Wen dieser Artikel betrifft
- VVoller Rahmen
- 16Artikel 16
- IKTIKT-Dienstleister
Dieser Artikel richtet sich an die Aufsicht und begründet keine unmittelbare Pflicht für Finanzunternehmen oder Dienstleister. Er steht hier, weil man ihn kennen muss, um die Artikel davor und danach zu verstehen.
Verordnung (EU) 2022/2554 · Kapitel VII, Artikel 49 · gilt seit dem
17. Januar 2025 · Amtlicher Text bei EUR-Lex
(CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026
Wortlaut
Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.
(1) Die ESA können über den Gemeinsamen Ausschuss und in Zusammenarbeit mit — je nach Sachlage — den zuständigen Behörden, den in Artikel 3 der Richtlinie 2014/59/EU genannten nationalen Abwicklungsbehörden, der EZB, dem Einheitlichen Abwicklungsausschuss (bei Informationen über Unternehmen, die in den Geltungsbereich der Verordnung (EU) Nr. 806/2014 fallen), dem ESRB und der ENISA Mechanismen für den Austausch wirksamer Verfahren zwischen Finanzsektoren einrichten, um die Lageerfassung zu verbessern und sektorübergreifend gemeinsame Cyberanfälligkeiten und -risiken zu ermitteln.
Ebenso können sie Krisenmanagement- und Notfallübungen mit Szenarien für Cyberangriffe konzipieren, um Kommunikationskanäle zu entwickeln und schrittweise eine wirksame koordinierte Reaktion auf Unionsebene zu ermöglichen, sofern es zu einem schwerwiegenden grenzüberschreitenden IKT-bezogenen Vorfall oder einer vergleichbaren Bedrohung kommt, die systemische Auswirkungen auf den gesamten Finanzsektor der Union mit sich bringen.
Mit diesen Übungen können gegebenenfalls auch Abhängigkeiten des Finanzsektors von anderen Wirtschaftssektoren untersucht werden.
(2) Die zuständigen Behörden, die ESA und die EZB arbeiten eng zusammen und tauschen Informationen aus, um ihren Aufgaben gemäß den Artikeln 47 bis 54 nachzukommen. Dabei stimmen sie ihre Beaufsichtigungstätigkeit eng untereinander ab, um Verstöße gegen diese Verordnung festzustellen und ihnen entgegenzuwirken, bewährte Verfahren zu entwickeln und zu fördern, die Zusammenarbeit zu erleichtern, eine kohärente Auslegung zu fördern und bei Uneinigkeit eine Bewertung vorzunehmen, die sich nicht nur auf eine einzelne Rechtsordnung stützt.
Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.
Worum es geht
Artikel 49 ermöglicht den europäischen Aufsichtsbehörden, Mechanismen für den Austausch wirksamer Verfahren zwischen den Finanzsektoren einzurichten und Krisenmanagement- und Notfallübungen mit Szenarien für Cyberangriffe zu konzipieren.
Ausdrücklich genannt ist dabei die Möglichkeit, auch Abhängigkeiten des Finanzsektors von anderen Wirtschaftssektoren zu untersuchen.
In der Praxis
Eine Einladung zu einer solchen Übung ist eine Gelegenheit, kein Aufwand
Übungen auf Unionsebene sind selten und teuer. Wer beteiligt wird, bekommt ein Szenario, eine echte Uhr und eine Außensicht auf die eigene Reaktionsfähigkeit. Das sind Dinge, die intern kaum herzustellen sind.
Wer nicht beteiligt wird, kann die Idee im Kleinen übernehmen: einmal jährlich eine Trockenübung mit einem Szenario, das nicht das eigene Lieblingsszenario ist. Das ist zugleich der beste Test des Prozesses nach Artikel 17.
Absatz 2 nennt den Zweck der behördlichen Abstimmung offen
Verstöße feststellen und ihnen entgegenwirken, bewährte Verfahren entwickeln, kohärente Auslegung fördern und bei Uneinigkeit eine Bewertung vornehmen, „die sich nicht nur auf eine einzelne Rechtsordnung stützt“.
Der letzte Halbsatz ist die ehrlichste Zeile des Kapitels: Die Auslegung von DORA soll nicht national auseinanderlaufen. Für Häuser mit Tätigkeit in mehreren Mitgliedstaaten ist das die Grundlage, sich auf eine einheitliche Umsetzung zu berufen.
Was die Aufsicht dazu sagt
1 Antwort aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.
Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.
BaFinFührt die BaFin dedizierte Cyberkrisen- und Notfallübungen für alle Finanzunternehmen durch?
Nein. Die Finanzunternehmen müssen ihre Krisen- und Notfallpläne selbst entwickeln, etablieren und testen. DORA erlaubt den Aufsichtsbehörden sektorübergreifende Übungen; die BaFin hat daran teilgenommen und eigene Übungen durchgeführt, bietet aber keine Übungen für alle Unternehmen an.
Originalantwort bei der BaFin ↗
Erfasst am 3. Oktober 2026
Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.
Häufige Fragen zu Artikel 49
Gibt es europäische Cyberübungen für den Finanzsektor?
Artikel 49 Absatz 1 DORA ermöglicht es den europäischen Aufsichtsbehörden, über den Gemeinsamen Ausschuss und in Zusammenarbeit mit den zuständigen Behörden, Abwicklungsbehörden, der EZB, dem Einheitlichen Abwicklungsausschuss, dem ESRB und der ENISA Krisenmanagement- und Notfallübungen mit Szenarien für Cyberangriffe zu konzipieren. Eine Pflicht zur Durchführung enthält die Vorschrift nicht.
Weiter
Stand: 28. September 2026