Neun Kapitel, 64 Artikel. Ein Klick auf eine Artikelzeile zeigt die Kurzfassung, ohne die Seite zu verlassen.
Kapitel IAllgemeine BestimmungenArtikel 1 bis 4
Was die Verordnung regelt, für wen sie gilt, was die Begriffe bedeuten, und der Grundsatz, der über den ganzen Rest entscheidet: Verhältnismäßigkeit.
Art. 1GegenstandV16IKT
Artikel 1 sagt in vier Buchstaben, woraus DORA besteht: Anforderungen an Finanzunternehmen selbst, Anforderungen an ihre Verträge mit IKT-Dienstleistern, der Überwachungsrahmen für kritische Dienstleister und die Regeln für die Aufsicht.
Der praktisch wichtigste Satz steht in Absatz 2. Für Finanzunternehmen, die nach nationalem Recht als wesentliche oder wichtige Unternehmen im Sinne der NIS-2-Richtlinie gelten, ist DORA der sektorspezifische Rechtsakt. Das entscheidet darüber, welches Regelwerk gilt, wenn zwei gleichzeitig zu passen scheinen.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 1 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 2GeltungsbereichV16IKT
Artikel 2 ist die Seite, mit der jede Umsetzung anfängt: Fällt mein Haus darunter? Absatz 1 zählt 21 Arten von Unternehmen auf, von Kreditinstituten bis zu den IKT-Drittdienstleistern.
Zwei Feinheiten entscheiden mehr, als es aussieht. Nach Absatz 2 sind nur die Buchstaben a bis t „Finanzunternehmen“; IKT-Drittdienstleister unter Buchstabe u sind es nicht. Und Absatz 3 nimmt sechs Gruppen ausdrücklich aus.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 2 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 3BegriffsbestimmungenV16IKT
Artikel 3 enthält 65 Begriffsbestimmungen. Jede ist hier einzeln verlinkbar, etwa Nummer 22 für die kritische oder wichtige Funktion.
Diese Seite ist kein Glossar zum Durchlesen, sondern zum Nachschlagen. Vier Bestimmungen tragen dabei mehr Gewicht als die übrigen 61: sie entscheiden darüber, welche Verträge Sie erfassen, welche Funktionen Sie einstufen und in welcher Tiefe Sie arbeiten müssen.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 3 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 4Grundsatz der VerhältnismäßigkeitV16
Artikel 4 ist der Artikel, auf den sich in Umsetzungsprojekten am häufigsten berufen wird und der am seltensten zu Ende gelesen wird.
Absatz 1 gilt für Kapitel II. Absatz 2 erstreckt die Verhältnismäßigkeit auf die Kapitel III und IV und auf Kapitel V Abschnitt I, aber nur „wie dies in den einschlägigen Vorschriften jener Kapitel ausdrücklich vorgesehen ist“. Und Absatz 3 sagt, dass die Aufsicht die Anwendung des Grundsatzes prüft.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 4 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Kapitel IIIKT-RisikomanagementArtikel 5 bis 16
Das Herzstück. Was ein Haus an Governance, Rahmenwerk, Schutz, Erkennung, Wiederherstellung und Kommunikation vorhalten muss, und in Artikel 16 die vereinfachte Fassung für kleinere Unternehmen.
Governance
Art. 5Governance und OrganisationV
Artikel 5 legt fest, wer DORA im Haus verantwortet: das Leitungsorgan, und zwar persönlich. Es definiert, genehmigt, überwacht und verantwortet den IKT-Risikomanagementrahmen: vier Verben, die man nicht delegieren kann.
Dazu kommen zwei konkrete Pflichten, die in der Praxis oft übersehen werden: eine Funktion, die die Vereinbarungen mit IKT-Dienstleistern überwacht, und eine laufende Schulung des Leitungsorgans selbst.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 5 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Der IKT-Risikomanagementrahmen
Art. 6IKT-RisikomanagementrahmenV
Artikel 6 ist die zentrale Vorschrift des ganzen Kapitels. Er verlangt einen soliden, umfassenden und gut dokumentierten Rahmen, der Teil des Gesamtrisikomanagements ist, also nicht daneben, sondern darin.
Vier Dinge daraus tragen die Umsetzung: eine unabhängige Kontrollfunktion (Absatz 4), die mindestens jährliche Überprüfung (Absatz 5), die interne Revision (Absatz 6) und die Strategie für die digitale operationale Resilienz (Absatz 8).
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 6 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 7IKT-Systeme, -Protokolle und -ToolsV
Artikel 7 ist kurz und wird deshalb unterschätzt. Er verlangt, dass die eingesetzten Systeme angemessen, zuverlässig, ausreichend leistungsfähig und technisch aktuell sind.
Er ist die Vorschrift, an der sich Altsysteme brechen, und der Grund, warum eine Kapazitätsplanung nicht nur eine gute Idee, sondern eine Anforderung ist.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 7 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 8IdentifizierungV
Artikel 8 ist die Grundlage, auf der alles andere steht. Wer nicht weiß, welche Funktionen er hat, welche Assets sie stützen und welche Dienstleister daran hängen, kann weder schützen noch wiederherstellen noch melden.
Die Vorschrift verlangt Inventare für Funktionen, für Assets und für die Prozesse, die von IKT-Drittdienstleistern abhängen, und deren laufende Aktualisierung.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 8 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 9Schutz und PräventionV
Artikel 9 ist der technische Kern: Er verlangt die fortlaufende Überwachung der Sicherheit, den Einsatz geeigneter Richtlinien, Verfahren und Werkzeuge sowie konkrete Schutzziele, nämlich Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit.
Fast der gesamte Titel II der Delegierten Verordnung (EU) 2024/1774 konkretisiert diesen einen Artikel. Wer ihn umsetzt, arbeitet in Wahrheit dort.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 9 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 10ErkennungV
Artikel 10 verlangt Mechanismen, die anomale Aktivitäten umgehend erkennen, mehrere Kontrollebenen vorsehen und Alarmschwellen festlegen, die den Reaktionsprozess auslösen.
Er ist die Brücke zwischen dem Schutz nach Artikel 9 und der Behandlung von Vorfällen nach Artikel 17.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 10 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 11Reaktion und WiederherstellungV
Artikel 11 verlangt eine eigenständige IKT-Geschäftsfortführungsleitlinie, dazu Reaktions- und Wiederherstellungspläne, eine Business-Impact-Analyse und (für Häuser, die keine Kleinstunternehmen sind) eine Krisenmanagementfunktion.
Er ist die Vorschrift, an der sich zeigt, ob ein vorhandenes Notfallmanagement nach BSI-Standard oder ISO 22301 auf DORA passt. Meistens passt es weitgehend, aber nicht ganz.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 11 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 12Richtlinie und Verfahren zum Backup sowie Verfahren und Methoden zur Wiedergewinnung und WiederherstellungV
Artikel 12 regelt die Sicherung und die Wiederherstellung von Systemen und Daten. Er ist deutlich konkreter als der Rest des Kapitels und enthält Anforderungen, die sich direkt gegen die Technik prüfen lassen.
Die wichtigste: Systeme zur Wiedergewinnung müssen vom Quellsystem physisch und logisch getrennt sein.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 12 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 13Lernprozesse und WeiterentwicklungV
Artikel 13 schließt den Kreis: Was aus Vorfällen, Tests und Übungen gelernt wurde, muss in den Rahmen zurückfließen. Dazu gehören nachträgliche Prüfungen nach schwerwiegenden Vorfällen, eine jährliche Berichterstattung an das Leitungsorgan und verpflichtende Schulungen für alle Mitarbeitenden.
Die Schulungspflicht gilt ausdrücklich auch für das Leitungsorgan.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 13 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 14KommunikationV
Artikel 14 verlangt Kommunikationspläne für die verantwortungsbewusste Offenlegung von schwerwiegenden Vorfällen und Schwachstellen, Kommunikationsstrategien nach innen und außen sowie mindestens eine Person, die die Kommunikationsstrategie umsetzt und gegenüber Öffentlichkeit und Medien auftritt.
Es ist der kürzeste Artikel des Kapitels und einer der am leichtesten zu erfüllenden, wenn man ihn kennt.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 14 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 15Weitere Harmonisierung von Tools, Methoden, Prozessen und Richtlinien für IKT-RisikomanagementV
Artikel 15 richtet sich nicht an Finanzunternehmen, sondern an die europäischen Aufsichtsbehörden: Er beauftragt sie, technische Regulierungsstandards zu entwickeln.
Er steht hier trotzdem, weil er erklärt, woher die Delegierte Verordnung (EU) 2024/1774 kommt, und damit fast alles, was in der Umsetzung tatsächlich zu tun ist.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 15 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Vereinfachter IKT-Risikomanagementrahmen
Art. 16Vereinfachter IKT-Risikomanagementrahmen16
Artikel 16 nimmt kleinere und weniger komplexe Finanzunternehmen aus dem vollen IKT-Risikomanagementrahmen der Artikel 5 bis 15 heraus und stellt ihnen einen eigenen, schlankeren Rahmen daneben. Nicht weniger Verantwortung, sondern weniger Formalismus.
Konkretisiert wird der vereinfachte Rahmen nicht durch die Verordnung selbst, sondern durch Titel III der Delegierten Verordnung (EU) 2024/1774, also deren Artikel 28 bis 41. Das ist die entscheidende Fundstelle in der Praxis: Wer nur Artikel 16 liest, hat drei Absätze gesehen und vierzehn Artikel nicht.
Betrifft: Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 16 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Kapitel IIIBehandlung, Klassifizierung und Berichterstattung IKT-bezogener VorfälleArtikel 17 bis 23
Vom Erkennen eines Vorfalls über die Einstufung bis zur Meldung an die Aufsicht, mit den Fristen, die im Ernstfall niemand mehr nachlesen kann.
Art. 17Prozess für die Behandlung IKT-bezogener VorfälleV16
Artikel 17 verlangt einen Prozess, mit dem IKT-bezogene Vorfälle erkannt, behandelt und gemeldet werden. Absatz 2 setzt davor einen Satz, der oft überlesen wird: Finanzunternehmen erfassen alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen, nicht nur die meldepflichtigen.
Absatz 3 nennt sechs Bestandteile, die der Prozess haben muss: Frühwarnindikatoren, Verfahren zur Klassifizierung, zugewiesene Funktionen und Zuständigkeiten, Kommunikationspläne, die Meldung an die Geschäftsleitung und Verfahren für Reaktionsmaßnahmen.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 17 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 18Klassifizierung von IKT-bezogenen Vorfällen und CyberbedrohungenV16
Artikel 18 gibt die sechs Kriterien vor, nach denen ein IKT-bezogener Vorfall klassifiziert wird: betroffene Kunden und Transaktionen samt Reputationsschaden, Dauer einschließlich Ausfallzeit, geografische Ausbreitung, Verluste bei Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten, Kritikalität der betroffenen Dienste und die wirtschaftlichen Auswirkungen.
Die Schwellen dazu stehen nicht in DORA, sondern in der Delegierten Verordnung (EU) 2024/1772. Erst die beiden zusammen ergeben die Frage, die zählt: Ist dieser Vorfall schwerwiegend und damit meldepflichtig?
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 18 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 19Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher CyberbedrohungenV16
Artikel 19 ist der Artikel mit der Uhr. Schwerwiegende IKT-bezogene Vorfälle sind der zuständigen Behörde zu melden, und zwar in drei Stufen: Erstmeldung, Zwischenmeldung, Abschlussmeldung (Absatz 4).
Die Fristen stehen nicht hier, sondern in Artikel 5 der Delegierten Verordnung (EU) 2025/301: Erstmeldung innerhalb von vier Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntniserlangung; Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung; Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 19 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 20Harmonisierung von Inhalt und Vorlagen von Meldungen
Artikel 20 selbst verpflichtet kein Finanzunternehmen. Er ist der Auftrag, aus dem die beiden Rechtsakte hervorgegangen sind, nach denen in der Praxis gemeldet wird.
Buchstabe a Ziffer ii ist die wichtigste Zeile der Verordnung für jeden, der einmal unter Zeitdruck gemeldet hat: Er ist die Grundlage der Meldefristen, die dann in der Delegierten Verordnung (EU) 2025/301 stehen.
Betrifft: Richtet sich an die Aufsicht
Artikel 20 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 21Zentralisierung der Berichterstattung über schwerwiegende IKT-bezogene Vorfälle
Artikel 21 verpflichtet die europäischen Aufsichtsbehörden, die Durchführbarkeit einer einheitlichen EU-Plattform für die Vorfallmeldung zu prüfen und bis zum 17. Januar 2025 darüber zu berichten.
Für Ihr Haus folgt daraus heute keine Pflicht. Der Artikel steht hier, weil er den wahrscheinlichsten Weg beschreibt, auf dem sich der Meldeweg in den nächsten Jahren ändern wird.
Betrifft: Richtet sich an die Aufsicht
Artikel 21 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 22Rückmeldungen von Aufsichtsbehörden
Artikel 22 richtet sich an die Behörden, nicht an Ihr Haus. Er sagt, was nach einer Meldung zurückkommt: eine Eingangsbestätigung und, wenn möglich, Rückmeldungen oder allgemein gehaltene Orientierungshilfen.
Absatz 2 verpflichtet die Aufsichtsbehörden, jährlich anonymisiert und aggregiert über schwerwiegende Vorfälle zu berichten und Warnungen herauszugeben.
Betrifft: Richtet sich an die Aufsicht
Artikel 22 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 23Zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffenV16
Artikel 23 ist ein Satz, und er erweitert das ganze Kapitel: Die Anforderungen gelten auch für zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, wenn sie Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister oder E-Geld-Institute betreffen.
Damit ist eine Frage beantwortet, die in diesen Häusern regelmäßig aufkommt: Es gibt nicht zwei getrennte Vorfallwelten.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 23 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Kapitel IVTesten der digitalen operationalen ResilienzArtikel 24 bis 27
Das regelmäßige Testprogramm für alle, dazu die bedrohungsgeleiteten Penetrationstests (TLPT) für die Häuser, die von der Aufsicht dafür benannt werden.
Art. 24Allgemeine Anforderungen für das Testen der digitalen operationalen ResilienzV16
Artikel 24 verlangt von allen Finanzunternehmen, die keine Kleinstunternehmen sind, ein Programm für das Testen der digitalen operationalen Resilienz, als integralen Bestandteil des IKT-Risikomanagementrahmens nach Artikel 6.
Zwei Vorgaben daraus sind hart: Tests werden von unabhängigen internen oder externen Parteien durchgeführt (Absatz 4), und alle IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, werden mindestens einmal jährlich getestet (Absatz 6).
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 24 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 25Testen von IKT-Tools und -SystemenV16
Artikel 25 Absatz 1 zählt auf, was in ein Testprogramm gehören kann: Schwachstellenbewertungen und -scans, Open-Source-Analysen, Netzwerksicherheitsbewertungen, Lückenanalysen, Überprüfungen der physischen Sicherheit, Fragebögen, Scans von Softwarelösungen, Quellcodeprüfungen soweit durchführbar, szenariobasierte Tests, Kompatibilitäts-, Leistungs-, End-to-End- und Penetrationstests.
Das ist eine Auswahlliste, kein Pflichtenheft: Sie wird „im Einklang mit den in Artikel 4 Absatz 2 aufgeführten Kriterien“ angewendet, also nach Größe, Risikoprofil, Art, Umfang und Komplexität.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 25 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 26Erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis von TLPTV
Artikel 26 ist der anspruchsvollste Artikel des Kapitels, und der mit dem kleinsten Kreis. Betroffen sind nur Häuser, die die zuständige Behörde dafür ermittelt (Absatz 8 Unterabsatz 3); ausgenommen sind Unternehmen unter dem vereinfachten Rahmen des Artikels 16 und Kleinstunternehmen.
Wer betroffen ist, führt mindestens alle drei Jahre einen bedrohungsgeleiteten Penetrationstest an Live-Produktionssystemen durch, die kritische oder wichtige Funktionen unterstützen.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 26 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 27Anforderungen an Tester bezüglich der Durchführung von TLPTV
Artikel 27 legt fest, wen man für einen TLPT beauftragen darf. Fünf Anforderungen: höchste Eignung und Ansehen, nachgewiesenes Fachwissen in Bedrohungsanalyse, Penetrationstests und Red-Team-Tests, Zertifizierung durch eine Akkreditierungsstelle oder Einhaltung formaler Verhaltenskodizes, eine unabhängige Gewähr oder ein Auditbericht zum Risikomanagement des Testers sowie eine Berufshaftpflichtversicherung einschließlich Fehlverhalten und Fahrlässigkeit.
Für interne Tester kommen drei Bedingungen hinzu, darunter die Genehmigung durch die zuständige Behörde.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 27 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Kapitel VManagement des Risikos durch IKT-DrittanbieterArtikel 28 bis 44
Die Steuerung der Dienstleister: Grundsätze, Vorabbewertung, Vertragsinhalte, Ausstieg, dazu der europäische Überwachungsrahmen für die kritischen Anbieter.
Wesentliche Grundsätze
Art. 28Allgemeine PrinzipienV16IKT
Artikel 28 ist die Grundnorm der Dienstleistersteuerung. Er enthält den Satz, an dem alles hängt: Das Finanzunternehmen bleibt jederzeit in vollem Umfang für die Einhaltung seiner Pflichten verantwortlich, auch für das, was ein Dienstleister für es tut.
Aus den zehn Absätzen folgen vier Dinge, die ein Haus vorhalten muss: eine Strategie für das IKT-Drittparteienrisiko (Absatz 2), das Informationsregister (Absatz 3), die Vorabbewertung vor jedem Vertragsschluss (Absatz 4) und Ausstiegsstrategien für kritische oder wichtige Funktionen (Absatz 8).
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 28 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 29Vorläufige Bewertung des IKT-Konzentrationsrisikos auf UnternehmensebeneV16IKT
Artikel 29 ergänzt die Vorabbewertung des Artikels 28 Absatz 4 um eine Frage, die man sich sonst zu spät stellt: Macht dieser Vertrag das Haus abhängiger, als es schon ist?
Zwei Fälle nennt Absatz 1 ausdrücklich: ein Anbieter, der nicht ohne Weiteres ersetzbar ist, und die Bündelung mehrerer kritischer Funktionen bei demselben oder bei eng verbundenen Anbietern. Absatz 2 nimmt die Unterauftragskette, das Insolvenzrecht und den Drittlandbezug dazu.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 29 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 30Wesentliche VertragsbestimmungenV16IKT
Artikel 30 ist der Artikel, mit dem die meiste Arbeit verbunden ist, und zugleich der einzige, den Sie nicht allein erledigen können: Für jede Änderung brauchen Sie die Gegenseite.
Er hat zwei Stufen. Absatz 2 nennt neun Elemente, die in jedem Vertrag über IKT-Dienstleistungen stehen müssen, unabhängig von der Kritikalität. Absatz 3 nennt sechs weitere, die hinzukommen, sobald die gestützte Funktion kritisch oder wichtig ist. Die Einstufung entscheidet also über den Vertragsinhalt.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 30 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Überwachungsrahmen für kritische IKT-Drittdienstleister
Art. 31Einstufung kritischer IKT-DrittdienstleisterV16IKT
Artikel 31 ist der Anfang des Überwachungsrahmens: Die europäischen Aufsichtsbehörden stufen IKT-Dienstleister als kritisch ein und benennen für jeden eine federführende Überwachungsbehörde.
Für ein Finanzunternehmen ist vor allem Absatz 12 wichtig: Die Dienstleistungen eines kritisch eingestuften Anbieters mit Sitz in einem Drittland dürfen Sie nur in Anspruch nehmen, wenn er innerhalb von zwölf Monaten nach der Einstufung ein Tochterunternehmen in der Union gegründet hat.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 31 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 32Struktur des Überwachungsrahmens
Artikel 32 richtet das Überwachungsforum ein: einen Unterausschuss des Gemeinsamen Ausschusses der drei europäischen Aufsichtsbehörden, der die Arbeit an der Überwachung des IKT-Drittparteienrisikos über alle Finanzsektoren hinweg trägt.
Der Artikel begründet keine Pflicht für Ihr Haus. Er ist trotzdem nützlich: Er zeigt, wer am Tisch sitzt, wenn Referenzwerte und gemeinsame Positionen für kritische Dienstleister entstehen; die kommen später bei Ihnen an.
Betrifft: Richtet sich an die Aufsicht
Artikel 32 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 33Aufgaben der federführenden ÜberwachungsbehördeIKT
Artikel 33 ist für Dienstleister der aufschlussreichste Artikel des ganzen Abschnitts: Absatz 3 zählt in neun Buchstaben auf, was die Aufsicht bei einem kritischen Anbieter tatsächlich ansieht.
Wer als Anbieter wissen will, worauf es ankommt, findet hier die Antwort, und zwar unabhängig davon, ob er selbst je kritisch eingestuft wird. Denn dieselben neun Punkte stehen später in den Fragebögen der Finanzkunden.
Betrifft: IKT-Dienstleister
Artikel 33 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 34Operative Zusammenarbeit zwischen den federführenden Überwachungsbehörden
Artikel 34 richtet das gemeinsame Überwachungsnetz (JON) ein, in dem die drei federführenden Überwachungsbehörden ihre Arbeit abstimmen.
Der Artikel begründet keine Pflicht für Ihr Haus. Man braucht ihn, weil das JON in den folgenden Artikeln immer wieder auftaucht: bei Untersuchungen, Inspektionen, Zwangsgeldern und Folgemaßnahmen.
Betrifft: Richtet sich an die Aufsicht
Artikel 34 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 35Befugnisse der federführenden ÜberwachungsbehördeIKT
Artikel 35 gibt der federführenden Überwachungsbehörde vier Befugnisse: Informationen anfordern, untersuchen und inspizieren, Berichte über Abhilfemaßnahmen verlangen und Empfehlungen abgeben, bis hin zu der Empfehlung, von einer geplanten Untervergabe abzusehen.
Und er enthält das schärfste Instrument der Verordnung gegenüber einem Anbieter: ein tägliches Zwangsgeld von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des Vorjahres, für höchstens sechs Monate.
Betrifft: IKT-Dienstleister
Artikel 35 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 36Ausübung der Befugnisse der federführenden Überwachungsbehörde außerhalb der UnionIKT
Artikel 36 regelt den Fall, dass sich die Überwachungsziele über die Unionstochter und über Standorte in der Union nicht erreichen lassen: Dann kann die Behörde auch an Standorten in einem Drittland tätig werden.
Das geht nur unter vier kumulativen Bedingungen, darunter zwei, die nicht in der Hand der Behörde liegen: der Anbieter muss zustimmen, und die Behörde des Drittlands darf keine Einwände erheben.
Betrifft: IKT-Dienstleister
Artikel 36 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 37AuskunftsersuchenIKT
Artikel 37 unterscheidet zwei Wege, auf denen die Aufsicht Informationen von einem kritischen Anbieter verlangt: das einfache Ersuchen und den Beschluss. Der Unterschied ist erheblich.
Beim einfachen Ersuchen muss die Behörde ausdrücklich mitteilen, dass keine Pflicht zur Übermittlung besteht, die Angaben aber nicht falsch oder irreführend sein dürfen. Beim Beschluss nennt sie das Zwangsgeld und den Rechtsbehelfsweg.
Betrifft: IKT-Dienstleister
Artikel 37 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 38Allgemeine UntersuchungenIKT
Artikel 38 gibt der Aufsicht fünf Befugnisse für Untersuchungen bei kritischen Anbietern: Material jeder Speicherform prüfen, Kopien verlangen, Vertreter vorladen und befragen, Dritte mit deren Zustimmung befragen und Aufzeichnungen von Telefongesprächen und Datenübermittlungen anfordern.
Untersuchungen finden nicht vor Ort statt; das ist Artikel 39. Hier geht es um Unterlagen, Auskünfte und Befragungen.
Betrifft: IKT-Dienstleister
Artikel 38 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 39InspektionenIKT
Artikel 39 erlaubt der Aufsicht, Geschäftsräume, Grundstücke und Gebäude eines kritischen Anbieters zu betreten (Hauptverwaltungen, Betriebszentren und sekundäre Räumlichkeiten) und dort Vor-Ort-Inspektionen durchzuführen.
Nach Absatz 4 erstreckt sich die Inspektion auf das gesamte Spektrum einschlägiger IKT-Systeme, Netzwerke, Geräte, Informationen und Daten, die für die Erbringung der Dienstleistungen für Finanzunternehmen verwendet werden.
Betrifft: IKT-Dienstleister
Artikel 39 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 40Laufende ÜberwachungIKT
Artikel 40 richtet für jeden kritischen Anbieter ein gemeinsames Untersuchungsteam ein, das aus Mitarbeitern der europäischen Aufsichtsbehörden und der zuständigen nationalen Behörden besteht.
Und er enthält zwei Angaben, die man sich merken sollte: innerhalb von drei Monaten nach Abschluss einer Untersuchung oder Inspektion werden die Empfehlungen angenommen, und die Behörde kann dabei Zertifizierungen Dritter und Prüfberichte berücksichtigen.
Betrifft: IKT-Dienstleister
Artikel 40 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 41Harmonisierung der Voraussetzungen für die Durchführung der Überwachungstätigkeiten
Artikel 41 ist ein Mandatsartikel: Er beauftragt die europäischen Aufsichtsbehörden mit technischen Regulierungsstandards zu vier Punkten.
Der praktisch sichtbarste davon ist Buchstabe b: Inhalt, Struktur und Format der Informationen, die Anbieter übermitteln müssen, einschließlich der Vorlage für die Angaben zur Untervergabe.
Betrifft: Richtet sich an die Aufsicht
Artikel 41 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 42Folgemaßnahmen zuständiger BehördenV16IKT
Artikel 42 ist der Artikel aus diesem Abschnitt, der unmittelbar Ihr Haus betrifft. Er beschreibt, was passiert, wenn ein kritischer Anbieter den Empfehlungen der Aufsicht nicht folgt.
Die Kette hat fünf Stufen: Der Anbieter muss binnen 60 Kalendertagen erklären, ob er folgt. Eine fehlende oder unzureichende Erklärung wird veröffentlicht. Die Behörden unterrichten Sie über die festgestellten Risiken. Sie müssen diese Risiken berücksichtigen. Und als letztes Mittel kann die Behörde verlangen, dass Sie die Nutzung aussetzen oder den Vertrag kündigen.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 42 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 43ÜberwachungsgebührenIKT
Artikel 43 legt fest, dass die federführende Überwachungsbehörde von kritischen Anbietern Gebühren erhebt, die ihre Ausgaben für die Überwachung vollständig decken, einschließlich der Kosten des gemeinsamen Untersuchungsteams.
Die Höhe steht in einem angemessenen Verhältnis zum Umsatz des Anbieters und wird durch delegierten Rechtsakt festgelegt.
Betrifft: IKT-Dienstleister
Artikel 43 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 44Internationale Zusammenarbeit
Artikel 44 schließt Kapitel V ab: Die europäischen Aufsichtsbehörden können Verwaltungsvereinbarungen mit Regulierungs- und Überwachungsbehörden von Drittländern schließen, um die internationale Zusammenarbeit beim IKT-Drittparteienrisiko zu fördern.
Alle fünf Jahre legen sie dem Parlament, dem Rat und der Kommission einen gemeinsamen vertraulichen Bericht über die Ergebnisse der Gespräche vor.
Betrifft: Richtet sich an die Aufsicht
Artikel 44 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Kapitel VIVereinbarungen über den Austausch von InformationenArtikel 45
Der freiwillige Austausch von Erkenntnissen zu Cyberbedrohungen zwischen Finanzunternehmen.
Art. 45Vereinbarungen über den Austausch von Informationen und Erkenntnissen zu CyberbedrohungenV16
Artikel 45 erlaubt Finanzunternehmen, untereinander Informationen und Erkenntnisse über Cyberbedrohungen auszutauschen: Kompromittierungsindikatoren, Taktiken, Techniken und Verfahren, Warnungen, Konfigurationstools.
Das ist eine Erlaubnis, keine Pflicht. Eine Pflicht entsteht erst, wenn Sie teilnehmen: Nach Absatz 3 ist der zuständigen Behörde mitzuteilen, dass Sie eingebunden sind, und ebenso, wenn die Mitwirkung endet.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 45 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Kapitel VIIZuständige BehördenArtikel 46 bis 56
Wer beaufsichtigt, wie die Behörden zusammenarbeiten und welche Sanktionen möglich sind.
Art. 46Zuständige Behörden
Artikel 46 beantwortet eine Frage, die man nur einmal klären muss, dann aber sicher: Welche Behörde überwacht die Einhaltung von DORA in Ihrem Fall?
Siebzehn Buchstaben, jeder mit Verweis auf den Rechtsakt, der die Zuständigkeit begründet. Für Kreditinstitute ist es die nach Artikel 4 der Richtlinie 2013/36/EU benannte Behörde; bei als bedeutend eingestuften Instituten die EZB.
Betrifft: Richtet sich an die Aufsicht
Artikel 46 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 47Zusammenarbeit mit den durch die Richtlinie (EU) 2022/2555 geschaffenen Strukturen und Behörden
Artikel 47 verbindet die Finanzaufsicht mit der Welt der NIS-2-Richtlinie: Beteiligung an der Kooperationsgruppe, Austausch mit zentralen Anlaufstellen und Computer-Notfallteams (CSIRT), Kooperationsvereinbarungen.
Für Ihr Haus entsteht daraus keine Pflicht. Der Artikel erklärt aber, warum ein Vorfall, den Sie nach Artikel 19 melden, an Stellen ankommt, die nicht zur Finanzaufsicht gehören.
Betrifft: Richtet sich an die Aufsicht
Artikel 47 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 48Zusammenarbeit der Behörden
Artikel 48 besteht aus zwei Sätzen: Die zuständigen Behörden arbeiten eng zusammen (untereinander und mit der federführenden Überwachungsbehörde) und tauschen zeitnah alle relevanten Informationen über kritische IKT-Drittdienstleister aus.
Er begründet keine Pflicht für Ihr Haus, erklärt aber den Informationsfluss, der hinter Artikel 42 steht.
Betrifft: Richtet sich an die Aufsicht
Artikel 48 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 49Sektorübergreifende Übungen, Kommunikation und Zusammenarbeit im Finanzbereich
Artikel 49 ermöglicht den europäischen Aufsichtsbehörden, Mechanismen für den Austausch wirksamer Verfahren zwischen den Finanzsektoren einzurichten und Krisenmanagement- und Notfallübungen mit Szenarien für Cyberangriffe zu konzipieren.
Ausdrücklich genannt ist dabei die Möglichkeit, auch Abhängigkeiten des Finanzsektors von anderen Wirtschaftssektoren zu untersuchen.
Betrifft: Richtet sich an die Aufsicht
Artikel 49 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 50Verwaltungsrechtliche Sanktionen und AbhilfemaßnahmenV16
Artikel 50 gibt den zuständigen Behörden die Aufsichts-, Untersuchungs- und Sanktionsbefugnisse. Absatz 2 nennt drei Mindestbefugnisse, darunter Vor-Ort-Inspektionen und die Vorladung von Vertretern des Finanzunternehmens.
Absatz 4 verpflichtet die Mitgliedstaaten, mindestens fünf Sanktionen und Abhilfemaßnahmen vorzusehen, bis hin zur öffentlichen Bekanntmachung mit Identität und Art des Verstoßes. Und nach Absatz 5 können sie auch Mitglieder des Leitungsorgans persönlich treffen.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 50 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 51Ausübung der Befugnis zur Auferlegung von verwaltungsrechtlichen Sanktionen und AbhilfemaßnahmenV16
Artikel 51 sagt, wonach sich Art und Umfang einer Sanktion richten. Ausgangspunkt ist, „inwieweit der Verstoß vorsätzlich erfolgte oder das Ergebnis von Fahrlässigkeit ist“.
Dazu kommen sieben weitere Umstände, darunter zwei, die ein Haus selbst beeinflussen kann: die Bereitschaft zur Zusammenarbeit und frühere Verstöße.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 51 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 52Strafrechtliche SanktionenV16
Artikel 52 überlässt den Mitgliedstaaten die Wahl: Für Verstöße, die nach nationalem Recht strafrechtlichen Sanktionen unterliegen, können sie auf verwaltungsrechtliche Sanktionen verzichten.
Wo strafrechtliche Sanktionen bestehen, sorgen die Mitgliedstaaten dafür, dass sich die Aufsicht mit den Justiz- und Strafverfolgungsbehörden ins Benehmen setzen und Informationen weitergeben kann.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 52 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 53Mitteilungspflichten
Artikel 53 ist ein Satz an die Mitgliedstaaten: Bis zum 17. Januar 2025 teilen sie der Kommission und den drei europäischen Aufsichtsbehörden die Vorschriften zur Umsetzung dieses Kapitels mit, einschließlich der einschlägigen strafrechtlichen Vorschriften, und spätere Änderungen unverzüglich.
Für Ihr Haus folgt daraus keine Pflicht. Der Artikel ist der Grund, warum sich zentral nachvollziehen lässt, welcher Mitgliedstaat welche Sanktionen vorsieht.
Betrifft: Richtet sich an die Aufsicht
Artikel 53 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 54Öffentliche Bekanntmachung verwaltungsrechtlicher SanktionenV16
Artikel 54 regelt die Veröffentlichung: Die Behörden machen unverzüglich jede unanfechtbare Sanktionsentscheidung auf ihrer amtlichen Website bekannt, mit Art und Natur des Verstoßes, Identität der Verantwortlichen und den verhängten Sanktionen.
Absatz 3 nennt drei Auswege, wenn die Nennung unverhältnismäßig wäre: Aufschub, anonymisierte Veröffentlichung oder Unterlassung. Und Absatz 6 begrenzt die Dauer: höchstens fünf Jahre.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16
Artikel 54 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 55Wahrung des Berufsgeheimnisses
Artikel 55 schützt, was Sie der Aufsicht geben. Vertrauliche Informationen, die nach dieser Verordnung empfangen, ausgetauscht oder übermittelt werden, unterliegen dem Berufsgeheimnis.
Verpflichtet ist nicht nur die Behörde: Auch Personen, an die sie Befugnisse delegiert hat, einschließlich unter Vertrag genommener Revisoren und Sachverständiger, sind gebunden, und zwar auch nach Ende der Tätigkeit.
Betrifft: Richtet sich an die Aufsicht
Artikel 55 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 56Datenschutz
Artikel 56 begrenzt, was die Aufsichtsbehörden mit personenbezogenen Daten tun dürfen: nur, soweit es zur Erfüllung ihrer Pflichten nach dieser Verordnung erforderlich ist und im Einklang mit der Datenschutz-Grundverordnung beziehungsweise der Verordnung (EU) 2018/1725.
Absatz 2 setzt eine Obergrenze, die man kennen sollte: Aufbewahrung bis zur Erfüllung der Aufsichtspflichten, in jedem Fall aber höchstens fünfzehn Jahre, außer bei anhängigen Gerichtsverfahren.
Betrifft: Richtet sich an die Aufsicht
Artikel 56 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Kapitel VIIIDelegierte RechtsakteArtikel 57
Die Ermächtigung, auf der die technischen Standards beruhen.
Art. 57Ausübung der Befugnisübertragung
Artikel 57 regelt die Befugnis der Kommission zum Erlass delegierter Rechtsakte. Bemerkenswert ist, wie eng sie ist: Sie besteht nur für Artikel 31 Absatz 6 und Artikel 43 Absatz 2, also für die Kriterien der Einstufung kritischer Dienstleister und für die Überwachungsgebühren.
Übertragen ist sie für fünf Jahre ab dem 17. Januar 2024, mit stillschweigender Verlängerung. Parlament und Rat können die Befugnisübertragung widerrufen und haben ein Einspruchsrecht von drei Monaten.
Betrifft: Richtet sich an die Aufsicht
Artikel 57 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Kapitel IXÜbergangs- und SchlussbestimmungenArtikel 58 bis 64
Überprüfungsklausel, Änderungen anderer Verordnungen, Inkrafttreten.
Art. 58Überprüfungsklausel
Artikel 58 ist der Blick nach vorn. Bis zum 17. Januar 2028 überprüft die Kommission die Verordnung und legt einen Bericht vor, gegebenenfalls mit einem Gesetzgebungsvorschlag.
Fünf Punkte sind ausdrücklich genannt; der interessanteste steht unter Buchstabe b: die Freiwilligkeit der Meldung erheblicher Cyberbedrohungen nach Artikel 19.
Betrifft: Richtet sich an die Aufsicht
Artikel 58 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 59Änderungen der Verordnung (EG) Nr. 1060/2009V
Artikel 59 ändert die Ratingagenturverordnung: Die Kontroll- und Sicherheitsmechanismen für den Betrieb von IKT-Systemen richten sich nun nach DORA.
Betroffen ist ein enger Kreis. Wer keine Ratingagentur ist, braucht den Artikel nicht; er zeigt aber das Muster, das sich in den Artikeln 60 bis 63 wiederholt.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 59 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 60Änderungen der Verordnung (EU) Nr. 648/2012V
Artikel 60 ändert EMIR. Zentrale Gegenparteien und Transaktionsregister betreiben ihre IKT-Systeme künftig nach DORA; ihre Geschäftsfortführungsleitlinien und Notfallwiederherstellungspläne umfassen die IKT-Teile nach DORA.
Mehrere bisherige Absätze werden gestrichen; die Anforderungen sind nicht entfallen, sondern in DORA verschoben.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 60 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 61Änderungen der Verordnung (EU) Nr. 909/2014V
Artikel 61 ändert die Zentralverwahrerverordnung. Zentralverwahrer mindern ihr operationelles IKT-Risiko künftig mit Tools, Verfahren und Strategien, die nach DORA eingerichtet und verwaltet werden.
Bemerkenswert ist der Verweis in Absatz 4: Die Wiederinbetriebnahme kritischer IT-Systeme richtet sich nach Artikel 12 Absätze 5 und 7 DORA.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 61 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 62Änderungen der Verordnung (EU) Nr. 600/2014V
Artikel 62 ändert die MiFIR: Anbieter konsolidierter Datenticker und genehmigte Meldemechanismen erfüllen künftig die Anforderungen an die Sicherheit von Netzwerk- und Informationssystemen nach DORA.
Der kürzeste Änderungsartikel der Verordnung und ein weiteres Beispiel für dasselbe Muster.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 62 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 63Änderungen der Verordnung (EU) 2016/1011V
Artikel 63 fügt der Referenzwerteverordnung einen Absatz an: Administratoren kritischer Referenzwerte halten wirksame Kontroll- und Sicherheitsmechanismen für den Betrieb von IKT-Systemen nach DORA vor.
Der letzte der fünf Änderungsartikel und derjenige mit dem engsten Adressatenkreis.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15
Artikel 63 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Art. 64Inkrafttreten und AnwendungV16IKT
Artikel 64 ist der letzte Artikel und der kürzeste mit der größten Wirkung: Die Verordnung gilt ab dem 17. Januar 2025, ist in allen Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.
Kein Umsetzungsgesetz, keine nationale Übernahme, keine Umsetzungsfrist. Das ist der Unterschied zwischen einer Verordnung und einer Richtlinie, und der Grund, warum es keine deutsche Fassung von DORA gibt, sondern nur die deutsche Sprachfassung der Verordnung.
Betrifft: Finanzunternehmen mit dem vollen IKT-Risikomanagementrahmen nach Art. 5 bis 15 · Unternehmen unter dem vereinfachten Rahmen nach Artikel 16 · IKT-Dienstleister
Artikel 64 im Wortlaut, mit Einordnung und Nachweisliste → · Rechtsstand 28. September 2026
Vollständig: alle 64 Artikel
Jeder Artikel der Verordnung hat hier eine eigene Seite: amtlicher Wortlaut, Einordnung,
Hinweise zur Umsetzung, die konkretisierenden Rechtsakte und eine Aufstellung dessen, was am
Ende vorliegen muss. Jeder Absatz und jeder Buchstabe hat eine eigene Adresse, und die
65 Begriffsbestimmungen des Artikels 3 sind einzeln verlinkbar
(artikel-3.html#nr-22).
Die Punkte hinter jedem Eintrag sagen, wen die Vorschrift betrifft. Wo kein Punkt steht, richtet sich der Artikel an die Aufsicht und begründet keine unmittelbare Pflicht für Finanzunternehmen oder Dienstleister. Man muss ihn trotzdem kennen, um die Artikel davor und danach zu verstehen.
Verbindlich ist der Text im Amtsblatt Der Wortlaut auf diesen Seiten gibt die im Amtsblatt der Europäischen Union veröffentlichte deutsche Fassung wieder (ABl. L 333 vom 27.12.2022). Maßgeblich ist allein der amtliche Text; er ist bei EUR-Lex unter CELEX 32022R2554 abrufbar. Die Einordnung, die Hinweise zur Umsetzung und die Zuordnung, wen eine Vorschrift betrifft, sind fachliche Einschätzungen und keine amtliche Auslegung.