DORA-Manager

Die Verordnung · Kapitel I: Allgemeine Bestimmungen

Artikel 3

Begriffsbestimmungen

Wen dieser Artikel betrifft

  • VVoller Rahmen
  • 16Artikel 16
  • IKTIKT-Dienstleister

Verordnung (EU) 2022/2554 · Kapitel I, Artikel 3 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:

  • 1.„digitale operationale Resilienz“ die Fähigkeit eines Finanzunternehmens, seine operative Integrität und Betriebszuverlässigkeit aufzubauen, zu gewährleisten und zu überprüfen, indem es entweder direkt oder indirekt durch Nutzung der von IKT-Drittdienstleistern bereitgestellten Dienste das gesamte Spektrum an IKT-bezogenen Fähigkeiten sicherstellt, die erforderlich sind, um die Sicherheit der Netzwerk- und Informationssysteme zu gewährleisten, die von einem Finanzunternehmen genutzt werden und die kontinuierliche Erbringung von Finanzdienstleistungen und deren Qualität, einschließlich bei Störungen, unterstützen;
  • 2.„Netzwerk- und Informationssystem“ ein Netz- und Informationssystem im Sinne von Artikel 6 Nummer 1 der Richtlinie (EU) 2022/2555;
  • 3.„IKT-Altsystem“ ein IKT-System, das das Ende seines Lebenszyklus (Ende seiner Lebensdauer) erreicht hat, aus technologischen oder wirtschaftlichen Gründen nicht für Upgrades oder Fehlerbehebungen in Frage kommt oder nicht mehr von seinem Anbieter oder einem IKT-Drittdienstleister unterstützt wird, das allerdings weiterhin genutzt wird und die Funktionen des Finanzunternehmens unterstützt;
  • 4.„Sicherheit von Netzwerk- und Informationssystemen“ die Sicherheit von Netz- und Informationssystemen im Sinne von Artikel 6 Nummer 2 der Richtlinie (EU) 2022/2555;
  • 5.„IKT-Risiko“ jeden vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, der bei Eintritt durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld die Sicherheit der Netzwerk- und Informationssysteme, jeglicher technologieabhängiger Instrumente oder Prozesse, von Geschäften und Prozessen oder der Bereitstellung von Diensten beeinträchtigen kann.
  • 6.„Informationsasset“ eine Sammlung materieller oder immaterieller Informationen, die geschützt werden sollten;
  • 7.„IKT-Asset“ eine Software oder Hardware in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt;
  • 8.„IKT-bezogener Vorfall“ ein von dem Finanzunternehmen nicht geplantes Ereignis bzw. eine entsprechende Reihe verbundener Ereignisse, das bzw. die die Sicherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die vom Finanzunternehmen erbrachten Dienstleistungen hat;
  • 9.„zahlungsbezogener Betriebs- oder Sicherheitsvorfall“ ein von den in Artikel 2 Absatz 1 Buchstaben a bis d aufgeführten Finanzunternehmen nicht geplantes Ereignis bzw. eine entsprechende Reihe verbundener Ereignisse, unabhängig davon, ob es sich um IKT-bezogene Vorfälle handelt oder nicht, das bzw. die nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit zahlungsbezogener Daten oder auf die vom Finanzunternehmen bereitgestellten zahlungsbezogenen Dienste hat;
  • 10.„schwerwiegender IKT-bezogener Vorfall“ einen IKT-Vorfall, der umfassende nachteilige Auswirkungen auf die Netzwerk- und Informationssysteme hat, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen;
  • 11.„schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfall“ einen zahlungsbezogenen Betriebs- oder Sicherheitsvorfall, der umfassende nachteilige Auswirkungen auf die bereitgestellten zahlungsbezogenen Dienste hat;
  • 12.„Cyberbedrohung“ eine Cyberbedrohung im Sinne von Artikel 2 Nummer 8 der Verordnung (EU) 2019/881;
  • 13.„erhebliche Cyberbedrohung“ eine Cyberbedrohung, deren technische Merkmale darauf hindeuten, dass sie das Potenzial haben könnte, einen schwerwiegenden IKT-bezogenen Vorfall oder einen schwerwiegenden zahlungsbezogenen Betriebs- oder Sicherheitsvorfall zu verursachen;
  • 14.„Cyberangriff“ einen böswilligen IKT-bezogenen Vorfall, der auf den Versuch eines Angreifers zurückgeht, einen Vermögenswert zu zerstören, freizulegen, zu verändern, zu deaktivieren, zu entwenden oder auf unberechtigte Weise auf diesen Vermögenswert zuzugreifen oder ihn auf unberechtigte Weise zu nutzen;
  • 15.„Bedrohungsanalyse“ Informationen, die aggregiert, umgewandelt, analysiert, ausgewertet oder erweitert wurden, um den notwendigen Kontext für die Entscheidungsfindung zu schaffen und ein relevantes und ausreichendes Verständnis für die Abmilderung der Auswirkungen eines IKT-bezogenen Vorfalls oder einer Cyberbedrohung zu ermöglichen, einschließlich der technischen Einzelheiten eines Cyberangriffs, der für den Angriff verantwortlichen Personen und ihres Modus Operandi und ihrer Beweggründe;
  • 16.„Schwachstelle“ eine Schwachstelle, Empfindlichkeit oder Fehlfunktion eines Vermögenswerts, eines Systems, eines Prozesses oder einer Kontrolle, die ausgenutzt werden kann;
  • 17.„bedrohungsorientierte Penetrationstests (TLPT — Threat-Led Penetration Testing)“ einen Rahmen, der Taktik, Techniken und Verfahren realer Angreifer, die als echte Cyberbedrohung empfunden werden, nachbildet und einen kontrollierten, maßgeschneiderten, erkenntnisgestützten (Red-Team-) Test der kritischen Live-Produktionssysteme des Finanzunternehmens ermöglicht;
  • 18.„IKT-Drittparteienrisiko“ ein IKT-bezogenes Risiko, das für ein Finanzunternehmen im Zusammenhang mit dessen Nutzung von IKT-Dienstleistungen entstehen kann, die von IKT-Drittdienstleistern oder deren Unterauftragnehmern, einschließlich über Vereinbarungen zur Auslagerung, bereitgestellt werden;
  • 19.„IKT-Drittdienstleister“ ein Unternehmen, das IKT-Dienstleistungen bereitstellt;
  • 20.„gruppeninterner IKT-Dienstleister“ ein Unternehmen, das Teil einer Finanzgruppe ist und überwiegend IKT-Dienstleistungen für Finanzunternehmen derselben Gruppe oder für Finanzunternehmen, die demselben institutsbezogenen Sicherungssystem angehören, bereitstellt, einschließlich deren Mutterunternehmen, Tochterunternehmen und Zweigniederlassungen oder anderer Unternehmen, die in gemeinsamem Eigentum oder unter gemeinsamer Kontrolle stehen;
  • 21.„IKT-Dienstleistungen“ digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung und Hardwaredienstleistungen, wozu auch technische Unterstützung durch den Hardwareanbieter mittels Software- oder Firmware-Aktualisierungen gehört, mit Ausnahme herkömmlicher analoger Telefondienste;
  • 22.„kritische oder wichtige Funktion“ eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen eines Finanzunternehmens oder seiner sonstigen Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde;
  • 23.„kritischer IKT-Drittdienstleister“ einen IKT-Drittdienstleister, der gemäß Artikel 31 als kritisch eingestuft wurde;
  • 24.„IKT-Drittdienstleister mit Sitz in einem Drittland“ einen IKT-Drittdienstleister, bei dem es sich um eine in einem Drittland niedergelassene juristische Person handelt, die mit einem Finanzunternehmen eine vertragliche Vereinbarung über die Bereitstellung von IKT-Dienstleistungen geschlossen hat;
  • 25.„Tochterunternehmen“ ein Tochterunternehmen im Sinne von Artikel 2 Nummer 10 und Artikel 22 der Richtlinie 2013/34/EU;
  • 26.„Gruppe“ eine Gruppe im Sinne von Artikel 2 Nummer 11 der Richtlinie 2013/34/EU;
  • 27.„Mutterunternehmen“ ein Mutterunternehmen im Sinne von Artikel 2 Nummer 9 und Artikel 22 der Richtlinie 2013/34/EU;
  • 28.„IKT-Unterauftragnehmer mit Sitz in einem Drittland“ einen IKT-Unterauftragnehmer, bei dem es sich um eine in einem Drittland niedergelassene juristische Person handelt, die mit einem IKT-Drittdienstleister oder einem IKT-Drittdienstleister mit Sitz in einem Drittland eine vertragliche Vereinbarung geschlossen hat;
  • 29.„IKT-Konzentrationsrisiko“ die Exposition gegenüber einzelnen oder mehreren verbundenen kritischen IKT-Drittdienstleistern, die zu einer gewissen Abhängigkeit von diesen Dienstleistern führt, sodass die Nichtverfügbarkeit, der Ausfall oder sonstige Defizite dieser Dienstleister die Fähigkeit eines Finanzunternehmens gefährden könnten, kritische oder wichtige Funktionen zu erfüllen, oder bei dem Finanzunternehmen andere Formen nachteiliger Auswirkungen, einschließlich großer Verluste, herbeiführen oder die finanzielle Stabilität der Union insgesamt gefährden könnten;
  • 30.„Leitungsorgan“ ein Leitungsorgan im Sinne von Artikel 4 Absatz 1 Nummer 36 der Richtlinie 2014/65/EU, von Artikel 3 Absatz 1 Nummer 7 der Richtlinie 2013/36/EU, von Artikel 2 Absatz 1 Buchstabe s der Richtlinie 2009/65/EG des Europäischen Parlaments und des Rates (31), von Artikel 2 Absatz 1 Nummer 45 der Verordnung (EU) Nr. 909/2014, von Artikel 3 Absatz 1 Nummer 20 der Verordnung (EU) 2016/1011 sowie im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten oder die entsprechenden Personen, die das Unternehmen tatsächlich leiten oder im Einklang mit dem einschlägigen Unionsrecht oder nationalen Recht Schlüsselfunktionen wahrnehmen;
  • 31.„Kreditinstitut“ ein Kreditinstitut im Sinne von Artikel 4 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates (32);
  • 32.„nach der Richtlinie 2013/36/EU ausgenommenes Institut“ eine in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU aufgeführte Einrichtung;
  • 33.„Wertpapierfirma“ eine Wertpapierfirma im Sinne von Artikel 4 Absatz 1 Nummer 1 der Richtlinie 2014/65/EU;
  • 34.„kleine und nicht verflochtene Wertpapierfirma“ eine Wertpapierfirma, die die in Artikel 12 Absatz 1 der Verordnung (EU) 2019/2033 des Europäischen Parlaments und des Rates (33) genannten Bedingungen erfüllt;
  • 35.„Zahlungsinstitut“ ein Zahlungsinstitut im Sinne von Artikel 4 Nummer 4 der Richtlinie (EU) 2015/2366;
  • 36.„nach der Richtlinie (EU) 2015/2366 ausgenommenes Zahlungsinstitut“ ein Zahlungsinstitut, für das eine Ausnahme nach Artikel 32 Absatz 1 der Richtlinie (EU) 2015/2366 gilt;
  • 37.„Kontoinformationsdienstleister“ einen Kontoinformationsdienstleister im Sinne von Artikel 33 Absatz 1 der Richtlinie (EU) 2015/2366;
  • 38.„E-Geld-Institut“ ein E-Geld-Institut im Sinne von Artikel 2 Nummer 1 der Richtlinie 2009/110/EG;
  • 39.„nach der Richtlinie 2009/110/EG ausgenommenes E-Geld-Institut“ ein E-Geld-Institut, für das eine Ausnahme nach Artikel 9 Absatz 1 der Richtlinie 2009/110/EG gilt;
  • 40.„zentrale Gegenpartei“ eine zentrale Gegenpartei im Sinne von Artikel 2 Nummer 1 der Verordnung (EU) Nr. 648/2012;
  • 41.„Transaktionsregister“ ein Transaktionsregister im Sinne von Artikel 2 Nummer 2 der Verordnung (EU) Nr. 648/2012;
  • 42.„Zentralverwahrer“ ein Zentralverwahrer im Sinne von Artikel 2 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 909/2014;
  • 43.„Handelsplatz“ einen Handelsplatz im Sinne von Artikel 4 Absatz 1 Nummer 24 der Richtlinie 2014/65/EU.
  • 44.„Verwalter alternativer Investmentfonds“ einen Verwalter alternativer Investmentfonds im Sinne von Artikel 4 Absatz 1 Buchstabe b der Richtlinie 2011/61/EU;
  • 45.„Verwaltungsgesellschaft“ eine Verwaltungsgesellschaft im Sinne von Artikel 2 Absatz 1 Buchstabe b der Richtlinie 2009/65/EG.
  • 46.„Datenbereitstellungsdienst“ einen in Artikel 2 Absatz 1 Nummern 34 bis 36 der Verordnung (EU) Nr. 600/2014 genannten Datenbereitstellungsdienst im Sinne der genannten Verordnung;
  • 47.„Versicherungsunternehmen“ ein Versicherungsunternehmen im Sinne von Artikel 13 Nummer 1 der Richtlinie 2009/138/EG;
  • 48.„Rückversicherungsunternehmen“ ein Rückversicherungsunternehmen im Sinne von Artikel 13 Nummer 4 der Richtlinie 2009/138/EG;
  • 49.„Versicherungsvermittler“ einen Versicherungsvermittler im Sinne von Artikel 2 Absatz 1 Nummer 3 der Richtlinie (EU) 2016/97 des Europäischen Parlaments und des Rates (34);
  • 50.„Versicherungsvermittler in Nebentätigkeit“ einen Versicherungsvermittler in Nebentätigkeit im Sinne von Artikel 2 Absatz 1 Nummer 4 der Richtlinie (EU) 2016/97;
  • 51.„Rückversicherungsvermittler“ einen Rückversicherungsvermittler im Sinne von Artikel 2 Absatz 1 Nummer 5 der Richtlinie (EU) 2016/97;
  • 52.„Einrichtung der betrieblichen Altersversorgung“ eine Einrichtung der betrieblichen Altersversorgung im Sinne von Artikel 6 Nummer 1 der Richtlinie (EU) 2016/2341;
  • 53.„kleine Einrichtung der betrieblichen Altersversorgung“ eine Einrichtung der betrieblichen Altersversorgung, die Altersversorgungssysteme mit insgesamt weniger als 100 Versorgungsanwärtern betreibt;
  • 54.„Ratingagentur“ eine Ratingagentur im Sinne von Artikel 3 Absatz 1 Buchstabe b der Verordnung (EG) Nr. 1060/2009;
  • 55.„Anbieter von Krypto-Dienstleistungen“ einen Anbieter von Krypto-Dienstleistungen im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten;
  • 56.„Emittent wertreferenzierter Token“ einen Emittenten „wertreferenzierter Token“ im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten;
  • 57.„Administrator kritischer Referenzwerte“ einen Administrator „kritischer Referenzwerte“ im Sinne von Artikel 3 Absatz 1 Nummer 25 der Verordnung (EU) 2016/1011;
  • 58.„Schwarmfinanzierungsdienstleister“ einen Schwarmfinanzierungsdienstleister im Sinne von Artikel 2 Absatz 1 Buchstabe e der Verordnung (EU) 2020/1503 des Europäischen Parlaments und des Rates (35);
  • 59.„Verbriefungsregister“ ein Verbriefungsregister im Sinne von Artikel 2 Nummer 23 der Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates (36);
  • 60.„Kleinstunternehmen“ ein Finanzunternehmen, bei dem es sich nicht um einen Handelsplatz, eine zentrale Gegenpartei, ein Transaktionsregister oder einen Zentralverwahrer handelt, das weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR nicht überschreitet;
  • 61.„federführende Überwachungsbehörde“ die gemäß Artikel 31 Absatz 1 Buchstabe b dieser Verordnung benannte Europäische Aufsichtsbehörde;
  • 62.„Gemeinsamer Ausschuss“ den jeweils in Artikel 54 der Verordnung (EU) Nr. 1093/2010, der Verordnung (EU) Nr. 1094/2010 und der Verordnung (EU) Nr. 1095/2010 genannten Ausschuss;
  • 63.„Kleinunternehmen“ ein Finanzunternehmen, das 10 oder mehr, aber weniger als 50 Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR überschreitet, nicht jedoch 10 Mio. EUR;
  • 64.„mittleres Unternehmen“ ein Finanzunternehmen, das kein Kleinunternehmen ist, das weniger als 250 Personen beschäftigt und dessen Jahresumsatz 50 Mio. EUR und/oder dessen Jahresbilanzsumme 43 Mio. EUR nicht überschreitet;
  • 65.„staatliche Behörde“ jede staatliche Stelle oder sonstige Stelle der öffentlichen Verwaltung, einschließlich der nationalen Zentralbanken.

Neben jedem Absatz steht ein . Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 3 enthält 65 Begriffsbestimmungen. Jede ist hier einzeln verlinkbar, etwa Nummer 22 für die kritische oder wichtige Funktion.

Diese Seite ist kein Glossar zum Durchlesen, sondern zum Nachschlagen. Vier Bestimmungen tragen dabei mehr Gewicht als die übrigen 61: sie entscheiden darüber, welche Verträge Sie erfassen, welche Funktionen Sie einstufen und in welcher Tiefe Sie arbeiten müssen.

In der Praxis

Nummer 21: „IKT-Dienstleistungen“, der weiteste Begriff der Verordnung

Erfasst sind digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung und Hardwaredienstleistungen samt technischer Unterstützung durch Software- oder Firmware-Aktualisierungen. Ausgenommen sind allein herkömmliche analoge Telefondienste.

Wer diese Definition ernst nimmt, erfasst deutlich mehr Verträge als erwartet: Wartung mit Firmware-Pflege, Fernwartungszugänge, Druckdienstleister mit Datenanlieferung, Archivdienste. Das Merkmal ist dauerhaft: eine einmalige Projektleistung ist etwas anderes als ein laufender Betrieb. Genau an dieser Grenze entstehen die Diskussionen, und genau dort sollte eine Hausdefinition mit Beispielen stehen.

Nummer 22: die kritische oder wichtige Funktion hat zwei Tore, keine Abwägung

Die Definition hat zwei Teile, die durch „oder“ verbunden sind: erhebliche Beeinträchtigung der finanziellen Leistungsfähigkeit, Solidität oder Fortführung der Geschäftstätigkeit oder erhebliche Beeinträchtigung der fortdauernden Einhaltung von Zulassungsbedingungen und sonstigen Pflichten nach dem Finanzdienstleistungsrecht.

Ein Tor genügt. Das ist der häufigste Fehler in Einstufungen: Es wird abgewogen, gewichtet, eine Punktzahl gebildet, und dabei verschwindet, dass schon der zweite Teil allein ausreicht. Funktionen, an denen die aufsichtliche Meldung hängt, sind darüber oft kritisch, auch wenn kein Kunde etwas merken würde.

Nummer 19 und 20: jeder Anbieter ist Dritter, auch der eigene Konzern

„IKT-Drittdienstleister“ ist nach Nummer 19 schlicht „ein Unternehmen, das IKT-Dienstleistungen bereitstellt“. Keine Schwelle, keine Größe, keine Wesentlichkeit. Und Nummer 20 erfasst ausdrücklich den gruppeninternen IKT-Dienstleister, einschließlich der Rechenzentren eines institutsbezogenen Sicherungssystems.

Damit ist eine Frage entschieden, die in Verbundstrukturen gern offen gelassen wird: Der Dienstleister aus dem eigenen Verbund ist kein Sonderfall, der aus der Steuerung herausfällt. Er ist ein Dienstleister mit Vertrag, Registereintrag und Einstufung.

Nummer 60, 63 und 64: die Größenklassen, die über die Tiefe entscheiden

Kleinstunternehmen: weniger als zehn Personen und höchstens 2 Mio. EUR Umsatz oder Bilanzsumme, dazu kein Handelsplatz, keine zentrale Gegenpartei, kein Transaktionsregister, kein Zentralverwahrer. Kleinunternehmen: 10 bis unter 50 Personen, über 2 bis 10 Mio. EUR. Mittleres Unternehmen: unter 250 Personen, bis 50 Mio. EUR Umsatz und/oder 43 Mio. EUR Bilanzsumme.

Diese Zahlen sind keine Formalie. An ihnen hängen Erleichterungen in mehreren Artikeln und die Sonderregelung für Kleinstunternehmen am Ende des Artikels 30 Absatz 3. Rechnen Sie sie einmal aus, datieren Sie das Ergebnis, und prüfen Sie es jährlich nach.

Was die Definitionen nicht leisten

Ein großer Teil der 65 Bestimmungen verweist auf andere Rechtsakte: MiFID II, CRR, Solvabilität II, NIS-2, den Cybersicherheitsrechtsakt. Wer den DORA-Wortlaut liest und den Verweis nicht nachliest, hat die Definition nicht gelesen.

Deshalb steht bei jeder Nummer hier der amtliche Wortlaut und nicht meine Zusammenfassung. Eine Hausdefinition darf und soll konkreter sein als die Verordnung, aber sie muss erkennbar auf die Nummer zurückführen, aus der sie abgeleitet ist.

Was die Aufsicht dazu sagt

32 Antworten aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.

Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.

BaFinBeziehen sich „kritische oder wichtige Funktionen“ nur auf das Schutzziel Verfügbarkeit?

Nein. Der Begriff knüpft an die Folgen eines Ausfalls an. Es gibt Überschneidungen mit der Verfügbarkeit, gleichsetzen lässt sich beides aber nicht.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinFallen Angebote, die nicht unmittelbar im Zusammenhang mit erlaubnispflichtigen Tätigkeiten stehen, auch unter den Begriff der IKT-Dienstleistung?

Ja. Die Definition kennt keine Beschränkung auf Dienstleistungen, die das erlaubnispflichtige Geschäft unterstützen und auch nicht die aus dem Auslagerungsmanagement bekannte Abgrenzung, ob die Leistung sonst selbst erbracht worden wäre.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinGilt DORA auch bei Auslagerungen, Ausgliederungen bzw. Weiterverlagerungen?

DORA kennt diese nationalen Kategorien nicht. Auslagerungen, Ausgliederungen, Weiterverlagerungen und Subdelegationen können aber zugleich vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen oder Unterauftragsvergaben sein und unterliegen dann DORA.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinHandelt es sich bei der Nutzung des MVP-Portals um eine IKT-Dienstleistung nach DORA?

Nein. Nach Erwägungsgrund 63 gelten staatliche Behörden, die IKT-bezogene Dienste im Rahmen staatlicher Aufgaben bereitstellen, nicht als IKT-Drittdienstleister; das gilt für das MVP-Portal der BaFin ebenso wie für die Bundesbank.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinHat das Finanzunternehmen eine eigene Einstufung nach kritisch oder wichtig vorzunehmen, oder ist die Einstufung der Aufsicht abschließend?

Das Finanzunternehmen beurteilt nicht die Kritikalität des Dienstleisters, sondern nur, ob dessen Dienstleistung eine kritische oder wichtige Funktion des eigenen Hauses unterstützt. Die Kritikalität des Dienstleisters bewertet allein die Aufsicht.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinIst ein reiner Software-as-a-Service-Dienst eine IKT-Dienstleistung?

Ja, auch ohne begleitende Infrastrukturleistung, sofern der Bezug dauerhaft ist.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinIst es korrekt, dass keine Angaben vorzunehmen sind, wenn das Finanzunternehmen den direkten IKT-Drittdienstleister als unwichtig klassifiziert hat?

Nein, diese Einschätzung ist nicht richtig. Der direkte Dienstleister auf Rang 1 ist stets zu erfassen, unabhängig von der Kritikalität; nur die Angaben zu den Unterauftragsketten entfallen dann.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinKann der sonstige Fremdbezug von IT-Dienstleistungen eine IKT-Dienstleistung sein, die der Unterstützung einer kritischen oder wichtigen Funktion dient?

Ja. Die BaFin hält das für praktisch eher unwahrscheinlich, aber nicht ausgeschlossen; der sonstige Fremdbezug ist also nicht automatisch heraus.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinKann ein beaufsichtigtes Finanzunternehmen IKT-Drittdienstleister für ein anderes beaufsichtigtes Finanzunternehmen sein?

Das hängt von der Leistung ab. Ist sie selbst eine regulierte Finanzdienstleistung oder eine untrennbar damit verbundene Nebenleistung, gilt sie nicht als IKT-Dienstleistung. Die Ausnahme wirkt nur für das IKT-Drittparteienrisikomanagement; die übrigen DORA-Pflichten und die sektoralen Auslagerungsanforderungen bleiben anwendbar.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinKann pauschal davon ausgegangen werden, dass jeder sonstige Fremdbezug von IT-Dienstleistungen auch eine IKT-Dienstleistung ist?

Ja, davon kann grundsätzlich ausgegangen werden. Der Begriff der IKT-Dienstleistung ist damit deutlich weiter als der nationale Auslagerungsbegriff.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinNimmt das Finanzunternehmen oder auch der IKT-Drittdienstleister die Bewertung vor, ob eine IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt?

Das Finanzunternehmen: Es muss die regulatorischen Pflichten erfüllen und dafür Kriterien und Verfahren entwickeln und dokumentieren. Eine IKT-Dienstleistung unterstützt eine kritische oder wichtige Funktion, wenn diese ohne sie nicht ausgeführt werden kann.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinSind Hersteller von Hardware, die nicht nur liefern, sondern dauerhaft die Betreuung übernehmen, von DORA erfasst?

Ja. Die dauerhafte Betreuung (Fernwartung, Patches und Ähnliches) ist selbst eine IKT-Dienstleistung.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinSind Tochter- oder Muttergesellschaften, die IKT-Dienstleistungen zur Verfügung stellen, automatisch IKT-Dienstleister, oder gelten konzernintern vereinfachte Regeln?

Nach Erwägungsgrund 63 gelten auch Unternehmen einer Finanzgruppe, die IT-Dienstleistungen überwiegend für das Mutterunternehmen, dessen Töchter oder Zweigniederlassungen erbringen, als IKT-Drittdienstleister. Konzerninterne Sonderregeln gibt es insoweit nicht.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinSind kritische oder wichtige Funktionen immer auch wesentliche Auslagerungen und umgekehrt?

Nein. Die Definitionen weichen voneinander ab und beruhen auf unterschiedlichen Kriterien; eine pauschale Überleitung von einer Kategorie in die andere ist ausgeschlossen.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinStellt ein Bezug von „reiner“ Hardware eine IKT-Dienstleistung dar?

Beim schlichten Kauf nicht. Erst begleitende oder dauerhafte Leistungen rund um die Hardware eröffnen den Anwendungsbereich.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinStellt ein isolierter Softwarebezug eine IKT-Dienstleistung dar?

Eine reine Softwarelizenz ist üblicherweise nur ein Nutzungsrecht und damit keine IKT-Dienstleistung. Häufig treten aber begleitende Leistungen hinzu (etwa Wartungs- und Supportverträge), und die sind es sehr wohl.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWas ist der Unterschied zwischen „kritisch“ und „wichtig“?

Keiner. Der europäische Gesetzgeber verwendet die beiden Wörter nur als Paar und definiert sie gemeinsam; eine eigenständige Bedeutung hat keines von beiden.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWas ist die Definition von „kritischen Dienstleistungen“?

Maßgeblich sind IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen; die Einstufung nimmt das Finanzunternehmen selbst vor. Davon zu unterscheiden sind die kritischen IKT-Drittdienstleister, die die Aufsicht in einem eigenen Verfahren benennt.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWas sind IKT-Dienstleistungen im Sinne von DORA?

Digitale und Datendienste, die dauerhaft über IKT-Systeme für interne oder externe Nutzer bereitgestellt werden, einschließlich Hardware-as-a-Service und der laufenden technischen Unterstützung durch Software- oder Firmware-Updates. Herkömmliche analoge Telefondienste sind ausgenommen.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWelche Kriterien haben Finanzunternehmen, um zu beurteilen, ob eine Dienstleistung eine kritische oder wichtige Funktion unterstützt?

Anhaltspunkt ist die Definition in Artikel 3 Nummer 22: Kritisch oder wichtig ist eine Funktion, deren Ausfall die Finanzleistung oder die Geschäftskontinuität erheblich beeinträchtigen würde oder deren Störung die Einhaltung der Zulassungsvoraussetzungen erheblich gefährdet. Die Beurteilung ist im Einzelfall vorzunehmen.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWie sind die Kritikalität der betroffenen Dienste und kritische Funktionen zu unterscheiden?

Zwei verschiedene Dinge. Die Kritikalität betroffener Dienste ist erfüllt, wenn der Vorfall IKT-Dienste zur Unterstützung kritischer oder wichtiger Funktionen trifft, zulassungs- oder registrierungspflichtige Finanzdienstleistungen beeinträchtigt oder ein erfolgreicher unbefugter Zugriff vorliegt. Welche eigenen Funktionen kritisch oder wichtig sind, legt jedes Finanzunternehmen selbst fest.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWie wird ein IKT-bezogener Vorfall in DORA definiert?

Als ungeplantes Einzelereignis oder Reihe verbundener Ereignisse, die die Sicherheit der Netzwerk- und Informationssysteme beeinträchtigen. Erforderlich sind nachteilige Auswirkungen auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf Finanzdienstleistungen.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

ESAs · 2024_7096Fällt ein außerhalb der EU ansässiger gruppeninterner IKT-Dienstleister unter die Ausnahme des Artikels 31 Absatz 8?

Ja. Gruppeninterne Dienstleister können nicht als kritische IKT-Drittdienstleister eingestuft werden; damit greift auch die Pflicht zur Errichtung einer EU-Tochtergesellschaft nicht, unabhängig davon, ob der Dienstleister innerhalb oder außerhalb der Union tätig ist.

Originalantwort bei den Europäischen Aufsichtsbehörden ↗

Status: Final Q&A · Frage eingereicht am 29. Mai 2024 · beantwortet am 11. Dezember 2024 · hier erfasst am 5. Oktober 2026

ESAs · 2025_7466Ist die Ausnahme für öffentliche Stellen in Erwägungsgrund 63 eine allgemeine Befreiung oder auf Zahlungsdienste beschränkt?

Sie ist breit auszulegen: Öffentliche Stellen, die IKT-bezogene Dienste im Rahmen ihrer staatlichen Aufgaben erbringen, gelten grundsätzlich nicht als IKT-Drittdienstleister; die Vertragsanforderungen des Artikels 30 greifen insoweit nicht.

Originalantwort bei den Europäischen Aufsichtsbehörden ↗

Status: Final Q&A · Frage eingereicht am 26. Mai 2025 · beantwortet am 6. Februar 2026 · hier erfasst am 5. Oktober 2026

ESAs · 2025_7613Können einzelne Phishing-Angriffe, die Kunden in deren privatem Umfeld treffen, einen meldepflichtigen schwerwiegenden IKT-Vorfall darstellen?

Phishing in der privaten Sphäre von Kunden, ohne dass die Dienste des Finanzunternehmens beeinträchtigt werden, ist kein IKT-Vorfall im Sinne von DORA und löst keine Meldepflicht aus. Anders liegt es bei erfolgreichen Angriffen auf das Finanzunternehmen selbst oder bei großflächigen Kampagnen, die dessen Dienste beeinträchtigen.

Originalantwort bei den Europäischen Aufsichtsbehörden ↗

Status: Final Q&A · Frage eingereicht am 4. November 2025 · beantwortet am 6. Februar 2026 · hier erfasst am 5. Oktober 2026

ESAs · 2025_7539Welche Arten von Telefondiensten fallen unter die Definition der IKT-Dienstleistungen?

Die Ausnahme für herkömmliche analoge Telefonie betrifft ausschließlich analoge Sprachtelefonie, nicht die physische Infrastruktur. Glasfasernetze, auch unbeschaltete, sind digitale Infrastruktur und damit IKT-Dienstleistungen.

Originalantwort bei den Europäischen Aufsichtsbehörden ↗

Status: Final Q&A · Frage eingereicht am 30. Juli 2025 · beantwortet am 6. Februar 2026 · hier erfasst am 5. Oktober 2026

ESAs · 2024_7290Wie sind Artikel 3 Nummer 21, Erwägungsgrund 63, Artikel 2 und Artikel 58 Absatz 2 DORA zutreffend zu lesen?

Zahlungsverarbeiter und Betreiber von Zahlungsinfrastrukturen fallen nicht in den unmittelbaren Anwendungsbereich, sind aber als IKT-Drittdienstleister zu behandeln. Governance- oder Geschäftsprozesse ohne wesentliche IKT-Komponente, etwa Clearing und Settlement, sind dagegen keine IKT-Dienstleistungen.

Originalantwort bei den Europäischen Aufsichtsbehörden ↗

Status: Final Q&A · Frage eingereicht am 20. Dezember 2024 · beantwortet am 14. November 2025 · hier erfasst am 5. Oktober 2026

EU-Kommission · DORA001Gibt es eine detaillierte Liste kritischer oder wichtiger Funktionen im Sinne von DORA?

Nein, eine offizielle Liste existiert nicht. Maßgeblich ist die Definition des Artikels 3 Nummer 22; Finanzunternehmen müssen im Einzelfall beurteilen, ob eine Funktion für Kernleistungen oder die Einhaltung rechtlicher Pflichten wesentlich ist, welche Folgen eine Störung hätte und ob andere Anbieter sie ersetzen könnten.

Originalantwort bei der Europäischen Kommission ↗

Status: Antwort der Europäischen Kommission · Frage eingereicht am 11. April 2023 · hier erfasst am 5. Oktober 2026

EU-Kommission · DORA030Welche Arten von Dienstleistungen sind auf Grundlage der Definition in Artikel 3 Nummer 21 als IKT-Dienstleistungen anzusehen?

Der Begriff ist bewusst weit gefasst; Finanzunternehmen müssen selbst beurteilen, ob die von ihnen genutzten Leistungen darunter fallen. Entscheidend ist die Abgrenzung zu Finanzdienstleistungen: Erbringt ein reguliertes Finanzunternehmen Leistungen im Zusammenhang mit seiner regulierten Tätigkeit, sind das Finanz- und keine IKT-Dienstleistungen.

Das zentrale Referenz-Q&A zum Dienstleistungsbegriff; spätere Fragen verweisen darauf.

Originalantwort bei der Europäischen Kommission ↗

Status: Final · Frage eingereicht am 14. Februar 2024 · hier erfasst am 5. Oktober 2026

EU-Kommission · DORA003Welche Verwalter alternativer Investmentfonds fallen in den Anwendungsbereich von DORA?

Verwalter, deren regelmäßige Geschäftstätigkeit die Verwaltung eines oder mehrerer alternativer Investmentfonds umfasst. Verwalter unterhalb der Schwellenwerte der Richtlinie 2011/61/EU sind ausdrücklich ausgenommen.

Originalantwort bei der Europäischen Kommission ↗

Status: Final · Frage eingereicht am 10. Juli 2023 · hier erfasst am 5. Oktober 2026

EU-Kommission · DORA099Wie ist zu berechnen, ob das Kriterium von 250 Beschäftigten erfüllt ist?

Anwendbar ist die Empfehlung 2003/361/EG der Kommission unter Zugrundelegung der in DORA definierten Schwellenwerte. Für Versicherungsvermittler innerhalb nicht-finanzieller Gruppen sind Beschäftigtenzahl, Umsatz und Bilanzsumme auf Ebene des einzelnen Unternehmens zu ermitteln, nicht konsolidiert.

Originalantwort bei der Europäischen Kommission ↗

Status: Antwort der Europäischen Kommission · Frage eingereicht am 4. Juni 2024 · hier erfasst am 5. Oktober 2026

EU-Kommission · DORA237Wie sind die Schwellenwerte bei Vermittlern zu berechnen, deren Haupttätigkeit nicht der Versicherungsvertrieb ist?

Versicherungsvermittler mit nur sehr begrenztem Versicherungsgeschäft berechnen die Schwellenwerte allein auf Basis ihrer versicherungsbezogenen Tätigkeit. Sie können daher befreit sein, selbst wenn ihre Gesamtumsätze die Grenzwerte überschreiten.

Originalantwort bei der Europäischen Kommission ↗

Status: Antwort der Europäischen Kommission · Frage eingereicht am 26. Mai 2025 · hier erfasst am 5. Oktober 2026

Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.

Was am Ende vorliegen muss

Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:

  • Eine Hausdefinition für „IKT-Dienstleistung“ mit Beispielen und Gegenbeispielen, abgeleitet aus Nummer 21, denn sie entscheidet, welche Verträge überhaupt erfasst werden
  • Die Maßstäbe für die Einstufung nach Nummer 22, getrennt nach den beiden Teilen der Definition
  • Die Berechnung der eigenen Größenklasse nach Nummer 60, 63 oder 64, datiert
  • Die Feststellung, welche gruppeninternen Dienstleister nach Nummer 20 zu erfassen sind

Häufige Fragen zu Artikel 3

Was ist eine kritische oder wichtige Funktion nach DORA?

Nach Artikel 3 Nummer 22 DORA eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen oder sonstiger Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde. Eine der beiden Voraussetzungen genügt.

Was sind IKT-Dienstleistungen nach DORA?

Nach Artikel 3 Nummer 21 DORA digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung und Hardwaredienstleistungen samt technischer Unterstützung durch Software- oder Firmware-Aktualisierungen. Ausgenommen sind herkömmliche analoge Telefondienste.

Zählen konzerninterne IT-Dienstleister als IKT-Drittdienstleister?

Ja. Artikel 3 Nummer 19 DORA definiert den IKT-Drittdienstleister ohne Schwelle als Unternehmen, das IKT-Dienstleistungen bereitstellt; Nummer 20 erfasst den gruppeninternen IKT-Dienstleister ausdrücklich, einschließlich Dienstleistern für Finanzunternehmen desselben institutsbezogenen Sicherungssystems.

Was ist ein Kleinstunternehmen nach DORA?

Nach Artikel 3 Nummer 60 DORA ein Finanzunternehmen, das kein Handelsplatz, keine zentrale Gegenpartei, kein Transaktionsregister und kein Zentralverwahrer ist, weniger als zehn Personen beschäftigt und dessen Jahresumsatz oder Jahresbilanzsumme 2 Mio. EUR nicht überschreitet.

Weiter

Stand: 28. September 2026