DORA-Manager

Die Verordnung · Kapitel VI: Vereinbarungen über den Austausch von Informationen

Artikel 45

Vereinbarungen über den Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen

Wen dieser Artikel betrifft

  • VVoller Rahmen
  • 16Artikel 16
  • IKTIKT-Dienstleister

Verordnung (EU) 2022/2554 · Kapitel VI, Artikel 45 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

(1) Finanzunternehmen können Informationen und Erkenntnisse über Cyberbedrohungen untereinander austauschen, einschließlich Indikatoren für Beeinträchtigungen, Taktiken, Techniken und Verfahren, Cybersicherheitswarnungen und Konfigurationstools, soweit dieser Austausch von Informationen und Erkenntnissen

  • a)darauf abzielt, die digitale operationale Resilienz von Finanzunternehmen zu stärken, insbesondere indem für Cyberbedrohungen sensibilisiert, die Verbreitung von Cyberbedrohungen eingeschränkt oder verhindert wird und die Verteidigungsfähigkeiten, Techniken zur Erkennung von Bedrohungen, Abmilderungsstrategien oder Phasen der Reaktion und Wiederherstellung unterstützt werden;
  • b)innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen erfolgt;
  • c)durch Vereinbarungen über den Austausch von Informationen umgesetzt wird, die den potenziell sensiblen Charakter der ausgetauschten Informationen schützen und Verhaltensregeln unterliegen, in deren Rahmen die Wahrung des Geschäftsgeheimnisses, der Schutz personenbezogener Daten im Einklang mit der Verordnung (EU) 2016/679 und Leitlinien für die Wettbewerbspolitik vollumfänglich befolgt werden.

(2) Für die Zwecke von Absatz 1 Buchstabe c werden in den Vereinbarungen über den Austausch von Informationen die Voraussetzungen für die Teilnahme und gegebenenfalls die Einzelheiten zur Einbindung staatlicher Behörden und der Eigenschaft, in der diese in die Vereinbarungen über den Austausch von Informationen eingebunden werden können, zur Einbindung von IKT-Drittdienstleistern sowie zu operativen Aspekten, einschließlich der Nutzung spezieller IT-Plattformen, festgelegt.

(3) Finanzunternehmen teilen zuständigen Behörden ihre Einbindung in die in Absatz 1 genannten Vereinbarungen über den Austausch von Informationen mit, sobald ihre Mitwirkung bestätigt wurde bzw. endet und diese Beendigung in Kraft ist.

Neben jedem Absatz steht ein . Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 45 erlaubt Finanzunternehmen, untereinander Informationen und Erkenntnisse über Cyberbedrohungen auszutauschen: Kompromittierungsindikatoren, Taktiken, Techniken und Verfahren, Warnungen, Konfigurationstools.

Das ist eine Erlaubnis, keine Pflicht. Eine Pflicht entsteht erst, wenn Sie teilnehmen: Nach Absatz 3 ist der zuständigen Behörde mitzuteilen, dass Sie eingebunden sind, und ebenso, wenn die Mitwirkung endet.

In der Praxis

Drei Bedingungen, die zusammen erfüllt sein müssen

Der Austausch muss die digitale operationale Resilienz stärken (Buchstabe a), innerhalb vertrauenswürdiger Gemeinschaften erfolgen (Buchstabe b) und durch eine Vereinbarung umgesetzt sein, die den sensiblen Charakter der Informationen schützt und Geschäftsgeheimnis, Datenschutz und Wettbewerbsrecht wahrt (Buchstabe c).

Der dritte Punkt ist der, an dem es in der Praxis hakt: Ein informeller Austausch unter Kollegen in einem Messenger ist kein Austausch nach Artikel 45, sondern ein kartellrechtliches und datenschutzrechtliches Risiko ohne Rechtsgrundlage.

Die Mitteilung nach Absatz 3 wird regelmäßig vergessen

Beide Richtungen sind mitzuteilen: Beitritt und Ende. Das ist eine dieser kleinen Pflichten, die niemand auf dem Schirm hat, weil sie nicht in der Projektliste steht, und die in einer Prüfung mit einer einzigen Frage auffliegt.

Führen Sie eine Zeile in derselben Liste, in der Anzeigen und Meldungen stehen: welche Gemeinschaft, seit wann, wer im Haus vertritt, wann mitgeteilt.

Was der Austausch praktisch bringt

Für ein kleines Haus ist er die einzige realistische Quelle für Bedrohungsanalysen, die mehr sind als Herstellermarketing. Die Erkenntnisse aus dem eigenen Verbund oder dem Branchenverband sind meist näher an der eigenen Lage als jeder gekaufte Feed.

Der Nutzen wächst zudem mit dem eigenen Beitrag. Wer nur liest, erfährt, was alle wissen.

Was die Aufsicht dazu sagt

4 Antworten aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.

Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.

BaFinMüssen Finanzunternehmen nun verpflichtend Informationen und Erkenntnisse zu Cyberbedrohungen mit anderen Marktteilnehmern austauschen?

Nein, der Austausch ist freiwillig; die BaFin empfiehlt ihn aber. Wer teilnimmt, muss Regeln zum Schutz sensibler Informationen sowie Datenschutz- und Wettbewerbsvorgaben einhalten; Beitritt und Austritt sind der zuständigen Aufsicht unverzüglich anzuzeigen.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWann ist eine Meldung gegenüber der BaFin nach Artikel 45 Absatz 3 DORA erforderlich?

Bei Beitritt zu und Beendigung der Teilnahme an Vereinbarungen zum Austausch von Cyberbedrohungsinformationen. Erfasst ist nur der regelmäßige, auf Dauer angelegte Austausch. Vereinbarungen, in denen Nicht-Finanzunternehmen überwiegen, sowie gruppeninterne Arrangements sind ausgenommen; anlassbezogener Austausch löst keine Anzeigepflicht aus.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWas ist ein Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen im Sinne von Artikel 45 DORA?

Drei Merkmale müssen zusammenkommen: Der Austausch stärkt die digitale operationale Resilienz, er findet in vertrauenswürdigen Gemeinschaften von Finanzunternehmen statt, und er beruht auf förmlichen Vereinbarungen, die Geschäftsgeheimnisse, Datenschutz und Wettbewerbsrecht wahren.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWie erfolgt die Meldung gegenüber der BaFin nach Artikel 45 Absatz 3 DORA?

Innerhalb von vier Wochen nach Wirksamwerden per E-Mail, mit Unternehmensname, BaFin-Identifikationsnummer, Datum des Beitritts oder Austritts und Bezeichnung der Vereinbarung.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.

Was am Ende vorliegen muss

Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:

  • Die Vereinbarung über den Austausch, mit den Regelungen zu Vertraulichkeit, Datenschutz und Wettbewerbsrecht nach Absatz 1 Buchstabe c
  • Die Mitteilung an die zuständige Behörde über Beginn und Ende der Mitwirkung
  • Die Benennung, wer im Haus für den Austausch zuständig ist

Häufige Fragen zu Artikel 45

Ist der Austausch von Cyberbedrohungsinformationen nach DORA verpflichtend?

Nein. Artikel 45 Absatz 1 DORA erlaubt Finanzunternehmen den Austausch, verpflichtet aber nicht dazu. Nach Absatz 3 besteht jedoch eine Mitteilungspflicht gegenüber der zuständigen Behörde, sobald die Mitwirkung an einer Vereinbarung bestätigt wurde oder endet.

Weiter

Stand: 28. September 2026