Wen dieser Artikel betrifft
- VVoller Rahmen
- 16Artikel 16
- IKTIKT-Dienstleister
Verordnung (EU) 2022/2554 · Kapitel I, Artikel 1 · gilt seit dem
17. Januar 2025 · Amtlicher Text bei EUR-Lex
(CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026
Wortlaut
Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.
(1) Um ein hohes gemeinsames Niveau an digitaler operationaler Resilienz zu erreichen, werden in dieser Verordnung einheitliche Anforderungen für die Sicherheit von Netzwerk- und Informationssystemen, die die Geschäftsprozesse von Finanzunternehmen unterstützen, wie folgt festgelegt:
- ¶a)auf Finanzunternehmen anwendbare Anforderungen in Bezug auf:
- ¶i)Risikomanagement im Bereich der Informations- und Kommunikationstechnologie (IKT);
- ¶ii)Meldung schwerwiegender IKT-bezogener Vorfälle und — auf freiwilliger Basis — erheblicher Cyberbedrohungen an die zuständigen Behörden;
- ¶iii)Meldung schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfälle durch in Artikel 2 Absatz 1 Buchstaben a bis d aufgeführte Finanzunternehmen an die zuständigen Behörden;
- ¶iv)Tests der digitalen operationalen Resilienz;
- ¶v)Austausch von Informationen und Erkenntnissen in Bezug auf Cyberbedrohungen und Schwachstellen;
- ¶vi)Maßnahmen für das solide Management des IKT-Drittparteienrisikos;
- ¶b)Anforderungen in Bezug auf vertragliche Vereinbarungen zwischen IKT-Drittdienstleistern und Finanzunternehmen;
- ¶c)Vorschriften über die Einrichtung und Ausführung des Überwachungsrahmens für kritische IKT-Drittdienstleister bei der Erbringung von Dienstleistungen für Finanzunternehmen;
- ¶d)Vorschriften über die Zusammenarbeit zwischen zuständigen Behörden und Vorschriften über die Beaufsichtigung und Durchsetzung aller von dieser Verordnung erfassten Sachverhalte durch zuständige Behörden.
(2) In Bezug auf Finanzunternehmen, die gemäß den nationalen Vorschriften zur Umsetzung von Artikel 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Unternehmen ermittelt wurden, gilt diese Verordnung für die Zwecke von Artikel 4 der genannten Richtlinie als sektorspezifischer Rechtsakt der Union.
(3) Diese Verordnung lässt die Zuständigkeiten der Mitgliedstaaten für grundlegende Funktionen des Staates in Bezug auf die öffentliche Sicherheit, die Landesverteidigung und die nationale Sicherheit im Einklang mit dem Unionsrecht unberührt.
Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.
Worum es geht
Artikel 1 sagt in vier Buchstaben, woraus DORA besteht: Anforderungen an Finanzunternehmen selbst, Anforderungen an ihre Verträge mit IKT-Dienstleistern, der Überwachungsrahmen für kritische Dienstleister und die Regeln für die Aufsicht.
Der praktisch wichtigste Satz steht in Absatz 2. Für Finanzunternehmen, die nach nationalem Recht als wesentliche oder wichtige Unternehmen im Sinne der NIS-2-Richtlinie gelten, ist DORA der sektorspezifische Rechtsakt. Das entscheidet darüber, welches Regelwerk gilt, wenn zwei gleichzeitig zu passen scheinen.
In der Praxis
Die vier Buchstaben sind die Gliederung des ganzen Werks
Buchstabe a betrifft das Haus selbst: IKT-Risikomanagement, Vorfallmeldung, Testen, Informationsaustausch. Buchstabe b betrifft die Verträge. Buchstabe c betrifft die kritischen Dienstleister; er richtet sich nicht an Ihr Haus, sondern an die Aufsicht und an die Anbieter. Buchstabe d regelt die Behörden.
Wer die vier auseinanderhält, ordnet jede neue Anforderung, die auf den Tisch kommt, in Sekunden ein. Das ist keine akademische Übung: Ein großer Teil der Verunsicherung in Umsetzungsprojekten kommt daher, dass Pflichten der Aufsicht für eigene Pflichten gehalten werden.
DORA und NIS-2: eine Frage, die in fast jedem Haus einmal aufkommt
Nach Absatz 2 gilt DORA für die Zwecke des Artikels 4 der NIS-2-Richtlinie als sektorspezifischer Rechtsakt der Union. Wo DORA und NIS-2 dieselbe Frage regeln, greift für Finanzunternehmen also DORA.
Das heißt nicht, dass NIS-2 für Sie ohne Bedeutung ist. Es heißt, dass Sie die Doppelung nicht doppelt umsetzen müssen, und dass Sie diese Einordnung schriftlich festhalten sollten. Wer sie nicht dokumentiert hat, diskutiert sie in jeder Prüfung neu. Für Ihre Dienstleister außerhalb des Finanzsektors kann NIS-2 dagegen sehr wohl der maßgebliche Rahmen sein; das ist ein Punkt für die Vorabbewertung.
Absatz 3 ist kein Hintertürchen
Die Unberührtheitsklausel für öffentliche Sicherheit, Landesverteidigung und nationale Sicherheit richtet sich an die Mitgliedstaaten, nicht an einzelne Häuser. Sie taugt nicht als Argument dafür, eine Anforderung im eigenen Haus nicht anzuwenden.
Was die Aufsicht dazu sagt
1 Antwort aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.
Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.
BaFinIn welchem Verhältnis stehen die Regelungen von DORA zur NIS-2-Richtlinie?
DORA ist der sektorspezifische Rechtsakt und geht für Finanzunternehmen den NIS-2-Vorgaben zum Risikomanagement und zum Meldewesen vor.
Originalantwort bei der BaFin ↗
Erfasst am 3. Oktober 2026
Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.
Was am Ende vorliegen muss
Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:
- Eine kurze, datierte schriftliche Einordnung, in welchem Verhältnis DORA und NIS-2 für Ihr Haus stehen, vom Leitungsorgan zur Kenntnis genommen
- Bei Dienstleistern außerhalb des Finanzsektors: die Feststellung, welcher Rahmen für diesen Anbieter gilt
Häufige Fragen zu Artikel 1
Was regelt DORA?
Nach Artikel 1 Absatz 1 DORA vier Bereiche: Anforderungen an Finanzunternehmen zum IKT-Risikomanagement, zur Meldung schwerwiegender IKT-bezogener Vorfälle, zum Testen der digitalen operationalen Resilienz und zum Informationsaustausch; Anforderungen an vertragliche Vereinbarungen mit IKT-Drittdienstleistern; den Überwachungsrahmen für kritische IKT-Drittdienstleister; sowie Vorschriften über die Zusammenarbeit, Beaufsichtigung und Durchsetzung durch die zuständigen Behörden.
Gilt für Finanzunternehmen DORA oder NIS-2?
Nach Artikel 1 Absatz 2 DORA gilt DORA für Finanzunternehmen, die nach den nationalen Umsetzungsvorschriften zu Artikel 3 der NIS-2-Richtlinie als wesentliche oder wichtige Unternehmen ermittelt wurden, für die Zwecke des Artikels 4 jener Richtlinie als sektorspezifischer Rechtsakt der Union.
Weiter
- Artikel 2: gilt DORA für mein Haus?
- Artikel 3: die 65 Begriffsbestimmungen
- Alle Rechtsquellen im Überblick
Stand: 28. September 2026