Wen dieser Artikel betrifft
- VVoller Rahmen
- 16Artikel 16
- IKTIKT-Dienstleister
Verordnung (EU) 2022/2554 · Kapitel V, Artikel 40 · gilt seit dem
17. Januar 2025 · Amtlicher Text bei EUR-Lex
(CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026
Wortlaut
Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.
(1) Bei der Durchführung von Überwachungstätigkeiten, insbesondere allgemeinen Untersuchungen oder Inspektionen, wird die federführende Überwachungsbehörde von einem gemeinsamen Untersuchungsteam unterstützt, das für jeden kritischen IKT-Drittdienstleister eingerichtet wird.
(2) Das in Absatz 1 genannte gemeinsame Untersuchungsteam setzt sich aus Mitarbeitern der folgenden Behörden zusammen:
- ¶a)der ESA;
- ¶b)der jeweils zuständigen Behörden, die die Finanzunternehmen beaufsichtigen, denen der kritische IKT-Drittdienstleister IKT-Dienstleistungen erbringt;
- ¶c)der in Artikel 32 Absatz 4 Buchstabe e genannten zuständigen nationale Behörde, auf freiwilliger Basis;
- ¶d)einer zuständigen nationalen Behörde des Mitgliedstaats, in dem der kritische IKT-Drittdienstleister seinen Sitz hat, auf freiwilliger Basis.
Die Mitglieder des gemeinsamen Untersuchungsteams müssen über Fachwissen in den Bereichen IKT und operationelle Risiken verfügen. Das gemeinsame Untersuchungsteam arbeitet unter der Koordinierung eines benannten Mitarbeiters der federführenden Überwachungsbehörde („Koordinator der federführenden Überwachungsbehörde“).
(3) Innerhalb von 3 Monaten nach Abschluss einer Untersuchung oder Inspektion nimmt die federführende Überwachungsbehörde nach Konsultation des Überwachungsforums entsprechend den in Artikel 35 genannten Befugnissen an den kritischen IKT-Drittdienstleister zu richtende Empfehlungen an.
(4) Die in Absatz 3 genannten Empfehlungen werden dem kritischen IKT-Drittdienstleister und den für diejenigen Finanzunternehmen, denen er IKT-Dienstleistungen erbringt, zuständigen Behörden unverzüglich übermittelt.
Die federführende Überwachungsbehörde kann zur Erfüllung der Überwachungstätigkeiten alle einschlägigen Zertifizierungen Dritter und interne oder externe IKT-Prüfungsberichte Dritter berücksichtigen, die von dem kritischen IKT-Drittdienstleister zur Verfügung gestellt werden.
Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.
Worum es geht
Artikel 40 richtet für jeden kritischen Anbieter ein gemeinsames Untersuchungsteam ein, das aus Mitarbeitern der europäischen Aufsichtsbehörden und der zuständigen nationalen Behörden besteht.
Und er enthält zwei Angaben, die man sich merken sollte: innerhalb von drei Monaten nach Abschluss einer Untersuchung oder Inspektion werden die Empfehlungen angenommen, und die Behörde kann dabei Zertifizierungen Dritter und Prüfberichte berücksichtigen.
In der Praxis
Der letzte Satz ist der wichtigste des Artikels
„Die federführende Überwachungsbehörde kann … alle einschlägigen Zertifizierungen Dritter und interne oder externe IKT-Prüfungsberichte Dritter berücksichtigen, die von dem kritischen IKT-Drittdienstleister zur Verfügung gestellt werden.“
„Kann“ und „berücksichtigen“, nicht „muss“ und nicht „anerkennen“. Damit ist auf der europäischen Ebene dieselbe Aussage getroffen wie in Artikel 28 Absatz 1 Buchstabe a auf Ihrer: Ein Zertifikat ist eine Erkenntnisquelle, kein Ersatz für die Prüfung. Wer im eigenen Haus argumentiert, ein Testat genüge, argumentiert gegen den Text der Verordnung.
Die nationale Aufsicht sitzt mit im Team
Nach Absatz 2 besteht das Team aus Mitarbeitern der Aufsichtsbehörden, der jeweils zuständigen Behörden der nutzenden Finanzunternehmen und (freiwillig) der nationalen Behörden des Sitzmitgliedstaats und der NIS-2-Behörden. Alle Mitglieder müssen Fachwissen in IKT und operationellen Risiken haben.
Für Häuser in Deutschland heißt das: Was ein gemeinsames Untersuchungsteam bei einem großen Anbieter feststellt, ist Wissen, das auch bei der BaFin liegt. Die Erwartungshaltung in Ihrer nächsten Prüfung entsteht mit.
Drei Monate sind kurz für den Anbieter
Zwischen Abschluss der Inspektion und Annahme der Empfehlungen liegen höchstens drei Monate, mit Konsultation des Überwachungsforums. Danach beginnen die 60 Tage des Artikels 42 Absatz 1.
Ein Anbieter, der erst nach Erhalt der Empfehlungen anfängt, sich eine Haltung zu bilden, hat zwei Monate für eine Entscheidung, die Architektur und Verträge betreffen kann.
Konkretisiert durch
- Delegierte Verordnung (EU) 2024/1773, Artikel 9. Überwachung und Prüfung der Leistungserbringung, die Entsprechung auf der Ebene des einzelnen Finanzunternehmens. Amtlicher Text (CELEX 32024R1773)
Die Zuordnung der einzelnen Artikel ist eine fachliche Einschätzung. Verbindlich ist allein der Wortlaut der jeweiligen Verordnung.
Was am Ende vorliegen muss
Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:
- Für Finanzunternehmen: die Feststellung, welche Zertifikate und Prüfberichte Sie von welchem Anbieter haben, und was Sie selbst daraus geprüft haben
- Für Anbieter: ein Verfahren, das innerhalb der Drei-Monats- und der anschließenden 60-Tage-Frist zu einer belastbaren Haltung führt
Häufige Fragen zu Artikel 40
Ersetzen Zertifikate wie ISO 27001 die Prüfung nach DORA?
Nein. Nach Artikel 40 Absatz 4 DORA kann die federführende Überwachungsbehörde einschlägige Zertifizierungen Dritter und IKT-Prüfungsberichte berücksichtigen; sie muss es nicht, und eine Anerkennung als Ersatz sieht die Verordnung nicht vor. Für Finanzunternehmen bleibt es nach Artikel 28 Absatz 1 Buchstabe a DORA bei der vollständigen eigenen Verantwortung.
Wie lange dauert es bis zu den Empfehlungen?
Nach Artikel 40 Absatz 3 DORA nimmt die federführende Überwachungsbehörde die Empfehlungen innerhalb von drei Monaten nach Abschluss einer Untersuchung oder Inspektion an, nach Konsultation des Überwachungsforums.
Weiter
Stand: 28. September 2026