Wen dieser Artikel betrifft
- VVoller Rahmen
- 16Artikel 16
- IKTIKT-Dienstleister
Verordnung (EU) 2022/2554 · Kapitel II, Artikel 5 · gilt seit dem
17. Januar 2025 · Amtlicher Text bei EUR-Lex
(CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026
Wortlaut
Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.
(1) Finanzunternehmen verfügen über einen internen Governance- und Kontrollrahmen, der im Einklang mit Artikel 6 Absatz 4 ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen.
(2) Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen nach Artikel 6 Absatz 1.
Für die Zwecke von Unterabsatz 1 gilt Folgendes:
- ¶a)Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens;
- ¶b)das Leitungsorgan führt Leitlinien ein, die darauf abzielen, hohe Standards in Bezug auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten aufrechtzuerhalten;
- ¶c)das Leitungsorgan legt klare Aufgaben und Verantwortlichkeiten für alle IKT-bezogenen Funktionen sowie angemessene Governance-Regelungen fest, um eine wirksame und rechtzeitige Kommunikation, Zusammenarbeit und Koordinierung zwischen diesen Funktionen zu gewährleisten;
- ¶d)das Leitungsorgan trägt die Gesamtverantwortung für die Festlegung und Genehmigung der Strategie für die digitale operationale Resilienz gemäß Artikel 6 Absatz 8, einschließlich der Festlegung der angemessenen Toleranzschwelle für das IKT-Risiko des Finanzunternehmens gemäß Artikel 6 Absatz 8 Buchstabe b;
- ¶e)das Leitungsorgan genehmigt, überwacht und überprüft regelmäßig die Umsetzung der in Artikel 11 Absatz 1 genannten IKT-Geschäftsfortführungsleitlinie und der in Artikel 11 Absatz 3 genannten IKT-Reaktions- und Wiederherstellungspläne, die als eigenständige spezielle Leitlinie, die integraler Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Finanzunternehmens und seines Reaktions- und Wiederherstellungsplans ist, verabschiedet werden können;
- ¶f)das Leitungsorgan genehmigt und überprüft regelmäßig die internen IKT-Revisionspläne des Finanzunternehmens, die IKT-Revision und die daran vorgenommenen wesentlichen Änderungen;
- ¶g)das Leitungsorgan weist angemessene Budgetmittel zu und überprüft diese regelmäßig, um den Anforderungen des Finanzunternehmens an die digitale operationale Resilienz in Bezug auf alle Arten von Ressourcen gerecht zu werden, einschließlich einschlägiger Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz nach Artikel 13 Absatz 6 sowie IKT-Kompetenzen für alle Mitarbeiter;
- ¶h)das Leitungsorgan genehmigt und überprüft regelmäßig die Leitlinie des Finanzunternehmens in Bezug auf Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die von IKT-Drittdienstleistern bereitgestellt werden;
- ¶i)das Leitungsorgan richtet auf Unternehmensebene Meldekanäle ein, die es ihm ermöglichen, ordnungsgemäß über Folgendes informiert zu werden:
- ¶i)mit IKT-Drittdienstleistern geschlossene Vereinbarungen über die Nutzung von IKT-Dienstleistungen,
- ¶ii)alle relevanten geplanten wesentlichen Änderungen in Bezug auf die IKT-Drittdienstleister,
- ¶iii)die potenziellen Auswirkungen derartiger Änderungen auf die kritischen oder wichtigen Funktionen, die Gegenstand dieser Vereinbarungen sind, einschließlich einer Zusammenfassung der Risikoanalyse, um die Auswirkungen dieser Änderungen zu bewerten, und zumindest über schwerwiegende IKT-bezogene Vorfälle und deren Auswirkungen sowie über Gegen-, Wiederherstellungs- und Korrekturmaßnahmen.
(3) Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, richten eine Funktion ein, um die mit IKT-Drittdienstleistern über die Nutzung von IKT-Dienstleistungen geschlossenen Vereinbarungen zu überwachen, oder benennen ein Mitglied der Geschäftsleitung, das für die Überwachung der damit verbundenen Risikoexposition und die einschlägige Dokumentation verantwortlich ist.
(4) Die Mitglieder des Leitungsorgans des Finanzunternehmens halten ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand — unter anderem indem sie regelmäßig spezielle Schulungen absolvieren — entsprechend den zu managenden IKT-Risiken, um die IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Finanzunternehmens verstehen und bewerten können.
Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.
Worum es geht
Artikel 5 legt fest, wer DORA im Haus verantwortet: das Leitungsorgan, und zwar seine Mitglieder selbst. Es definiert, genehmigt, überwacht und verantwortet den IKT-Risikomanagementrahmen. Die Arbeit daran lässt sich verteilen, die Verantwortung dafür nicht.
Dazu kommen zwei konkrete Pflichten, die in der Praxis oft übersehen werden: eine Funktion, die die Vereinbarungen mit IKT-Dienstleistern überwacht, und eine laufende Schulung des Leitungsorgans selbst.
In der Praxis
Absatz 2 ist der Satz, an dem jede Prüfung ansetzt
„Definiert, genehmigt, überwacht und verantwortet“ sind vier Tätigkeiten, und ein Prüfer fragt nach Belegen für jede einzelne. Ein Vorstandsbeschluss, der den Rahmen einmal genehmigt hat, deckt das zweite Verb ab und keines der übrigen.
Was trägt: ein Beschluss mit Datum, der ausdrücklich auf eine bestimmte Fassung des Rahmenwerks Bezug nimmt, und daneben eine regelmäßige Berichterstattung an das Leitungsorgan, aus der hervorgeht, dass überwacht wurde. Ohne das zweite ist der Beschluss ein Blatt Papier von vor zwei Jahren.
Die Überwachungsfunktion nach Absatz 3 fehlt am häufigsten
Jedes Finanzunternehmen, das kein Kleinstunternehmen ist, muss eine Funktion einrichten, die die Vereinbarungen mit IKT-Drittdienstleistern überwacht, oder dafür ein Mitglied der Geschäftsleitung benennen.
In kleineren Häusern läuft das faktisch über das vorhandene Auslagerungsmanagement. Wo die Funktion angesiedelt ist, schreibt DORA nicht vor. Geregelt sein muss es aber ausdrücklich: mit Aufgabenbeschreibung, benannter Person und dem Hinweis, dass diese Funktion auch IKT-Dienstleistungen erfasst, die nach altem Verständnis keine Auslagerung waren. Genau diese Abgrenzung ist der Punkt, an dem in der Praxis Lücken entstehen.
Die Schulungspflicht des Leitungsorgans ist leicht zu prüfen
Absatz 4 verlangt, dass die Mitglieder des Leitungsorgans ihre Kenntnisse aktiv auf dem neuesten Stand halten, unter anderem durch regelmäßige spezielle Schulungen. Das ist eine der wenigen Anforderungen, die sich in einer Prüfung in zwei Minuten überprüfen lassen: Es gibt Teilnahmenachweise, oder es gibt keine.
Wie viel Schulung genügt, sagt die Verordnung nicht; das richtet sich nach Größe und Risikoprofil des Hauses. Was in jedem Fall zählt, ist der Nachweis: Termin, Themen, Teilnehmer. Keine Schulung zu haben, kostet in der Prüfung mehr, als die Schulung gekostet hätte.
Konkretisiert durch
- Delegierte Verordnung (EU) 2024/1774, Artikel 1 bis 3. Gesamtrisikoprofil, allgemeine Elemente der IKT-Sicherheitsrichtlinien und die Ausgestaltung des IKT-Risikomanagements. Amtlicher Text (CELEX 32024R1774)
- Delegierte Verordnung (EU) 2024/1774, Artikel 19. Richtlinien für die Personalpolitik. Amtlicher Text (CELEX 32024R1774)
Die Zuordnung der einzelnen Artikel ist eine fachliche Einschätzung. Verbindlich ist allein der Wortlaut der jeweiligen Verordnung.
Was die Aufsicht dazu sagt
3 Antworten aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.
Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.
BaFinFür wen gelten die BAIT seit dem 17.01.2025 noch?
Nur noch für Unternehmen, die sie bisher anzuwenden hatten und das IKT-Risikomanagement nach DORA noch nicht umsetzen müssen (etwa Bürgschaftsbanken, Drittstaatenzweigstellen, Finanzdienstleistungsinstitute und Wohnungsunternehmen mit Spareinrichtung, und zwar bis Ende 2026), sowie für Unternehmen ganz außerhalb von DORA, etwa Finanzholdings.
Originalantwort bei der BaFin ↗
Erfasst am 3. Oktober 2026
BaFinWas muss das Leitungsorgan künftig leisten?
Deutlich mehr als bisher: festlegen, genehmigen, überwachen und überprüfen. Das setzt vertieftes Risikoverständnis, ausreichende Ressourcen und einschlägige Expertise voraus.
Originalantwort bei der BaFin ↗
Erfasst am 3. Oktober 2026
ESAs · DORA252Ist es zulässig, einen unabhängigen Dritten mit einem regelmäßigen gemeinsamen Audit eines IKT-Drittdienstleisters zu beauftragen?
Ja, gemeinsame Audits durch beauftragte Dritte sind zulässig; die Verantwortung bleibt aber bei jedem einzelnen Finanzunternehmen. Das Leitungsorgan muss sich über Auswahl und Genehmigung des Prüfers sowie über Häufigkeit, Umfang und Methodik vergewissern, und das Unternehmen muss das Recht behalten, Änderungen zu verlangen und erforderlichenfalls selbst zu prüfen.
Originalantwort bei den Europäischen Aufsichtsbehörden ↗
Status: Final · Frage eingereicht am 25. Juli 2025 · hier erfasst am 5. Oktober 2026
Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.
Was am Ende vorliegen muss
Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:
- Beschluss des Leitungsorgans über den IKT-Risikomanagementrahmen, mit Datum und Bezug auf die genehmigte Fassung
- Regelung, wer die Vereinbarungen mit IKT-Dienstleistern überwacht (als Funktion oder als benanntes Mitglied der Geschäftsleitung)
- Berichterstattung an das Leitungsorgan, aus der die Überwachung hervorgeht
- Nachweise über die Schulungen des Leitungsorgans
Häufige Fragen zu Artikel 5
Wer ist nach DORA für das IKT-Risikomanagement verantwortlich?
Das Leitungsorgan des Finanzunternehmens. Artikel 5 Absatz 2 DORA weist ihm ausdrücklich zu, die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen zu definieren, zu genehmigen, zu überwachen und zu verantworten. Diese Verantwortung lässt sich nicht an die IT oder an einen Dienstleister abgeben.
Braucht ein kleines Institut eine eigene Funktion für die Dienstleisterüberwachung?
Nach Artikel 5 Absatz 3 DORA muss jedes Finanzunternehmen, das kein Kleinstunternehmen ist, eine solche Funktion einrichten oder ein Mitglied der Geschäftsleitung dafür benennen. Sie kann beim vorhandenen Auslagerungsmanagement angesiedelt werden, muss dann aber ausdrücklich auch IKT-Dienstleistungen erfassen.
Stand: 28. September 2026