Artikel 46 DORA: Wer beaufsichtigt Sie

Wen dieser Artikel betrifft

VVoller Rahmen
16Artikel 16
IKTIKT-Dienstleister

Dieser Artikel richtet sich an die Aufsicht und begründet keine unmittelbare Pflicht für Finanzunternehmen oder Dienstleister. Er steht hier, weil man ihn kennen muss, um die Artikel davor und danach zu verstehen.

Verordnung (EU) 2022/2554 · Kapitel VII, Artikel 46 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

Unbeschadet der Bestimmungen über den Überwachungsrahmen für kritische IKT-Drittdienstleister gemäß Kapitel V Abschnitt II dieser Verordnung wird die Einhaltung dieser Verordnung durch die folgenden zuständigen Behörden im Einklang mit den durch die jeweiligen Rechtsakte übertragenen Befugnissen sichergestellt:

¶a)bei Kreditinstituten sowie bei nach der Richtlinie 2013/36/EU ausgenommenen Instituten durch die gemäß Artikel 4 der genannten Richtlinie benannte zuständige Behörde und bei gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuften Kreditinstituten durch die EZB im Einklang mit den mittels der genannten Verordnung übertragenen Befugnissen und Aufgaben;
¶b)bei Zahlungsinstituten, einschließlich der nach der Richtlinie (EU) 2015/2366 ausgenommenen Zahlungsinstitute, bei E-Geld-Instituten, einschließlich der nach der Richtlinie 2009/110/EG ausgenommenen Institute, und bei den in Artikel 33 Absatz 1 der Richtlinie (EU) 2015/2366 genannten Kontoinformationsdienstleistern durch die gemäß Artikel 22 der Richtlinie (EU) 2015/2366 benannte zuständige Behörde;
¶c)bei Wertpapierfirmen durch die gemäß Artikel 4 der Richtlinie (EU) 2019/2034 des Europäischen Parlaments und des Rates (38) benannte zuständige Behörde;
¶d)bei gemäß der Verordnung über Märkte von Krypto-Werten zugelassenen Anbietern von Krypto-Dienstleistungen und Emittenten von an Vermögenswerte geknüpften Tokens durch die gemäß der entsprechenden Bestimmung der genannten Verordnung benannte zuständige Behörde;
¶e)bei Zentralverwahrern durch die gemäß Artikel 11 der Verordnung (EU) Nr. 909/2014 benannte zuständige Behörde;
¶f)bei zentralen Gegenparteien durch die gemäß Artikel 22 der Verordnung (EU) Nr. 648/2012 benannte zuständige Behörde;
¶g)bei Handelsplätzen und Datenbereitstellungsdiensten durch die gemäß Artikel 67 der Richtlinie 2014/65/EU benannte zuständige Behörde und die zuständige Behörde im Sinne von Artikel 2 Absatz 1 Nummer 18 der Verordnung (EU) Nr. 600/2014;
¶h)bei Transaktionsregistern durch die gemäß Artikel 22 der Verordnung (EU) Nr. 648/2012 benannte zuständige Behörde;
¶i)bei Verwaltern alternativer Investmentfonds durch die gemäß Artikel 44 der Richtlinie 2011/61/EU benannte zuständige Behörde;
¶j)bei Verwaltungsgesellschaften durch die gemäß Artikel 97 der Richtlinie 2009/65/EG benannte zuständige Behörde;
¶k)bei Versicherungs- und Rückversicherungsunternehmen durch die gemäß Artikel 30 der Richtlinie 2009/138/EG benannte zuständige Behörde;
¶l)bei Versicherungsvermittlern, Rückversicherungsvermittlern und Versicherungsvermittlern in Nebentätigkeit durch die gemäß Artikel 12 der Richtlinie (EU) 2016/97 benannte zuständige Behörde;
¶m)bei Einrichtungen der betrieblichen Altersversorgung durch die gemäß Artikel 47 der Richtlinie (EU) 2016/2341 benannte zuständige Behörde;
¶n)bei Ratingagenturen durch die gemäß Artikel 21 der Verordnung (EG) Nr. 1060/2009 benannte zuständige Behörde;
¶o)bei Administratoren kritischer Referenzwerte durch die gemäß den Artikeln 40 und 41 der Verordnung (EU) 2016/1011 benannte zuständige Behörde;
¶p)bei Schwarmfinanzierungsdienstleistern durch die gemäß Artikel 29 der Verordnung (EU) 2020/1503 benannte zuständige Behörde;
¶q)bei Verbriefungsregistern durch die gemäß Artikel 10 und Artikel 14 Absatz 1 der Verordnung (EU) 2017/2402 benannte zuständige Behörde.

Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 46 beantwortet eine Frage, die man nur einmal klären muss, dann aber sicher: Welche Behörde überwacht die Einhaltung von DORA in Ihrem Fall?

Siebzehn Buchstaben, jeder mit Verweis auf den Rechtsakt, der die Zuständigkeit begründet. Für Kreditinstitute ist es die nach Artikel 4 der Richtlinie 2013/36/EU benannte Behörde; bei als bedeutend eingestuften Instituten die EZB.

In der Praxis

Die Zuständigkeit folgt der Erlaubnis, nicht dem Thema

Für DORA ist dieselbe Behörde zuständig, die Ihr Haus ohnehin beaufsichtigt. Es gibt keine eigene DORA-Behörde und keinen eigenen Meldeweg neben dem bestehenden.

Für die meisten deutschen Häuser heißt das: die BaFin, bei bedeutenden Kreditinstituten die EZB über den gemeinsamen Aufsichtsmechanismus. Das klingt banal, ist aber die Grundlage dafür, dass die Meldung nach Artikel 19 überhaupt an der richtigen Stelle ankommt.

Zwei Behörden? Dann benennt der Mitgliedstaat eine

Artikel 19 Absatz 1 Unterabsatz 2 regelt den Fall, dass ein Haus mehreren zuständigen Behörden untersteht: Dann bestimmt der Mitgliedstaat eine einzige Behörde für die Vorfallmeldung. Wer in einer solchen Lage ist, sollte diese Benennung schriftlich in der Akte haben, nicht als Annahme.

Der Vorbehalt am Anfang ist wichtig

„Unbeschadet der Bestimmungen über den Überwachungsrahmen für kritische IKT-Drittdienstleister gemäß Kapitel V Abschnitt II“. Für kritische Anbieter ist also nicht Ihre nationale Behörde zuständig, sondern die federführende Überwachungsbehörde nach Artikel 31 Absatz 1 Buchstabe b.

Das ist der Grund, warum Artikel 42 die Kette über Ihre Behörde führt: Sie ist für Sie zuständig, nicht für Ihren Anbieter.

Was die Aufsicht dazu sagt

2 Antworten aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.

Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.

BaFinReichen bedeutende Kreditinstitute ihre Informationsregister bei der BaFin oder der Europäischen Zentralbank ein?

Bei der EZB. Für bedeutende Institute ist sie auch unter DORA die zuständige Behörde. Alle übrigen Finanzunternehmen in Deutschland übermitteln an die BaFin.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWie sind die TLPT-Prozesse für Kreditinstitute unter EZB-Aufsicht bzw. andere nicht von der BaFin beaufsichtigte Finanzunternehmen ausgestaltet?

Zuständig ist jeweils die eigene Aufsichtsbehörde, also die EZB oder die Börsenaufsichtsbehörden der Länder.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.

Was am Ende vorliegen muss

Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:

Die schriftliche Feststellung, welche Behörde nach Artikel 46 für Ihr Haus zuständig ist, mit Bezug auf den einschlägigen Buchstaben
Bei mehreren zuständigen Behörden: die Benennung der einheitlichen Behörde für die Vorfallmeldung

Häufige Fragen zu Artikel 46

Welche Behörde überwacht die Einhaltung von DORA?

Nach Artikel 46 DORA jeweils die Behörde, die für den betreffenden Unternehmenstyp schon nach dem einschlägigen Aufsichtsrecht zuständig ist: bei Kreditinstituten die nach Artikel 4 der Richtlinie 2013/36/EU benannte Behörde, bei als bedeutend eingestuften Kreditinstituten die EZB. Für kritische IKT-Drittdienstleister gilt stattdessen der Überwachungsrahmen des Kapitels V Abschnitt II.

Weiter

Stand: 28. September 2026

Zuständige Behörden