens. |
Art. 20 Abs. 3 | 20.02.2025 i. K. 12.03.2025 |
| 2025/302 ITS |
Formulare für die Vorfallsmeldung Die Formulare und Verfahren zur Meldung. Das Gegenstück zu 2025/301: dort der Inhalt, hier das Formular. |
Art. 20 Abs. 4 | 20.02.2025 i. K. 12.03.2025 |
| 2025/420 RTS |
Gemeinsames Untersuchungsteam Zusammensetzung, Benennung und Arbeitsweise des gemeinsamen Untersuchungsteams der Aufsicht. |
Art. 41 Abs. 2 | 24.03.2025 i. K. 13.04.2025 |
| 2025/532 RTS |
Untervergabe bei kritischen Funktionen Was Ihr Haus bestimmen und bewerten muss, wenn ein Dienstleister Leistungen für eine kritische oder wichtige Funktion weitergibt. Dieser RTS macht aus der Frage nach der Unterauftragskette eine konkrete Pflicht. |
Art. 30 Abs. 5 | 02.07.2025 i. K. 22.07.2025 |
| 2025/1190 RTS |
Bedrohungsorientierte Penetrationstests (TLPT) Welche Finanzunternehmen TLPT durchführen müssen, und nach welcher Methodik. Betrifft nur einen kleinen Kreis; wer betroffen ist, weiß es in der Regel von seiner Aufsicht. |
Art. 26 Abs. 11 | 18.06.2025 i. K. 08.07.2025 |
Welche davon Sie wirklich brauchen Für ein durchschnittliches Institut sind es vier: 2024/2956 für das Register, 2024/1774 für den Risikomanagementrahmen, 2024/1772 zusammen mit 2025/301 für das Meldewesen. Wer kritische Funktionen ausgelagert hat, kommt um 2024/1773 und 2025/532 nicht herum. Der Rest betrifft die Aufsicht über die großen Anbieter. Gut zu wissen, dass es ihn gibt, mehr nicht.
Leitlinien und Leitfäden: was nicht verbindlich ist
Diese Dokumente binden Ihr Haus nicht unmittelbar. Sie zu kennen lohnt trotzdem: Sie sagen, wie die Aufsicht die Verordnung liest, und danach wird geprüft. Wo sich eine Leitlinie an die Behörden richtet und nicht an Sie, steht es dabei.
Ergangen zu Artikel 32 Absatz 7 DORA. Sie regeln, wie die europäischen Aufsichtsbehörden und die nationalen Behörden bei der Überwachung kritischer IKT-Drittdienstleister zusammenarbeiten und Informationen austauschen. Adressat sind die Behörden, nicht Ihr Haus. Lesenswert, wenn Sie wissen wollen, auf welchem Weg eine Feststellung bei einem Anbieter zu Ihrer Aufsicht gelangt.
Beschreibt für Außenstehende, wie der Überwachungsrahmen der Artikel 31 bis 44 praktisch abläuft: Einstufung, Überwachungsplan, Untersuchungen, Empfehlungen. Das nützlichste Dokument für einen IKT-Dienstleister, der wissen will, was auf ihn zukäme, und für ein Finanzunternehmen, das die Kette des Artikels 42 verstehen will.
Die Liste nach Artikel 31 Absatz 9 DORA. Die erste Benennung haben die europäischen Aufsichtsbehörden am 18. November 2025 veröffentlicht; die Liste wird jährlich aktualisiert. Der eine Abgleich, den jedes Haus einmal im Jahr machen sollte: diese Liste gegen das eigene Informationsregister. Auf derselben Seite stehen auch das Mandat des Überwachungsforums und die Absichtserklärung zur Zusammenarbeit mit dem Vereinigten Königreich.
Vom Dezember 2024, kurz vor dem Geltungsbeginn. Sie sagt, was die Behörden ab dem 17. Januar 2025 erwarteten und wie mit den zu diesem Zeitpunkt noch nicht erlassenen technischen Standards umzugehen war. Heute vor allem als Zeitdokument nützlich und als Beleg dafür, dass die Aufsicht die Lücke gesehen hat.
Die Frage, die am häufigsten gestellt wird: Gelten die alten EBA-Leitlinien EBA/GL/2019/04 noch? Antwort: nur noch in einem schmalen Rest. Die EBA hat ihren Anwendungsbereich mit EBA/GL/2025/02 auf die Unternehmen beschränkt, die unter DORA fallen. Inhaltlich bleiben davon die Anforderungen aus der Zahlungsdiensterichtlinie zum Verhältnis zwischen Zahlungsdienstleister und Nutzer. Alles Übrige ist in DORA und der Delegierten Verordnung (EU) 2024/1774 aufgegangen.
Die zweithäufigste Frage: Sind die Auslagerungsleitlinien durch DORA erledigt? Nein. Sie gelten seit dem 30. September 2019, und die EBA führt sie auf ihrer Seite weiterhin als anwendbar. Für IKT-Dienstleistungen gehen die Regeln der Artikel 28 bis 30 DORA vor; für alles andere, was ein Institut auslagert, bleiben sie der Maßstab. Eine Überarbeitung mit Blick auf nicht-IKT-bezogene Leistungen läuft.
Praktisch heißt das: Ein Haus braucht weiterhin ein Auslagerungsmanagement, aber zwei Regelwerke darin und eine Regel, nach der entschieden wird, welche Leistung in welchen Topf gehört.
Worauf Sie sich nicht berufen können Eine Leitlinie begründet keine Pflicht und nimmt Ihnen keine ab. Wer im Prüfungsgespräch sagt, eine Maßnahme sei nach den EBA-Leitlinien nicht erforderlich, argumentiert auf der falschen Ebene, wenn dieselbe Maßnahme in einem Artikel der Verordnung steht. Umgekehrt ist es gut begründet, eine Leitlinie als Maßstab zu nehmen, wo die Verordnung schweigt, und das dann auch so aufzuschreiben.
Wo die Aufsicht schreibt
Diese Adressen habe ich geprüft. Zwei Warnungen vorweg, weil mich die beiden Fehler selbst Zeit gekostet haben.
Der Einstieg für alles Nationale: IKT-Risikomanagement, Meldewesen, Resilienztests, Drittparteienrisiko, Überwachungsrahmen.
Achtung: Die Adressen der BaFin unterscheiden Groß- und Kleinschreibung. …/dora_node.html führt ins Leere, …/DORA_node.html funktioniert. Wenn ein Verweis auf die BaFin nicht geht, ist meistens das der Grund.
Die Seite, auf der die Einreichung steht: Zeitraum, Format, Fachverfahren, Excel-Vorlage, Fragen und Antworten. Wenn Sie nur eine Adresse der BaFin als Lesezeichen setzen, dann diese. Hier wird zu Jahresbeginn der Einreichungszeitraum veröffentlicht.
Die Bankenaufsichtsbehörde führt hier die technischen Standards, Konsultationen und begleitenden Dokumente. Nützlich vor allem für die Entwurfsfassungen samt Begründung: Sie erklären oft, warum eine Regel so lautet, wie sie lautet.
Achtung: Der Pfad /activities/single-rulebook/…/operational-resilience, der in vielen Fachartikeln verlinkt wird, ist tot. Der oben genannte funktioniert.
Der Teil, der die kritischen IKT-Drittdienstleister betrifft: Einstufung, federführende Überwachungsbehörde, Untersuchungen. Relevant, wenn einer Ihrer Anbieter diesen Status bekommt.
Wie ich diese Seite pflege
Jede Nummer und jede Adresse auf dieser Seite habe ich einzeln bei EUR-Lex beziehungsweise bei der Behörde selbst nachgeschlagen, nicht aus einer Sekundärquelle übernommen. Das klingt pedantisch, hat aber einen Grund: Bei der Vorbereitung dieser Seite fand ich in zwei verbreiteten Übersichten falsche Angaben, darunter ein Inkrafttretensdatum, das vor dem Erlassdatum lag. Wer so etwas ungeprüft in eine Präsentation übernimmt, erklärt es im Zweifel einem Prüfer.
Wenn Ihnen hier ein Fehler auffällt oder ein Verweis nicht mehr geht: Schreiben Sie mir. Das ist die schnellste Art, diese Seite besser zu machen.
Stand: 28. September 2026 · Alle dreizehn Verordnungsnummern und alle vier Behördenadressen an diesem Tag geprüft. Die deutschen Titel sind sinngemäß verkürzt; maßgeblich ist der amtliche Wortlaut im verlinkten Text. Diese Übersicht ist ein fachlicher Hinweis und keine Rechtsberatung.