Hinweise der Aufsicht

BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht)

Zuständige deutsche Aufsichtsbehörde für DORA. Sie beaufsichtigt die Finanzunternehmen, nimmt die Meldungen schwerwiegender IKT-Vorfälle entgegen und veröffentlicht Aufsichtsmitteilungen und Antworten auf häufige Fragen.

• Themenbereich IT- und Cybersicherheit der BaFin

  Einstiegsseite der BaFin zu DORA mit den Themenseiten zu IKT-Risikomanagement, IKT-bezogenen Vorfällen, Informationsregister, kritischen IKT-Drittdienstleistern und Tests.

• Die Themenseiten der BaFin zu DORA und die FAQ

  Je Thema die Themenseite der BaFin im Bereich IT- und Cybersicherheit. Die FAQ der BaFin stehen seit September 2026 gesammelt auf einer Seite; dieselben Antworten hängen im Navigator als BaFin-Kästen an den Artikeln.

  • FAQs zu DORA (Sammelseite)
  • IKT-Risikomanagement und IKT-Drittparteienrisikomanagement
  • IKT-bezogene Vorfälle: Behandlung, Klassifizierung und Berichterstattung
  • Informationsregister und Anzeigepflichten
  • Überwachung kritischer IKT-Drittdienstleister
  • Freiwilliger Informationsaustausch
  • Testen der digitalen operationalen Resilienz und TLPT
  • MVP-Fachverfahren DORA (Melde- und Veröffentlichungsplattform) · FAQ

• Statistikseite DORA-Meldewesen: IKT-Vorfälle 2025

  13 Abbildungen zum ersten vollen Meldejahr, ohne Download — die Zahlen liegen nur auf der Seite.

Bundesbank (Deutsche Bundesbank)

Führt die laufende Aufsicht über Banken und Sparkassen gemeinsam mit der BaFin. Betreibt mit ihr das Fachgremium IT und verantwortet TIBER-DE, das deutsche Rahmenwerk für bedrohungsgeleitete Penetrationstests.

• Themenseite BAIT und DORA der Bundesbank

  Einstiegsseite der Bundesbank zum IT-Risikomanagement — hier liegen auch sämtliche Protokolle des Fachgremiums IT.

• TIBER-DE — die deutsche Umsetzung des Testrahmenwerks

  Der nationale Rahmen für bedrohungsgeleitete Tests, den die Bundesbank betreut; er trägt die TLPT-Durchführung nach Art. 26/27 DORA operativ.

ESAs (Europäische Aufsichtsbehörden EBA, EIOPA und ESMA)

Die drei europäischen Aufsichtsbehörden für Banken, Versicherungen und Wertpapiermärkte. Sie entwerfen die technischen Standards zu DORA, beantworten Auslegungsfragen und überwachen die kritischen IKT-Drittdienstleister.

• DORA-Startseiten der drei ESAs

  Die Einstiegsseiten von EBA, EIOPA und ESMA zu DORA — von dort führen Leitlinien, Statements und die Überwachung der kritischen Anbieter ab.

  • EBA — Digital Operational Resilience Act
  • EIOPA — Digital Operational Resilience Act (DORA)
  • ESMA — Digital Operational Resilience Act (DORA)

• Q&A-Werkzeuge der drei ESAs

  Jede der drei Behörden führt ihr eigenes Q&A-Werkzeug; die DORA-Antworten werden gemeinsam abgestimmt und laufen im Joint-Register zusammen. Wer eine eigene Auslegungsfrage stellen will, tut es hier.

  • EBA — Single Rulebook Q&A (Suche und Fragestellung)
  • EIOPA — Q&A on Regulation (Datenbank)
  • ESMA — Questions and Answers
  • Joint Committee — Q&A-Dashboard zu DORA (Single Rulebook)

EU-Kommission (Europäische Kommission)

Gesetzgeberin. Sie erlässt die Rechtsakte, die DORA im Detail ausfüllen: delegierte Verordnungen und Durchführungsverordnungen.

• Europäische Kommission — Cyber-Resilienz im Finanzsektor

  Die Seite des Gesetzgebers: Sie führt DORA und die darunter erlassenen delegierten Rechtsakte und Durchführungsrechtsakte zusammen — nützlich, um zu sehen, welche Level-2-Texte förmlich angenommen sind und wann.

  • Cyber-Resilienz im Finanzsektor (Überblicksseite)
  • Delegierte Rechtsakte und Durchführungsrechtsakte zu DORA
  • EUR-Lex — DORA in Kurzfassung (deutsch)

Umsetzung und Nachschlagen (BaFin)

• PDF

  Orientierungshilfe IKT-Risiken beim Einsatz von KI

  BaFin · Stand 18. Dezember 2025

  38 Seiten dazu, wie DORA-Pflichten auf eingesetzte KI wirken — das Gegenstück zum ESA-Statement, das KI in der Hand des Angreifers betrachtet.

• PDF

  Übersicht Dokumentationsanforderungen gemäß DORA

  BaFin · Stand 17. Dezember 2024

  Einseiter: alle Dokumentationspflichten aus DORA und den Level-2-Texten, sortiert nach Strategien, Richtlinien und sonstigen Dokumenten.

• PDF

  Aufsichtsmitteilung Umsetzungshinweise DORA

  BaFin · Stand 8. Juli 2024

  Die zentrale deutsche Umsetzungshilfe: 41 Seiten zum IKT-Risikomanagement und IKT-Drittparteienrisikomanagement, inklusive Abgleich BAIT → DORA.

• PDF

  Aufsichtsmitteilung Hinweise zu Artikel 16 DORA

  BaFin · Stand 21. August 2025

  30 Seiten zum vereinfachten IKT-Risikomanagementrahmen für Kleinstunternehmen — die sauberste Abgrenzung regulär gegen vereinfacht.

• PDF

  Aufsichtsmitteilung Auslagerungen an Cloud-Anbieter

  BaFin · Stand 1. Februar 2024

  Konsolidierte Cloud-Erwartung von BaFin und Bundesbank, 32 Seiten, Nachfolgerin der Orientierungshilfe von 2018.

• XLSX

  Mindestvertragsinhalte DORA (Excel, deutsch/englisch)

  BaFin · Stand 24. Juni 2025

  Zeile-für-Zeile-Auflösung der Vertragspflichten aus Art. 30 DORA; fortgeschrieben wegen der Subcontracting-Verordnung 2025/532.

Meldewesen und Informationsregister (BaFin)

• PDF

  Ausfüllhinweise Meldeformular schwerwiegende IKT-Vorfälle

  BaFin · Stand 15. Mai 2026

  43-seitige Ausfüllhilfe entlang der Felder des ITS 2025/302 — Feld für Feld, mit Beispielen.

• PDF

  Anleitung für die Übermittlung von IKT-Vorfallsmeldungen

  BaFin · Stand Januar 2026

  Schritt für Schritt durch das Meldeformular im MVP-Portal, inklusive Datei-Upload und automatisierter Übermittlung per Web-Service.

• PDF

  Ausfüllhinweise für die RoI-Excel-Vorlage

  BaFin · Stand März 2026

  Verbindliche Hinweise zur Registervorlage: Wer die Struktur der Datei ändert, bekommt die Einreichung zurück.

• PDF

  Workshop-Präsentation Einreichung Informationsregister

  BaFin · Stand 4. Februar 2026

  BaFin-Workshop zur Einreichung 2026 — behandelt die Fehler, die im ersten Meldezyklus tatsächlich aufgetreten sind.

• XLSX

  Technische Hinweise DORA-Meldungen

  BaFin · Stand 4. August 2025

  Validierungsregeln und Plausibilitätsprüfungen, die das MVP-Portal auf IKT-Vorfallsmeldungen anwendet; Tabelle je Meldefeld.

• XLSX

  Formular für die Meldung erheblicher Cyberbedrohungen

  BaFin · Stand 16. Januar 2025

  Vorlage für die freiwillige Meldung erheblicher Cyberbedrohungen nach Art. 19 Abs. 2 DORA an die BaFin.

Fachgremium, Konferenzen und BAIT (Bundesbank und BaFin)

• MEHR

  Fachgremium IT — zwölf Protokolle 2016 bis 2023

  Bundesbank / BaFin

  Die Auslegungspraxis des gemeinsamen Gremiums von BaFin und Bundesbank: von der BAIT-Entstehung über die Cloud-Themen bis ICT SREP und DORA-Vorbereitung.

  • 20.05.2016 — Entstehung der BAIT: Zielsetzung, IT-Strategie, Informationsrisiko
  • 14.10.2016 — Informationssicherheitsmanagement und Benutzerberechtigungen
  • 07.10.2021 — Verwertbarkeit von Cloud-Zertifikaten und Testaten
  • 02.12.2021 — Cloud-Arbeitsgruppe, Orientierungshilfe und DORA-Vorbereitung
  • 01.03.2022 — Cloud-Services in der CMDB
  • 09.06.2022 — DORA-Trilogeinigung, Log4j-Lehren und KI-Governance
  • 20.09.2022 — Weiterverlagerung von Cloud-Diensten
  • 13.12.2022 — ICT SREP: der Sollmaßnahmenkatalog als benannte Schwachstelle
  • 20.04.2023 — Sondertermin zum DORA-Überwachungsrahmenwerk
  • 31.05.2023 — IT-Betrieb mit Cloud-Diensten
  • 27.11.2023 — Ausstieg aus Cloud-Diensten
  • 27.11.2023 — IT-Notfallmanagement bei Cloud-Nutzung
• WEB

  Vortragsunterlagen der BaFin-Konferenzen 2023–2026

  BaFin

  Sammelverweis auf die Folien der IT-Aufsichtsveranstaltungen, unter anderem „Das erste Jahr DORA“ vom 04.12.2025.

• PDF

  BAIT — Rundschreiben 10/2017 (BA), Fassung 16.12.2024

  BaFin · Fassung 16. Dezember 2024

  Die letzte BAIT-Fassung vor dem DORA-Geltungsbeginn — als historische Referenz für den Übergang.

Europäische Leitfäden und Leitlinien

• PDF

  DORA Incident Reporting – Operational Instructions

  ESAs · Fassung 16. September 2026

  Operative Hinweise der ESAs zu den Feldern des Meldeformulars nach ITS (EU) 2025/302: Ausfüllregeln für Erst-, Zwischen- und Abschlussmeldung, mit den zuständigen Behörden abgestimmt, ohne rechtliche Auslegung (Fassung vom 16.09.2026, wird fortgeschrieben).

• PDF

  EZB-Leitfaden zur Auslagerung von Cloud-Diensten

  EZB · Stand 16. Juli 2025

  Was die EZB über DORA hinaus als Good Practice erwartet — für bedeutende Institute faktisch der Maßstab.

• PDF

  Revidierte EBA-SREP-Leitlinien (EBA/GL/2026/06)

  EBA · Stand 26. Juni 2026

  Heben die IKT-Sonderleitlinien EBA/GL/2017/05 auf und integrieren die IKT-Risikobewertung in den regulären SREP — ab 01.01.2027.

• PDF

  EBA Guidelines on Internal Governance (EBA/GL/2021/05)

  EBA · gilt seit 5. Dezember 2021

  Governance-Anforderungen unter der CRD — das Nicht-IT-Pendant zum DORA-Governance-Block der Artikel 5 und 6. Eine Novelle ist in Konsultation.

• PDF

  EBA Guidelines on Outsourcing Arrangements (EBA/GL/2019/02)

  EBA · gilt seit 30. September 2019

  Das allgemeine Auslagerungs-Rahmenwerk — gilt neben DORA fort, wo DORA schweigt: Nicht-IKT-Auslagerungen und die Logik des Auslagerungsregisters.

• PDF

  ESA-Leitfaden zu den Oversight-Aktivitäten (JC 2025 29)

  ESAs · Stand 15. Juli 2025

  Wie die Überwachung kritischer IKT-Drittdienstleister praktisch abläuft: Joint Examination Teams, Empfehlungen, Follow-up.

• PDF

  Joint Guidelines Oversight Cooperation (JC/GL/2024/36)

  ESAs · Stand 17. Januar 2025

  Zusammenarbeit der ESAs mit den zuständigen Behörden bei der Überwachung kritischer Anbieter nach Art. 32 Abs. 7 DORA; die deutsche Fassung ist auf der Seite verlinkt.

• WEB

  EU-SCICF — der europäische Rahmen für systemische Cybervorfälle

  ESAs · Stand 17. Juli 2024

  Der Koordinierungsrahmen nach Art. 49 DORA: Wer im Ernstfall europaweit zusammenarbeitet, wenn ein Cybervorfall grenzüberschreitend systemisch wirkt.