Wen dieser Artikel betrifft
- VVoller Rahmen
- 16Artikel 16
- IKTIKT-Dienstleister
Verordnung (EU) 2022/2554 · Kapitel V, Artikel 38 · gilt seit dem
17. Januar 2025 · Amtlicher Text bei EUR-Lex
(CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026
Wortlaut
Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.
(1) Die federführende Überwachungsbehörde kann zur Wahrnehmung ihrer Aufgaben gemäß dieser Verordnung mit Unterstützung des in Artikel 40 Absatz 1 genannten gemeinsamen Untersuchungsteams erforderlichenfalls Untersuchungen von kritischen IKT-Drittdienstleistern durchführen.
(2) Die federführende Überwachungsbehörde ist befugt,
- ¶a)Aufzeichnungen, Daten, Verfahren und sonstiges für die Erfüllung ihrer Aufgaben relevantes Material unabhängig von der Speicherform zu prüfen;
- ¶b)beglaubigte Kopien oder Auszüge dieser Aufzeichnungen, Daten und dokumentierten Verfahren und von sämtlichen sonstigen Materialien anzufertigen oder zu verlangen;
- ¶c)Vertreter des kritischen IKT-Drittdienstleisters vorzuladen und zur Abgabe mündlicher oder schriftlicher Erklärungen zu Sachverhalten oder Unterlagen aufzufordern, die mit Gegenstand und Zweck der Untersuchung in Zusammenhang stehen, und die Antworten aufzuzeichnen;
- ¶d)jede andere natürliche oder juristische Person zu befragen, die dieser Befragung zum Zweck der Einholung von Informationen über den Gegenstand einer Untersuchung zustimmt;
- ¶e)Aufzeichnungen von Telefongesprächen und Datenübermittlungen anzufordern.
(3) Die Bediensteten und sonstige von der federführenden Überwachungsbehörde zu Untersuchungen gemäß Absatz 1 ermächtigte Personen üben ihre Befugnisse unter Vorlage einer schriftlichen Ermächtigung aus, in der Gegenstand und Zweck der Untersuchung angegeben werden.
In der Ermächtigung sind auch die in Artikel 35 Absatz 6 vorgesehenen Zwangsgelder für den Fall anzugeben, dass die angeforderten Aufzeichnungen, Daten, dokumentierten Verfahren oder sonstigen Materialien oder die Antworten auf Fragen, die den Vertretern des IKT-Drittdienstleisters gestellt werden, nicht geliefert werden oder unvollständig sind.
(4) Die Vertreter der kritischen IKT-Drittdienstleister sind verpflichtet, sich den Untersuchungen auf der Grundlage einer Entscheidung der federführenden Überwachungsbehörde zu unterziehen. In dem Beschluss sind Gegenstand und Zweck der Untersuchung, die nach Artikel 35 Absatz 6 vorgesehenen Zwangsgelder, die nach den Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 möglichen Rechtsbehelfe sowie das Recht, den Beschluss durch den Gerichtshof überprüfen zu lassen, anzugeben.
(5) Rechtzeitig vor Beginn der Untersuchung unterrichtet die federführende Überwachungsbehörde die für diejenigen Finanzunternehmen, die die IKT-Dienstleistungen dieses kritischen IKT-Drittdienstleisters nutzen, zuständigen Behörden über die geplante Untersuchung sowie die Identität der bevollmächtigten Personen.
Die federführende Überwachungsbehörde übermittelt dem JON alle gemäß Unterabsatz 1 mitgeteilten Informationen.
Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.
Worum es geht
Artikel 38 gibt der Aufsicht fünf Befugnisse für Untersuchungen bei kritischen Anbietern: Material jeder Speicherform prüfen, Kopien verlangen, Vertreter vorladen und befragen, Dritte mit deren Zustimmung befragen und Aufzeichnungen von Telefongesprächen und Datenübermittlungen anfordern.
Untersuchungen finden nicht vor Ort statt; das ist Artikel 39. Hier geht es um Unterlagen, Auskünfte und Befragungen.
In der Praxis
Buchstabe e ist der Punkt, über den Anbieter stolpern
Aufzeichnungen von Telefongesprächen und Datenübermittlungen anfordern zu können, setzt voraus, dass es solche Aufzeichnungen gibt und dass sie auffindbar sind. Beides ist eine Frage der eigenen Protokollierung und Aufbewahrung; beides klärt man nicht, während eine Untersuchung läuft.
Dass die Befugnis besteht, heißt nicht, dass eine Aufbewahrungspflicht daraus folgt. Aber wer Protokolle vorhält, sollte wissen, wo sie liegen, wie lange, und wer sie herausgeben darf.
Schriftliche Ermächtigung und Zwangsgeldhinweis
Nach Absatz 3 handeln die Bediensteten unter Vorlage einer schriftlichen Ermächtigung mit Gegenstand und Zweck; darin stehen auch die Zwangsgelder nach Artikel 35 Absatz 6 für den Fall, dass Unterlagen oder Antworten fehlen oder unvollständig sind.
Für die Empfangsstelle im Anbieterhaus ist das eine brauchbare Prüfliste: Liegt eine schriftliche Ermächtigung vor? Sind Gegenstand und Zweck benannt? Wer im Haus darf das entgegennehmen? Diese drei Fragen sollten vorab beantwortet sein.
Absatz 5: Ihre Aufsicht wird vorher informiert
Rechtzeitig vor Beginn unterrichtet die Behörde die für die nutzenden Finanzunternehmen zuständigen Behörden über die geplante Untersuchung und die Identität der bevollmächtigten Personen. Es gibt also keine stille Untersuchung bei einem Anbieter, von dem Ihre Aufsicht nichts wüsste.
Was die Aufsicht dazu sagt
1 Antwort aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.
Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.
BaFinWelche Rechte erhalten europäische Aufsichtsbehörden bei der Überwachung?
Auskünfte verlangen, Untersuchungen und Vor-Ort-Prüfungen durchführen, Empfehlungen aussprechen (etwa zu Patching, Updates, Verschlüsselung, Geschäftsbedingungen und Unterauftragsvergabe) und öffentlich bekanntgeben, wenn ein Unternehmen diese Empfehlungen nicht einhält. Als letztes Mittel kann die Nutzung der Dienstleistung ausgesetzt oder beendet werden.
Originalantwort bei der BaFin ↗
Erfasst am 3. Oktober 2026
Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.
Was am Ende vorliegen muss
Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:
- Für Anbieter: eine benannte Empfangs- und Koordinierungsstelle für Aufsichtsverfahren, mit Vertretungsregelung
- Für Anbieter: Auffindbarkeit und Aufbewahrungsfristen der eigenen Protokolldaten
Häufige Fragen zu Artikel 38
Welche Befugnisse hat die Aufsicht bei einer Untersuchung nach DORA?
Nach Artikel 38 Absatz 2 DORA fünf: Aufzeichnungen, Daten, Verfahren und sonstiges Material unabhängig von der Speicherform prüfen; beglaubigte Kopien oder Auszüge anfertigen oder verlangen; Vertreter des kritischen IKT-Drittdienstleisters vorladen und zu mündlichen oder schriftlichen Erklärungen auffordern; andere Personen mit deren Zustimmung befragen; sowie Aufzeichnungen von Telefongesprächen und Datenübermittlungen anfordern.
Weiter
Stand: 28. September 2026