DORA-Cockpit
Aggregat über alle Akte
Die abgebildeten Rechtstexte
10 Rechtsakte · Rechtsstand Juli 2026
| Rechtstext | Amtliche Quelle | Berichtigung |
|---|---|---|
| DORA (EU 2022/2554) | EUR-Lex · CELEX 32022R2554 | R(05) eingearbeitet |
| RTS IKT-Risikomanagement (2024/1774) | EUR-Lex · CELEX 32024R1774 | R(02) eingearbeitet |
| RTS Incident-Klassifizierung (2024/1772) | EUR-Lex · CELEX 32024R1772 | — |
| RTS IKT-Drittparteien (2024/1773) | EUR-Lex · CELEX 32024R1773 | — |
| ITS Informationsregister (2024/2956) | EUR-Lex · CELEX 32024R2956 | R(01) eingearbeitet |
| RTS Incident-Meldung (2025/301) | EUR-Lex · CELEX 32025R0301 | — |
| ITS Incident-Reporting (2025/302) | EUR-Lex · CELEX 32025R0302 | — |
| RTS Untervergabe (2025/532) | EUR-Lex · CELEX 32025R0532 | — |
| RTS TLPT (2025/1190) | EUR-Lex · CELEX 32025R1190 | R(01) eingearbeitet |
| GL Kosten & Verluste (JC 2024 34) | ESA-Website (ESMA) · JC 2024 34 | — |
| Bewusst nicht abgebildet5 RechtsakteVier weitere Rechtsakte der Kommission und eine ESA-Leitlinie gehören zum DORA-Regelwerk, stehen aber bewusst nicht im Navigator: Sie regeln nicht, was Finanzunternehmen tun müssen, sondern wie die Aufsicht selbst vorgeht — bei der Einstufung kritischer Anbieter, der Überwachung, den Untersuchungsteams, den Gebühren und der Zusammenarbeit der Behörden. Adressat ist die federführende Überwachungsbehörde oder der kritische Drittdienstleister; für ein Finanzunternehmen entsteht daraus keine eigene Handlungspflicht, aus der sich eine Sollmaßnahme ableiten ließe. Sie stehen hier, damit die Liste der Rechtstexte vollständig ist. | ||
| Rechtstext | Amtliche Quelle | Berichtigung |
| DelVO (EU) 2024/1502Kriterien für die Einstufung von IKT-Drittdienstleistern als kritisch (Art. 31 Abs. 6 DORA) | EUR-Lex · CELEX 32024R1502 | — |
| DelVO (EU) 2024/1505Höhe der Überwachungsgebühren bei kritischen IKT-Drittdienstleistern (Art. 43 Abs. 2 DORA) | EUR-Lex · CELEX 32024R1505 | — |
| DelVO (EU) 2025/295Harmonisierung der Bedingungen für die Durchführung von Überwachungstätigkeiten (Art. 41 DORA) | EUR-Lex · CELEX 32025R0295 | — |
| DelVO (EU) 2025/420Zusammensetzung, Benennung und Arbeitsweise des gemeinsamen Untersuchungsteams (Art. 41 Abs. 2 DORA) | EUR-Lex · CELEX 32025R0420 | — |
| Gemeinsame Leitlinien JC/GL/2024/36Zusammenarbeit und Informationsaustausch zwischen ESAs und zuständigen Behörden bei der Überwachung (Art. 32 Abs. 7 DORA) | ESA-Website (ESMA) · JC 2024 36 | — |
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Erwägungsgründe sind nicht abgebildet. Keine Rechtsberatung, keine amtliche Quelle — maßgeblich ist der Volltext bei EUR-Lex (Links in der Tabelle). © Europäische Union 1998–2026, Wiedergabe gemäß Beschluss 2011/833/EU.
Der Compliance-Reifegrad wird aus Ihrer Umsetzungs-Doku in diesem Browser berechnet und benötigt JavaScript. Der Rechtstext und der Sollmaßnahmenkatalog sind davon unabhängig vollständig lesbar.
Compliance-Hinweise
Nutzungsrechte, Autorenschaft, rechtliche Einordnung und Aktualisierungsstand dieses Werks — bitte vor der Nutzung zur Kenntnis nehmen.
Urheberrechtshinweis
Alle Inhalte des DORA-Navigators (nachfolgend: „das Werk“), insbesondere Texte, Tabellen und Grafiken, sind zu Gunsten von Frau Dr. Marlen Hofmann urheberrechtlich geschützt, sie ist alleinige Urheberin.
Die Nutzungsrechte an diesem Werk werden wie nachfolgend dargestellt dem jeweiligen Nutzer eingeräumt, dies gegen Zahlung des vereinbarten Lizenzentgeltes.
Es wird ein einfaches, zeitlich unbegrenztes Nutzungsrecht eingeräumt. Die Nutzung des Werks ist ausschließlich für eigene interne Zwecke des erwerbenden Unternehmens gestattet. Eine Vervielfältigung ist in diesem internen Rahmen gestattet, etwa zur Verteilung an interne Fachabteilungen. Die Einbindung in interne IT-Systeme (etwa ISMS-Tools, GRC-Tools oder vergleichbare interne Anwendungen) des erwerbenden Unternehmens ist ebenfalls gestattet. Sollte diesbezüglich auf Grund technischer Gegebenheiten eine Bearbeitung des Werkes erforderlich sein (etwa im Sinne des Komprimierens oder einer Formatänderung) ist ein Bearbeitungsrecht genehmigt, was über diese technischen Erfordernisse jedoch nicht hinausgeht. Insbesondere darf eine inhaltliche Bearbeitung des Werkes nicht vorgenommen werden, wozu auch Übersetzungen gehören.
Die Übertragung der eingeräumten Nutzungsrechte an Dritte ist nicht gestattet. Davon erfasst sind ebenfalls in Verbindung mit dem erwerbenden Unternehmen stehende Gesellschaften (wie Tochter- oder Mutterunternehmen oder Beteiligungsgesellschaften). Solche Drittunternehmen haben eine eigenständige Lizenz zu erwerben, wobei eine umfangreiche Konzernlizenz bei Frau Dr. Marlen Hofmann angefragt werden kann.
Nicht gestattet ist im Rahmen dieser Lizenz zudem die Verwendung des Werks im Rahmen des Trainings eines KI-Modells (sei es ein externes oder internes). Zulässig ist jedoch die Einbindung des Werkes in eigene, unternehmensinterne KI-Systeme, welche als Wissensbasis dienen. Eine Einbindung des Werkes in Produkte, Dienstleistungen oder andere Tätigkeiten, die das erwerbende Unternehmen Dritten zur Verfügung stellt, ist nicht gestattet. Hierfür sind durch diese Dritte eigenständige Lizenzen zu erwerben.
Ein Verbreitungs-, Ausstellungs-, Vortrags-, Aufführungsrecht wird ebenso wenig eingeräumt wie das Recht der öffentlichen Zugänglichmachung. Es wird bestätigt, dass Frau Dr. Marlen Hofmann ausschließliche Urheberin des Werkes ist und ihr keine Rechte Dritter an dem Werk bekannt sind. Eine Gewährleistung für das Nichtbestehen solcher Rechte ist jedoch ausdrücklich ausgeschlossen. Gleichzeitig übernimmt Frau Dr. Marlen Hofmann keine Haftung für Ansprüche Dritter, welche sich aus einer unsachgemäßen und insbesondere nicht von der Rechteeinräumung umfassten Nutzung des Werkes ergeben.
Ebenso wird darauf hingewiesen, dass lediglich ein Nutzungsrecht an der hier angebotenen Version des Werkes eingeräumt wird. Ein Anspruch auf Vollständigkeit oder Richtigkeit des Inhalts besteht nicht. Ebenso entsteht kein Anspruch auf Weiterentwicklung, Ergänzung oder Aktualisierung des Werkes seitens Frau Dr. Marlen Hofmann.
Für die Einräumung etwaiger weitergehender Nutzungsrechte möge bitte eine Anfrage an Dr. Marlen Hofmann direkt gestellt werden.
Hinweis zur Autorenschaft und Nebentätigkeit
Das Werk wurde im Rahmen einer privaten Nebentätigkeit erstellt. Sämtliche Analysen, Interpretationen und Einschätzungen in diesem Werk spiegeln ausschließlich die persönliche fachliche Sichtweise der Autorin wider. Sie stehen in keinem Zusammenhang mit den Ansichten, Richtlinien oder Vorgaben ihres Arbeitgebers und stellen keine offizielle Stellungnahme ihres Arbeitgebers dar. Das Werk ist mit KI-Unterstützung entstanden: Softwarecode und Darstellung wurden überwiegend maschinell erzeugt, unter fachlicher Anleitung und Prüfung der Autorin; die Kopfmotive stammen aus einem KI-Bildgenerator. Die fachlichen Inhalte — Sollmaßnahmen, Einordnungen und Auslegungen — stammen von der Autorin und wurden einzeln geprüft und freigegeben.
Hinweis zur Verwendung und rechtlichen Einordnung
Die dargestellten Sollmaßnahmen basieren auf einer intensiven fachlichen Auseinandersetzung der Autorin mit den zugrunde liegenden Rechtsakten und den dazugehörigen Regulierungsstandards. Das Werk dient ausschließlich als fachliche Orientierungshilfe für die praktische Umsetzung der regulatorischen Anforderungen und erhebt keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.
Die Inhalte dieses Werks stellen keine Rechtsberatung dar und können eine solche nicht ersetzen. Für die konkrete Umsetzung regulatorischer Anforderungen im jeweiligen Einzelfall sollten bei Bedarf qualifizierte rechtliche oder fachliche Beratungen eingeholt werden. Die Herausgeberin übernimmt keine Haftung für Entscheidungen, Maßnahmen, Schäden oder Verluste, die unmittelbar oder mittelbar aus der Nutzung oder Interpretation dieses Werks entstehen.
Rechtsgrundlage der Quellennutzung
Dieses Werk bettet fremde, öffentlich zugängliche Rechts- und Aufsichtstexte ein und verwertet sie im Rahmen der jeweils geltenden Nutzungsbedingungen. Grundlage und Bedingungen je Quelle:
EU-Rechtsakte (EUR-Lex): Die eingebetteten EU-Rechtsakte werden gemäß dem Beschluss 2011/833/EU über die Weiterverwendung von Kommissionsdokumenten wiedergegeben; die kommerzielle Nutzung ist danach zulässig. Quelle: © Europäische Union, eur-lex.europa.eu. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Fassungen.
BaFin-FAQ: Die eingebundenen Fragen und Antworten der BaFin werden wörtlich und unverändert wiedergegeben. Quelle: © Bundesanstalt für Finanzdienstleistungsaufsicht / www.bafin.de. Es handelt sich um amtliche Auslegungshinweise, nicht um Rechtsnormen.
ESA-Q&As und ESA-Leitlinien (EBA, ESMA, EIOPA): Die Fragen und Antworten der Europäischen Aufsichtsbehörden werden mit Quellenangabe wiedergegeben und sind über das gemeinsame ESA-Q&A-Dashboard kostenlos verfügbar. Ebenfalls eingebettet ist der Text der Gemeinsamen Leitlinien JC 2024 34 (Schätzung der aggregierten jährlichen Kosten und Verluste, Art. 11 Abs. 11 DORA) in der deutschen Sprachfassung, unverändert und mit Angabe der Fundstelle. Leitlinien der ESAs sind keine Rechtsnormen, sondern aufsichtliche Vorgaben im Comply-or-explain-Verfahren. Die Aufsichtsbehörden befürworten dieses Werk nicht und übernehmen keine Haftung für seinen Inhalt. Quelle: EBA/ESMA/EIOPA.
Verlinkte Veröffentlichungen der Aufsicht: Die Seite „Hinweise der Aufsichtsbehörden“ ist eine kuratierte Linksammlung. Sie gibt die verlinkten Inhalte nicht wieder — je Eintrag stehen Titel, Herausgeber, Fundstelle und ein bis zwei Sätze der Autorin dazu, worum es geht. Diese Kurzbeschreibungen sind eigene Formulierungen, keine amtlichen Texte und keine Zusammenfassung mit Anspruch auf Vollständigkeit. Maßgeblich ist allein die Fassung am verlinkten Ort; für fremde Inhalte übernimmt die Autorin keine Haftung. Die Behörden befürworten dieses Werk nicht. Zu jedem Eintrag ist der Stand des Abrufs angegeben; Behördenseiten ändern sich unangekündigt, Links können ins Leere laufen. Die Rubrik „Fachbeiträge und Material“ enthält keine Sammlung, sondern allein einen Verweis auf marlen-hofmann.de — die eigenen Beiträge der Autorin stehen dort und werden dort gepflegt.
Schriften: Das Werk bettet die Schriftarten Kanit (Copyright 2020 The Kanit Project Authors) und Open Sans (Copyright 2020 The Open Sans Project Authors) als Schriftdatei ein. Beide stehen unter der SIL Open Font License 1.1 (openfontlicense.org); sie werden unverändert weitergegeben. Der Lizenztext ist im folgenden Abschnitt im Wortlaut wiedergegeben. Die Lizenz erfasst allein die Schriftdateien, nicht das Werk im Übrigen.
Lizenztext der eingebetteten Schriften (SIL Open Font License 1.1)
Die beiden im Werk eingebetteten Schriften stehen unter der nachfolgend im Wortlaut wiedergegebenen SIL Open Font License, Version 1.1. Der Lizenztext ist die englische Originalfassung und wird unverändert wiedergegeben; er gilt allein für die Schriftdateien, nicht für das Werk im Übrigen.
Copyright 2020 The Kanit Project Authors (https://github.com/cadsondemak/kanit)
Copyright 2020 The Open Sans Project Authors (https://github.com/googlefonts/opensans)
This Font Software is licensed under the SIL Open Font License, Version 1.1. This license is copied below, and is also available with a FAQ at: https://openfontlicense.org
SIL OPEN FONT LICENSE Version 1.1 - 26 February 2007
PREAMBLE
The goals of the Open Font License (OFL) are to stimulate worldwide development of collaborative font projects, to support the font creation efforts of academic and linguistic communities, and to provide a free and open framework in which fonts may be shared and improved in partnership with others.
The OFL allows the licensed fonts to be used, studied, modified and redistributed freely as long as they are not sold by themselves. The fonts, including any derivative works, can be bundled, embedded, redistributed and/or sold with any software provided that any reserved names are not used by derivative works. The fonts and derivatives, however, cannot be released under any other type of license. The requirement for fonts to remain under this license does not apply to any document created using the fonts or their derivatives.
DEFINITIONS
"Font Software" refers to the set of files released by the Copyright Holder(s) under this license and clearly marked as such. This may include source files, build scripts and documentation.
"Reserved Font Name" refers to any names specified as such after the copyright statement(s).
"Original Version" refers to the collection of Font Software components as distributed by the Copyright Holder(s).
"Modified Version" refers to any derivative made by adding to, deleting, or substituting -- in part or in whole -- any of the components of the Original Version, by changing formats or by porting the Font Software to a new environment.
"Author" refers to any designer, engineer, programmer, technical writer or other person who contributed to the Font Software.
PERMISSION & CONDITIONS
Permission is hereby granted, free of charge, to any person obtaining a copy of the Font Software, to use, study, copy, merge, embed, modify, redistribute, and sell modified and unmodified copies of the Font Software, subject to the following conditions:
1) Neither the Font Software nor any of its individual components, in Original or Modified Versions, may be sold by itself.
2) Original or Modified Versions of the Font Software may be bundled, redistributed and/or sold with any software, provided that each copy contains the above copyright notice and this license. These can be included either as stand-alone text files, human-readable headers or in the appropriate machine-readable metadata fields within text or binary files as long as those fields can be easily viewed by the user.
3) No Modified Version of the Font Software may use the Reserved Font Name(s) unless explicit written permission is granted by the corresponding Copyright Holder. This restriction only applies to the primary font name as presented to the users.
4) The name(s) of the Copyright Holder(s) or the Author(s) of the Font Software shall not be used to promote, endorse or advertise any Modified Version, except to acknowledge the contribution(s) of the Copyright Holder(s) and the Author(s) or with their explicit written permission.
5) The Font Software, modified or unmodified, in part or in whole, must be distributed entirely under this license, and must not be distributed under any other license. The requirement for fonts to remain under this license does not apply to any document created using the Font Software.
TERMINATION
This license becomes null and void if any of the above conditions are not met.
DISCLAIMER
THE FONT SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT OF COPYRIGHT, PATENT, TRADEMARK, OR OTHER RIGHT. IN NO EVENT SHALL THE COPYRIGHT HOLDER BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, INCLUDING ANY GENERAL, SPECIAL, INDIRECT, INCIDENTAL, OR CONSEQUENTIAL DAMAGES, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF THE USE OR INABILITY TO USE THE FONT SOFTWARE OR FROM OTHER DEALINGS IN THE FONT SOFTWARE.
Hinweis zur Aktualisierung
Für die Erstellung der Anforderungen in diesem Werk wurden die im Überblick aufgeführten Rechtsquellen herangezogen. Rechtstexte und Aufsichts-Q&As wurden zuletzt im Juli 2026 abgeglichen (Korpus-Abruf; ESA-/BaFin-Stichtage siehe Quellenzeilen der Q&A-Kästen); die Leitlinie JC 2024 34 wurde im August 2026 aufgenommen. Die Linksammlungen tragen je Eintrag ihren eigenen Abrufstand (07./08.08.2026). Der Sollmaßnahmen-Katalog (V1.1) wurde zuletzt mit Stand vom 31.07.2026 auf seine Aktualität geprüft.
Da sich regulatorische Anforderungen sowie technische und aufsichtsrechtliche Standards kontinuierlich weiterentwickeln, kann eine regelmäßige Aktualisierung erforderlich sein. Das Werk erhebt daher keinen Anspruch auf dauerhafte Vollständigkeit oder Aktualität.
Es liegt in der Verantwortung der Nutzerinnen und Nutzer, sich eigenständig über Änderungen relevanter Rechtsvorschriften, regulatorischer Vorgaben und technischer Standards zu informieren und diese bei der Umsetzung entsprechend zu berücksichtigen.
Merkliste
DORA-Navigator — mit ★ markierte Sollmaßnahmen
Die Merkliste braucht JavaScript: Karten mit dem ★-Knopf markieren, hier erscheinen sie gesammelt (gespeichert lokal in diesem Browser).
Sollmaßnahmen-Überblick
Alle 1.039 Sollmaßnahmen als Tabelle
Dieselben Sollmaßnahmen liegen in der beigelegten Excel-Arbeitsmappe — dort lässt sich filtern, sortieren und weiterarbeiten.
In der Testversion nicht enthalten. Die Arbeitstabelle aller Sollmaßnahmen — markieren & kopieren nach Excel, mit direkt bearbeitbaren Umsetzungs-Doku-Spalten — ist Teil der Vollversion.
Artikel 1
Gegenstand
DORA (EU 2022/2554)
(1)
Um ein hohes gemeinsames Niveau an digitaler operationaler Resilienz zu erreichen, werden in dieser Verordnung einheitliche Anforderungen für die Sicherheit von Netzwerk- und Informationssystemen, die die Geschäftsprozesse von Finanzunternehmen unterstützen, wie folgt festgelegt:
a)
auf Finanzunternehmen anwendbare Anforderungen in Bezug auf: i) Risikomanagement im Bereich der Informations- und Kommunikationstechnologie (IKT); ii) Meldung schwerwiegender IKT-bezogener Vorfälle und — auf freiwilliger Basis — erheblicher Cyberbedrohungen an die zuständigen Behörden; iii) Meldung schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfälle durch in Artikel 2 Absatz 1 Buchstaben a bis d aufgeführte Finanzunternehmen an die zuständigen Behörden; iv) Tests der digitalen operationalen Resilienz; v) Austausch von Informationen und Erkenntnissen in Bezug auf Cyberbedrohungen und Schwachstellen; vi) Maßnahmen für das solide Management des IKT-Drittparteienrisikos;
b)
Anforderungen in Bezug auf vertragliche Vereinbarungen zwischen IKT-Drittdienstleistern und Finanzunternehmen;
c)
Vorschriften über die Einrichtung und Ausführung des Überwachungsrahmens für kritische IKT-Drittdienstleister bei der Erbringung von Dienstleistungen für Finanzunternehmen;
d)
Vorschriften über die Zusammenarbeit zwischen zuständigen Behörden und Vorschriften über die Beaufsichtigung und Durchsetzung aller von dieser Verordnung erfassten Sachverhalte durch zuständige Behörden.
(2)
In Bezug auf Finanzunternehmen, die gemäß den nationalen Vorschriften zur Umsetzung von Artikel 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Unternehmen ermittelt wurden, gilt diese Verordnung für die Zwecke von Artikel 4 der genannten Richtlinie als sektorspezifischer Rechtsakt der Union.
(3)
Diese Verordnung lässt die Zuständigkeiten der Mitgliedstaaten für grundlegende Funktionen des Staates in Bezug auf die öffentliche Sicherheit, die Landesverteidigung und die nationale Sicherheit im Einklang mit dem Unionsrecht unberührt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Geltungsbereich
DORA (EU 2022/2554)
(1)
Unbeschadet der Absätze 3 und 4 gilt diese Verordnung für folgende Unternehmen:
a)
Kreditinstitute,
b)
Zahlungsinstitute, einschließlich gemäß der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute,
c)
Kontoinformationsdienstleister,
d)
E-Geld-Institute, einschließlich gemäß der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute,
e)
Wertpapierfirmen,
f)
Anbieter von Krypto-Dienstleistungen, die gemäß einer Verordnung des Europäischen Parlaments und des Rates über Märkte von Krypto-Werten und zur Änderung der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 1095/2010 sowie der Richtlinien 2013/36/EU und (EU) 2019/1937 (im Folgenden „Verordnung über Märkte von Krypto-Werten“) zugelassen sind, und Emittenten wertreferenzierter Token,
g)
Zentralverwahrer,
h)
zentrale Gegenparteien,
i)
Handelsplätze,
j)
Transaktionsregister,
k)
Verwalter alternativer Investmentfonds,
l)
Verwaltungsgesellschaften,
m)
Datenbereitstellungsdienste,
n)
Versicherungs- und Rückversicherungsunternehmen,
o)
Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit,
p)
Einrichtungen der betrieblichen Altersversorgung,
q)
Ratingagenturen,
r)
Administratoren kritischer Referenzwerte,
s)
Schwarmfinanzierungsdienstleister,
t)
Verbriefungsregister,
u)
IKT-Drittdienstleister.
(2)
Für die Zwecke dieser Verordnung werden die in Absatz 1 Buchstaben a bis t genannten Unternehmen zusammen als „Finanzunternehmen“ bezeichnet.
(3)
Diese Verordnung gilt nicht für:
a)
Verwalter alternativer Investmentfonds im Sinne von Artikel 3 Absatz 2 der Richtlinie 2011/61/EU;
b)
Versicherungs- und Rückversicherungsunternehmen im Sinne von Artikel 4 der Richtlinie 2009/138/EG;
c)
Einrichtungen der betrieblichen Altersversorgung, die Altersversorgungssysteme mit insgesamt weniger als 15 Versorgungsanwärtern betreiben;
d)
gemäß den Artikeln 2 und 3 der Richtlinie 2014/65/EU ausgenommene natürliche oder juristische Personen;
e)
Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, bei denen es sich um Kleinstunternehmen oder kleine oder mittlere Unternehmen handelt;
f)
Postgiroämter im Sinne von Artikel 2 Absatz 5 Nummer 3 der Richtlinie 2013/36/EU.
(4)
Die Mitgliedstaaten können die in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU aufgeführten Stellen, die sich in ihrem jeweiligen Hoheitsgebiet befinden, vom Geltungsbereich dieser Verordnung ausnehmen. Macht ein Mitgliedstaat von dieser Möglichkeit Gebrauch, so setzt er die Kommission hiervon sowie von allen nachfolgenden Änderungen in Kenntnis. Die Kommission macht diese Informationen auf ihrer Website oder auf andere leicht zugängliche Weise öffentlich zugänglich.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
Begriffsbestimmungen
DORA (EU 2022/2554)
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:
1.
„digitale operationale Resilienz“ die Fähigkeit eines Finanzunternehmens, seine operative Integrität und Betriebszuverlässigkeit aufzubauen, zu gewährleisten und zu überprüfen, indem es entweder direkt oder indirekt durch Nutzung der von IKT-Drittdienstleistern bereitgestellten Dienste das gesamte Spektrum an IKT-bezogenen Fähigkeiten sicherstellt, die erforderlich sind, um die Sicherheit der Netzwerk- und Informationssysteme zu gewährleisten, die von einem Finanzunternehmen genutzt werden und die kontinuierliche Erbringung von Finanzdienstleistungen und deren Qualität, einschließlich bei Störungen, unterstützen;
2.
„Netzwerk- und Informationssystem“ ein Netz- und Informationssystem im Sinne von Artikel 6 Nummer 1 der Richtlinie (EU) 2022/2555;
3.
„IKT-Altsystem“ ein IKT-System, das das Ende seines Lebenszyklus (Ende seiner Lebensdauer) erreicht hat, aus technologischen oder wirtschaftlichen Gründen nicht für Upgrades oder Fehlerbehebungen in Frage kommt oder nicht mehr von seinem Anbieter oder einem IKT-Drittdienstleister unterstützt wird, das allerdings weiterhin genutzt wird und die Funktionen des Finanzunternehmens unterstützt;
4.
„Sicherheit von Netzwerk- und Informationssystemen“ die Sicherheit von Netz- und Informationssystemen im Sinne von Artikel 6 Nummer 2 der Richtlinie (EU) 2022/2555;
5.
„IKT-Risiko“ jeden vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, der bei Eintritt durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld die Sicherheit der Netzwerk- und Informationssysteme, jeglicher technologieabhängiger Instrumente oder Prozesse, von Geschäften und Prozessen oder der Bereitstellung von Diensten beeinträchtigen kann.
6.
„Informationsasset“ eine Sammlung materieller oder immaterieller Informationen, die geschützt werden sollten;
7.
„IKT-Asset“ eine Software oder Hardware in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt;
8.
„IKT-bezogener Vorfall“ ein von dem Finanzunternehmen nicht geplantes Ereignis bzw. eine entsprechende Reihe verbundener Ereignisse, das bzw. die die Sicherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die vom Finanzunternehmen erbrachten Dienstleistungen hat;
9.
„zahlungsbezogener Betriebs- oder Sicherheitsvorfall“ ein von den in Artikel 2 Absatz 1 Buchstaben a bis d aufgeführten Finanzunternehmen nicht geplantes Ereignis bzw. eine entsprechende Reihe verbundener Ereignisse, unabhängig davon, ob es sich um IKT-bezogene Vorfälle handelt oder nicht, das bzw. die nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit zahlungsbezogener Daten oder auf die vom Finanzunternehmen bereitgestellten zahlungsbezogenen Dienste hat;
10.
„schwerwiegender IKT-bezogener Vorfall“ einen IKT-Vorfall, der umfassende nachteilige Auswirkungen auf die Netzwerk- und Informationssysteme hat, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen;
11.
„schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfall“ einen zahlungsbezogenen Betriebs- oder Sicherheitsvorfall, der umfassende nachteilige Auswirkungen auf die bereitgestellten zahlungsbezogenen Dienste hat;
12.
„Cyberbedrohung“ eine Cyberbedrohung im Sinne von Artikel 2 Nummer 8 der Verordnung (EU) 2019/881;
13.
„erhebliche Cyberbedrohung“ eine Cyberbedrohung, deren technische Merkmale darauf hindeuten, dass sie das Potenzial haben könnte, einen schwerwiegenden IKT-bezogenen Vorfall oder einen schwerwiegenden zahlungsbezogenen Betriebs- oder Sicherheitsvorfall zu verursachen;
14.
„Cyberangriff“ einen böswilligen IKT-bezogenen Vorfall, der auf den Versuch eines Angreifers zurückgeht, einen Vermögenswert zu zerstören, freizulegen, zu verändern, zu deaktivieren, zu entwenden oder auf unberechtigte Weise auf diesen Vermögenswert zuzugreifen oder ihn auf unberechtigte Weise zu nutzen;
15.
„Bedrohungsanalyse“ Informationen, die aggregiert, umgewandelt, analysiert, ausgewertet oder erweitert wurden, um den notwendigen Kontext für die Entscheidungsfindung zu schaffen und ein relevantes und ausreichendes Verständnis für die Abmilderung der Auswirkungen eines IKT-bezogenen Vorfalls oder einer Cyberbedrohung zu ermöglichen, einschließlich der technischen Einzelheiten eines Cyberangriffs, der für den Angriff verantwortlichen Personen und ihres Modus Operandi und ihrer Beweggründe;
16.
„Schwachstelle“ eine Schwachstelle, Empfindlichkeit oder Fehlfunktion eines Vermögenswerts, eines Systems, eines Prozesses oder einer Kontrolle, die ausgenutzt werden kann;
17.
„bedrohungsorientierte Penetrationstests (TLPT — Threat-Led Penetration Testing)“ einen Rahmen, der Taktik, Techniken und Verfahren realer Angreifer, die als echte Cyberbedrohung empfunden werden, nachbildet und einen kontrollierten, maßgeschneiderten, erkenntnisgestützten (Red-Team-) Test der kritischen Live-Produktionssysteme des Finanzunternehmens ermöglicht;
18.
„IKT-Drittparteienrisiko“ ein IKT-bezogenes Risiko, das für ein Finanzunternehmen im Zusammenhang mit dessen Nutzung von IKT-Dienstleistungen entstehen kann, die von IKT-Drittdienstleistern oder deren Unterauftragnehmern, einschließlich über Vereinbarungen zur Auslagerung, bereitgestellt werden;
19.
„IKT-Drittdienstleister“ ein Unternehmen, das IKT-Dienstleistungen bereitstellt;
20.
„gruppeninterner IKT-Dienstleister“ ein Unternehmen, das Teil einer Finanzgruppe ist und überwiegend IKT-Dienstleistungen für Finanzunternehmen derselben Gruppe oder für Finanzunternehmen, die demselben institutsbezogenen Sicherungssystem angehören, bereitstellt, einschließlich deren Mutterunternehmen, Tochterunternehmen und Zweigniederlassungen oder anderer Unternehmen, die in gemeinsamem Eigentum oder unter gemeinsamer Kontrolle stehen;
21.
„IKT-Dienstleistungen“ digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung und Hardwaredienstleistungen, wozu auch technische Unterstützung durch den Hardwareanbieter mittels Software- oder Firmware-Aktualisierungen gehört, mit Ausnahme herkömmlicher analoger Telefondienste;
22.
„kritische oder wichtige Funktion“ eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen eines Finanzunternehmens oder seiner sonstigen Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde;
23.
„kritischer IKT-Drittdienstleister“ einen IKT-Drittdienstleister, der gemäß Artikel 31 als kritisch eingestuft wurde;
24.
„IKT-Drittdienstleister mit Sitz in einem Drittland“ einen IKT-Drittdienstleister, bei dem es sich um eine in einem Drittland niedergelassene juristische Person handelt, die mit einem Finanzunternehmen eine vertragliche Vereinbarung über die Bereitstellung von IKT-Dienstleistungen geschlossen hat;
25.
„Tochterunternehmen“ ein Tochterunternehmen im Sinne von Artikel 2 Nummer 10 und Artikel 22 der Richtlinie 2013/34/EU;
26.
„Gruppe“ eine Gruppe im Sinne von Artikel 2 Nummer 11 der Richtlinie 2013/34/EU;
27.
„Mutterunternehmen“ ein Mutterunternehmen im Sinne von Artikel 2 Nummer 9 und Artikel 22 der Richtlinie 2013/34/EU;
28.
„IKT-Unterauftragnehmer mit Sitz in einem Drittland“ einen IKT-Unterauftragnehmer, bei dem es sich um eine in einem Drittland niedergelassene juristische Person handelt, die mit einem IKT-Drittdienstleister oder einem IKT-Drittdienstleister mit Sitz in einem Drittland eine vertragliche Vereinbarung geschlossen hat;
29.
„IKT-Konzentrationsrisiko“ die Exposition gegenüber einzelnen oder mehreren verbundenen kritischen IKT-Drittdienstleistern, die zu einer gewissen Abhängigkeit von diesen Dienstleistern führt, sodass die Nichtverfügbarkeit, der Ausfall oder sonstige Defizite dieser Dienstleister die Fähigkeit eines Finanzunternehmens gefährden könnten, kritische oder wichtige Funktionen zu erfüllen, oder bei dem Finanzunternehmen andere Formen nachteiliger Auswirkungen, einschließlich großer Verluste, herbeiführen oder die finanzielle Stabilität der Union insgesamt gefährden könnten;
30.
„Leitungsorgan“ ein Leitungsorgan im Sinne von Artikel 4 Absatz 1 Nummer 36 der Richtlinie 2014/65/EU, von Artikel 3 Absatz 1 Nummer 7 der Richtlinie 2013/36/EU, von Artikel 2 Absatz 1 Buchstabe s der Richtlinie 2009/65/EG des Europäischen Parlaments und des Rates (31), von Artikel 2 Absatz 1 Nummer 45 der Verordnung (EU) Nr. 909/2014, von Artikel 3 Absatz 1 Nummer 20 der Verordnung (EU) 2016/1011 sowie im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten oder die entsprechenden Personen, die das Unternehmen tatsächlich leiten oder im Einklang mit dem einschlägigen Unionsrecht oder nationalen Recht Schlüsselfunktionen wahrnehmen;
31.
„Kreditinstitut“ ein Kreditinstitut im Sinne von Artikel 4 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates (32);
32.
„nach der Richtlinie 2013/36/EU ausgenommenes Institut“ eine in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU aufgeführte Einrichtung;
33.
„Wertpapierfirma“ eine Wertpapierfirma im Sinne von Artikel 4 Absatz 1 Nummer 1 der Richtlinie 2014/65/EU;
34.
„kleine und nicht verflochtene Wertpapierfirma“ eine Wertpapierfirma, die die in Artikel 12 Absatz 1 der Verordnung (EU) 2019/2033 des Europäischen Parlaments und des Rates (33) genannten Bedingungen erfüllt;
35.
„Zahlungsinstitut“ ein Zahlungsinstitut im Sinne von Artikel 4 Nummer 4 der Richtlinie (EU) 2015/2366;
36.
„nach der Richtlinie (EU) 2015/2366 ausgenommenes Zahlungsinstitut“ ein Zahlungsinstitut, für das eine Ausnahme nach Artikel 32 Absatz 1 der Richtlinie (EU) 2015/2366 gilt;
37.
„Kontoinformationsdienstleister“ einen Kontoinformationsdienstleister im Sinne von Artikel 33 Absatz 1 der Richtlinie (EU) 2015/2366;
38.
„E-Geld-Institut“ ein E-Geld-Institut im Sinne von Artikel 2 Nummer 1 der Richtlinie 2009/110/EG;
39.
„nach der Richtlinie 2009/110/EG ausgenommenes E-Geld-Institut“ ein E-Geld-Institut, für das eine Ausnahme nach Artikel 9 Absatz 1 der Richtlinie 2009/110/EG gilt;
40.
„zentrale Gegenpartei“ eine zentrale Gegenpartei im Sinne von Artikel 2 Nummer 1 der Verordnung (EU) Nr. 648/2012;
41.
„Transaktionsregister“ ein Transaktionsregister im Sinne von Artikel 2 Nummer 2 der Verordnung (EU) Nr. 648/2012;
42.
„Zentralverwahrer“ ein Zentralverwahrer im Sinne von Artikel 2 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 909/2014;
43.
„Handelsplatz“ einen Handelsplatz im Sinne von Artikel 4 Absatz 1 Nummer 24 der Richtlinie 2014/65/EU.
44.
„Verwalter alternativer Investmentfonds“ einen Verwalter alternativer Investmentfonds im Sinne von Artikel 4 Absatz 1 Buchstabe b der Richtlinie 2011/61/EU;
45.
„Verwaltungsgesellschaft“ eine Verwaltungsgesellschaft im Sinne von Artikel 2 Absatz 1 Buchstabe b der Richtlinie 2009/65/EG.
46.
„Datenbereitstellungsdienst“ einen in Artikel 2 Absatz 1 Nummern 34 bis 36 der Verordnung (EU) Nr. 600/2014 genannten Datenbereitstellungsdienst im Sinne der genannten Verordnung;
47.
„Versicherungsunternehmen“ ein Versicherungsunternehmen im Sinne von Artikel 13 Nummer 1 der Richtlinie 2009/138/EG;
48.
„Rückversicherungsunternehmen“ ein Rückversicherungsunternehmen im Sinne von Artikel 13 Nummer 4 der Richtlinie 2009/138/EG;
49.
„Versicherungsvermittler“ einen Versicherungsvermittler im Sinne von Artikel 2 Absatz 1 Nummer 3 der Richtlinie (EU) 2016/97 des Europäischen Parlaments und des Rates (34);
50.
„Versicherungsvermittler in Nebentätigkeit“ einen Versicherungsvermittler in Nebentätigkeit im Sinne von Artikel 2 Absatz 1 Nummer 4 der Richtlinie (EU) 2016/97;
51.
„Rückversicherungsvermittler“ einen Rückversicherungsvermittler im Sinne von Artikel 2 Absatz 1 Nummer 5 der Richtlinie (EU) 2016/97;
52.
„Einrichtung der betrieblichen Altersversorgung“ eine Einrichtung der betrieblichen Altersversorgung im Sinne von Artikel 6 Nummer 1 der Richtlinie (EU) 2016/2341;
53.
„kleine Einrichtung der betrieblichen Altersversorgung“ eine Einrichtung der betrieblichen Altersversorgung, die Altersversorgungssysteme mit insgesamt weniger als 100 Versorgungsanwärtern betreibt;
54.
„Ratingagentur“ eine Ratingagentur im Sinne von Artikel 3 Absatz 1 Buchstabe b der Verordnung (EG) Nr. 1060/2009;
55.
„Anbieter von Krypto-Dienstleistungen“ einen Anbieter von Krypto-Dienstleistungen im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten;
56.
„Emittent wertreferenzierter Token“ einen Emittenten „wertreferenzierter Token“ im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten;
57.
„Administrator kritischer Referenzwerte“ einen Administrator „kritischer Referenzwerte“ im Sinne von Artikel 3 Absatz 1 Nummer 25 der Verordnung (EU) 2016/1011;
58.
„Schwarmfinanzierungsdienstleister“ einen Schwarmfinanzierungsdienstleister im Sinne von Artikel 2 Absatz 1 Buchstabe e der Verordnung (EU) 2020/1503 des Europäischen Parlaments und des Rates (35);
59.
„Verbriefungsregister“ ein Verbriefungsregister im Sinne von Artikel 2 Nummer 23 der Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates (36);
60.
„Kleinstunternehmen“ ein Finanzunternehmen, bei dem es sich nicht um einen Handelsplatz, eine zentrale Gegenpartei, ein Transaktionsregister oder einen Zentralverwahrer handelt, das weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR nicht überschreitet;
61.
„federführende Überwachungsbehörde“ die gemäß Artikel 31 Absatz 1 Buchstabe b dieser Verordnung benannte Europäische Aufsichtsbehörde;
62.
„Gemeinsamer Ausschuss“ den jeweils in Artikel 54 der Verordnung (EU) Nr. 1093/2010, der Verordnung (EU) Nr. 1094/2010 und der Verordnung (EU) Nr. 1095/2010 genannten Ausschuss;
63.
„Kleinunternehmen“ ein Finanzunternehmen, das 10 oder mehr, aber weniger als 50 Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR überschreitet, nicht jedoch 10 Mio. EUR;
64.
„mittleres Unternehmen“ ein Finanzunternehmen, das kein Kleinunternehmen ist, das weniger als 250 Personen beschäftigt und dessen Jahresumsatz 50 Mio. EUR und/oder dessen Jahresbilanzsumme 43 Mio. EUR nicht überschreitet;
65.
„staatliche Behörde“ jede staatliche Stelle oder sonstige Stelle der öffentlichen Verwaltung, einschließlich der nationalen Zentralbanken.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Grundsatz der Verhältnismäßigkeit
DORA (EU 2022/2554)
(1)
Die Finanzunternehmen wenden die in Kapitel II festgelegten Vorschriften im Einklang mit dem Grundsatz der Verhältnismäßigkeit an, wobei ihrer Größe und ihrem Gesamtrisikoprofil sowie der Art, dem Umfang und der Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte Rechnung zu tragen ist.
(2)
Darüber hinaus muss die Anwendung der Kapitel III und IV sowie des Kapitels V Abschnitt I durch die Finanzunternehmen in einem angemessenen Verhältnis zu ihrer Größe und ihrem Gesamtrisikoprofil sowie zu der Art, dem Umfang und der Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte stehen, wie dies in den einschlägigen Vorschriften jener Kapitel ausdrücklich vorgesehen ist.
1 Sollmaßnahme
ISMS-4.1.001Proportionalitätsprinzip
(3)
Bei der Überprüfung der Kohärenz des IKT-Risikomanagementrahmens auf der Grundlage der Berichte, die den zuständigen Behörden gemäß Artikel 6 Absatz 5 und Artikel 16 Absatz 2 auf Anfrage vorgelegt werden, prüfen die zuständigen Behörden die Anwendung des Grundsatzes der Verhältnismäßigkeit durch die Finanzunternehmen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Governance und Organisation
DORA (EU 2022/2554)
(1)
Finanzunternehmen verfügen über einen internen Governance- und Kontrollrahmen, der im Einklang mit Artikel 6 Absatz 4 ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen.
1 Sollmaßnahme
ISMS-5.3.001Governance- und Kontrollrahmen
Governance- und Kontrollrahmen
Das Finanzunternehmen soll klare Steuerungs-, Kontroll- und Überwachungsstrukturen für IKT-Risiken etablieren, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen.
(2)
Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen nach Artikel 6 Absatz 1.
Für die Zwecke von Unterabsatz 1 gilt Folgendes:
1 Sollmaßnahme
A-5.4.001Genehmigung und Überwachung des IKT-Risikomanagementrahmens
Genehmigung und Überwachung des IKT-Risikomanagementrahmens
Das Leitungsorgan soll verantwortlich sein für die Definition, Genehmigung, Überwachung und Umsetzung des IKT-Risikomanagementrahmens.
a)
Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens;
1 Sollmaßnahme zu lit. a
A-5.4.002Letztverantwortung für das IKT-Risikomanagement
Letztverantwortung für das IKT-Risikomanagement
Das Leitungsorgan soll die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens tragen.
b)
das Leitungsorgan führt Leitlinien ein, die darauf abzielen, hohe Standards in Bezug auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten aufrechtzuerhalten;
1 Sollmaßnahme zu lit. b
A-5.4.003Festlegung von Leitlinien und IKT-Sicherheitsrichtlinien
Festlegung von Leitlinien und IKT-Sicherheitsrichtlinien
Das Leitungsorgan soll geeignete Leitlinien und IKT-Sicherheitsrichtlinien festlegen, um hohe Standards für die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten sicherzustellen.
c)
das Leitungsorgan legt klare Aufgaben und Verantwortlichkeiten für alle IKT-bezogenen Funktionen sowie angemessene Governance-Regelungen fest, um eine wirksame und rechtzeitige Kommunikation, Zusammenarbeit und Koordinierung zwischen diesen Funktionen zu gewährleisten;
1 Sollmaßnahme zu lit. c
A-5.4.004Festlegung von Rollen und Koordination der IKT-Funktionen
Festlegung von Rollen und Koordination der IKT-Funktionen
Das Leitungsorgan soll sicherstellen, dass Rollen, Zuständigkeiten und Abstimmungswege zwischen allen IKT-bezogenen Funktionen klar geregelt sind, sodass Kommunikation, Zusammenarbeit und Koordination reibungslos erfolgen.
d)
das Leitungsorgan trägt die Gesamtverantwortung für die Festlegung und Genehmigung der Strategie für die digitale operationale Resilienz gemäß Artikel 6 Absatz 8, einschließlich der Festlegung der angemessenen Toleranzschwelle für das IKT-Risiko des Finanzunternehmens gemäß Artikel 6 Absatz 8 Buchstabe b;
1 Sollmaßnahme zu lit. d
A-5.4.005Genehmigung der DOR-Strategie und Risikotoleranz
Genehmigung der DOR-Strategie und Risikotoleranz
Das Leitungsorgan soll verantwortlich sein für die Festlegung und Genehmigung der DOR-Strategie einschließlich der Festlegung des IKT-Risikotoleranzniveaus.
e)
das Leitungsorgan genehmigt, überwacht und überprüft regelmäßig die Umsetzung der in Artikel 11 Absatz 1 genannten IKT-Geschäftsfortführungsleitlinie und der in Artikel 11 Absatz 3 genannten IKT-Reaktions- und Wiederherstellungspläne, die als eigenständige spezielle Leitlinie, die integraler Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Finanzunternehmens und seines Reaktions- und Wiederherstellungsplans ist, verabschiedet werden können;
1 Sollmaßnahme zu lit. e
A-5.4.006Genehmigung der IKT-Geschäftsfortführungspläne
Genehmigung der IKT-Geschäftsfortführungspläne
Das Leitungsorgan soll die IKT-Geschäftsfortführungsleitlinie sowie die IKT-Reaktions- und Wiederherstellungspläne genehmigen, überwachen und regelmäßig überprüfen.
f)
das Leitungsorgan genehmigt und überprüft regelmäßig die internen IKT-Revisionspläne des Finanzunternehmens, die IKT-Revision und die daran vorgenommenen wesentlichen Änderungen;
1 Sollmaßnahme zu lit. f
A-5.4.007Genehmigung der IKT-Auditpläne
Genehmigung der IKT-Auditpläne
Das Leitungsorgan soll die internen IKT-Revisionspläne, die Durchführung der IKT-Revision sowie wesentliche Änderungen daran genehmigen und regelmäßig überprüfen.
g)
das Leitungsorgan weist angemessene Budgetmittel zu und überprüft diese regelmäßig, um den Anforderungen des Finanzunternehmens an die digitale operationale Resilienz in Bezug auf alle Arten von Ressourcen gerecht zu werden, einschließlich einschlägiger Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz nach Artikel 13 Absatz 6 sowie IKT-Kompetenzen für alle Mitarbeiter;
1 Sollmaßnahme zu lit. g
ISMS-7.1.001Budgets für digitale operationale Resilienz
Budgets für digitale operationale Resilienz
Das Leitungsorgan soll angemessene Budgetmittel für die digitale operationale Resilienz zuweisen und diese regelmäßig überprüfen, einschließlich der Mittel für Sensibilisierungs- und Awarenessmaßnahmen, Schulungen zur Informationssicherheit und zur digitalen operationalen Resilienz (Art. 13 (6) DORA) sowie den Aufbau von IKT-Kompetenzen für alle Mitarbeitenden.
zuletzt geändert am 2026-07-02
h)
das Leitungsorgan genehmigt und überprüft regelmäßig die Leitlinie des Finanzunternehmens in Bezug auf Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die von IKT-Drittdienstleistern bereitgestellt werden;
2 Sollmaßnahmen zu lit. h
A-5.1.184Leitlinie zur Nutzung von IKT-Dienstleistungen: Erstellung
Leitlinie zur Nutzung von IKT-Dienstleistungen: Erstellung
Das Finanzunternehmen soll eine allgemeine Leitlinie zur Nutzung von IKT-Dienstleistungen entwickeln, dokumentieren und implementieren, die für alle IKT-Dienstleistungen gilt.
Die Leitlinie zur Nutzung von IKT-Dienstleistungen soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit gemäß DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Leitlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Leitlinie
zuletzt geändert am 2026-07-02
A-5.4.008Genehmigung der Leitlinien zur Nutzung von IKT-Dienstleistungen
Genehmigung der Leitlinien zur Nutzung von IKT-Dienstleistungen
Das Leitungsorgan soll die Leitlinien zur Nutzung von IKT-Dienstleistungen genehmigen und regelmäßig überprüfen.
i)
das Leitungsorgan richtet auf Unternehmensebene Meldekanäle ein, die es ihm ermöglichen, ordnungsgemäß über Folgendes informiert zu werden: i) mit IKT-Drittdienstleistern geschlossene Vereinbarungen über die Nutzung von IKT-Dienstleistungen, ii) alle relevanten geplanten wesentlichen Änderungen in Bezug auf die IKT-Drittdienstleister, iii) die potenziellen Auswirkungen derartiger Änderungen auf die kritischen oder wichtigen Funktionen, die Gegenstand dieser Vereinbarungen sind, einschließlich einer Zusammenfassung der Risikoanalyse, um die Auswirkungen dieser Änderungen zu bewerten, und zumindest über schwerwiegende IKT-bezogene Vorfälle und deren Auswirkungen sowie über Gegen-, Wiederherstellungs- und Korrekturmaßnahmen.
2 Sollmaßnahmen zu lit. i
A-5.1.185Leitlinie zur Nutzung von IKT-Dienstleistungen: Berichtskanäle an das Leitungsorgan
Leitlinie zur Nutzung von IKT-Dienstleistungen: Berichtskanäle an das Leitungsorgan
Die Leitlinie zur Nutzung von IKT-Dienstleistungen sollte festlegen, welche Berichtskanäle eingerichtet werden, um das Leitungsorgan zu informieren über:
- Vereinbarungen mit IKT-Dienstleistern
- geplante wesentliche Änderungen bei IKT-Dienstleistern
- Auswirkungen und Risiken solcher Änderungen auf kwF einschließlich einer Zusammenfassung von Ex-ante Risk Assessment und Due Diligence Prüfung
- schwerwiegende IKT-bezogene Vorfälle sowie die ergriffenen Gegen-, Wiederherstellungs- und Korrekturmaßnahmen
A-5.4.009Berichtskanäle für IKT-Dienstleistungsvereinbarungen
Berichtskanäle für IKT-Dienstleistungsvereinbarungen
Das Leitungsorgan soll geeignete Berichtskanäle einrichten, um informiert zu werden über
– Vereinbarungen mit IKT-Dienstleistern,
– geplante wesentliche Änderungen bei IKT-Dienstleistern,
– die Auswirkungen und Risiken solcher Änderungen auf kwF, einschließlich einer Zusammenfassung von Ex-ante Risk Assessment und Due Diligence Prüfung, sowie
– schwerwiegende IKT-bezogene Vorfälle und die ergriffenen Gegen-, Wiederherstellungs- und Korrekturmaßnahmen
(3)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, richten eine Funktion ein, um die mit IKT-Drittdienstleistern über die Nutzung von IKT-Dienstleistungen geschlossenen Vereinbarungen zu überwachen, oder benennen ein Mitglied der Geschäftsleitung, das für die Überwachung der damit verbundenen Risikoexposition und die einschlägige Dokumentation verantwortlich ist.
1 Sollmaßnahme
A-5.2.001Funktion zur Überwachung von IKT-Verträgen
Funktion zur Überwachung von IKT-Verträgen
Das Finanzunternehmen soll eine klar definierte Rolle etablieren, die die mit IKT-Dienstleistern geschlossenen Vereinbarungen über IKT-Dienstleistungen, die damit verbundene Risikoexposition sowie die Dokumentation überwacht (z. B. IKT-Verträge, Ex-ante-Risikobewertungen, Due-Diligence-Unterlagen und Überprüfungsmaßnahmen):
(4)
Die Mitglieder des Leitungsorgans des Finanzunternehmens halten ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand — unter anderem indem sie regelmäßig spezielle Schulungen absolvieren — entsprechend den zu managenden IKT-Risiken, um die IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Finanzunternehmens verstehen und bewerten können.
1 Sollmaßnahme
A-6.3.001Schulung des Leitungsorgans zu IKT-Risiken
Schulung des Leitungsorgans zu IKT-Risiken
Das Finanzunternehmen soll sicherstellen, dass die Mitglieder des Leitungsorgans ihre Kenntnisse und Fähigkeiten zu IKT-Risiken regelmäßig aktualisieren, insbesondere durch geeignete Schulungen, damit sie IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit verstehen und bewerten können.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
IKT-Risikomanagementrahmen
DORA (EU 2022/2554)
(1)
Finanzunternehmen verfügen über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen, der Teil ihres Gesamtrisikomanagementsystems ist und es ihnen ermöglicht, IKT-Risiken schnell, effizient und umfassend anzugehen und ein hohes Niveau an digitaler operationaler Resilienz zu gewährleisten.
1 Sollmaßnahme
ISMS-4.4.001Implementierung des IKT-Risikomanagementrahmens
(2)
Der IKT-Risikomanagementrahmen umfasst mindestens Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokolle und -Tools, die erforderlich sind, um alle Informations- und IKT-Assets, einschließlich Computer-Software, Hardware und Server, ordnungsgemäß und angemessen zu schützen sowie um alle relevanten physischen Komponenten und Infrastrukturen, wie etwa Räumlichkeiten, Rechenzentren und ausgewiesene sensible Bereiche zu schützen, damit der angemessene Schutz aller Informations- und IKT-Assets vor Risiken, einschließlich der Beschädigung und des unbefugten Zugriffs oder der unbefugten Nutzung, gewährleistet ist.
1 Sollmaßnahme
ISMS-4.4.002Komponenten des IKT-Risikomanagementrahmens
(3)
Im Einklang mit ihrem IKT-Risikomanagementrahmen minimieren Finanzunternehmen die Auswirkungen von IKT-Risiken, indem sie geeignete Strategien, Leit- und Richtlinien, Verfahren, IKT-Protokolle und Tools einsetzen. Sie legen den zuständigen Behörden auf Anfrage vollständige und aktuelle Informationen über IKT-Risiken und ihren IKT-Risikomanagementrahmen vor.
2 Sollmaßnahmen
A-5.5.003Bereitstellung von IKT-Risikoinformationen an die Aufsicht
ISMS-8.3.001Behandlung von IKT-Risiken
(4)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, übertragen die Zuständigkeit für das Management und die Überwachung des IKT-Risikos an eine Kontrollfunktion und stellen ein angemessenes Maß an Unabhängigkeit dieser Kontrollfunktion sicher, um Interessenkonflikte zu vermeiden. Die Finanzunternehmen sorgen für eine angemessene Trennung und Unabhängigkeit von IKT-Risikomanagementfunktionen, Kontrollfunktionen und internen Revisionsfunktionen gemäß dem Modell der drei Verteidigungslinien oder einem internen Modell für Risikomanagement und Kontrolle.
2 Sollmaßnahmen
A-5.2.002IKT-Risikokontrollfunktion
A-5.3.001Funktionstrennung (Drei-Linien-Modell)
(5)
Der IKT-Risikomanagementrahmen wird mindestens einmal jährlich — bzw. im Falle von Kleinstunternehmen regelmäßig — sowie bei Auftreten schwerwiegender IKT-bezogener Vorfälle und nach aufsichtsrechtlichen Anweisungen oder Feststellungen, die sich aus einschlägigen Tests der digitalen operationalen Resilienz oder Auditverfahren ergeben, dokumentiert und überprüft. Der Rahmen wird auf Grundlage der bei Umsetzung und Überwachung gewonnenen Erkenntnisse kontinuierlich verbessert. Der zuständigen Behörde wird auf deren Anfrage ein Bericht über die Überprüfung des IKT-Risikomanagementrahmens vorgelegt.
3 Sollmaßnahmen
A-5.5.002Vorlage des Berichts zur Überprüfung des IKT-Risikomanagementrahmens
ISMS-10.1.001Fortlaufende Verbesserung des IKT-Risikomanagementrahmens
ISMS-9.2.001Überprüfung des IKT-Risikomanagementrahmens
(6)
Im Einklang mit dem Revisionsplan des betreffenden Finanzunternehmens ist der IKT-Risikomanagementrahmen von Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, regelmäßig einer internen Revision durch Revisoren zu unterziehen. Diese Revisoren verfügen über ausreichendes Wissen und ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie über eine angemessene Unabhängigkeit. Häufigkeit und Schwerpunkt von IKT-Revisionen sind den IKT-Risiken des Finanzunternehmens entsprechend angemessen.
1 Sollmaßnahme
A-5.35.002(IKT-) Revisionspläne: Prüfung des IKT-Risikomanagementrahmens
(7)
Auf der Grundlage der Feststellungen aus der Überprüfung der internen Revision legen Finanzunternehmen ein förmliches Follow-up-Verfahren einschließlich Regeln für die rechtzeitige Überprüfung und Auswertung kritischer Erkenntnisse der IKT-Revision fest.
1 Sollmaßnahme
A-5.35.001Verfahren zur Nachverfolgung von IKT-Mängeln
(8)
Der IKT-Risikomanagementrahmen umfasst eine Strategie für die digitale operationale Resilienz, in der dargelegt wird, wie der Rahmen umgesetzt wird. Zu diesem Zweck schließt die Strategie für die digitale operationale Resilienz Methoden, um IKT-Risiken anzugehen und spezifische IKT-Ziele zu erreichen, ein, indem
1 Sollmaßnahme
ISMS-5.2.001DOR-Strategie: Erstellung
a)
erläutert wird, wie der IKT-Risikomanagementrahmen die Geschäftsstrategie und die Ziele des Finanzunternehmens unterstützt;
1 Sollmaßnahme zu lit. a
A-5.1.001Anforderungen an die DOR-Strategie: Verzahnung mit Geschäftsstrategie und -zielen
b)
die Risikotoleranzschwelle für IKT-Risiken im Einklang mit der Risikobereitschaft des Finanzunternehmens festgelegt und die Auswirkungsstoleranz mit Blick auf IKT-Störungen untersucht wird;
1 Sollmaßnahme zu lit. b
A-5.1.002Anforderungen an die DOR-Strategie: IKT-Risikotoleranz und Auswirkungstoleranz
c)
klare Ziele für die Informationssicherheit festgelegt werden, einschließlich der wesentlichen Leistungsindikatoren und der wesentlichen Risikokennzahlen;
1 Sollmaßnahme zu lit. c
A-5.1.003Anforderungen an die DOR-Strategie: Ziele der Informationssicherheit (Kennzahlen)
d)
die IKT-Referenzarchitektur und etwaige Änderungen erläutert werden, die für die Erreichung spezifischer Geschäftsziele erforderlich sind;
1 Sollmaßnahme zu lit. d
A-5.1.004Anforderungen an die DOR-Strategie: IKT-Referenzarchitektur und Änderungsbedarf
e)
die verschiedenen Mechanismen dargelegt werden, die eingesetzt wurden, um IKT-bezogene Vorfälle zu erkennen, sich davor zu schützen und daraus entstehende Folgen zu verhindern;
1 Sollmaßnahme zu lit. e
A-5.1.005Anforderungen an die DOR-Strategie: Mechanismen zu Erkennung, Schutz und Begrenzung
f)
der aktuelle Stand bezüglich der digitalen operationalen Resilienz anhand der Anzahl gemeldeter schwerwiegender IKT-Vorfälle und bezüglich der Wirksamkeit von Präventivmaßnahmen dargelegt wird;
1 Sollmaßnahme zu lit. f
A-5.1.006Anforderungen an die DOR-Strategie: Stand der operativen Resilienz (Vorfallslage)
g)
Tests der digitalen operationalen Resilienz gemäß Kapitel IV dieser Verordnung durchgeführt werden;
1 Sollmaßnahme zu lit. g
A-5.1.007Anforderungen an die DOR-Strategie: Resilienztests
h)
für den Fall von IKT-bezogenen Vorfällen, die gemäß Artikel 14 offengelegt werden müssen, eine Kommunikationsstrategie dargelegt wird.
1 Sollmaßnahme zu lit. h
A-5.1.008Anforderungen an die DOR-Strategie: Kommunikationsstrategie für Vorfälle
(9)
Finanzunternehmen können im Zusammenhang mit der Strategie für die digitale operationale Resilienz nach Absatz 8 eine ganzheitliche Strategie zur Nutzung mehrerer IKT-Anbieter auf Gruppen- oder Unternehmensebene festlegen, in der wesentliche Abhängigkeiten von IKT-Drittdienstleistern aufgezeigt und die Gründe für die Nutzung verschiedener IKT-Drittdienstleister erläutert werden.
1 Sollmaßnahme
A-5.1.009Strategie zur Nutzung mehrerer IKT-Anbieter (Multi-Vendor-Strategie)
(10)
Finanzunternehmen können die Überprüfung der Einhaltung der Anforderungen für das IKT-Risikomanagement im Einklang mit den sektorspezifischen Rechtsvorschriften der Union und der Mitgliedstaaten an gruppeninterne oder externe Unternehmen auslagern. Im Falle einer solchen Auslagerung bleibt das Finanzunternehmen weiterhin uneingeschränkt für die Überprüfung der Einhaltung der IKT-Risikomanagementanforderungen verantwortlich.
1 Sollmaßnahme
A-5.2.003Auslagerung der IKT-Risikokontrollen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
IKT-Systeme, -Protokolle und -Tools
DORA (EU 2022/2554)
Um IKT-Risiken zu bewältigen und zu managen, verwenden und unterhalten Finanzunternehmen stets auf dem neuesten Stand zu haltende IKT-Systeme, -Protokolle und -Tools, die
a)
dem Umfang von Vorgängen, die die Ausübung ihrer Geschäftstätigkeiten unterstützen, im Einklang mit dem Grundsatz der Verhältnismäßigkeit nach Artikel 4 angemessen sind;
1 Sollmaßnahme zu lit. a
A-5.1.179Richtlinie für den sicheren IKT-Betrieb: Aktualität der Systeme und Tools
Richtlinie für den sicheren IKT-Betrieb: Aktualität der Systeme und Tools
Die Richtlinie für den sicheren IKT-Betrieb soll festlegen, dass IKT-Systeme, -Protokolle und -Tools stets auf dem neuesten Stand gehalten werden und dem Umfang sowie der Komplexität der Geschäftstätigkeiten angemessen sind.
b)
zuverlässig sind;
1 Sollmaßnahme zu lit. b
A-5.1.180Richtlinie für den sicheren IKT-Betrieb: Zuverlässigkeit der Systeme und Tools
Richtlinie für den sicheren IKT-Betrieb: Zuverlässigkeit der Systeme und Tools
Die Richtlinie für den sicheren IKT-Betrieb soll festlegen, dass die eingesetzten IKT-Systeme, -Protokolle und -Tools zuverlässig sind.
c)
mit ausreichenden Kapazitäten ausgestattet sind, um die Daten, die für die Ausführung von Tätigkeiten und die rechtzeitige Erbringung von Dienstleistungen erforderlich sind, genau zu verarbeiten und Auftragsspitzen, Mitteilungen oder Transaktionen auch bei Einführung neuer Technologien bewältigen zu können;
1 Sollmaßnahme zu lit. c
A-5.1.181Richtlinie für den sicheren IKT-Betrieb: Ausreichende Kapazitäten (Spitzenlast)
Richtlinie für den sicheren IKT-Betrieb: Ausreichende Kapazitäten (Spitzenlast)
Die Richtlinie für den sicheren IKT-Betrieb soll festlegen, dass IKT-Systeme, -Protokolle und -Tools über ausreichende Kapazitäten verfügen, um essenzielle Daten korrekt zu verarbeiten, Dienstleistungen rechtzeitig zu erbringen und Spitzenvolumen an Bestellungen, Nachrichten oder Transaktionen zu bewältigen, auch bei Einführung neuer Technologien.
d)
technologisch resilient sind, um dem unter angespannten Marktbedingungen oder anderen widrigen Umständen erforderlichen zusätzlichen Bedarf an Informationsverarbeitung angemessen zu begegnen.
1 Sollmaßnahme zu lit. d
A-5.1.182Richtlinie für den sicheren IKT-Betrieb: Technologische Resilienz unter Stress
Richtlinie für den sicheren IKT-Betrieb: Technologische Resilienz unter Stress
Die Richtlinie für den sicheren IKT-Betrieb soll festlegen, dass IKT-Systeme, -Protokolle und -Tools technologisch resilient ausgelegt sind, um zusätzliche Informationsverarbeitungsanforderungen unter angespannten Marktbedingungen oder in anderen widrigen Situationen bewältigen zu können.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 8
Identifizierung
DORA (EU 2022/2554)
(1)
Als Teil des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1 ermitteln und klassifizieren Finanzunternehmen alle IKT-gestützten Unternehmensfunktionen, Rollen und Verantwortlichkeiten, die Informations- und IKT-Assets, die diese Funktionen unterstützen, sowie deren Rollen und Abhängigkeiten hinsichtlich der IKT-Risiken und dokumentieren sie angemessen. Finanzunternehmen überprüfen erforderlichenfalls, mindestens jedoch einmal jährlich, ob diese Klassifizierung und jegliche einschlägige Dokumentation angemessen sind.
5 Sollmaßnahmen
A-5.12.003Verfahren zum IKT-Assetmanagement: Methodik zur kwF-Ermittlung
A-5.12.004Klassifizierung von IKT-Assets nach Kritikalität
A-5.12.005Regelmäßige Überprüfung der Schutzbedarfsklassifizierung
A-5.12.008Klassifizierung von Geschäftsprozessen als kwF
A-5.12.009Überprüfung der Einstufung von kwF
↕ Bindet mit Abs. 6 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Finanzunternehmen ermitteln kontinuierlich alle Quellen für IKT-Risiken, insbesondere das Risiko gegenüber und von anderen Finanzunternehmen, und bewerten Cyberbedrohungen und IKT-Schwachstellen, die für ihre IKT-gestützten Geschäftsfunktionen, Informations- und IKT-Assets relevant sind. Finanzunternehmen überprüfen regelmäßig, mindestens jedoch einmal jährlich die sie betreffenden Risikoszenarien.
4 Sollmaßnahmen
A-8.8.024Handhabung von technischen Schwachstellen im IKT-Risikomanagement
ISMS-8.2.001IKT-Risikobewertung für Schwachstellen und Bedrohungen
ISMS-8.2.004Quellen von IKT-Risiken
ISMS-8.2.005Jährliche Überprüfung der IKT-Risikobewertung
(3)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen bei jeder wesentlichen Änderung der Netzwerk- und Informationssysteminfrastruktur, der Prozesse oder Verfahren, die sich auf ihre IKT-gestützten Unternehmensfunktionen, Informations- oder IKT-Assets auswirken, eine Risikobewertung durch.
2 Sollmaßnahmen
A-8.32.012IKT-Risikobewertung bei IKT-Änderungen
A-8.32.013Risikobewertungen zur Netzwerksicherheit
(4)
Finanzunternehmen ermitteln alle Informations- und IKT-Assets, einschließlich derer an externen Standorten, Netzwerkressourcen und Hardware, und erfassen diejenigen, die als kritisch gelten. Sie erfassen die Konfiguration von Informations- und IKT-Assets sowie die Verbindungen und Interdependenzen zwischen den verschiedenen Informations- und IKT-Assets.
6 Sollmaßnahmen · 2 Zieldokumente · 1 Nachweis
CMDB-Stammdaten· 4 hierkatalogweit 20 in 4 Artikeln
A-8.9.004CMDB: Dokumentation aller IKT-Assets und Abhängigkeiten
A-8.9.005Inventar und Konfigurationsdokumentation von Netzwerkgeräten
A-8.9.006CMDB: Fokus auf kritische IKT-Assets
A-8.9.015CMDB-Stammdaten: Abhängigkeiten zu anderen IKT-Assets
Richtlinie zum IKT-Assetmanagement· 1 hierkatalogweit 15 in 6 Artikeln
A-5.1.011Richtlinie zum IKT-Assetmanagement: Identifikation und Dokumentation im Informationsverbund
Nachweise / operative Umsetzung· 1 hier
A-5.9.007Modellierung des Informationsverbunds
↕ Bindet mit Abs. 6 zusammen — die gemeinsame Sollmaßnahme steht dort.
(5)
Finanzunternehmen ermitteln und dokumentieren alle Prozesse, die von IKT-Drittdienstleistern abhängen, und ermitteln Vernetzungen mit IKT-Drittdienstleistern, die Dienste zur Unterstützung kritischer oder wichtiger Funktionen bereitstellen.
1 Sollmaßnahme
A-5.9.008Darstellung der IKT-Dienstleistungsabhängigkeiten
(6)
Für die Zwecke der Absätze 1, 4 und 5 führen Finanzunternehmen entsprechende Inventare, die sie regelmäßig sowie bei jeder wesentlichen Änderung im Sinne von Absatz 3 aktualisieren.
7 Sollmaßnahmen · 1 Zieldokument
CMDB-Stammdaten· 7 hierkatalogweit 20 in 4 Artikeln
A-5.9.001Inventar der IKT-unterstützten Geschäftsprozesse
A-5.9.002Inventar der IKT-Dienstleistungen und -Dienstleister
A-5.9.003Inventar der IKT-Rollen und Verantwortlichkeiten
A-5.9.004Inventar der Informationsassets
A-5.9.005Inventar der IKT-Assets und physischen Infrastrukturen
A-5.9.006Regelmäßige Aktualisierung der Asset-Inventare
A-8.9.007CMDB: Regelmäßige Aktualisierung
1 Sollmaßnahme
A-5.1.012Richtlinie zum IKT-Assetmanagement: Führung der Asset-Inventare (Pflichtelemente)
(7)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen für alle IKT-Altsysteme regelmäßig, mindestens jedoch einmal jährlich und in jedem Fall vor und nach Anschluss von Technologien, Anwendungen oder Systemen eine spezifische Bewertung des IKT-Risikos durch.
1 Sollmaßnahme
ISMS-8.2.003IKT-Risikobewertung für Altsysteme
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 9
Schutz und Prävention
DORA (EU 2022/2554)
(1)
Um einen angemessenen Schutz von IKT-Systemen zu gewährleisten und Gegenmaßnahmen zu organisieren, überwachen und kontrollieren Finanzunternehmen kontinuierlich die Sicherheit und das Funktionieren der IKT-Systeme und -Tools und minimieren durch den Einsatz angemessener IKT-Sicherheitstools, -Richtlinien und -Verfahren die Auswirkungen von IKT-Risiken auf IKT-Systeme.
2 Sollmaßnahmen
A-5.1.168Richtlinie für den sicheren IKT-Betrieb: Erstellung
ISMS-4.4.003Zielsetzung des IKT-Risikomanagementrahmens
(2)
Finanzunternehmen konzipieren, beschaffen und implementieren IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools, die darauf abzielen, die Resilienz, Kontinuität und Verfügbarkeit von IKT-Systemen, insbesondere jener zur Unterstützung kritischer oder wichtiger Funktionen, zu gewährleisten und hohe Standards in Bezug auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit, von Daten aufrechtzuerhalten, unabhängig davon, ob diese Daten gespeichert sind oder gerade verwendet oder übermittelt werden.
2 Sollmaßnahmen
A-5.1.031Anforderungen an die Informationssicherheitsleitlinie: Anweisung themenspezifischer Sicherheitsrichtlinien
A-5.1.050Richtlinie für Verschlüsselung und kryptografische Kontrollen: Schutzziele für data at rest, in use und in transit
(3)
Um die in Absatz 2 genannten Ziele zu erreichen, greifen Finanzunternehmen auf IKT-Lösungen und -Prozesse zurück, die gemäß Artikel 4 angemessen sind. Diese IKT-Lösungen und -Prozesse müssen
a)
die Sicherheit der Datenübermittlungsmittel gewährleisten;
b)
das Risiko von Datenkorruption oder -verlust, unbefugtem Zugriff und technischen Mängeln, die die Geschäftstätigkeit beeinträchtigen können, minimieren;
c)
dem Mangel an Verfügbarkeit, der Beeinträchtigung der Authentizität und Integrität, den Verletzungen der Vertraulichkeit und dem Verlust von Daten vorbeugen;
d)
gewährleisten, dass Daten vor Risiken, die beim Datenmanagement entstehen, einschließlich schlechter Verwaltung, verarbeitungsbedingter Risiken und menschlichem Versagen, geschützt werden.
2 Sollmaßnahmen · 1 Zieldokument
Anforderungen an die Informationssicherheitsleitlinie· 2 hierkatalogweit 8 in 3 Artikeln
A-5.1.030Anforderungen an die Informationssicherheitsleitlinie: Schutz von Datenübertragung und Datenmanagement
A-5.1.032Anforderungen an die Informationssicherheitsleitlinie: Verhältnismäßigkeit nach Größe und Risikoprofil
(4)
Als Teil des IKT-Risikomanagementrahmens nach Artikel 6 Absatz 1 gilt für Finanzunternehmen Folgendes:
a)
Sie erarbeiten und dokumentieren eine Informationssicherheitsleitlinie, in der Regeln zum Schutz der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten und der Informations- und IKT-Assets, gegebenenfalls einschließlich derjenigen ihrer Kunden, festgelegt sind;
2 Sollmaßnahmen zu lit. a · 1 Zieldokument
Anforderungen an die Informationssicherheitsleitlinie· 2 hierkatalogweit 8 in 3 Artikeln
A-5.1.029Anforderungen an die Informationssicherheitsleitlinie: Inhaltliche Mindestanforderungen
ISMS-5.2.002Informationssicherheitsleitlinie: Erstellung
b)
sie richten entsprechend einem risikobasierten Ansatz eine solide Struktur für Netzwerk- und Infrastrukturmanagement unter Verwendung angemessener Techniken, Methoden und Protokolle ein, wozu auch die Umsetzung automatisierter Mechanismen zur Isolierung betroffener Informationsassets im Falle von Cyberangriffen gehören kann;
2 Sollmaßnahmen zu lit. b
A-5.1.080Richtlinie für das Management der Netzwerksicherheit: sofortige Trennung bei Cyberangriffen
A-8.22.003Automatisierte Isolierung betroffener Netzwerk-Assets
c)
sie implementieren Richtlinien, die den physischen oder logischen Zugang zu Informations- und IKT-Assets ausschließlich auf den Umfang beschränken, der für rechtmäßige und zulässige Funktionen und Tätigkeiten erforderlich ist, und legen zu diesem Zweck eine Reihe von Konzepten, Verfahren und Kontrollen fest, die auf Zugangs- und Zugriffsrechte gerichtet sind, und gewährleisten deren gründliche Verwaltung;
4 Sollmaßnahmen zu lit. c
A-5.1.104Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Vergabeverfahren für Zutrittsrechte
A-5.1.113Richtlinie für das Identitäts- und Berechtigungsmanagement: Zugangsbeschränkung auf das erforderliche Maß
A-7.2.001Vergabe physischer Zutrittsrechte
A-7.2.002Verwaltung und Kontrolle physischer Zutrittsrechte
d)
sie implementieren Konzepte und Protokolle für starke Authentifizierungsmechanismen, die auf einschlägigen Normen und speziellen Kontrollsystemen basieren, sowie Schutzmaßnahmen für kryptografische Schlüssel, wobei Daten auf der Grundlage der Ergebnisse aus genehmigten Datenklassifizierungs- und IKT-Risikobewertungsprozessen verschlüsselt werden;
5 Sollmaßnahmen zu lit. d
A-5.1.048Richtlinie für Verschlüsselung und kryptografische Kontrollen: Erstellung
A-5.1.119Richtlinie für das Identitäts- und Berechtigungsmanagement: starke Authentifizierung (MFA)
A-8.24.003Schutz kryptografischer Schlüssel
A-8.24.007Kryptografische Kontrollen gemäß Schutzbedarf/ Risiko
A-8.5.003Starke Authentisierung für privilegierte und exponierte Zugänge
e)
sie implementieren und dokumentieren Richtlinien, Verfahren und Kontrollen für das IKT-Änderungsmanagement, einschließlich Änderungen an Software, Hardware, Firmware-Komponenten, den Systemen oder von Sicherheitsparametern, die auf einem Risikobewertungsansatz basieren und fester Bestandteil des gesamten Änderungsmanagementprozesses des Finanzunternehmens sind, um sicherzustellen, dass alle Änderungen an IKT-Systemen auf kontrollierte Weise erfasst, getestet, bewertet, genehmigt, implementiert und überprüft werden;
4 Sollmaßnahmen zu lit. e · 2 Zieldokumente
Richtlinie für das IKT-Änderungsmanagement· 3 hierkatalogweit 3 in 3 Artikeln
A-5.1.124Richtlinie für das IKT-Änderungsmanagement: Erstellung
A-5.1.125Richtlinie für das IKT-Änderungsmanagement: Risikobasierte Steuerung von Änderungen
A-5.1.126Richtlinie für das IKT-Änderungsmanagement: Verbindlicher Änderungslebenszyklus
Verfahren für das IKT-Änderungsmanagement· 1 hierkatalogweit 11 in 3 Artikeln
A-8.32.001Verfahren für das IKT-Änderungsmanagement: Erstellung
f)
sie besitzen angemessene und umfassende dokumentierte Richtlinien für Patches und Updates.
1 Sollmaßnahme zu lit. f
A-5.1.110Patch-Management-Richtlinie: Erstellung
Für die Zwecke von Unterabsatz 1 Buchstabe b konzipieren Finanzunternehmen die Infrastruktur für die Netzanbindung und Netzwerkverbindung so, dass sie sofort getrennt oder segmentiert werden kann, damit eine Ansteckung, insbesondere bei miteinander verbundenen Finanzprozessen, minimiert und verhindert wird.
Für die Zwecke von Unterabsatz 1 Buchstabe e wird das Verfahren für das IKT-Änderungsmanagement von zuständigen Leitungsebenen genehmigt und hat spezifische Protokolle.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 10
Erkennung
DORA (EU 2022/2554)
(1)
Finanzunternehmen verfügen über Mechanismen, um anomale Aktivitäten im Einklang mit Artikel 17, darunter auch Probleme bei der Leistung von IKT-Netzwerken und IKT-bezogene Vorfälle, umgehend zu erkennen und potenzielle einzelne wesentliche Schwachstellen zu ermitteln.
Alle in Unterabsatz 1 aufgeführten Erkennungsmechanismen werden gemäß Artikel 25 regelmäßig getestet.
7 Sollmaßnahmen · 5 Zieldokumente · 1 Nachweis
Verfahren zur Anomalieerkennung· 2 hierkatalogweit 13 in 3 Artikeln
A-8.16.001Verfahren zur Anomalieerkennung: Umgehende Erkennung anomaler Aktivitäten
Nachweise / operative Umsetzung
A-8.16.017Regelmäßige Tests der Anomalieerkennungsverfahren
BIA· 1 hierkatalogweit 4 in 2 Artikeln
A-5.30.038BIA: Identifikation von Single Points of Failure
Richtlinie für das IKT-Vorfallmanagement· 1 hierkatalogweit 11 in 4 Artikeln
A-5.1.163Richtlinie für das IKT-Vorfallmanagement: Verfahren zur Anomalieerkennung
Testmaßnahmen· 1 hierkatalogweit 17 in 4 Artikeln
A-8.16.013Testen der digitalen operationalen Resilienz
Verfahren für das IKT-BCM· 1 hierkatalogweit 17 in 5 Artikeln
A-5.30.017Verfahren für das IKT-BCM: Identifikation von Single Points of Failure
Nachweise / operative Umsetzung· 1 hier
A-8.16.012Protokollierung und Auswertung von Netzwerkereignissen
(2)
Die in Absatz 1 genannten Erkennungsmechanismen ermöglichen mehrere Kontrollebenen und legen Alarmschwellen und -kriterien fest, um Reaktionsprozesse bei IKT-bezogenen Vorfällen auszulösen und einzuleiten, einschließlich automatischer Warnmechanismen für Mitarbeiter, die für Reaktionsmaßnahmen bei IKT-bezogenen Vorfällen zuständig sind.
2 Sollmaßnahmen
A-5.1.164Richtlinie für das IKT-Vorfallmanagement: Erkennungsebenen und Alarmschwellen
A-8.16.015Betrieb mehrstufiger Anomalieerkennungssysteme
(3)
Finanzunternehmen stellen ausreichende Ressourcen und Kapazitäten bereit, um Nutzeraktivitäten, das Auftreten von IKT-Anomalien und IKT-bezogenen Vorfällen, darunter insbesondere Cyberangriffe, zu überwachen.
2 Sollmaßnahmen
A-5.1.165Richtlinie für das IKT-Vorfallmanagement: Ressourcen für Überwachung
A-8.16.016Ressourcen für die Überwachung von Aktivitäten und Anomalien
(4)
Datenbereitstellungsdienste verfügen darüber hinaus über Systeme, mit denen wirksam Handelsauskünfte auf Vollständigkeit geprüft, Lücken und offensichtliche Fehler erkannt und eine Neuübermittlung angefordert werden können.
2 Sollmaßnahmen
A-5.1.166Richtlinie für das IKT-Vorfallmanagement: Datenbereitstellungsdienste – Vollständigkeitsprüfung der Handelsauskünfte
A-5.26.004Überwachung von Aktivitäten
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 11
Reaktion und Wiederherstellung
DORA (EU 2022/2554)
(1)
Als Teil des in Artikel 6 Absatz 1 genannten IKT-Risikomanagementrahmens und auf der Grundlage der Identifizierungsanforderungen nach Artikel 8 legen Finanzunternehmen eine umfassende IKT-Geschäftsfortführungsleitlinie fest, die als eigenständige spezielle Leitlinie, die fester Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Finanzunternehmens ist, verabschiedet werden kann.
1 Sollmaßnahme
A-5.1.242IKT-Geschäftsfortführungsleitlinie: Umfang und Einbettung ins BCM
(2)
Finanzunternehmen implementieren die IKT-Geschäftsfortführungsleitlinie mittels spezieller, angemessener und dokumentierter Regelungen, Pläne, Verfahren und Mechanismen, die darauf abzielen,
6 Sollmaßnahmen · 4 Zieldokumente
IKT-Geschäftsfortführungsleitlinie· 3 hierkatalogweit 33 in 7 Artikeln
A-5.1.261IKT-Geschäftsfortführungsleitlinie: Verweis auf das IKT-BCM-Verfahren
A-5.1.265IKT-Geschäftsfortführungsleitlinie: Verweis auf das Reaktions-/Wiederherstellungsverfahren
A-5.1.272IKT-Geschäftsfortführungsleitlinie: Verweis auf das Krisenmanagementverfahren
IKT-Geschäftsfortführungspläne· 1 hierkatalogweit 15 in 5 Artikeln
A-5.30.041IKT-Geschäftsfortführungspläne: Pflichtinhalte der Pläne
IKT-Reaktions- und Wiederherstellungspläne· 1 hierkatalogweit 7 in 3 Artikeln
A-5.30.049IKT-Reaktions- und Wiederherstellungspläne: Pflichtinhalte der Pläne
Krisenkommunikationspläne· 1 hierkatalogweit 3 in 3 Artikeln
A-5.30.054Krisenkommunikationspläne: Pflichtinhalte der Pläne
a)
die Fortführung der kritischen oder wichtigen Funktionen des Finanzunternehmens sicherzustellen;
1 Sollmaßnahme zu lit. a
A-5.30.004Verfahren für das IKT-BCM: Sicherstellung der kwF-Fortführung
b)
auf alle IKT-bezogenen Vorfälle rasch, angemessen und wirksam zu reagieren und diesen so entgegenzuwirken, dass Schäden begrenzt werden und die Wiederaufnahme von Tätigkeiten und Wiederherstellungsmaßnahmen Vorrang erhalten;
1 Sollmaßnahme zu lit. b
A-5.30.005Verfahren für das IKT-BCM: Rasche Reaktion und Priorisierung der Wiederaufnahme
c)
unverzüglich spezielle Pläne zu aktivieren, die Eindämmungsmaßnahmen, Prozesse und Technologien für alle Arten IKT-bezogener Vorfälle ermöglichen und weitere Schäden vermeiden, sowie maßgeschneiderte Verfahren zur Reaktion und Wiederherstellung gemäß Artikel 12 zu aktivieren;
1 Sollmaßnahme zu lit. c
A-5.30.010Verfahren für das IKT-BCM: Eindämmungsmaßnahmen und Reaktionsverfahren
d)
vorläufige Auswirkungen, Schäden und Verluste einzuschätzen;
1 Sollmaßnahme zu lit. d
A-5.30.011Verfahren für das IKT-BCM: Abschätzung vorläufiger Auswirkungen und Verluste
e)
Kommunikations- und Krisenmanagementmaßnahmen festzulegen, die gewährleisten, dass allen relevanten internen Mitarbeitern und externen Interessenträgern im Sinne von Artikel 14 aktualisierte Informationen übermittelt werden, und die Meldung an die zuständigen Behörden gemäß Artikel 19 sicherstellen.
1 Sollmaßnahme zu lit. e
A-5.30.012Verfahren für das IKT-BCM: Kommunikations- und Krisenmanagementmaßnahmen
(3)
Finanzunternehmen implementieren als Teil des in Artikel 6 Absatz 1 genannten IKT-Risikomanagementrahmens damit verbundene IKT-Reaktions- und Wiederherstellungspläne, die einer unabhängigen internen Revision zu unterziehen sind, sofern es sich bei dem Finanzunternehmen nicht um ein Kleinstunternehmen handelt.
2 Sollmaßnahmen
A-5.30.021Verfahren für die IKT-Reaktion und -Wiederherstellung: unabhängige interne Prüfung der Pläne
A-5.35.003(IKT-) Revisionspläne: Prüfung der Reaktions- und Wiederherstellungspläne
(4)
Finanzunternehmen erstellen, pflegen und testen regelmäßig angemessene IKT-Geschäftsfortführungspläne, insbesondere in Bezug auf kritische oder wichtige Funktionen, die ausgelagert oder durch vertragliche Vereinbarungen an IKT-Drittdienstleister vergeben werden.
3 Sollmaßnahmen · 2 Zieldokumente
IKT-Geschäftsfortführungspläne· 2 hierkatalogweit 15 in 5 Artikeln
A-5.30.040IKT-Geschäftsfortführungspläne: ausgelagerte kritische oder wichtige Funktionen
A-5.30.060IKT-Geschäftsfortführungspläne für IKT-Dienstleistungen: kwF-relevante und zeitkritische Dienstleistungen
Verfahren für das IKT-BCM· 1 hierkatalogweit 17 in 5 Artikeln
A-5.30.003Verfahren für das IKT-BCM: Pläne für ausgelagerte kwF
(5)
Als Teil der allgemeinen Geschäftsfortführungsleitlinie führen Finanzunternehmen eine Business-Impact-Analyse (BIA) der bestehenden Risiken für schwerwiegende Betriebsstörungen durch. Im Rahmen der BIA bewerten Finanzunternehmen die potenziellen Auswirkungen schwerwiegender Betriebsstörungen anhand quantitativer und qualitativer Kriterien, wobei sie gegebenenfalls interne und externe Daten und Szenarioanalysen heranziehen. Dabei werden die Kritikalität der identifizierten und erfassten Unternehmensfunktionen, Unterstützungsprozesse, Abhängigkeiten von Dritten und Informationsassets sowie deren Interdependenzen berücksichtigt. Die Finanzunternehmen stellen sicher, dass IKT-Assets und -Dienste in voller Übereinstimmung mit der BIA konzipiert und genutzt werden, insbesondere wenn es darum geht, die Redundanz aller kritischen Komponenten in angemessener Weise zu gewährleisten.
7 Sollmaßnahmen · 2 Zieldokumente · 1 Nachweis
BIA· 3 hierkatalogweit 4 in 2 Artikeln
A-5.30.035BIA: Bewertung von Auswirkungen schwerwiegender Betriebsstörungen
A-5.30.036BIA: Kritikalitätsbewertung von Geschäftsabläufen und Abhängigkeiten
A-5.30.037BIA: IKT-Ressourcen im Einklang mit der BIA
Verfahren für das IKT-BCM· 3 hierkatalogweit 17 in 5 Artikeln
A-5.30.014Verfahren für das IKT-BCM: Durchführung der Business Impact Analyse
A-5.30.015Verfahren für das IKT-BCM: BIA – Bewertung der Kritikalität
A-5.30.016Verfahren für das IKT-BCM: Redundanz kritischer Komponenten nach BIA
Nachweise / operative Umsetzung· 1 hier
A-5.30.061IKT-Dienstleistungen im Einklang mit der Business-Impact-Analyse
(6)
Im Rahmen ihres umfassenden IKT-Risikomanagements gilt für Finanzunternehmen Folgendes:
2 Sollmaßnahmen
A-5.1.243IKT-Geschäftsfortführungsleitlinie: Regelmäßige Überprüfung
A-5.30.024Verfahren für die IKT-Reaktion und -Wiederherstellung: Wirksamkeitsüberprüfung der Pläne
a)
sie testen bei IKT-Systemen, die alle Funktionen unterstützen, mindestens jährlich sowie im Falle jeglicher wesentlicher Änderungen an IKT-Systemen, die kritische oder wichtige Funktionen unterstützen, die IKT-Geschäftsfortführungspläne sowie die IKT-Reaktions- und Wiederherstellungspläne;
8 Sollmaßnahmen zu lit. a · 4 Zieldokumente
IKT-Geschäftsfortführungspläne· 2 hierkatalogweit 15 in 5 Artikeln
A-5.30.043IKT-Geschäftsfortführungspläne: Testszenarien (Cyberangriff, RZ-Umschaltung)
A-5.30.044IKT-Geschäftsfortführungspläne: Testturnus und Wirksamkeitsbewertung
IKT-Reaktions- und Wiederherstellungspläne· 2 hierkatalogweit 7 in 3 Artikeln
A-5.30.051IKT-Reaktions- und Wiederherstellungspläne: Testturnus und Wirksamkeitsbewertung
A-5.30.052IKT-Reaktions- und Wiederherstellungspläne: Testszenarien (Cyberangriff, RZ-Umschaltung)
Verfahren für das IKT-BCM· 2 hierkatalogweit 17 in 5 Artikeln
A-5.30.006Verfahren für das IKT-BCM: Testturnus (jährlich und anlassbezogen)
A-5.30.007Verfahren für das IKT-BCM: Testinhalte Cyberangriff und Rechenzentrumsumschaltung
Verfahren für die IKT-Reaktion und -Wiederherstellung· 2 hierkatalogweit 9 in 2 Artikeln
A-5.30.022Verfahren für die IKT-Reaktion und -Wiederherstellung: Testturnus der Pläne
A-5.30.023Verfahren für die IKT-Reaktion und -Wiederherstellung: Testszenarien (Cyberangriff, Rechenzentrumsumschaltung)
b)
sie testen die gemäß Artikel 14 erstellten Krisenkommunikationspläne.
2 Sollmaßnahmen zu lit. b
A-5.30.034Krisenmanagementverfahren: Testen der Krisenkommunikationspläne
A-5.30.055Krisenkommunikationspläne: Test und Wirksamkeitsbewertung
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, nehmen für die Zwecke von Unterabsatz 1 Buchstabe a Szenarien für Cyberangriffe und Umstellungen von der primären IKT-Infrastruktur auf die redundanten Kapazitäten, Backups und Systeme, die für die Erfüllung der Verpflichtungen nach Artikel 12 erforderlich sind, in ihre Testpläne auf.
Finanzunternehmen überprüfen ihre IKT-Geschäftsfortführungsleitlinie und ihre IKT-Reaktions- und Wiederherstellungspläne regelmäßig und berücksichtigen dabei die Ergebnisse von Tests, die gemäß Unterabsatz 1 durchgeführt wurden, sowie die Empfehlungen, die sich aus Audits oder aufsichtlichen Überprüfungen ergeben.
(7)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, verfügen über eine Krisenmanagementfunktion, die bei Aktivierung ihrer IKT- Geschäftsfortführungspläne oder ihrer IKT-Reaktions- und Wiederherstellungspläne unter anderem klare Verfahren für die Abwicklung interner und externer Krisenkommunikation gemäß Artikel 14 festlegt.
3 Sollmaßnahmen
A-5.2.004Krisenmanagementfunktion
A-5.30.029Krisenmanagementverfahren: Einrichtung der Krisenmanagementfunktion
A-5.30.058Krisenmanagementfunktion zur Umsetzung interner und externer Kommunikationsmaßnahmen
(8)
Finanzunternehmen sorgen dafür, dass Aufzeichnungen über die Tätigkeiten vor und während Störungen, wenn ihre IKT-Geschäftsfortführungspläne oder ihre IKT-Reaktions- und Wiederherstellungspläne aktiviert werden, jederzeit eingesehen werden können.
2 Sollmaßnahmen
A-5.30.030Krisenmanagementverfahren: Aufzeichnungen während Störungen
A-5.30.057Aufzeichnungen während Notfall- und Krisenfällen
(9)
Zentralverwahrer übermitteln den zuständigen Behörden Kopien der Ergebnisse der Tests der IKT-Geschäftsfortführung oder ähnlicher Vorgänge.
1 Sollmaßnahme
A-5.1.264IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer – Testergebnisse an Behörden
(10)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, melden den zuständigen Behörden auf Anfrage die geschätzten aggregierten jährlichen Kosten und Verluste, die durch schwerwiegende IKT-bezogene Vorfälle verursacht wurden.
1 Sollmaßnahme
A-5.25.011IKT-Vorfallklassifikation: Aggregierte jährliche Kosten- und Verlustschätzung
(11)
Gemäß jeweils Artikel 16 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 arbeiten die Europäischen Aufsichtsbehörden (im Folgenden „ESA“) über den Gemeinsamen Ausschuss bis zum 17. Juli 2024 gemeinsame Leitlinien für die Schätzung der aggregierten jährlichen Kosten und Verluste nach Absatz 10 aus.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 12
Richtlinie und Verfahren zum Backup sowie Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung
DORA (EU 2022/2554)
(1)
Um die Wiederherstellung von IKT-Systemen und Daten mit minimaler Ausfallzeit sowie begrenzten Störungen und Verlusten als Teil ihres IKT-Risikomanagementrahmens sicherzustellen, entwickeln und dokumentieren Finanzunternehmen:
1 Sollmaßnahme
A-5.1.083Richtlinie zur Datensicherung: zeitliche Abläufe und Abhängigkeiten
a)
Richtlinien und Verfahren für die Datensicherung, in denen der Umfang der Daten, die der Sicherung unterliegen, und die Mindesthäufigkeit der Sicherung auf der Grundlage der Kritikalität der Informationen oder des Vertraulichkeitsgrads der Daten festgelegt werden;
4 Sollmaßnahmen zu lit. a · 3 Zieldokumente
Richtlinie zur Datensicherung· 2 hierkatalogweit 9 in 3 Artikeln
A-5.1.082Richtlinie zur Datensicherung: Erstellung
A-5.1.085Richtlinie zur Datensicherung: Umfang und Häufigkeit der Sicherung
Backup- und Wiederherstellungskonzepte· 1 hierkatalogweit 7 in 2 Artikeln
A-8.13.003Backup- und Wiederherstellungskonzepte: Umfang und Häufigkeit nach Schutzbedarf
Verfahren zur Datensicherung (Backup-Verfahren)· 1 hier
A-8.13.008Verfahren zur Datensicherung
b)
Wiedergewinnungs- und Wiederherstellungsverfahren und -methoden.
2 Sollmaßnahmen zu lit. b
A-5.30.027Verfahren zur Datenwiedergewinnung und Wiederherstellung
A-8.13.004Backup- und Wiederherstellungskonzepte: Wiedergewinnungs- und Wiederherstellungsverfahren
↕ Bindet mit Abs. 6 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Finanzunternehmen richten Datensicherungssysteme ein, die in Übereinstimmung mit den Richtlinien und Verfahren zur Datensicherung sowie den Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung aktiviert werden können. Die Aktivierung von Datensicherungssystemen darf die Sicherheit der Netzwerk- und Informationssysteme oder die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten nicht gefährden. Die Datensicherungsverfahren sowie die Wiedergewinnungs- und Wiederherstellungsverfahren und -methoden sind regelmäßig zu testen.
6 Sollmaßnahmen · 2 Zieldokumente · 2 Nachweise
Backup- und Wiederherstellungskonzepte· 2 hierkatalogweit 7 in 2 Artikeln
A-8.13.005Backup- und Wiederherstellungskonzepte: Technische Umsetzung der Sicherung
A-8.13.006Backup- und Wiederherstellungskonzepte: Test von Backup und Restore
Richtlinie zur Datensicherung· 2 hierkatalogweit 9 in 3 Artikeln
A-5.1.086Richtlinie zur Datensicherung: sicherer Betrieb der Backup-Systeme
A-5.1.088Richtlinie zur Datensicherung: Prüfungen und Restore-Tests
Nachweise / operative Umsetzung· 2 hier
A-8.13.009Regelmäßige Tests der Datensicherung und Wiederherstellung
A-8.13.011Implementierung von Datensicherungssystemen
↕ Bindet mit Abs. 6 zusammen — die gemeinsame Sollmaßnahme steht dort.
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
(3)
Bei der Wiedergewinnung gesicherter Daten mithilfe eigener Systeme verwenden Finanzunternehmen IKT-Systeme, die von ihrem Quellsystem physisch und logisch getrennt sind. Die IKT-Systeme müssen sicher vor unbefugtem Zugriff oder IKT-Manipulationen geschützt sein und die rechtzeitige Wiederherstellung von Diensten ermöglichen, wobei erforderlichenfalls Daten- und Systemsicherungen (Backups) zu nutzen sind.
Bei zentralen Gegenparteien ermöglichen die Wiederherstellungspläne die Wiederherstellung aller zum Zeitpunkt der Störung laufenden Transaktionen, damit die zentrale Gegenpartei weiterhin sicher arbeiten und die Abwicklung zum vorgesehenen Zeitpunkt abschließen kann.
Datenbereitstellungsdienste unterhalten zusätzlich angemessene Ressourcen und verfügen über die entsprechenden Sicherungs- und Wiedergewinnungseinrichtungen, damit ihre Dienste jederzeit angeboten und aufrechterhalten werden können.
7 Sollmaßnahmen · 3 Zieldokumente · 2 Nachweise
IKT-Geschäftsfortführungsleitlinie· 2 hierkatalogweit 33 in 7 Artikeln
A-5.1.270IKT-Geschäftsfortführungsleitlinie: Zentrale Gegenparteien – Transaktionswiederherstellung
A-5.1.271IKT-Geschäftsfortführungsleitlinie: Datenbereitstellungsdienste – Ressourcen und Backup
Richtlinie zur Datensicherung· 2 hierkatalogweit 9 in 3 Artikeln
A-5.1.087Richtlinie zur Datensicherung: getrennte Wiederherstellungsumgebung
A-5.1.090Richtlinie zur Datensicherung: Schutz der Datensicherungssysteme
Backup- und Wiederherstellungskonzepte· 1 hierkatalogweit 7 in 2 Artikeln
A-8.13.007Backup- und Wiederherstellungskonzepte: Trennung der Sicherungssysteme
Nachweise / operative Umsetzung· 2 hier
A-8.13.012Schutz von Backup-Systemen vor unbefugtem Zugriff
A-8.13.013Sicherung von Informationen
(4)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, unterhalten redundante IKT-Kapazitäten mit Ressourcen, Fähigkeiten und Funktionen, die für die Deckung des Geschäftsbedarfs ausreichen und angemessen sind. Kleinstunternehmen bewerten auf der Grundlage ihres Risikoprofils, ob diese redundanten IKT-Kapazitäten unterhalten werden müssen.
2 Sollmaßnahmen
A-5.1.183Richtlinie für den sicheren IKT-Betrieb: Vorhaltung redundanter Kapazitäten
A-8.14.001Kapazitäts- und Leistungsmanagement
(5)
Zentralverwahrer unterhalten mindestens einen sekundären Verarbeitungsstandort, dessen Ressourcen, Kapazitäten, Funktionen und Personalressourcen angemessen sind, um den Geschäftsbedarf zu decken.
Der sekundäre Verarbeitungsstandort
1 Sollmaßnahme
A-5.1.266IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer – sekundärer Standort
a)
befindet sich in geografischer Entfernung vom primären Verarbeitungsstandort, damit er ein eigenes Risikoprofil aufweist und nicht von dem Ereignis, das sich am primären Standort ereignet hat, betroffen ist;
1 Sollmaßnahme zu lit. a
A-5.1.267IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer – geografische Distanz des Standorts
b)
kann die Kontinuität kritischer oder wichtiger, mit dem primären Standort identischer Funktionen gewährleisten oder ein Leistungsniveau bereitstellen, mit dem sichergestellt wird, dass das Finanzunternehmen seine kritischen Vorgänge im Rahmen der Wiederherstellungsziele durchführt;
1 Sollmaßnahme zu lit. b
A-5.1.268IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer – kwF-Fortführung am Standort
c)
ist für das Personal des Finanzunternehmens unmittelbar zugänglich, damit die Kontinuität kritischer oder wichtiger Funktionen gewährleistet werden kann, falls der primäre Verarbeitungsstandort nicht mehr zur Verfügung steht.
1 Sollmaßnahme zu lit. c
A-5.1.269IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer – Personalverfügbarkeit am Standort
(6)
Bei der Festlegung der Vorgaben für die Wiederherstellungszeit und die Wiederherstellungspunkte jeder Funktion berücksichtigen die Finanzunternehmen, ob es sich um eine kritische oder wichtige Funktion handelt, sowie die potenziellen Gesamtauswirkungen auf die Markteffizienz. Mit diesen Zeitvorgaben ist sichergestellt, dass die vereinbarte Dienstleistungsgüte in Extremszenarien erreicht werden.
1 Sollmaßnahme
A-5.30.013Verfahren für das IKT-BCM: Wiederherstellungszeit- und -punktziele
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
(7)
Bei der Wiederherstellung nach IKT-bezogenen Vorfällen führen Finanzunternehmen die erforderlichen Prüfungen durch, einschließlich jeglicher Mehrfachprüfungen und Abgleiche, um die größtmögliche Datenintegrität sicherzustellen. Diese Prüfungen werden auch bei der Rekonstruktion von Daten externer Interessenträger durchgeführt, um sicherzustellen, dass alle Daten systemübergreifend einheitlich sind.
3 Sollmaßnahmen
A-5.1.089Richtlinie zur Datensicherung: Integritätsprüfung wiederhergestellter Daten
A-5.26.002IKT-Vorfallmanagement: Datenverifizierung nach Wiederherstellung
A-8.13.010Integritätsprüfung bei Datenwiederherstellungen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 13
Lernprozesse und Weiterentwicklung
DORA (EU 2022/2554)
(1)
Finanzunternehmen verfügen über Kapazitäten und Personal, um Informationen über Schwachstellen und Cyberbedrohungen, IKT-bezogene Vorfälle, insbesondere Cyberangriffe, zu sammeln und ihre wahrscheinlichen Auswirkungen auf ihre digitale operationale Resilienz zu untersuchen.
2 Sollmaßnahmen
A-5.1.167Richtlinie für das IKT-Vorfallmanagement: Kapazitäten für Bedrohungs- und Schwachstellenanalyse
A-8.8.025Ressourcen und Personal für das Schwachstellenmanagement
(2)
Nach Störungen ihrer Haupttätigkeiten infolge schwerwiegender IKT-bezogener Vorfälle sehen Finanzunternehmen nachträgliche Prüfungen IKT-bezogener Vorfälle vor, die die Ursachen für Störungen untersuchen und die erforderlichen Verbesserungen an IKT-Vorgängen oder im Rahmen der in Artikel 11 genannten IKT-Geschäftsfortführungsleitlinie identifizieren.
Finanzunternehmen, die keine Kleinstunternehmen sind, teilen den zuständigen Behörden auf Verlangen die Änderungen mit, die nach der Prüfung IKT-bezogener Vorfälle gemäß Unterabsatz 1 vorgenommen wurden.
Bei den in Unterabsatz 1 genannten nachträglichen Prüfungen IKT-bezogener Vorfälle wird ermittelt, ob die festgelegten Verfahren befolgt und die ergriffenen Maßnahmen wirksam waren, unter anderem in Bezug auf:
a)
die Schnelligkeit bei der Reaktion auf Sicherheitswarnungen und bei der Bestimmung der Auswirkungen von IKT-bezogenen Vorfällen und ihrer Schwere;
b)
die Qualität und Schnelligkeit bei der Durchführung forensischer Analysen, sofern dies als zweckmäßig erachtet wird;
c)
die Wirksamkeit der Eskalation von Vorfällen innerhalb des Finanzunternehmens;
d)
die Wirksamkeit interner und externer Kommunikation.
5 Sollmaßnahmen · 3 Zieldokumente
IKT-Vorfallmanagement· 3 hierkatalogweit 17 in 6 Artikeln
A-5.27.001IKT-Vorfallmanagement: Ursachenanalyse und Verbesserungsmaßnahmen
A-5.27.002IKT-Vorfallmanagement: Strukturierte Nachbereitung
A-6.8.001IKT-Vorfallmanagement: Behördenmitteilung vorgenommener Änderungen
IKT-Geschäftsfortführungsleitlinie· 1 hierkatalogweit 33 in 7 Artikeln
A-5.27.003Nachbesprechung nach größeren IKT-bezogenen Störungen
Krisenmanagementverfahren· 1 hierkatalogweit 7 in 4 Artikeln
A-5.30.031Krisenmanagementverfahren: Nachbesprechungen nach Störungen
(3)
Erkenntnisse aus gemäß den Artikeln 26 und 27 durchgeführten Tests der digitalen operationalen Resilienz und aus realen IKT-bezogenen Vorfällen, insbesondere Cyberangriffen, werden neben Herausforderungen, die sich bei der Aktivierung von IKT- Geschäftsfortführungsplänen und IKT-Reaktions- und Wiederherstellungsplänen ergeben, zusammen mit einschlägigen Informationen, die mit Gegenparteien ausgetauscht und im Rahmen aufsichtlicher Überprüfungen bewertet werden, kontinuierlich ordnungsgemäß in den IKT-Risikobewertungsprozess einbezogen. Diese Erkenntnisse bilden die Grundlage für angemessene Überprüfungen relevanter Komponenten des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1.
1 Sollmaßnahme
ISMS-8.2.007Informationen zur IKT-Risikobewertung
(4)
Finanzunternehmen überwachen die Wirksamkeit der Umsetzung ihrer Strategie für die digitale operationale Resilienz gemäß Artikel 6 Absatz 8. Dabei erfassen sie die Entwicklung der IKT-Risiken im Zeitverlauf, untersuchen Häufigkeit, Art, Ausmaß und Entwicklung IKT-bezogener Vorfälle, insbesondere Cyberangriffe und deren Muster, um das Ausmaß der IKT-Risiken — insbesondere in Bezug auf kritische oder wichtige Funktionen — zu verstehen und die Cyberreife und die Abwehrbereitschaft des Finanzunternehmens zu verbessern.
3 Sollmaßnahmen
A-5.1.034Anforderungen an die Informationssicherheitsleitlinie: Wirksamkeitsüberwachung der DOR-Strategie
ISMS-8.2.008Laufende Überwachung von IKT-Risiken
ISMS-9.1.001Wirksamkeit der DOR-Strategie
(5)
Leitende IKT-Mitarbeiter erstatten dem Leitungsorgan mindestens einmal jährlich über die in Absatz 3 genannten Feststellungen Bericht und geben Empfehlungen ab.
1 Sollmaßnahme
A-5.4.010Jährliche IKT-Berichterstattung an das Leitungsorgan
(6)
Finanzunternehmen entwickeln Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz, die im Rahmen ihrer Programme für die Mitarbeiterschulung obligatorisch sind. Diese Programme und Schulungen gelten für alle Beschäftigten und die Geschäftsleitung und sind so komplex, dass sie deren jeweiligem Aufgabenbereich angemessen sind. Gegebenenfalls nehmen die Finanzunternehmen entsprechend Artikel 30 Absatz 2 Buchstabe i auch IKT-Drittdienstleister in ihre einschlägigen Schulungsprogramme auf.
6 Sollmaßnahmen · 3 Zieldokumente · 1 Nachweis
Sensibilisierungs- und Schulungsprogramme (IKT-Sicherheit / DOR)· 3 hier
A-5.22.024Sensibilisierung und Schulung des IKT-Dienstleisters
A-6.3.002Rollenbasierte Ausgestaltung der IKT-Schulungen
A-6.3.003Einbeziehung von IKT-Dienstleistern in Schulungsprogramme
Allgemeine Vertragsinhalte· 1 hierkatalogweit 15 in 10 Artikeln
A-5.20.027Allgemeine Vertragsinhalte: Teilnahme an Schulungs- und Sensibilisierungsprogrammen
Anforderungen an die Informationssicherheitsleitlinie· 1 hierkatalogweit 8 in 3 Artikeln
A-5.1.035Anforderungen an die Informationssicherheitsleitlinie: Schulungs- und Sensibilisierungsprogramme
Nachweise / operative Umsetzung· 1 hier
A-6.3.004Verpflichtende IKT-Sicherheitsschulungen für alle Mitarbeitenden
(7)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, überwachen einschlägige technologische Entwicklungen fortlaufend — auch um die möglichen Auswirkungen des Einsatzes solcher neuen Technologien auf die Anforderungen an die IKT-Sicherheit und die digitale operationale Resilienz zu verstehen. Sie halten sich über die neuesten Prozesse für das IKT-Risikomanagement auf dem Laufenden, um gegenwärtige oder neue Formen von Cyberangriffen wirksam abzuwehren.
2 Sollmaßnahmen
A-5.1.033Anforderungen an die Informationssicherheitsleitlinie: Überwachung technologischer Entwicklungen
A-5.7.001Überwachung technologischer Entwicklungen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 14
Kommunikation
DORA (EU 2022/2554)
(1)
Als Teil des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1 verfügen Finanzunternehmen über Kommunikationspläne, die je nach Sachlage eine verantwortungsbewusste Offenlegung zumindest von schwerwiegenden IKT-bezogenen Vorfällen oder Schwachstellen gegenüber Kunden und anderen Finanzunternehmen sowie der Öffentlichkeit ermöglichen.
4 Sollmaßnahmen
A-5.30.032Krisenmanagementverfahren: Entwicklung der Krisenkommunikationspläne
Krisenmanagementverfahren: Entwicklung der Krisenkommunikationspläne
Das Krisenmanagementverfahren soll festlegen, dass Krisenkommunikationspläne zu entwickeln und zu dokumentieren sind, um eine angemessene Offenlegung schwerwiegender IKT-bezogener Vorfälle oder wesentlicher Schwachstellen gegenüber Kunden und anderen Finanzunternehmen sowie der Öffentlichkeit sicherzustellen.
zuletzt geändert am 2026-07-02
A-5.30.053Krisenkommunikationspläne: Erstellung und Zweck (Offenlegung)
Krisenkommunikationspläne: Erstellung und Zweck (Offenlegung)
Das Finanzunternehmen soll sicherstellen, dass Krisenkommunikationspläne entwickelt und dokumentiert werden, um eine angemessene Offenlegung schwerwiegender IKT-bezogener Vorfälle oder wesentlicher Schwachstellen gegenüber Kunden und anderen Finanzunternehmen sowie der Öffentlichkeit zu ermöglichen.
zuletzt geändert am 2026-07-02
A-8.8.014Verfahren für das Schwachstellenmanagement: Kommunikationspläne zur Offenlegung
Verfahren für das Schwachstellenmanagement: Kommunikationspläne zur Offenlegung
Das Verfahren für das Schwachstellenmanagement soll Bestimmungen enthalten, die die Erstellung von Kommunikationsplänen zur verantwortungsbewussten Offenlegung zumindest von schwerwiegenden IKT-bezogenen Vorfällen oder Schwachstellen gegenüber Kunden, anderen Finanzunternehmen sowie der Öffentlichkeit erfordern.
A-8.8.033Kommunikationspläne zur Schwachstellenoffenlegung
Kommunikationspläne zur Schwachstellenoffenlegung
Das Finanzunternehmen soll über Kommunikationspläne verfügen, die eine verantwortungsbewusste Offenlegung zumindest von schwerwiegenden IKT-bezogenen Vorfällen oder Schwachstellen gegenüber Kunden, anderen Finanzunternehmen sowie der Öffentlichkeit ermöglichen.
(2)
Als Teil des IKT-Risikomanagementrahmens setzen Finanzunternehmen Kommunikationsstrategien für interne Mitarbeiter und externe Interessenträger um. Bei Kommunikationsleitlinien für Mitarbeiter wird berücksichtigt, dass zwischen dem Personal, das am IKT-Risikomanagement, insbesondere im Bereich Reaktion und Wiederherstellung, beteiligt ist, und dem zu informierendem Personal unterschieden werden muss.
3 Sollmaßnahmen · 1 Zieldokument
Kommunikationsrichtlinie· 3 hierkatalogweit 5 in 3 Artikeln
A-5.1.153Kommunikationsrichtlinie: Erstellung
Kommunikationsrichtlinie: Erstellung
Das Finanzunternehmen soll eine Kommunikationsrichtlinie (englisch „communication policies“, Art. 14 Abs. 2 DORA) für IKT-bezogene Vorfälle entwickeln und implementieren.
Die Kommunikationsrichtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit gemäß DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 2026-07-02
A-5.1.154Kommunikationsrichtlinie: Interne Vorfallskommunikation
Kommunikationsrichtlinie: Interne Vorfallskommunikation
Die Kommunikationsrichtlinie soll Vorgaben zur internen Vorfallskommunikation enthalten. Dabei sind die Informationsbedürfnisse unterschiedlicher Adressaten zu berücksichtigen. Insbesondere ist zu unterscheiden zwischen Personal, das an der Reaktion und Wiederherstellung beteiligt ist, und Personal, das im Anlassfall lediglich informiert werden soll.
A-5.1.155Kommunikationsrichtlinie: Externe Vorfallskommunikation
Kommunikationsrichtlinie: Externe Vorfallskommunikation
Die Kommunikationsrichtlinie soll Vorgaben zur externen Vorfallskommunikation enthalten, die sich an externe Interessenträger (z. B. IKT-Dienstleister, Medien, andere Finanzunternehmen, Öffentlichkeit) richtet.
(3)
Mindestens eine Person im Finanzunternehmen ist mit der Umsetzung der Kommunikationsstrategie für IKT-bezogene Vorfälle beauftragt und nimmt zu diesem Zweck die entsprechende Aufgabe gegenüber der Öffentlichkeit und den Medien wahr.
2 Sollmaßnahmen
A-5.1.156Kommunikationsrichtlinie: Benennung der Person für Medienarbeit
Kommunikationsrichtlinie: Benennung der Person für Medienarbeit
Die Kommunikationsrichtlinie soll mindestens eine Person im Finanzunternehmen benennen, die mit der Umsetzung der externen Vorfallskommunikation beauftragt ist und die Öffentlichkeits- und Medienarbeit übernimmt.
A-5.24.010Externe Vorfallkommunikation
Externe Vorfallkommunikation
Das Finanzunternehmen soll mindestens eine Person benennen, die mit der Umsetzung der externen Vorfallskommunikation beauftragt ist und die Öffentlichkeits- und Medienarbeit übernimmt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 15
Weitere Harmonisierung von Tools, Methoden, Prozessen und Richtlinien für IKT-Risikomanagement
DORA (EU 2022/2554)
Die ESA entwickeln über den Gemeinsamen Ausschuss in Abstimmung mit der Agentur der Europäischen Union für Cybersicherheit (ENISA) gemeinsame Entwürfe technischer Regulierungsstandards für folgende Zwecke:
a)
die Festlegung weiterer Elemente, die in die in Artikel 9 Absatz 2 genannten Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit aufzunehmen sind, um die Sicherheit von Netzwerken zu gewährleisten, angemessene Schutzvorrichtungen gegen Eindringen und Missbrauch von Daten zu ermöglichen, die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, einschließlich kryptografischer Techniken, zu wahren und eine präzise und rasche Datenübermittlung ohne wesentliche Störungen und unangemessene Verzögerungen zu gewährleisten;
b)
die Entwicklung weiterer Komponenten der Kontrollen von Zugangs- und Zugriffsrechten gemäß Artikel 9 Absatz 4 Buchstabe c und der damit verbundenen Personalpolitik, mit denen Zugangsrechte, Verfahren für Erteilung und Widerruf von Rechten, die Überwachung anomalen Verhaltens in Bezug auf IKT-Risiken durch angemessene Indikatoren — auch für Netzwerknutzungsmuster, Zeiten, IT-Aktivität und unbekannte Geräte — spezifiziert werden;
c)
die Weiterentwicklung der in Artikel 10 Absatz 1 genannten Mechanismen, die eine umgehende Erkennung anomaler Aktivitäten ermöglichen, sowie der in Artikel 10 Absatz 2 genannten Kriterien, die Verfahren für die Erkennung IKT-bezogener Vorfälle und die damit verbundenen Reaktionsprozesse auslösen;
d)
die Spezifizierung der in Artikel 11 Absatz 1 genannten Komponenten der IKT-Geschäftsfortführungsleitlinie;
e)
die Spezifizierung der Tests von IKT-Geschäftsfortführungsplänen gemäß Artikel 11 Absatz 6, damit bei diesen Tests Szenarien, in denen die Qualität der Bereitstellung einer kritischen oder wichtigen Funktion auf ein inakzeptables Niveau absinkt oder diese Funktion ganz ausfällt, und die potenziellen Auswirkungen der Insolvenz oder sonstiger Ausfälle einschlägiger IKT-Drittdienstleister sowie gegebenenfalls die etwaigen politischen Risiken in den Rechtsordnungen in den Ländern und Gebieten der jeweiligen Anbieter gebührend berücksichtigt werden;
f)
die Spezifizierung der Komponenten der in Artikel 11 Absatz 3 genannten IKT-Reaktions- und Wiederherstellungspläne;
g)
die Spezifizierung von Inhalt und Form des in Artikel 6 Absatz 5 genannten Berichts über die Überprüfung des IKT-Risikomanagementrahmens.
Bei der Entwicklung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte, wobei sie etwaigen Besonderheiten, die sich aus der unterschiedlichen Art der Tätigkeiten in verschiedenen Finanzdienstleistungssektoren ergeben, gebührend Rechnung tragen.
Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Absatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Durch RTS konkretisiert
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 16
Vereinfachter IKT-Risikomanagementrahmen
DORA (EU 2022/2554)
(1)
Artikel 5 bis 15 gelten nicht für kleine und nicht verflochtene Wertpapierfirmen, entsprechend der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute, entsprechend der Richtlinie 2013/36/EU ausgenommene Institute, für die die Mitgliedstaaten beschlossen haben, nicht von der in Artikel 2 Absatz 4 der vorliegenden Verordnung genannten Möglichkeit Gebrauch zu machen, nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung.
Unbeschadet des Unterabsatzes 1 müssen die in Unterabsatz 1 genannten Stellen
a)
einen soliden und dokumentierten IKT-Risikomanagementrahmen errichten und aufrechterhalten, in dem die Mechanismen und Maßnahmen für ein rasches, effizientes und umfassendes Management des IKT-Risikos, einschließlich des Schutzes der einschlägigen physischen Komponenten und Infrastrukturen, detailliert sind;
b)
die Sicherheit und das Funktionieren aller IKT-Systeme fortlaufend überwachen;
c)
die Auswirkungen von IKT-Risiken minimieren, indem solide, resiliente und aktualisierte IKT-Systeme, -Protokolle und -Tools, die zur Unterstützung der Durchführung ihrer Tätigkeiten und zur Bereitstellung von Diensten angemessen sind, verwendet werden, und in angemessener Weise die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten in den Netzwerk- und Informationssystemen schützen;
d)
eine rasche Ermittlung und Aufdeckung der Ursachen von IKT-Risiken und -Anomalien in den Netzwerk- und Informationssystemen sowie eine rasche Handhabung von IKT-Vorfällen ermöglichen;
e)
die wesentlichen Abhängigkeiten von IKT-Drittdienstleistern ermitteln;
f)
die Kontinuität kritischer oder wichtiger Funktionen durch Geschäftsfortführungspläne sowie Gegen- und Wiederherstellungsmaßnahmen, die zumindest Sicherungs- und Wiedergewinnungsmaßnahmen umfassen, gewährleisten;
g)
die unter Buchstabe f genannten Pläne und Maßnahmen sowie die Wirksamkeit der gemäß den Buchstaben a und c durchgeführten Kontrollen regelmäßig testen;
h)
gegebenenfalls die relevanten operativen Schlussfolgerungen, die sich aus den Tests gemäß Buchstabe g und der Analyse nach einem Vorfall ergeben, in den IKT-Risikobewertungsprozess einbeziehen und entsprechend dem Bedarf und dem IKT-Risikoprofil Programme zur Sensibilisierung für IKT-Sicherheit sowie Schulungen zur digitalen operationalen Resilienz für Personal und Management entwickeln.
(2)
Der in Absatz 1 Unterabsatz 2 Buchstabe a genannte IKT-Risikomanagementrahmen wird regelmäßig und bei Auftreten schwerwiegender IKT-bezogener Vorfälle entsprechend den aufsichtsrechtlichen Anweisungen dokumentiert und überprüft. Der Rahmen wird auf der Grundlage der bei Umsetzung und Überwachung gewonnenen Erkenntnisse kontinuierlich verbessert. Der zuständigen Behörde wird auf Anfrage ein Bericht über die Überprüfung des IKT-Risikomanagementrahmens vorgelegt.
(3)
Die ESA entwickeln über den Gemeinsamen Ausschuss in Abstimmung mit der ENISA gemeinsame Entwürfe technischer Regulierungsstandards für die folgenden Zwecke:
a)
Spezifizierung der Elemente, die in den in Absatz 1 Unterabsatz 1 Buchstabe a genannten IKT-Risikomanagementrahmen aufzunehmen sind;
b)
Spezifizierung der Elemente in Bezug auf Systeme, Protokolle und Tools zur Minimierung der in Absatz 1 Unterabsatz 2 Buchstabe c genannten Auswirkungen von IKT-Risiken, um die Sicherheit der Netzwerke zu gewährleisten, angemessene Schutzvorkehrungen gegen Eindringen und Datenmissbrauch zu ermöglichen und die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten zu wahren;
c)
Spezifizierung der Komponenten der in Absatz 1 Unterabsatz 2 Buchstabe f genannten IKT-Geschäftsfortführungspläne;
d)
Spezifizierung der Vorschriften über die Tests der Geschäftsfortführungspläne und Gewährleistung der Wirksamkeit der Kontrollen gemäß Absatz 1 Unterabsatz 2 Buchstabe g und Gewährleistung, dass bei diesen Tests Szenarien, in denen die Qualität der Bereitstellung einer kritischen oder wichtigen Funktion auf ein inakzeptables Niveau absinkt oder diese Funktion ganz ausfällt, gebührend berücksichtigt werden;
e)
nähere Spezifizierung von Inhalt und Form des in Absatz 2 genannten Berichts über die Überprüfung des IKT-Risikomanagementrahmens.
Bei der Entwicklung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte.
Die ESA übermitteln der Kommission die Entwürfe dieser technischen Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Unterabsatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 17
Prozess für die Behandlung IKT-bezogener Vorfälle
DORA (EU 2022/2554)
(1)
Finanzunternehmen bestimmen einen Prozess für die Behandlung IKT-bezogener Vorfälle, richten diese ein und wenden sie an, um IKT-bezogene Vorfälle zu erkennen, zu behandeln und zu melden.
1 Sollmaßnahme
A-5.24.001IKT-Vorfallmanagement: Entwicklung und Implementierung
(2)
Finanzunternehmen erfassen alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen. Finanzunternehmen richten angemessene Verfahren und Prozesse ein, um die kohärente und integrierte Überwachung, Handhabung und Weiterverfolgung IKT-bezogener Vorfälle zu gewährleisten, um sicherzustellen, dass Ursachen ermittelt, dokumentiert und angegangen werden, um das Auftreten solcher Vorfälle zu verhindern.
2 Sollmaßnahmen · 1 Zieldokument
IKT-Vorfallmanagement· 2 hierkatalogweit 17 in 6 Artikeln
A-5.24.002IKT-Vorfallmanagement: Vollständige Erfassung und Dokumentation
A-5.24.003IKT-Vorfallmanagement: Überwachung und Nachverfolgung
(3)
Durch den in Absatz 1 genannten Prozess für die Behandlung IKT-bezogener Vorfälle
a)
werden Frühwarnindikatoren eingesetzt;
1 Sollmaßnahme zu lit. a
A-5.24.004IKT-Vorfallmanagement: Frühwarnindikatoren
b)
werden Verfahren zur Ermittlung, Nachverfolgung, Protokollierung, Kategorisierung und Klassifizierung IKT-bezogener Vorfälle entsprechend ihrer Priorität und Schwere und entsprechend der Kritikalität der betroffenen Dienste entsprechend den in Artikel 18 Absatz 1 genannten Kriterien eingerichtet;
1 Sollmaßnahme zu lit. b
A-5.24.005IKT-Vorfallmanagement: Kategorisierung und Klassifizierung
c)
werden Funktionen und Zuständigkeiten zugewiesen, die bei verschiedenen Arten von IKT-bezogenen Vorfällen und -Szenarien aktiviert werden müssen;
1 Sollmaßnahme zu lit. c
A-5.24.006IKT-Vorfallmanagement: Funktionen und Zuständigkeiten
d)
werden gemäß Artikel 14 Pläne für die Kommunikation mit Personal, externen Interessenträgern und Medien sowie für die Benachrichtigung von Kunden, für interne Eskalationsverfahren, einschließlich IKT-bezogener Kundenbeschwerden, und für die Bereitstellung von Informationen an andere Finanzunternehmen, die als Gegenparteien fungieren, ausgearbeitet, je nach Sachlage;
1 Sollmaßnahme zu lit. d
A-5.24.007IKT-Vorfallmanagement: Kommunikations- und Eskalationspläne
e)
wird sichergestellt, dass zumindest schwerwiegende IKT-bezogene Vorfälle der zuständigen höheren Führungsebene gemeldet werden und die Geschäftsleitung informiert wird, wobei die Auswirkungen und Gegenmaßnahmen und zusätzliche Kontrollen erläutert werden, die infolge dieser IKT-bezogenen Vorfälle einzurichten sind;
1 Sollmaßnahme zu lit. e
A-5.24.008IKT-Vorfallmanagement: Berichterstattung an das Leitungsorgan
f)
werden Verfahren für Reaktionsmaßnahmen bei IKT-bezogenen Vorfällen eingerichtet, um Auswirkungen zu mindern und sicherzustellen, dass die Dienste zeitnah verfügbar und sicher werden.
1 Sollmaßnahme zu lit. f
A-5.26.001IKT-Vorfallmanagement: Reaktionsmaßnahmen und Wiederherstellung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 18
Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen
DORA (EU 2022/2554)
(1)
Finanzunternehmen klassifizieren IKT-bezogene Vorfälle und bestimmen deren Auswirkungen anhand folgender Kriterien:
a)
Anzahl und/oder Relevanz der Kunden oder anderer Gegenparteien im Finanzbereich, die von dem IKT-bezogenen Vorfall betroffen sind, und gegebenenfalls des Werts oder der Anzahl der davon betroffenen Transaktionen und ob der IKT-bezogene Vorfall einen Reputationsschaden verursacht hat;
b)
Dauer des IKT-bezogenen Vorfalls, einschließlich der Ausfallzeiten des Dienstes;
c)
geografische Ausbreitung der von dem IKT-bezogenen Vorfall betroffenen Gebiete, insbesondere wenn mehr als zwei Mitgliedstaaten betroffen sind;
d)
die mit dem IKT-bezogenen Vorfall verbundenen Verfügbarkeits-, Authentizitäts-, Integritäts- oder Vertraulichkeitsverluste von Daten;
e)
Kritikalität der betroffenen Dienste, einschließlich der Transaktionen und Geschäfte des Finanzunternehmens;
f)
wirtschaftliche Auswirkungen — insbesondere direkte und indirekte Kosten und Verluste — des IKT-bezogenen Vorfalls auf absoluter und relativer Basis.
1 Sollmaßnahme
A-5.25.001IKT-Vorfallmanagement: Klassifizierungskriterien für IKT-Vorfälle
(2)
Finanzunternehmen stufen Cyberbedrohungen auf der Grundlage der Kritikalität der risikobehafteten Dienste, einschließlich der Transaktionen und Geschäfte des Finanzunternehmens, der Anzahl und/oder Relevanz der betroffenen Kunden oder Gegenparteien im Finanzbereich und der geografischen Ausbreitung der Risikogebiete als erheblich ein.
1 Sollmaßnahme
A-5.25.012IKT-Vorfallmanagement: Klassifizierungskriterien für Cyberbedrohungen
(3)
Die ESA erarbeiten über den Gemeinsamen Ausschuss in Abstimmung mit der EZB und der ENISA gemeinsame Entwürfe technischer Regulierungsstandards, in denen Folgendes präzisiert wird:
a)
die in Absatz 1 genannten Kriterien, einschließlich der Wesentlichkeitsschwellen für die Bestimmung schwerwiegender IKT-bezogener Vorfälle oder gegebenenfalls schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfälle, die der Meldepflicht nach Artikel 19 Absatz 1 unterliegen;
b)
die Kriterien, die von den zuständigen Behörden anzuwenden sind, um die Relevanz schwerwiegender IKT-bezogener Vorfälle oder gegebenenfalls schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfälle für die jeweils zuständigen Behörden in anderen Mitgliedstaaten zu bewerten, sowie die Einzelheiten in den Meldungen über schwerwiegende IKT-bezogene Vorfälle oder gegebenenfalls schwerwiegende zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die anderen zuständigen Behörden gemäß Artikel 19 Absätze 6 und 7 übermittelt werden müssen;
c)
die in Absatz 2 genannten Kriterien, einschließlich hoher Wesentlichkeitsschwellen für die Bestimmung erheblicher Cyberbedrohungen.
Durch RTS konkretisiert
(4)
Bei der Ausarbeitung der in Absatz 3 genannten gemeinsamen Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die in Artikel 4 Absatz 2 genannten Kriterien sowie von der ENISA entwickelte und veröffentlichte internationale Standards, Leitlinien und Spezifikationen, gegebenenfalls einschließlich Spezifikationen für andere Wirtschaftszweige. Für die Zwecke der Anwendung der in Artikel 4 Absatz 2 festgelegten Kriterien berücksichtigen die ESA gebührend, dass Kleinstunternehmen sowie kleine und mittlere Unternehmen ausreichende Ressourcen und Kapazitäten mobilisieren können müssen, um sicherzustellen, dass IKT-bezogene Vorfälle rasch bewältigt werden.
Die ESA übermitteln der Kommission diese allgemeinen Entwürfe technischer Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, diese Verordnung durch Annahme der in Absatz 3 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 19
Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen
DORA (EU 2022/2554)
(1)
Finanzunternehmen melden der nach Artikel 46 jeweils zuständigen Behörde gemäß Absatz 4 schwerwiegende IKT-bezogene Vorfälle.
Unterliegt ein Finanzunternehmen der Aufsicht mehr als einer nach Artikel 46 zuständigen nationalen Behörde, so benennen die Mitgliedstaaten eine einzige zuständige Behörde als einschlägige zuständige Behörde, die für die Wahrnehmung der im vorliegenden Artikel aufgeführten Funktionen und Aufgaben verantwortlich ist.
Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, melden schwerwiegende IKT-bezogene Vorfälle der gemäß Artikel 4 der Richtlinie 2013/36/EU benannten jeweils zuständigen nationalen Behörde, die diese Meldung unverzüglich an die EZB weiterleitet.
Für die Zwecke von Unterabsatz 1 erstellen Finanzunternehmen nach Erfassung und Analyse aller relevanten Informationen unter Verwendung der in Artikel 20 genannten Vorlage die Erstmeldung und die Meldungen nach Absatz 4 und übermitteln diese der zuständigen Behörde. Falls es aus technischen Gründen nicht möglich ist, die Erstmeldung unter Verwendung der Vorlage zu übermitteln, teilen die Finanzunternehmen dies der zuständigen Behörde auf anderem Wege mit.
Die Erstmeldung und die Meldungen nach Absatz 4 enthalten alle Informationen, die die zuständige Behörde benötigt, um die Signifikanz des schwerwiegenden IKT-bezogenen Vorfalls zu ermitteln und mögliche grenzüberschreitende Auswirkungen zu bewerten.
Unbeschadet der Meldung gemäß Unterabsatz 1 durch das Finanzunternehmen an die jeweils zuständige Behörde können die Mitgliedstaaten zusätzlich festlegen, dass einige oder alle Finanzunternehmen die Erstmeldung und jede Meldung nach Absatz 4 auch den gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden oder Computer-Notfallteams (computer security incident response teams — CSIRT) unter Verwendung der in Artikel 20 genannten Vorlage zur Verfügung stellen müssen.
2 Sollmaßnahmen · 1 Zieldokument
Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen· 2 hierkatalogweit 23 in 13 Artikeln
A-6.8.008Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Meldung an die Behörde (Signifikanz, grenzüberschreitend)
A-6.8.010Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Verwendung des vorgeschriebenen Templates
(2)
Finanzunternehmen können der jeweils zuständigen Behörde auf freiwilliger Basis erhebliche Cyberbedrohungen melden, wenn sie der Auffassung sind, dass die Bedrohung für das Finanzsystem, die Dienstnutzer oder die Kunden relevant ist. Die jeweils zuständige Behörde kann derartige Informationen anderen in Absatz 6 genannten einschlägigen Behörden zur Verfügung stellen.
Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, können erhebliche Cyberbedrohungen auf freiwilliger Basis der gemäß Artikel 4 der Richtlinie 2013/36/EU benannten jeweils zuständigen nationalen Behörde melden, die diese Meldung unverzüglich an die EZB weiterleitet.
Die Mitgliedstaaten können festlegen, dass die Finanzunternehmen, die auf freiwilliger Basis eine Meldung gemäß Unterabsatz 1 vornehmen, diese Meldung auch an die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten CSIRT erstatten können.
1 Sollmaßnahme
A-6.8.002Verfahren zur Meldung von erheblichen Cyberbedrohungen: freiwillige Meldung an Behörde und CSIRT
(3)
Wenn ein schwerwiegender IKT-bezogener Vorfall auftritt und Auswirkungen auf die finanziellen Interessen von Kunden hat, unterrichten die Finanzunternehmen, sobald sie hiervon Kenntnis erlangt haben, ihre Kunden unverzüglich über den schwerwiegenden IKT-bezogenen Vorfall und die Maßnahmen, die ergriffen wurden, um die nachteiligen Auswirkungen eines solchen Vorfalls zu mindern.
Im Falle einer erheblichen Cyberbedrohung unterrichten die Finanzunternehmen gegebenenfalls ihre potenziell betroffenen Kunden über angemessene Schutzmaßnahmen, die diese ergreifen könnten.
2 Sollmaßnahmen
A-6.8.003Verfahren zur Meldung von erheblichen Cyberbedrohungen: Information betroffener Kunden
A-6.8.007Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Kundeninformation bei finanzieller Betroffenheit
(4)
Finanzunternehmen legen innerhalb der in Artikel 20 Absatz 1 Buchstabe a Ziffer ii festzulegenden Fristen der jeweils zuständigen Behörde Folgendes vor:
a)
eine Erstmeldung;
1 Sollmaßnahme zu lit. a
A-6.8.018Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Frist der Erstmeldung (4 h / 24 h)
b)
nach der Erstmeldung gemäß Buchstabe a eine Zwischenmeldung, sobald sich der Status des ursprünglichen Vorfalls erheblich geändert hat oder sich die Handhabung des schwerwiegenden IKT-bezogenen Vorfalls auf der Grundlage neuer verfügbarer Informationen geändert hat, gegebenenfalls gefolgt von aktualisierten Meldungen, wann immer eine entsprechende Statusaktualisierung vorliegt, sowie auf ausdrücklichen Antrag der zuständigen Behörde;
1 Sollmaßnahme zu lit. b
A-6.8.021Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Auslöser und Frist der Zwischenmeldung
c)
eine Abschlussmeldung, wenn die Ursachenanalyse abgeschlossen ist — unabhängig davon, ob bereits Minderungsmaßnahmen getroffen wurden oder nicht — und sich die tatsächlichen Auswirkungen beziffern lassen und Schätzungen ersetzen.
1 Sollmaßnahme zu lit. c
A-6.8.023Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Auslöser und Frist der Abschlussmeldung
(5)
Finanzunternehmen dürfen im Einklang mit den sektorspezifischen Rechtsvorschriften der Union und der Mitgliedstaaten die Meldepflichten nach diesem Artikel an einen Drittdienstleister auslagern. Bei einer solchen Auslagerung bleibt das Finanzunternehmen in vollem Umfang für die Erfüllung der Anforderungen für die Meldung von Vorfällen verantwortlich.
3 Sollmaßnahmen
A-5.1.230Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auslagerung von Meldepflichten
A-5.22.011Einbindung von IKT-Dienstleistern in Meldepflichten
A-6.8.026Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Verantwortung verbleibt bei Auslagerung
(6)
Nach Eingang der Erstmeldung und jeder Meldung nach Absatz 4 übermittelt die zuständige Behörde auf der Grundlage der je nach Sachlage bestehenden jeweiligen Zuständigkeiten zeitnah Einzelheiten zu dem schwerwiegenden IKT-bezogenen Vorfall an die folgenden Empfänger:
a)
die EBA, die ESMA oder die EIOPA;
b)
die EZB, sofern es sich um Finanzunternehmen im Sinne von Artikel 2 Absatz 1 Buchstaben a, b und d handelt;
c)
die zuständigen Behörden, die zentrale Anlaufstelle oder die CSIRT, die jeweils gemäß der Richtlinie (EU) 2022/2555 benannt oder eingerichtet werden;
d)
die in Artikel 3 der Richtlinie 2014/59/EU genannten Abwicklungsbehörden und den Einheitlichen Abwicklungsausschuss (Single Resolution Board — SRB) in Bezug auf die in Artikel 7 Absatz 2 der Verordnung (EU) Nr. 806/2014 des Europäischen Parlaments und des Rates (37) genannten Unternehmen sowie in Bezug auf die in Artikel 7 Absatz 4 Buchstabe b und Absatz 5 der Verordnung (EU) Nr. 806/2014 genannten Unternehmen und Gruppen, wenn diese Einzelheiten Vorfälle betreffen, die ein Risiko für die Sicherstellung kritischer Funktionen im Sinne von Artikel 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU darstellen; und
e)
andere einschlägige Behörden nach nationalem Recht.
(7)
Nach Erhalt der Informationen gemäß Absatz 6 bewerten die EBA, die ESMA oder die EIOPA und die EZB in Abstimmung mit der ENISA und in Zusammenarbeit mit der jeweils zuständigen Behörde, ob der schwerwiegende IKT-bezogene Vorfall für die zuständigen Behörden in anderen Mitgliedstaaten von Belang ist. Im Anschluss an diese Bewertung benachrichtigen die EBA, die ESMA oder die EIOPA die jeweils zuständigen Behörden in anderen Mitgliedstaaten entsprechend. Die EZB unterrichtet die Mitglieder des Europäischen Systems der Zentralbanken über die für das Zahlungssystem relevanten Aspekte. Auf der Grundlage dieser Unterrichtung treffen die zuständigen Behörden gegebenenfalls alle für die unmittelbare Stabilität des Finanzsystems notwendigen Schutzvorkehrungen.
(8)
Die von der ESMA gemäß Absatz 7 vorzunehmende Meldung berührt nicht die Verantwortung der zuständigen Behörde, die Einzelheiten des schwerwiegenden IKT-bezogenen Vorfalls umgehend an die einschlägige Behörde des Aufnahmemitgliedstaats weiterzuleiten, wenn ein Zentralverwahrer eine umfassende grenzüberschreitende Tätigkeit in dem Aufnahmemitgliedstaat ausübt, der schwerwiegende IKT-bezogene Vorfall wahrscheinlich schwerwiegende Folgen für die Finanzmärkte des Aufnahmemitgliedstaats hat und zwischen den zuständigen Behörden Kooperationsvereinbarungen in Bezug auf die Beaufsichtigung von Finanzunternehmen bestehen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 20
Harmonisierung von Inhalt und Vorlagen von Meldungen
DORA (EU 2022/2554)
Die ESA erarbeiten über den Gemeinsamen Ausschuss und in Abstimmung mit der ENISA und der EZB
a)
gemeinsame Entwürfe technischer Regulierungsstandards, um i) den Inhalt von Meldungen über schwerwiegende IKT-bezogene Vorfälle festzulegen, damit den in Artikel 18 Absatz 1 aufgeführten Kriterien Rechnung getragen wird und weitere Elemente einbezogen werden, wie z. B. Einzelheiten zur Feststellung der Relevanz der Meldungen für andere Mitgliedstaaten und die Frage, ob es sich dabei um einen schwerwiegenden zahlungsbezogenen Betriebs- oder Sicherheitsvorfall handelt; ii) die Fristen für die Erstmeldung und jede Meldung nach Artikel 19 Absatz 4 festzulegen; iii) den Inhalt der Meldung erheblicher Cyberbedrohungen festzulegen. Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte, um insbesondere sicherzustellen, dass den Besonderheiten der Finanzsektoren für die Zwecke des vorliegenden Absatzes Buchstabe a Ziffer ii gegebenenfalls durch unterschiedliche Fristen Rechnung getragen wird, unbeschadet der Beibehaltung eines kohärenten Ansatzes für die Meldung IKT-bezogener Vorfälle gemäß dieser Verordnung und gemäß der Richtlinie (EU) 2022/2555. Die ESA legen — sofern zutreffend — eine Begründung vor, wenn sie von den im Rahmen jener Richtlinie verfolgten Ansätzen abweichen;
b)
gemeinsame Entwürfe technischer Durchführungsstandards zur Festlegung von Standardformularen, Vorlagen und Verfahren für Finanzunternehmen zur Meldung eines schwerwiegenden IKT-bezogenen Vorfalls oder einer erheblichen Cyberbedrohung.
Die ESA übermitteln der Kommission die in Absatz 1 Buchstabe a genannten gemeinsamen Entwürfe technischer Regulierungsstandards und die in Absatz 1 Buchstabe b genannten gemeinsamen Entwürfe technischer Durchführungsstandards bis zum 17. Juli 2024.
Der Kommission wird die Befugnis übertragen, diese Verordnung durch Annahme der in Absatz 1 Buchstabe a genannten gemeinsamen technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Der Kommission wird die Befugnis übertragen, die in Absatz 1 Buchstabe b genannten gemeinsamen technischen Durchführungsstandards gemäß Artikel 15 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 (EU) Nr. 1095/2010 zu erlassen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 21
Zentralisierung der Berichterstattung über schwerwiegende IKT-bezogene Vorfälle
DORA (EU 2022/2554)
(1)
Die ESA erstellen über den Gemeinsamen Ausschuss und in Abstimmung mit der EZB und der ENISA einen gemeinsamen Bericht, in dem sie die Durchführbarkeit einer weiteren Zentralisierung der Meldung von Vorfällen durch die Einrichtung einer einheitlichen EU-Plattform für die Meldung schwerwiegender IKT-bezogener Vorfälle durch Finanzunternehmen bewerten. In dem gemeinsamen Bericht werden Möglichkeiten sondiert, um den Meldefluss zu IKT-bezogenen Vorfällen zu erleichtern, damit verbundene Kosten zu senken und thematische Analysen zur Erhöhung aufsichtlicher Konvergenz zu unterstützen.
(2)
Der in Absatz 1 genannte gemeinsame Bericht umfasst mindestens die folgenden Aspekte:
a)
Voraussetzungen für die Einrichtung einer einheitlichen EU-Plattform;
b)
Vorteile, Grenzen und Risiken, einschließlich Risiken im Zusammenhang mit einer hohen Konzentration sensibler Informationen;
c)
die erforderliche Fähigkeit zur Gewährleistung der Interoperabilität im Hinblick auf andere einschlägige Meldesysteme;
d)
Elemente des Betriebsmanagements;
e)
Voraussetzungen für die Mitgliedschaft;
f)
technische Regelungen für den Zugang von Finanzunternehmen und zuständigen nationalen Behörden zur einheitlichen EU-Plattform;
g)
eine vorläufige Bewertung der finanziellen Kosten, die durch die Einrichtung der operativen Plattform zur Unterstützung der einheitlichen EU-Plattform entstehen, einschließlich des erforderlichen Fachwissens.
(3)
Die ESA übermitteln dem Europäischen Parlament, dem Rat und der Kommission den in Absatz 1 genannten Bericht bis zum 17. Januar 2025.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 22
Rückmeldungen von Aufsichtsbehörden
DORA (EU 2022/2554)
(1)
Unbeschadet der technischen Informationen, Empfehlungen oder Abhilfe- und Folgemaßnahmen, die im Einklang mit dem nationalen Recht gegebenenfalls vom CSIRT gemäß Richtlinie (EU) 2022/2555 bereitgestellt werden können, bestätigt die zuständige Behörde nach Eingang der Erstmeldung und jeder Meldung nach Artikel 19 Absatz 4 den Eingang und kann, wenn möglich, dem Finanzunternehmen zeitnah sachdienliche und angemessene Rückmeldungen oder allgemein gehaltene Orientierungshilfen übermitteln, insbesondere durch Zurverfügungstellung relevanter anonymisierter Informationen und Erkenntnisse zu ähnlichen Bedrohungen, sowie auf Ebene des Unternehmens angewandte Abhilfemaßnahmen und Möglichkeiten zur Minimierung und Minderung nachteiliger Auswirkungen auf den gesamten Finanzsektor erörtern. Unbeschadet der aufsichtlichen Rückmeldung bleiben Finanzunternehmen in vollem Umfang für die Handhabung und die Folgen der gemäß Artikel 19 Absatz 1 gemeldeten IKT-bezogenen Vorfälle verantwortlich.
(2)
Die ESA berichten jährlich über den Gemeinsamen Ausschuss in anonymisierter und aggregierter Form über schwerwiegende IKT-bezogene Vorfälle, deren Einzelheiten von den zuständigen Behörden gemäß Artikel 19 Absatz 6 übermittelt werden, und geben dabei mindestens die Zahl schwerwiegender IKT-bezogener Vorfälle, ihre Art und ihre Auswirkungen auf die Geschäftstätigkeit von Finanzunternehmen oder Kunden sowie die ergriffenen Abhilfemaßnahmen und die Kosten an.
Die ESA geben Warnungen heraus und erstellen allgemein gehaltene Statistiken, um die Bewertungen von Bedrohungen und Schwachstellen im IKT-Bereich zu unterstützen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 23
Zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen
DORA (EU 2022/2554)
Die Anforderungen in diesem Kapitel gelten auch für zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, auch schwerwiegender Art, wenn sie Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen.
1 Sollmaßnahme
A-5.24.009IKT-Vorfallmanagement: Einbeziehung zahlungsbezogener Vorfälle
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 24
Allgemeine Anforderungen für das Testen der digitalen operationalen Resilienz
DORA (EU 2022/2554)
(1)
Um die Vorbereitung auf die Handhabung IKT-bezogener Vorfälle zu bewerten, Schwächen, Mängel und Lücken in Bezug auf die digitale operationale Resilienz zu erkennen und Korrekturmaßnahmen umgehend umzusetzen, erstellen, pflegen und überprüfen Finanzunternehmen, die keine Kleinstunternehmen sind, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien ein solides und umfassendes Programm für das Testen der digitalen operationalen Resilienz als integraler Bestandteil des in Artikel 6 genannten IKT-Risikomanagementrahmens.
4 Sollmaßnahmen · 2 Zieldokumente
Richtlinie zum DOR-Testprogramm· 2 hierkatalogweit 5 in 3 Artikeln
A-5.1.091Richtlinie zum DOR-Testprogramm: Erstellung
A-5.1.095Richtlinie zum DOR-Testprogramm: Verhältnismäßigkeit der Testmaßnahmen
Testmaßnahmen· 2 hierkatalogweit 17 in 4 Artikeln
ISMS-9.1.002Verankerung des Testprogramms im IKT-Risikomanagement
ISMS-9.1.004Zielsetzung des Testprogramms
(2)
Das Programm für Tests der digitalen operationalen Resilienz umfasst eine Reihe von Bewertungen, Tests, Methoden, Verfahren und Tools, die gemäß den Artikeln 25 und 26 anzuwenden sind.
1 Sollmaßnahme
ISMS-9.1.005Auswahl der Testmaßnahmen und -werkzeuge
(3)
Bei der Ausführung des in Absatz 1 genannten Programms für das Testen der digitalen operationalen Resilienz wenden Finanzunternehmen, die keine Kleinstunternehmen sind, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien einen risikobasierten Ansatz an, wobei sie die sich entwickelnden IKT-Risikolandschaften, etwaige spezifische Risiken, denen das betreffende Finanzunternehmen ausgesetzt ist oder ausgesetzt sein könnte, die Kritikalität von Informationsassets und erbrachten Dienstleistungen sowie alle sonstigen Faktoren, die das Finanzunternehmen für angemessen hält, gebührend berücksichtigen.
1 Sollmaßnahme
ISMS-9.1.003Risikobasierte Ausgestaltung von Testmaßnahmen
(4)
Finanzunternehmen, die keine Kleinstunternehmen sind, stellen sicher, dass Tests von unabhängigen, internen oder externen Parteien durchgeführt werden. Werden die Tests von einem internen Tester durchgeführt, stellen die Finanzunternehmen ausreichende Ressourcen bereit und tragen dafür Sorge, dass während der Konzeptions- und Durchführungsphase der Prüfung keine Interessenkonflikte entstehen.
1 Sollmaßnahme
ISMS-9.1.006Unabhängigkeit der Testdurchführung
(5)
Finanzunternehmen, die keine Kleinstunternehmen sind, legen Verfahren und Leitlinien zur Priorisierung, Klassifizierung und Behebung aller während der Durchführung der Tests zutage getretenen Probleme fest und legen interne Validierungsmethoden fest, um sicherzustellen, dass alle ermittelten Schwächen, Mängel oder Lücken vollständig angegangen werden.
1 Sollmaßnahme
A-5.1.092Richtlinie zum DOR-Testprogramm: Einstufung und Behebung festgestellter Mängel
(6)
Finanzunternehmen, die keine Kleinstunternehmen sind, stellen sicher, dass bei allen IKT-Systemen und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich angemessene Tests durchgeführt werden.
1 Sollmaßnahme
A-5.1.093Richtlinie zum DOR-Testprogramm: jährliche Tests für kwF-Systeme
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 25
Testen von IKT-Tools und -Systemen
DORA (EU 2022/2554)
(1)
Das in Artikel 24 genannte Programm für die Tests der digitalen operationalen Resilienz beinhaltet im Einklang mit den in Artikel 4 Absatz 2 aufgeführten Kriterien die Durchführung angemessener Tests, wie etwa Schwachstellenbewertung und -scans, Open-Source-Analysen, Netzwerksicherheitsbewertungen, Lückenanalysen, Überprüfungen der physischen Sicherheit, Fragebögen und Scans von Softwarelösungen, Quellcodeprüfungen soweit durchführbar, szenariobasierte Tests, Kompatibilitätstests, Leistungstests, End-to-End-Tests und Penetrationstests.
22 Sollmaßnahmen · 6 Zieldokumente · 5 Nachweise
Testmaßnahmen· 12 hierkatalogweit 17 in 4 Artikeln
A-5.30.059Testmaßnahmen: IKT-Bereitschaft für Business-Continuity
A-5.36.001Testmaßnahmen: Einhaltung von Richtlinien, Vorschriften und Normen für die Informationssicherheit
A-7.4.001Testmaßnahmen: Physische Sicherheitsüberwachung
A-8.20.013Testmaßnahmen: Netzwerksicherheit
A-8.28.002Testmaßnahmen: Quellcodeprüfungen
A-8.29.005Testmaßnahmen: Kompatibilitätstests
A-8.29.006Testmaßnahmen: End-to-End-Tests
A-8.6.007Testmaßnahmen: Kapazitätssteuerung
A-8.8.020Testmaßnahmen: Handhabung von technischen Schwachstellen
A-8.8.021Testmaßnahmen: Open-Source-Schwachstellenanalyse
A-8.8.022Testmaßnahmen: Sicherheitsfragebögen und Softwarescans
A-8.8.023Testmaßnahmen: Penetrationstests
Betriebskonzepte· 1 hierkatalogweit 19 in 4 Artikeln
A-5.37.017Betriebskonzepte: regelmäßige Leistungstests
Richtlinie für das Management der Netzwerksicherheit· 1 hierkatalogweit 20 in 7 Artikeln
A-5.1.078Richtlinie für das Management der Netzwerksicherheit: regelmäßige Netzwerksicherheitstests
Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen· 1 hierkatalogweit 13 in 5 Artikeln
A-5.1.109Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Tests der physischen Sicherheit
Verfahren für Beschaffung, Entwicklung und Wartung· 1 hierkatalogweit 16 in 2 Artikeln
A-8.29.002Verfahren für Beschaffung, Entwicklung und Wartung: Testprogramm
Verfahren für das Kapazitäts- und Leistungsmanagement· 1 hierkatalogweit 6 in 2 Artikeln
A-8.6.006Verfahren für das Kapazitäts- und Leistungsmanagement: Regelmäßige Leistungstests
Nachweise / operative Umsetzung· 5 hier
A-7.4.002Tests der physischen Sicherheitsmaßnahmen
A-8.20.012Regelmäßige Bewertung der Netzwerksicherheit
A-8.29.012Tests und Freigabe vor Einsatz und nach Änderungen
A-8.8.019Regelmäßige Scans der Netzwerksicherheit
ISMS-8.2.006IKT-Risikobewertung für Lückenanalysen
(2)
Zentralverwahrer und zentrale Gegenparteien führen Schwachstellenbewertungen durch, bevor Anwendungen und Infrastrukturkomponenten sowie IKT-Dienstleistungen, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen, eingesetzt oder wieder eingesetzt werden.
1 Sollmaßnahme
A-8.29.014Sicherheitsprüfung bei Entwicklung und Abnahme
(3)
Kleinstunternehmen führen die in Absatz 1 genannten Tests durch, indem sie einen risikobasierten Ansatz mit einer strategischen Planung für IKT-Tests kombinieren, wobei sie gebührend berücksichtigen, dass zwischen dem Umfang von Ressourcen und der Zeit, die für die IKT-Tests gemäß diesem Artikel aufzuwenden sind, einerseits, und der Dringlichkeit, der Art des Risikos, der Kritikalität von Informationsassets und erbrachten Dienstleistungen sowie allen sonstigen relevanten Faktoren, einschließlich der Fähigkeit des Finanzunternehmens, kalkulierte Risiken einzugehen, andererseits, ein ausgewogenes Verhältnis gewahrt werden muss.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 26
Erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis von TLPT
DORA (EU 2022/2554)
(1)
Gemäß Absatz 8 Unterabsatz 3 des vorliegenden Artikels ermittelte Finanzunternehmen, bei denen es sich weder um die in Artikel 16 Absatz 1 Unterabsatz 1 genannten Unternehmen noch um Kleinstunternehmen handelt, führen mindestens alle drei Jahre anhand von TLPT erweiterte Tests durch. Auf der Grundlage des Risikoprofils des Finanzunternehmens und unter Berücksichtigung der betrieblichen Gegebenheiten kann die zuständige Behörde das Finanzunternehmen erforderlichenfalls auffordern, die Häufigkeit dieser Tests zu verringern oder zu erhöhen.
1 Sollmaßnahme
TLPT.002TLPT-Anforderungen: Testfrequenz
(2)
Jeder bedrohungsorientierte Penetrationstest schließt mehrere oder alle kritischen oder wichtigen Funktionen eines Finanzunternehmens ein und wird an Live-Produktionssystemen durchgeführt, die derartige Funktionen unterstützen.
Finanzunternehmen ermitteln alle relevanten zugrunde liegenden IKT-Systeme, -Prozesse und -Technologien, die kritische oder wichtige Funktionen und IKT-Dienstleistungen unterstützen, einschließlich derer, die diejenigen kritischen oder wichtigen Funktionen unterstützen, die an IKT-Drittdienstleister ausgelagert oder per Vertrag vergeben wurden.
Finanzunternehmen bewerten, welche kritischen oder wichtigen Funktionen ein TLPT einschließen muss. Der genaue Umfang von TLPT ist vom Ergebnis dieser Bewertung abhängig und wird von den zuständigen Behörden validiert.
3 Sollmaßnahmen · 2 Zieldokumente
TLPT-Scoping· 2 hierkatalogweit 3 in 2 Artikeln
TLPT.015TLPT-Scoping: Auswahl der zu testenden kwF
TLPT.016TLPT-Scoping: Benennung kritischer Funktionen im Spezifikationsdokument
TLPT-Durchführung· 1 hierkatalogweit 5 in 3 Artikeln
TLPT.048TLPT-Durchführung: Tests an Produktionssystemen
(3)
Sind IKT-Drittdienstleister in das Spektrum der TLPT einbezogen, ergreift das Finanzunternehmen alle erforderlichen Maßnahmen und Vorkehrungen, um die Einbindung dieser IKT-Drittdienstleister in die TLPT sicherzustellen, und trägt jederzeit die volle Verantwortung für die Gewährleistung der Einhaltung dieser Verordnung.
2 Sollmaßnahmen
A-5.20.052kwF-relevante Vertragsinhalte: Einbindung in TLPT
TLPT.058TLPT-DL-Einbindung: Teilnahme von IKT-Dienstleistern
(4)
Wenn vernünftigerweise davon auszugehen ist, dass sich die Einbindung eines IKT-Drittdienstleisters in einen TLPT gemäß Absatz 3 nachteilig auf die Qualität oder die Sicherheit von Dienstleistungen des IKT-Drittdienstleisters an Kunden, bei denen es sich um nicht in den Anwendungsbereich dieser Verordnung fallende Unternehmen handelt, oder auf die Vertraulichkeit in Bezug auf die mit diesen Dienstleistungen verbundenen Daten auswirkt, können das Finanzunternehmen und der IKT-Drittdienstleister unbeschadet Absatz 2 Unterabsätze 1 und 2 schriftlich vereinbaren, dass der IKT-Drittdienstleister unmittelbar vertragliche Vereinbarungen mit einem externen Tester schließt, um unter der Leitung eines benannten Finanzunternehmens einen gebündelten TLPT durchzuführen, an dem mehrere Finanzunternehmen beteiligt sind (gebündelter Test), für die der IKT-Drittdienstleister IKT-Dienstleistungen erbringt.
Diese gebündelten Tests erstrecken sich auf das relevante Spektrum von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von den Finanzunternehmen per Vertrag an die jeweiligen IKT-Drittdienstleister vergeben wurden. Die gebündelten Tests gelten als TLPT, die von den an den gebündelten Tests beteiligten Finanzunternehmen durchgeführt werden.
Die Zahl der Finanzunternehmen, die sich an den gebündelten Tests beteiligen, wird unter Berücksichtigung der Komplexität und der Art der betreffenden Dienstleistungen angemessen austariert.
2 Sollmaßnahmen
TLPT.059TLPT-DL-Einbindung: Alternative Arrangements bei Servicebeeinträchtigung
TLPT.060TLPT-Steuerung: Abdeckung bei gemeinsamen TLPTs
(5)
Finanzunternehmen wenden in Zusammenarbeit mit IKT-Drittdienstleistern und anderen beteiligten Parteien, einschließlich der Tester, jedoch ohne die zuständigen Behörden, wirksame Risikomanagementkontrollen an, um die Gefahr von potenziellen Auswirkungen auf Daten, Schäden an Vermögenswerten und Unterbrechungen kritischer oder wichtiger Funktionen, Dienste oder Vorgänge im Finanzunternehmen selbst, seinen Gegenparteien oder im Finanzsektor zu mindern.
1 Sollmaßnahme
TLPT.061TLPT-Steuerung: Risikomanagement mit IKT-Dienstleistern
(6)
Nach Abschluss der Tests und der Ausarbeitung von Berichten und Plänen mit Abhilfemaßnahmen legen das Finanzunternehmen und gegebenenfalls die externen Tester der gemäß Absatz 9 oder 10 benannten Behörde eine Zusammenfassung der maßgeblichen Ergebnisse, die Pläne mit Abhilfemaßnahmen und die Unterlagen vor, mit denen belegt wird, dass der TLPT anforderungsgemäß durchgeführt wurden.
1 Sollmaßnahme
TLPT.054TLPT-Abschluss: Berichterstattung an die TLPT-Behörde
(7)
Die Behörden stellen Finanzunternehmen eine Bescheinigung aus, aus der hervorgeht, dass der Test — wie in den Unterlagen nachgewiesen — im Einklang mit den Anforderungen durchgeführt wurde, um die gegenseitige Anerkennung bedrohungsorientierter Penetrationstests zwischen den zuständigen Behörden zu ermöglichen. Das Finanzunternehmen übermittelt der jeweils zuständigen Behörde die Bescheinigung, die Zusammenfassung der maßgeblichen Ergebnisse und die Abhilfemaßnahmen.
Unbeschadet einer solchen Bescheinigung bleiben Finanzunternehmen jederzeit in vollem Umfang für die Auswirkungen der in Absatz 4 genannten Tests verantwortlich.
1 Sollmaßnahme
TLPT.057TLPT-Abschluss: Erhalt der Behördenbescheinigung
(8)
Finanzunternehmen beauftragen Tester für die Zwecke der Durchführung von TLPT gemäß Artikel 27. Ziehen Finanzunternehmen für die Zwecke der Durchführung von TLPT interne Tester heran, so beauftragen sie für jeden dritten Test einen externen Tester.
Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, ziehen nur externe Tester gemäß Artikel 27 Absatz 1 Buchstaben a bis e heran.
Die zuständigen Behörden ermitteln Finanzunternehmen, die TLPT durchzuführen haben, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien und stützen sich dabei auf die Bewertung von:
a)
wirkungsbezogenen Faktoren, darunter insbesondere inwieweit sich die vom Finanzunternehmen erbrachten Dienstleistungen und ausgeführten Tätigkeiten auf den Finanzsektor auswirken;
b)
etwaigen Bedenken hinsichtlich der Finanzstabilität, einschließlich des systemischen Charakters des Finanzunternehmens auf Unionsebene oder auf nationaler Ebene, je nach Sachlage;
c)
dem spezifischen IKT-Risikoprofil, dem IKT-Reifegrad des Finanzunternehmens oder einschlägigen technologischen Merkmalen.
2 Sollmaßnahmen
TLPT.001TLPT-Anforderungen: Feststellung der TLPT-Pflicht
TLPT.033TLPT-Tester: Rotationspflicht bei internen Testern
(9)
Die Mitgliedstaaten können eine einzige staatliche Behörde für den Finanzsektor benennen, die auf nationaler Ebene für mit TLPT verbundenen Angelegenheiten im Finanzsektor zuständig ist, und betrauen sie mit allen diesbezüglichen Zuständigkeiten und Aufgaben.
(10)
In Ermangelung einer Benennung gemäß Absatz 9 und unbeschadet der Befugnis zur Ermittlung der Finanzunternehmen, die verpflichtet sind, TLPT durchzuführen, kann eine zuständige Behörde die Wahrnehmung einiger oder aller in diesem Artikel oder in Artikel 27 genannten Aufgaben auf eine andere für den Finanzsektor zuständige nationale Behörde übertragen.
(11)
Die ESA arbeiten im Einvernehmen mit der EZB im Einklang mit dem TIBER-EU-Rahmen gemeinsame Entwürfe technischer Regulierungsstandards aus, in denen Folgendes präzisiert wird:
a)
die für die Zwecke der Anwendung von Absatz 8 Unterabsatz 2 herangezogenen Kriterien;
b)
die Anforderungen und Standards für den Einsatz interner Tester;
c)
die Anforderungen hinsichtlich: i) des Umfangs der in Absatz 2 genannten TLPT; ii) der Testmethodik und des Testkonzepts für jede einzelne Phase des Testverfahrens; iii) der Ergebnisse, des Abschlusses und der Behebungsphasen der Tests;
d)
der Art der aufsichtlichen und sonstigen relevanten Zusammenarbeit, die für die Umsetzung von TLPT und die Erleichterung der gegenseitigen Anerkennung dieser Tests im Kontext von Finanzunternehmen, die in mehr als einem Mitgliedstaat tätig sind, erforderlich ist, um eine angemessene Beteiligung der Aufsichtsbehörden und eine flexible Umsetzung zu ermöglichen, damit den Besonderheiten finanzieller Teilsektoren oder lokaler Finanzmärkte Rechnung getragen wird.
Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA gebührend etwaige Besonderheiten, die sich aus der unterschiedlichen Art der Tätigkeiten in verschiedenen Finanzdienstleistungssektoren ergeben.
Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Juli 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Unterabsatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Durch RTS konkretisiert
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 27
Anforderungen an Tester bezüglich der Durchführung von TLPT
DORA (EU 2022/2554)
(1)
Finanzunternehmen ziehen für TLPT nur Tester heran, die
a)
von höchster Eignung und Ansehen sind;
b)
über technische und organisatorische Fähigkeiten verfügen und spezifisches Fachwissen in den Bereichen Bedrohungsanalyse, Penetrationstests und Red-Team-Tests nachweisen;
c)
von einer Akkreditierungsstelle in einem Mitgliedstaat zertifiziert wurden oder formale Verhaltenskodizes oder ethische Rahmenregelungen einhalten;
d)
eine unabhängige Gewähr oder einen Auditbericht in Bezug auf das zuverlässige Management von Risiken vorlegen, die mit der Durchführung von TLPT verbunden sind, darunter auch der angemessene Schutz vertraulicher Informationen des Finanzunternehmens und ein Ausgleich der geschäftlichen Risiken des Finanzunternehmens;
e)
ordnungsgemäß und vollständig durch einschlägige Berufshaftpflichtversicherungen abgesichert sind, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit.
1 Sollmaßnahme
TLPT.019TLPT-Tester: Eignungsanforderungen
(2)
Beim Einsatz interner Tester gewährleisten Finanzunternehmen, dass neben den Anforderungen in Absatz 1 auch folgende Bedingungen erfüllt sind:
a)
der Einsatz wurde von der jeweils zuständigen Behörde oder von der gemäß Artikel 26 Absätze 9 und 10 benannten einzigen staatlichen Behörde genehmigt;
b)
die jeweils zuständige Behörde hat überprüft, dass das Finanzunternehmen über ausreichende Ressourcen verfügt und sichergestellt hat, dass während der Konzeptions- und Durchführungsphase der Tests keine Interessenkonflikte entstehen; und
c)
der Anbieter von Bedrohungsanalysen gehört nicht dem Finanzunternehmen an.
1 Sollmaßnahme
TLPT.034TLPT-Tester: Behördengenehmigung für interne Tester
(3)
Finanzunternehmen stellen sicher, dass in Verträgen, die mit externen Testern geschlossen werden, eine ordentliche Handhabung der Ergebnisse von TLPT vorgesehen ist und die diesbezügliche Datenverarbeitung, einschließlich Generierung, Speicherung, Aggregation, Entwurf, Berichterstattung, Weitergabe oder Vernichtung, keine Risiken für das Finanzunternehmen mit sich bringt.
1 Sollmaßnahme
TLPT.032TLPT-Testplanung: Vertragliche Regelung der Ergebnishandhabung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 28
Allgemeine Prinzipien
DORA (EU 2022/2554)
(1)
Finanzunternehmen managen das IKT-Drittparteienrisiko als integralen Bestandteil des IKT-Risikos innerhalb ihres IKT-Risikomanagementrahmens nach Artikel 6 Absatz 1 und im Einklang mit den folgenden Prinzipien:
3 Sollmaßnahmen
A-5.1.027Richtlinie zum IKT-Risikomanagement: Drittparteienrisiken als Teil des IKT-Risikos
A-5.1.187Leitlinie zur Nutzung von IKT-Dienstleistungen: Drittparteienrisiko als Teil des IKT-Risikos
A-5.19.006Integration des IKT-Drittparteienrisikos in das IKT-Risikomanagement
a)
Finanzunternehmen, die vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen für die Ausübung ihrer Geschäftstätigkeit getroffen haben, bleiben jederzeit in vollem Umfang für die Einhaltung und Erfüllung aller Verpflichtungen nach dieser Verordnung und nach dem anwendbaren Finanzdienstleistungsrecht verantwortlich.
1 Sollmaßnahme zu lit. a
A-5.1.186Leitlinie zur Nutzung von IKT-Dienstleistungen: Fortbestehende Eigenverantwortung
b)
Beim Management des IKT-Drittparteienrisikos tragen Finanzunternehmen dem Grundsatz der Verhältnismäßigkeit Rechnung, wobei Folgendes zu berücksichtigen ist: i) die Art, das Ausmaß, die Komplexität und die Relevanz IKT-bezogener Abhängigkeiten, ii) die Risiken infolge vertraglicher Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die mit IKT-Drittdienstleistern geschlossen wurden, wobei die Kritikalität oder Relevanz der jeweiligen Dienstleistungen, Prozesse oder Funktionen sowie die potenziellen Auswirkungen auf die Kontinuität und Verfügbarkeit von Finanzdienstleistungen und -tätigkeiten auf Einzel- und Gruppenebene zu berücksichtigen sind.
1 Sollmaßnahme zu lit. b
A-5.1.190Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Verhältnismäßigkeit des Drittparteienrisikomanagements
(2)
Finanzinstitute, bei denen es sich weder um die in Artikel 16 Absatz 1 Unterabsatz 1 genannten Unternehmen noch um Kleinstunternehmen handelt, beschließen im Rahmen ihres IKT-Risikomanagementrahmens eine Strategie für das IKT-Drittparteienrisiko und überprüfen diese regelmäßig, wobei gegebenenfalls die in Artikel 6 Absatz 9 genannte Strategie zur Nutzung mehrerer Anbieter Berücksichtigung findet. Die Strategie zum IKT-Drittparteienrisiko umfasst eine Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden, und gilt auf individueller und gegebenenfalls teilkonsolidierter und konsolidierter Basis. Das Leitungsorgan überprüft auf der Grundlage einer Bewertung des Gesamtrisikoprofils des Finanzunternehmens und des Umfangs und der Komplexität der Unternehmensdienstleistungen regelmäßig Risiken, die im Zusammenhang mit den vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen ermittelt werden.
7 Sollmaßnahmen · 3 Zieldokumente · 3 Nachweise
Strategie für das IKT-Drittparteienrisiko· 2 hierkatalogweit 2 in 2 Artikeln
A-5.1.239Strategie für das IKT-Drittparteienrisiko
A-5.1.240Geltungsbereich von Strategie zum IKT-Drittparteienrisiko und Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
Leitlinie zur Nutzung von IKT-Dienstleistungen· 1 hierkatalogweit 5 in 3 Artikeln
A-5.1.188Leitlinie zur Nutzung von IKT-Dienstleistungen: Verhältnismäßige Ausgestaltung
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 1 hierkatalogweit 51 in 20 Artikeln
A-5.1.189Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Erstellung
Nachweise / operative Umsetzung· 3 hier
A-5.20.014Gesamtrisikoprofil und Komplexitätsbewertung des IKT-Drittparteienrisikos
A-5.4.011Überprüfung der Risiken kritischer IKT-Verträge
ISMS-8.2.002Bewertung des Gesamtrisikoprofils
(3)
Finanzunternehmen führen und aktualisieren im Rahmen ihres IKT-Risikomanagementrahmens auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene ein Informationsregister, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen bezieht.
Die vertraglichen Vereinbarungen gemäß Unterabsatz 1 werden angemessen dokumentiert, wobei zwischen Vereinbarungen, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen abdecken, und solchen unterschieden wird, bei denen dies nicht der Fall ist.
Finanzunternehmen erstatten den zuständigen Behörden mindestens einmal jährlich Bericht zur Anzahl neuer Vereinbarungen über die Nutzung von IKT-Dienstleistungen, den Kategorien von IKT-Drittdienstleistern, der Art der vertraglichen Vereinbarungen sowie den bereitgestellten IKT-Dienstleistungen und -Funktionen.
Finanzunternehmen stellen der zuständigen Behörde auf Verlangen das vollständige Informationsregister oder auf Anfrage bestimmte Teile dieses Registers zusammen mit allen Informationen zur Verfügung, die für eine wirksame Beaufsichtigung des Finanzunternehmens als notwendig erachtet werden.
Finanzunternehmen unterrichten die zuständige Behörde zeitnah über jede geplante vertragliche Vereinbarung über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen sowie in dem Fall, dass eine Funktion kritisch oder wichtig geworden ist.
10 Sollmaßnahmen · 4 Zieldokumente · 3 Nachweise
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 3 hierkatalogweit 51 in 20 Artikeln
A-5.1.231Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Jährliche Behördeninformation
A-5.1.232Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Anzeige geplanter kwF-Verträge
A-5.1.233Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Pflege des Informationsregisters
Informationsregister· 2 hierkatalogweit 14 in 7 Artikeln
A-5.20.002Informationsregister: Führung auf Unternehmens- und Konzernebene
A-5.5.007Bereitstellung des Informationsregisters an die Aufsicht
Richtlinie zum IKT-Assetmanagement· 1 hierkatalogweit 15 in 6 Artikeln
A-5.1.012Richtlinie zum IKT-Assetmanagement: Führung der Asset-Inventare (Pflichtelemente)
Verfahren zum IKT-Assetmanagement· 1 hierkatalogweit 1 in 2 Artikeln
A-5.12.003Verfahren zum IKT-Assetmanagement: Methodik zur kwF-Ermittlung
Nachweise / operative Umsetzung· 3 hier
A-5.5.004Meldung der kwF an die Aufsicht
A-5.5.005Jährlicher Bericht über neue IKT-Verträge
A-5.5.006Meldung geplanter kwF-relevanter IKT-Verträge an die Aufsicht
(4)
Vor Abschluss einer vertraglichen Vereinbarung über die Nutzung von IKT-Dienstleistungen müssen Finanzunternehmen:
a)
beurteilen, ob sich die vertragliche Vereinbarung auf die Nutzung von IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion bezieht;
1 Sollmaßnahme zu lit. a
A-5.1.218Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Prüfung der kwF-Relevanz des Vertrags
b)
beurteilen, ob die aufsichtsrechtlichen Bedingungen für die Auftragsvergabe erfüllt sind;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
c)
alle relevanten Risiken im Zusammenhang mit der vertraglichen Vereinbarung ermitteln und bewerten, einschließlich der Möglichkeit, dass diese vertragliche Vereinbarung dazu beitragen kann, das in Artikel 29 genannte IKT-Konzentrationsrisiko zu erhöhen;
3 Sollmaßnahmen zu lit. c · 1 Zieldokument · 1 Nachweis
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.200Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: IKT-Risikobewertung vor Vertragsabschluss
A-5.1.219Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ex-ante Risk Assessment – Risikoarten
Nachweise / operative Umsetzung· 1 hier
A-5.19.005Ex-Ante Risk Assessment
d)
bei potenziellen IKT-Drittdienstleistern der gebotenen Sorgfaltspflicht nachkommen und während des gesamten Auswahl- und Bewertungsprozesses sicherstellen, dass der IKT-Drittdienstleister geeignet ist;
3 Sollmaßnahmen zu lit. d · 1 Zieldokument · 1 Nachweis
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.201Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auswahl- und Bewertungsverfahren
A-5.1.202Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due Diligence als Voraussetzung
Nachweise / operative Umsetzung· 1 hier
A-5.19.004Due-Diligence-Prüfung
e)
Interessenkonflikte, die durch die vertragliche Vereinbarung entstehen können, ermitteln und bewerten.
2 Sollmaßnahmen zu lit. e
A-5.1.198Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vermeidung von Interessenkonflikten
A-5.20.018Interessenkonflikte bei IKT-Verträgen
(5)
Finanzunternehmen dürfen vertragliche Vereinbarungen nur mit IKT-Drittdienstleistern schließen, die angemessene Standards für Informationssicherheit einhalten. Betreffen diese vertraglichen Vereinbarungen kritische oder wichtige Funktionen, so berücksichtigen die Finanzunternehmen vor Abschluss der Vereinbarungen angemessen, ob die IKT-Drittdienstleister die aktuellsten und höchsten Qualitätsstandards für die Informationssicherheit anwenden.
1 Sollmaßnahme
A-5.20.051Informationssicherheitsstandards bei IKT-Verträgen
(6)
Bei der Ausübung der Zugangs-, Inspektions- und Auditrechte in Bezug auf den IKT-Drittdienstleister bestimmen Finanzunternehmen auf der Grundlage eines risikobasierten Ansatzes vorab die Häufigkeit von Audits und Inspektionen sowie die zu prüfenden Bereiche, indem allgemein anerkannte Auditstandards im Einklang mit etwaigen Aufsichtsanweisungen für die Anwendung und Einbeziehung solcher Auditstandards eingehalten werden.
Wenn vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die mit IKT-Drittdienstleistern geschlossen werden, ein hohes Maß an technischer Komplexität mit sich bringen, überprüft das Finanzunternehmen, dass die internen oder externen Revisoren oder ein Revisorenpool über die Fähigkeiten und Kenntnisse verfügen bzw. verfügt, die für die wirksame Durchführung der einschlägigen Audits und Bewertungen erforderlich sind.
4 Sollmaßnahmen
A-5.1.235Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Verträge hoher technischer Komplexität
A-5.20.032Allgemeine Vertragsinhalte: Audits und Inspektionen
A-5.22.027Vor-Ort-Audits und Inspektionen beim IKT-Dienstleister
A-5.22.028Qualifikationsanforderungen an Revisoren für IKT-Dienstleister-Audits
(7)
Finanzunternehmen stellen sicher, dass vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen gekündigt werden können, wenn einer der folgenden Umstände vorliegt:
a)
ein erheblicher Verstoß des IKT-Drittdienstleisters gegen geltende Gesetze, sonstige Vorschriften oder Vertragsbedingungen;
b)
Umstände, die im Laufe der Überwachung des IKT-Drittparteienrisikos festgestellt wurden und die als geeignet eingeschätzt werden, die Wahrnehmung der im Rahmen der vertraglichen Vereinbarung vorgesehenen Funktionen zu beeinträchtigen, einschließlich wesentlicher Änderungen, die sich auf die Vereinbarung oder die Verhältnisse des IKT-Drittdienstleisters auswirken;
c)
nachweisliche Schwächen des IKT-Drittdienstleisters in Bezug auf sein allgemeines IKT-Risikomanagement und insbesondere bei der Art und Weise, in der er die Verfügbarkeit, Authentizität, Sicherheit und Vertraulichkeit von Daten gewährleistet, unabhängig davon, ob es sich um personenbezogene oder anderweitig sensible Daten oder nicht personenbezogene Daten handelt;
d)
die zuständige Behörde kann das Finanzunternehmen infolge der Bedingungen der jeweiligen vertraglichen Vereinbarung oder der mit dieser Vereinbarung verbundenen Umstände nicht mehr wirksam beaufsichtigen.
1 Sollmaßnahme
A-5.20.025Allgemeine Vertragsinhalte: Kündigungsrechte bei Pflichtverstößen
(8)
Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, richten Finanzunternehmen Ausstiegsstrategien ein. In den Ausstiegsstrategien wird den Risiken Rechnung getragen, die auf der Ebene der IKT-Drittdienstleister entstehen können, darunter insbesondere ein möglicher Fehler des IKT-Drittdienstleisters, eine Verschlechterung der Qualität der bereitgestellten IKT-Dienstleistungen, jede Unterbrechung der Geschäftstätigkeit aufgrund unangemessener oder unterlassener Bereitstellung von IKT-Dienstleistungen oder jedes erhebliche Risiko im Zusammenhang mit der angemessenen und kontinuierlichen Bereitstellung der jeweiligen IKT-Dienstleistungen oder der Beendigung vertraglicher Vereinbarungen mit IKT-Drittdienstleistern unter einem der in Absatz 7 genannten Umstände.
Finanzunternehmen stellen sicher, dass sie aus vertraglichen Vereinbarungen ausscheiden können, ohne:
a)
Unterbrechung ihrer Geschäftstätigkeit,
b)
Einschränkung der Einhaltung regulatorischer Anforderungen,
c)
Beeinträchtigung der Kontinuität und Qualität ihrer für Kunden erbrachten Dienstleistungen.
Ausstiegspläne müssen umfassend, dokumentiert und im Einklang mit den in Artikel 4 Absatz 2 aufgeführten Kriterien ausreichend getestet sein sowie regelmäßig überprüft werden.
Finanzunternehmen ermitteln alternative Lösungen und entwickeln Übergangspläne, die es ihnen ermöglichen, dem IKT-Drittdienstleister die vertraglich vereinbarten IKT-Dienstleistungen und die relevanten Daten zu entziehen und sie sicher und vollständig alternativen Anbietern zu übertragen oder wieder in die eigenen Systeme zu überführen.
Finanzunternehmen verfügen über angemessene Notfallmaßnahmen, um die Fortführung der Geschäftstätigkeit zu gewährleisten, falls die in Unterabsatz 1 genannten Umstände auftreten.
7 Sollmaßnahmen · 3 Zieldokumente
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 5 hierkatalogweit 51 in 20 Artikeln
A-5.1.223Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstieg – Strategien (Dienstleistungen)
A-5.1.224Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstieg – ohne Betriebsunterbrechung
A-5.1.225Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstieg – Test der Ausstiegspläne
A-5.1.226Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Alternativlösungen und Übergangspläne
A-5.1.227Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Notfallmaßnahmen
Ausstiegsstrategien und Ausstiegspläne (je kwF-IKT-DL)· 1 hier
A-5.22.001Ausstiegspläne für IKT-Dienstleistungen
IKT-Geschäftsfortführungspläne· 1 hierkatalogweit 15 in 5 Artikeln
A-5.22.002IKT-Geschäftsfortführungspläne für IKT-Dienstleistungen: Ausstiegsszenario bei Dienstleisterausfall
(9)
Die ESA erarbeiten über den Gemeinsamen Ausschuss Entwürfe technischer Durchführungsstandards, um die Standardvorlagen für die Zwecke des in Absatz 3 genannten Informationsregisters festzulegen, einschließlich Informationen, die allen vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen gemein sind. Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, die in Unterabsatz 1 genannten technischen Durchführungsstandards gemäß Artikel 15 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu erlassen.
Durch RTS konkretisiert
(10)
Die ESA erarbeiten über den Gemeinsamen Ausschuss Entwürfe für technische Regulierungsstandards, um den detaillierten Inhalt der Leitlinie, die in Absatz 2 in Bezug auf die vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer und wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden, genannt wird, weiter zu spezifizieren.
Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte. Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Unterabsatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 29
Vorläufige Bewertung des IKT-Konzentrationsrisikos auf Unternehmensebene
DORA (EU 2022/2554)
(1)
Bei der Ermittlung und Bewertung der in Artikel 28 Absatz 4 Buchstabe c genannten Risiken berücksichtigen Finanzunternehmen zudem, ob der geplante Abschluss einer vertraglichen Vereinbarung in Bezug auf IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, Folgendes herbeiführen würde:
a)
Verträge mit einem IKT-Drittdienstleister, der nicht ohne Weiteres ersetzbar ist; oder
b)
mehrfache vertragliche Vereinbarungen über die Bereitstellung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen mit demselben IKT-Drittdienstleister oder mit eng verbundenen IKT-Drittdienstleistern.
Finanzunternehmen wägen Nutzen und Kosten alternativer Lösungen ab, z. B. die Nutzung verschiedener IKT-Drittdienstleister, und berücksichtigen, ob und wie geplante Lösungen den geschäftlichen Erfordernissen und Zielen entsprechen, die in ihrer Strategie für digitale Resilienz festgelegt sind.
2 Sollmaßnahmen
A-5.1.220Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ex-ante Risk Assessment – Konzentrationsrisiko
A-5.19.007Konzentrationsrisiko im Ex-Ante Risk Assessment
(2)
Ist in der vertraglichen Vereinbarung über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen die Möglichkeit vorgesehen, dass ein IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion per Unterauftrag an andere IKT-Drittdienstleister vergibt, wägen Finanzunternehmen die Vorteile und Risiken ab, die im Zusammenhang mit einer solchen Unterauftragsvergabe entstehen können, insbesondere sofern der IKT-Unterauftragnehmer in einem Drittland niedergelassen ist.
Betreffen vertragliche Vereinbarungen IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, berücksichtigen die Finanzunternehmen gebührend die Bestimmungen des Insolvenzrechts, die im Falle der Insolvenz des IKT-Drittdienstleisters anwendbar wären, sowie jede Einschränkung, die sich im Zusammenhang mit der dringenden Wiederherstellung der Daten des Finanzunternehmens ergeben könnte.
Werden mit einem IKT-Drittdienstleister mit Sitz in einem Drittland vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen geschlossen, so beachten Finanzunternehmen neben den in Unterabsatz 2 genannten Umständen auch, dass die Datenschutzvorschriften der Union eingehalten und die Rechtsvorschriften in diesem Drittland wirksam durchgesetzt werden.
Ist in den vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen die Unterauftragsvergabe vorgesehen, so bewerten die Finanzunternehmen, ob und wie sich potenziell lange oder komplexe Ketten der Unterauftragsvergabe auf ihre Fähigkeit auswirken können, die vertraglich vereinbarten Funktionen vollständig zu überwachen, und ob die zuständige Behörde in dieser Hinsicht in der Lage ist, das Finanzunternehmen wirksam zu beaufsichtigen.
3 Sollmaßnahmen · 1 Zieldokument · 1 Nachweis
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.221Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Bewertung der Unterauftragsvergabe
A-5.1.222Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Insolvenzrisiko des Dienstleisters
Nachweise / operative Umsetzung· 1 hier
A-5.21.002Bewertung von Vorteilen/Risiken der Unterauftragsvergabe
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 30
Wesentliche Vertragsbestimmungen
DORA (EU 2022/2554)
(1)
Die Rechte und Pflichten des Finanzunternehmens und des IKT-Drittdienstleisters werden eindeutig zugewiesen und schriftlich dargelegt. Der vollständige Vertrag umfasst die Vereinbarung über die Dienstleistungsgüte und wird in einem schriftlichen Dokument, das den Parteien in Papierform zur Verfügung steht, oder in einem Dokument in einem anderen herunterladbaren, dauerhaften und zugänglichen Format dokumentiert.
1 Sollmaßnahme
A-5.20.021Allgemeine Vertragsinhalte: Rechte, Pflichten und Dokumentationsform
Allgemeine Vertragsinhalte: Rechte, Pflichten und Dokumentationsform
IKT-Verträge sollen Rechte und Pflichten des Finanzunternehmens und des IKT-Dienstleisters klar und eindeutig beschreiben. Zudem sollen sie vorsehen, dass der IKT-Vertrag einschließlich der Vereinbarungen zur Dienstleistungsgüte in einem dauerhaften, gut zugänglichen Format dokumentiert und beiden Vertragsparteien bereitgestellt wird.
(2)
Die vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen umfassen mindestens folgende Elemente:
a)
eine klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen, die der IKT-Drittdienstleister bereitzustellen hat, wobei anzugeben ist, ob die Vergabe von Unteraufträgen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, zulässig ist, und — wenn dies der Fall ist — welche Bedingungen für diese Unterauftragsvergabe gelten;
b)
die Standorte — das heißt die Regionen oder Länder —, an denen die vertraglich vereinbarten oder an Unterauftragnehmer vergebenen Funktionen und IKT-Dienstleistungen bereitzustellen sind und an denen Daten verarbeitet werden sollen, einschließlich des Speicherorts, sowie die Auflage für den IKT-Drittdienstleister, das Finanzunternehmen vorab zu benachrichtigen, wenn er eine Änderung dieser Standorte beabsichtigt;
c)
Bestimmungen über Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit in Bezug auf den Datenschutz, einschließlich des Schutzes personenbezogener Daten;
d)
Bestimmungen über die Sicherstellung des Zugangs zu personenbezogenen und nicht personenbezogenen Daten, die von dem Finanzunternehmen im Fall einer Insolvenz, Abwicklung, Einstellung der Geschäftstätigkeit des IKT-Drittdienstleisters oder einer Beendigung der vertraglichen Vereinbarungen verarbeitet werden, sowie über die Wiederherstellung und Rückgabe dieser Daten in einem leicht zugänglichen Format;
e)
Beschreibungen der Dienstleistungsgüte, einschließlich Aktualisierungen und Überarbeitungen;
f)
die Verpflichtung des IKT-Drittdienstleisters, dem Finanzunternehmen bei einem IKT-Vorfall, der mit dem für das Finanzunternehmen bereitgestellten IKT-Dienst in Verbindung steht, ohne zusätzliche Kosten oder zu vorab festzusetzenden Kosten Unterstützung zu leisten;
g)
die Verpflichtung des IKT-Drittdienstleisters, vollumfänglich mit den für das Finanzunternehmen zuständigen Behörden und Abwicklungsbehörden zusammenzuarbeiten, einschließlich der von diesen benannten Personen;
h)
Kündigungsrechte und damit zusammenhängende Mindestkündigungsfristen für die Beendigung der vertraglichen Vereinbarungen entsprechend den Erwartungen der zuständigen Behörden und der Abwicklungsbehörden;
i)
Bedingungen für die Teilnahme von IKT-Drittdienstleistern an den von den Finanzunternehmen angebotenen Programmen zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz gemäß Artikel 13 Absatz 6.
1 Sollmaßnahme
A-5.20.019Allgemeine Vertragsinhalte: Mindestinhalte nach Art. 30 Abs. 2 DORA
Allgemeine Vertragsinhalte: Mindestinhalte nach Art. 30 Abs. 2 DORA
IKT-Verträge sollen die vertraglichen Mindestinhalte nach Artikel 30 Absatz 2 DORA beinhalten. Hierzu sind folgende Vertragsinhalte vorzusehen:
- 30(2a) eine Beschreibung und Spezifikation der IKT-Dienstleistungen einschließlich der Bedingungen für die Unterauftragsvergabe,
- 30(2b) eine Festlegung der Standorte der Diensterbringung sowie der Datenverarbeitung und -speicherung einschließlich Vorabbenachrichtigung bei Standortänderungen,
- 30(2c) Maßnahmen zur Sicherstellung von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten, einschließlich des Schutzes personenbezogener Daten,
- 30(2d) Verfahren für Datenzugriff, Datenwiederherstellung und Datenrückgabe bei Insolvenz, Geschäftsaufgabe oder Vertragsbeendigung,
- 30(2e) eine Beschreibung der Service Levels sowie Regelungen zu deren Aktualisierung und Überarbeitung,
- 30(2f) Unterstützung bei IKT-Vorfällen ohne zusätzliche Kosten oder zu vorab festgelegten Kosten,
- 30(2g) die Verpflichtung des IKT-Dienstleisters zur vollumfänglichen Zusammenarbeit mit den zuständigen Behörden und den Abwicklungsbehörden, einschließlich der von diesen benannten Personen,
- 30(2h) Kündigungsrechte und Mindestkündigungsfristen, die den Erwartungen der zuständigen Behörden und der Abwicklungsbehörden entsprechen, sowie
- 30(2i) Regelungen zur Teilnahme an Schulungsmaßnahmen zur IKT-Sicherheit und digitalen Resilienz.
zuletzt geändert am 2026-07-02
(3)
Die vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen umfassen zusätzlich zu den in Absatz 2 genannten Elementen mindestens Folgendes:
a)
vollständige Beschreibungen der Dienstleistungsgüte, einschließlich Aktualisierungen und Überarbeitungen, mit präzisen quantitativen und qualitativen Leistungszielen innerhalb der vereinbarten Dienstleistungsgüte, um dem Finanzunternehmen eine wirksame Überwachung von IKT-Dienstleistungen und das unverzügliche Ergreifen angemessener Korrekturmaßnahmen zu ermöglichen, wenn eine vereinbarte Dienstleistungsgüte nicht erreicht wird;
b)
Kündigungsfristen und Berichtspflichten des IKT-Drittdienstleisters gegenüber dem Finanzunternehmen, einschließlich der Meldung aller Entwicklungen, die sich wesentlich auf die Fähigkeit des IKT-Drittdienstleisters, IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen gemäß den vereinbarten Leistungsniveaus wirksam bereitzustellen, auswirken könnten;
c)
Anforderungen an den IKT-Drittdienstleister, Notfallpläne zu implementieren und zu testen und über Maßnahmen, Tools und Leit- und Richtlinien für IKT-Sicherheit zu verfügen, die ein angemessenes Maß an Sicherheit für die Erbringung von Dienstleistungen durch das Finanzunternehmen im Einklang mit seinem Rechtsrahmen bieten;
d)
die Verpflichtung des IKT-Drittdienstleisters, sich an den in den Artikeln 26 und 27 genannten TLPT des Finanzunternehmens zu beteiligen und uneingeschränkt daran mitzuwirken;
e)
das Recht, die Leistung des IKT-Drittdienstleisters fortlaufend zu überwachen, wozu Folgendes gehört: i) uneingeschränkte Zugangs-, Inspektions- und Auditrechte des Finanzunternehmens oder eines beauftragten Dritten und der zuständigen Behörde sowie das Recht auf Anfertigung von Kopien einschlägiger Unterlagen vor Ort, wenn ihnen für die Geschäftstätigkeit des IKT-Drittdienstleisters entscheidende Bedeutung zukommt, wobei die tatsächliche Ausübung dieser Rechte nicht durch andere vertragliche Vereinbarungen oder Umsetzungsrichtlinien behindert oder eingeschränkt wird; ii) das Recht, alternative Bestätigungsniveaus zu vereinbaren, wenn die Rechte anderer Kunden betroffen sind; iii) die Verpflichtung des IKT-Drittdienstleisters zur uneingeschränkten Zusammenarbeit bei Vor-Ort-Inspektionen und Audits, die von den zuständigen Behörden, der federführenden Überwachungsbehörde, dem Finanzunternehmen oder einem beauftragten Dritten durchgeführt werden; und iv) die Verpflichtung, Einzelheiten zu Umfang und Häufigkeit dieser Inspektionen sowie dem dabei zu befolgenden Verfahren mitzuteilen;
f)
Ausstiegsstrategien, insbesondere die Festlegung eines verbindlichen angemessenen Übergangszeitraums, i) in dem der IKT-Drittdienstleister weiterhin die entsprechenden Funktionen oder IKT-Dienstleistungen bereitstellt, um das Risiko von Störungen im Finanzunternehmen zu verringern oder um dessen geordnete Abwicklung und Umstrukturierung sicherzustellen; ii) der dem Finanzunternehmen ermöglicht, zu einem anderen IKT-Drittdienstleister zu wechseln oder auf interne Lösungen umzustellen, die der Komplexität der erbrachten Dienstleistung entsprechen.
Abweichend von Buchstabe e können der IKT-Drittdienstleister und das Finanzunternehmen, das ein Kleinstunternehmen ist, vereinbaren, dass die Zugangs-, Inspektions- und Auditrechte des Finanzunternehmens auf einen unabhängigen Dritten übertragen werden können, der vom IKT-Drittdienstleister benannt wird, sowie dass das Finanzunternehmen von diesem Dritten jederzeit Informationen und Gewähr in Bezug auf die Leistung des IKT-Drittdienstleisters verlangen kann.
1 Sollmaßnahme
A-5.20.047kwF-relevante Vertragsinhalte: Mindestvertragsinhalte (Art. 30 Abs. 3 DORA)
kwF-relevante Vertragsinhalte: Mindestvertragsinhalte (Art. 30 Abs. 3 DORA)
KwF-relevante IKT-Verträge sollen die Mindestvertragsinhalte nach Artikel 30 Absatz 3 DORA enthalten. Hierzu sind mindestens folgende Vertragsinhalte vorzusehen:
- 30(3a) detaillierte Service-Level-Beschreibungen mit klaren Leistungszielen sowie Regelungen zu Aktualisierung und Überarbeitung,
- 30(3b) Kündigungsfristen und Berichtspflichten einschließlich der Mitteilung von Umständen, die die Einhaltung der vereinbarten Service Levels beeinträchtigen können,
- 30(3c) Implementierung und Testung von Notfallplänen sowie Aufrechterhaltung angemessener IKT-Sicherheitsmaßnahmen, Tools und Richtlinien im Einklang mit dem regulatorischen Rahmen des Finanzunternehmens,
- 30(3d) Teilnahme an und vollständige Kooperation mit Threat-Led Penetration Tests (TLPT) des Finanzunternehmens,
- 30(3e) das Recht, die Leistung des IKT-Dienstleisters fortlaufend zu überwachen. Dazu sind zu vereinbaren:
- uneingeschränkte Zugangs-, Inspektions- und Auditrechte für das Finanzunternehmen und alle weiteren prüfungsberechtigten Stellen (beauftragte Dritte sowie die Aufsichtsbehörden), einschließlich des Rechts, vor Ort Kopien einschlägiger Unterlagen anzufertigen; andere Vertragsklauseln oder Richtlinien des Dienstleisters dürfen die Ausübung dieser Rechte nicht behindern oder einschränken,
- für den Fall, dass Prüfungen die Rechte anderer Kunden des Dienstleisters berühren (z. B. in Cloud- oder Mehrmandanten-Umgebungen): die Möglichkeit, ersatzweise alternative Nachweisformen zu vereinbaren — etwa Prüfberichte unabhängiger Dritter, Zertifizierungen oder gemeinsame Audits mehrerer Kunden (Pooled Audits),
- die Pflicht des IKT-Dienstleisters, bei Vor-Ort-Inspektionen und Audits der prüfungsberechtigten Stellen uneingeschränkt mitzuwirken und deren Umfang, Häufigkeit und Ablauf mitzuteilen,
- 30(3f) Festlegung von Ausstiegsstrategien mit verbindlicher Übergangsfrist zur Sicherstellung der Leistungskontinuität bei Anbieterwechsel oder Internalisierung sowie
- 30(3g) bei Kleinstunternehmen die Möglichkeit zur Delegation von Zugangs-, Inspektions- und Prüfungsrechten an einen unabhängigen Dritten.
zuletzt geändert am 2026-07-02
3 Sollmaßnahmen · 2 Zieldokumente
Allgemeine Vertragsinhalte· 2 hierkatalogweit 15 in 10 Artikeln
A-5.20.028Allgemeine Vertragsinhalte: Verschlüsselung von Netzwerkverbindungen
Allgemeine Vertragsinhalte: Verschlüsselung von Netzwerkverbindungen
IKT-Verträge sollen bei Bedarf festlegen, welche Anforderungen an die Verschlüsselung von Netzwerkverbindungen auf Seiten des IKT-Dienstleisters zu berücksichtigen sind.
zuletzt geändert am 2026-07-02
A-5.20.031Allgemeine Vertragsinhalte: Pflichten der Dienstleister-Mitarbeitenden
Allgemeine Vertragsinhalte: Pflichten der Dienstleister-Mitarbeitenden
IKT-Verträge sollen regeln, dass Mitarbeitende von IKT-Dienstleistern mit Zugriff auf IKT-Assets des Finanzunternehmens sich über die einschlägigen IKT-Sicherheitsrichtlinien zu informieren haben und die Meldekanäle für anomales Verhalten kennen müssen. Zudem sollen sie festlegen, dass nach Beendigung der IKT-Dienstleistung sämtliche IKT-Assets und Informationen vollständig zurückzugeben sind.
zuletzt geändert am 2026-07-02
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 1 hierkatalogweit 51 in 20 Artikeln
A-5.1.230Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auslagerung von Meldepflichten
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auslagerung von Meldepflichten
Die Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen soll festlegen, dass bei einer Auslagerung von Meldepflichten für IKT-bezogene Vorfälle an einen IKT-Dienstleister sachgerechte IKT-Verträge abzuschließen sind, die Prozesse, Rollen, Aufgaben und Kontrollmechanismen definieren. Die volle Verantwortung für die fristgerechte und vollständige Erfüllung der Meldepflichten soll beim Finanzunternehmen verbleiben.
zuletzt geändert am 2026-07-02
(4)
Bei der Aushandlung vertraglicher Vereinbarungen erwägen Finanzunternehmen und IKT-Drittdienstleister die Verwendung von Standardvertragsklauseln, die von Behörden für bestimmte Dienstleistungen entwickelt wurden.
1 Sollmaßnahme
A-5.20.017Standardvertragsklauseln
Standardvertragsklauseln
Das Finanzunternehmen kann, sofern verfügbar, bei der Verhandlung von IKT-Verträgen von Behörden entwickelte Standardvertragsklauseln als Grundlage nutzen. Bislang sind solche Standardvertragsklauseln jedoch nicht verfügbar (Stand Februar 2026).
(5)
Die ESA erarbeiten über den Gemeinsamen Ausschuss Entwürfe technischer Regulierungsstandards, um die in Absatz 2 Buchstabe a genannten Aspekte zu präzisieren, die ein Finanzunternehmen bei der Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen bestimmen und bewerten muss.
Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte.
Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Juli 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Unterabsatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 31
Einstufung kritischer IKT-Drittdienstleister
DORA (EU 2022/2554)
(1)
Die ESA nehmen über den Gemeinsamen Ausschuss und auf Empfehlung des gemäß Artikel 32 Absatz 1 eingerichteten Überwachungsforums folgende Aufgaben wahr:
a)
Einstufung der IKT-Drittdienstleister, die für Finanzunternehmen kritisch sind, nachdem eine entsprechende Bewertung unter Berücksichtigung der in Absatz 2 genannten Kriterien durchgeführt wurde;
b)
Ernennung derjenigen Europäischen Aufsichtsbehörde zur federführenden Überwachungsbehörde für jeden kritischen IKT-Drittdienstleister, die gemäß den Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 bzw. (EU) Nr. 1095/2010 für diejenigen Finanzunternehmen zuständig ist, die nachweislich der Summe der einzelnen Bilanzen dieser Finanzunternehmen zusammen den größten Anteil des Gesamtvermögens am Gesamtwert der Aktiva aller Finanzunternehmen halten, die die Dienste des betreffenden kritischen IKT-Drittdienstleisters nutzen.
(2)
Die Einstufung nach Absatz 1 Buchstabe a basiert in Bezug auf IKT-Dienstleistungen, die vom IKT-Drittdienstleister bereitgestellt werden, auf den folgenden Kriterien:
a)
den systemischen Auswirkungen auf die Stabilität, Kontinuität oder Qualität der Erbringung von Finanzdienstleistungen, falls der betreffende IKT-Drittdienstleister bei der Erbringung seiner Dienste einer umfassenden Betriebsstörung ausgesetzt wäre, wobei die Zahl von Finanzunternehmen und der Gesamtwert der Aktiva derjenigen Finanzunternehmen zu berücksichtigen ist, für die der betreffende IKT-Drittdienstleister Dienstleistungen erbringt;
b)
dem systemischen Charakter oder der Bedeutung der Finanzunternehmen, die auf den jeweiligen IKT-Drittdienstleister zurückgreifen, bewertet anhand der folgenden Parameter: i) der Anzahl global systemrelevanter Institute (G-SRI) oder anderer systemrelevanter Institute (A-SRI), die auf den jeweiligen IKT-Drittdienstleister zurückgreifen; ii) der Interdependenz zwischen den unter Ziffer i genannten G-SRI oder A-SRI und anderen Finanzunternehmen, einschließlich der Fälle, in denen die G-SRI oder A-SRI Finanzinfrastrukturdienstleistungen für andere Finanzunternehmen erbringen;
c)
der Abhängigkeit von Finanzunternehmen von den Dienstleistungen des betreffenden IKT-Drittdienstleisters mit Blick auf kritische oder wichtige Funktionen von Finanzunternehmen, in die letztlich derselbe IKT-Drittdienstleister involviert ist — unabhängig davon, ob Finanzunternehmen diese Dienste direkt oder indirekt durch Vereinbarungen über die Unterauftragsvergabe in Anspruch nehmen;
d)
dem Grad der Substituierbarkeit des IKT-Drittdienstleisters unter Berücksichtigung der folgenden Parameter: i) des Mangels an echten, auch teilweisen Alternativen aufgrund der begrenzten Zahl von IKT-Drittdienstleistern, die auf einem bestimmten Markt tätig sind, oder des Marktanteils des betreffenden IKT-Drittdienstleisters oder der damit verbundenen technischen Komplexität oder Differenziertheit, auch in Bezug auf proprietäre Technologien, oder der besonderen Merkmale der Organisation oder Tätigkeit des IKT-Drittdienstleisters; ii) der Schwierigkeiten bei der teilweisen oder vollständigen Migration der einschlägigen Daten und Arbeitslasten vom jeweiligen IKT-Drittdienstleister zu einem anderen IKT-Drittdienstleister, die entweder auf erhebliche finanzielle Kosten, zeitliche oder sonstige Ressourcen, die der Migrationsprozess mit sich bringen kann, oder auf erhöhte IKT-Risiken oder sonstige operationelle Risiken zurückzuführen sind, denen das Finanzunternehmen durch eine solche Migration ausgesetzt sein könnte.
(3)
Gehört der IKT-Drittdienstleister zu einer Gruppe, so werden die in Absatz 2 genannten Kriterien in Bezug auf die von der Gruppe als Ganzes bereitgestellten IKT-Dienstleistungen berücksichtigt.
(4)
Kritische IKT-Drittdienstleister, die Teil einer Gruppe sind, benennen eine juristische Person als Koordinierungsstelle, um eine angemessene Vertretung und Kommunikation mit der federführenden Überwachungsbehörde sicherzustellen.
(5)
Die federführende Überwachungsbehörde unterrichtet den IKT-Drittdienstleister über das Ergebnis der Bewertung, die zu der in Absatz 1 Buchstabe a genannten Einstufung geführt hat. Innerhalb von sechs Wochen ab dem Datum der Unterrichtung kann der IKT-Drittdienstleister der federführenden Überwachungsbehörde eine begründete Erklärung mit allen für die Zwecke der Bewertung relevanten Informationen übermitteln. Die federführende Überwachungsbehörde prüft die begründete Erklärung und kann verlangen, dass innerhalb von 30 Kalendertagen nach Eingang der Erklärung zusätzliche Informationen übermittelt werden.
Nach der Einstufung eines IKT-Drittdienstleisters als kritisch, unterrichten die ESA den IKT-Drittdienstleister über den Gemeinsamen Ausschuss über diese Einstufung und das Anfangsdatum, ab dem er tatsächlich Überwachungstätigkeiten unterliegen wird. Dieses Anfangsdatum darf nicht mehr als einen Monat nach der Unterrichtung liegen. Der IKT-Drittdienstleister teilt den Finanzunternehmen, für die er Dienstleistungen erbringt, seine Einstufung als kritisch mit.
(6)
Der Kommission wird die Befugnis übertragen, gemäß Artikel 57 einen delegierten Rechtsakt zu erlassen, um diese Verordnung durch die weitere Präzisierung der in Absatz 2 genannten Kriterien bis 17. Juli 2024 zu ergänzen.
(7)
Die Einstufung nach Absatz 1 Buchstabe a darf erst angewendet werden, wenn die Kommission einen delegierten Rechtsakt gemäß Absatz 6 erlassen hat.
(8)
Die Einstufung nach Absatz 1 Buchstabe a gilt nicht für:
i)
Finanzunternehmen, die IKT-Dienstleistungen für andere Finanzunternehmen bereitstellen;
ii)
IKT-Drittdienstleister, die Überwachungsrahmen unterliegen, die zur Unterstützung der in Artikel 127 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union genannten Aufgaben eingerichtet wurden;
iii)
gruppeninterne IKT-Dienstleister;
iv)
IKT-Drittdienstleister, die IKT-Dienstleistungen ausschließlich in einem Mitgliedstaat für Finanzunternehmen bereitstellen, die nur in diesem Mitgliedstaat tätig sind.
(9)
Die ESA erstellen, veröffentlichen und aktualisieren die Liste kritischer IKT-Drittdienstleister auf Unionsebene jährlich über den Gemeinsamen Ausschuss.
(10)
Die zuständigen Behörden übermitteln dem gemäß Artikel 32 eingerichteten Überwachungsforum für die Zwecke von Absatz 1 Buchstabe a die in Artikel 28 Absatz 3 Unterabsatz 3 genannten Berichte auf jährlicher und aggregierter Basis. Das Überwachungsforum bewertet die Abhängigkeiten von Finanzunternehmen gegenüber IKT-Drittdienstleistern auf der Grundlage der von den zuständigen Behörden übermittelten Informationen.
(11)
Diejenigen IKT-Drittdienstleister, die nicht in der in Absatz 9 genannten Liste aufgeführt sind, können beantragen, gemäß Absatz 1 Buchstabe a als kritisch eingestuft zu werden.
Für die Zwecke von Unterabsatz 1 reicht der IKT-Drittdienstleister bei der EBA, der ESMA oder der EIOPA einen begründeten Antrag ein, die über den Gemeinsamen Ausschuss entscheiden, ob dieser IKT-Drittdienstleister gemäß Absatz 1 Buchstabe a als kritisch eingestuft werden soll.
Die in Unterabsatz 2 genannte Entscheidung wird innerhalb von 6 Monaten nach Eingang des Antrags getroffen und dem IKT-Drittdienstleister mitgeteilt.
(12)
Finanzunternehmen dürfen nur dann die Dienstleistungen eines IKT-Drittdienstleisters mit Sitz in einem Drittland in Anspruch nehmen, der gemäß Absatz 1 Buchstabe a als kritisch eingestuft worden ist, wenn er innerhalb von zwölf Monaten nach der Einstufung ein Tochterunternehmen in der Union gegründet hat.
1 Sollmaßnahme
A-5.1.222Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Insolvenzrisiko des Dienstleisters
(13)
Der in Absatz 12 genannte kritische IKT-Drittdienstleister teilt der federführenden Überwachungsbehörde jede Änderung der Leitungsstruktur des in der Union niedergelassenen Tochterunternehmens mit.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 32
Struktur des Überwachungsrahmens
DORA (EU 2022/2554)
(1)
Der Gemeinsame Ausschuss richtet gemäß Artikel 57 Absatz 1 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 das Überwachungsforum als Unterausschuss ein, der die Arbeit des Gemeinsamen Ausschusses und der in Artikel 31 Absatz 1 Buchstabe b genannten federführenden Überwachungsbehörde im Bereich des IKT-Drittparteienrisikos in allen Finanzsektoren unterstützt. Das Überwachungsforum erarbeitet die Entwürfe gemeinsamer Positionen und gemeinsamer Maßnahmen des Gemeinsamen Ausschusses in diesem Bereich.
Das Überwachungsforum erörtert regelmäßig einschlägige Entwicklungen in Bezug auf IKT-Risiken und -Schwachstellen und fördert einen kohärenten Ansatz bei der Überwachung des IKT-Drittparteienrisikos auf Unionsebene.
(2)
Das Überwachungsforum führt jährlich eine gemeinsame Bewertung der Ergebnisse und Erkenntnisse der Überwachungstätigkeiten durch, die für alle kritischen IKT-Drittdienstleister durchgeführt wurden, und fördert Koordinierungsmaßnahmen, um die digitale operationale Resilienz von Finanzunternehmen zu erhöhen, bewährte Verfahren zum Angehen des IKT-Konzentrationsrisikos zu fördern und Möglichkeiten zur Abschwächung sektorübergreifender Risikotransfers zu untersuchen.
(3)
Das Überwachungsforum legt umfassende Referenzwerte für kritische IKT-Drittdienstleister vor, die vom Gemeinsamen Ausschuss als gemeinsame Positionen der ESA gemäß Artikel 56 Absatz 1 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 anzunehmen sind.
(4)
Das Überwachungsforum setzt sich zusammen aus
a)
den Vorsitzenden der ESA;
b)
einem hochrangigen Vertreter des aktuellen Personals der in Artikel 46 genannten betreffenden zuständigen Behörde eines jeden Mitgliedstaats;
c)
den Exekutivdirektoren jeder Europäischen Aufsichtsbehörde und einem Vertreter der Kommission, des ESRB, der EZB und der ENISA als Beobachter;
d)
gegebenenfalls einem zusätzlichen Vertreter einer in Artikel 46 genannten zuständigen Behörde eines jeden Mitgliedstaats als Beobachter;
e)
gegebenenfalls einem Vertreter der gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden, der für die Beaufsichtigung eines wesentlichen oder wichtigen, von der genannten Richtlinie erfassten Unternehmens, das als kritischer IKT-Drittdienstleister eingestuft wurde, zuständig ist, als Beobachter.
Das Überwachungsforum kann gegebenenfalls den Rat unabhängiger Sachverständiger einholen, die gemäß Absatz 6 ernannt wurden.
(5)
Jeder Mitgliedstaat benennt die jeweils zuständige Behörde, deren Mitarbeiter der in Absatz 4 Unterabsatz 1 Buchstabe b genannte hochrangige Vertreter ist, und setzt die federführende Überwachungsbehörde davon in Kenntnis.
Die ESA veröffentlichen auf ihrer Website die Liste der von den Mitgliedstaaten benannten hochrangigen Vertreter aus dem aktuellen Personal der jeweils zuständigen Behörde.
(6)
Die in Absatz 4 Unterabsatz 2 genannten unabhängigen Sachverständigen werden vom Überwachungsforum aus einem Pool von Sachverständigen ernannt, die im Anschluss an ein öffentliches und transparentes Bewerbungsverfahren ausgewählt wurden.
Die unabhängigen Sachverständigen werden auf der Grundlage ihres Fachwissens in den Bereichen Finanzstabilität, digitale operationale Resilienz und Fragen der IKT-Sicherheit ernannt. Sie handeln unabhängig und objektiv im alleinigen Interesse der Union als Ganzes und dürfen von Organen oder Einrichtungen der Union, von der Regierung eines Mitgliedstaats oder von öffentlichen oder privaten Stellen Weisungen weder einholen noch entgegennehmen.
(7)
Gemäß Artikel 16 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 geben die ESA für die Zwecke dieses Abschnitts bis zum 17. Juli 2024 Leitlinien für die Zusammenarbeit zwischen den ESA und den zuständigen Behörden heraus, die die detaillierten Verfahren und Bedingungen für die Zuweisung und Ausführung von Aufgaben zwischen zuständigen Behörden und den ESA sowie die Einzelheiten zum Austausch von Informationen regeln, die zuständige Behörden benötigen, um die Weiterbehandlung der in Artikel 35 Absatz 1 Buchstabe d genannten Empfehlungen zu gewährleisten, die an kritische IKT-Drittdienstleister gerichtet werden.
(8)
Die in diesem Abschnitt dargelegten Anforderungen gelten unbeschadet der Anwendung der Richtlinie (EU) 2022/2555 und anderer Überwachungsvorschriften der Union, die für Anbieter von Cloud-Computing-Diensten gelten.
(9)
Die ESA legen dem Europäischen Parlament, dem Rat und der Kommission über den Gemeinsamen Ausschuss und auf der Grundlage von Vorarbeiten des Überwachungsforums jährlich einen Bericht über die Anwendung dieses Abschnitts vor.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 33
Aufgaben der federführenden Überwachungsbehörde
DORA (EU 2022/2554)
(1)
Die gemäß Artikel 31 Absatz 1 Buchstabe b ernannte federführende Überwachungsbehörde führt die Überwachung über die zugewiesenen kritischen IKT-Drittdienstleister durch und ist für diese kritischen IKT-Drittdienstleister für die Zwecke aller mit der Überwachung verbundenen Angelegenheiten die vorrangige Anlaufstelle.
(2)
Für die Zwecke des Absatzes 1 bewertet die federführende Überwachungsbehörde, ob jeder kritische IKT-Drittdienstleister über umfassende, fundierte und wirksame Vorschriften, Verfahren, Mechanismen und Vorkehrungen für das Management der IKT-Risiken verfügt, die er für Finanzunternehmen mit sich bringen kann.
Bei der in Unterabsatz 1 genannten Bewertung stehen vor allem IKT-Dienstleistungen im Mittelpunkt, die von dem kritischen IKT-Drittdienstleister bereitgestellt werden und kritische oder wichtige Funktionen von Finanzunternehmen unterstützen. Diese Bewertung wird auf IKT-Dienstleistungen, die andere als kritische oder wichtige Funktionen unterstützen, ausgeweitet, wenn dies zur Bewältigung aller relevanten Risiken erforderlich ist.
(3)
Die in Absatz 2 genannte Bewertung erstreckt sich auf
a)
IKT-Anforderungen, um insbesondere die Sicherheit, Verfügbarkeit, Kontinuität, Skalierbarkeit und Qualität der Dienste zu gewährleisten, die der kritische IKT-Drittdienstleister für Finanzunternehmen erbringt, sowie die Fähigkeit, jederzeit hohe Standards in Bezug auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit der Daten aufrechtzuerhalten;
b)
die physische Sicherheit, die zur Gewährleistung der IKT-Sicherheit beiträgt, darunter auch die Sicherheit von Räumlichkeiten, Einrichtungen und Datenzentren;
c)
Risikomanagementprozesse, einschließlich Strategien für IKT-Risikomanagement, IKT-Geschäftsfortführungsleitlinie und IKT-Reaktions- und Wiederherstellungsplänen;
d)
Governance-Regelungen, einschließlich einer Organisationsstruktur mit klaren, transparenten und kohärenten Zuständigkeits- und Rechenschaftspflichten, die ein wirksames IKT-Risikomanagement ermöglichen;
e)
die Ermittlung, Überwachung und unverzügliche Meldung wesentlicher IKT-bezogener Vorfälle an die Finanzunternehmen sowie den Umgang mit und die Lösung dieser Vorfälle, insbesondere Cyberangriffe;
f)
Mechanismen für Datenübertragbarkeit, Übertragbarkeit von Anwendungen und Interoperabilität, die eine wirksame Wahrnehmung von Kündigungsrechten durch die Finanzunternehmen gewährleisten;
g)
Tests von IKT-Systemen, Infrastrukturen und Kontrollen;
h)
IKT-Audits;
i)
die Übernahme einschlägiger nationaler und internationaler Normen, die auf die Erbringung der IKT-Dienstleistungen für Finanzunternehmen anwendbar sind.
(4)
Die federführende Überwachungsbehörde nimmt auf der Grundlage der in Absatz 2 genannten Bewertung und in Abstimmung mit dem in Artikel 34 Absatz 1 genannten gemeinsamen Überwachungsnetz (Joint Oversight Network — JON) einen klaren, detaillierten und durchdachten individuellen Überwachungsplan an, in dem die für jeden kritischen IKT-Drittdienstleister vorgesehenen jährlichen Überwachungsziele und wichtigsten Überwachungsmaßnahmen beschrieben werden. Dieser Plan wird dem kritischen IKT-Drittdienstleister jedes Jahr übermittelt.
Vor der Annahme des Überwachungsplans übermittelt die federführende Überwachungsbehörde dem kritischen IKT-Drittdienstleister den Entwurf des Überwachungsplans.
Nach Eingang des Entwurfs des Überwachungsplans kann der kritische IKT-Drittdienstleister innerhalb von 15 Kalendertagen eine begründete Erklärung vorlegen, in der die erwarteten Auswirkungen auf Kunden, bei denen es sich um nicht in den Anwendungsbereich dieser Verordnung fallende Unternehmen handelt, aufgezeigt werden und gegebenenfalls Lösungen zur Risikominderung enthalten sind.
(5)
Sobald die in Absatz 4 genannten jährlichen Überwachungspläne angenommen und den kritischen IKT-Drittdienstleistern übermittelt wurden, dürfen die zuständigen Behörden Maßnahmen in Bezug auf diese kritischen IKT-Drittdienstleister nur im Einvernehmen mit der federführenden Überwachungsbehörde ergreifen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 34
Operative Zusammenarbeit zwischen den federführenden Überwachungsbehörden
DORA (EU 2022/2554)
(1)
Um einen kohärenten Ansatz bei den Überwachungstätigkeiten sicherzustellen und um koordinierte allgemeine Überwachungsstrategien und kohärente operative Ansätze und Arbeitsmethoden sicherzustellen, richten die drei gemäß Artikel 31 Absatz 1 Buchstabe b benannten federführenden Überwachungsbehörden ein JON ein, um sich in den Vorbereitungsphasen untereinander abzustimmen und die Überwachung über die von ihnen jeweils überwachten kritischen IKT-Drittdienstleister sowie über das etwaige Vorgehen, das gemäß Artikel 42 erforderlich sein könnte, zu koordinieren.
(2)
Für die Zwecke von Absatz 1 erstellen die federführenden Überwachungsbehörden ein gemeinsames Überwachungsprotokoll, in dem die genauen Verfahren für die tägliche Koordinierung und die Gewährleistung eines raschen Austauschs und rascher Reaktionen festgelegt sind. Das Protokoll wird regelmäßig überarbeitet, um den operativen Erfordernissen, insbesondere der Entwicklung praktischer Überwachungsregelungen, Rechnung zu tragen.
(3)
Die federführenden Überwachungsbehörden können die EZB und die ENISA auf Ad-hoc-Basis ersuchen, fachliche Beratung zu leisten, praktische Erfahrungen auszutauschen oder an spezifischen Koordinierungssitzungen des JON teilzunehmen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 35
Befugnisse der federführenden Überwachungsbehörde
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde hat zur Wahrnehmung der in diesem Abschnitt dargelegten Aufgaben in Bezug auf die kritischen IKT-Drittdienstleister die Befugnis,
a)
alle einschlägigen Informationen und Unterlagen gemäß Artikel 37 anzufordern;
b)
allgemeine Untersuchungen und Inspektionen gemäß den Artikeln 38 bzw. 39 durchzuführen;
c)
nach Abschluss der Überwachungstätigkeiten Berichte anzufordern, in denen die ergriffenen Maßnahmen oder die Abhilfemaßnahmen aufgeführt sind, die von den kritischen IKT-Drittdienstleistern in Bezug auf die in Buchstabe d dieses Absatzes genannten Empfehlungen ergriffen wurden;
d)
Empfehlungen zu den in Artikel 33 Absatz 3 genannten Bereichen abzugeben, insbesondere in Bezug auf Folgendes: i) die Anwendung spezifischer IKT-Sicherheits- und Qualitätsanforderungen oder -verfahren, insbesondere in Bezug auf die Herausgabe von Patches, Aktualisierungen, Verschlüsselung und andere Sicherheitsmaßnahmen, die die federführende Überwachungsbehörde für die Gewährleistung der IKT-Sicherheit von Diensten, die Finanzunternehmen bereitgestellt werden, für relevant hält; ii) die Verwendung von Bedingungen — einschließlich ihrer technischen Umsetzung — zu denen die kritischen IKT-Drittdienstleister IKT-Dienstleistungen für Finanzunternehmen bereitstellen, die die federführende Überwachungsbehörde für relevant hält, um die Entstehung punktueller Ausfälle oder deren Verstärkung zu verhindern oder um mögliche systemische Auswirkungen im Finanzsektor der Union im Falle eines IKT-Konzentrationsrisikos zu minimieren; iii) jede geplante Unterauftragsvergabe, in deren Fall die federführende Überwachungsbehörde aufgrund der Prüfung der gemäß den Artikeln 37 und 38 erlangten Informationen der Auffassung ist, dass eine weitere Unterauftragsvergabe, einschließlich Vereinbarungen über die Unterauftragsvergabe, die die kritischen IKT-Drittdienstleister mit anderen IKT-Drittdienstleistern oder mit IKT-Unterauftragnehmern mit Sitz in einem Drittland zu schließen beabsichtigen, Risiken für die Erbringung von Dienstleistungen durch das Finanzunternehmen oder Risiken für die Finanzstabilität mit sich bringen kann; iv) von der Vereinbarung über weitere Unterauftragsvergabe abzusehen, wenn die folgenden kumulativen Bedingungen erfüllt sind: — Bei dem ausgewählten Unterauftragnehmer handelt es sich um einen IKT-Drittdienstleister oder einen IKT-Unterauftragnehmer mit Sitz in einem Drittland; — die Unterauftragsvergabe betrifft eine kritische oder wichtige Funktion des Finanzunternehmens; und — die federführende Überwachungsbehörde ist der Ansicht, dass diese Unterauftragsvergabe ein eindeutiges und ernstes Risiko für die Finanzstabilität der Union oder für Finanzunternehmen darstellt, einschließlich der Fähigkeit von Finanzunternehmen, Aufsichtsanforderungen zu erfüllen. Für die Zwecke der Ziffer iv des vorliegenden Buchstabens übermitteln IKT-Drittdienstleister der federführenden Überwachungsbehörde unter Verwendung der in Artikel 41 Absatz 1 Buchstabe b genannten Vorlage Informationen über die Unterauftragsvergabe.
(2)
Bei der Ausübung der in diesem Artikel genannten Befugnisse geht die federführende Überwachungsbehörde wie folgt vor:
a)
Sie sorgt für eine regelmäßige Abstimmung innerhalb des JON und bemüht sich gegebenenfalls insbesondere um kohärente Herangehensweisen für die Überwachung kritischer IKT-Drittdienstleister;
b)
sie trägt dem durch die Richtlinie (EU) 2022/2555 geschaffenen Rahmen gebührend Rechnung und konsultiert erforderlichenfalls die gemäß der genannten Richtlinie benannten oder eingerichteten zuständigen Behörden, um eine Überschneidung von technischen und organisatorischen Maßnahmen zu vermeiden, die gemäß der genannten Richtlinie auf kritische IKT-Drittdienstleister angewandt werden könnten;
c)
sie ist bestrebt, das Risiko einer Störung der Dienste, die von kritischen IKT-Drittdienstleistern für Kunden bereitgestellt werden, bei denen es sich um nicht in den Anwendungsbereich dieser Verordnung fallende Unternehmen handelt, so weit wie möglich zu minimieren.
(3)
Die federführende Überwachungsbehörde konsultiert das Überwachungsforum, bevor sie die in Absatz 1 genannten Befugnisse ausübt.
Bevor die federführende Überwachungsbehörde Empfehlungen gemäß Absatz 1 Buchstabe d abgibt, bietet die sie dem IKT-Drittdienstleister Gelegenheit, innerhalb von 30 Kalendertagen einschlägige Informationen bereitzustellen, mit denen die erwarteten Auswirkungen auf Kunden, bei denen es sich um nicht in den Anwendungsbereich dieser Verordnung fallende Unternehmen handelt, aufgezeigt werden und die gegebenenfalls Lösungen zur Risikominderung enthalten.
(4)
Die federführende Überwachungsbehörde unterrichtet das JON über das Ergebnis der Ausübung der in Absatz 1 Buchstaben a und b genannten Befugnisse. Sie übermittelt die in Absatz 1 Buchstabe c genannten Berichte unverzüglich dem JON und den Behörden, die für diejenigen Finanzunternehmen, die die IKT-Dienstleistungen des betreffenden kritischen IKT-Drittdienstleisters in Anspruch nehmen, zuständig sind.
(5)
Kritische IKT-Drittdienstleister arbeiten nach Treu und Glauben mit der federführenden Überwachungsbehörde zusammen und unterstützen sie bei der Erfüllung ihrer Aufgaben.
(6)
Bei vollständiger oder teilweiser Nichteinhaltung der Maßnahmen, die infolge der Ausübung der Befugnisse gemäß Absatz 1 Buchstaben a, b oder c zu ergreifen sind, und nach Ablauf einer Frist von mindestens 30 Kalendertagen ab dem Tag, an dem der kritische IKT-Drittdienstleister eine Mitteilung über die betreffenden Maßnahmen erhalten hat, erlässt die federführende Überwachungsbehörde eine Entscheidung über die Verhängung eines Zwangsgelds, um den kritischen IKT-Drittdienstleister zur Einhaltung dieser Maßnahmen zu zwingen.
(7)
Das in Absatz 6 genannte Zwangsgeld wird täglich bis zur Einhaltung der Vorschriften und für höchstens sechs Monate nach Mitteilung der Entscheidung über die Verhängung eines Zwangsgelds an den kritischen IKT-Drittdienstleister verhängt.
(8)
Die Höhe des Zwangsgelds, berechnet ab dem in der Entscheidung über die Verhängung des Zwangsgelds genannten Zeitpunkt, beträgt bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes, den der kritische IKT-Drittdienstleister im vorangegangenen Geschäftsjahr erzielt hat. Bei der Festsetzung der Höhe des Zwangsgelds berücksichtigt die federführende Überwachungsbehörde in Bezug auf die Nichteinhaltung der in Absatz 6 genannten Maßnahmen folgende Kriterien:
a)
Schwere und Dauer der Nichteinhaltung;
b)
ob die Nichteinhaltung vorsätzlich oder fahrlässig begangen wurde;
c)
das Ausmaß der Zusammenarbeit des IKT-Drittdienstleisters mit der federführenden Überwachungsbehörde.
Für die Zwecke des Unterabsatzes 1 führt die federführende Überwachungsbehörde Konsultationen im Rahmen des JON durch, um einen konsistenten Ansatz sicherzustellen.
(9)
Zwangsgelder sind administrativer Art und vollstreckbar. Die Zwangsvollstreckung erfolgt nach den geltenden Vorschriften des Zivilprozessrechts des Mitgliedstaats, in dessen Hoheitsgebiet Inspektionen und Zugang erfolgen. Die Gerichte des betreffenden Mitgliedstaats sind für Beschwerden im Zusammenhang mit vorschriftswidrigem Vollzug zuständig. Die Beträge der Zwangsgelder werden dem Gesamthaushaltsplan der Europäischen Union zugewiesen.
(10)
Die federführende Überwachungsbehörde veröffentlicht sämtliche verhängten Zwangsgelder, sofern dies die Stabilität der Finanzmärkte nicht ernsthaft gefährdet und den Beteiligten daraus kein unverhältnismäßiger Schaden erwächst.
(11)
Die federführende Überwachungsbehörde gibt den Vertretern des dem Verfahren unterliegenden kritischen IKT-Drittdienstleisters vor Verhängung eines Zwangsgeldes nach Absatz 6 Gelegenheit, zu den Feststellungen angehört zu werden, und stützt ihre Entscheidungen ausschließlich auf Feststellungen, zu denen sich der vom Verfahren betroffene kritische IKT-Drittdienstleister äußern konnte.
Die Verteidigungsrechte der vom Verfahren betroffenen Personen werden während des Verfahrens in vollem Umfang gewahrt. Der dem Verfahren unterworfene IKT-Drittdienstleister hat, vorbehaltlich des berechtigten Interesses anderer Personen an der Wahrung ihrer Geschäftsgeheimnisse, ein Recht auf Akteneinsicht. Vom Recht auf Akteneinsicht ausgenommen sind vertrauliche Informationen sowie interne vorbereitende Unterlagen der federführenden Überwachungsbehörde.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 36
Ausübung der Befugnisse der federführenden Überwachungsbehörde außerhalb der Union
DORA (EU 2022/2554)
(1)
Wenn sich die Überwachungsziele im Wege der Interaktion mit dem für die Zwecke des Artikels 31 Absatz 12 gegründeten Tochterunternehmen oder durch Überwachungstätigkeiten an Standorten in der Union nicht erreichen lassen, kann die federführende Überwachungsbehörde an allen Standorten in einem Drittland, die sich im Eigentum eines kritischen IKT-Drittdienstleisters befinden oder von ihm zur Erbringung von Dienstleistungen für Finanzunternehmen der Union in irgendeiner Weise im Zusammenhang mit seiner Geschäftstätigkeit, seinen Funktionen oder seinen Dienstleistungen genutzt werden, wozu alle Verwaltungs-, Geschäfts- oder Betriebsstellen, Räumlichkeiten, Grundstücke, Gebäude oder andere Immobilien gehören, die Befugnisse ausüben, die in folgenden Bestimmungen genannt werden:
a)
in Artikel 35 Absatz 1 Buchstabe a und
b)
in Artikel 35 Absatz 1 Buchstabe b im Einklang mit Artikel 38 Absatz 2 Buchstaben a, b und d sowie in Artikel 39 Absatz 1 und Absatz 2 Buchstabe a.
Die in Unterabsatz 1 genannten Befugnisse können unter den folgenden Bedingungen ausgeübt werden:
i)
Die federführende Überwachungsbehörde erachtet die Durchführung einer Inspektion in einem Drittland als notwendig, damit sie ihre Aufgaben entsprechend dieser Verordnung vollständig und wirksam wahrnehmen kann;
ii)
die Inspektion in einem Drittland steht in direktem Zusammenhang mit der Bereitstellung von IKT-Dienstleistungen für Finanzunternehmen in der Union;
iii)
der betreffende kritische IKT-Drittdienstleister stimmt der Durchführung einer Inspektion in einem Drittland zu; und
iv)
die einschlägige Behörde des betreffenden Drittlands wurde von der federführenden Überwachungsbehörde offiziell unterrichtet und hat keine Einwände dagegen erhoben.
(2)
Unbeschadet der jeweiligen Zuständigkeiten der Organe der Union und der Mitgliedstaaten schließen die EBA, die ESMA oder die EIOPA für die Zwecke des Absatzes 1 Vereinbarungen über die Verwaltungszusammenarbeit mit der einschlägigen Behörde des Drittlands, um die reibungslose Durchführung von Inspektionen in dem betreffenden Drittland durch die federführende Überwachungsbehörde und ihr für ihren Auftrag in diesem Drittland benanntes Team zu ermöglichen. Diese Kooperationsvereinbarungen begründen keine rechtlichen Verpflichtungen gegenüber der Union und ihren Mitgliedstaaten und hindern die Mitgliedstaaten und ihre zuständigen Behörden nicht daran, bilaterale oder multilaterale Vereinbarungen mit diesen Drittländern und deren einschlägigen Behörden zu schließen.
In den Kooperationsvereinbarungen sind mindestens die folgenden Elemente festgelegt:
a)
die Verfahren für die Koordinierung der im Rahmen dieser Verordnung durchgeführten Überwachungstätigkeiten und jede entsprechende Überwachung des IKT-Drittparteienrisikos im Finanzsektor durch die einschlägige Behörde des betreffenden Drittlands, einschließlich der Einzelheiten für die Übermittlung der Zustimmung dieser Behörde, damit die federführende Überwachungsbehörde und ihr benanntes Team in dessen Hoheitsgebiet allgemeine Untersuchungen und Vor-Ort-Inspektionen gemäß Absatz 1 Unterabsatz 1 durchführen können;
b)
der Mechanismus für die Übermittlung aller relevanten Informationen zwischen der EBA, der ESMA oder der EIOPA und der einschlägigen Behörde des betreffenden Drittlands, insbesondere im Zusammenhang mit Informationen, die von der federführenden Überwachungsbehörde gemäß Artikel 37 angefordert werden können;
c)
die Mechanismen für die unverzügliche Unterrichtung der EBA, der ESMA oder der EIOPA durch die einschlägige Behörde des betreffenden Drittlands über Fälle, in denen einem IKT-Drittdienstleister mit Sitz in einem Drittland, der gemäß Artikel 31 Absatz 1 Buchstabe a als kritisch eingestuft wurde, ein Verstoß gegen die Anforderungen zur Last gelegt wird, die er nach dem geltenden Recht des betreffenden Drittlands bei der Erbringung von Dienstleistungen für Finanzinstitute in diesem Drittland einhalten muss, sowie die angewandten Rechtsbehelfe und verhängten Sanktionen;
d)
die regelmäßige Übermittlung von Neuerungen im Bereich der regulatorischen und aufsichtlichen Entwicklungen bei der Überwachung des IKT-Drittparteienrisikos für Finanzinstitute in dem betreffenden Drittland;
e)
die Einzelheiten, die erforderlichenfalls die Teilnahme eines Vertreters der zuständigen Drittlandsbehörde an den Inspektionen der federführenden Überwachungsbehörde und des benannten Teams ermöglichen.
(3)
Ist die federführende Überwachungsbehörde nicht in der Lage, die in den Absätzen 1 und 2 genannten Überwachungstätigkeiten außerhalb der Union durchzuführen, so
a)
übt sie ihre Befugnisse nach Artikel 35 auf der Grundlage aller ihr bekannten Tatsachen und zur Verfügung stehenden Unterlagen aus;
b)
dokumentiert und erläutert sie alle Folgen, die sich daraus ergeben, dass sie nicht in der Lage ist, die geplanten Überwachungstätigkeiten gemäß diesem Artikel durchzuführen.
Die in Buchstabe b genannten potenziellen Folgen werden in den Empfehlungen der federführenden Überwachungsbehörde gemäß Artikel 35 Absatz 1 Buchstabe d berücksichtigt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 37
Auskunftsersuchen
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde kann von kritischen IKT-Drittdienstleistern durch einfaches Ersuchen oder durch Beschluss verlangen, alle Informationen zur Verfügung zu stellen, die die federführende Überwachungsbehörde benötigt, um ihre Aufgaben im Rahmen dieser Verordnung wahrzunehmen, einschließlich aller relevanten Geschäfts- oder Betriebsunterlagen, Verträge, Leit- und Richtlinien, Dokumentationen, Meldungen über IKT-Sicherheitsprüfungen, Berichte über IKT-bezogene Vorfälle sowie aller Informationen über Parteien, an die der kritische IKT-Drittdienstleister betriebliche Funktionen oder Tätigkeiten ausgelagert hat.
(2)
Bei der Übermittlung eines einfachen Auskunftsersuchens nach Absatz 1 verfährt die federführende Überwachungsbehörde wie folgt:
a)
Sie nimmt auf diesen Artikel als Rechtsgrundlage des Ersuchens Bezug;
b)
sie gibt den Zweck des Ersuchens bekannt;
c)
sie erläutert, welche Informationen gefordert werden;
d)
sie legt die Frist für die Vorlage der Informationen fest;
e)
sie unterrichtet den Vertreter des kritischen IKT-Drittdienstleisters, von dem die Informationen angefordert werden, darüber, dass er zu deren Übermittlung zwar nicht verpflichtet ist, die vorgelegten Informationen bei freiwilliger Beantwortung des Ersuchens jedoch nicht falsch oder irreführend sein dürfen.
(3)
Fordert die federführende Überwachungsbehörde durch entsprechenden Beschluss gemäß Absatz 1 Informationen an, verfährt sie wie folgt:
a)
Sie nimmt auf diesen Artikel als Rechtsgrundlage des Ersuchens Bezug;
b)
sie gibt den Zweck des Ersuchens bekannt;
c)
sie erläutert, welche Informationen gefordert werden;
d)
sie legt die Frist für die Vorlage der Informationen fest;
e)
sie nennt die Zwangsgelder, die nach Artikel 35 Absatz 6 verhängt werden, wenn die geforderten Informationen unvollständig sind oder nicht innerhalb der unter Buchstabe d genannten Frist vorgelegt werden;
f)
sie weist auf das Recht nach den Artikeln 60 und 61 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 hin, vor dem Beschwerdeausschuss der ESA Beschwerde gegen den Beschluss einzulegen und den Beschluss durch den Gerichtshof der Europäischen Union (im Folgenden „Gerichtshof“) überprüfen zu lassen.
(4)
Die Vertreter der kritischen IKT-Drittdienstleister stellen die angeforderten Informationen zur Verfügung. Ordnungsgemäß bevollmächtigte Rechtsanwälte können die Auskünfte im Namen ihrer Mandanten erteilen. Die kritischen IKT-Drittdienstleister bleiben in vollem Umfang verantwortlich, wenn die erteilten Auskünfte unvollständig, sachlich unrichtig oder irreführend sind.
(5)
Die federführende Überwachungsbehörde übermittelt den für diejenigen Finanzunternehmen, die die Dienste der betreffenden kritischen IKT-Drittdienstleister nutzen, zuständigen Behörden sowie dem JON unverzüglich eine Kopie der Entscheidung, Informationen bereitzustellen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 38
Allgemeine Untersuchungen
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde kann zur Wahrnehmung ihrer Aufgaben gemäß dieser Verordnung mit Unterstützung des in Artikel 40 Absatz 1 genannten gemeinsamen Untersuchungsteams erforderlichenfalls Untersuchungen von kritischen IKT-Drittdienstleistern durchführen.
(2)
Die federführende Überwachungsbehörde ist befugt,
a)
Aufzeichnungen, Daten, Verfahren und sonstiges für die Erfüllung ihrer Aufgaben relevantes Material unabhängig von der Speicherform zu prüfen;
b)
beglaubigte Kopien oder Auszüge dieser Aufzeichnungen, Daten und dokumentierten Verfahren und von sämtlichen sonstigen Materialien anzufertigen oder zu verlangen;
c)
Vertreter des kritischen IKT-Drittdienstleisters vorzuladen und zur Abgabe mündlicher oder schriftlicher Erklärungen zu Sachverhalten oder Unterlagen aufzufordern, die mit Gegenstand und Zweck der Untersuchung in Zusammenhang stehen, und die Antworten aufzuzeichnen;
d)
jede andere natürliche oder juristische Person zu befragen, die dieser Befragung zum Zweck der Einholung von Informationen über den Gegenstand einer Untersuchung zustimmt;
e)
Aufzeichnungen von Telefongesprächen und Datenübermittlungen anzufordern.
(3)
Die Bediensteten und sonstige von der federführenden Überwachungsbehörde zu Untersuchungen gemäß Absatz 1 ermächtigte Personen üben ihre Befugnisse unter Vorlage einer schriftlichen Ermächtigung aus, in der Gegenstand und Zweck der Untersuchung angegeben werden.
In der Ermächtigung sind auch die in Artikel 35 Absatz 6 vorgesehenen Zwangsgelder für den Fall anzugeben, dass die angeforderten Aufzeichnungen, Daten, dokumentierten Verfahren oder sonstigen Materialien oder die Antworten auf Fragen, die den Vertretern des IKT-Drittdienstleisters gestellt werden, nicht geliefert werden oder unvollständig sind.
(4)
Die Vertreter der kritischen IKT-Drittdienstleister sind verpflichtet, sich den Untersuchungen auf der Grundlage einer Entscheidung der federführenden Überwachungsbehörde zu unterziehen. In dem Beschluss sind Gegenstand und Zweck der Untersuchung, die nach Artikel 35 Absatz 6 vorgesehenen Zwangsgelder, die nach den Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 möglichen Rechtsbehelfe sowie das Recht, den Beschluss durch den Gerichtshof überprüfen zu lassen, anzugeben.
(5)
Rechtzeitig vor Beginn der Untersuchung unterrichtet die federführende Überwachungsbehörde die für diejenigen Finanzunternehmen, die die IKT-Dienstleistungen dieses kritischen IKT-Drittdienstleisters nutzen, zuständigen Behörden über die geplante Untersuchung sowie die Identität der bevollmächtigten Personen.
Die federführende Überwachungsbehörde übermittelt dem JON alle gemäß Unterabsatz 1 mitgeteilten Informationen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 39
Inspektionen
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde kann zur Wahrnehmung ihrer Aufgaben nach dieser Verordnung mit Unterstützung der in Artikel 40 Absatz 1 genannten gemeinsamen Untersuchungsteams sämtliche Geschäftsräume, Grundstücke oder Gebäude des IKT-Drittdienstleisters, wie Hauptverwaltungen, Betriebszentren und sekundäre Räumlichkeiten, betreten und dort alle erforderlichen Vor-Ort-Inspektionen durchführen sowie außerhalb dieser Räumlichkeiten Inspektionen durchführen.
Für die Ausübung der in Unterabsatz 1 genannten Befugnisse konsultiert die federführende Überwachungsbehörde das JON.
(2)
Die Bediensteten und sonstige Personen, die von der federführenden Überwachungsbehörde zur Durchführung einer Vor-Ort-Inspektion ermächtigt wurden, sind befugt,
a)
diese Geschäftsräume, Grundstücke oder Gebäude zu betreten; und
b)
diese Geschäftsräume, Bücher oder Aufzeichnungen für die Dauer der Inspektion und in dem für die Inspektion erforderlichen Umfang zu versiegeln.
Die Bediensteten und sonstige von der federführenden Überwachungsbehörde ermächtigten Personen üben ihre Befugnisse unter Vorlage einer schriftlichen Ermächtigung aus, in der Gegenstand und Zweck der Inspektion sowie die in Artikel 35 Absatz 6 vorgesehenen Zwangsgelder angegeben sind, die verhängt werden, wenn sich die Vertreter der betreffenden IKT-Drittdienstleister der Inspektion nicht unterziehen.
(3)
Die federführende Überwachungsbehörde unterrichtet die für diejenigen Finanzunternehmen, die diesen IKT-Drittdienstleister in Anspruch nehmen, zuständigen Behörden rechtzeitig vor der Inspektion.
(4)
Die Inspektionen erstrecken sich auf das gesamte Spektrum einschlägiger IKT-Systeme, -Netzwerke, -Geräte, -Informationen und -Daten, die für die Erbringung von IKT-Dienstleistungen für Finanzunternehmen verwendet werden oder dazu beitragen.
(5)
Die federführende Überwachungsbehörde unterrichtet die kritischen IKT-Drittdienstleister vor jeder geplanten Vor-Ort-Inspektion mit angemessenem Vorlauf, es sei denn, eine solche Unterrichtung ist aufgrund einer Not- oder Krisensituation nicht möglich oder würde Umstände herbeiführen, unter denen die Inspektion oder das Audit nicht mehr wirksam wären.
(6)
Der kritische IKT-Drittdienstleister unterzieht sich den durch Beschluss der federführenden Überwachungsbehörde angeordneten Vor-Ort-Inspektionen. In dem Beschluss sind Gegenstand, Zweck und Datum des Beginns der Inspektion, die nach Artikel 35 Absatz 6 vorgesehenen Zwangsgelder, die nach den Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 möglichen Rechtsbehelfe sowie das Recht, den Beschluss durch den Gerichtshof überprüfen zu lassen, anzugeben.
(7)
Gelangen die Bediensteten und sonstige von der federführenden Überwachungsbehörde bevollmächtigte Personen zu dem Schluss, dass ein kritischer IKT-Drittdienstleister sich einer gemäß diesem Artikel angeordneten Inspektion widersetzt, unterrichtet die federführende Überwachungsbehörde den kritischen IKT-Drittdienstleister über die Folgen einer solchen Widersetzung, einschließlich der Möglichkeit der für die betreffenden Finanzunternehmen zuständigen Behörden, Finanzunternehmen zu verpflichten, die mit diesem kritischen IKT-Drittdienstleister geschlossenen vertraglichen Vereinbarungen zu kündigen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 40
Laufende Überwachung
DORA (EU 2022/2554)
(1)
Bei der Durchführung von Überwachungstätigkeiten, insbesondere allgemeinen Untersuchungen oder Inspektionen, wird die federführende Überwachungsbehörde von einem gemeinsamen Untersuchungsteam unterstützt, das für jeden kritischen IKT-Drittdienstleister eingerichtet wird.
(2)
Das in Absatz 1 genannte gemeinsame Untersuchungsteam setzt sich aus Mitarbeitern der folgenden Behörden zusammen:
a)
der ESA;
b)
der jeweils zuständigen Behörden, die die Finanzunternehmen beaufsichtigen, denen der kritische IKT-Drittdienstleister IKT-Dienstleistungen erbringt;
c)
der in Artikel 32 Absatz 4 Buchstabe e genannten zuständigen nationale Behörde, auf freiwilliger Basis;
d)
einer zuständigen nationalen Behörde des Mitgliedstaats, in dem der kritische IKT-Drittdienstleister seinen Sitz hat, auf freiwilliger Basis.
Die Mitglieder des gemeinsamen Untersuchungsteams müssen über Fachwissen in den Bereichen IKT und operationelle Risiken verfügen. Das gemeinsame Untersuchungsteam arbeitet unter der Koordinierung eines benannten Mitarbeiters der federführenden Überwachungsbehörde („Koordinator der federführenden Überwachungsbehörde“).
(3)
Innerhalb von 3 Monaten nach Abschluss einer Untersuchung oder Inspektion nimmt die federführende Überwachungsbehörde nach Konsultation des Überwachungsforums entsprechend den in Artikel 35 genannten Befugnissen an den kritischen IKT-Drittdienstleister zu richtende Empfehlungen an.
(4)
Die in Absatz 3 genannten Empfehlungen werden dem kritischen IKT-Drittdienstleister und den für diejenigen Finanzunternehmen, denen er IKT-Dienstleistungen erbringt, zuständigen Behörden unverzüglich übermittelt.
Die federführende Überwachungsbehörde kann zur Erfüllung der Überwachungstätigkeiten alle einschlägigen Zertifizierungen Dritter und interne oder externe IKT-Prüfungsberichte Dritter berücksichtigen, die von dem kritischen IKT-Drittdienstleister zur Verfügung gestellt werden.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 41
Harmonisierung der Voraussetzungen für die Durchführung der Überwachungstätigkeiten
DORA (EU 2022/2554)
(1)
Die ESA arbeiten über den Gemeinsamen Ausschuss Entwürfe technischer Regulierungsstandards aus, um Folgendes festzulegen:
a)
die Informationen, die von einem IKT-Drittdienstleister in dem Antrag bereitzustellen sind, in dem gemäß Artikel 31 Absatz 11 freiwillig um Einstufung als kritisch ersucht wird;
b)
Inhalt, Struktur und Format der Informationen, die IKT-Drittdienstleister gemäß Artikel 35 Absatz 1 übermitteln, offenlegen und melden müssen, einschließlich der Vorlage für die Bereitstellung von Informationen über die Vereinbarungen über die Unterauftragsvergabe;
c)
die Kriterien für die Festlegung der Zusammensetzung des gemeinsamen Untersuchungsteams, bei der eine ausgewogene Beteiligung der Mitarbeiter der ESA und der jeweils zuständigen Behörden sicherzustellen ist, sowie ihrer Benennung, Aufgaben und Arbeitsvereinbarungen;
d)
die Einzelheiten der von den zuständigen Behörden vorgenommenen Bewertung der Maßnahmen, die von kritischen IKT-Drittdienstleistern auf der Grundlage der Empfehlungen der federführenden Überwachungsbehörde gemäß Artikel 42 Absatz 3 ergriffen wurden.
(2)
Die ESA legen der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Juli 2024 vor.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme technischer Regulierungsstandards nach Absatz 1 entsprechend dem Verfahren nach den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 42
Folgemaßnahmen zuständiger Behörden
DORA (EU 2022/2554)
(1)
Kritische IKT-Drittdienstleister teilen entweder der federführenden Überwachungsbehörde innerhalb von 60 Kalendertagen nach Eingang der Empfehlungen, die von der federführenden Überwachungsbehörde gemäß Artikel 35 Absatz 1 Buchstabe d abgegeben werden, ihre Absicht mit, diesen Empfehlungen Folge zu leisten, oder legen eine begründete Erklärung für die Nichtbefolgung der Empfehlungen vor. Die federführende Überwachungsbehörde übermittelt diese Informationen unverzüglich den für das betreffende Finanzunternehmen zuständigen Behörden.
(2)
Die federführende Überwachungsbehörde informiert öffentlich darüber, wenn ein kritischer IKT-Drittdienstleister es versäumt, die federführende Überwachungsbehörde gemäß Absatz 1 zu unterrichten, oder wenn die Erklärung des kritischen IKT-Drittdienstleisters als nicht ausreichend erachtet wird. Die veröffentlichten Informationen enthalten die Identität des kritischen IKT-Drittdienstleisters sowie Angaben über Art und Wesen der Nichtkonformität. Diese Informationen werden auf den zum Zweck der Gewährleistung der Sensibilisierung der Öffentlichkeit relevanten und angemessenen Umfang beschränkt, es sei denn eine solche Veröffentlichung würde den Beteiligten einen unverhältnismäßigen Schaden zufügen oder das ordnungsgemäße Funktionieren und die Integrität von Finanzmärkten oder die Stabilität des Finanzsystems der Union als Ganzes oder in Teilen gefährden.
Die federführende Überwachungsbehörde unterrichtet den IKT-Drittdienstleister über diese Veröffentlichung.
(3)
Die zuständigen Behörden unterrichten die betreffenden Finanzunternehmen über die Risiken, die in den Empfehlungen an kritische IKT-Drittdienstleister gemäß Artikel 35 Absatz 1 Buchstabe d festgestellt wurden.
Beim Management des IKT-Drittparteienrisikos berücksichtigen die Finanzunternehmen die in Unterabsatz 1 genannten Risiken.
1 Sollmaßnahme
A-5.19.006Integration des IKT-Drittparteienrisikos in das IKT-Risikomanagement
(4)
Ist eine zuständige Behörde der Ansicht, dass ein Finanzunternehmen die in den Empfehlungen festgestellten spezifischen Risiken bei seinem Management der IKT-Drittparteienrisiken nicht oder nicht ausreichend berücksichtigt, teilt sie dem Finanzunternehmen mit, dass innerhalb von 60 Kalendertagen nach Eingang einer solchen Mitteilung eine Entscheidung gemäß Absatz 6 getroffen werden kann, falls keine geeigneten vertraglichen Vereinbarungen zur Beseitigung dieser Risiken bestehen.
(5)
Nach Eingang der in Artikel 35 Absatz 1 Buchstabe c genannten Berichte und vor einer Entscheidung gemäß Absatz 6 können die zuständigen Behörden auf freiwilliger Basis die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden konsultieren, die für die Beaufsichtigung eines wesentlichen oder wichtigen, von der genannten Richtlinie erfassten Unternehmens, das als kritischer IKT-Drittdienstleister eingestuft wurde, zuständig sind.
(6)
Im Einklang mit Artikel 50 können zuständige Behörden als letztes Mittel nach der Mitteilung und gegebenenfalls der Abstimmung gemäß den Absätzen 4 und 5 eine Entscheidung treffen, mit der sie von Finanzunternehmen verlangen, die Nutzung oder den Einsatz einer Dienstleistung, die von einem kritischen IKT-Drittdienstleister bereitgestellt wird, vorübergehend teilweise oder vollständig auszusetzen, bis die Risiken beseitigt sind, die in den an den kritischen IKT-Drittdienstleister gerichteten Empfehlungen festgestellt wurden. Die Behörden können von Finanzunternehmen erforderlichenfalls verlangen, die einschlägigen vertraglichen Vereinbarungen, die mit kritischen IKT-Drittdienstleistern geschlossen wurden, ganz oder teilweise zu kündigen.
(7)
Verweigert ein kritischer IKT-Drittdienstleister die Befolgung der Empfehlungen, indem er einen anderen als den von der federführenden Überwachungsbehörde empfohlenen Ansatz wählt, und wirkt sich ein solcher abweichender Ansatz möglicherweise auf eine große Zahl von Finanzunternehmen oder einen erheblichen Teil des Finanzsektors negativ aus und haben einzelne Warnungen der zuständigen Behörden nicht zu kohärenten Ansätzen geführt, die das potenzielle Risiko für die Finanzstabilität mindern, kann die federführende Überwachungsbehörde nach Konsultation des Überwachungsforums den zuständigen Behörden gegebenenfalls unverbindliche und nicht für die Öffentlichkeit bestimmte Stellungnahmen übermitteln, um kohärente und konvergente aufsichtliche Folgemaßnahmen zu fördern.
(8)
Nach Eingang der in Artikel 35 Absatz 1 Buchstabe c genannten Berichte berücksichtigen die zuständigen Behörden bei der in Absatz 6 genannten Entscheidung die Art und das Ausmaß des Risikos, das vom kritischen IKT-Drittdienstleister nicht angegangen wird, sowie die Schwere des Verstoßes unter Berücksichtigung der folgenden Kriterien:
a)
der Schwere und Dauer des Verstoßes;
b)
ob durch den Verstoß schwerwiegende Mängel in Bezug auf Verfahren, Managementsysteme, Risikomanagement und interne Kontrollen des kritischen IKT-Drittdienstleisters offengelegt wurden;
c)
ob Wirtschaftskriminalität erleichtert oder herbeigeführt wurde oder auf andere Weise mit dem Verstoß in Verbindung steht;
d)
ob der Verstoß vorsätzlich oder fahrlässig begangen wurde;
e)
ob die Aussetzung oder Kündigung der vertraglichen Vereinbarungen ungeachtet der Bemühungen des Finanzunternehmens um Vermeidung von Störungen bei der Erbringung seiner Dienstleistungen ein Risiko für die Fortführung der Geschäftstätigkeit des Finanzunternehmens mit sich bringt;
f)
gegebenenfalls der gemäß Absatz 5 auf freiwilliger Basis ersuchten Stellungnahme der gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden, die für die Beaufsichtigung eines wesentlichen oder wichtigen, von der genannten Richtlinie erfassten Unternehmens, das als kritischer IKT-Drittdienstleister eingestuft wurde, zuständig sind.
Die zuständigen Behörden gewähren Finanzunternehmen den erforderlichen Zeitraum, damit sie die vertraglichen Vereinbarungen mit kritischen IKT-Drittdienstleistern anpassen können, um nachteilige Auswirkungen auf ihre digitale operationale Resilienz zu vermeiden und ihnen die Anwendung der in Artikel 28 genannten Ausstiegsstrategien und Übergangspläne zu ermöglichen.
(9)
Die Entscheidung gemäß Absatz 6 wird den in Artikel 32 Absatz 4 Buchstaben a, b und c genannten Mitgliedern des Überwachungsforums und dem JON mitgeteilt.
Die von den Entscheidungen gemäß Absatz 6 betroffenen kritischen IKT-Drittdienstleister arbeiten uneingeschränkt mit den betroffenen Finanzunternehmen zusammen, insbesondere im Zusammenhang mit dem Verfahren zur Aussetzung oder Kündigung ihrer vertraglichen Vereinbarungen.
(10)
Die zuständigen Behörden unterrichten die federführende Überwachungsbehörde regelmäßig über die Herangehensweisen und Maßnahmen, die sie bei ihren Aufsichtsaufgaben in Bezug auf Finanzunternehmen gewählt haben, sowie über die von den Finanzunternehmen geschlossenen vertraglichen Vereinbarungen, wenn kritische IKT-Drittdienstleister Empfehlungen, die von der federführenden Überwachungsbehörde an sie gerichtet wurden, teilweise oder vollständig nicht befolgt haben.
(11)
Die federführende Überwachungsbehörde kann auf Verlangen die zur Anleitung der zuständigen Behörden abgegebenen Empfehlungen näher erläutern.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 43
Überwachungsgebühren
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde erhebt gemäß dem in Absatz 2 genannten delegierten Rechtsakt von kritischen IKT-Drittdienstleistern Gebühren, die die notwendigen Ausgaben der federführenden Überwachungsbehörde für die Durchführung von Überwachungsaufgaben gemäß dieser Verordnung vollständig decken, einschließlich der Erstattung aller Kosten, die durch die Arbeit des in Artikel 40 genannten gemeinsamen Untersuchungsteams entstehen können, sowie der Kosten für die Beratung durch die in Artikel 32 Absatz 4 Unterabsatz 2 genannten unabhängigen Sachverständigen in Angelegenheiten, die in den Aufgabenbereich der direkten Überwachungstätigkeiten fallen.
Die Höhe einer Gebühr, die einem kritischen IKT-Drittdienstleister in Rechnung gestellt wird, deckt alle Kosten ab, die aufgrund der Erfüllung der in diesem Abschnitt festgelegten Aufgaben anfallen, und steht in einem angemessenen Verhältnis zu dessen Umsatz.
(2)
Der Kommission wird die Befugnis übertragen, gemäß Artikel 57 einen delegierten Rechtsakt zur Ergänzung dieser Verordnung durch Festlegung der Höhe der Gebühren und der Art und Weise ihrer Entrichtung bis zum 17. Juli 2024 zu erlassen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 44
Internationale Zusammenarbeit
DORA (EU 2022/2554)
(1)
Unbeschadet des Artikels 36 können die EBA, die ESMA und die EIOPA im Einklang mit Artikel 33 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1095/2010 bzw. (EU) Nr. 1094/2010 Verwaltungsvereinbarungen mit Regulierungs- und Überwachungsbehörden von Drittländern schließen, um die internationale Zusammenarbeit in Bezug auf das IKT-Drittparteienrisiko in verschiedenen Finanzsektoren zu fördern, insbesondere durch die Entwicklung bewährter Verfahren für die Überprüfung von IKT-Risikomanagementverfahren und -kontrollen, Abmilderungsmaßnahmen und Reaktionsmaßnahmen bei Vorfällen.
(2)
Die ESA legen dem Europäischen Parlament, dem Rat und der Kommission über den Gemeinsamen Ausschuss alle fünf Jahre einen gemeinsamen vertraulichen Bericht vor, in dem die Ergebnisse einschlägiger Gespräche mit den in Absatz 1 genannten Behörden von Drittländern zusammengefasst werden, wobei der Schwerpunkt auf der Entwicklung des IKT-Drittparteienrisikos und den Auswirkungen auf die Finanzstabilität, die Marktintegrität, den Anlegerschutz und das Funktionieren des Binnenmarkts liegt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 45
Vereinbarungen über den Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen
DORA (EU 2022/2554)
(1)
Finanzunternehmen können Informationen und Erkenntnisse über Cyberbedrohungen untereinander austauschen, einschließlich Indikatoren für Beeinträchtigungen, Taktiken, Techniken und Verfahren, Cybersicherheitswarnungen und Konfigurationstools, soweit dieser Austausch von Informationen und Erkenntnissen
1 Sollmaßnahme
A-5.6.001Gegenstand des Informationsaustauschs zu Cyberbedrohungen
a)
darauf abzielt, die digitale operationale Resilienz von Finanzunternehmen zu stärken, insbesondere indem für Cyberbedrohungen sensibilisiert, die Verbreitung von Cyberbedrohungen eingeschränkt oder verhindert wird und die Verteidigungsfähigkeiten, Techniken zur Erkennung von Bedrohungen, Abmilderungsstrategien oder Phasen der Reaktion und Wiederherstellung unterstützt werden;
1 Sollmaßnahme zu lit. a
A-5.6.002Zielsetzung des Informationsaustauschs
b)
innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen erfolgt;
1 Sollmaßnahme zu lit. b
A-5.6.003Vertrauenswürdigkeit der Austauschgemeinschaften
c)
durch Vereinbarungen über den Austausch von Informationen umgesetzt wird, die den potenziell sensiblen Charakter der ausgetauschten Informationen schützen und Verhaltensregeln unterliegen, in deren Rahmen die Wahrung des Geschäftsgeheimnisses, der Schutz personenbezogener Daten im Einklang mit der Verordnung (EU) 2016/679 und Leitlinien für die Wettbewerbspolitik vollumfänglich befolgt werden.
1 Sollmaßnahme zu lit. c
A-5.6.004Schutz sensibler Informationen beim Austausch
(2)
Für die Zwecke von Absatz 1 Buchstabe c werden in den Vereinbarungen über den Austausch von Informationen die Voraussetzungen für die Teilnahme und gegebenenfalls die Einzelheiten zur Einbindung staatlicher Behörden und der Eigenschaft, in der diese in die Vereinbarungen über den Austausch von Informationen eingebunden werden können, zur Einbindung von IKT-Drittdienstleistern sowie zu operativen Aspekten, einschließlich der Nutzung spezieller IT-Plattformen, festgelegt.
2 Sollmaßnahmen
A-5.1.236Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vereinbarungen zum Informationsaustausch
A-5.6.005Rahmenbedingungen des Informationsaustauschs
(3)
Finanzunternehmen teilen zuständigen Behörden ihre Einbindung in die in Absatz 1 genannten Vereinbarungen über den Austausch von Informationen mit, sobald ihre Mitwirkung bestätigt wurde bzw. endet und diese Beendigung in Kraft ist.
1 Sollmaßnahme
A-5.5.001Meldung der Teilnahme am Informationsaustausch
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 46
Zuständige Behörden
DORA (EU 2022/2554)
Unbeschadet der Bestimmungen über den Überwachungsrahmen für kritische IKT-Drittdienstleister gemäß Kapitel V Abschnitt II dieser Verordnung wird die Einhaltung dieser Verordnung durch die folgenden zuständigen Behörden im Einklang mit den durch die jeweiligen Rechtsakte übertragenen Befugnissen sichergestellt:
a)
bei Kreditinstituten sowie bei nach der Richtlinie 2013/36/EU ausgenommenen Instituten durch die gemäß Artikel 4 der genannten Richtlinie benannte zuständige Behörde und bei gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuften Kreditinstituten durch die EZB im Einklang mit den mittels der genannten Verordnung übertragenen Befugnissen und Aufgaben;
b)
bei Zahlungsinstituten, einschließlich der nach der Richtlinie (EU) 2015/2366 ausgenommenen Zahlungsinstitute, bei E-Geld-Instituten, einschließlich der nach der Richtlinie 2009/110/EG ausgenommenen Institute, und bei den in Artikel 33 Absatz 1 der Richtlinie (EU) 2015/2366 genannten Kontoinformationsdienstleistern durch die gemäß Artikel 22 der Richtlinie (EU) 2015/2366 benannte zuständige Behörde;
c)
bei Wertpapierfirmen durch die gemäß Artikel 4 der Richtlinie (EU) 2019/2034 des Europäischen Parlaments und des Rates (38) benannte zuständige Behörde;
d)
bei gemäß der Verordnung über Märkte von Krypto-Werten zugelassenen Anbietern von Krypto-Dienstleistungen und Emittenten von an Vermögenswerte geknüpften Tokens durch die gemäß der entsprechenden Bestimmung der genannten Verordnung benannte zuständige Behörde;
e)
bei Zentralverwahrern durch die gemäß Artikel 11 der Verordnung (EU) Nr. 909/2014 benannte zuständige Behörde;
f)
bei zentralen Gegenparteien durch die gemäß Artikel 22 der Verordnung (EU) Nr. 648/2012 benannte zuständige Behörde;
g)
bei Handelsplätzen und Datenbereitstellungsdiensten durch die gemäß Artikel 67 der Richtlinie 2014/65/EU benannte zuständige Behörde und die zuständige Behörde im Sinne von Artikel 2 Absatz 1 Nummer 18 der Verordnung (EU) Nr. 600/2014;
h)
bei Transaktionsregistern durch die gemäß Artikel 22 der Verordnung (EU) Nr. 648/2012 benannte zuständige Behörde;
i)
bei Verwaltern alternativer Investmentfonds durch die gemäß Artikel 44 der Richtlinie 2011/61/EU benannte zuständige Behörde;
j)
bei Verwaltungsgesellschaften durch die gemäß Artikel 97 der Richtlinie 2009/65/EG benannte zuständige Behörde;
k)
bei Versicherungs- und Rückversicherungsunternehmen durch die gemäß Artikel 30 der Richtlinie 2009/138/EG benannte zuständige Behörde;
l)
bei Versicherungsvermittlern, Rückversicherungsvermittlern und Versicherungsvermittlern in Nebentätigkeit durch die gemäß Artikel 12 der Richtlinie (EU) 2016/97 benannte zuständige Behörde;
m)
bei Einrichtungen der betrieblichen Altersversorgung durch die gemäß Artikel 47 der Richtlinie (EU) 2016/2341 benannte zuständige Behörde;
n)
bei Ratingagenturen durch die gemäß Artikel 21 der Verordnung (EG) Nr. 1060/2009 benannte zuständige Behörde;
o)
bei Administratoren kritischer Referenzwerte durch die gemäß den Artikeln 40 und 41 der Verordnung (EU) 2016/1011 benannte zuständige Behörde;
p)
bei Schwarmfinanzierungsdienstleistern durch die gemäß Artikel 29 der Verordnung (EU) 2020/1503 benannte zuständige Behörde;
q)
bei Verbriefungsregistern durch die gemäß Artikel 10 und Artikel 14 Absatz 1 der Verordnung (EU) 2017/2402 benannte zuständige Behörde.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 47
Zusammenarbeit mit den durch die Richtlinie (EU) 2022/2555 geschaffenen Strukturen und Behörden
DORA (EU 2022/2554)
(1)
Um die Zusammenarbeit zu fördern und den aufsichtlichen Austausch zwischen den gemäß dieser Verordnung benannten zuständigen Behörden und der durch Artikel 14 der Richtlinie (EU) 2022/2555 eingesetzten Kooperationsgruppe zu ermöglichen, können sich die ESA und die zuständigen Behörden bei Angelegenheiten, die ihre Aufsichtstätigkeiten in Bezug auf Finanzunternehmen betreffen, an den Tätigkeiten der Kooperationsgruppe beteiligen. Die ESA und die zuständigen Behörden können verlangen, zur Teilnahme an den Tätigkeiten der Kooperationsgruppe in Angelegenheiten im Zusammenhang mit den wesentlichen oder wichtigen, von der Richtlinie (EU) 2022/2555 erfassten Unternehmen, die ebenfalls gemäß Artikel 31 der vorliegenden Verordnung als kritische IKT-Drittdienstleister eingestuft wurden, eingeladen zu werden.
(2)
Die zuständigen Behörden können sich gegebenenfalls an die zentralen Anlaufstellen und die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten CSIRT wenden und mit ihnen Informationen austauschen.
(3)
Die zuständigen Behörden können gegebenenfalls die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden um einschlägige fachliche Beratung und Unterstützung ersuchen und Kooperationsvereinbarungen schließen, um die Einrichtung wirksamer und schneller Koordinierungsmechanismen zu ermöglichen.
(4)
In den in Absatz 3 genannten Vereinbarungen können unter anderem Verfahren für die Koordinierung der Aufsichts- bzw. Überwachungstätigkeiten in Bezug auf wesentliche oder wichtige, von der Richtlinie (EU) 2022/2555 erfasste Unternehmen, die gemäß Artikel 31 der vorliegenden Verordnung als kritische IKT-Drittdienstleister eingestuft wurden, festgelegt werden, wozu die Durchführung von Untersuchungen und Vor-Ort-Inspektionen im Einklang mit dem nationalen Recht sowie Mechanismen für den Informationsaustausch zwischen den gemäß der vorliegenden Verordnung zuständigen Behörden und den gemäß der genannten Richtlinie benannten oder eingerichteten Behörden, einschließlich des Zugangs zu den von den letztgenannten Behörden angeforderten Informationen, gehören.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 48
Zusammenarbeit der Behörden
DORA (EU 2022/2554)
(1)
Die zuständigen Behörden arbeiten untereinander und gegebenenfalls mit der federführenden Überwachungsbehörde eng zusammen.
(2)
Die zuständigen Behörden und die federführende Überwachungsbehörde tauschen zeitnah alle relevanten Informationen über kritische IKT-Drittdienstleister aus, die sie benötigen, um ihre jeweiligen Aufgaben gemäß dieser Verordnung wahrnehmen zu können, insbesondere in Bezug auf die ermittelten Risiken, die Herangehensweisen und die Maßnahmen, die im Rahmen der Überwachungsaufgaben der federführenden Überwachungsbehörde ergriffen wurden.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 49
Sektorübergreifende Übungen, Kommunikation und Zusammenarbeit im Finanzbereich
DORA (EU 2022/2554)
(1)
Die ESA können über den Gemeinsamen Ausschuss und in Zusammenarbeit mit — je nach Sachlage — den zuständigen Behörden, den in Artikel 3 der Richtlinie 2014/59/EU genannten nationalen Abwicklungsbehörden, der EZB, dem Einheitlichen Abwicklungsausschuss (bei Informationen über Unternehmen, die in den Geltungsbereich der Verordnung (EU) Nr. 806/2014 fallen), dem ESRB und der ENISA Mechanismen für den Austausch wirksamer Verfahren zwischen Finanzsektoren einrichten, um die Lageerfassung zu verbessern und sektorübergreifend gemeinsame Cyberanfälligkeiten und -risiken zu ermitteln.
Ebenso können sie Krisenmanagement- und Notfallübungen mit Szenarien für Cyberangriffe konzipieren, um Kommunikationskanäle zu entwickeln und schrittweise eine wirksame koordinierte Reaktion auf Unionsebene zu ermöglichen, sofern es zu einem schwerwiegenden grenzüberschreitenden IKT-bezogenen Vorfall oder einer vergleichbaren Bedrohung kommt, die systemische Auswirkungen auf den gesamten Finanzsektor der Union mit sich bringen.
Mit diesen Übungen können gegebenenfalls auch Abhängigkeiten des Finanzsektors von anderen Wirtschaftssektoren untersucht werden.
(2)
Die zuständigen Behörden, die ESA und die EZB arbeiten eng zusammen und tauschen Informationen aus, um ihren Aufgaben gemäß den Artikeln 47 bis 54 nachzukommen. Dabei stimmen sie ihre Beaufsichtigungstätigkeit eng untereinander ab, um Verstöße gegen diese Verordnung festzustellen und ihnen entgegenzuwirken, bewährte Verfahren zu entwickeln und zu fördern, die Zusammenarbeit zu erleichtern, eine kohärente Auslegung zu fördern und bei Uneinigkeit eine Bewertung vorzunehmen, die sich nicht nur auf eine einzelne Rechtsordnung stützt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 50
Verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen
DORA (EU 2022/2554)
(1)
Die zuständigen Behörden verfügen über alle Aufsichts-, Untersuchungs- und Sanktionsbefugnisse, die zur Erfüllung ihrer Aufgaben im Rahmen dieser Verordnung erforderlich sind.
(2)
Die Befugnisse gemäß Absatz 1 umfassen zumindest folgende Befugnisse:
a)
den Zugriff auf Unterlagen oder Daten jeglicher Form, die nach Ansicht der zuständigen Behörde für die Ausführung ihrer Aufgaben von Belang sind, sowie den Erhalt oder Anfertigung von Kopien von ihnen;
b)
Durchführung von Vor-Ort-Inspektionen oder Untersuchungen, einschließlich unter anderem i) der Vorladung von Vertretern der Finanzunternehmen, damit diese mündliche oder schriftliche Erklärungen zu Sachverhalten oder Unterlagen abgeben, die mit Gegenstand und Zweck der Untersuchung in Zusammenhang stehen, sowie der Aufzeichnung der Antworten, ii) der Befragung jeder anderen natürlichen oder juristischen Person, die dieser Befragung zum Zweck der Einholung von Informationen über den Gegenstand einer Untersuchung zustimmt;
c)
das Verlangen von Korrektur- und Abhilfemaßnahmen bei Verstößen gegen die Anforderungen dieser Verordnung.
(3)
Unbeschadet des Rechts der Mitgliedstaaten, strafrechtliche Sanktionen im Einklang mit Artikel 52 zu verhängen, legen die Mitgliedstaaten angemessene verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen für Verstöße gegen diese Verordnung fest und sorgen für deren wirksame Umsetzung.
Diese Sanktionen und Maßnahmen müssen wirksam, verhältnismäßig und abschreckend sein.
(4)
Die Mitgliedstaaten übertragen den zuständigen Behörden die Befugnis, bei Verstößen gegen diese Verordnung mindestens die folgenden verwaltungsrechtlichen Sanktionen bzw. Abhilfemaßnahmen anzuwenden:
a)
die Erteilung einer Anweisung, wonach die natürliche oder juristische Person gegen diese Verordnung verstoßendes Verhalten zu unterlassen und von einer Wiederholung abzusehen hat;
b)
das Verlangen, dass Praktiken oder Verhaltensweisen, die nach Ansicht der zuständigen Behörde den Bestimmungen dieser Verordnung zuwiderlaufen, vorübergehend oder dauerhaft eingestellt und nicht wiederholt werden;
c)
das Ergreifen jeder Art von Maßnahme, auch finanzieller Art, um sicherzustellen, dass Finanzunternehmen weiterhin die rechtlichen Anforderungen erfüllen;
d)
das Verlangen — soweit gemäß nationalem Recht zulässig — bereits existierender Aufzeichnungen von Datenübermittlungen im Besitz einer Telekommunikationsgesellschaft, wenn der begründete Verdacht auf einen Verstoß gegen die Verordnung besteht und diese Aufzeichnungen für eine Untersuchung von Verstößen gegen diese Verordnung relevant sein könnten; und
e)
die Abgabe öffentlicher Bekanntmachungen, einschließlich öffentlicher Bekanntgaben, in denen die Identität der natürlichen oder juristischen Person und die Art des Verstoßes angegeben sind.
(5)
Gelten Absatz 2 Buchstabe c und Absatz 4 für juristische Personen, so statten die Mitgliedstaaten die zuständigen Behörden mit der Befugnis aus, Mitgliedern des Leitungsorgans sowie anderen natürlichen Personen, die nach nationalem Recht für den Verstoß verantwortlich sind, vorbehaltlich der nach nationalem Recht geltenden Bedingungen verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen aufzuerlegen.
(6)
Die Mitgliedstaaten stellen sicher, dass alle Entscheidungen zur Auferlegung der in Absatz 2 Buchstabe c festgelegten verwaltungsrechtlichen Sanktionen oder Abhilfemaßnahmen ordnungsgemäß begründet werden und dass gegen sie ein Rechtsbehelf eingelegt werden kann.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 51
Ausübung der Befugnis zur Auferlegung von verwaltungsrechtlichen Sanktionen und Abhilfemaßnahmen
DORA (EU 2022/2554)
(1)
Die zuständigen Behörden üben die Befugnisse zur Auferlegung der in Artikel 50 genannten verwaltungsrechtlichen Sanktionen und Abhilfemaßnahmen innerhalb ihres nationalen Rechtsrahmens je nach Sachlage in folgender Weise aus:
a)
direkt;
b)
in Zusammenarbeit mit anderen Behörden;
c)
unter ihrer Verantwortung durch Übertragung an andere Behörden oder
d)
durch Antragstellung bei den zuständigen Justizbehörden.
(2)
Bei der Festlegung von Art und Umfang einer nach Artikel 50 auferlegten verwaltungsrechtlichen Sanktion oder Abhilfemaßnahme berücksichtigen die zuständigen Behörden, inwieweit der Verstoß vorsätzlich erfolgte oder das Ergebnis von Fahrlässigkeit ist, sowie alle anderen relevanten Umstände, darunter auch je nach Sachlage:
a)
die Wesentlichkeit, Schwere und Dauer des Verstoßes;
b)
der Grad an Verantwortung der für den Verstoß verantwortlichen natürlichen oder juristischen Person;
c)
die Finanzkraft der verantwortlichen natürlichen oder juristischen Person;
d)
die Höhe der von der verantwortlichen natürlichen oder juristischen Person erzielten Gewinne oder verhinderten Verluste, sofern sich diese beziffern lassen;
e)
die Verluste, die Dritten durch den Verstoß entstanden sind, sofern sich diese beziffern lassen;
f)
die Bereitschaft der verantwortlichen natürlichen oder juristischen Person zur Zusammenarbeit mit der zuständigen Behörde, unbeschadet des Erfordernisses, die von dieser natürlichen oder juristischen Person erzielten Gewinne oder verhinderten Verluste einzuziehen;
g)
frühere Verstöße der verantwortlichen natürlichen oder juristischen Person.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 52
Strafrechtliche Sanktionen
DORA (EU 2022/2554)
(1)
Mitgliedstaaten können beschließen, für Verstöße, die nach ihrem nationalen Recht strafrechtlichen Sanktionen unterliegen, keine Vorschriften für verwaltungsrechtliche Sanktionen oder Abhilfemaßnahmen festzulegen.
(2)
Mitgliedstaaten, die strafrechtliche Sanktionen für die in dieser Verordnung genannten Verstöße festgelegt haben, stellen durch angemessene Maßnahmen sicher, dass die zuständigen Behörden über alle notwendigen Befugnisse verfügen, um sich mit den Justiz-, Strafverfolgungs- oder Strafjustizbehörden in ihrem Hoheitsgebiet ins Benehmen zu setzen, um spezifische Informationen im Zusammenhang mit strafrechtlichen Ermittlungen oder Verfahren, die wegen der Verstöße gegen diese Verordnung eingeleitet wurden, zu erhalten und diese anderen zuständigen Behörden sowie der EBA, der ESMA oder der EIOPA zur Verfügung zu stellen, um ihre Pflichten zur Zusammenarbeit für die Zwecke dieser Verordnung zu erfüllen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 53
Mitteilungspflichten
DORA (EU 2022/2554)
Die Mitgliedstaaten teilen der Kommission, der ESMA, der EBA und der EIOPA bis zum 17. Januar 2025 die Gesetze, sonstige Vorschriften sowie Verwaltungsvorschriften, einschließlich der einschlägigen strafrechtlichen Vorschriften, zur Umsetzung dieses Kapitels mit. Die Mitgliedstaaten teilen der Kommission, der ESMA, der EBA und der EIOPA spätere Änderungen dieser Vorschriften unverzüglich mit.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 54
Öffentliche Bekanntmachung verwaltungsrechtlicher Sanktionen
DORA (EU 2022/2554)
(1)
Die zuständigen Behörden veröffentlichen auf ihren amtlichen Websites unverzüglich jede Entscheidung zur Verhängung einer verwaltungsrechtlichen Sanktion, gegen die nach Mitteilung dieser Entscheidung an die Person, gegen die die Sanktion verhängt wurde, kein Rechtsbehelf eingelegt werden kann.
(2)
Die in Absatz 1 genannte Bekanntmachung umfasst Informationen zu Art und Natur des Verstoßes, der Identität der verantwortlichen Personen und der verhängten Sanktionen.
(3)
Gelangt die zuständige Behörde nach einer Einzelfallprüfung zu der Auffassung, dass die Bekanntmachung der Identität im Falle juristischer Personen oder der Identität und der personenbezogenen Daten im Falle natürlicher Personen unverhältnismäßig wäre, was auch Risiken für den Schutz personenbezogener Daten einschließt, die Stabilität der Finanzmärkte oder die Durchführung laufender strafrechtlicher Ermittlungen gefährden oder der betroffenen Person einen unverhältnismäßigen Schaden zufügen würde — soweit dieser ermittelt werden kann —, so beschließt sie in Bezug auf die Entscheidung, mit der eine verwaltungsrechtliche Sanktion verhängt wird, eine der folgenden Lösungen:
a)
Aufschub der Veröffentlichung bis alle Gründe für die Nichtveröffentlichung wegfallen;
b)
anonyme Veröffentlichung im Einklang mit dem nationalen Recht; oder
c)
Unterlassung der Veröffentlichung, wenn die unter den Buchstaben a und b genannten Optionen entweder nicht ausreichen, um zu gewährleisten, dass keine Gefahr für die Stabilität der Finanzmärkte besteht, oder wenn eine solche Veröffentlichung nicht mit der bei der Verhängung der Sanktion angewandten Nachsicht vereinbar wäre.
(4)
Wird entschieden, eine verwaltungsrechtliche Sanktion gemäß Absatz 3 Buchstabe b in anonymisierter Form bekannt zu machen, so kann die Bekanntmachung der einschlägigen Angaben aufgeschoben werden.
(5)
Macht eine zuständige Behörde eine Entscheidung zur Verhängung einer verwaltungsrechtlichen Sanktion, gegen die ein Rechtsbehelf bei den einschlägigen Justizbehörden eingelegt worden ist, bekannt, so fügen die zuständigen Behörden diese Information ihrer amtlichen Website unverzüglich und etwaige nachfolgende Informationen über den Ausgang des Rechtsbehelfsverfahrens zu einem späteren Zeitpunkt hinzu. Gerichtliche Entscheidungen, mit denen eine Entscheidung zur Verhängung einer verwaltungsrechtlichen Sanktion für nichtig erklärt wird, werden ebenfalls bekannt gemacht.
(6)
Die zuständigen Behörden stellen sicher, dass die in den Absätzen 1 bis 4 genannten Bekanntmachungen nur so lange auf ihrer amtlichen Website verbleiben, wie es zum Zwecke dieses Artikels erforderlich ist. Dieser Zeitraum darf fünf Jahre ab dem Zeitpunkt der Veröffentlichung nicht überschreiten.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 55
Wahrung des Berufsgeheimnisses
DORA (EU 2022/2554)
(1)
Vertrauliche Informationen, die gemäß dieser Verordnung empfangen, ausgetauscht oder übermittelt werden, unterliegen den in Absatz 2 festgelegten Bestimmungen zum Berufsgeheimnis.
(2)
Zur Wahrung des Berufsgeheimnisses verpflichtet sind alle Personen, die bei den gemäß dieser Verordnung zuständigen Behörden oder bei einer Behörde, einem Marktteilnehmer oder einer natürlichen oder juristischen Person beschäftigt sind oder waren, an die bzw. den diese zuständigen Behörden ihre Befugnisse delegiert haben, einschließlich unter Vertrag genommener Revisoren und Sachverständigen.
(3)
Unter das Berufsgeheimnis fallende Informationen, einschließlich der zwischen den gemäß der vorliegenden Verordnung zuständigen Behörden und den gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden ausgetauschten Informationen, dürfen keiner anderen Person oder Behörde gegenüber offengelegt werden, es sei denn, dies geschieht aufgrund von Unionsrecht oder nationalem Recht.
(4)
Alle gemäß dieser Verordnung zwischen den zuständigen Behörden ausgetauschten Informationen, die Geschäfts- oder Betriebsbedingungen und andere wirtschaftliche oder persönliche Angelegenheiten betreffen, werden als vertraulich betrachtet und unterliegen den Anforderungen an das Berufsgeheimnis, es sein denn, ihre Weitergabe wird von der zuständigen Behörde zum Zeitpunkt der Mitteilung für zulässig erklärt oder ist für Gerichtsverfahren erforderlich.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 56
Datenschutz
DORA (EU 2022/2554)
(1)
Die ESA und die zuständigen Behörden dürfen personenbezogene Daten nur verarbeiten, wenn dies zur Erfüllung ihrer jeweiligen Pflichten und Aufgaben gemäß dieser Verordnung erforderlich ist, insbesondere für Untersuchungen, Inspektionen, Auskunftsersuchen, Kommunikationszwecke, Veröffentlichungen, Evaluierungen, Verifizierungen, Bewertungen und die Erstellung von Überwachungsplänen. Die personenbezogenen Daten müssen im Einklang mit der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 verarbeitet werden, je nachdem, welche der beiden anwendbar ist.
(2)
Sofern in anderen sektorspezifischen Rechtsakten nichts anderes vorgesehen ist, werden die in Absatz 1 genannten personenbezogenen Daten bis zur Erfüllung der geltenden Aufsichtspflichten, in jedem Fall aber für höchstens 15 Jahre aufbewahrt, außer bei anhängigen Gerichtsverfahren, die eine weitere Speicherung dieser Daten erfordern.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 57
Ausübung der Befugnisübertragung
DORA (EU 2022/2554)
(1)
Die Befugnis zum Erlass delegierter Rechtsakte wird der Kommission unter den in diesem Artikel festgelegten Bedingungen übertragen.
(2)
Die Befugnis zum Erlass delegierter Rechtsakte gemäß Artikel 31 Absatz 6 und Artikel 43 Absatz 2 wird der Kommission für einen Zeitraum von fünf Jahren ab dem 17. Januar 2024 übertragen. Die Kommission erstellt spätestens neun Monate vor Ablauf des Zeitraums von fünf Jahren einen Bericht über die Befugnisübertragung. Die Befugnisübertragung verlängert sich stillschweigend um Zeiträume gleicher Länge, es sei denn, das Europäische Parlament oder der Rat widersprechen einer solchen Verlängerung spätestens drei Monate vor Ablauf des jeweiligen Zeitraums.
(3)
Die Befugnisübertragung gemäß Artikel 31 Absatz 6 und Artikel 43 Absatz 2 kann vom Europäischen Parlament oder vom Rat jederzeit widerrufen werden. Der Beschluss über den Widerruf beendet die Übertragung der in diesem Beschluss angegebenen Befugnis. Er wird am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union oder zu einem im Beschluss über den Widerruf angegebenen späteren Zeitpunkt wirksam. Die Gültigkeit von delegierten Rechtsakten, die bereits in Kraft sind, wird von dem Beschluss über den Widerruf nicht berührt.
(4)
Vor dem Erlass eines delegierten Rechtsakts konsultiert die Kommission die von den einzelnen Mitgliedstaaten benannten Sachverständigen, im Einklang mit den in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung enthaltenen Grundsätzen.
(5)
Sobald die Kommission einen delegierten Rechtsakt erlässt, übermittelt sie ihn gleichzeitig dem Europäischen Parlament und dem Rat.
(6)
Ein delegierter Rechtsakt, der gemäß Artikel 31 Absatz 6 und Artikel 43 Absatz 2 erlassen wurde, tritt nur in Kraft, wenn weder das Europäische Parlament noch der Rat innerhalb einer Frist von drei Monaten nach Übermittlung dieses Rechtsakts an das Europäische Parlament und den Rat Einwände erhoben haben oder wenn vor Ablauf dieser Frist sowohl das Europäische Parlament als auch der Rat der Kommission mitgeteilt haben, dass sie keine Einwände erheben werden. Auf Initiative des Europäischen Parlaments oder des Rates wird diese Frist um drei Monate verlängert.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 58
Überprüfungsklausel
DORA (EU 2022/2554)
(1)
Bis zum 17. Januar 2028 führt die Kommission nach Konsultation der ESA und des ESRB, je nach Sachlage, eine Überprüfung durch und legt dem Europäischen Parlament und dem Rat einen Bericht vor, gegebenenfalls zusammen mit einem Gesetzgebungsvorschlag. Die Überprüfung muss sich mindestens auf Folgendes erstrecken:
a)
die Kriterien für die Benennung kritischer IKT-Drittdienstleister gemäß Artikel 31 Absatz 2;
b)
die Freiwilligkeit der Meldung erheblicher Cyberbedrohungen gemäß Artikel 19;
c)
die Regelung gemäß Artikel 31 Absatz 12 und die Befugnisse der federführenden Überwachungsbehörde gemäß Artikel 35 Absatz 1 Buchstabe d Ziffer iv erster Gedankenstrich, um die Wirksamkeit dieser Bestimmungen im Hinblick auf die Gewährleistung einer wirksamen Überwachung kritischer IKT-Drittdienstleister mit Sitz in einem Drittland und die Notwendigkeit der Gründung eines Tochterunternehmens in der Union zu bewerten. Für die Zwecke von Unterabsatz 1 dieses Buchstabens umfasst die Überprüfung eine Analyse der Regelung gemäß Artikel 31 Absatz 12, einschließlich hinsichtlich der Bedingungen für den Zugang von Finanzunternehmen der Union zu Dienstleistungen aus Drittländern und der Verfügbarkeit dieser Dienstleistungen auf dem Unionsmarkt, und berücksichtigt weitere Entwicklungen auf den Märkten für die unter diese Verordnung fallenden Dienstleistungen, die von Finanzunternehmen und Finanzaufsichtsbehörden bei der Anwendung dieser Regelung bzw. der damit verbundenen Beaufsichtigung gewonnenen praktischen Erfahrungen sowie alle einschlägigen regulatorischen und aufsichtlichen Entwicklungen auf internationaler Ebene.
d)
die Angemessenheit der Einbeziehung derjenigen in Artikel 2 Absatz 3 Buchstabe e genannten Finanzunternehmen in den Geltungsbereich dieser Verordnung, die automatisierte Vertriebssysteme nutzen, unter Berücksichtigung künftiger Marktentwicklungen im Zusammenhang mit der Nutzung solcher Systeme;
e)
die Funktionsweise und Wirksamkeit des JON bei der Förderung der Kohärenz der Überwachung und der Effizienz des Informationsaustauschs innerhalb des Überwachungsrahmens.
(2)
Im Zusammenhang mit der Überprüfung der Richtlinie (EU) 2015/2366 bewertet die Kommission, ob die Resilienz von Zahlungssystemen und Zahlungsabwicklungstätigkeiten gegenüber Cyberangriffen erhöht werden muss und ob es angemessen ist, den Geltungsbereich dieser Verordnung auf Betreiber von Zahlungssystemen und an Zahlungsabwicklungstätigkeiten beteiligte Stellen auszuweiten. Die Kommission legt unter Berücksichtigung des Ergebnisses dieser Bewertung dem Europäischen Parlament und dem Rat im Rahmen der Überprüfung der Richtlinie (EU) 2015/2366 bis spätestens 17. Juli 2023 einen Bericht vor.
Auf der Grundlage dieses Überprüfungsberichts und nach Konsultation der ESA, der EZB und des ESRB kann die Kommission gegebenenfalls als Teil des Gesetzgebungsvorschlags, den sie gemäß Artikel 108 Unterabsatz 2 der Richtlinie (EU) 2015/2366 annehmen kann, einen Vorschlag unterbreiten, mit dem sichergestellt wird, dass alle Betreiber von Zahlungssystemen und alle an Zahlungsabwicklungstätigkeiten beteiligte Stellen einer angemessenen Überwachung unterliegen, wobei der bestehenden Überwachung durch die Zentralbank Rechnung zu tragen ist.
(3)
Bis zum 17. Januar 2026 führt die Kommission nach Konsultation der ESA und des Ausschusses der Europäischen Aufsichtsstellen für Abschlussprüfer eine Überprüfung durch und legt — gegebenenfalls zusammen mit einem Gesetzgebungsvorschlag — dem Europäischen Parlament und dem Rat einen Bericht darüber vor, ob strengere Anforderungen an Abschlussprüfer und Prüfungsgesellschaften in Bezug auf die digitale operationale Resilienz angemessen sind, indem Abschlussprüfer und Prüfungsgesellschaften in den Geltungsbereich der vorliegenden Verordnung aufgenommen werden oder die Richtlinie 2006/43/EG des Europäischen Parlaments und des Rates (39) geändert wird.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 59
Änderungen der Verordnung (EG) Nr. 1060/2009
DORA (EU 2022/2554)
Die Verordnung (EG) Nr. 1060/2009 wird wie folgt geändert:
1.
Anhang I Abschnitt A Nummer 4 Unterabsatz 1 erhält folgende Fassung: „Eine Ratingagentur verfügt über eine solide Verwaltung und Rechnungslegung, interne Kontrollmechanismen, effiziente Verfahren für die Risikobewertung sowie wirksame Kontroll- und Sicherheitsmechanismen für den Betrieb von IKT-Systemen gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*1). (*1) Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1).“ "
2.
Anhang III Nummer 12 erhält folgende Fassung: „12. Die Ratingagentur verstößt gegen Artikel 6 Absatz 2 in Verbindung mit Anhang I Abschnitt A Nummer 4, wenn sie über keine solide Verwaltung und Rechnungslegung, keine internen Kontrollmechanismen, keine effizienten Verfahren für die Risikobewertung oder keine wirksamen Kontroll- und Sicherheitsmechanismen für den Betrieb von IKT-Systemen gemäß der Verordnung (EU) 2022/2554 verfügt oder wenn sie keine Entscheidungsprozesse oder keine Organisationsstruktur nach Maßgabe jener Nummer schafft oder unterhält.“
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 60
Änderungen der Verordnung (EU) Nr. 648/2012
DORA (EU 2022/2554)
Änderungsartikel (EMIR) — Rahmensätze und zitierte Neufassung von Anhang I EMIR im Korpus unvollständig erfasst
(3)
„(3) Eine CCP muss dauerhaft über eine Organisationsstruktur verfügen, die Kontinuität und ein ordnungsgemäßes Funktionieren im Hinblick auf die Erbringung ihrer Dienstleistungen und Ausübung ihrer Tätigkeiten gewährleistet. Sie muss angemessene und verhältnismäßige Systeme, Ressourcen und Verfahren einsetzen, einschließlich IKT-Systemen, die gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*2) betrieben werden.
(1)
„(1) Eine CCP hat eine angemessene Geschäftsfortführungsleitlinie sowie einen Notfallwiederherstellungsplan — der eine IKT-Geschäftsfortführungsleitlinie und IKT- Reaktions- und Wiederherstellungspläne umfasst, die nach der Verordnung (EU) 2022/2554 aufgestellt und umgesetzt werden — festzulegen, umzusetzen und zu befolgen, mit dem Ziel eine Aufrechterhaltung der Funktionen der CCP, eine rechtzeitige Wiederherstellung des Geschäftsbetriebs sowie eine Erfüllung der Pflichten der CCP zu gewährleisten.“
(3)
„(3) Um die einheitliche Anwendung dieses Artikels zu gewährleisten, erarbeitet die ESMA nach Anhörung der Mitglieder des ESZB Entwürfe für technische Regulierungsstandards, in denen der Mindestinhalt und die Anforderungen an die Geschäftsfortführungsleitlinie und an den Notfallwiederherstellungsplan, unter Ausschluss der IKT-Geschäftsfortführungsleitlinie und der Pläne für Notfallwiederherstellung, festgelegt werden.“
(3)
„(3) Um die einheitliche Anwendung dieses Artikels zu gewährleisten, erarbeitet die ESMA Entwürfe für technische Regulierungsstandards, in denen die Einzelheiten des in Absatz 1 genannten Antrags auf Registrierung festgelegt werden, mit Ausnahme der Anforderungen im Zusammenhang mit dem IKT-Risikomanagement.“
(1)
„(1) Ein Transaktionsregister ermittelt Quellen operationeller Risiken und minimiert diese Risiken durch die Entwicklung angemessener Systeme, Kontrollen und Verfahren, einschließlich IKT-Systemen, die gemäß der Verordnung (EU) 2022/2554 betrieben werden.
(2)
Ein Transaktionsregister hat eine angemessene Geschäftsfortführungsleitlinie und einen Notfallwiederherstellungsplan — einschließlich einer IKT-Geschäftsfortführungsleitlinie und IKT-Reaktions- und Wiederherstellungsplänen, die nach der Verordnung (EU) 2022/2554 eingerichtet werden — festzulegen, umzusetzen und zu befolgen, mit dem Ziel, die Aufrechterhaltung der Funktionen des Transaktionsregisters, die rechtzeitige Wiederherstellung des Geschäftsbetriebs sowie die Erfüllung der Pflichten des Transaktionsregisters zu gewährleisten.“
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 61
Änderungen der Verordnung (EU) Nr. 909/2014
DORA (EU 2022/2554)
Änderungsartikel (CSDR) — Rahmensätze im Korpus unvollständig erfasst
(1)
„(1) Ein Zentralverwahrer ermittelt Quellen des internen und externen operationellen Risikos und hält deren Auswirkungen durch den Einsatz angemessener IKT-Tools, Verfahren und Strategien, die gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*3) eingerichtet und verwaltet werden, sowie durch alle anderen relevanten angemessenen Instrumente, Kontrollen und Verfahren für andere Arten operationeller Risiken, auch für alle von ihm betriebenen Wertpapierliefer- und -abrechnungssysteme, so gering wie möglich.
(3)
„(3) Für die von ihm erbrachten Dienstleistungen und jedes von ihm betriebene Wertpapierliefer- und -abrechnungssystem legt ein Zentralverwahrer eine angemessene Geschäftsfortführungsleitlinie sowie einen Notfallwiederherstellungsplan, einschließlich einer IKT-Geschäftsfortführungsleitlinie und IKT-Reaktions- und Wiederherstellungspläne, die gemäß der Verordnung (EU) 2022/2554 eingerichtet werden, fest, die er anwendet und befolgt, um bei Ereignissen, die ein beträchtliches Risiko einer Beeinträchtigung des Geschäftsbetriebs bergen, das Aufrechterhalten der Dienstleistungen, die rasche Wiederherstellung des Geschäftsbetriebs und die Erfüllung seiner Pflichten zu gewährleisten.
(4)
Der Plan nach Absatz 3 muss eine Wiederherstellung aller Geschäfte und Positionen der Teilnehmer zum Zeitpunkt der Störung ermöglichen, damit die Teilnehmer eines Zentralverwahrers ihre Tätigkeiten in sicherer Weise fortsetzen und Lieferungen und Abrechnungen zum geplanten Termin vornehmen können; hierzu gehört auch die Vorsorge, dass kritische IT-Systeme nach der Störung wieder in Betrieb genommen werden können, so wie in Artikel 12 Absätze 5 und 7 der Verordnung (EU) 2022/2554 vorgesehen.“
(6)
„(6) Ein Zentralverwahrer ermittelt, überwacht und managt die Risiken, die von wichtigen Teilnehmern an den von ihm betriebenen Wertpapierliefer- und -abrechnungssystemen sowie von Dienstleistern und Versorgungsbetrieben, anderen Zentralverwahrern oder anderen Marktinfrastrukturen für seinen Geschäftsbetrieb ausgehen könnten. Er unterrichtet die zuständige Behörde sowie die betreffenden Behörden auf Verlangen über alle solchermaßen ermittelten Risiken. Er unterrichtet die zuständige Behörde sowie die betreffenden Behörden ferner unverzüglich über alle Störfälle infolge dieser Risiken, die nicht im Zusammenhang mit dem IKT-Risiko auftreten.“
(7)
„(7) Die ESMA arbeitet in enger Abstimmung mit den Mitgliedern des ESZB Entwürfe technischer Regulierungsstandards aus, in denen die operationellen Risiken nach den Absätzen 1 und 6 — mit Ausnahme von IKT-Risiken — sowie die Verfahren zur Prüfung, Bewältigung oder Minimierung dieser Risiken einschließlich der Geschäftsfortführungsleitlinien und der Notfallsanierungspläne nach den Absätzen 3 und 4 sowie der Verfahren zu ihrer Beurteilung präzisiert werden.“
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 62
Änderungen der Verordnung (EU) Nr. 600/2014
DORA (EU 2022/2554)
Die Verordnung (EU) Nr. 600/2014 wird wie folgt geändert:
1.
Artikel 27g wird wie folgt geändert: a) Absatz 4 erhält folgende Fassung: „(4) Ein APA muss die in der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*4) festgelegten Anforderungen in Bezug auf die Sicherheit von Netzwerk- und Informationssystemen erfüllen.“ (*4) Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1).“ " b) Absatz 8 Buchstabe c erhält folgende Fassung: „c) die konkreten organisatorischen Anforderungen nach den Absätzen 3 und 5.“
2.
Artikel 27h wird wie folgt geändert: a) Absatz 5 erhält folgende Fassung: „(5) Ein CTP muss die in der Verordnung (EU) 2022/2554 festgelegten Anforderungen in Bezug auf die Sicherheit von Netzwerk- und Informationssystemen erfüllen.“ b) in Absatz 8 erhält Buchstabe e folgende Fassung: „e) die konkreten organisatorischen Anforderungen nach Absatz 4.“
3.
Artikel 27i wird wie folgt geändert: a) Absatz 3 erhält folgende Fassung: „(3) Ein ARM muss die in der Verordnung (EU) 2022/2554 festgelegten Anforderungen in Bezug auf die Sicherheit von Netzwerk- und Informationssystemen erfüllen.“ b) Absatz 5 Buchstabe b erhält folgende Fassung: „b) die konkreten organisatorischen Anforderungen nach den Absätzen 2 und 4.“
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 63
Änderungen der Verordnung (EU) 2016/1011
DORA (EU 2022/2554)
In Artikel 6 der Verordnung (EU) 2016/1011 wird folgender Absatz angefügt:
„(6)
„(6)
Für kritische Referenzwerte verfügt ein Administrator über eine solide Verwaltung und Rechnungslegung, interne Kontrollmechanismen, effiziente Verfahren für die Risikobewertung sowie wirksame Kontroll- und Sicherheitsmechanismen für den Betrieb von IKT-Systemen gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*5).
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 64
Inkrafttreten und Anwendung
DORA (EU 2022/2554)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Sie gilt ab dem 17. Januar 2025.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 1
Gesamtrisikoprofil und -komplexität
RTS IKT-Risikomanagement (2024/1774)
Bei der Entwicklung und Implementierung der Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit nach Titel II und des vereinfachten IKT-Risikomanagementrahmens nach Titel III werden Größe und Gesamtrisikoprofil des Finanzunternehmens sowie die Art und der Umfang seiner Dienstleistungen, Tätigkeiten und Geschäfte und die Elemente berücksichtigt, die deren Komplexität erhöhen oder verringern, darunter:
1 Sollmaßnahme
ISMS-4.1.001Proportionalitätsprinzip
a)
Verschlüsselung und Kryptografie;
1 Sollmaßnahme zu lit. a
A-5.1.048Richtlinie für Verschlüsselung und kryptografische Kontrollen: Erstellung
b)
IKT-Betriebssicherheit;
1 Sollmaßnahme zu lit. b
A-5.1.168Richtlinie für den sicheren IKT-Betrieb: Erstellung
c)
Netzwerksicherheit;
1 Sollmaßnahme zu lit. c
A-5.1.062Richtlinie für das Management der Netzwerksicherheit: Erstellung
d)
IKT-Projekt- und -Änderungsmanagement;
2 Sollmaßnahmen zu lit. d
A-5.1.124Richtlinie für das IKT-Änderungsmanagement: Erstellung
A-5.1.127Richtlinie für das IKT-Projektmanagement: Erstellung
e)
die potenziellen Auswirkungen des IKT-Risikos auf die Vertraulichkeit, Integrität und Verfügbarkeit von Daten sowie von Störungen, die die Kontinuität und Verfügbarkeit der Tätigkeiten des Finanzunternehmens beeinträchtigen.
1 Sollmaßnahme zu lit. e
A-5.1.241IKT-Geschäftsfortführungsleitlinie: Erstellung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Allgemeine Elemente der Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen stellen sicher, dass ihre IKT-Sicherheitsrichtlinien, die Informationssicherheit und die damit verbundenen Verfahren, Protokolle und Tools nach Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 in ihren IKT-Risikomanagementrahmen eingebettet sind. Die Finanzunternehmen legen Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit nach diesem Kapitel fest, die
2 Sollmaßnahmen · 1 Zieldokument
Anforderungen an die Informationssicherheitsleitlinie· 2 hierkatalogweit 8 in 3 Artikeln
A-5.1.031Anforderungen an die Informationssicherheitsleitlinie: Anweisung themenspezifischer Sicherheitsrichtlinien
A-5.1.032Anforderungen an die Informationssicherheitsleitlinie: Verhältnismäßigkeit nach Größe und Risikoprofil
a)
die Netzwerksicherheit gewährleisten;
1 Sollmaßnahme zu lit. a
A-5.1.062Richtlinie für das Management der Netzwerksicherheit: Erstellung
b)
Schutzvorkehrungen gegen Eindringen und Missbrauch von Daten umfassen;
2 Sollmaßnahmen zu lit. b
A-8.16.011Verfahren zur Daten- und Systemsicherheit: Angriffserkennung und -prävention
A-8.16.014Schutz vor unbefugtem Eindringen in IKT-Systeme
c)
die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten wahren, einschließlich durch den Einsatz kryptografischer Techniken;
2 Sollmaßnahmen zu lit. c
A-5.1.048Richtlinie für Verschlüsselung und kryptografische Kontrollen: Erstellung
A-8.24.007Kryptografische Kontrollen gemäß Schutzbedarf/ Risiko
d)
eine präzise und rasche Datenübermittlung ohne wesentliche Störungen und unangemessene Verzögerungen gewährleisten.
2 Sollmaßnahmen zu lit. d
A-5.1.077Richtlinie für das Management der Netzwerksicherheit: zuverlässige und zeitnahe Datenübermittlung
A-8.20.008Netzwerkbetrieb und Verfügbarkeit
(2)
Die Finanzunternehmen stellen sicher, dass die in Absatz 1 genannten IKT-Sicherheitsrichtlinien
a)
auf die Ziele für die Informationssicherheit des Finanzunternehmens abgestimmt sind, die in der in Artikel 6 Absatz 8 der Verordnung (EU) 2022/2554 genannten Strategie für die digitale operationale Resilienz enthalten sind;
— keine Sollmaßnahme im Katalog zugeordnet
b)
das Datum der förmlichen Genehmigung der IKT-Sicherheitsrichtlinien durch das Leitungsorgan enthalten;
— keine Sollmaßnahme im Katalog zugeordnet
c)
Indikatoren und Maßnahmen für Folgendes umfassen: i) Überwachung der Implementierung der Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit, ii) Erfassung von Ausnahmen von dieser Implementierung, iii) Gewährleistung, dass bei Ausnahmen im Sinne von Ziffer ii die digitale operationale Resilienz des Finanzunternehmens sichergestellt ist;
— keine Sollmaßnahme im Katalog zugeordnet
d)
die Verantwortlichkeiten der Mitarbeiter auf allen Ebenen festlegen, um die IKT-Sicherheit des Finanzunternehmens zu gewährleisten;
— keine Sollmaßnahme im Katalog zugeordnet
e)
die Folgen einer Nichteinhaltung der IKT-Sicherheitsrichtlinien durch Mitarbeiter des Finanzunternehmens spezifizieren, sofern einschlägige Bestimmungen nicht in anderen Richtlinien des Finanzunternehmens enthalten sind;
1 Sollmaßnahme zu lit. e
A-6.4.001Maßregelung bei Verstößen gegen IKT-Sicherheitsrichtlinien
f)
ein Verzeichnis der erforderlichen Dokumentation umfassen;
— keine Sollmaßnahme im Katalog zugeordnet
g)
die Regelungen für die Aufgabentrennung nach dem Modell der drei Verteidigungslinien oder gegebenenfalls einem anderen internen Modell für Risikomanagement und Kontrolle spezifizieren, um Interessenkonflikte zu vermeiden;
— keine Sollmaßnahme im Katalog zugeordnet
h)
führende Praktiken und gegebenenfalls Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 berücksichtigen;
— keine Sollmaßnahme im Katalog zugeordnet
i)
die Aufgaben und Verantwortlichkeiten für die Entwicklung, Implementierung und Aufrechterhaltung von Richtlinien, Verfahren, Protokollen und Tools für IKT-Sicherheit festlegen;
— keine Sollmaßnahme im Katalog zugeordnet
j)
im Einklang mit Artikel 6 Absatz 5 der Verordnung (EU) 2022/2554 überprüft werden;
— keine Sollmaßnahme im Katalog zugeordnet
k)
wesentliche Änderungen in Bezug auf das Finanzunternehmen, einschließlich wesentlicher Änderungen der Tätigkeiten oder Prozesse des Finanzunternehmens, der Cyberbedrohungslage oder der geltenden rechtlichen Verpflichtungen, berücksichtigen.
— keine Sollmaßnahme im Katalog zugeordnet
24 Sollmaßnahmen · ISMS-Anforderungen zuerst, dann alphabetisch nach Zieldokument
ISMS-5.2.002Informationssicherheitsleitlinie: Erstellung
ISMS-7.5.001Formale Anforderungen an IKT-Sicherheitsrichtlinien
A-5.1.029Anforderungen an die Informationssicherheitsleitlinie: Inhaltliche Mindestanforderungen
A-5.1.241IKT-Geschäftsfortführungsleitlinie: Erstellung
A-5.1.153Kommunikationsrichtlinie: Erstellung
A-5.1.184Leitlinie zur Nutzung von IKT-Dienstleistungen: Erstellung
A-5.1.189Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Erstellung
A-5.1.111Patch-Management-Richtlinie: inhaltliche Mindestanforderungen
A-5.1.127Richtlinie für das IKT-Projektmanagement: Erstellung
A-5.1.157Richtlinie für das IKT-Vorfallmanagement: Erstellung
A-5.1.124Richtlinie für das IKT-Änderungsmanagement: Erstellung
A-5.1.112Richtlinie für das Identitäts- und Berechtigungsmanagement: Erstellung
A-5.1.096Richtlinie für das Management interner Tester: Erstellung
A-5.1.168Richtlinie für den sicheren IKT-Betrieb: Erstellung
A-5.1.144IDV-Richtlinie: Erstellung
A-5.1.145Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Erstellung
A-5.1.097Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Erstellung
A-5.1.091Richtlinie zum DOR-Testprogramm: Erstellung
A-5.1.010Richtlinie zum IKT-Assetmanagement: Erstellung
A-5.1.025Richtlinie zum IKT-Risikomanagement: Erstellung
A-5.1.038Richtlinie zum Schutz von Informationen bei der Übermittlung: Erstellung
A-5.1.036Richtlinie zum zulässigen Gebrauch von Informationswerten: Erstellung
A-5.1.082Richtlinie zur Datensicherung: Erstellung
A-5.1.042Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie): Erstellung
↓ Die zugeordneten Sollmaßnahmen stehen unten in der Gesamtliste dieses Absatzes.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
IKT-Risikomanagement
RTS IKT-Risikomanagement (2024/1774)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren Richtlinien und Verfahren für das IKT-Risikomanagement, die alle folgenden Elemente umfassen:
a)
einen Verweis auf die Genehmigung der nach Artikel 6 Absatz 8 Buchstabe b der Verordnung (EU) 2022/2554 festgelegten Risikotoleranzschwelle für IKT-Risiken;
1 Sollmaßnahme zu lit. a
A-5.1.028Richtlinie zum IKT-Risikomanagement: Angabe des IKT-Risikotoleranzniveaus
b)
ein Verfahren und eine Methodik für die Durchführung der IKT-Risikobewertung, um Folgendes zu ermitteln: i) Schwachstellen und Bedrohungen, die die unterstützten Unternehmensfunktionen, die IKT-Systeme und die IKT-Assets, die diese Funktionen unterstützen, beeinträchtigen oder beeinträchtigen könnten, ii) die quantitativen oder qualitativen Indikatoren zur Messung der Auswirkungen und der Wahrscheinlichkeit eines Auftretens der unter Ziffer i genannten Schwachstellen und Bedrohungen;
3 Sollmaßnahmen zu lit. b · 1 Zieldokument
Verfahren zur IKT-Risikobewertung· 3 hier
ISMS-6.1.2.001Verfahren zur IKT-Risikobewertung: Erstellung
ISMS-6.1.2.002Verfahren zur IKT-Risikobewertung: Identifikation von Schwachstellen und Bedrohungen
ISMS-6.1.2.003Verfahren zur IKT-Risikobewertung: Indikatoren für Auswirkung und Eintrittswahrscheinlichkeit
c)
das Verfahren zur Ermittlung, Implementierung und Dokumentation von Maßnahmen für die Behandlung von IKT-Risiken mit Blick auf die ermittelten und bewerteten IKT-Risiken, einschließlich der Festlegung von Maßnahmen für die Behandlung von IKT-Risiken, die erforderlich sind, um diese unter die Risikotoleranzschwelle nach Buchstabe a zu senken;
4 Sollmaßnahmen zu lit. c · 1 Zieldokument · 1 Nachweis
Verfahren zur IKT-Risikobehandlung· 3 hier
ISMS-6.1.3.001Verfahren zur IKT-Risikobehandlung: Erstellung
ISMS-6.1.3.007Wirksamkeitsüberwachung und interne Abgleiche durch die Kontrollfunktion
ISMS-6.1.3.008Verfahren zur IKT-Risikobehandlung: Katalog der IKT-Sicherheitsmaßnahmen
Nachweise / operative Umsetzung· 1 hier
ISMS-8.3.002Umsetzung der IKT-Sicherheitsmaßnahmen
d)
für IKT-Restrisiken, die nach der Implementierung der Maßnahmen für die Behandlung von IKT-Risiken gemäß Buchstabe c weiter bestehen: i) Bestimmungen über die Ermittlung dieser IKT-Restrisiken, ii) die Zuweisung von Aufgaben und Verantwortlichkeiten mit Blick auf 1. das Eingehen von IKT-Restrisiken, die die Risikotoleranzschwelle nach Buchstabe a des Finanzunternehmens überschreiten, 2. das Überprüfungsverfahren gemäß Buchstabe d Ziffer iv, iii) die Erstellung eines Inventars der eingegangenen IKT-Restrisiken, einschließlich einer Begründung, weshalb sie eingegangen wurden, iv) Bestimmungen über die Überprüfung der eingegangenen IKT-Restrisiken, die mindestens einmal jährlich vorgenommen wird, einschließlich zur 1. Ermittlung etwaiger Änderungen der IKT-Restrisiken, 2. Bewertung der verfügbaren Abhilfemaßnahmen, 3. Bewertung, ob die Gründe für das Eingehen der IKT-Restrisiken zum Zeitpunkt der Überprüfung noch gültig und anwendbar sind;
5 Sollmaßnahmen zu lit. d · 1 Zieldokument
Verfahren zur IKT-Risikobehandlung· 5 hier
ISMS-6.1.3.002Verfahren zur IKT-Risikobehandlung: Identifizierung von IKT-Restrisiken
ISMS-6.1.3.003Verfahren zur IKT-Risikobehandlung: Rollen für das Eingehen von Restrisiken
ISMS-6.1.3.004Verfahren zur IKT-Risikobehandlung: Überprüfungsverfahren eingegangener Restrisiken
ISMS-6.1.3.005Verfahren zur IKT-Risikobehandlung: Führung des IKT-Risikoinventars
ISMS-6.1.3.006Verfahren zur IKT-Risikobehandlung: jährliche Überprüfung akzeptierter Restrisiken
e)
Bestimmungen über die Überwachung i) jeglicher Änderungen der IKT-Risiken und der Cyberbedrohungslage, ii) interner und externer Schwachstellen und Bedrohungen, iii) des IKT-Risikos des Finanzunternehmens, damit Änderungen, die sich auf sein IKT-Risikoprofil auswirken könnten, rasch erkannt werden können;
5 Sollmaßnahmen zu lit. e · 2 Zieldokumente · 2 Nachweise
Verfahren für das Schwachstellenmanagement· 2 hierkatalogweit 13 in 4 Artikeln
A-8.8.007Verfahren für das Schwachstellenmanagement: Überwachung der Bedrohungslage (Threat Intelligence)
A-8.8.008Verfahren für das Schwachstellenmanagement: Identifikation interner und externer Schwachstellen
Richtlinie zum IKT-Risikomanagement· 1 hierkatalogweit 4 in 3 Artikeln
A-5.1.025Richtlinie zum IKT-Risikomanagement: Erstellung
Nachweise / operative Umsetzung· 2 hier
A-5.7.002Laufende Überwachung der IKT-Bedrohungslage
A-8.8.026Identifikation und Auswertung von Schwachstellen
f)
Bestimmungen über ein Verfahren, mit dem sichergestellt wird, dass alle Änderungen der Geschäftsstrategie und der Strategie für die digitale operationale Resilienz des Finanzunternehmens berücksichtigt werden.
1 Sollmaßnahme zu lit. f
A-5.1.026Richtlinie zum IKT-Risikomanagement: Berücksichtigung von Strategieänderungen
Für die Zwecke von Absatz 1 Buchstabe c stellt das dort genannte Verfahren sicher, dass
a)
die Wirksamkeit der implementierten Maßnahmen für die Behandlung von IKT-Risiken überwacht wird;
— keine Sollmaßnahme im Katalog zugeordnet
b)
bewertet wird, ob die festgelegten Risikotoleranzschwellen des Finanzunternehmens erreicht wurden;
— keine Sollmaßnahme im Katalog zugeordnet
c)
bewertet wird, ob das Finanzunternehmen tätig geworden ist, um diese Maßnahmen erforderlichenfalls zu korrigieren oder zu verbessern.
— keine Sollmaßnahme im Katalog zugeordnet
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Richtlinie für das Management von IKT-Assets
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools eine Richtlinie für das Management von IKT-Assets.
1 Sollmaßnahme
A-5.1.010Richtlinie zum IKT-Assetmanagement: Erstellung
(2)
Die in Absatz 1 genannte Richtlinie für das Management von IKT-Assets enthält
a)
Vorschriften für die Überwachung und das Management des Lebenszyklus von IKT-Assets, die gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 ermittelt und klassifiziert werden;
1 Sollmaßnahme zu lit. a
A-5.1.013Richtlinie zum IKT-Assetmanagement: Lebenszyklussteuerung nach Kritikalität
b)
Vorschriften, wonach das Finanzunternehmen in seinen Aufzeichnungen Folgendes erfasst: i) die eindeutige Kennung jedes IKT-Assets, ii) Informationen über den physischen oder logischen Standort aller IKT-Assets, iii) die Klassifizierung aller IKT-Assets gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2254, iv) die Identität der Eigentümer von IKT-Assets, v) die Unternehmensfunktionen oder -dienstleistungen, die durch das IKT-Asset unterstützt werden, vi) die für die IKT-Geschäftsfortführung geltenden Anforderungen, einschließlich der Vorgaben für die Wiederherstellungszeit und die Wiederherstellungspunkte, vii) die Möglichkeit eines Zugriffs auf das IKT-Asset über externe Netzwerke, einschließlich des Internets, viii) die Verbindungen und Interdependenzen zwischen IKT-Assets und den Unternehmensfunktionen, die die einzelnen IKT-Assets nutzen, ix) für alle IKT-Assets gegebenenfalls die Fristen bis zum Ende des Zeitraums, in dem die regelmäßigen, erweiterten und kundenspezifischen Unterstützungsdienstleistungen des IKT-Drittdienstleisters bereitgestellt werden und nach dem diese IKT-Assets nicht mehr von ihrem Anbieter oder einem IKT-Drittdienstleister unterstützt werden;
17 Sollmaßnahmen zu lit. b · 2 Zieldokumente
Richtlinie zum IKT-Assetmanagement· 9 hierkatalogweit 15 in 6 Artikeln
A-5.1.012Richtlinie zum IKT-Assetmanagement: Führung der Asset-Inventare (Pflichtelemente)
A-5.1.014Richtlinie zum IKT-Assetmanagement: Dokumentation der eindeutigen Kennung je Asset im Inventar
A-5.1.015Richtlinie zum IKT-Assetmanagement: Dokumentation des Standorts der Assets im Inventar
A-5.1.016Richtlinie zum IKT-Assetmanagement: Dokumentation der Klassifizierung der Assets im Inventar
A-5.1.017Richtlinie zum IKT-Assetmanagement: Dokumentation der Asset-Eigentümer im Inventar
A-5.1.018Richtlinie zum IKT-Assetmanagement: Dokumentation der Wiederherstellungszeiten und -punkte im Inventar
A-5.1.019Richtlinie zum IKT-Assetmanagement: Dokumentation der Erreichbarkeit über externe Netze
A-5.1.020Richtlinie zum IKT-Assetmanagement: Interdependenzen Asset zu Unternehmensfunktion
A-5.1.021Richtlinie zum IKT-Assetmanagement: Enddaten der Herstellerunterstützung
CMDB-Stammdaten· 8 hierkatalogweit 20 in 4 Artikeln
A-8.9.008CMDB-Stammdaten: Support-Enddaten
A-8.9.009CMDB-Stammdaten: Eindeutige Kennung
A-8.9.010CMDB-Stammdaten: Standortinformation
A-8.9.011CMDB-Stammdaten: Schutzbedarfsklassifizierung
A-8.9.012CMDB-Stammdaten: Asset-Eigentümer
A-8.9.013CMDB-Stammdaten: Unterstützte Geschäftsprozesse
A-8.9.014CMDB-Stammdaten: BC-Anforderungen und Wiederherstellungszeiten
A-8.9.017CMDB-Stammdaten: Externe Netzwerkzugänglichkeit
c)
Vorschriften für Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, wonach diese Finanzunternehmen Aufzeichnungen über die Informationen führen, die für die Durchführung einer spezifischen IKT-Risikobewertung aller IKT-Altsysteme nach Artikel 8 Absatz 7 der Verordnung (EU) 2022/2554 erforderlich sind.
1 Sollmaßnahme zu lit. c
A-5.1.022Richtlinie zum IKT-Assetmanagement: Informationsbasis für Altsystem-Risikobewertung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Verfahren für das Management von IKT-Assets
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren ein Verfahren für das Management von IKT-Assets.
1 Sollmaßnahme
A-5.12.001Verfahren zum IKT-Assetmanagement: Erstellung
(2)
In dem in Absatz 1 genannten Verfahren für das Management von IKT-Assets werden die Kriterien festgelegt, nach denen die Bewertung der Kritikalität von Informationsassets und IKT-Assets, die Unternehmensfunktionen unterstützen, vorgenommen wird. Bei dieser Bewertung wird Folgendes berücksichtigt:
1 Sollmaßnahme
A-5.12.002Verfahren zum IKT-Assetmanagement: Bewertung der Asset-Kritikalität
a)
das IKT-Risiko im Zusammenhang mit diesen Unternehmensfunktionen und deren Abhängigkeit von den Informationsassets oder IKT-Assets;
1 Sollmaßnahme zu lit. a
A-5.12.006Berücksichtigung des IKT-Risikos bei der Schutzbedarfsklassifizierung
b)
mögliche Auswirkungen des Verlusts der Vertraulichkeit, Integrität und Verfügbarkeit solcher Informationsassets und IKT-Assets auf die Geschäftsprozesse und -tätigkeiten der Finanzunternehmen.
1 Sollmaßnahme zu lit. b
A-5.12.007Klassifizierung der Schutzbedarfe nach Schutzzielen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
Verschlüsselung und kryptografische Kontrollen
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools eine Richtlinie für Verschlüsselung und kryptografische Kontrollen.
1 Sollmaßnahme
A-5.1.048Richtlinie für Verschlüsselung und kryptografische Kontrollen: Erstellung
(2)
Die Finanzunternehmen konzipieren die in Absatz 1 genannte Richtlinie für Verschlüsselung und kryptografische Kontrollen auf der Grundlage der Ergebnisse einer genehmigten Datenklassifizierung sowie der IKT-Risikobewertung. Diese Richtlinie enthält Vorschriften zu allen folgenden Aspekten:
2 Sollmaßnahmen
A-5.1.049Richtlinie für Verschlüsselung und kryptografische Kontrollen: differenzierte Verschlüsselungsvorgaben nach Schutzbedarf
A-8.24.007Kryptografische Kontrollen gemäß Schutzbedarf/ Risiko
a)
Verschlüsselung von Daten, die gespeichert sind oder gerade übermittelt werden;
2 Sollmaßnahmen zu lit. a
A-5.1.051Richtlinie für Verschlüsselung und kryptografische Kontrollen: Verschlüsselung von data at rest und in transit
A-8.24.008Verschlüsselung von Daten im Ruhezustand und bei Übertragung
b)
Verschlüsselung von Daten, die gerade verwendet werden, soweit erforderlich;
2 Sollmaßnahmen zu lit. b
A-5.1.052Richtlinie für Verschlüsselung und kryptografische Kontrollen: Verschlüsselung von data in use
A-8.24.009Verschlüsselung von Daten während der Verarbeitung
c)
Verschlüsselung der internen Netzwerkverbindungen und der Datenübermittlungen mit externen Parteien;
2 Sollmaßnahmen zu lit. c
A-5.1.053Richtlinie für Verschlüsselung und kryptografische Kontrollen: Verschlüsselung interner und externer Verbindungen
A-8.24.010Verschlüsselung von Netzwerkverbindungen
d)
Management kryptografischer Schlüssel nach Artikel 7, um die Regeln für die korrekte Verwendung, den Schutz und den Lebenszyklus kryptografischer Schlüssel festzulegen.
2 Sollmaßnahmen zu lit. d
A-5.1.054Richtlinie für Verschlüsselung und kryptografische Kontrollen: Management kryptografischer Schlüssel
A-8.24.001Aufbau einer kryptografischen Schlüsselverwaltung
Ist eine Verschlüsselung gerade verwendeter Daten nicht möglich, verarbeiten die Finanzunternehmen für die Zwecke von Buchstabe b gerade verwendete Daten in einer getrennten und geschützten Umgebung oder ergreifen gleichwertige Maßnahmen, um die Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit der Daten zu gewährleisten.
(3)
Die Finanzunternehmen nehmen in die in Absatz 1 genannte Richtlinie für Verschlüsselung und kryptografische Kontrollen Kriterien für die Auswahl kryptografischer Techniken und Nutzungspraktiken auf, wobei führende Praktiken und Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 sowie die Klassifizierung einschlägiger IKT-Assets gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 zu berücksichtigen sind. Finanzunternehmen, die nicht in der Lage sind, die führenden Praktiken oder Normen einzuhalten oder die zuverlässigsten Techniken anzuwenden, ergreifen Abhilfe- und Überwachungsmaßnahmen, die die Resilienz gegenüber Cyberbedrohungen gewährleisten.
2 Sollmaßnahmen
A-5.1.055Richtlinie für Verschlüsselung und kryptografische Kontrollen: Auswahl kryptografischer Techniken
A-8.24.011Auswahl kryptografischer Techniken nach Schutzbedarf
(4)
Die Finanzunternehmen nehmen in die in Absatz 1 genannte Richtlinie für Verschlüsselung und kryptografische Kontrollen Bestimmungen auf, in denen geregelt ist, wie die kryptografische Technologie aufgrund von Entwicklungen im Bereich der Kryptoanalyse gegebenenfalls zu aktualisieren oder zu ändern ist. Mit solchen Aktualisierungen oder Änderungen wird sichergestellt, dass die kryptografische Technologie nach Maßgabe von Artikel 10 Absatz 2 Buchstabe a gegen Cyberbedrohungen resilient bleibt. Finanzunternehmen, die nicht in der Lage sind, die kryptografische Technologie zu aktualisieren oder zu ändern, ergreifen Abhilfe- und Überwachungsmaßnahmen, die die Resilienz gegenüber Cyberbedrohungen sicherstellen.
2 Sollmaßnahmen
A-5.1.056Richtlinie für Verschlüsselung und kryptografische Kontrollen: Aktualisierung an Kryptoanalyse und Post-Quantum
A-8.24.012Überwachung kryptanalytischer Entwicklungen
(5)
Die Finanzunternehmen nehmen in die in Absatz 1 genannte Richtlinie für Verschlüsselung und kryptografische Kontrollen eine Anforderung auf, nach der die Annahme von Abhilfe- und Überwachungsmaßnahmen im Einklang mit den Absätzen 3 und 4 aufzuzeichnen und zu begründen ist.
2 Sollmaßnahmen
A-5.1.057Richtlinie für Verschlüsselung und kryptografische Kontrollen: Dokumentation von Abweichungen
A-8.24.013Dokumentation von Abweichungen bei Kryptografiestandards
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
Management kryptografischer Schlüssel
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen nehmen in die in Artikel 6 Absatz 2 Buchstabe d genannte Richtlinie für das Management kryptografischer Schlüssel Anforderungen auf, die für das Management kryptografischer Schlüssel über ihren gesamten Lebenszyklus hinweg gelten, einschließlich mit Blick auf die Generierung, Erneuerung, Speicherung, Sicherung, Archivierung, den Abruf, die Übermittlung, Rücknahme, den Widerruf und die Vernichtung dieser kryptografischen Schlüssel.
2 Sollmaßnahmen
A-5.1.058Richtlinie für Verschlüsselung und kryptografische Kontrollen: Lebenszyklus kryptografischer Schlüssel
A-8.24.002Lebenszyklusmanagement kryptografischer Schlüssel
(2)
Die Finanzunternehmen ermitteln und implementieren Kontrollen, um kryptografische Schlüssel während ihres gesamten Lebenszyklus vor Verlust, unbefugtem Zugriff, Offenlegung und Änderung zu schützen. Die Finanzunternehmen konzipieren diese Kontrollen auf der Grundlage der Ergebnisse der genehmigten Datenklassifizierung und der IKT-Risikobewertung.
2 Sollmaßnahmen
A-5.1.059Richtlinie für Verschlüsselung und kryptografische Kontrollen: Schutz kryptografischer Schlüssel
A-8.24.003Schutz kryptografischer Schlüssel
(3)
Die Finanzunternehmen entwickeln und implementieren Methoden, um die kryptografischen Schlüssel im Verlustfall oder bei Beeinträchtigungen oder Beschädigungen dieser Schlüssel auszutauschen.
1 Sollmaßnahme
A-8.24.004Austausch kompromittierter kryptografischer Schlüssel
(4)
Die Finanzunternehmen erstellen und führen für mindestens diejenigen IKT-Assets, die kritische oder wichtige Funktionen unterstützen, ein Register aller Zertifikate und Zertifikatspeicher. Die Finanzunternehmen halten dieses Register auf dem neuesten Stand.
2 Sollmaßnahmen
A-5.1.060Richtlinie für Verschlüsselung und kryptografische Kontrollen: Zertifikatsregister für kwF-Assets
A-8.24.005Zertifikatsregister für kwF-relevante IKT-Assets
(5)
Die Finanzunternehmen stellen sicher, dass die Zertifikate vor Ablauf unverzüglich erneuert werden.
2 Sollmaßnahmen
A-5.1.061Richtlinie für Verschlüsselung und kryptografische Kontrollen: rechtzeitige Zertifikatserneuerung
A-8.24.006Rechtzeitige Erneuerung von Zertifikaten
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 8
Richtlinien und Verfahren für IKT-Vorgänge
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools Richtlinien und Verfahren für das Management der IKT-Vorgänge. In diesen Richtlinien und Verfahren wird festgelegt, wie Finanzunternehmen ihre IKT-Assets betreiben, überwachen, kontrollieren und wiederherstellen, einschließlich der Dokumentation der IKT-Vorgänge.
2 Sollmaßnahmen
A-5.1.168Richtlinie für den sicheren IKT-Betrieb: Erstellung
A-5.37.001Betriebskonzepte: Erstellung
(2)
Die in Absatz 1 genannten Richtlinien und Verfahren für IKT-Vorgänge enthalten alle folgenden Elemente:
a)
eine Beschreibung der IKT-Assets, einschließlich aller folgenden Elemente: i) Anforderungen an die sichere Installation, Wartung, Konfiguration und Deinstallation eines IKT-Systems, ii) Anforderungen an das Management von Informationsassets, die von IKT-Assets genutzt werden, einschließlich ihrer automatisierten und manuellen Verarbeitung und Behandlung, iii) Anforderungen an die Ermittlung und Kontrolle von IKT-Altsystemen;
9 Sollmaßnahmen zu lit. a · 5 Zieldokumente
Betriebskonzepte· 3 hierkatalogweit 19 in 4 Artikeln
A-5.37.002Betriebskonzepte: Beschreibung der IKT-Assets
A-5.37.003Betriebskonzepte: Installation, Wartung, Härtung und Deinstallation
A-5.37.004Betriebskonzepte: Datenverarbeitung
Richtlinie für den sicheren IKT-Betrieb· 3 hierkatalogweit 16 in 6 Artikeln
A-5.1.169Richtlinie für den sicheren IKT-Betrieb: Installation, Härtung und Deinstallation
A-5.1.170Richtlinie für den sicheren IKT-Betrieb: Umgang mit Datenverarbeitung
A-5.1.171Richtlinie für den sicheren IKT-Betrieb: Steuerung von IKT-Altsystemen
CMDB-Stammdaten· 1 hierkatalogweit 20 in 4 Artikeln
A-5.9.009Identifikation und Kontrolle von IKT-Altsystemen
Richtlinie zum IKT-Assetmanagement· 1 hierkatalogweit 15 in 6 Artikeln
A-5.1.023Richtlinie zum IKT-Assetmanagement: Beschreibung der Assets in betrieblichen Aufzeichnungen
Richtlinie zum zulässigen Gebrauch von Informationswerten· 1 hierkatalogweit 1 in 2 Artikeln
A-5.1.036Richtlinie zum zulässigen Gebrauch von Informationswerten: Erstellung
b)
Kontrollen und Überwachung für IKT-Systeme, einschließlich aller folgenden Elemente: i) Anforderungen an die Sicherung und Wiederherstellung von IKT-Systemen, ii) Anforderungen an zeitliche Abläufe unter Berücksichtigung der Interdependenzen zwischen den IKT-Systemen, iii) Protokolle für Prüfpfad- und Systemprotokollinformationen, iv) Anforderungen, mit denen sichergestellt wird, dass bei der Durchführung einer internen Prüfung und anderer Tests Störungen des Geschäftsbetriebs minimiert werden, v) Anforderungen an die Trennung von IKT-Produktionsumgebungen von Entwicklungs-, Test- und anderen Nicht-Produktionsumgebungen, vi) Anforderungen hinsichtlich der Durchführung von Entwicklungs- und Testtätigkeiten in Umgebungen, die von der Produktionsumgebung getrennt sind, vii) Anforderungen im Zusammenhang mit Situationen, in denen die Entwicklungs- und Testtätigkeiten in Produktionsumgebungen durchgeführt werden;
25 Sollmaßnahmen zu lit. b · 7 Zieldokumente · 5 Nachweise
Betriebskonzepte· 6 hierkatalogweit 19 in 4 Artikeln
A-5.37.005Betriebskonzepte: Wartung und Backups
A-5.37.006Betriebskonzepte: Protokollierung von Audit-Trails und System Logs
A-5.37.007Betriebskonzepte: Testen der digitalen operationalen Resilienz
A-5.37.008Betriebskonzepte: Trennung von Produktions- und Nichtproduktionsumgebungen
A-5.37.009Betriebskonzepte: Umgebungen für Entwicklung und Test
A-5.37.010Betriebskonzepte: Ausnahmen bei Test in Produktionsumgebungen
Richtlinie für den sicheren IKT-Betrieb· 4 hierkatalogweit 16 in 6 Artikeln
A-5.1.172Richtlinie für den sicheren IKT-Betrieb: Wartung und Datensicherung
A-5.1.173Richtlinie für den sicheren IKT-Betrieb: Audit-Trails und System-Logs
A-5.1.174Richtlinie für den sicheren IKT-Betrieb: Resilienztests im Betrieb
A-5.1.175Richtlinie für den sicheren IKT-Betrieb: Trennung von Produktions- und Nichtproduktionsumgebungen
Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen· 3 hierkatalogweit 10 in 3 Artikeln
A-5.1.146Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Trennung von Produktions- und Nichtproduktionsumgebungen
A-5.1.147Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Entwicklung und Test außerhalb der Produktion
A-5.1.148Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Tests in Produktion nur ausnahmsweise
Richtlinie zur Datensicherung· 3 hierkatalogweit 9 in 3 Artikeln
A-5.1.082Richtlinie zur Datensicherung: Erstellung
A-5.1.083Richtlinie zur Datensicherung: zeitliche Abläufe und Abhängigkeiten
A-5.1.084Richtlinie zur Datensicherung: Ermittlung der Sicherungsanforderungen
Backup- und Wiederherstellungskonzepte· 2 hierkatalogweit 7 in 2 Artikeln
A-8.13.001Backup- und Wiederherstellungskonzepte: Backup-Art, Intervalle und Aufbewahrung
A-8.13.002Backup- und Wiederherstellungskonzepte: Zeitplan und Job-Reihenfolge unter Abhängigkeiten
Protokollierungsverfahren· 1 hierkatalogweit 17 in 4 Artikeln
A-8.15.002Protokollierungsverfahren: Audit-Trails und System-Logs
Richtlinie zum DOR-Testprogramm· 1 hierkatalogweit 5 in 3 Artikeln
A-5.1.094Richtlinie zum DOR-Testprogramm: störungsfreie Durchführung der Tests
Nachweise / operative Umsetzung· 5 hier
A-5.35.007Prüfung von IKT-Systemen
A-8.15.029Protokollierung von Audit-Trails und System Logs
A-8.31.001Trennung von Produktions- und Nichtproduktionsumgebungen
A-8.31.003Entwicklung und Test außerhalb der Produktionsumgebung
A-8.31.004Ausnahmeregeln für Tests in Produktionsumgebungen
c)
Fehlerbehandlung bei IKT-Systemen, einschließlich aller folgenden Elemente: i) Verfahren und Protokolle für die Fehlerbehandlung, ii) Unterstützung und Ansprechpartner im Eskalationsfall, einschließlich externer Ansprechpartner für die Unterstützung im Falle unerwarteter operationaler oder technischer Probleme, iii) Verfahren für den Neustart, das Zurücksetzen und die Wiederherstellung von IKT-Systemen im Falle einer Störung des IKT-Systems.
6 Sollmaßnahmen zu lit. c · 2 Zieldokumente
Betriebskonzepte· 3 hierkatalogweit 19 in 4 Artikeln
A-5.37.011Betriebskonzepte: Fehlerbehandlung
A-5.37.012Betriebskonzepte: Support- und Eskalationskontakte
A-5.37.013Betriebskonzepte: Neustart, Zurücksetzen und Wiederherstellung
Richtlinie für den sicheren IKT-Betrieb· 3 hierkatalogweit 16 in 6 Artikeln
A-5.1.176Richtlinie für den sicheren IKT-Betrieb: Fehlerbehandlung bei IKT-Systemen
A-5.1.177Richtlinie für den sicheren IKT-Betrieb: Support- und Eskalationskontakte
A-5.1.178Richtlinie für den sicheren IKT-Betrieb: Neustart-, Reset- und Wiederherstellungsverfahren
Für die Zwecke von Buchstabe b Ziffer v werden bei der Trennung alle Komponenten der Umgebung berücksichtigt, einschließlich Konten, Daten oder Verbindungen, wie in Artikel 13 Absatz 1 Buchstabe a festgelegt.
Für die Zwecke von Buchstabe b Ziffer vii ist in den in Absatz 1 genannten Richtlinien und Verfahren vorzusehen, dass die Fälle, in denen Tests in einer Produktionsumgebung durchgeführt werden, eindeutig zu identifizieren, zu begründen und zeitlich zu begrenzen sind und von der betreffenden Funktion im Einklang mit Artikel 16 Absatz 6 genehmigt werden. Die Finanzunternehmen stellen während der Entwicklungs- und Testtätigkeiten in der Produktionsumgebung die Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität von IKT-Systemen und -Produktionsdaten sicher.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 9
Kapazitäts- und Leistungsmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools Verfahren für das Kapazitäts- und Leistungsmanagement, die Folgendes betreffen:
1 Sollmaßnahme
A-8.6.001Verfahren für das Kapazitäts- und Leistungsmanagement: Erstellung
a)
die Ermittlung der Anforderungen an die Kapazität ihrer IKT-Systeme,
2 Sollmaßnahmen zu lit. a
A-5.37.014Betriebskonzepte: Kapazität der IKT-Systeme
A-8.6.002Verfahren für das Kapazitäts- und Leistungsmanagement: Ermittlung des Kapazitätsbedarfs
b)
die Anwendung von Methoden zur Ressourcenoptimierung,
2 Sollmaßnahmen zu lit. b
A-5.37.015Betriebskonzepte: Ressourcenoptimierung
A-8.6.003Verfahren für das Kapazitäts- und Leistungsmanagement: Methoden zur Ressourcenoptimierung
c)
Überwachungsverfahren, um Folgendes aufrechtzuerhalten und zu verbessern: i) die Verfügbarkeit von Daten und IKT-Systemen, ii) die Effizienz der IKT-Systeme, iii) die Verhinderung von IKT-Kapazitätsengpässen.
2 Sollmaßnahmen zu lit. c
A-5.37.018Betriebskonzepte: Verfügbarkeitsüberwachung gegen Kapazitätsengpässe
A-8.6.004Verfahren für das Kapazitäts- und Leistungsmanagement: Kontrollen gegen Kapazitätsengpässe
(2)
Durch die in Absatz 1 genannten Verfahren für das Kapazitäts- und Leistungsmanagement wird sichergestellt, dass die Finanzunternehmen geeignete Maßnahmen ergreifen, um den Besonderheiten von IKT-Systemen mit langen oder komplexen Beschaffungs- oder Genehmigungsverfahren oder von ressourcenintensiven IKT-Systemen Rechnung zu tragen.
2 Sollmaßnahmen
A-5.37.016Betriebskonzepte: Kapazitätssicherung bei langen Beschaffungsprozessen
A-8.6.005Verfahren für das Kapazitäts- und Leistungsmanagement: Vorsorge bei langen Beschaffungsprozessen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 10
Schwachstellen- und Patch-Management
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools Verfahren für das Schwachstellen-Management.
1 Sollmaßnahme
A-8.8.006Verfahren für das Schwachstellenmanagement: Erstellung
(2)
Die in Absatz 1 genannten Verfahren für das Schwachstellen-Management sorgen dafür, dass
a)
relevante und vertrauenswürdige Informationsressourcen ermittelt und aktualisiert werden, um für Schwachstellen zu sensibilisieren und das Bewusstsein dafür aufrechtzuerhalten,
2 Sollmaßnahmen zu lit. a
A-8.8.009Verfahren für das Schwachstellenmanagement: Genutzte Informationsquellen
A-8.8.027Informationsquellen zur Schwachstellenidentifikation
b)
die Durchführung automatisierter Schwachstellenbewertungen und -scans bei IKT-Assets gewährleistet und dabei sichergestellt wird, dass deren Häufigkeit und Umfang der im Einklang mit Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegten Klassifizierung und dem Gesamtrisikoprofil des IKT-Assets entsprechen,
3 Sollmaßnahmen zu lit. b
A-5.20.054kwF-relevante Vertragsinhalte: Wöchentliche automatisierte Schwachstellenscans
A-8.8.010Verfahren für das Schwachstellenmanagement: Automatisierte Scans (kwF – wöchentlich)
A-8.8.028Automatisierte Schwachstellenscans
c)
überprüft wird, ob i) IKT-Drittdienstleister Schwachstellen angehen, die im Zusammenhang mit den IKT-Dienstleistungen für das Finanzunternehmen stehen, ii) diese Dienstleister dem Finanzunternehmen zumindest die kritischen Schwachstellen und Statistiken und Trends zeitnah melden;
4 Sollmaßnahmen zu lit. c
A-5.20.033Allgemeine Vertragsinhalte: Schwachstellenbehandlung und -meldung
A-5.22.003Schwachstellenmanagement bei IKT-Dienstleistern
A-5.22.031Schwachstellenmeldungen und Ursachenanalyse beim IKT-Dienstleister
A-8.8.011Verfahren für das Schwachstellenmanagement: Steuerung der Dienstleister-Schwachstellen
d)
nachverfolgt wird, wie Folgendes verwendet wird: i) Bibliotheken Dritter, einschließlich Open-Source-Bibliotheken, die für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen genutzt werden, ii) IKT-Dienstleistungen, die das Finanzunternehmen selbst entwickelt hat oder von einem IKT-Drittdienstleister speziell für das Finanzunternehmen angepasst oder entwickelt wurden;
6 Sollmaßnahmen zu lit. d
A-5.1.024Richtlinie zum IKT-Assetmanagement: Nachverfolgung von Drittanbieter- und Open-Source-Bibliotheken
A-5.20.026Allgemeine Vertragsinhalte: Umgang mit Drittanbieter-Bibliotheken
A-5.22.029Verzeichnis und Überwachung von Drittbibliotheken beim IKT-Dienstleister
A-5.9.005Inventar der IKT-Assets und physischen Infrastrukturen
A-8.8.012Verfahren für das Schwachstellenmanagement: Nachverfolgung von Drittanbieter-Bibliotheken
A-8.8.031Management von Softwarebibliotheken und Open-Source-Komponenten
e)
Verfahren für die verantwortungsvolle Offenlegung von Schwachstellen gegenüber Kunden, Gegenparteien und der Öffentlichkeit festgelegt werden,
2 Sollmaßnahmen zu lit. e
A-8.8.013Verfahren für das Schwachstellenmanagement: Verantwortungsvolle Offenlegung
A-8.8.032Verantwortungsvolle Offenlegung von Schwachstellen
f)
die Einführung von Patches und anderen Abhilfemaßnahmen priorisiert wird, um die ermittelten Schwachstellen zu beheben,
2 Sollmaßnahmen zu lit. f
A-8.8.015Verfahren für das Schwachstellenmanagement: Priorisierte Patch-Ausbringung
A-8.8.034Risikoorientiertes Ausbringen von Sicherheitspatches
g)
die Behebung von Schwachstellen überwacht und geprüft wird,
2 Sollmaßnahmen zu lit. g
A-8.8.016Verfahren für das Schwachstellenmanagement: Überwachung und Prüfung der Behebung
A-8.8.030Überwachung der Schwachstellenbehebung
h)
eine Aufzeichnung aller festgestellten Schwachstellen, die IKT-Systeme betreffen, und die Überwachung der Behebung dieser Schwachstellen verlangt werden.
2 Sollmaßnahmen zu lit. h
A-8.8.017Verfahren für das Schwachstellenmanagement: Protokollierung festgestellter Schwachstellen
A-8.8.029Protokollierung und Behebung von Schwachstellen
Für die Zwecke von Buchstabe b führen die Finanzunternehmen die automatisierten Schwachstellenbewertungen und -scans für IKT-Assets bei IKT-Assets, die kritische oder wichtige Funktionen unterstützen, mindestens einmal wöchentlich durch.
Für die Zwecke von Buchstabe c fordern die Finanzunternehmen IKT-Drittdienstleister auf, die einschlägigen Schwachstellen zu untersuchen, die Ursachen zu ermitteln und geeignete Abhilfemaßnahmen zu ergreifen.
Für die Zwecke von Buchstabe d überwachen die Finanzunternehmen, gegebenenfalls in Zusammenarbeit mit dem IKT-Drittdienstleister, die aktuelle Version der Bibliotheken Dritter sowie mögliche Aktualisierungen. Was gebrauchsfertige (Standard-)IKT-Assets oder Komponenten von IKT-Assets betrifft, die für die Ausführung von IKT-Dienstleistungen erworben und verwendet werden, die keine kritischen oder wichtigen Funktionen unterstützen, wird die Nutzung von Bibliotheken Dritter, einschließlich Open-Source-Bibliotheken, von den Finanzunternehmen soweit wie möglich nachverfolgt.
Für die Zwecke von Buchstabe f berücksichtigen die Finanzunternehmen die Kritikalität der Schwachstelle, die im Einklang mit Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegte Klassifizierung sowie das Risikoprofil der IKT-Assets, die von den ermittelten Schwachstellen betroffen sind.
(3)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools Verfahren für das Patch-Management.
1 Sollmaßnahme
A-8.8.001Verfahren für das Patch-Management: Erstellung
(4)
Die in Absatz 3 genannten Verfahren für das Patch-Management dienen dazu,
a)
soweit möglich verfügbare Software- und Hardware-Patches und -Aktualisierungen mithilfe automatisierter Tools zu ermitteln und zu bewerten;
2 Sollmaßnahmen zu lit. a
A-8.8.002Verfahren für das Patch-Management: Automatisierte Ermittlung und Bewertung von Patches
A-8.8.035Einsatz automatisierter Tools zur Patch-Ermittlung
b)
Notfallverfahren für das Patching und die Aktualisierung von IKT-Assets zu ermitteln;
2 Sollmaßnahmen zu lit. b
A-8.8.003Verfahren für das Patch-Management: Notfallverfahren für kritisches Patching
A-8.8.037Notfallverfahren für Patching
c)
Software- und Hardware-Patches und die Aktualisierungen gemäß Artikel 8 Absatz 2 Buchstabe b Ziffern v, vi und vii zu testen und einzuführen;
2 Sollmaßnahmen zu lit. c
A-8.8.004Verfahren für das Patch-Management: Test vor Einführung in getrennter Umgebung
A-8.8.036Testen von Patches vor Einführung
d)
Fristen für die Installation von Software- und Hardware-Patches und von Aktualisierungen zu setzen sowie Eskalationsverfahren für den Fall festzulegen, dass diese Fristen nicht eingehalten werden können.
2 Sollmaßnahmen zu lit. d
A-8.8.005Verfahren für das Patch-Management: Installationsfristen und Eskalation
A-8.8.038Fristen für die Patch-Installation
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 11
Daten- und Systemsicherheit
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools ein Verfahren für die Daten- und Systemsicherheit.
1 Sollmaßnahme
A-8.27.001Verfahren zur Daten- und Systemsicherheit: Erstellung
(2)
Das in Absatz 1 genannte Verfahren für die Daten- und Systemsicherheit umfasst alle folgenden Elemente im Zusammenhang mit der Daten- und IKT-Systemsicherheit im Einklang mit der gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegten Klassifizierung:
1 Sollmaßnahme
A-5.10.001Verfahren zur Daten- und Systemsicherheit: Schutzbedarfsdifferenzierung
a)
die in Artikel 21 dieser Verordnung genannten Zugangsbeschränkungen zur Unterstützung der Anforderungen im Zusammenhang mit dem Schutz für jede Klassifizierungsstufe;
2 Sollmaßnahmen zu lit. a
A-8.3.001Verfahren zur Daten- und Systemsicherheit: Zugangsbeschränkungen
A-8.3.002Identitäts- und Berechtigungsmanagement
b)
die Ermittlung von Mindestanforderungen an eine sichere Konfigurationsbasis für IKT-Assets, durch die die Exposition dieser IKT-Assets gegenüber Cyberbedrohungen minimiert wird, sowie Maßnahmen zur regelmäßigen Überprüfung, ob diese Mindestanforderungen wirksam verwendet werden;
4 Sollmaßnahmen zu lit. b · 1 Zieldokument · 2 Nachweise
Verfahren zur Daten- und Systemsicherheit· 2 hierkatalogweit 21 in 2 Artikeln
A-8.9.002Verfahren zur Daten- und Systemsicherheit: Sichere Konfiguration
A-8.9.003Verfahren zur Daten- und Systemsicherheit: Härtungsvalidierung
Nachweise / operative Umsetzung· 2 hier
A-8.9.019Umsetzung der Härtungsvorgaben für IKT-Systeme
A-8.9.020Überprüfung der Härtungsvorgaben (Soll-Soll- und Soll-Ist-Abgleich)
c)
die Ermittlung von Sicherheitsmaßnahmen, um zu gewährleisten, dass ausschließlich zugelassene Software in IKT-Systemen und Endgeräten installiert wird;
2 Sollmaßnahmen zu lit. c
A-8.19.001Verfahren zur Daten- und Systemsicherheit: Softwarefreigabe
A-8.19.002Installation von Software auf Systemen im Betrieb
d)
die Ermittlung von Sicherheitsmaßnahmen gegen Schadprogramme;
2 Sollmaßnahmen zu lit. d
A-8.7.001Verfahren zur Daten- und Systemsicherheit: Schutz vor Schadsoftware
A-8.7.002Schutz gegen Schadsoftware
e)
die Ermittlung von Sicherheitsmaßnahmen, um zu gewährleisten, dass ausschließlich zugelassene Datenträger, Systeme und Endgeräte für die Übermittlung und Speicherung von Daten des Finanzunternehmens verwendet werden;
2 Sollmaßnahmen zu lit. e
A-7.10.001Verfahren zur Daten- und Systemsicherheit: Zugelassene Datenträger
A-7.10.004Beschränkung auf zugelassene Datenträger und Endgeräte
f)
die folgenden Anforderungen, um die sichere Nutzung tragbarer Endgeräte und privater nicht tragbarer Endgeräte zu gewährleisten: i) die Anforderung einer Lösung für das Management der Endgeräte und die Löschung von Daten des Finanzunternehmens durch Fernzugriff, ii) die Anforderung, Sicherheitsmechanismen zu verwenden, die von den Mitarbeitern oder IKT-Drittdienstleistern nicht auf unbefugte Weise geändert, entfernt oder umgangen werden können, iii) die Anforderung, mobile Datenspeicher nur dann zu verwenden, wenn das IKT-Restrisiko unter der in Artikel 3 Absatz 1 Buchstabe a genannten Risikotoleranzschwelle des Finanzunternehmens liegt;
9 Sollmaßnahmen zu lit. f · 2 Zieldokumente · 2 Nachweise
Verfahren zur Daten- und Systemsicherheit· 4 hierkatalogweit 21 in 2 Artikeln
A-7.10.002Verfahren zur Daten- und Systemsicherheit: Mobile Datenspeicher
A-8.1.001Verfahren zur Daten- und Systemsicherheit: Endgeräte-Anforderungen
A-8.1.002Verfahren zur Daten- und Systemsicherheit: Endgeräte-Management
A-8.1.003Verfahren zur Daten- und Systemsicherheit: Endgeräte-Sicherheitsmechanismen
Endgerätemanagement· 3 hier
A-8.1.004Endgerätemanagement: Sichere Nutzung und Mindestschutzmaßnahmen
A-8.1.005Endgerätemanagement: Fernlöschung von Unternehmensdaten
A-8.1.006Endgerätemanagement: Schutz vor Deaktivierung von Sicherheitsmechanismen
Nachweise / operative Umsetzung· 2 hier
A-7.10.003IKT-Risikobewertung bei Datenspeichergeräten
A-7.10.005IKT-Risikobewertung für mobile Datenspeicher
g)
das Verfahren zur sicheren Löschung von Daten in den Räumlichkeiten des Finanzunternehmens oder von extern gespeicherten Daten, die das Finanzunternehmen nicht mehr erheben oder speichern muss;
2 Sollmaßnahmen zu lit. g
A-8.10.001Verfahren zur Daten- und Systemsicherheit: Sichere Datenlöschung
A-8.10.002Sichere Löschung nicht mehr benötigter Daten
h)
das Verfahren zur sicheren Entsorgung oder Außerbetriebnahme von Datenspeichern in den Räumlichkeiten des Finanzunternehmens oder von extern aufbewahrten Datenspeichern, die vertrauliche Informationen enthalten;
2 Sollmaßnahmen zu lit. h
A-7.14.001Verfahren zur Daten- und Systemsicherheit: Sichere Entsorgung
A-7.14.002Sichere Entsorgung von Speichermedien und Geräten
i)
die Ermittlung und Implementierung von Sicherheitsmaßnahmen zur Verhinderung von Datenverlust und Datenlecks bei Systemen und Endgeräten;
2 Sollmaßnahmen zu lit. i
A-8.12.001Verfahren zur Daten- und Systemsicherheit: Datenleckprävention
A-8.12.003DLP-Maßnahmen im Rahmen der Daten- und Systemsicherheit
j)
die Implementierung von Sicherheitsmaßnahmen, um zu gewährleisten, dass Telearbeit und die Nutzung privater Endgeräte nicht die IKT-Sicherheit des Finanzunternehmens beeinträchtigen;
3 Sollmaßnahmen zu lit. j
A-5.1.047Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie): Teleworking und private Endgeräte
A-6.7.001Verfahren zur Daten- und Systemsicherheit: Telearbeit
A-6.7.002Remote-Arbeit
k)
für IKT-Assets oder -Dienstleistungen, die von einem IKT- Drittdienstleister betrieben werden, die Ermittlung und Umsetzung von Anforderungen an die Aufrechterhaltung der digitalen operationalen Resilienz im Einklang mit den Ergebnissen der Datenklassifizierung und der IKT-Risikobewertung.
2 Sollmaßnahmen zu lit. k
A-5.19.001Verfahren zur Daten- und Systemsicherheit: Externer Sollmaßnahmenkatalog
A-5.19.002IKT-Sicherheit in Lieferantenvereinbarungen
Für die Zwecke von Buchstabe b werden im Rahmen der dort genannten sicheren Konfigurationsbasis die führenden Praktiken und geeigneten Techniken berücksichtigt, die in den Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 festgelegt sind.
Für die Zwecke von Buchstabe k berücksichtigen Finanzunternehmen Folgendes:
a)
die Implementierung der vom Anbieter empfohlenen Einstellungen für Komponenten, die vom Finanzunternehmen betrieben werden;
2 Sollmaßnahmen zu lit. k.a
A-8.9.001Verfahren zur Daten- und Systemsicherheit: Anbietervorgaben bei bezogenen Dienstleistungen
A-8.9.018Umsetzung der Anbietervorgaben bei bezogenen Dienstleistungen
b)
eine klare Aufteilung der die Informationssicherheit betreffenden Aufgaben und Verantwortlichkeiten zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister im Einklang mit dem in Artikel 28 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten Grundsatz der vollen Verantwortlichkeit des Finanzunternehmens für seinen IKT-Drittdienstleister und für Finanzunternehmen nach Artikel 28 Absatz 2 der genannten Verordnung sowie im Einklang mit der Richtlinie des Finanzunternehmens für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen;
4 Sollmaßnahmen zu lit. k.b
A-5.2.005Verfahren zur Daten- und Systemsicherheit: IS-Rollen und -Verantwortlichkeiten
A-5.2.006Umsetzung der IS-Rollen und -verantwortlichkeiten
A-5.20.024Allgemeine Vertragsinhalte: Rollen und Verantwortlichkeiten Informationssicherheit
A-5.22.035Umsetzung von IS-Rollen und -Verantwortlichkeiten beim IKT-Dienstleister
c)
die Notwendigkeit, innerhalb des Finanzunternehmens angemessene Kompetenzen für das Management und die Sicherheit der in Anspruch genommenen Dienstleistungen sicherzustellen und aufrechtzuerhalten;
4 Sollmaßnahmen zu lit. k.c
A-5.1.217Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Interne Steuerungskompetenz
A-5.22.010Kompetenzerhalt für IKT-Dienstleistungsmanagement
ISMS-7.2.001Interne Kompetenzen für IKT-Dienstleistersteuerung
ISMS-7.2.002Verfahren zur Daten- und Systemsicherheit: Interne Kompetenz
d)
technische und organisatorische Maßnahmen zur Minimierung der Risiken im Zusammenhang mit der Infrastruktur, die der IKT-Drittdienstleister für seine IKT-Dienstleistungen nutzt, unter Berücksichtigung führender Praktiken und Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012.
4 Sollmaßnahmen zu lit. k.d · 2 Zieldokumente · 1 Nachweis
Allgemeine Vertragsinhalte· 2 hierkatalogweit 15 in 10 Artikeln
A-5.20.022Allgemeine Vertragsinhalte: verbindliche IKT-Sicherheitsmaßnahmen
A-5.20.023Allgemeine Vertragsinhalte: sichere Konfiguration beim Dienstleister
Schutzbedarfsklassifizierung (Informations- und IKT-Assets)· 1 hierkatalogweit 7 in 6 Artikeln
A-5.22.009Schutzbedarfsklassifizierung, Maßnahmenableitung und Überprüfung für IKT-Dienstleistungen
Nachweise / operative Umsetzung· 1 hier
A-5.22.030Überprüfung der sicheren Konfiguration beim IKT-Dienstleister
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 12
Datenaufzeichnung
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der Schutzvorkehrungen gegen Eindringen und Missbrauch von Daten Verfahren, Protokolle und Tools für die Datenaufzeichnung.
1 Sollmaßnahme
A-8.15.001Protokollierungsverfahren: Erstellung
(2)
Die in Absatz 1 genannten Verfahren, Protokolle und Tools für die Datenaufzeichnung umfassen alle folgenden Elemente:
a)
die Ermittlung der aufzuzeichnenden Ereignisse, die Speicherfrist für die Datenaufzeichnungen und die Maßnahmen zur Sicherung und Verarbeitung der Aufzeichnungsdaten unter Berücksichtigung des Zwecks, für den die Datenaufzeichnungen erstellt werden;
3 Sollmaßnahmen zu lit. a · 1 Zieldokument · 1 Nachweis
Protokollierungsverfahren· 2 hierkatalogweit 17 in 4 Artikeln
A-8.15.003Protokollierungsverfahren: Umfang, Aufbewahrung und Sicherung
A-8.15.016Protokollierungsverfahren: Aufbewahrungsfristen
Nachweise / operative Umsetzung· 1 hier
A-8.15.022Ausrichtung der Zugriffsprotokollierung an Geschäfts- und IS-Zielen
b)
die Abstimmung des Detaillierungsgrads der Datenaufzeichnungen auf deren Zweck und Verwendung, um die wirksame Erkennung anomaler Aktivitäten nach Artikel 24 zu ermöglichen;
2 Sollmaßnahmen zu lit. b
A-8.15.004Protokollierungsverfahren: verwendungszweckgerechter Detaillierungsgrad
A-8.15.027Abstimmung des Protokoll-Detailgrads auf den Verwendungszweck
c)
die Anforderung, Ereignisse aufzuzeichnen, die sämtliche der folgenden Aspekte betreffen: i) logische und physische Zugangskontrolle nach Artikel 21 und Identitätsmanagement, ii) Kapazitätsmanagement, iii) Änderungsmanagement, iv) IKT-Vorgänge, einschließlich IKT-Systemaktivitäten, v) Netzwerkverkehrsaktivitäten, einschließlich der Leistung der IKT-Netzwerke;
14 Sollmaßnahmen zu lit. c · 3 Zieldokumente · 6 Nachweise
Protokollierungsverfahren· 6 hierkatalogweit 17 in 4 Artikeln
A-8.15.005Protokollierungsverfahren: physische Zugangskontrolle
A-8.15.006Protokollierungsverfahren: Benutzerverwaltung und Zugriffe
A-8.15.007Protokollierungsverfahren: Kapazitätsmanagement
A-8.15.008Protokollierungsverfahren: IKT-Änderungsmanagement
A-8.15.009Protokollierungsverfahren: betriebsrelevante Ereignisse
A-8.15.010Protokollierungsverfahren: Netzwerkverkehr
Verfahren für das IKT-Änderungsmanagement· 1 hierkatalogweit 11 in 3 Artikeln
A-8.32.011Verfahren für das IKT-Änderungsmanagement: Protokollierung änderungsrelevanter Ereignisse
Verfahren zur Anomalieerkennung· 1 hierkatalogweit 13 in 3 Artikeln
A-8.15.018Netzwerkprotokollierung
Nachweise / operative Umsetzung· 6 hier
A-8.15.019Protokollierung des IKT-Betriebs
A-8.15.020Protokollierung von Zutrittsereignissen
A-8.15.021Protokollierung sicherheitsrelevanter Zugriffsereignisse
A-8.15.025Protokollierung im IKT-Änderungsmanagement
A-8.15.026Protokollierung im Kapazitätsmanagement
A-8.32.014Protokollierung von IKT-Änderungen
d)
Maßnahmen zum Schutz von Datenaufzeichnungssystemen und -informationen vor Manipulation, Löschung und unbefugtem Zugriff mit Blick auf gespeicherte, übermittelte oder gegebenenfalls gerade verwendete Daten;
2 Sollmaßnahmen zu lit. d
A-8.15.011Protokollierungsverfahren: Schutz der Protokolldaten
A-8.15.030Manipulationsschutz für Protokolldaten
e)
Maßnahmen zur Erkennung eines Ausfalls von Datenaufzeichnungssystemen;
2 Sollmaßnahmen zu lit. e
A-8.15.012Protokollierungsverfahren: Erkennung von Protokollierungsausfällen
A-8.15.031Ausfallüberwachung der Protokollierungssysteme
f)
unbeschadet etwaiger im Unionsrecht oder nationalen Recht festgelegter anwendbarer rechtlicher Anforderungen die Synchronisierung der Uhren jedes IKT-Systems des Finanzunternehmens auf der Grundlage einer dokumentierten zuverlässigen Referenzzeitquelle.
3 Sollmaßnahmen zu lit. f
A-5.1.081Richtlinie für das Management der Netzwerksicherheit: Uhrensynchronisation der IKT-Systeme
A-8.15.013Protokollierungsverfahren: Zeitsynchronisation (NTP)
A-8.17.001Uhrensynchronisation
Für die Zwecke von Buchstabe a legen die Finanzunternehmen die Speicherfrist fest und tragen dabei den Geschäftszielen und den Zielen für die Informationssicherheit, dem Grund, weshalb das Ereignis aufgezeichnet wurde, und den Ergebnissen der IKT-Risikobewertung Rechnung.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 13
Management der Netzwerksicherheit
RTS IKT-Risikomanagement (2024/1774)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der Schutzvorkehrungen, die die Sicherheit der Netzwerke gegen Eindringen und Missbrauch von Daten gewährleisten, Richtlinien, Verfahren, Protokolle und Tools für das Management der Netzwerksicherheit, in denen alle folgenden Aspekte behandelt werden:
a)
die Trennung und Segmentierung von IKT-Systemen und -Netzwerken unter Berücksichtigung i) der Kritikalität oder Bedeutung der Funktion, die von diesen IKT-Systemen und -Netzwerken unterstützt wird, ii) der im Einklang mit Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegten Klassifizierung, iii) des Gesamtrisikoprofils der IKT-Assets, die diese IKT-Systeme und -Netzwerke nutzen;
2 Sollmaßnahmen zu lit. a
A-5.1.063Richtlinie für das Management der Netzwerksicherheit: Netzwerktrennung und -segmentierung
A-8.22.002Netzwerksegmentierung nach Kritikalität
b)
die Dokumentation aller Netzwerkverbindungen und Datenflüsse des Finanzunternehmens;
3 Sollmaßnahmen zu lit. b
A-5.1.064Richtlinie für das Management der Netzwerksicherheit: Dokumentation aller Netzwerkverbindungen und Datenflüsse
A-8.20.001Dokumentation von Netzwerkverbindungen
A-8.20.007Dokumentation von Datenflüssen
c)
die Nutzung eines gesonderten und speziellen Netzwerks für die Verwaltung von IKT-Assets;
2 Sollmaßnahmen zu lit. c
A-5.1.065Richtlinie für das Management der Netzwerksicherheit: dediziertes Administrationsnetzwerk
A-8.22.001Dediziertes Administrationsnetzwerk
d)
die Ermittlung und Implementierung von Kontrollen für den Netzwerkzugang, um Verbindungen zum Netzwerk des Finanzunternehmens durch ein nicht zugelassenes Gerät oder System oder einen Endpunkt, der die Sicherheitsanforderungen des Finanzunternehmens nicht erfüllt, zu verhindern und zu erkennen;
2 Sollmaßnahmen zu lit. d
A-5.1.066Richtlinie für das Management der Netzwerksicherheit: Netzwerkzugangskontrollen (NAC)
A-8.20.011Netzwerkzugang
e)
die Verschlüsselung von Netzwerkverbindungen über Unternehmensnetzwerke, öffentliche Netzwerke, inländische Netzwerke, Netzwerke Dritter und drahtlose Netzwerke für die verwendeten Kommunikationsprotokolle unter Berücksichtigung der Ergebnisse der genehmigten Datenklassifizierung, der Ergebnisse der IKT-Risikobewertung und der Verschlüsselung von Netzwerkverbindungen gemäß Artikel 6 Absatz 2;
4 Sollmaßnahmen zu lit. e
A-5.1.067Richtlinie für das Management der Netzwerksicherheit: Verschlüsselung der Netzwerkverbindungen
A-5.20.028Allgemeine Vertragsinhalte: Verschlüsselung von Netzwerkverbindungen
A-5.22.032Verschlüsselung von Netzwerkverbindungen beim IKT-Dienstleister
A-8.24.014Netzwerkverschlüsselung
f)
die Konzeption der Netzwerke im Einklang mit den vom Finanzunternehmen festgelegten IKT-Sicherheitsanforderungen unter Berücksichtigung führender Praktiken zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit des Netzwerks;
2 Sollmaßnahmen zu lit. f
A-5.1.068Richtlinie für das Management der Netzwerksicherheit: Netzwerkkonzeption nach führenden Praktiken
A-8.20.005Sicherheitsgerechte Netzwerkkonzeption
g)
die Sicherung des Netzwerkverkehrs zwischen den internen Netzwerken und dem Internet und anderen externen Verbindungen;
2 Sollmaßnahmen zu lit. g
A-5.1.069Richtlinie für das Management der Netzwerksicherheit: Absicherung des Internetübergangs
A-8.20.009Absicherung des Netzwerkverkehrs zwischen intern/extern
h)
die Ermittlung der Aufgaben und Verantwortlichkeiten sowie der Etappen für die Spezifikation, Implementierung, Genehmigung, Änderung und Überprüfung der Firewall-Regeln und Verbindungsfilter;
4 Sollmaßnahmen zu lit. h
A-5.1.070Richtlinie für das Management der Netzwerksicherheit: Firewall-Regeln und Verbindungsfilter
A-8.20.002Rollen und Verantwortlichkeiten für Firewall-Management
A-8.20.003Regelmäßige Überprüfung von Firewall-Regeln
A-8.20.004Halbjährliche Firewall-Überprüfung für kwF-Systeme
i)
die Überprüfung der Netzwerkarchitektur und des Konzepts für die Netzwerksicherheit einmal jährlich und für Kleinstunternehmen in regelmäßigen Abständen, um potenzielle Schwachstellen zu ermitteln;
2 Sollmaßnahmen zu lit. i
A-5.1.071Richtlinie für das Management der Netzwerksicherheit: jährliche Überprüfung der Netzwerkarchitektur
A-8.20.006Jährliche Überprüfung der Netzwerkarchitektur
j)
die Maßnahmen zur vorübergehenden Isolierung von Teilnetzwerken sowie von Netzwerkkomponenten und -geräten, soweit erforderlich;
2 Sollmaßnahmen zu lit. j
A-5.1.072Richtlinie für das Management der Netzwerksicherheit: Isolierung von Teilnetzwerken
A-8.22.004Vorübergehende Isolierung von Netzwerkkomponenten
k)
die Implementierung einer sicheren Konfigurationsbasis für alle Netzwerkkomponenten und die Absicherung des Netzwerks und der Netzwerkgeräte im Einklang mit etwaigen Anweisungen des Anbieters und gegebenenfalls mit Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 sowie führenden Praktiken;
2 Sollmaßnahmen zu lit. k
A-5.1.073Richtlinie für das Management der Netzwerksicherheit: Härtungsvorgaben für Netzwerkkomponenten
A-8.9.016Konfiguration von Netzwerken
l)
die Verfahren zur Begrenzung, Sperrung und Beendigung von System- und Fernsitzungen nach einer bestimmten Inaktivitätszeit;
2 Sollmaßnahmen zu lit. l
A-5.1.074Richtlinie für das Management der Netzwerksicherheit: Beenden inaktiver Sitzungen
A-8.5.001Automatische Sperrung inaktiver Sitzungen
m)
für Vereinbarungen über Netzwerkdienstleistungen: i) die Ermittlung und Spezifikation von IKT- und Informationssicherheitsmaßnahmen, der Dienstleistungsgüte und von Managementanforderungen für alle Netzwerkdienste; ii) die Feststellung, ob diese Dienstleistungen von einem gruppeninternen IKT-Dienstleister oder von IKT-Drittdienstleistern erbracht werden.
5 Sollmaßnahmen zu lit. m · 2 Zieldokumente · 2 Nachweise
Richtlinie für das Management der Netzwerksicherheit· 2 hierkatalogweit 20 in 7 Artikeln
A-5.1.075Richtlinie für das Management der Netzwerksicherheit: bezogene Netzwerkdienstleistungen – Vertragsvorgaben
A-5.1.076Richtlinie für das Management der Netzwerksicherheit: bezogene Netzwerkdienstleistungen – gruppenintern oder extern
Allgemeine Vertragsinhalte· 1 hierkatalogweit 15 in 10 Artikeln
A-5.20.020Allgemeine Vertragsinhalte: Netzwerkdienstleistungen
Nachweise / operative Umsetzung· 2 hier
A-8.21.001Sicherheitsanforderungen an Netzwerkdienstleistungen
A-8.21.002Zulässige Anbieter für Netzwerkdienstleistungen
Für die Zwecke von Buchstabe h überprüfen die Finanzunternehmen regelmäßig die Firewall-Regeln und die Verbindungsfilter im Einklang mit der gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegten Klassifizierung und dem Gesamtrisikoprofil der beteiligten IKT-Systeme. Bei IKT-Systemen, die kritische oder wichtige Funktionen unterstützen, überprüfen Finanzunternehmen mindestens alle sechs Monate, ob die bestehenden Firewall-Regeln und Verbindungsfilter angemessen sind.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 14
Sicherung von Informationen bei der Übermittlung
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten Richtlinien, Verfahren, Protokolle und Tools zum Schutz von Informationen, die übermittelt werden. Die Finanzunternehmen gewährleisten insbesondere Folgendes:
3 Sollmaßnahmen · 1 Zieldokument · 1 Nachweis
Richtlinie zum Schutz von Informationen bei der Übermittlung· 2 hierkatalogweit 8 in 2 Artikeln
A-5.1.037Richtlinie zum Schutz von Informationen bei der Übermittlung: Schutzziele bei der Netzwerkübertragung
A-5.1.038Richtlinie zum Schutz von Informationen bei der Übermittlung: Erstellung
Nachweise / operative Umsetzung· 1 hier
A-5.14.001Schutz bei der Übertragung über Netzwerke
a)
die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten während der Übermittlung über das Netzwerk und die Festlegung von Verfahren, um zu bewerten, ob diese Anforderungen eingehalten werden;
2 Sollmaßnahmen zu lit. a
A-5.1.039Richtlinie zum Schutz von Informationen bei der Übermittlung: regelmäßige Überprüfung der Einhaltung
A-5.14.002Regelmäßige Überprüfung der sicheren Datenübertragung
b)
die Verhinderung und Erkennung von Datenlecks und die sichere Übertragung von Informationen zwischen dem Finanzunternehmen und externen Parteien;
2 Sollmaßnahmen zu lit. b · 1 Zieldokument
Richtlinie zum Schutz von Informationen bei der Übermittlung· 2 hierkatalogweit 8 in 2 Artikeln
A-5.1.040Richtlinie zum Schutz von Informationen bei der Übermittlung: Data-Leakage-Schutz und externe Übertragung
Nachweise / operative Umsetzung
A-8.12.002DLP-Maßnahmen bei der Informationsübermittlung
c)
die Implementierung, Dokumentation und regelmäßige Überprüfung der Anforderungen an Vertraulichkeits- oder Geheimhaltungsvereinbarungen, die dem Bedarf des Finanzunternehmens hinsichtlich des Schutzes von Informationen im Zusammenhang mit den Mitarbeitern des Finanzunternehmens und Dritten Rechnung tragen.
3 Sollmaßnahmen zu lit. c
A-5.1.042Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie): Erstellung
A-5.20.029Allgemeine Vertragsinhalte: Vertraulichkeit und Geheimhaltung
A-5.22.025Vertraulichkeits- und Geheimhaltungsanforderungen an IKT-Dienstleister
(2)
Die Finanzunternehmen konzipieren die Richtlinien, Protokolle und Tools zum Schutz von Informationen bei der Übermittlung nach Absatz 1 auf der Grundlage der Ergebnisse einer genehmigten Datenklassifizierung und der IKT-Risikobewertung.
2 Sollmaßnahmen · 1 Zieldokument
Richtlinie zum Schutz von Informationen bei der Übermittlung· 2 hierkatalogweit 8 in 2 Artikeln
A-5.1.041Richtlinie zum Schutz von Informationen bei der Übermittlung: Netzwerkschutz nach Schutzbedarf
Nachweise / operative Umsetzung
A-8.20.010Netzwerkschutzmaßnahmen nach Risiko/Schutzbedarf
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 15
IKT-Projektmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten entwickeln, dokumentieren und implementieren die Finanzunternehmen Richtlinien für das IKT-Projektmanagement.
1 Sollmaßnahme
A-5.1.127Richtlinie für das IKT-Projektmanagement: Erstellung
(2)
In den in Absatz 1 genannten Richtlinien für das IKT-Projektmanagement werden die Elemente festgelegt, die ein wirksames Management der IKT-Projekte in Bezug auf die Beschaffung, die Wartung sowie gegebenenfalls die Entwicklung der IKT-Systeme des Finanzunternehmens gewährleisten.
4 Sollmaßnahmen · 1 Zieldokument · 1 Nachweis
Richtlinie für das IKT-Projektmanagement· 3 hierkatalogweit 19 in 4 Artikeln
A-5.1.128Richtlinie für das IKT-Projektmanagement: Beschaffung und Einführung von IKT-Systemen
A-5.1.141Richtlinie für das IKT-Projektmanagement: Entwicklungsprojekte
A-5.1.142Richtlinie für das IKT-Projektmanagement: Wartungs- und Änderungsprojekte
Nachweise / operative Umsetzung· 1 hier
A-5.8.003Wirksames Management von IKT-Projekten
(3)
Die in Absatz 1 genannten Richtlinien für das IKT-Projektmanagement müssen alles Folgende beinhalten:
a)
die Ziele des IKT-Projekts,
2 Sollmaßnahmen zu lit. a
A-5.1.129Richtlinie für das IKT-Projektmanagement: Projektziele
A-5.8.005Definition von IKT-Projektzielen
b)
die Governance des IKT-Projekts, samt Aufgaben und Zuständigkeiten,
2 Sollmaßnahmen zu lit. b · 1 Zieldokument
Richtlinie für das IKT-Projektmanagement· 2 hierkatalogweit 19 in 4 Artikeln
A-5.1.130Richtlinie für das IKT-Projektmanagement: Governance und Zuständigkeiten
Nachweise / operative Umsetzung
A-5.8.004Einhaltung der Projektgovernance-Vorgaben
c)
die Planung, den zeitlichen Rahmen und die Etappen des IKT-Projekts,
2 Sollmaßnahmen zu lit. c · 1 Zieldokument
Richtlinie für das IKT-Projektmanagement· 2 hierkatalogweit 19 in 4 Artikeln
A-5.1.131Richtlinie für das IKT-Projektmanagement: Projektplanung
Nachweise / operative Umsetzung
A-5.8.001Planungsvorgaben für IKT-Projekte
d)
eine IKT-Projektrisikobewertung,
3 Sollmaßnahmen zu lit. d
A-5.1.132Richtlinie für das IKT-Projektmanagement: Projektrisikobewertung
A-5.8.010Umsetzung des IKT-Projektrisikomanagements
A-5.8.011IKT-Risikobewertung für Projekte
e)
die relevanten Etappenziele,
2 Sollmaßnahmen zu lit. e
A-5.1.133Richtlinie für das IKT-Projektmanagement: Meilensteine
A-5.8.006Meilensteinsteuerung in IKT-Projekten
f)
die Anforderungen an das Änderungsmanagement,
2 Sollmaßnahmen zu lit. f
A-5.1.134Richtlinie für das IKT-Projektmanagement: Schnittstelle zum IKT-Änderungsmanagement
A-5.8.007Änderungsmanagement in IKT-Projekten
g)
das Testen aller Anforderungen, einschließlich der Sicherheitsanforderungen, und das zugehörige Genehmigungsverfahren bei der Einführung eines IKT-Systems in der Produktionsumgebung.
3 Sollmaßnahmen zu lit. g · 1 Zieldokument · 1 Nachweis
Richtlinie für das IKT-Projektmanagement· 2 hierkatalogweit 19 in 4 Artikeln
A-5.1.135Richtlinie für das IKT-Projektmanagement: Testen der Anforderungen
A-5.1.136Richtlinie für das IKT-Projektmanagement: Genehmigung der Produktivsetzung
Nachweise / operative Umsetzung· 1 hier
A-5.8.014Test und Abnahme in IKT-Projekten
(4)
Durch Bereitstellung der erforderlichen Informationen und Fachkenntnisse aus dem Geschäftsbereich oder den geschäftlichen Funktionen, auf die sich das IKT-Projekt auswirkt, gewährleisten die in Absatz 1 genannten Richtlinien für das IKT-Projektmanagement die sichere Durchführung des Projekts.
2 Sollmaßnahmen
A-5.1.137Richtlinie für das IKT-Projektmanagement: Einbindung betroffener Geschäftsbereiche
A-5.8.008Einbindung der Geschäftsbereiche in IKT-Projekte
(5)
Der in Absatz 3 Buchstabe d genannten IKT-Projektrisikobewertung entsprechend müssen die in Absatz 1 genannten Richtlinien für das IKT-Projektmanagement vorsehen, dass das Leitungsorgan wie folgt über die Einleitung von IKT-Projekten, die sich auf kritische oder wichtige Funktionen des Finanzunternehmens auswirken, deren Fortschritte und die damit verbundenen Risiken unterrichtet wird:
2 Sollmaßnahmen
A-5.1.138Richtlinie für das IKT-Projektmanagement: Information des Leitungsorgans zu kwF-Projekten
A-5.8.012Berichterstattung an das Leitungsorgan über IKT-Projekte
a)
einzeln oder zusammengefasst, je nach Bedeutung und Umfang der IKT-Projekte,
2 Sollmaßnahmen zu lit. a
A-5.1.139Richtlinie für das IKT-Projektmanagement: Risikoberichterstattung an das Leitungsorgan (Form)
A-5.8.013Sachgerechte Berichterstattung über IKT-Projektrisiken
b)
in regelmäßigen Abständen sowie erforderlichenfalls bei einzelnen Ereignissen.
2 Sollmaßnahmen zu lit. b
A-5.1.140Richtlinie für das IKT-Projektmanagement: Risikoberichterstattung an das Leitungsorgan (Turnus)
A-5.8.009Regelmäßige Berichterstattung über IKT-Projektrisiken
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 16
Beschaffung, Entwicklung und Wartung von IKT-Systemen
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten entwickeln, dokumentieren und implementieren die Finanzunternehmen Richtlinien für die Beschaffung, die Entwicklung und die Wartung von IKT-Systemen. Diese Richtlinien müssen
3 Sollmaßnahmen · 2 Zieldokumente
Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen· 2 hierkatalogweit 10 in 3 Artikeln
A-5.1.145Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Erstellung
Nachweise / operative Umsetzung
A-5.8.002Berücksichtigung der Vorgaben zu Beschaffung, Weiterentwicklung und Wartung in IKT-Projekten
Richtlinie für das IKT-Projektmanagement· 1 hierkatalogweit 19 in 4 Artikeln
A-5.1.143Richtlinie für das IKT-Projektmanagement: Verzahnung mit der Beschaffungs-/Wartungsrichtlinie
a)
Sicherheitskonzepte und Methoden für die Beschaffung, Entwicklung und Wartung von IKT-Systemen enthalten,
2 Sollmaßnahmen zu lit. a
A-5.1.149Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Sichere Vorgehensweisen und Methoden
A-8.27.002Sicherheitskonzepte
b)
verlangen, dass Folgendes angegeben wird: i) die technischen Spezifikationen und technischen IKT-Spezifikationen im Sinne von Artikel 2 Nummern 4 und 5 der Verordnung (EU) Nr. 1025/2012, ii) die Anforderungen für die Beschaffung, die Entwicklung und die Wartung von IKT-Systemen mit besonderem Schwerpunkt auf den Anforderungen an die IKT-Sicherheit und auf deren Genehmigung durch die betreffende Geschäftsfunktion und den IKT-Asset-Eigentümer gemäß den internen Governance-Regelungen des Finanzunternehmens;
4 Sollmaßnahmen zu lit. b · 1 Zieldokument · 1 Nachweis
Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen· 2 hierkatalogweit 10 in 3 Artikeln
A-5.1.150Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Technische (IKT-)Spezifikationen
A-5.1.151Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Identifikation und Genehmigung der Sicherheitsanforderungen
Weitere Festlegungen· 1 hier
A-8.26.002IKT-technische Spezifikationen
Nachweise / operative Umsetzung· 1 hier
A-8.26.003Anforderungsmanagement für IKT-Systeme
c)
Maßnahmen vorsehen, mit denen das Risiko einer unbeabsichtigten Veränderung oder einer vorsätzlichen Manipulation der IKT-Systeme während der Entwicklung, Wartung und Einführung dieser IKT-Systeme in der Produktionsumgebung gemindert wird.
2 Sollmaßnahmen zu lit. c
A-5.1.152Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Schutz vor unbeabsichtigten Änderungen und Manipulation
A-8.25.011Quellcodeschutz: Änderungsschutz bei Entwicklung und Deployment
(2)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren für die Tests und die Genehmigung aller IKT-Systeme vor ihrer Nutzung und nach ihrer Wartung gemäß Artikel 8 Absatz 2 Buchstabe b Ziffern v, vi und vii ein Verfahren für die Beschaffung, die Entwicklung und die Wartung von IKT-Systemen. Der Testumfang muss der Kritikalität der betreffenden Geschäftsprozesse und IKT-Assets angemessen sein. Die Tests müssen so ausgelegt sein, dass überprüft werden kann, ob neue IKT-Systeme ihrer geplanten Bestimmung angemessen sind, was auch die Qualität der intern entwickelten Software einschließt.
Zentrale Gegenparteien beziehen in die Ausgestaltung und Durchführung der in Unterabsatz 1 genannten Tests neben den in Unterabsatz 1 genannten Anforderungen soweit relevant die folgenden Parteien ein:
a)
Clearingmitglieder und Kunden,
b)
interoperable zentrale Gegenparteien,
c)
andere interessierte Parteien.
Zentralverwahrer beziehen in die Ausgestaltung und Durchführung der in Unterabsatz 1 genannten Tests neben den in Unterabsatz 1 genannten Anforderungen soweit relevant die folgenden Parteien ein:
a)
Nutzer,
b)
kritische Versorgungsbetriebe und kritische Dienstleister,
c)
andere Zentralverwahrer,
d)
andere Marktinfrastrukturen,
e)
alle sonstigen Institute, mit denen die Zentralverwahrer laut ihrer Geschäftsfortführungsleitlinie wechselseitige Abhängigkeiten verbinden.
14 Sollmaßnahmen · 2 Zieldokumente · 5 Nachweise
Verfahren für Beschaffung, Entwicklung und Wartung· 8 hierkatalogweit 16 in 2 Artikeln
A-8.25.001Verfahren für Beschaffung, Entwicklung und Wartung: Erstellung
A-8.25.002Verfahren für Beschaffung, Entwicklung und Wartung: Testumgebungstrennung
A-8.25.003Verfahren für Beschaffung, Entwicklung und Wartung: Rollen bei Produktionstests
A-8.25.004Verfahren für Beschaffung, Entwicklung und Wartung: Zentrale Gegenparteien
A-8.25.005Verfahren für Beschaffung, Entwicklung und Wartung: Zentralverwahrer
A-8.29.001Verfahren für Beschaffung, Entwicklung und Wartung: Risikobasierte Testtiefe
A-8.29.002Verfahren für Beschaffung, Entwicklung und Wartung: Testprogramm
A-8.29.004Verfahren für Beschaffung, Entwicklung und Wartung: Tests vor Produktivnahme
Schutzbedarfsklassifizierung (Informations- und IKT-Assets)· 1 hierkatalogweit 7 in 6 Artikeln
A-8.29.008Risikobasierte Testtiefe nach Schutzbedarfsklassifizierung
Nachweise / operative Umsetzung· 5 hier
A-8.29.007Sicherheitstests vor Erstnutzung und nach Änderungen
A-8.29.012Tests und Freigabe vor Einsatz und nach Änderungen
A-8.29.018Einbeziehung von Clearingmitgliedern in Tests (CCP)
A-8.29.019Einbeziehung von Nutzern in Testausgestaltung (CSD)
A-8.31.002Durchführung von Tests in separaten Umgebungen
(3)
Im Rahmen des in Absatz 2 genannten Verfahrens sind Quellcodeprüfungen durchzuführen, die sowohl statische als auch dynamische Tests umfassen. Bei diesen Tests muss die Sicherheit internetexponierter Systeme und Anwendungen gemäß Artikel 8 Absatz 2 Buchstabe b Ziffern v, vi und vii getestet werden. Finanzunternehmen müssen
a)
Schwachstellen und Anomalien im Quellcode ermitteln und analysieren,
b)
einen Aktionsplan festlegen, um diese Schwachstellen und Anomalien zu beheben,
c)
die Umsetzung dieses Aktionsplans überwachen.
7 Sollmaßnahmen · 2 Zieldokumente · 4 Nachweise
Verfahren für Beschaffung, Entwicklung und Wartung· 2 hierkatalogweit 16 in 2 Artikeln
A-8.25.006Verfahren für Beschaffung, Entwicklung und Wartung: Quellcodeprüfungen
A-8.25.007Verfahren für Beschaffung, Entwicklung und Wartung: Quellcodeprüfung
Verfahren für das Schwachstellenmanagement· 1 hierkatalogweit 13 in 4 Artikeln
A-8.8.018Verfahren für das Schwachstellenmanagement: Quellcodeprüfungen (statisch und dynamisch)
Nachweise / operative Umsetzung· 4 hier
A-8.28.003Sichere Codierung
A-8.28.004Quellcodeprüfung
A-8.29.009Sicherheitsprüfung internetexponierter Systeme vor Einsatz
A-8.29.010Statische und dynamische Tests internetexponierter Systeme
(4)
Im Rahmen des in Absatz 2 genannten Verfahrens muss spätestens zur Integrationsphase die Sicherheit von Softwarepaketen gemäß Artikel 8 Absatz 2 Buchstabe b Ziffern v, vi und vii getestet werden.
3 Sollmaßnahmen
A-8.28.001Testmaßnahmen: Statische und dynamische Codeanalyse
A-8.29.003Verfahren für Beschaffung, Entwicklung und Wartung: Integrationstests
A-8.29.011Sicherheitstests von Softwarepaketen in der Integrationsphase
(5)
Das in Absatz 2 genannte Verfahren muss Folgendes vorsehen:
a)
in Nichtproduktionsumgebungen dürfen nur anonymisierte, pseudonymisierte oder randomisierte Produktionsdaten gespeichert werden,
2 Sollmaßnahmen zu lit. a
A-8.11.001Verfahren für Beschaffung, Entwicklung und Wartung: Testdaten-Anonymisierung
A-8.11.002Anonymisierung von Produktionsdaten in Testumgebungen
b)
Finanzunternehmen müssen die Integrität und Vertraulichkeit von Daten in Nichtproduktionsumgebungen schützen.
2 Sollmaßnahmen zu lit. b
A-8.33.001Verfahren für Beschaffung, Entwicklung und Wartung: Datenschutz in Testumgebungen
A-8.33.004Schutz von Daten in Nichtproduktionsumgebungen
(6)
Abweichend von Absatz 5 kann das in Absatz 2 genannte Verfahren vorsehen, dass Produktionsdaten nur für bestimmte Testanlässe, für begrenzte Zeiträume und nach Genehmigung durch die betreffende Funktion sowie nach Meldung solcher Anlässe an die IKT-Risikomanagement-Funktion gespeichert werden.
2 Sollmaßnahmen
A-8.33.002Verfahren für Beschaffung, Entwicklung und Wartung: Ausnahmen für Produktionsdaten
A-8.33.003Ausnahmen zur Nutzung von Produktionsdaten in Testumgebungen
(7)
Das in Absatz 2 genannte Verfahren muss Kontrollen zum Schutz der Integrität des Quellcodes von IKT-Systemen vorsehen, die intern oder von einem IKT-Drittdienstleister entwickelt und dem Finanzunternehmen von einem IKT-Drittdienstleister geliefert werden.
4 Sollmaßnahmen
A-5.20.030Allgemeine Vertragsinhalte: Schutz der Quellcode-Integrität
A-8.25.008Verfahren für Beschaffung, Entwicklung und Wartung: Quellcode-Schutz
A-8.30.001Quellcode-Integrität bei Fremdentwicklung
A-8.4.001Quellcodeschutz: Zugriffskontrolle und Integritätsprüfung
(8)
Das in Absatz 2 genannte Verfahren muss vorsehen, dass proprietäre Software und nach Möglichkeit der Quellcode, der von IKT-Drittdienstleistern bereitgestellt wird oder aus Open-Source-Projekten stammt, vor ihrer Einführung in der Produktionsumgebung gemäß Absatz 3 analysiert und getestet werden.
3 Sollmaßnahmen
A-8.25.009Verfahren für Beschaffung, Entwicklung und Wartung: Quellcode-Review
A-8.29.013Testing von herstellerspezifischer Standard- und Kaufsoftware vor Produktivnahme
A-8.30.002Quellcodeprüfung bei ausgelagerter Entwicklung
(9)
Die Absätze 1 bis 8 gelten auch für IKT-Systeme, die von nicht bei der IKT-Funktion angesiedelten Nutzern nach einem risikobasierten Ansatz entwickelt oder betrieben werden.
2 Sollmaßnahmen
A-5.1.144IDV-Richtlinie: Erstellung
A-8.25.010Lebenszyklus einer sicheren Entwicklung bei IDV
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 17
IKT-Änderungsmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten sehen die Finanzunternehmen in den in Artikel 9 Absatz 4 Buchstabe e der Verordnung (EU) 2022/2554 genannten IKT-Änderungsmanagementverfahren für alle Änderungen an Software, Hardware, Firmware-Komponenten, Systemen oder Sicherheitsparametern alles Folgende vor:
1 Sollmaßnahme
A-8.32.002Verfahren für das IKT-Änderungsmanagement: Geltungsbereich und kontrollierter Ablauf
a)
eine Überprüfung, ob die IKT-Sicherheitsanforderungen erfüllt sind,
2 Sollmaßnahmen zu lit. a
A-8.32.003Verfahren für das IKT-Änderungsmanagement: Sicherheitsprüfung je Änderung
A-8.32.018Sicherheitsprüfung vor Freigabe von IKT-Änderungen
b)
Mechanismen, die gewährleisten, dass die Funktionen, die Änderungen genehmigen, und die Funktionen, die für die Beantragung und Umsetzung dieser Änderungen zuständig sind, unabhängig sind,
2 Sollmaßnahmen zu lit. b
A-8.32.004Verfahren für das IKT-Änderungsmanagement: Funktionstrennung bei der Genehmigung
A-8.32.017Aufgabentrennung im IKT-Änderungsmanagement
c)
eine klare Beschreibung der Aufgaben und Zuständigkeiten, um zu gewährleisten, dass i) Änderungen angegeben und geplant werden, ii) ein angemessener Übergang vorgesehen ist, iii) die Änderungen kontrolliert getestet und finalisiert werden, iv) eine wirksame Qualitätssicherung gewährleistet ist,
2 Sollmaßnahmen zu lit. c
A-8.32.005Verfahren für das IKT-Änderungsmanagement: Rollen und Verantwortlichkeiten
A-8.32.019Spezifikation und kontrollierte Überführung von IKT-Änderungen
d)
die Dokumentation und Kommunikation der Änderungen im Detail, wozu u. a. Folgendes zählt: i) Zweck und Umfang der Änderung, ii) Zeitplan für die Umsetzung der Änderung, iii) die erwarteten Ergebnisse;
2 Sollmaßnahmen zu lit. d
A-8.32.006Verfahren für das IKT-Änderungsmanagement: Dokumentation und Kommunikation
A-8.32.015Dokumentation und Kommunikation von IKT-Änderungen
e)
die Angabe von Ausweichverfahren und -zuständigkeiten, einschließlich Verfahren und Zuständigkeiten für den Abbruch von Änderungen oder die Wiederherstellung, wenn Änderungen nicht erfolgreich implementiert wurden,
2 Sollmaßnahmen zu lit. e
A-8.32.007Verfahren für das IKT-Änderungsmanagement: Fallback- und Rollback-Verfahren
A-8.32.016Fallback- und Rollback-Verfahren für IKT-Änderungen
f)
Verfahren, Protokolle und Tools für den Umgang mit Notfalländerungen, die angemessene Schutzvorkehrungen vorsehen,
2 Sollmaßnahmen zu lit. f
A-8.32.008Verfahren für das IKT-Änderungsmanagement: Notfalländerungen (Verfahren und Tools)
A-8.32.020Verfahren für Notfalländerungen
g)
Verfahren zur Dokumentation, Neubewertung, Bewertung und Genehmigung von Notfalländerungen, nachdem diese vorgenommen wurden, einschließlich Ausweichlösungen und Patches,
2 Sollmaßnahmen zu lit. g
A-8.32.009Verfahren für das IKT-Änderungsmanagement: Notfalländerungen (nachträgliche Genehmigung)
A-8.32.021Nachträgliche Dokumentation und Genehmigung von Notfalländerungen
h)
Angabe der potenziellen Auswirkungen einer Änderung auf bestehende IKT-Sicherheitsmaßnahmen und Bewertung, ob eine solche Änderung zusätzliche IKT-Sicherheitsmaßnahmen erfordert.
2 Sollmaßnahmen zu lit. h
A-8.32.010Verfahren für das IKT-Änderungsmanagement: Auswirkungen auf Sicherheitsmaßnahmen
A-8.32.022Auswirkungsanalyse von IKT-Änderungen auf Sicherheitsmaßnahmen
(2)
Wenn zentrale Gegenparteien und Zentralverwahrer an ihren IKT-Systemen erhebliche Änderungen vorgenommen haben, unterziehen sie diese strengen Tests unter Simulation von Stressbedingungen.
Zentrale Gegenparteien beziehen in die Ausgestaltung und Durchführung der in Unterabsatz 1 genannten Tests soweit relevant die folgenden Parteien ein:
a)
Clearingmitglieder und Kunden,
b)
interoperable zentrale Gegenparteien,
c)
andere interessierte Parteien.
Zentralverwahrer beziehen in die Ausgestaltung und Durchführung der in Unterabsatz 1 genannten Tests soweit relevant die folgende Parteien ein:
a)
Nutzer,
b)
kritische Versorgungsbetriebe und kritische Dienstleister,
c)
andere Zentralverwahrer,
d)
andere Marktinfrastrukturen,
e)
alle sonstigen Institute, mit denen die Zentralverwahrer laut ihrer IKT-Geschäftsfortführungsleitlinie wechselseitige Abhängigkeiten verbinden.
3 Sollmaßnahmen
A-8.29.015Stresstests nach erheblichen IKT-Änderungen (CCP/CSD)
A-8.29.016Einbeziehung externer Stakeholder in Stresstests (CCP/CSD)
A-8.29.017Einbeziehung von Nutzern in Stresstests (CSD)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 18
Physische Sicherheit und Sicherheit vor Umweltereignissen
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten verfassen, dokumentieren und implementieren die Finanzunternehmen Richtlinien für die physische Sicherheit und die Sicherheit vor Umweltereignissen. Die Finanzunternehmen gestalten diese Richtlinien unter Berücksichtigung der Cyberbedrohungslage gemäß der nach Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 vorgenommenen Klassifizierung und unter Berücksichtigung des Gesamtrisikoprofils der IKT-Assets und der zugänglichen Informationsassets.
1 Sollmaßnahme
A-5.1.097Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Erstellung
(2)
Die in Absatz 1 genannten Richtlinien für die physische Sicherheit und die Sicherheit vor Umweltereignissen müssen alles Folgende beinhalten:
a)
einen Verweis auf den Abschnitt der Richtlinien, in dem es um die in Artikel 21 Absatz 1 Buchstabe g genannte Kontrolle der Zugangs- und Zugriffsrechte geht,
1 Sollmaßnahme zu lit. a
A-5.1.098Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Verweis auf die IAM-Zugangskontrollen
b)
die Maßnahmen, mit denen die Räumlichkeiten und Rechenzentren des Finanzunternehmens und die vom Finanzunternehmen designierten sensiblen Bereiche, in denen IKT- und Informationsassets untergebracht sind, vor Angriffen, Unfällen und Umweltbedrohungen und -gefahren geschützt werden,
2 Sollmaßnahmen zu lit. b
A-5.1.099Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Schutz von Räumlichkeiten und Rechenzentren
A-7.1.001Schutz vor physischen und umweltbedingten Bedrohungen
c)
die Maßnahmen, mit denen die IKT-Assets inner- und außerhalb der Räumlichkeiten des Finanzunternehmens unter Berücksichtigung der Ergebnisse der IKT-Risikobewertung für diese IKT-Assets gesichert werden,
2 Sollmaßnahmen zu lit. c
A-5.1.100Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Sicherung von IKT-Assets (auch außerhalb)
A-7.9.001Schutz von IKT-Assets außerhalb der Räumlichkeiten
d)
Maßnahmen, mit denen die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von IKT-Assets, Informationsassets und Einrichtungen für die physische Zugangskontrolle des Finanzunternehmens durch angemessene Wartung sichergestellt werden soll,
4 Sollmaßnahmen zu lit. d · 1 Zieldokument · 2 Nachweise
Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen· 2 hierkatalogweit 13 in 5 Artikeln
A-5.1.101Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Regelmäßige Wartung der IKT-Systeme
A-5.1.102Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Wartung der Zugangskontrolleinrichtungen
Nachweise / operative Umsetzung· 2 hier
A-7.13.001Wartung und Funktionsprüfung von IKT-Systemen
A-7.13.002Wartung physischer Zugangskontrolleinrichtungen
e)
Maßnahmen, mit denen die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten gewahrt werden sollen, einschließlich i) der Vorgabe eines „leeren Schreibtischs“, ii) der Vorgabe eines „leeren Bildschirms“ bei Datenverarbeitungsanlagen.
2 Sollmaßnahmen zu lit. e
A-5.1.103Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Clean-Desk- und Clear-Screen-Vorgabe
A-7.7.001Aufgeräumte Arbeitsumgebung und Bildschirmsperren
Für die Zwecke des Buchstabens b müssen die Maßnahmen zum Schutz vor Umweltbedrohungen und -gefahren der Bedeutung der Räumlichkeiten, der Rechenzentren und der designierten sensiblen Bereiche und der Kritikalität der dort untergebrachten Geschäftstätigkeiten oder IKT-Systeme angemessen sein.
Für die Zwecke des Buchstabens c müssen die in Absatz 1 genannten Richtlinien für die physische Sicherheit und die Sicherheit vor Umweltereignissen angemessene Schutzmaßnahmen für unbeaufsichtigte IKT-Assets enthalten.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 19
Richtlinien für Personalpolitik
RTS IKT-Risikomanagement (2024/1774)
Die Finanzunternehmen nehmen in ihre Richtlinien für Personalpolitik oder in ihre anderen einschlägigen Richtlinien alle nachstehend genannten IKT-sicherheitsbezogenen Elemente auf:
1 Sollmaßnahme
A-5.1.042Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie): Erstellung
a)
die Angabe und Zuweisung etwaiger spezifischer Zuständigkeiten im Bereich der IKT-Sicherheit,
1 Sollmaßnahme zu lit. a
A-5.1.043Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie): Zuweisung von IKT-Sicherheitsverantwortlichkeiten
b)
die Vorgabe für die Mitarbeiter des Finanzunternehmens und des IKT-Drittdienstleisters, die IKT-Assets des Finanzunternehmens nutzen oder auf diese zugreifen, i) sich über die Richtlinien, Verfahren und Protokolle des Finanzunternehmens zur IKT-Sicherheit zu informieren und diese einzuhalten, ii) auf dem Laufenden darüber zu sein, welche Kanäle das Finanzunternehmen für die Meldung anomaler Verhaltensweisen geschaffen hat, wozu — soweit relevant — die gemäß der Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates (11) eingerichteten Meldekanäle zählen, iii) dem Finanzunternehmen nach Beendigung des Beschäftigungsverhältnisses alle in ihrem Besitz befindlichen IKT-Assets und materiellen Informationsassets, die Eigentum des Finanzunternehmens sind, auszuhändigen.
5 Sollmaßnahmen zu lit. b · 2 Zieldokumente · 1 Nachweis
Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie)· 3 hierkatalogweit 6 in 4 Artikeln
A-5.1.044Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie): Kenntnis und Einhaltung der IKT-Vorgaben
A-5.1.045Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie): Meldekanäle für anomales Verhalten (Whistleblowing)
A-5.1.046Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie): Rückgabe von Assets bei Austritt
Allgemeine Vertragsinhalte· 1 hierkatalogweit 15 in 10 Artikeln
A-5.20.031Allgemeine Vertragsinhalte: Pflichten der Dienstleister-Mitarbeitenden
Nachweise / operative Umsetzung· 1 hier
A-5.22.026Sicherheitsunterweisung und Asset-Rückgabe bei IKT-Dienstleistern
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 20
Identitätsmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Um die Zuweisung der Nutzerzugriffsrechte gemäß Artikel 21 zu ermöglichen, entwickeln, dokumentieren und implementieren die Finanzunternehmen im Rahmen der Kontrolle der Zugangs- und Zugriffsrechte Richtlinien und Verfahren für das Identitätsmanagement, die die eindeutige Identifizierung und Authentifizierung der natürlichen Personen und Systeme, die auf Informationen der Finanzunternehmen zugreifen, gewährleisten.
3 Sollmaßnahmen
A-5.1.112Richtlinie für das Identitäts- und Berechtigungsmanagement: Erstellung
A-5.16.001Verfahren zum Identitätsmanagement: Erstellung
A-5.16.005Verwaltung von Zugangskennungen und Zertifikaten
(2)
Die in Absatz 1 genannten Richtlinien für das Identitätsmanagement müssen alles Folgende vorsehen:
a)
unbeschadet des Artikels 21 Absatz 1 Buchstabe c ist jedem Mitarbeiter des Finanzunternehmens oder Mitarbeitern der IKT-Drittdienstleister, die auf die Informationsassets und IKT-Assets des Finanzunternehmens zugreifen, eine eindeutige Identität zuzuweisen, die einem eindeutigen Nutzerkonto zugeordnet werden kann,
4 Sollmaßnahmen zu lit. a · 1 Zieldokument · 2 Nachweise
Verfahren zum Identitätsmanagement· 2 hier
A-5.16.002Verfahren zum Identitätsmanagement: eindeutige Identität je Person
A-5.16.003Verfahren zum Identitätsmanagement: Aufzeichnung und Aufbewahrung der Identitäten
Nachweise / operative Umsetzung· 2 hier
A-5.16.006Zuweisung eindeutiger Identitäten je Person
A-5.33.001Schutz von Aufzeichnungen im Identitätsmanagement
b)
einen Lebenszyklusmanagementprozess für Identitäten und Konten, der die Erstellung, Änderung, Überprüfung und Aktualisierung, die vorübergehende Deaktivierung und die Beendigung aller Konten umfasst.
3 Sollmaßnahmen zu lit. b
A-5.16.004Verfahren zum Identitätsmanagement: Identitäts-Lebenszyklus
A-5.16.007Automatisierte Steuerung des Identitäts-Lebenszyklus
A-5.16.008Lebenszyklus-Management von Identitäten und Nutzerkonten
Für die Zwecke des Buchstabens a führen die Finanzunternehmen Aufzeichnungen über alle zugeordneten Identitäten. Diese Aufzeichnungen werden unbeschadet der im geltenden Unionsrecht und im nationalen Recht festgelegten Speicherpflichten nach einer Umstrukturierung des Finanzunternehmens oder nach Ablauf der Vertragsbeziehung aufbewahrt.
Für die Zwecke des Buchstabens b greifen die Finanzunternehmen beim Lebenszyklusmanagementprozess für Identitäten soweit möglich und angemessen auf automatisierte Lösungen zurück.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 21
Zugangskontrolle
RTS IKT-Risikomanagement (2024/1774)
Im Rahmen der Kontrolle der Zugangs- und Zugriffsrechte entwickeln, dokumentieren und implementieren die Finanzunternehmen Richtlinien, die alles Folgende vorsehen:
a)
die Zuweisung der Rechte auf Zugang zu IKT-Assets nach dem Grundsatz „Kenntnis nur, wenn nötig“ („Need-to-know“), nach dem Grundsatz der Nutzungsnotwendigkeit („Need-to-use“) und nach dem Grundsatz der minimalen Berechtigung („Least privileges“), auch für den Fern- und Notfallzugang,
2 Sollmaßnahmen zu lit. a
A-5.1.114Richtlinie für das Identitäts- und Berechtigungsmanagement: Need-to-know, Need-to-use und Least Privilege
A-5.15.001Berechtigungskonzepte
b)
die Abtrennung der Aufgaben, einen ungerechtfertigten Zugang zu kritischen Daten zu verhindern oder die Zuweisung einer Kombination von Zugriffsrechten zu verhindern, die zur Umgehung von Kontrollen genutzt werden können,
3 Sollmaßnahmen zu lit. b
A-5.1.115Richtlinie für das Identitäts- und Berechtigungsmanagement: Funktionstrennung (Segregation of Duties)
A-5.3.002Aufgabentrennung bei der Berechtigungsvergabe
A-5.3.003Erkennung und Behebung von SoD-Konflikten
c)
eine Bestimmung zur Zurechenbarkeit, die die Nutzung generischer und gemeinsam genutzter Nutzerkonten so weit wie möglich einschränkt und die sicherstellt, dass die in den IKT-Systemen vorgenommenen Handlungen jederzeit einem Nutzer zugeordnet werden können,
5 Sollmaßnahmen zu lit. c
A-5.1.116Richtlinie für das Identitäts- und Berechtigungsmanagement: generische und gemeinsame Nutzerkonten
A-8.15.015Protokollierungsverfahren: generische und gemeinsame Konten
A-8.15.024Protokollierung und Zuordnung generischer Kontennutzung
A-8.2.003Beschränkung generischer und gemeinsam genutzter Konten
A-8.2.006Lückenlose Nachvollziehbarkeit generischer Kontennutzung
d)
eine Bestimmung zur Beschränkung des Zugangs zu IKT-Assets, die Kontrollen und Tools zur Verhinderung eines unbefugten Zugangs vorsieht,
2 Sollmaßnahmen zu lit. d
A-5.1.117Richtlinie für das Identitäts- und Berechtigungsmanagement: technische Durchsetzung der Zugriffsbegrenzung
A-5.15.002Zugangssteuerung
e)
Kontoverwaltungsverfahren für die Gewährung, Änderung oder Entziehung von Zugangsrechten für Nutzerkonten und generische Konten, insbesondere auch für generische Administratorkonten, die alles Folgende beinhalten: i) die Zuweisung der Aufgaben und Zuständigkeiten für die Gewährung, Überprüfung und Entziehung von Zugangsrechten, ii) die Zuweisung eines bevorrechtigten Zugangs, eines Notfallzugangs und eines Administratorzugangs nach dem Grundsatz der Nutzungsnotwendigkeit oder ad hoc bei allen IKT-Systemen, iii) den umgehenden Entzug der Zugangsrechte bei Beendigung des Beschäftigungsverhältnisses oder wenn der Zugang nicht länger erforderlich ist, iv) die Aktualisierung der Zugangsrechte, wenn Änderungen notwendig sind, mindestens aber einmal jährlich bei allen IKT-Systemen mit Ausnahme derjenigen, die kritische oder wichtige Funktionen unterstützen, und mindestens alle sechs Monate bei IKT-Systemen, die kritische oder wichtige Funktionen unterstützen;
18 Sollmaßnahmen zu lit. e · 2 Zieldokumente · 10 Nachweise
Verfahren für das Management von Zugangs- und Zugriffsrechten· 7 hier
A-5.18.001Verfahren für das Management von Zugangs- und Zugriffsrechten: Erstellung
A-5.18.002Verfahren für das Management von Zugangs- und Zugriffsrechten: Gewährung, Änderung und Entziehung
A-5.18.003Verfahren für das Management von Zugangs- und Zugriffsrechten: Aufbewahrung zugriffsrelevanter Protokolle
A-5.18.004Verfahren für das Management von Zugangs- und Zugriffsrechten: unverzüglicher Entzug bei Austritt
A-5.18.005Verfahren für das Management von Zugangs- und Zugriffsrechten: Rezertifizierung (Turnus)
A-8.2.001Verfahren für das Management von privilegierten Zugangs- und Zugriffsrechten: separate Administratorkonten
A-8.2.002Verfahren für das Management von privilegierten Zugangs- und Zugriffsrechten: Vergabe und Entzug privilegierter Zugänge
Protokollierungsverfahren· 1 hierkatalogweit 17 in 4 Artikeln
A-8.15.016Protokollierungsverfahren: Aufbewahrungsfristen
Nachweise / operative Umsetzung· 10 hier
A-5.18.006Verwaltung von Zugangs- und Zugriffsrechten
A-5.18.007Mindestens jährliche Überprüfung der Zugriffsrechte
A-5.18.008Entzug von Zugriffsrechten bei Beendigung
A-5.33.002Schutz von Aufzeichnungen
A-6.5.001Rechtenentzug bei Beschäftigungsende
A-8.15.022Ausrichtung der Zugriffsprotokollierung an Geschäfts- und IS-Zielen
A-8.2.004Separate Administratorkonten für IKT-Systeme
A-8.2.005Automatisierte Verwaltung privilegierter Zugänge und Notfallzugänge
A-8.2.007Zuständigkeiten für das Management generischer Konten
A-8.2.008Verwaltung von Zugangsrechten für generische und Administratorkonten
f)
Authentifizierungsmethoden, die alles Folgende vorsehen: i) die Nutzung von Authentifizierungsmethoden ist der gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 vorgenommenen Klassifizierung und dem Gesamtrisikoprofil der IKT-Assets angemessen und trägt führenden Praktiken Rechnung, ii) die Nutzung starker Authentifizierungsmethoden entspricht den führenden Praktiken und Techniken für den Fernzugang zum Netz des Finanzunternehmens, für den bevorrechtigten Zugang, für den Zugang zu IKT-Assets, die kritische oder wichtige Funktionen unterstützen oder IKT-Assets, die öffentlich zugänglich sind,
4 Sollmaßnahmen zu lit. f · 2 Zieldokumente · 1 Nachweis
Richtlinie für das Identitäts- und Berechtigungsmanagement· 2 hierkatalogweit 12 in 4 Artikeln
A-5.1.118Richtlinie für das Identitäts- und Berechtigungsmanagement: Authentifizierungsmethoden nach Schutzbedarf
A-5.1.119Richtlinie für das Identitäts- und Berechtigungsmanagement: starke Authentifizierung (MFA)
Schutzbedarfsklassifizierung (Informations- und IKT-Assets)· 1 hierkatalogweit 7 in 6 Artikeln
A-8.5.002Authentisierung gemäß Schutzbedarfsklassifizierung
Nachweise / operative Umsetzung· 1 hier
A-8.5.003Starke Authentisierung für privilegierte und exponierte Zugänge
g)
physische Zugangskontrollen, die Folgendes einschließen: i) die Identifizierung und Protokollierung natürlicher Personen mit Zugangsberechtigung für Räumlichkeiten, Rechenzentren und die vom Finanzunternehmen designierten sensiblen Bereiche, in denen IKT- und Informationsassets untergebracht sind, ii) die Gewährung der Rechte auf physischen Zugang zu kritischen IKT-Assets nur für befugte Personen nach dem Grundsatz „Kenntnis nur, wenn nötig“ und dem Grundsatz der minimalen Berechtigung sowie ad hoc, iii) die Überwachung des physischen Zugangs zu Räumlichkeiten, Rechenzentren und die vom Finanzunternehmen designierten sensiblen Bereiche, in denen IKT- und/oder Informationsassets untergebracht sind, iv) die Überprüfung der physischen Zugangsrechte, um zu gewährleisten, dass unnötige Zugangsrechte umgehend entzogen werden.
14 Sollmaßnahmen zu lit. g · 3 Zieldokumente · 5 Nachweise
Richtlinie für das Identitäts- und Berechtigungsmanagement· 4 hierkatalogweit 12 in 4 Artikeln
A-5.1.120Richtlinie für das Identitäts- und Berechtigungsmanagement: physische Zugangskontrollen
A-5.1.121Richtlinie für das Identitäts- und Berechtigungsmanagement: physische Zutrittsrechte zu kritischen Assets
A-5.1.122Richtlinie für das Identitäts- und Berechtigungsmanagement: Überwachung physischer Zutritte
A-5.1.123Richtlinie für das Identitäts- und Berechtigungsmanagement: Überprüfung physischer Zutrittsrechte
Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen· 4 hierkatalogweit 13 in 5 Artikeln
A-5.1.105Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Überwachung physischer Zutritte
A-5.1.106Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Zutritt zu kritischen Assets (need-to-know)
A-5.1.107Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Protokollierung zutrittsberechtigter Personen
A-5.1.108Richtlinie für die physische Sicherheit und die Sicherheit vor Umweltereignissen: Regelmäßige Überprüfung der Zutrittsrechte
Protokollierungsverfahren· 1 hierkatalogweit 17 in 4 Artikeln
A-8.15.017Protokollierungsverfahren: Zugangsberechtigte zu sensiblen Bereichen
Nachweise / operative Umsetzung· 5 hier
A-7.2.003Zutrittsschutz für kritische IKT-Assets
A-7.2.004Regelmäßige Überprüfung physischer Zutrittsrechte
A-7.2.005Risikobasierte Zutrittsprotokollierung
A-7.4.003Überwachung physischer Zutritte
A-8.15.023Identifikation und Protokollierung von Zutritten
Für die Zwecke von Buchstabe e Ziffer i legen die Finanzunternehmen die Speicherfrist fest und tragen dabei den Geschäftszielen und den Zielen für die Informationssicherheit, den Gründen für die Protokollierung des Ereignisses und den Ergebnissen der IKT-Risikobewertung Rechnung.
Für die Zwecke von Buchstabe e Ziffer ii verwenden die Finanzunternehmen für die Ausführung administrativer Aufgaben in IKT-Systemen nach Möglichkeit spezielle Konten. Für das Management des bevorrechtigten Zugangs greifen die Finanzunternehmen soweit möglich und angemessen auf automatisierte Lösungen zurück.
Für die Zwecke von Buchstabe g Ziffer i müssen die Identifizierung und Protokollierung der Bedeutung der Räumlichkeiten, der Rechenzentren und der designierten sensiblen Bereiche und der Kritikalität der dort untergebrachten Geschäftstätigkeiten oder IKT-Systeme angemessen sein.
Für die Zwecke von Buchstabe g Ziffer iii muss die Überwachung der gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 vorgenommenen Klassifizierung und der Kritikalität des Zugangsbereichs angemessen sein.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 22
Richtlinien für die Behandlung IKT-bezogener Vorfälle
RTS IKT-Risikomanagement (2024/1774)
Im Rahmen des Mechanismus zur Erkennung anomaler Aktivitäten, worunter auch Probleme bei der Leistung von IKT-Netzwerken und IKT-bezogene Vorfälle fallen, entwickeln, dokumentieren und implementieren die Finanzunternehmen Richtlinien für IKT-bezogene Vorfälle, in deren Rahmen sie
2 Sollmaßnahmen
A-5.1.157Richtlinie für das IKT-Vorfallmanagement: Erstellung
A-5.25.014Bewertung von Netzwerkleistungsproblemen im IKT-Vorfallmanagement
a)
den in Artikel 17 der Verordnung (EU) 2022/2554 genannten Prozess für die Behandlung IKT-bezogener Vorfälle dokumentieren,
1 Sollmaßnahme zu lit. a
A-5.1.158Richtlinie für das IKT-Vorfallmanagement: Einrichtung des Vorfallmanagementprozesses
b)
eine Liste der relevanten Kontakte erstellen, die mit internen Funktionen und externen Interessenträgern, die direkt an der IKT-Betriebssicherheit beteiligt sind, unter anderem in Bezug auf Folgendes unterhalten werden: i) die Erkennung und Überwachung von Cyberbedrohungen, ii) die Erkennung anomaler Aktivitäten, iii) das Schwachstellenmanagement;
1 Sollmaßnahme zu lit. b
A-5.1.159Richtlinie für das IKT-Vorfallmanagement: Kontaktliste zuständiger Funktionen
c)
technische, organisatorische und operative Mechanismen zur Unterstützung des Prozesses für die Behandlung IKT-bezogener Vorfälle einrichten, implementieren und betreiben, darunter auch Mechanismen, die eine rasche Erkennung anomaler Tätigkeiten und Verhaltensweisen gemäß Artikel 23 ermöglichen,
2 Sollmaßnahmen zu lit. c
A-5.1.160Richtlinie für das IKT-Vorfallmanagement: Mechanismen zur Prozessunterstützung
A-5.26.003IKT-Vorfallmanagement: Erkennungsmechanismen und Alarmierung
d)
gemäß Artikel 8 Absatz 2 der Delegierten Verordnung (EU) 2024/1772 der Kommission (12) und gemäß allen nach Unionsrecht geltenden Speichervorschriften alle Nachweise im Zusammenhang mit IKT-bezogenen Vorfällen so lange aufbewahren, wie es für die Zwecke der Datenerhebung unbedingt erforderlich und der Kritikalität der betreffenden Unternehmensfunktionen, unterstützenden Prozesse sowie IKT- und Informationsassets angemessen ist,
1 Sollmaßnahme zu lit. d
A-5.1.161Richtlinie für das IKT-Vorfallmanagement: Sichere Aufbewahrung von Beweismitteln
e)
Mechanismen zur Analyse bedeutender oder wiederkehrender IKT-bezogener Vorfälle und -Muster in Bezug auf Anzahl und Auftreten IKT-bezogener Vorfälle einrichten und implementieren.
1 Sollmaßnahme zu lit. e
A-5.1.162Richtlinie für das IKT-Vorfallmanagement: Analyse wiederkehrender Vorfälle und Muster
Für die Zwecke des Buchstabens d bewahren die Finanzunternehmen die dort genannten Nachweise auf sichere Weise auf.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 23
Erkennung anormaler Aktivitäten und Kriterien für die Erkennung IKT-bezogener Vorfälle und die Reaktion auf solche Vorfälle
RTS IKT-Risikomanagement (2024/1774)
(1)
Um IKT-bezogene Vorfälle und anormale Aktivitäten wirkungsvoll zu erkennen und wirkungsvoll darauf reagieren zu können. legen die Finanzunternehmen klare Aufgaben und Zuständigkeiten fest.
1 Sollmaßnahme
A-8.16.002Verfahren zur Anomalieerkennung: Aufgaben und Zuständigkeiten
(2)
Der in Artikel 10 Absatz 1 der Verordnung (EU) 2022/2554 genannte Mechanismus zur umgehenden Erkennung anomaler Aktivitäten, darunter auch Probleme bei der Leistung von IKT-Netzwerken und IKT-bezogene Vorfälle, muss es den Finanzunternehmen ermöglichen,
1 Sollmaßnahme
A-5.25.014Bewertung von Netzwerkleistungsproblemen im IKT-Vorfallmanagement
a)
alles Folgende zu sammeln, zu überwachen und zu analysieren: i) interne und externe Faktoren, darunter zumindest die gemäß Artikel 12 gesammelten Protokolle, die Informationen von Unternehmens- und IKT-Funktionen sowie alle etwaigen, von Nutzern des Finanzunternehmens gemeldeten Probleme, ii) potenzielle interne und externe Cyberbedrohungen unter Berücksichtigung der üblicherweise von Angreifern verwendeten Szenarien und der auf Bedrohungsanalysen beruhenden Szenarien, iii) Meldungen IKT-bezogener Vorfälle durch einen IKT-Drittdienstleister des Finanzunternehmens, die in den Systemen und Netzwerken des IKT-Drittdienstleisters entdeckt wurden und Auswirkungen auf das Finanzunternehmen haben könnten,
7 Sollmaßnahmen zu lit. a · 4 Zieldokumente · 2 Nachweise
Verfahren zur Anomalieerkennung· 2 hierkatalogweit 13 in 3 Artikeln
A-8.16.003Verfahren zur Anomalieerkennung: Datenquellen der Erkennungsmechanismen
Nachweise / operative Umsetzung
A-8.15.018Netzwerkprotokollierung
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 1 hierkatalogweit 51 in 20 Artikeln
A-5.1.237Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Integration von Dienstleister-Meldungen
Protokollierungsverfahren· 1 hierkatalogweit 17 in 4 Artikeln
A-8.15.010Protokollierungsverfahren: Netzwerkverkehr
Richtlinie für das Management der Netzwerksicherheit· 1 hierkatalogweit 20 in 7 Artikeln
A-5.1.079Richtlinie für das Management der Netzwerksicherheit: Erstellung und Auswertung von Netzwerkprotokollen
Nachweise / operative Umsetzung· 2 hier
A-5.22.012Zuführung von Dienstleister-Vorfallmeldungen zum internen Vorfallsmanagement
A-8.16.012Protokollierung und Auswertung von Netzwerkereignissen
b)
anomale Aktivitäten und Verhaltensweisen festzustellen und Tools einzusetzen, die zumindest für IKT- und Informationsassets, die kritische oder wichtige Funktionen unterstützen, Warnmeldungen generieren, die auf anomale Aktivitäten und Verhaltensweisen aufmerksam machen,
2 Sollmaßnahmen zu lit. b · 1 Zieldokument
Verfahren zur Anomalieerkennung· 2 hierkatalogweit 13 in 3 Artikeln
A-8.16.004Verfahren zur Anomalieerkennung: Tools mit automatisierten Warnmeldungen für kwF
A-8.16.005Verfahren zur Anomalieerkennung: Regelbasis der Erkennungstools
c)
die unter Buchstabe b genannten Warnmeldungen zu priorisieren, damit die festgestellten IKT-bezogenen Vorfälle innerhalb der von den Finanzunternehmen festgelegten erwarteten Abwicklungszeit sowohl während als auch außerhalb der Arbeitszeiten gelöst werden können,
1 Sollmaßnahme zu lit. c
A-8.16.006Verfahren zur Anomalieerkennung: Priorisierung der Warnmeldungen
d)
sämtliche relevanten Informationen über alle anomalen Aktivitäten und Verhaltensweisen automatisch oder manuell aufzuzeichnen, zu analysieren und auszuwerten.
1 Sollmaßnahme zu lit. d
A-8.16.007Verfahren zur Anomalieerkennung: Erfassung und Bewertung anomaler Aktivitäten
Für die Zwecke des Buchstabens b beinhalten die dort genannten Tools auch solche, die nach vorab definierten Regeln automatische Warnmeldungen zur Feststellung von Anomalien generieren, die die Vollständigkeit und Integrität der Datenquellen oder gesammelten Protokolle beeinträchtigen.
(3)
Die Finanzunternehmen schützen jede Aufzeichnung anomaler Aktivitäten vor Manipulation und unbefugtem Zugriff und zwar unabhängig davon, ob diese Daten gespeichert sind oder gerade übermittelt oder verwendet werden.
2 Sollmaßnahmen
A-8.15.030Manipulationsschutz für Protokolldaten
A-8.16.008Verfahren zur Anomalieerkennung: Manipulationsschutz der Aufzeichnungen
(4)
Für jede festgestellte anomale Aktivität protokollieren die Finanzunternehmen alle relevanten Informationen, die
a)
die Feststellung von Datum und Uhrzeit der anomalen Aktivität ermöglichen,
b)
die Feststellung von Datum und Uhrzeit der Erkennung der anomalen Aktivität ermöglichen,
c)
die Feststellung der Art der anomalen Aktivität ermöglichen.
3 Sollmaßnahmen
A-8.15.014Protokollierungsverfahren: Protokollierung anomaler Aktivitäten
A-8.15.028Pflichtinhalte der Anomalie-Protokollierung
A-8.16.009Verfahren zur Anomalieerkennung: Protokollierung je Anomalie
(5)
Wenn die Finanzunternehmen die in Artikel 10 Absatz 2 der Verordnung (EU) 2022/2554 genannten Erkennungs- und Reaktionsprozesse für IKT-bezogene Vorfälle auslösen, tragen sie dabei allen folgenden Kriterien Rechnung:
a)
Hinweisen darauf, dass in einem IKT-System oder -Netzwerk möglicherweise eine böswillige Aktivität stattgefunden hat oder dieses IKT-System oder -Netzwerk korrumpiert sein könnte,
b)
Datenverlusten, die im Hinblick auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten festgestellt wurden,
c)
festgestellten schädlichen Auswirkungen auf die Transaktionen und Operationen des Finanzunternehmens,
d)
der Nichtverfügbarkeit von IKT-Systemen und -Netzwerken.
(6)
Für die Zwecke des Absatzes 5 tragen die Finanzunternehmen auch der Kritikalität der betroffenen Dienstleistung Rechnung.
1 Sollmaßnahme
A-8.16.010Verfahren zur Anomalieerkennung: Auslösekriterien für Erkennung und Reaktion
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 24
Komponenten der IKT-Geschäftsfortführungsleitlinie
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen nehmen in die in Artikel 11 Absatz 1 der Verordnung (EU) 2022/2554 genannte IKT-Geschäftsfortführungsleitlinie Folgendes auf:
1 Sollmaßnahme
A-5.1.241IKT-Geschäftsfortführungsleitlinie: Erstellung
a)
eine Beschreibung i) der Ziele der IKT-Geschäftsfortführungsleitlinie, darunter auch der Wechselwirkungen zwischen der IKT- und der allgemeinen Geschäftsfortführung, unter Berücksichtigung der Ergebnisse der in Artikel 11 Absatz 5 der Verordnung (EU) 2022/2554 genannten Business-Impact-Analyse, ii) des Umfangs der Geschäftsfortführungsvorkehrungen, -pläne, -verfahren und -mechanismen samt etwaiger Beschränkungen und Ausschlüsse, iii) des von den Geschäftsfortführungsvorkehrungen, -plänen, -verfahren und -mechanismen abzudeckenden Zeitraums, iv) der Kriterien für die Aktivierung und Deaktivierung von IKT-Geschäftsfortführungsplänen, IKT-Reaktions- und Wiederherstellungsplänen und Krisenkommunikationsplänen;
8 Sollmaßnahmen zu lit. a · 5 Zieldokumente
IKT-Geschäftsfortführungsleitlinie· 4 hierkatalogweit 33 in 7 Artikeln
A-5.1.244IKT-Geschäftsfortführungsleitlinie: Ziele und Abgrenzung zum BCM
A-5.1.245IKT-Geschäftsfortführungsleitlinie: Geltungsbereich
A-5.1.246IKT-Geschäftsfortführungsleitlinie: Planungszeiträume
A-5.1.247IKT-Geschäftsfortführungsleitlinie: Aktivierung und Deaktivierung der Pläne
IKT-Geschäftsfortführungspläne· 1 hierkatalogweit 15 in 5 Artikeln
A-5.30.041IKT-Geschäftsfortführungspläne: Pflichtinhalte der Pläne
IKT-Reaktions- und Wiederherstellungspläne· 1 hierkatalogweit 7 in 3 Artikeln
A-5.30.049IKT-Reaktions- und Wiederherstellungspläne: Pflichtinhalte der Pläne
Krisenkommunikationspläne· 1 hierkatalogweit 3 in 3 Artikeln
A-5.30.054Krisenkommunikationspläne: Pflichtinhalte der Pläne
Krisenmanagementverfahren· 1 hierkatalogweit 7 in 4 Artikeln
A-5.30.033Krisenmanagementverfahren: Aktivierungskriterien der Krisenkommunikationspläne
b)
Bestimmungen zu: i) Governance und Organisation zur Umsetzung der IKT-Geschäftsfortführungsleitlinie, einschließlich Aufgaben, Zuständigkeiten und Eskalationsverfahren, wobei zu gewährleisten ist, dass ausreichende Ressourcen zur Verfügung stehen, ii) der Abstimmung zwischen den IKT-Geschäftsfortführungsplänen und den allgemeinen Geschäftsfortführungsplänen, was zumindest alles Folgende angeht: 1. die potenziellen Ausfallszenarien, einschließlich der in Artikel 26 Absatz 2 genannten Szenarien, 2. die Ziele für die Wiederherstellung des Geschäftsbetriebs, wobei festzulegen ist, dass das Finanzunternehmen den Betrieb seiner kritischen oder wichtigen Funktionen nach einer Störung entsprechend den Vorgaben für die Wiederherstellungszeit und den Wiederherstellungspunkt wiederherstellen können muss; iii) der Entwicklung von IKT-Geschäftsfortführungsplänen für schwerwiegende Betriebsstörungen als Teil dieser Pläne und der Priorisierung der IKT-Geschäftsfortführungsmaßnahmen nach einem risikobasierten Ansatz, iv) Entwicklung, Tests und Überprüfung der IKT-Reaktions- und Wiederherstellungspläne gemäß den Artikeln 25 und 26, v) der Überprüfung der Wirksamkeit umgesetzter Geschäftsfortführungsvorkehrungen, -pläne, -verfahren und -mechanismen gemäß Artikel 26, vi) der Abstimmung der IKT-Geschäftsfortführungsleitlinie mit: 1. der in Artikel 14 Absatz 2 der Verordnung (EU) 2022/2554 genannten Kommunikationsstrategie, 2. den in Artikel 11 Absatz 2 Buchstabe e der Verordnung (EU) 2022/2554 genannten Kommunikations- und Krisenmanagementmaßnahmen.
14 Sollmaßnahmen zu lit. b · 7 Zieldokumente
IKT-Geschäftsfortführungsleitlinie· 6 hierkatalogweit 33 in 7 Artikeln
A-5.1.248IKT-Geschäftsfortführungsleitlinie: Governance und Organisation
A-5.1.249IKT-Geschäftsfortführungsleitlinie: Abstimmung mit allgemeinen Fortführungsplänen
A-5.1.250IKT-Geschäftsfortführungsleitlinie: Geschäftsfortführungspläne (Pflicht)
A-5.1.251IKT-Geschäftsfortführungsleitlinie: Reaktions- und Wiederherstellungspläne (Pflicht)
A-5.1.252IKT-Geschäftsfortführungsleitlinie: Umsetzung und Pflege der Pläne
A-5.1.253IKT-Geschäftsfortführungsleitlinie: Abstimmung mit der Kommunikationsrichtlinie
IKT-Geschäftsfortführungspläne· 2 hierkatalogweit 15 in 5 Artikeln
A-5.30.039IKT-Geschäftsfortführungspläne: Erstellung und risikobasierte Priorisierung
A-5.30.044IKT-Geschäftsfortführungspläne: Testturnus und Wirksamkeitsbewertung
IKT-Reaktions- und Wiederherstellungspläne· 2 hierkatalogweit 7 in 3 Artikeln
A-5.30.047IKT-Reaktions- und Wiederherstellungspläne: Erstellung, Test und Überprüfung
A-5.30.051IKT-Reaktions- und Wiederherstellungspläne: Testturnus und Wirksamkeitsbewertung
Kommunikationsrichtlinie· 1 hierkatalogweit 5 in 3 Artikeln
A-5.30.056Abstimmung der Krisenkommunikationspläne mit DORA-Vorgaben
Krisenkommunikationspläne· 1 hierkatalogweit 3 in 3 Artikeln
A-5.30.055Krisenkommunikationspläne: Test und Wirksamkeitsbewertung
Krisenmanagementverfahren· 1 hierkatalogweit 7 in 4 Artikeln
A-5.30.028Krisenmanagementverfahren: Wirksamkeitsprüfung der Krisenkommunikationspläne
Verfahren für das IKT-BCM· 1 hierkatalogweit 17 in 5 Artikeln
A-5.30.009Verfahren für das IKT-BCM: Regelmäßige Wirksamkeitsbewertung der Pläne
(2)
Zentrale Gegenparteien stellen zusätzlich zu den Anforderungen in Absatz 1 sicher, dass ihre IKT-Geschäftsfortführungsleitlinie
a)
für ihre kritischen Funktionen eine Wiederherstellungszeit von maximal 2 Stunden vorsieht,
1 Sollmaßnahme zu lit. a
A-5.1.254IKT-Geschäftsfortführungsleitlinie: Zentrale Gegenparteien – Wiederherstellungszeit (2 h)
b)
externen Verbindungen und wechselseitigen Abhängigkeiten innerhalb der Finanzinfrastrukturen Rechnung trägt, darunter Handelsplätzen, die von der zentralen Gegenpartei gecleart werden, Wertpapierliefer- und -abrechnungssystemen sowie Zahlungssystemen und Kreditinstituten, die von der zentralen Gegenpartei oder einer verbundenen zentralen Gegenpartei genutzt werden;
1 Sollmaßnahme zu lit. b
A-5.1.255IKT-Geschäftsfortführungsleitlinie: Zentrale Gegenparteien – externe Abhängigkeiten
c)
Vorkehrungen im Hinblick darauf verlangt, i) die Fortführung kritischer oder wichtiger Funktionen der zentralen Gegenpartei ausgehend von Katastrophenszenarien sicherzustellen, ii) einen sekundären Verarbeitungsstandort zu unterhalten, der die Fortführung kritischer oder wichtiger Funktionen der zentralen Gegenpartei in gleicher Weise wie am Primärstandort gewährleisten kann, iii) einen sekundären Geschäftsstandort zu unterhalten oder zur sofortigen Verfügung zu haben, damit die Mitarbeiter die Dienstleistung weiter erbringen können, wenn der Primärstandort nicht verfügbar ist, iv) die Einrichtung zusätzlicher Verarbeitungsstandorte zu erwägen, insbesondere falls die unterschiedlichen Risikoprofile des primären und des sekundären Standorts keine hinreichende Gewähr dafür bieten, dass die Ziele der zentralen Gegenpartei hinsichtlich der Geschäftsfortführung in allen Szenarien erreicht werden können.
1 Sollmaßnahme zu lit. c
A-5.1.256IKT-Geschäftsfortführungsleitlinie: Zentrale Gegenparteien – Katastrophenszenarien
Für die Zwecke von Buchstabe a führen die zentralen Gegenparteien Tagesabschlussprozesse und Zahlungen unter allen Umständen fristgerecht durch.
Für die Zwecke von Buchstabe c Ziffer i müssen die dort genannten Vorkehrungen die Verfügbarkeit angemessener Humanressourcen, die Höchstdauer eines Ausfalls der kritischen Funktionen, den Failover zu einem sekundären Standort und die Wiederherstellung an diesem sekundären Standort regeln.
Für die Zwecke von Buchstabe c Ziffer ii muss der dort genannte sekundäre Verarbeitungsstandort ein anderes geografisches Risikoprofil aufweisen als der Primärstandort.
(3)
Zentralverwahrer stellen zusätzlich zu den Anforderungen in Absatz 1 sicher, dass ihre IKT-Geschäftsfortführungsleitlinie
a)
etwaigen Verbindungen und wechselseitigen Abhängigkeiten gegenüber Nutzern, kritischen Versorgungsbetrieben und kritischen Dienstleistern, anderen Zentralverwahrern und anderen Marktinfrastrukturen Rechnung trägt,
1 Sollmaßnahme zu lit. a
A-5.1.257IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer – externe Abhängigkeiten
b)
verlangt, dass die Vorkehrungen für die Geschäftsfortführung vorsehen, dass die Vorgabe für die Wiederherstellungszeit für ihre kritischen oder wichtigen Funktionen maximal zwei Stunden beträgt.
1 Sollmaßnahme zu lit. b
A-5.1.258IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer – Wiederherstellungszeit (2 h)
(4)
Handelsplätze stellen zusätzlich zu den Anforderungen in Absatz 1 sicher, dass ihre IKT-Geschäftsfortführungsleitlinie gewährleistet, dass
a)
der Handel nach einer Störung innerhalb von zwei Stunden oder einer geringfügig längeren Frist wieder aufgenommen werden kann,
1 Sollmaßnahme zu lit. a
A-5.1.259IKT-Geschäftsfortführungsleitlinie: Handelsplätze – Wiederaufnahme des Handels (2 h)
b)
der Datenverlust bei allen IT-Diensten des Handelsplatzes nach einer Störung nahezu null beträgt.
1 Sollmaßnahme zu lit. b
A-5.1.260IKT-Geschäftsfortführungsleitlinie: Handelsplätze – Datenverlust nahezu null
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 25
Test des IKT-Geschäftsfortführungsplans
RTS IKT-Risikomanagement (2024/1774)
(1)
Beim Test der IKT-Geschäftsfortführungspläne gemäß Artikel 11 Absatz 6 der Verordnung (EU) 2022/2554 berücksichtigen die Finanzunternehmen ihre Business-Impact-Analyse (BIA) und die in Artikel 3 Absatz 1 Buchstabe b der vorliegenden Verordnung genannte IKT-Risikobewertung.
2 Sollmaßnahmen
A-5.30.001Verfahren für das IKT-BCM: Einbezug von BIA und Risikobewertung bei Plantest
A-5.30.042IKT-Geschäftsfortführungspläne: Berücksichtigung von BIA und Risikobewertung
(2)
Durch den in Absatz 1 genannten Test ihrer IKT-Geschäftsfortführungspläne beurteilen die Finanzunternehmen, ob sie die Fortführung ihrer kritischen oder wichtigen Funktionen gewährleisten können. Diese Tests müssen
2 Sollmaßnahmen
A-5.30.002Verfahren für das IKT-BCM: Testszenarien der Fortführungspläne
A-5.30.045IKT-Geschäftsfortführungspläne: Testkonzeption und -umfang
a)
ausgehend von Testszenarien durchgeführt werden, bei denen potenzielle Störungen simuliert werden und die eine angemessene Zahl von schwerwiegenden, aber plausiblen Szenarien umfassen,
— keine Sollmaßnahme im Katalog zugeordnet
b)
gegebenenfalls Tests der von IKT-Drittanbietern erbrachten IKT-Dienstleistungen umfassen,
1 Sollmaßnahme zu lit. b
A-5.30.062Einbeziehung von IKT-Dienstleistern in BC-Tests
c)
bei den in Artikel 11 Absatz 6 Unterabsatz 2 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, Szenarien für Umstellungen von der primären IKT-Infrastruktur auf die redundanten Kapazitäten, Backups und Systeme enthalten,
2 Sollmaßnahmen zu lit. c
A-5.30.007Verfahren für das IKT-BCM: Testinhalte Cyberangriff und Rechenzentrumsumschaltung
A-5.30.043IKT-Geschäftsfortführungspläne: Testszenarien (Cyberangriff, RZ-Umschaltung)
d)
darauf ausgelegt sein, die Annahmen, auf denen die Geschäftsfortführungspläne beruhen, einschließlich der Governance-Regelungen und Krisenkommunikationspläne, infrage zu stellen,
— keine Sollmaßnahme im Katalog zugeordnet
e)
Verfahren enthalten, mit denen überprüft wird, ob die Mitarbeiter der Finanzunternehmen, die IKT-Drittdienstleister, die IKT-Systeme und die IKT-Dienste angemessen auf die gemäß Artikel 26 Absatz 2 gebührend berücksichtigten Szenarien reagieren.
1 Sollmaßnahme zu lit. e
A-5.30.063Test der Reaktionsfähigkeit von IKT-Dienstleistern
Für die Zwecke des Buchstabens a nehmen die Finanzunternehmen in ihre Tests stets die bei Ausarbeitung der Geschäftsfortführungspläne berücksichtigten Szenarien auf.
Für die Zwecke des Buchstabens b berücksichtigen die Finanzunternehmen in gebührendem Umfang gegebenenfalls Szenarien, in denen die Insolvenz oder der Ausfall der IKT-Drittdienstleister oder politische Risiken im Sitzland der IKT-Drittdienstleister unterstellt werden.
Für die Zwecke des Buchstabens c wird bei den Tests überprüft, ob zumindest kritische oder wichtige Funktionen für ausreichend lange Zeit angemessen aufrechterhalten werden können und ob der normale Betrieb wiederhergestellt werden kann.
(3)
Zentrale Gegenparteien beziehen in die in Absatz 1 genannten Tests ihrer IKT-Geschäftsfortführungspläne neben den Anforderungen in Absatz 2 folgende Parteien ein:
a)
Clearingmitglieder,
b)
externe Dienstleister,
c)
relevante Institute in der Finanzinfrastruktur, mit denen zentrale Gegenparteien laut ihrer Geschäftsfortführungsleitlinie wechselseitige Abhängigkeiten verbinden.
1 Sollmaßnahme
A-5.1.262IKT-Geschäftsfortführungsleitlinie: Zentrale Gegenparteien – Testbeteiligte
(4)
Zentralverwahrer beziehen in die in Absatz 1 genannten Tests ihrer IKT-Geschäftsfortführungspläne neben den Anforderungen in Absatz 2 gegebenenfalls folgende Parteien ein:
a)
die Nutzer der Zentralverwahrer,
b)
kritische Versorgungsbetriebe und kritische Dienstleister,
c)
andere Zentralverwahrer,
d)
andere Marktinfrastrukturen,
e)
alle sonstigen Institute, mit denen die Zentralverwahrer laut ihrer Geschäftsfortführungsleitlinie wechselseitige Abhängigkeiten verbinden.
1 Sollmaßnahme
A-5.1.263IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer – Testbeteiligte
(5)
Die Finanzunternehmen dokumentieren die Ergebnisse der in Absatz 1 genannten Tests. Alle bei diesen Tests festgestellten Schwachstellen werden analysiert, angegangen und dem Leitungsorgan zur Kenntnis gebracht.
2 Sollmaßnahmen
A-5.30.008Verfahren für das IKT-BCM: Dokumentation und Berichterstattung der Testergebnisse
A-5.30.046IKT-Geschäftsfortführungspläne: Dokumentation und Bericht der Testergebnisse
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 26
IKT-Reaktions- und Wiederherstellungspläne
RTS IKT-Risikomanagement (2024/1774)
(1)
Bei der Ausarbeitung der in Artikel 11 Absatz 3 der Verordnung (EU) 2022/2554 genannten IKT-Reaktions- und Wiederherstellungspläne berücksichtigen die Finanzunternehmen die Ergebnisse der Business-Impact-Analyse (BIA) des Finanzunternehmens. Diese IKT-Reaktions- und Wiederherstellungspläne müssen
a)
die Bedingungen für die Aktivierung oder Deaktivierung der Pläne sowie etwaige für deren Aktivierung oder Deaktivierung geltenden Ausnahmen festlegen;
b)
beschreiben, welche Maßnahmen zu ergreifen sind, um die Verfügbarkeit, Integrität, Kontinuität und Wiederherstellung zumindest der IKT-Systeme und -Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen des Finanzunternehmens sicherzustellen;
c)
so konzipiert sein, dass sie den Zielen für die Wiederherstellung des Geschäftsbetriebs der Finanzunternehmen gerecht werden;
d)
dokumentiert und den an der Ausführung der IKT-Reaktions- und Wiederherstellungspläne beteiligten Mitarbeitern zur Verfügung gestellt werden und im Notfall leicht zugänglich sein;
e)
sowohl kurz- als auch langfristige Wiederherstellungsoptionen vorsehen, insbesondere auch die teilweise Systemwiederherstellung;
f)
die Ziele der IKT-Reaktions- und Wiederherstellungspläne sowie die Bedingungen festlegen, unter denen die Durchführung dieser Pläne für erfolgreich erklärt werden kann.
Für die Zwecke von Buchstabe d legen die Finanzunternehmen die Aufgaben und Zuständigkeiten klar fest.
2 Sollmaßnahmen
A-5.30.018Verfahren für die IKT-Reaktion und -Wiederherstellung: Mindestinhalte der Pläne
A-5.30.050IKT-Reaktions- und Wiederherstellungspläne: Wiederherstellungsziele und Rollen
(2)
In den in Absatz 1 genannten IKT-Reaktions- und Wiederherstellungsplänen werden relevante Szenarien genannt, insbesondere auch Szenarien mit schwerwiegenden Betriebsstörungen und erhöhter Wahrscheinlichkeit, dass Störungen auftreten. In diesen Plänen werden Szenarien ausgearbeitet, die sich auf aktuelle Informationen über Bedrohungen und auf die Lehren aus früheren Betriebsstörungen stützen. Von den Finanzunternehmen werden alle folgenden Szenarien gebührend berücksichtigt:
1 Sollmaßnahme
A-5.30.025Verfahren für die IKT-Reaktion und -Wiederherstellung: Benennung schwerwiegender Störungsszenarien
a)
Cyberangriffe und Umstellungen von der primären IKT-Infrastruktur auf die redundanten Kapazitäten, Backups und redundanten Systeme;
1 Sollmaßnahme zu lit. a
A-5.30.026Verfahren für die IKT-Reaktion und -Wiederherstellung: Szenarienkatalog der Pläne
b)
Szenarien, in denen die Qualität der Bereitstellung einer kritischen oder wichtigen Funktion auf ein inakzeptables Niveau absinkt oder diese Funktion ganz ausfällt und in denen die potenziellen Auswirkungen der Insolvenz oder sonstiger Ausfälle eines relevanten IKT-Drittdienstleisters gebührend berücksichtigt werden;
1 Sollmaßnahme zu lit. b
A-5.30.064IKT-Reaktions- und Wiederherstellungspläne für IKT-Dienstleistungen
c)
teilweiser oder vollständiger Ausfall von Räumlichkeiten, insbesondere auch von Büro- und Geschäftsräumen, sowie von Rechenzentren;
— keine Sollmaßnahme im Katalog zugeordnet
d)
erheblicher Ausfall von IKT-Assets oder der Kommunikationsinfrastruktur;
— keine Sollmaßnahme im Katalog zugeordnet
e)
Nichtverfügbarkeit einer kritischen Anzahl von Mitarbeitern oder von Mitarbeitern, die für die Gewährleistung der Betriebskontinuität zuständig sind;
— keine Sollmaßnahme im Katalog zugeordnet
f)
Auswirkungen von Ereignissen im Zusammenhang mit Klimawandel und Umweltzerstörung, Naturkatastrophen, Pandemien und physischen Angriffen, insbesondere auch durch Eindringen und Terroranschläge;
— keine Sollmaßnahme im Katalog zugeordnet
g)
Angriffe durch Insider;
— keine Sollmaßnahme im Katalog zugeordnet
h)
politische und soziale Instabilität, sofern relevant auch im Sitzland des IKT-Drittdienstleisters und am Standort der Datenspeicherung und -verarbeitung;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
i)
weitverbreitete Stromausfälle.
— keine Sollmaßnahme im Katalog zugeordnet
(3)
Sind die primären Wiederherstellungsmaßnahmen möglicherweise wegen Kosten, Risiken, Logistik oder unvorhergesehener Umstände kurzfristig nicht durchführbar, so werden in den in Absatz 1 genannten IKT-Reaktions- und Wiederherstellungsplänen auch Alternativen erwogen.
1 Sollmaßnahme
A-5.30.019Verfahren für die IKT-Reaktion und -Wiederherstellung: alternative Wiederherstellungsoptionen
(4)
Im Rahmen der in Absatz 1 genannten IKT-Reaktions- und Wiederherstellungspläne werden von den Finanzunternehmen Kontinuitätsmaßnahmen geprüft und durchgeführt, um Ausfälle von IKT-Drittdienstleistern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen des Finanzunternehmens bereitstellen, zu mindern.
2 Sollmaßnahmen
A-5.30.020Verfahren für die IKT-Reaktion und -Wiederherstellung: Abmilderung von Dienstleisterausfällen
A-5.30.065Geschäftsfortführungsmaßnahmen bei IKT-Dienstleistern
1 Sollmaßnahme
A-5.30.048IKT-Reaktions- und Wiederherstellungspläne: Szenarien und alternative Wiederherstellungsoptionen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 27
Format und Inhalt des Berichts über die Überprüfung des IKT-Risikomanagementrahmens
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen legen den in Artikel 6 Absatz 5 der Verordnung (EU) 2022/2554 genannten Bericht über die Überprüfung des IKT-Risikomanagementrahmens in einem durchsuchbaren elektronischen Format vor.
1 Sollmaßnahme
ISMS-9.001Bericht zur Überprüfung des IKT-Risikomanagementrahmens: durchsuchbares elektronisches Format
(2)
Die Finanzunternehmen nehmen in den in Absatz 1 genannten Bericht alle folgenden Informationen auf:
a)
einen einleitenden Abschnitt, der Folgendes enthält: i) eine eindeutige Angabe des Finanzunternehmens, das Gegenstand des Berichts ist, und, sofern relevant, eine Beschreibung seiner Gruppenstruktur; ii) eine Beschreibung des Kontexts des Berichts mit Blick auf Art, Umfang und Komplexität der Dienstleistungen, Tätigkeiten und Geschäfte des Finanzunternehmens, seine Organisation, die ermittelten kritischen Funktionen, die Strategie, die wichtigsten laufenden Projekte oder Tätigkeiten, die Beziehungen und seine Abhängigkeit von internen und per Vertrag vergebenen IKT-Dienstleistungen und -Systemen oder die Auswirkungen, die ein Totalverlust oder eine schwerwiegende Verschlechterung derartiger Systeme hinsichtlich kritischer oder wichtiger Funktionen und der Markteffizienz hätte; iii) eine Zusammenfassung der wichtigsten Veränderungen des IKT-Risikomanagementrahmens seit dem letzten vorgelegten Bericht; iv) eine Kurzzusammenfassung des aktuellen und auf kurze Sicht bestehenden IKT-Risikoprofils, der Bedrohungslage, der erachteten Wirksamkeit seiner Kontrollen und der Sicherheitslage des Finanzunternehmens;
4 Sollmaßnahmen zu lit. a · 1 Zieldokument
Bericht zur Überprüfung des IKT-Risikomanagementrahmens· 4 hierkatalogweit 23 in 2 Artikeln
ISMS-9.002Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Einleitung – Identifikation des Unternehmens
ISMS-9.003Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Einleitung – Kontext und Abhängigkeiten
ISMS-9.004Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Einleitung – wesentliche Rahmenänderungen
ISMS-9.005Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Einleitung – Management-Zusammenfassung Risikoprofil
b)
das Datum der Genehmigung des Berichts durch das Leitungsorgan des Finanzunternehmens;
1 Sollmaßnahme zu lit. b
ISMS-9.006Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Genehmigung durch das Leitungsorgan
c)
eine Beschreibung des Grunds für die Überprüfung des IKT-Risikomanagementrahmens nach Artikel 6 Absatz 5 der Verordnung (EU) 2022/2554;
1 Sollmaßnahme zu lit. c
ISMS-9.007Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Anlass der Überprüfung
d)
das Anfangs- und Enddatum des Überprüfungszeitraums;
1 Sollmaßnahme zu lit. d
ISMS-9.008Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Überprüfungszeitraum
e)
eine Angabe der für die Überprüfung verantwortlichen Funktion;
1 Sollmaßnahme zu lit. e
ISMS-9.009Bericht zur Überprüfung des IKT-Risikomanagementrahmens: verantwortliche Funktion
f)
eine Beschreibung der wichtigsten Veränderungen und Verbesserungen des IKT-Risikomanagementrahmens seit der letzten Überprüfung;
1 Sollmaßnahme zu lit. f
ISMS-9.010Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Änderungen und deren Auswirkungen
g)
eine Zusammenfassung der Ergebnisse der Überprüfung und eine detaillierte Analyse und Bewertung der Schwere der Schwächen, Mängel und Lücken des IKT-Risikomanagementrahmens im Überprüfungszeitraum;
1 Sollmaßnahme zu lit. g
ISMS-9.011Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Bewertung von Schwachstellen und Lücken
h)
eine Beschreibung der Maßnahmen zur Behebung festgestellter Schwächen, Mängel und Lücken, die alles Folgende enthält: i) eine Zusammenfassung der Maßnahmen, die zur Behebung festgestellter Schwächen, Mängel und Lücken ergriffen wurden; ii) ein voraussichtliches Datum für die Durchführung der Maßnahmen und Daten für die interne Kontrolle der Durchführung, einschließlich Informationen über den Stand der Durchführung dieser Maßnahmen zum Zeitpunkt der Ausarbeitung des Berichts, gegebenenfalls mit einer Erläuterung, ob die Gefahr besteht, dass Fristen nicht eingehalten werden; iii) die zu verwendenden Tools und die Nennung der für die Durchführung der Maßnahmen verantwortlichen Funktion, wobei anzugeben ist, ob es sich um interne oder externe Tools/Instrumente und Funktionen handelt; iv) eine Beschreibung der Auswirkungen der im Rahmen der Maßnahmen geplanten Veränderungen auf die finanziellen, personellen und materiellen Ressourcen des Finanzunternehmens, insbesondere auch auf die für die Durchführung etwaiger Korrekturmaßnahmen vorgesehenen Ressourcen; v) gegebenenfalls Informationen über das Verfahren zur Unterrichtung der zuständigen Behörde; vi) falls die festgestellten Schwächen, Mängel oder Lücken nicht Gegenstand von Korrekturmaßnahmen sind, eine ausführliche Erläuterung der Kriterien, die zur Analyse der Auswirkungen dieser Schwächen, Mängel oder Lücken herangezogen wurden, um das damit verbundene IKT-Restrisiko zu bewerten, sowie der Kriterien für das Eingehen des damit verbundenen Restrisikos;
6 Sollmaßnahmen zu lit. h · 1 Zieldokument
Bericht zur Überprüfung des IKT-Risikomanagementrahmens· 6 hierkatalogweit 23 in 2 Artikeln
ISMS-9.012Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Korrekturmaßnahmen
ISMS-9.013Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Umsetzungsstand der Maßnahmen
ISMS-9.014Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Ressourcen der Maßnahmenumsetzung (intern/extern)
ISMS-9.015Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Ressourcenauswirkungen je Maßnahme
ISMS-9.016Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Information der zuständigen Behörde
ISMS-9.017Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Restrisikoakzeptanz bei nicht behobenen Mängeln
i)
Informationen über geplante Weiterentwicklungen des IKT-Risikomanagementrahmens;
1 Sollmaßnahme zu lit. i
ISMS-9.018Bericht zur Überprüfung des IKT-Risikomanagementrahmens: geplante Weiterentwicklungen
j)
Schlussfolgerungen aus der Überprüfung des IKT-Risikomanagementrahmens;
1 Sollmaßnahme zu lit. j
ISMS-9.019Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Schlussfolgerungen
k)
Informationen über frühere Überprüfungen, insbesondere auch i) eine Liste aller bisherigen Überprüfungen; ii) gegebenenfalls den Stand der Umsetzung der im letzten Bericht genannten Korrekturmaßnahmen; iii) falls sich die in früheren Überprüfungen vorgeschlagenen Korrekturmaßnahmen als unwirksam erwiesen oder zu unerwarteten Herausforderungen geführt haben, eine Beschreibung der Möglichkeiten für eine Verbesserung dieser Korrekturmaßnahmen oder der unerwarteten Herausforderungen;
1 Sollmaßnahme zu lit. k
ISMS-9.020Bericht zur Überprüfung des IKT-Risikomanagementrahmens: frühere Überprüfungen
l)
die zur Ausarbeitung des Berichts herangezogenen Informationsquellen, die insbesondere auch alles Folgende beinhalten müssen: i) bei den in Artikel 6 Absatz 6 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, die Ergebnisse der internen Revisionen; ii) die Ergebnisse der Compliance-Bewertungen; iii) die Ergebnisse der Tests der digitalen operationalen Resilienz und gegebenenfalls die Ergebnisse der erweiterten Tests von IKT-Tools, -Systemen und -Prozessen auf Basis bedrohungsorientierter Penetrationstests (TLPT — Threat-Led Penetration Testing); iv) externe Quellen.
2 Sollmaßnahmen zu lit. l · 1 Zieldokument
Bericht zur Überprüfung des IKT-Risikomanagementrahmens· 2 hierkatalogweit 23 in 2 Artikeln
ISMS-9.021Bericht zur Überprüfung des IKT-Risikomanagementrahmens: verwendete Informationsquellen
Nachweise / operative Umsetzung
A-5.35.008Prüfung des IKT-Risikomanagementrahmens
Wurde die Überprüfung nach aufsichtsrechtlichen Anweisungen oder Feststellungen, die sich aus einschlägigen Tests der digitalen operationalen Resilienz oder Auditverfahren ergeben, eingeleitet, so muss der Bericht für die Zwecke des Buchstabens c ausdrückliche Verweise auf diese Anweisungen oder Feststellungen enthalten, die Aufschluss über den Grund für die Einleitung der Überprüfung geben. Wurde die Überprüfung nach IKT-bezogenen Vorfällen eingeleitet, so muss der Bericht eine Liste aller IKT-bezogenen Vorfälle mit einer Analyse der Ursachen dieser Vorfälle enthalten.
Für die Zwecke von Buchstabe f enthält die Beschreibung eine Analyse der Auswirkungen der Veränderungen auf die Strategie für die digitale operationale Resilienz des Finanzunternehmens, auf den internen IKT-Kontrollrahmen des Finanzunternehmens und auf die IKT-Risikomanagement-Governance des Finanzunternehmens.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 28
Governance und Organisation
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen müssen über einen internen Governance- und Kontrollrahmen verfügen, der ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen stellen im Zuge ihres vereinfachten IKT-Risikomanagementrahmens sicher, dass ihr Leitungsorgan
a)
die Gesamtverantwortung dafür trägt, dass der vereinfachte IKT-Risikomanagementrahmen im Einklang mit der Risikobereitschaft des Finanzunternehmens die Verwirklichung der Geschäftsstrategie des Finanzunternehmens ermöglicht, und sicherstellt, dass IKT-Risiken in diesem Zusammenhang berücksichtigt werden;
b)
für alle IKT-bezogenen Funktionen klare Aufgaben und Zuständigkeiten festlegt;
c)
die Ziele für die Informationssicherheit und die IKT-Anforderungen festlegt;
d)
Folgendes genehmigt, überwacht und regelmäßig überprüft: i) die in Artikel 30 Absatz 1 dieser Verordnung genannte Klassifizierung der Informations-Assets des Finanzunternehmens, die Liste der ermittelten Hauptrisiken sowie die Business-Impact-Analyse und die zugehörigen Richtlinien; ii) die in Artikel 16 Absatz 1 Buchstabe f der Verordnung (EU) 2022/2554 genannten Geschäftsfortführungspläne des Finanzunternehmens sowie Gegen- und Wiederherstellungsmaßnahmen;
e)
die nötigen Budgetmittel zuweist und mindestens einmal jährlich überprüft, um den Anforderungen des Finanzunternehmens an die digitale operationale Resilienz in Bezug auf alle Arten von Ressourcen gerecht werden zu können, einschließlich einschlägiger Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz sowie Vermittlung von IKT-Kompetenzen für alle Mitarbeiter;
f)
die in den Kapiteln I, II und III dieses Titels enthaltenen Richtlinien und Maßnahmen festlegt und umsetzt, um das IKT-Risiko, dem das Finanzunternehmen ausgesetzt ist, zu ermitteln, zu bewerten und zu managen;
g)
die notwendigen Verfahren, IKT-Protokolle und Tools ermittelt und implementiert, um sämtliche Informations- und IKT-Assets zu schützen;
h)
sicherstellt, dass die Mitarbeiter des Finanzunternehmens über ausreichende Kenntnisse und Fähigkeiten entsprechend den zu managenden IKT-Risiken verfügen und diesbezüglich stets auf dem neuesten Stand gehalten werden, um die IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Finanzunternehmens verstehen und bewerten zu können;
i)
die Modalitäten des Meldewesens festlegt, die insbesondere auch die Häufigkeit, die Form und den Inhalt der Meldungen an das Leitungsorgan über die Informationssicherheit und die digitale operationale Resilienz regeln.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Die in Absatz 1 genannten Finanzunternehmen können die Überprüfung der Einhaltung der Anforderungen für das IKT-Risikomanagement im Einklang mit den sektorspezifischen Rechtsvorschriften der Union und der Mitgliedstaaten an gruppeninterne IKT-Unternehmen oder an IKT-Drittdienstleister auslagern. Im Falle einer solchen Auslagerung bleiben die Finanzunternehmen weiterhin uneingeschränkt für die Überprüfung der Einhaltung der IKT-Risikomanagementanforderungen verantwortlich.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(4)
Die in Absatz 1 genannten Finanzunternehmen sorgen für eine angemessene Trennung und die Unabhängigkeit von Kontrollfunktionen und internen Revisionsfunktionen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(5)
Die in Absatz 1 genannten Finanzunternehmen stellen sicher, dass ihr vereinfachter IKT-Risikomanagementrahmen im Einklang mit dem Revisionsplan des betreffenden Finanzunternehmens einer internen Revision durch Revisoren unterzogen wird. Die Revisoren müssen über ausreichendes Wissen und ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken verfügen und unabhängig sein. Häufigkeit und Schwerpunkt der IKT-Revisionen müssen den IKT-Risiken des Finanzunternehmens angemessen sein.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(6)
Auf der Grundlage der Ergebnisse der in Absatz 5 genannten Revision stellen die in Absatz 1 genannten Finanzunternehmen die rechtzeitige Überprüfung und Auswertung kritischer Erkenntnisse der IKT-Revision sicher.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 29
Informationssicherheitsleitlinien und -maßnahmen
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erarbeiten, dokumentieren und implementieren im Zusammenhang mit dem vereinfachten IKT-Risikomanagementrahmen eine Informationssicherheitsleitlinie. Diese Informationssicherheitsleitlinie enthält die übergeordneten Grundsätze und Regeln zum Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität von Daten und der von diesen Finanzunternehmen erbrachten Dienstleistungen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Auf der Grundlage ihrer in Absatz 1 genannten Informationssicherheitsleitlinie legen die in Absatz 1 genannten Finanzunternehmen IKT-Sicherheitsmaßnahmen zur Minderung ihres IKT-Risikos fest und setzen diese um, einschließlich Risikominderungsmaßnahmen, die von IKT-Drittdienstleistern umgesetzt werden.
Die IKT-Sicherheitsmaßnahmen müssen alle in den Artikeln 30 bis 38 genannten Maßnahmen umfassen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 30
Klassifizierung von Informations- und IKT-Assets
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Zuge des in Artikel 16 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten vereinfachten IKT-Risikomanagementrahmens ermitteln, klassifizieren und dokumentieren die in Absatz 1 jenes Artikels genannten Finanzunternehmen alle kritischen oder wichtigen Funktionen, die Informations- und IKT-Assets, die diese Funktionen unterstützen, und deren wechselseitige Abhängigkeiten. Die Finanzunternehmen überprüfen diese Ermittlung und Klassifizierung bei Bedarf.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen ermitteln alle kritischen oder wichtigen Funktionen, die von IKT-Drittdienstleistern unterstützt werden.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 31
IKT-Risikomanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen nehmen in ihren vereinfachten IKT-Risikomanagementrahmen alles Folgende auf:
a)
eine Bestimmung der Risikotoleranzschwellen für das IKT-Risiko im Einklang mit der Risikobereitschaft des Finanzunternehmens;
b)
die Ermittlung und Bewertung der IKT-Risiken, denen das Finanzunternehmen ausgesetzt ist;
c)
die Festlegung von Abmilderungsstrategien zumindest für die IKT-Risiken, die jenseits der Risikotoleranzschwellen des Finanzunternehmens liegen;
d)
die Überwachung der Wirksamkeit der unter Buchstabe c genannten Abmilderungsstrategien;
e)
die Ermittlung und Bewertung etwaiger IKT- und Informationssicherheitsrisiken, die sich aus größeren Veränderungen des IKT-Systems oder der IKT-Dienstleistungen, -Prozesse oder -Verfahren sowie aus den Testergebnissen in Bezug auf die IKT-Sicherheit und nach schwerwiegenden IKT-bezogenen Vorfällen ergeben.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen führen die IKT-Risikobewertung dem IKT-Risikoprofil der Finanzunternehmen entsprechend regelmäßig durch und dokumentieren sie.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Die in Absatz 1 genannten Finanzunternehmen überwachen fortlaufend Bedrohungen und Schwachstellen, die für ihre kritischen oder wichtigen Funktionen sowie für Informations- und IKT-Assets relevant sind und überprüfen regelmäßig die Risikoszenarien, die sich auf diese kritischen oder wichtigen Funktionen auswirken.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(4)
Die in Absatz 1 genannten Finanzunternehmen legen Alarmschwellen und -kriterien für die Auslösung und Einleitung von Reaktionsprozessen bei IKT-bezogenen Vorfällen fest.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 32
Physische Sicherheit und Sicherheit vor Umweltereignissen
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen ermitteln und implementieren physische Sicherheitsmaßnahmen, die ausgehend von der Bedrohungslage und entsprechend der in Artikel 30 Absatz 1 der vorliegenden Verordnung genannten Klassifizierung sowie auf Basis des Gesamtrisikoprofils der IKT-Assets und der zugänglichen Informationsassets konzipiert werden.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Maßnahmen schützen die Räumlichkeiten der Finanzunternehmen und, sofern anwendbar, die Rechenzentren von Finanzunternehmen, in denen IKT- und Informationsassets untergebracht sind, vor unbefugtem Zugriff, Angriffen und Unfällen sowie vor Umweltbedrohungen und -gefahren.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Der Schutz vor Umweltbedrohungen und -gefahren muss der Bedeutung der betreffenden Räumlichkeiten und, sofern anwendbar, der Rechenzentren und der Kritikalität der dort untergebrachten Geschäftstätigkeiten oder IKT-Systeme angemessen sein.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 33
Zugangskontrolle
RTS IKT-Risikomanagement (2024/1774)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erarbeiten, dokumentieren und implementieren Verfahren für die Kontrolle des logischen und physischen Zugangs und setzen diese Verfahren durch, überwachen sie und überprüfen sie regelmäßig. Diese Verfahren umfassen die folgenden Elemente der Kontrolle des logischen und physischen Zugangs:
a)
Verwaltung der Rechte auf Zugang zu Informationsassets, IKT-Assets und den durch sie unterstützten Funktionen sowie zu kritischen Betriebsstandorten des Finanzunternehmens nach dem Grundsatz „Kenntnis nur, wenn nötig“ („Need-to-know“), nach dem Grundsatz der Nutzungsnotwendigkeit („Need-to-use“) und nach dem Grundsatz der minimalen Berechtigung („Least privileges“), auch für den Fern- und Notfallzugang;
b)
Zurechenbarkeit der Nutzer, die sicherstellt, dass die Nutzer, die Handlungen in den IKT-Systemen vorgenommen haben, identifiziert werden können;
c)
Kontoverwaltungsverfahren für die Gewährung, Veränderung oder Entziehung von Zugangsrechten für Nutzerkonten und generische Konten, insbesondere auch für generische Administratorkonten;
d)
Authentifizierungsmethoden, die der in Artikel 30 Absatz 1 genannten Klassifizierung und dem Gesamtrisikoprofil der IKT-Assets angemessen sind und auf führenden Praktiken beruhen;
e)
regelmäßige Überprüfung der Zugangsrechte und Entziehung nicht mehr benötigter Zugangsrechte.
Für die Zwecke von Buchstabe c weist das Finanzunternehmen den privilegierten Zugang, den Notfallzugang und den Administratorzugang bei allen IKT-Systemen nach dem Grundsatz der Nutzungsnotwendigkeit oder ad hoc zu und protokolliert den Zugang nach Maßgabe von Artikel 34 Absatz 1 Buchstabe f in einer Log-Datei.
Für die Zwecke von Buchstabe d wenden die Finanzunternehmen starke Authentifizierungsmethoden an, die sich auf führende Praktiken für den Fernzugriff auf das Netz der Finanzunternehmen, für den privilegierten Zugang und für den Zugang zu IKT-Assets zur Unterstützung kritischer oder wichtiger Funktionen stützen, die öffentlich verfügbar sind.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 34
IKT-Betriebssicherheit
RTS IKT-Risikomanagement (2024/1774)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen müssen im Rahmen ihrer Systeme, Protokolle und Tools sowie bei allen IKT-Assets
a)
den Lebenszyklus aller IKT-Assets überwachen und managen;
b)
überwachen, ob die IKT-Assets von IKT-Drittdienstleistern der Finanzunternehmen unterstützt werden, sofern anwendbar;
c)
die Kapazitätsanforderungen ihrer IKT-Assets und Maßnahmen ermitteln, um die Verfügbarkeit und Effizienz der IKT-Systeme zu wahren und zu verbessern und IKT-Kapazitätsengpässen vorzubeugen, bevor sie auftreten;
d)
eine automatisierte Schwachstellensuche sowie Bewertungen der IKT-Assets durchführen, die der in Artikel 30 Absatz 1 genannten Klassifizierung und dem Gesamtrisikoprofil des betreffenden IKT-Assets angemessen sind, und Patches zur Behebung ermittelter Schwachstellen installieren;
e)
die mit veralteten oder nicht unterstützten IKT-Assets oder mit IKT-Altsystemen verbundenen Risiken managen;
f)
Vorfälle im Zusammenhang mit der logischen und physischen Zugangskontrolle, dem IKT-Betrieb, einschließlich System- und Netzwerkverkehr, sowie dem IKT-Änderungsmanagement protokollieren;
g)
Maßnahmen ermitteln und umsetzen, um Informationen über anomale Aktivitäten und anomales Verhalten bei kritischen oder wichtigen IKT-Vorgängen zu überwachen und zu analysieren;
h)
Maßnahmen zur Überwachung relevanter und aktueller Informationen über Cyberbedrohungen umsetzen;
i)
Maßnahmen zur Erkennung etwaiger Informationslecks, Schadcodes und anderer Sicherheitsbedrohungen sowie öffentlich bekannter Schwachstellen in Software und Hardware umsetzen und die Verfügbarkeit entsprechender neuer Sicherheitsupdates prüfen.
Für die Zwecke von Buchstabe f stimmen die Finanzunternehmen den Detaillierungsgrad der Protokolle auf deren Zweck und auf die Nutzung des IKT-Assets ab, der diese Protokolle produziert.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 35
Daten-, System- und Netzwerksicherheit
RTS IKT-Risikomanagement (2024/1774)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen entwickeln und implementieren im Rahmen ihrer Systeme, Protokolle und Tools Schutzvorrichtungen, die die Sicherheit der Netzwerke gegen Eindringen und den Missbrauch von Daten gewährleisten und die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten wahren. Insbesondere tragen die Finanzunternehmen unter Berücksichtigung der in Artikel 30 Absatz 1 genannten Klassifizierung für alles Folgende Sorge:
a)
Ermittlung und Umsetzung von Maßnahmen zum Schutz von Daten, die gerade verwendet oder übermittelt werden, sowie von Daten, die gespeichert sind;
b)
Ermittlung und Umsetzung von Sicherheitsmaßnahmen für die Nutzung von Software, Datenträgern, Systemen und Endgeräten, die Daten des Finanzunternehmens übertragen und speichern;
c)
Ermittlung und Umsetzung von Maßnahmen zur Verhinderung und Aufdeckung unbefugter Verbindungen mit dem Netz des Finanzunternehmens und zur Sicherung des Netzverkehrs zwischen den internen Netzwerken des Finanzunternehmens und dem Internet und anderen externen Verbindungen;
d)
Ermittlung und Umsetzung von Maßnahmen zur Gewährleistung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten bei Netzwerkübertragungen;
e)
ein Verfahren zur sicheren Löschung von Daten in den Räumlichkeiten oder von extern gespeicherten Daten, die das Finanzunternehmen nicht mehr erheben oder speichern muss;
f)
ein Verfahren zur sicheren Entsorgung oder Außerbetriebnahme von Datenspeichern in den Räumlichkeiten oder von extern gelagerten Datenspeichern, die vertrauliche Informationen enthalten;
g)
Ermittlung und Umsetzung von Maßnahmen, mit denen sichergestellt wird, dass Telearbeit und die Nutzung privater Endgeräte die Fähigkeit des Finanzunternehmens, seine kritischen Tätigkeiten angemessen, rechtzeitig und sicher auszuführen, nicht beeinträchtigen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 36
IKT-Sicherheitstests
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erstellen und implementieren einen Plan für IKT-Sicherheitstests, um die Wirksamkeit ihrer gemäß den Artikeln 33, 34 und 35 sowie 37 und 38 der vorliegenden Verordnung entwickelten IKT-Sicherheitsmaßnahmen zu bestätigen. Die Finanzunternehmen stellen sicher, dass in diesem Plan Bedrohungen und Schwachstellen berücksichtigt werden, die im Zuge des in Artikel 31 genannten vereinfachten IKT-Risikomanagementrahmens ermittelt wurden.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen überprüfen, bewerten und testen IKT-Sicherheitsmaßnahmen unter Berücksichtigung des Gesamtrisikoprofils der IKT-Assets des Finanzunternehmens.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Die in Absatz 1 genannten Finanzunternehmen überwachen und evaluieren die Ergebnisse der Sicherheitstests und bringen ihre Sicherheitsmaßnahmen im Falle von IKT-Systemen zur Unterstützung kritischer oder wichtiger Funktionen unverzüglich entsprechend auf Stand.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 37
Beschaffung, Entwicklung und Wartung von IKT-Systemen
RTS IKT-Risikomanagement (2024/1774)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen konzipieren und implementieren, sofern angemessen, ein Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen entsprechend einem risikobasierten Ansatz. Dieses Verfahren muss
a)
sicherstellen, dass die funktionalen und nichtfunktionalen Anforderungen, insbesondere auch die Anforderungen an die Informationssicherheit, von der betreffenden Unternehmensfunktion klar spezifiziert und genehmigt werden, bevor IKT-Systeme beschafft oder entwickelt werden;
b)
sicherstellen, dass IKT-Systeme vor ihrer erstmaligen Nutzung und vor der Einführung von Änderungen an der Produktionsumgebung getestet und genehmigt werden;
c)
Maßnahmen zur Minderung des Risikos einer unbeabsichtigten Veränderung oder einer vorsätzlichen Manipulation der IKT-Systeme während der Entwicklung und Implementierung in der Produktionsumgebung vorsehen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 38
IKT-Projekt- und -Änderungsmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erarbeiten, dokumentieren und implementieren ein IKT-Projektmanagementverfahren und legen die Aufgaben und Zuständigkeiten für dessen Umsetzung fest. Dieses Verfahren erstreckt sich auf alle Phasen der IKT-Projekte von ihrer Einleitung bis zu ihrem Abschluss.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen entwickeln, dokumentieren und implementieren ein Verfahren für das IKT-Änderungsmanagement, um sicherzustellen, dass alle Änderungen an IKT-Systemen auf kontrollierte Weise und mit angemessenen Schutzvorkehrungen aufgezeichnet, getestet, bewertet, genehmigt, implementiert und verifiziert werden, um die digitale operationale Resilienz des Finanzunternehmens zu wahren.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 39
Komponenten des IKT-Geschäftsfortführungsplans
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erarbeiten ihre IKT-Geschäftsfortführungspläne unter Berücksichtigung der Ergebnisse der Analyse des Risikos und der potenziellen Auswirkungen von schwerwiegenden Betriebsstörungen und von Szenarien, denen ihre IKT-Assets zur Unterstützung kritischer oder wichtiger Funktionen ausgesetzt sein könnten, insbesondere auch dem Szenario eines Cyberangriffs.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten IKT-Geschäftsfortführungspläne müssen
a)
vom Leitungsorgan des Finanzunternehmens genehmigt sein;
b)
dokumentiert und im Not- oder Krisenfall leicht zugänglich sein;
c)
genügend Mittel für ihre Ausführung vorsehen;
d)
die geplanten Wiederherstellungsniveaus und Zeitrahmen für die Wiederherstellung und Wiederaufnahme von Funktionen sowie die wichtigsten internen und externen Abhängigkeiten, insbesondere auch IKT-Drittdienstleister, nennen;
e)
festlegen, welche Bedingungen zur Aktivierung der IKT-Geschäftsfortführungspläne führen können und welche Maßnahmen zu ergreifen sind, um die Verfügbarkeit, Kontinuität und Wiederherstellung der IKT-Assets der Finanzunternehmen zur Unterstützung kritischer oder wichtiger Funktionen sicherzustellen;
f)
die Wiedergewinnungs- und Wiederherstellungsmaßnahmen für kritische oder wichtige Geschäftsfunktionen, unterstützende Prozesse, Informationsassets und deren Interdependenzen ermitteln, um nachteilige Auswirkungen auf das Funktionieren der Finanzunternehmen zu vermeiden;
g)
Verfahren und Maßnahmen für die Datensicherung vorsehen, die den Umfang der Daten, die der Sicherung unterliegen, und die Mindesthäufigkeit der Sicherung auf der Grundlage der Kritikalität der diese Daten nutzenden Funktionen festlegen;
h)
Alternativen für den Fall erwägen, dass eine Wiederherstellung wegen Kosten, Risiken, Logistik oder unvorhergesehener Umstände kurzfristig nicht durchführbar sein könnte;
i)
die Regelungen für die interne und externe Kommunikation, insbesondere auch Eskalationspläne, festlegen;
j)
aktualisiert werden, um den Lehren aus Vorfällen, Tests, neuen Risiken und ermittelten Bedrohungen, veränderten Wiederherstellungszielen sowie größeren Veränderungen der Organisation des Finanzunternehmens und der IKT-Assets zur Unterstützung kritischer oder geschäftlicher Funktionen Rechnung zu tragen.
Für die Zwecke von Buchstabe f sehen die dort genannten Maßnahmen die Minderung von Ausfällen kritischer Drittdienstleister vor.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 40
Testen der Geschäftsfortführungspläne
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen testen ihre in Artikel 39 der vorliegenden Verordnung genannten Geschäftsfortführungspläne, insbesondere auch die dort genannten Szenarien, mindestens einmal jährlich im Hinblick auf die Sicherungs- und Wiedergewinnungsverfahren oder bei jeder größeren Veränderung des Geschäftsfortführungsplans.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Tests der Geschäftsfortführungspläne müssen zeigen, dass die in jenem Absatz genannten Finanzunternehmen in der Lage sind, die Funktionsfähigkeit ihrer Geschäftstätigkeit aufrechtzuerhalten, bis kritische Vorgänge wiederhergestellt sind, und etwaige Mängel in diesen Plänen zu erkennen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Die in Absatz 1 genannten Finanzunternehmen müssen die Ergebnisse der Tests der Geschäftsfortführungspläne dokumentieren, und etwaige bei diesen Tests festgestellte Mängel müssen analysiert, behoben und dem Leitungsorgan gemeldet werden.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 41
Format und Inhalt des Berichts über die Überprüfung des vereinfachten IKT-Risikomanagementrahmens
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen legen den in Absatz 2 jenes Artikels genannten Bericht über die Überprüfung des IKT-Risikomanagementrahmens in einem durchsuchbaren elektronischen Format vor.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Der in Absatz 1 genannte Bericht muss alle folgenden Informationen enthalten:
a)
einen einleitenden Abschnitt, der Folgendes enthält: i) eine Beschreibung des Kontexts des Berichts mit Blick auf Art, Umfang und Komplexität der Dienstleistungen, Tätigkeiten und Geschäfte des Finanzunternehmens, die Organisation, die ermittelten kritischen Funktionen, die Strategie, die wichtigsten laufenden Projekte oder Tätigkeiten und die Beziehungen des Finanzunternehmens sowie die Abhängigkeit des Finanzunternehmens von internen und ausgelagerten IKT-Dienstleistungen und -Systemen oder die Auswirkungen, die ein Totalverlust oder eine schwerwiegende Verschlechterung derartiger Systeme hinsichtlich kritischer oder wichtiger Funktionen und der Markteffizienz hätte; ii) eine Kurzzusammenfassung des ermittelten aktuellen und auf kurze Sicht bestehenden IKT-Risikoprofils, der Bedrohungslage, der erachteten Wirksamkeit seiner Kontrollen und der Sicherheitslage des Finanzunternehmens; iii) Informationen über das Gebiet, über das Bericht erstattet wird; iv) eine Zusammenfassung der wichtigsten Veränderungen des IKT-Risikomanagementrahmens seit dem letzten Bericht; v) eine Zusammenfassung und eine Beschreibung der Auswirkungen der wichtigsten Veränderungen des IKT-Risikomanagementrahmens seit dem letzten Bericht;
b)
das Datum der Genehmigung des Berichts durch das Leitungsorgan des Finanzunternehmens, sofern anwendbar;
c)
eine Beschreibung der Gründe für die Überprüfung, insbesondere auch, i) falls die Überprüfung nach aufsichtsrechtlichen Anweisungen eingeleitet wurde: Belege für diese Anweisungen; ii) falls die Überprüfung nach Auftreten von IKT-bezogenen Vorfällen eingeleitet wurde: die Liste aller IKT-bezogenen Vorfälle mit zugehöriger Ursachenanalyse;
d)
das Anfangs- und Enddatum des Überprüfungszeitraums;
e)
die für die Überprüfung zuständige Person;
f)
eine Zusammenfassung der Ergebnisse und eine Eigenbewertung der Schwere der Schwächen, Mängel und Lücken, die im IKT-Risikomanagementrahmen für den Überprüfungszeitraum festgestellt wurden, einschließlich einer detaillierten Analyse derselben;
g)
ermittelte Abhilfemaßnahmen zur Behebung von Schwächen, Mängeln und Lücken im vereinfachten IKT-Risikomanagementrahmen und voraussichtliches Datum für die Implementierung dieser Maßnahmen, einschließlich Folgemaßnahmen für in früheren Berichten festgestellte Schwächen, Mängel und Lücken, sofern diese Schwächen, Mängel und Lücken noch nicht behoben sind;
h)
allgemeine Schlussfolgerungen zur Überprüfung des vereinfachten IKT-Risikomanagementrahmens, einschließlich weiterer geplanter Entwicklungen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 42
Inkrafttreten
RTS IKT-Risikomanagement (2024/1774)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 1
Kunden, finanzielle Gegenparteien und Transaktionen
RTS Incident-Klassifizierung (2024/1772)
(1)
Die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Anzahl der von dem Vorfall betroffenen Kunden spiegelt die Anzahl aller betroffenen Kunden unabhängig davon, ob es sich um natürliche oder juristische Personen handelt, wider, die den vom Finanzunternehmen bereitgestellten Dienst während des Vorfalls nicht nutzen können bzw. konnten oder die durch den Vorfall beeinträchtigt wurden. Diese Anzahl umfasst auch Dritte, die als Nutznießer der betroffenen Dienste ausdrücklich unter die vertragliche Vereinbarung zwischen dem Finanzunternehmen und dem Kunden fallen.
(2)
Die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Anzahl der von dem Vorfall betroffenen finanziellen Gegenparteien spiegelt die Anzahl aller betroffenen finanziellen Gegenparteien wider, die eine vertragliche Vereinbarung mit dem Finanzunternehmen geschlossen haben.
(3)
In Bezug auf die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Relevanz der von dem Vorfall betroffenen Kunden und finanziellen Gegenparteien berücksichtigt das Finanzunternehmen, in welchem Maße sich die Auswirkungen auf einen Kunden oder eine finanzielle Gegenpartei auf die Verwirklichung der Geschäftsziele des Finanzunternehmens auswirken werden und wie sich der Vorfall auf die Markteffizienz auswirken könnte.
(4)
In Bezug auf den Wert oder die Anzahl der von dem Vorfall betroffenen Transaktionen im Sinne von Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 berücksichtigt das Finanzunternehmen alle betroffenen Transaktionen über einen Geldbetrag, sofern mindestens ein Teil der Transaktion in der Union durchgeführt wird.
(5)
Lässt sich die tatsächliche Anzahl der betroffenen Kunden oder finanziellen Gegenparteien oder die tatsächliche Anzahl oder der tatsächliche Wert der betroffenen Transaktionen nicht bestimmen, so schätzt das Finanzunternehmen diese Zahlen oder Werte auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen.
1 Sollmaßnahme
A-5.25.003IKT-Vorfallklassifikation: Kunden, Gegenparteien und Transaktionen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Reputationsschaden
RTS Incident-Klassifizierung (2024/1772)
(1)
Zur Bestimmung des in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten Reputationsschadens betrachten die Finanzunternehmen einen Reputationsschaden als eingetreten, wenn mindestens eines der folgenden Kriterien erfüllt ist:
a)
über den Vorfall wurde in den Medien berichtet;
b)
der Vorfall hat zu wiederholten Beschwerden verschiedener Kunden oder finanzieller Gegenparteien über kundenorientierte Dienstleistungen oder kritische Geschäftsbeziehungen geführt;
c)
das Finanzunternehmen wird aufgrund des Vorfalls nicht oder wahrscheinlich nicht in der Lage sein, regulatorische Anforderungen zu erfüllen;
d)
das Finanzunternehmen wird infolge des Vorfalls Kunden oder finanzielle Gegenparteien verlieren oder wahrscheinlich verlieren, was wesentliche Auswirkungen auf seine Geschäftstätigkeit haben wird.
(2)
Bei der Bewertung der Reputationswirkung des Vorfalls berücksichtigen die Finanzunternehmen die Sichtbarkeit, die der Vorfall in Bezug auf jedes in Absatz 1 aufgeführte Kriterium erlangt hat oder wahrscheinlich erlangen wird.
1 Sollmaßnahme
A-5.25.004IKT-Vorfallklassifikation: Reputationsschaden
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
Dauer und Ausfallzeiten
RTS Incident-Klassifizierung (2024/1772)
(1)
Die Finanzunternehmen messen die in Artikel 18 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554 genannte Dauer eines Vorfalls ab dem Zeitpunkt des Eintritts des Vorfalls bis zum Zeitpunkt der Behebung des Vorfalls.
Können die Finanzunternehmen den Eintrittszeitpunkt des Vorfalls nicht bestimmen, messen sie die Dauer des Vorfalls ab dem Zeitpunkt seiner Feststellung. Wissen Finanzunternehmen schon um den Vorfall, bevor er festgestellt wurde, messen sie die Dauer ab dem Zeitpunkt, zu dem der Vorfall in den Netzwerk- oder Systemprotokollen oder anderen Datenquellen aufgezeichnet wurde.
Wissen Finanzunternehmen noch nicht, wann der Vorfall behoben sein wird, oder können sie Aufzeichnungen in Protokollen oder anderen Datenquellen nicht verifizieren, so ziehen sie Schätzungen heran.
(2)
Finanzunternehmen messen die in Artikel 18 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554 genannten Ausfallzeiten bei einem Vorfall ab dem Zeitpunkt, zu dem der Dienst für Kunden, finanzielle Gegenparteien oder andere interne oder externe Nutzer ganz oder teilweise nicht mehr verfügbar ist, bis zu dem Zeitpunkt, zu dem die regulären Tätigkeiten oder Vorgänge in dem vor dem Vorfall herrschenden Umfang wiederhergestellt sind. Führen die Ausfallzeiten nach der Wiederherstellung der regulären Tätigkeiten oder Vorgänge zu einer Verzögerung bei der Bereitstellung von Dienstleistungen, so werden die Ausfallzeiten vom Beginn des Vorfalls bis zu dem Zeitpunkt gemessen, zu dem die verzögerte Dienstleistung in vollem Umfang erbracht ist.
Können die Finanzunternehmen den Beginn der Ausfallzeiten nicht bestimmen, messen sie die Dauer der Ausfallzeiten ab dem Zeitpunkt ihrer Feststellung.
1 Sollmaßnahme
A-5.25.005IKT-Vorfallklassifikation: Dauer und Ausfallzeiten
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Geografische Ausbreitung
RTS Incident-Klassifizierung (2024/1772)
Um die in Artikel 18 Absatz 1 Buchstabe c der Verordnung (EU) 2022/2554 genannte geografische Ausbreitung im Hinblick auf die von dem Vorfall betroffenen Gebiete zu bestimmen, bewerten Finanzunternehmen, ob der Vorfall Auswirkungen in anderen Mitgliedstaaten hat oder hatte, und insbesondere, wie erheblich die Auswirkungen in Bezug auf eines von Folgendem sind:
a)
Kunden und finanzielle Gegenparteien in anderen Mitgliedstaaten;
b)
Zweigniederlassungen oder andere Finanzunternehmen innerhalb der Gruppe, die in anderen Mitgliedstaaten tätig sind;
c)
Finanzmarktinfrastrukturen oder Drittdienstleister mit möglichen Auswirkungen auf Finanzunternehmen in anderen Mitgliedstaaten, für die sie Dienstleistungen erbringen, soweit diese Informationen verfügbar sind.
1 Sollmaßnahme
A-5.25.006IKT-Vorfallklassifikation: Geografische Ausbreitung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Verluste von Daten
RTS Incident-Klassifizierung (2024/1772)
Um die in Artikel 18 Absatz 1 Buchstabe d der Verordnung (EU) 2022/2554 genannten Verluste von Daten, die durch den Vorfall verursacht werden, zu bestimmen, berücksichtigen die Finanzunternehmen Folgendes:
a)
in Bezug auf die Verfügbarkeit von Daten, ob der Vorfall die vom Finanzunternehmen, seinen Kunden oder seinen Gegenparteien nachgefragten Daten vorübergehend oder dauerhaft unzugänglich oder unbrauchbar gemacht hat;
b)
in Bezug auf die Authentizität der Daten, ob der Vorfall die Vertrauenswürdigkeit der Datenquelle kompromittiert hat;
c)
in Bezug auf die Integrität der Daten, ob der Vorfall zu einer nicht autorisierten Veränderung der Daten geführt hat, wodurch diese unrichtig oder unvollständig geworden sind;
d)
in Bezug auf die Vertraulichkeit der Daten, ob der Vorfall dazu geführt hat, dass eine unbefugte Partei oder ein unbefugtes System Zugang zu oder Kenntnis von den Daten erhalten hat.
1 Sollmaßnahme
A-5.25.007IKT-Vorfallklassifikation: Datenverlust
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
Kritikalität der betroffenen Dienste
RTS Incident-Klassifizierung (2024/1772)
Um die in Artikel 18 Absatz 1 Buchstabe e der Verordnung (EU) 2022/2554 genannte Kritikalität der betroffenen Dienste zu bestimmen, bewerten die Finanzunternehmen, ob der Vorfall
a)
IKT-Dienste oder Netzwerk- und Informationssysteme zur Unterstützung kritischer oder wichtiger Funktionen des Finanzunternehmens beeinträchtigt oder beeinträchtigt hat;
b)
von dem Finanzunternehmen erbrachte Finanzdienstleistungen beeinträchtigt oder beeinträchtigt hat, die einer Zulassung oder Registrierung bedürfen oder von den zuständigen Behörden beaufsichtigt werden;
c)
einen erfolgreichen, böswilligen und unbefugten Zugriff auf die Netzwerk- und Informationssysteme des Finanzunternehmens darstellt oder dargestellt hat.
1 Sollmaßnahme
A-5.25.008IKT-Vorfallklassifikation: Kritikalität der betroffenen Dienste
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
Wirtschaftliche Auswirkungen
RTS Incident-Klassifizierung (2024/1772)
(1)
Zur Bestimmung der in Artikel 18 Absatz 1 Buchstabe f der Verordnung (EU) 2022/2554 genannten wirtschaftlichen Auswirkungen des Vorfalls berücksichtigen die Finanzunternehmen, ohne Einrechnung von finanziellen Wiedereinziehungen, die folgenden Arten von direkten und indirekten Kosten und Verlusten, die ihnen infolge des Vorfalls entstanden sind:
a)
enteignete Mittel oder finanzielle Vermögenswerte, für die sie haften, einschließlich gestohlener Vermögenswerte;
b)
Kosten für die Ersetzung oder Verlegung von Software, Hardware oder Infrastruktur;
c)
Personalkosten, einschließlich Kosten im Zusammenhang mit der Ersetzung oder Verlegung von Personal, der Einstellung zusätzlichen Personals, der Vergütung von Überstunden und der Wiederherstellung verloren gegangener oder beeinträchtigter Kompetenzen;
d)
Gebühren wegen Nichteinhaltung vertraglicher Verpflichtungen;
e)
Kosten für Ausgleichs- und Entschädigungszahlungen an Kunden;
f)
Verluste wegen entgangener Einnahmen;
g)
Kosten für die interne und externe Kommunikation;
h)
Beratungskosten, einschließlich Kosten für Rechtsberatung, forensische Dienstleistungen und Behebungsdienstleistungen.
(2)
Die in Absatz 1 genannten Kosten und Verluste schließen keine Kosten ein, die für den alltäglichen Geschäftsbetrieb notwendig sind, insbesondere
a)
keine Kosten für die allgemeine Instandhaltung von Infrastruktur, Ausrüstung, Hardware und Software und keine Kosten für die laufende Fortbildung des Personals, um dessen Kompetenzen auf Stand zu halten;
b)
keine internen oder externen Kosten für die Verstärkung des Geschäftsbetriebs nach dem Vorfall, insbesondere auch keine Kosten für Upgrades, Verbesserungen und Initiativen zur Risikobewertung;
c)
keine Versicherungsprämien.
(3)
Die Finanzunternehmen berechnen die Höhe der Kosten und Verluste auf der Grundlage der zum Meldezeitpunkt verfügbaren Daten. Kann die tatsächliche Höhe der Kosten und Verluste nicht bestimmt werden, so schätzen die Finanzunternehmen die entsprechenden Beträge.
(4)
Bei der Bewertung der wirtschaftlichen Auswirkungen des Vorfalls summieren die Finanzunternehmen die in Absatz 1 genannten Kosten und Verluste.
1 Sollmaßnahme
A-5.25.009IKT-Vorfallklassifikation: Wirtschaftliche Auswirkungen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 8
Schwerwiegende Vorfälle
RTS Incident-Klassifizierung (2024/1772)
(1)
Ein Vorfall wird für die Zwecke von Artikel 19 Absatz 1 der Verordnung (EU) 2022/2554 als schwerwiegender Vorfall angesehen, wenn die in Artikel 6 genannten kritischen Dienste beeinträchtigt und eine der folgenden beiden Bedingungen erfüllt ist:
a)
Die in Artikel 9 Absatz 5 Buchstabe b genannte Wesentlichkeitsschwelle ist erreicht;
b)
zwei oder mehr der in Artikel 9 Absätze 1 bis 6 genannten anderen Wesentlichkeitsschwellen sind erreicht.
1 Sollmaßnahme
A-5.25.010IKT-Vorfallklassifikation: Bestimmung der Schwere eines Vorfalls
(2)
Wiederholte Vorfälle, die nach Absatz 1 einzeln betrachtet keine schwerwiegenden Vorfälle sind, werden zusammengenommen als schwerwiegender Vorfall betrachtet, wenn sie alle folgenden Bedingungen erfüllen:
a)
Sie sind innerhalb von sechs Monaten mindestens zwei Mal aufgetreten;
b)
sie haben dieselbe offensichtliche Ursache im Sinne von Artikel 20 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554;
c)
sie erfüllen zusammengenommen die in Absatz 1 festgelegten Kriterien für die Betrachtung als schwerwiegender Vorfall.
Die Finanzunternehmen bewerten das Vorliegen wiederholter Vorfälle monatlich.
Dieser Absatz gilt nicht für Kleinstunternehmen und die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen.
1 Sollmaßnahme
A-5.25.002IKT-Vorfallklassifikation: Aggregation wiederholter Vorfälle
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 9
Wesentlichkeitsschwellen für die Bestimmung schwerwiegender Vorfälle
RTS Incident-Klassifizierung (2024/1772)
(1)
Die Wesentlichkeitsschwelle für das Kriterium „Kunden, finanzielle Gegenparteien und Transaktionen“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist:
a)
Die Zahl der betroffenen Kunden beläuft sich auf mehr als 10 % aller Kunden, die die betroffene Dienstleistung nutzen;
b)
die Zahl der betroffenen Kunden, die die betroffene Dienstleistung nutzen, liegt bei mehr als 100 000;
c)
die Zahl der betroffenen finanziellen Gegenparteien beläuft sich auf mehr als 30 % aller finanziellen Gegenparteien, die Tätigkeiten im Zusammenhang mit der Bereitstellung der betroffenen Dienstleistung ausüben;
d)
die Zahl der betroffenen Transaktionen beläuft sich auf mehr als 10 % der täglichen durchschnittlichen Zahl von Transaktionen, die das Finanzunternehmen im Zusammenhang mit der betroffenen Dienstleistung durchführt;
e)
der Wert der betroffenen Transaktionen beträgt mehr als 10 % des täglichen Durchschnittswerts der Transaktionen, die das Finanzunternehmen im Zusammenhang mit der betroffenen Dienstleistung durchführt;
f)
betroffen sind Kunden oder finanzielle Gegenparteien, die nach Artikel 1 Absatz 3 als relevant eingestuft wurden.
Lässt sich die tatsächliche Anzahl der betroffenen Kunden oder finanziellen Gegenparteien oder die tatsächliche Anzahl oder der tatsächliche Wert der betroffenen Transaktionen nicht bestimmen, so schätzt das Finanzunternehmen diese Zahlen oder Werte auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen.
1 Sollmaßnahme
A-5.25.003IKT-Vorfallklassifikation: Kunden, Gegenparteien und Transaktionen
(2)
Die Wesentlichkeitsschwelle für das Kriterium „Reputationsschaden“ ist erreicht, wenn eine der in Artikel 2 Buchstaben a bis d genannten Bedingungen erfüllt ist.
1 Sollmaßnahme
A-5.25.004IKT-Vorfallklassifikation: Reputationsschaden
(3)
Die Wesentlichkeitsschwelle für das Kriterium „Dauer und Ausfallzeiten“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist:
a)
Der Vorfall dauert mehr als 24 Stunden;
b)
die Ausfallzeiten bei IKT-Diensten zur Unterstützung kritischer oder wichtiger Funktionen betragen mehr als zwei Stunden.
1 Sollmaßnahme
A-5.25.005IKT-Vorfallklassifikation: Dauer und Ausfallzeiten
(4)
Die Wesentlichkeitsschwelle für das Kriterium „geografische Ausbreitung“ ist erreicht, wenn der Vorfall im Sinne von Artikel 4 Auswirkungen in zwei oder mehr Mitgliedstaaten hat.
1 Sollmaßnahme
A-5.25.006IKT-Vorfallklassifikation: Geografische Ausbreitung
(5)
Die Wesentlichkeitsschwelle für das Kriterium „Verluste von Daten“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist:
a)
Eine in Artikel 5 genannte Auswirkung auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten hat negative Auswirkungen auf die Verwirklichung der Geschäftsziele des Finanzunternehmens oder auf dessen Fähigkeit, regulatorische Anforderungen zu erfüllen, oder wird solche negativen Auswirkungen haben;
b)
es findet ein nicht unter Buchstabe a fallender erfolgreicher böswilliger und unbefugter Zugriff auf Netzwerk- und Informationssysteme statt, sofern dieser Zugriff zu Verlusten von Daten führen kann.
1 Sollmaßnahme
A-5.25.007IKT-Vorfallklassifikation: Datenverlust
(6)
Die Wesentlichkeitsschwelle für das Kriterium „wirtschaftliche Auswirkungen“ ist erreicht, wenn die Kosten und Verluste, die dem Finanzunternehmen durch den Vorfall entstanden sind, 100 000 EUR übersteigen oder wahrscheinlich übersteigen werden.
1 Sollmaßnahme
A-5.25.009IKT-Vorfallklassifikation: Wirtschaftliche Auswirkungen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 10
Hohe Wesentlichkeitsschwellen für die Bestimmung erheblicher Cyberbedrohungen
RTS Incident-Klassifizierung (2024/1772)
Für die Zwecke von Artikel 18 Absatz 2 der Verordnung (EU) 2022/2554 wird eine Cyberbedrohung als erheblich angesehen, wenn alle folgenden Bedingungen erfüllt sind:
a)
Die Cyberbedrohung könnte nach den verfügbaren Informationen des Finanzunternehmens bei Eintritt kritische oder wichtige Funktionen des Finanzunternehmens beeinträchtigen oder beeinträchtigt haben oder könnte andere Finanzunternehmen, Drittdienstleister, Kunden oder finanzielle Gegenparteien beeinträchtigen.
b)
Die Cyberbedrohung hat eine hohe Eintrittswahrscheinlichkeit bei dem Finanzunternehmen oder bei anderen Finanzunternehmen, wenn mindestens die folgenden Elemente berücksichtigt werden: i) die mit der unter Buchstabe a genannten Cyberbedrohung zusammenhängenden einschlägigen Risiken, insbesondere auch potenzielle Schwachstellen der Systeme des Finanzunternehmens, die ausgenutzt werden können; ii) die Fähigkeiten und Absichten der Angreifer, soweit dem Finanzunternehmen bekannt; iii) das Anhalten der Bedrohung und etwaige Kenntnisse über bisherige Vorfälle, die sich auf das Finanzunternehmen oder dessen Drittdienstleister, Kunden oder finanzielle Gegenparteien ausgewirkt haben.
c)
Die Cyberbedrohung könnte bei Eintritt das folgende Kriterium oder einen der folgenden Schwellenwerte erfüllen: i) das in Artikel 18 Absatz 1 Buchstabe e der Verordnung (EU) 2022/2554 genannte Kriterium der Kritikalität der Dienste, wie in Artikel 6 der vorliegenden Verordnung ausgeführt; ii) die in Artikel 9 Absatz 1 ausgeführte Wesentlichkeitsschwelle; iii) die in Artikel 9 Absatz 4 ausgeführte Wesentlichkeitsschwelle.
Kommt das Finanzunternehmen je nach Art der Cyberbedrohung und den verfügbaren Informationen zu dem Schluss, dass die in Artikel 9 Absätze 2, 3, 5 und 6 genannten Wesentlichkeitsschwellen erreicht werden könnten, so können diese Schwellenwerte ebenfalls berücksichtigt werden.
1 Sollmaßnahme
A-5.25.013Methodik zur Klassifikation von Cyberbedrohungen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 11
Relevanz schwerwiegender Vorfälle für die zuständigen Behörden in anderen Mitgliedstaaten
RTS Incident-Klassifizierung (2024/1772)
Die in Artikel 19 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bewertung, ob der schwerwiegende Vorfall für die zuständigen Behörden in anderen Mitgliedstaaten von Belang ist, stützt sich darauf, ob der Vorfall eine von einem anderen Mitgliedstaat ausgehende Ursache oder in einem anderen Mitgliedstaat erhebliche Auswirkungen in Bezug auf eines von Folgendem hat:
a)
Kunden oder finanzielle Gegenparteien;
b)
eine Zweigniederlassung des Finanzunternehmens oder ein anderes Finanzunternehmen innerhalb der Gruppe;
c)
eine Finanzmarktinfrastruktur oder einen Drittdienstleister mit potenziellen Auswirkungen auf die Finanzunternehmen, für die Dienstleistungen erbracht werden.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 12
An andere zuständige Behörden zu übermittelnde Einzelheiten zu schwerwiegenden Vorfällen
RTS Incident-Klassifizierung (2024/1772)
Die Einzelheiten schwerwiegender Vorfälle, die von den zuständigen Behörden nach Artikel 19 Absatz 6 der Verordnung (EU) 2022/2554 an andere zuständige Behörden zu übermitteln sind, und die Benachrichtigungen, die die EBA, die ESMA oder die EIOPA und die EZB nach Artikel 19 Absatz 7 der genannten Verordnung an die jeweils zuständigen Behörden in anderen Mitgliedstaaten zu übermitteln haben, weisen denselben Umfang an Informationen — ohne Anonymisierung — auf wie die Meldungen schwerwiegender Vorfälle, die nach Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 von Finanzunternehmen vorzulegen sind.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 13
Inkrafttreten
RTS Incident-Klassifizierung (2024/1772)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 1
Gesamtrisikoprofil und -komplexität
RTS IKT-Drittparteien (2024/1773)
In der Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden (im Folgenden „Leitlinie“), werden die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art und der Umfang seiner Dienstleistungen, Tätigkeiten und Geschäfte und die Elemente berücksichtigt, durch die sich deren Komplexität erhöht oder verringert, einschließlich der Elemente, die Folgendes betreffen:
a)
die Art der IKT-Dienstleistungen, die Gegenstand der vertraglichen Vereinbarung zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden (im Folgenden „vertragliche Vereinbarung“), sind;
b)
den Standort des IKT-Drittdienstleisters oder den Standort seines Mutterunternehmens;
c)
ob die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen von einem IKT-Drittdienstleister in einem Mitgliedstaat oder einem Drittstaat bereitgestellt werden, auch unter Berücksichtigung des Standorts, von dem aus die IKT-Dienstleistungen bereitgestellt werden, und des Standorts, an dem die Daten verarbeitet und gespeichert werden;
d)
die Art der Daten, die mit dem IKT-Drittdienstleister ausgetauscht werden;
e)
ob der IKT-Drittdienstleister derselben Gruppe angehört wie das Finanzunternehmen, für das die Dienstleistungen erbracht werden;
f)
die Nutzung von IKT-Drittdienstleistern, die einer Zulassung, Registrierung oder der Beaufsichtigung oder Überwachung durch eine zuständige Behörde in einem Mitgliedstaat oder dem Überwachungsrahmen nach Kapitel V Abschnitt II der Verordnung (EU) 2022/2554 unterliegen, sowie die Nutzung von IKT-Drittdienstleistern, auf die dies nicht zutrifft;
g)
die Nutzung von IKT-Drittdienstleistern, die der Zulassung, Registrierung oder der Beaufsichtigung oder Überwachung durch eine Aufsichtsbehörde in einem Drittstaat unterliegen, sowie die Nutzung von IKT-Drittdienstleistern, auf die dies nicht zutrifft;
h)
ob die Bereitstellung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen sich auf einen einzigen IKT-Drittdienstleister oder eine kleine Anzahl solcher Dienstleister konzentriert;
i)
die Übertragbarkeit der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen auf einen anderen IKT-Drittdienstleister, auch aufgrund technologischer Besonderheiten;
j)
die potenziellen Auswirkungen von Störungen bei der Bereitstellung der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen auf die Kontinuität der Tätigkeiten des Finanzunternehmens und auf die Verfügbarkeit seiner Dienstleistungen.
1 Sollmaßnahme
A-5.1.192Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Institutsspezifische Ausgestaltung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Anwendung auf eine Gruppe
RTS IKT-Drittparteien (2024/1773)
Findet diese Verordnung auf teilkonsolidierter oder konsolidierter Basis Anwendung, so gewährleistet das Mutterunternehmen, das für die Erstellung des konsolidierten oder teilkonsolidierten Abschlusses für die Gruppe verantwortlich zeichnet, dass die Leitlinie in allen Finanzunternehmen, die Teil der Gruppe sind, konsistent umgesetzt wird und für die wirksame Anwendung dieser Verordnung auf allen relevanten Ebenen der Gruppe angemessen ist.
1 Sollmaßnahme
A-5.21.003Einheitliche gruppenweite Umsetzung der Vorgaben zum IKT-Drittparteienrisiko
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
Governance-Regelungen
RTS IKT-Drittparteien (2024/1773)
(1)
Das Leitungsorgan überprüft die Leitlinie mindestens einmal jährlich und aktualisiert sie erforderlichenfalls. Die an der Leitlinie vorgenommenen Änderungen werden zeitnah und sobald dies im Rahmen der einschlägigen vertraglichen Vereinbarungen möglich ist umgesetzt. Das Finanzunternehmen dokumentiert den geplanten zeitlichen Ablauf der Umsetzung.
3 Sollmaßnahmen · 1 Zieldokument
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 3 hierkatalogweit 51 in 20 Artikeln
A-5.1.189Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Erstellung
A-5.1.234Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Nachpflege bei Änderungen
Nachweise / operative Umsetzung
A-5.22.004Anpassung von IKT-Verträgen und Umsetzungsplan
(2)
In der Leitlinie wird eine Methode festgelegt, mit der bestimmt wird, welche IKT-Dienstleistungen kritische oder wichtige Funktionen unterstützen, oder es wird auf eine solche Methode verwiesen. In der Leitlinie ist auch anzugeben, wann eine solche Bewertung vorgenommen und überprüft werden soll.
1 Sollmaßnahme
A-5.1.197Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ermittlung der kwF-Relevanz
(3)
In der Leitlinie werden die internen Zuständigkeiten für die Genehmigung, das Management, die Kontrolle und die Dokumentation einschlägiger vertraglicher Vereinbarungen eindeutig zugewiesen, und es wird sichergestellt, dass innerhalb des Finanzunternehmens angemessene Fähigkeiten, Erfahrung und Kenntnisse aufrechterhalten werden, damit die einschlägigen vertraglichen Vereinbarungen, einschließlich der im Rahmen dieser Vereinbarungen erbrachten IKT-Dienstleistungen, wirksam überwacht werden können.
3 Sollmaßnahmen · 1 Zieldokument · 1 Nachweis
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.191Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Interne Zuständigkeiten
A-5.1.195Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vorhalten interner Kompetenzen
Nachweise / operative Umsetzung· 1 hier
A-5.22.008Zuständigkeiten für das IKT-Vertragsmanagement
(4)
Unbeschadet der letztlichen Verantwortung des Finanzunternehmens für die wirksame Beaufsichtigung der einschlägigen vertraglichen Vereinbarungen wird in der Leitlinie vorgeschrieben, dass der IKT-Drittdienstleister laut der Bewertung über ausreichende Ressourcen verfügen muss, um sicherzustellen, dass das Finanzunternehmen alle seine rechtlichen und regulatorischen Anforderungen hinsichtlich der zur Unterstützung kritischer oder wichtiger Funktionen bereitgestellten IKT-Dienstleistungen erfüllt.
2 Sollmaßnahmen · 1 Zieldokument
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.201Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auswahl- und Bewertungsverfahren
A-5.1.204Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due Diligence – Bewertungskriterien
(5)
In der Leitlinie wird eindeutig angegeben, bei welcher Funktion oder bei welchem Mitglied der Geschäftsleitung die Zuständigkeit für die Überwachung der einschlägigen vertraglichen Vereinbarungen liegt. In der Leitlinie wird festgelegt, wie diese Funktion oder dieses Mitglied der Geschäftsleitung mit den Kontrollfunktionen zusammenarbeitet, es sei denn, die Funktion oder das Mitglied ist Teil der Kontrollfunktionen, und es werden die Berichtspflichten gegenüber dem Leitungsorgan festgelegt, einschließlich der Art der zu meldenden Informationen und der vorzulegenden Dokumentation. Darüber hinaus wird festgelegt, wie häufig diese Berichterstattung erfolgt.
2 Sollmaßnahmen · 1 Zieldokument
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.194Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Verantwortung der Geschäftsleitung
A-5.1.196Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Berichterstattung an das Leitungsorgan
(6)
Die Leitlinie gewährleistet, dass die vertraglichen Vereinbarungen mit Folgendem im Einklang stehen:
a)
dem in Artikel 6 der Verordnung (EU) 2022/2554 genannten IKT-Risikomanagementrahmen;
b)
der in Artikel 9 Absatz 4 der Verordnung (EU) 2022/2554 genannten Informationssicherheitsleitlinie;
c)
der in Artikel 11 der Verordnung (EU) 2022/2554 genannten IKT-Geschäftsfortführungsleitlinie;
d)
den in Artikel 19 der Verordnung (EU) 2022/2554 festgelegten Anforderungen für die Meldung von Vorfällen.
1 Sollmaßnahme
A-5.20.034kwF-relevante Vertragsinhalte: Verzahnung mit internen Vorgaben
(7)
In der Leitlinie ist vorzusehen, dass IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden, einer unabhängigen Überprüfung unterzogen und in den Auditplan aufgenommen werden.
2 Sollmaßnahmen
A-5.1.216Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Unabhängige Überprüfung
A-5.35.004(IKT-) Revisionspläne: Prüfung kwF-relevanter IKT-Dienstleistungen
(8)
In der Leitlinie ist ausdrücklich festzulegen, dass die vertraglichen Vereinbarungen
a)
das Finanzunternehmen und sein Leitungsorgan nicht von ihren aufsichtlichen Pflichten und Verantwortlichkeiten gegenüber ihren Kunden entbinden;
b)
die wirksame Beaufsichtigung eines Finanzunternehmens nicht verhindern und nicht gegen aufsichtliche Einschränkungen für Dienstleistungen und Tätigkeiten verstoßen dürfen;
c)
vorschreiben müssen, dass die IKT-Drittdienstleister mit den zuständigen Behörden zusammenarbeiten;
d)
vorschreiben müssen, dass das Finanzunternehmen, seine Revisoren und die zuständigen Behörden wirksam Zugang zu Daten und Räumlichkeiten haben müssen, die mit der Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen zusammenhängen.
1 Sollmaßnahme
A-5.20.038kwF-relevante Vertragsinhalte: Wahrung aufsichtlicher Pflichten und Behördenzugang
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Hauptphasen des Lebenszyklus mit Blick auf die Annahme und Nutzung vertraglicher Vereinbarungen
RTS IKT-Drittparteien (2024/1773)
In der Leitlinie werden für jede Hauptphase des Lebenszyklus der vertraglichen Vereinbarung die Anforderungen, einschließlich der Regelungen, Zuständigkeiten und Prozesse, festgelegt, die mindestens Folgendes abdecken:
1 Sollmaßnahme
A-5.1.205Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vertragslebenszyklus (Gesamtrahmen)
a)
die Zuständigkeiten des Leitungsorgans, gegebenenfalls einschließlich seiner Beteiligung an der Entscheidungsfindung hinsichtlich der Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden;
1 Sollmaßnahme zu lit. a
A-5.1.206Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Beteiligung des Leitungsorgans an Entscheidungen
b)
die Planung vertraglicher Vereinbarungen, einschließlich der Risikobewertung, des Verfahrens zur Erfüllung der Sorgfaltspflicht nach den Artikeln 5 und 6 und des Genehmigungsverfahrens für neue oder wesentliche Änderungen vertraglicher Vereinbarungen im Sinne von Artikel 8 Absatz 4;
1 Sollmaßnahme zu lit. b
A-5.1.207Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Planungsphase
c)
die Einbeziehung von Geschäftsbereichen, internen Kontrollen und anderen relevanten Organisationsbereichen in Bezug auf vertragliche Vereinbarungen;
1 Sollmaßnahme zu lit. c
A-5.1.208Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Einbindung interner Funktionen
d)
die Umsetzung, die Überwachung und das Management vertraglicher Vereinbarungen nach den Artikeln 7, 8 und 9, gegebenenfalls auch auf konsolidierter und teilkonsolidierter Ebene;
2 Sollmaßnahmen zu lit. d
A-5.1.209Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Implementierung und laufender Betrieb
A-5.1.240Geltungsbereich von Strategie zum IKT-Drittparteienrisiko und Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
e)
die Dokumentation und die Erstellung von Aufzeichnungen unter Berücksichtigung der für das Informationsregister nach Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554 geltenden Anforderungen;
1 Sollmaßnahme zu lit. e
A-5.1.210Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vertragsdokumentation
f)
die Ausstiegsstrategien und Beendigungsverfahren nach Artikel 10.
1 Sollmaßnahme zu lit. f
A-5.1.214Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstieg – Strategien und Beendigungsverfahren (Verträge)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Ex-ante-Risikobewertung
RTS IKT-Drittparteien (2024/1773)
(1)
Nach der Leitlinie muss vor Abschluss einer vertraglichen Vereinbarung der Geschäftsbedarf des Finanzunternehmens bestimmt werden.
2 Sollmaßnahmen
A-5.1.211Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ermittlung des Unterstützungsbedarfs
A-5.19.003Anforderungsmanagement für IKT-Dienstleistungen
(2)
In der Leitlinie ist vorzusehen, dass auf Ebene des Finanzunternehmens und gegebenenfalls auf konsolidierter und teilkonsolidierter Ebene eine Risikobewertung durchzuführen ist, bevor eine vertragliche Vereinbarung geschlossen wird.
Bei der Risikobewertung werden alle einschlägigen Anforderungen der Verordnung (EU) 2022/2554 sowie die geltenden sektorspezifischen Rechtsvorschriften der Union berücksichtigt. In der Leitlinie werden insbesondere die Auswirkungen der Bereitstellung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen durch IKT-Drittdienstleister auf das Finanzunternehmen sowie alle Risiken berücksichtigt, die mit der Bereitstellung dieser IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen durch IKT-Drittdienstleister verbunden sind, darunter
a)
operationelle Risiken,
b)
rechtliche Risiken,
c)
IKT-Risiken,
d)
Reputationsrisiken,
e)
Risiken im Zusammenhang mit dem Schutz vertraulicher oder personenbezogener Daten,
f)
Risiken im Zusammenhang mit der Verfügbarkeit von Daten,
g)
Risiken im Zusammenhang mit dem Standort, an dem die Daten verarbeitet und gespeichert werden,
h)
Risiken im Zusammenhang mit dem Standort des IKT-Drittdienstleisters,
i)
IKT-Konzentrationsrisiken auf Unternehmensebene.
3 Sollmaßnahmen · 1 Zieldokument · 1 Nachweis
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.200Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: IKT-Risikobewertung vor Vertragsabschluss
A-5.1.219Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ex-ante Risk Assessment – Risikoarten
Nachweise / operative Umsetzung· 1 hier
A-5.19.005Ex-Ante Risk Assessment
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
Sorgfaltspflicht
RTS IKT-Drittparteien (2024/1773)
(1)
In der Leitlinie wird ein angemessenes und verhältnismäßiges Verfahren für die Auswahl und Bewertung der künftigen IKT-Drittdienstleister festgelegt, wobei zu berücksichtigen ist, ob es sich bei dem IKT-Drittdienstleister um einen gruppeninternen IKT-Dienstleister handelt, und verlangt wird, dass das Finanzunternehmen vor Abschluss einer vertraglichen Vereinbarung bewertet, ob der IKT-Drittdienstleister
a)
über die geschäftliche Reputation, hinreichende Fähigkeiten, Fachkenntnisse und angemessene finanzielle, personelle und technische Ressourcen, Informationssicherheitsstandards, eine angemessene Organisationsstruktur, ein angemessenes Risikomanagement und angemessene interne Kontrollen sowie gegebenenfalls über die erforderlichen Zulassungen oder Registrierungen verfügt, um die IKT-Dienstleistungen zur Unterstützung der kritischen oder wichtigen Funktion zuverlässig und professionell erbringen zu können;
b)
in der Lage ist, einschlägige technologische Entwicklungen zu überwachen und führende Praktiken im Bereich der IKT-Sicherheit zu ermitteln und sie gegebenenfalls zu implementieren, damit er über einen wirksamen und soliden Rahmen für die digitale operationale Resilienz verfügt;
c)
IKT-Unterauftragnehmer nutzt oder zu nutzen gedenkt, um IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon zu erbringen;
d)
in einem Drittstaat lokalisiert ist oder die Daten in einem Drittstaat verarbeitet oder speichert und, falls dies der Fall ist, ob diese Praxis die operationellen Risiken, Reputationsrisiken oder das Risiko erhöht, von restriktiven Maßnahmen, einschließlich Embargos und Sanktionen, betroffen zu sein, die sich auf die Fähigkeit des IKT-Drittdienstleisters, die IKT-Dienstleistungen zu erbringen, oder die Fähigkeit des Finanzunternehmens, diese IKT-Dienstleistungen zu empfangen, auswirken können;
e)
vertraglichen Vereinbarungen zustimmt, mit denen effektiv die Möglichkeit sichergestellt wird, dass das Finanzunternehmen selbst, beauftragte Dritte und zuständige Behörden Audits beim IKT-Drittdienstleister, auch in dessen Räumlichkeiten, durchführen;
f)
in ethischer und sozial verantwortlicher Weise handelt, die Menschenrechte und die Rechte des Kindes achtet, einschließlich des Verbots der Kinderarbeit, die geltenden Grundsätze des Umweltschutzes einhält und angemessene Arbeitsbedingungen gewährleistet.
2 Sollmaßnahmen · 1 Zieldokument
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.201Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auswahl- und Bewertungsverfahren
A-5.1.204Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due Diligence – Bewertungskriterien
(2)
In der Leitlinie wird festgelegt, welches Maß an Sicherheit hinsichtlich der Wirksamkeit des Risikomanagementrahmens von IKT-Drittdienstleistern für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von einem IKT-Drittdienstleister bereitgestellt werden sollen, gegeben sein muss. In der Leitlinie ist vorzusehen, dass im Rahmen des Verfahrens zur Erfüllung der Sorgfaltspflicht bewertet wird, ob Maßnahmen zur Risikominderung und zur Geschäftsfortführung bestehen und wie deren Funktionsfähigkeit innerhalb des IKT-Drittdienstleisters sichergestellt wird.
2 Sollmaßnahmen
A-5.1.202Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due Diligence als Voraussetzung
A-5.19.004Due-Diligence-Prüfung
(3)
In der Leitlinie wird das Verfahren zur Erfüllung der Sorgfaltspflicht festgelegt, anhand dessen die künftigen IKT-Drittdienstleister ausgewählt und bewertet werden, und es wird angegeben, welche der folgenden Elemente mit Blick auf das erforderliche Maß an Sicherheit für die Leistungsfähigkeit des IKT-Drittdienstleisters zu berücksichtigen sind:
a)
Audits oder unabhängige Bewertungen, die vom Finanzunternehmen selbst oder in seinem Auftrag durchgeführt werden;
b)
Berichte über unabhängige Audits, die auf Verlangen des IKT-Drittdienstleisters erstellt werden;
c)
Auditberichte der internen Revisionsfunktion des IKT-Drittdienstleisters;
d)
geeignete Zertifizierungen Dritter;
e)
andere relevante Informationen, die dem Finanzunternehmen zur Verfügung stehen, oder andere vom IKT-Drittdienstleister bereitgestellte Informationen.
1 Sollmaßnahme
A-5.35.005Nachweise der internen Revision zur DL-Überwachung
(4)
Die Finanzunternehmen gewährleisten unter Berücksichtigung der in Absatz 3 Buchstaben a bis e aufgeführten Elemente ein angemessenes Maß an Sicherheit für die Leistungsfähigkeit des IKT-Drittdienstleisters. Gegebenenfalls ist mehr als eines der unter diesen Buchstaben aufgeführten Elemente zu berücksichtigen.
1 Sollmaßnahme
A-5.1.203Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due Diligence – Nachweise
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
Interessenkonflikte
RTS IKT-Drittparteien (2024/1773)
(1)
In der Leitlinie werden geeignete Maßnahmen festgelegt, die vor Abschluss einschlägiger vertraglicher Vereinbarungen zu ergreifen sind, um die sich aus der Nutzung von IKT-Drittdienstleistern ergebenden tatsächlichen oder potenziellen Interessenkonflikte zu ermitteln, zu vermeiden und zu managen, und es wird eine kontinuierliche Überwachung solcher Interessenkonflikte vorgesehen.
2 Sollmaßnahmen
A-5.1.198Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vermeidung von Interessenkonflikten
A-5.20.018Interessenkonflikte bei IKT-Verträgen
(2)
Werden IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen von gruppeninternen IKT-Dienstleistern bereitgestellt, so wird in der Leitlinie festgelegt, dass Entscheidungen über die Bedingungen für diese IKT-Dienstleistungen, einschließlich der finanziellen Bedingungen, objektiv getroffen werden müssen.
2 Sollmaßnahmen
A-5.1.199Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Gruppeninterne Dienstleister
A-5.20.015IKT-Vertragsmanagement bei gruppeninternen IKT-Dienstleistern
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 8
Vertragsklauseln
RTS IKT-Drittparteien (2024/1773)
(1)
In der Leitlinie wird festgelegt, dass die einschlägige vertragliche Vereinbarung schriftlich abzufassen ist und alle in Artikel 30 Absätze 2 und 3 der Verordnung (EU) 2022/2554 genannten Elemente enthalten muss. Die Leitlinie umfasst auch Elemente mit Blick auf die in Artikel 1 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten Anforderungen sowie gegebenenfalls andere einschlägige Rechtsvorschriften der Union und der Mitgliedstaaten.
4 Sollmaßnahmen · 3 Zieldokumente
kwF-relevante Vertragsinhalte· 2 hierkatalogweit 20 in 9 Artikeln
A-5.20.034kwF-relevante Vertragsinhalte: Verzahnung mit internen Vorgaben
A-5.20.047kwF-relevante Vertragsinhalte: Mindestvertragsinhalte (Art. 30 Abs. 3 DORA)
Allgemeine Vertragsinhalte· 1 hierkatalogweit 15 in 10 Artikeln
A-5.20.019Allgemeine Vertragsinhalte: Mindestinhalte nach Art. 30 Abs. 2 DORA
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 1 hierkatalogweit 51 in 20 Artikeln
A-5.1.193Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Schriftform der Verträge
(2)
In der Leitlinie ist festzulegen, dass die einschlägigen vertraglichen Vereinbarungen das Recht des Finanzunternehmens auf Zugang zu Informationen, auf die Durchführung von Inspektionen und Audits sowie auf die Durchführung von IKT-Tests vorsehen müssen. In der Leitlinie ist vorzusehen, dass das Finanzunternehmen zu diesen Zwecken — unbeschadet seiner letztlichen Verantwortung — auf folgende Methoden zurückgreifen muss:
a)
eigene interne Audits oder Audits eines beauftragten Dritten;
b)
gegebenenfalls Sammelaudits und gepoolte IKT-Tests, einschließlich bedrohungsorientierter Penetrationstests, die gemeinsam mit anderen als Auftraggeber auftretenden Finanzunternehmen oder Firmen, die IKT-Dienstleistungen desselben IKT-Drittdienstleisters nutzen, organisiert und von diesen Finanzunternehmen oder Firmen oder einem von ihnen beauftragten Dritten durchgeführt werden;
c)
gegebenenfalls Zertifizierungen Dritter;
d)
gegebenenfalls Berichte über interne oder von Dritten durchgeführte Audits, die vom IKT-Drittdienstleister zur Verfügung gestellt werden.
3 Sollmaßnahmen
A-5.20.035kwF-relevante Vertragsinhalte: Zugangs-, Inspektions- und Auditrechte
A-5.22.014Risikobasierte laufende Überwachung von IKT-Dienstleistern
A-5.35.006Prüf- und Kontrollmaßnahmen zur DL-Überwachung
(3)
Das Finanzunternehmen darf sich längerfristig nicht nur auf die in Absatz 2 Buchstabe c genannten Zertifizierungen oder die in Absatz 2 Buchstabe d genannten Auditberichte verlassen. Nach der Leitlinie ist die Anwendung der in Absatz 2 Buchstaben c und d genannten Methoden nur dann gestattet, wenn das Finanzunternehmen
a)
den Auditplan des IKT-Drittdienstleisters für die einschlägigen vertraglichen Vereinbarungen als zufriedenstellend erachtet;
b)
sicherstellt, dass der Umfang der Zertifizierungen oder Auditberichte die von ihm ermittelten Systeme und wesentlichen Kontrollen abdeckt und die Einhaltung der einschlägigen rechtlichen Anforderungen gewährleistet;
c)
den Inhalt der Zertifizierungen oder Auditberichte laufend gründlich bewertet und prüft, ob die Berichte oder Zertifizierungen nicht obsolet sind;
d)
sicherstellt, dass wesentliche Systeme und Kontrollen in künftigen Fassungen der Zertifizierung oder des Auditberichts berücksichtigt werden;
e)
die zertifizierende oder prüfende Partei in zufriedenstellendem Maße für geeignet hält;
f)
davon überzeugt ist, dass die Zertifizierungen ausgestellt werden und die Zertifizierungen und die Audits nach weithin anerkannten einschlägigen professionellen Standards durchgeführt werden und einen Test der operationalen Wirksamkeit der bestehenden wesentlichen Kontrollen umfassen;
g)
das vertragliche Recht hat, in einer aus der Perspektive des Risikomanagements vertretbaren und legitimen Häufigkeit Änderungen des Umfangs der Zertifizierungen oder Auditberichte mit Blick auf andere einschlägige Systeme und Kontrollen zu verlangen;
h)
das vertragliche Recht hat, nach eigenem Ermessen Einzel- und Sammelaudits im Zusammenhang mit den vertraglichen Vereinbarungen durchzuführen und diese Rechte in der vereinbarten Häufigkeit wahrzunehmen.
2 Sollmaßnahmen
A-5.20.039kwF-relevante Vertragsinhalte: Rückgriff auf Zertifizierungen und Auditberichte
A-5.22.017Bewertung von Zertifizierungen und Auditberichten des IKT-Dienstleisters
(4)
Die Leitlinie stellt sicher, dass wesentliche Änderungen der vertraglichen Vereinbarung in einem schriftlichen Dokument förmlich festgehalten werden, das von allen Parteien datiert und unterzeichnet wird und in dem das Verfahren zur Verlängerung der vertraglichen Vereinbarungen festgelegt ist.
2 Sollmaßnahmen
A-5.20.016Änderungen/Verlängerungen kwF-relevanter IKT-Verträge
A-5.20.037kwF-relevante Vertragsinhalte: Schriftform von Vertragsänderungen und Verlängerung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 9
Überwachung der vertraglichen Vereinbarungen
RTS IKT-Drittparteien (2024/1773)
(1)
In der Leitlinie ist vorzusehen, dass in den vertraglichen Vereinbarungen die Maßnahmen und Schlüsselindikatoren festgelegt werden, anhand deren die Leistungsfähigkeit der IKT-Drittdienstleister kontinuierlich überwacht wird, einschließlich Maßnahmen, die dazu dienen, die Einhaltung der Anforderungen für die Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität von Daten und Informationen und die Einhaltung der einschlägigen Strategien und Verfahren des Finanzunternehmens durch die IKT-Drittdienstleister zu überwachen. Darüber hinaus sind in der Leitlinie Maßnahmen zu spezifizieren, die Anwendung finden, wenn Dienstleistungsvereinbarungen nicht eingehalten werden, und gegebenenfalls Vertragsstrafen umfassen.
4 Sollmaßnahmen · 1 Zieldokument · 2 Nachweise
kwF-relevante Vertragsinhalte· 2 hierkatalogweit 20 in 9 Artikeln
A-5.20.040kwF-relevante Vertragsinhalte: Service Level Agreements und Eskalation
A-5.20.041kwF-relevante Vertragsinhalte: Schutzziele für Daten und Informationen
Nachweise / operative Umsetzung· 2 hier
A-5.22.033SLA-Überwachung und Eskalation bei Abweichungen
A-5.22.034Überprüfung der Informationssicherheitsanforderungen beim IKT-Dienstleister
(2)
In der Leitlinie wird festgelegt, wie das Finanzunternehmen bewertet, ob die IKT-Drittdienstleister, die für die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen in Anspruch genommen werden, angemessene Leistungs- und Qualitätsstandards im Einklang mit der vertraglichen Vereinbarung und den Strategien des Finanzunternehmens einhalten. Die Leitlinie muss insbesondere gewährleisten, dass
2 Sollmaßnahmen
A-5.1.212Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Leistungs- und Qualitätsstandards
A-5.22.015Regelmäßige Bewertung der Leistungs- und Qualitätsstandards
a)
die IKT-Drittdienstleister dem Finanzunternehmen angemessene Berichte über ihre Tätigkeiten und Dienstleistungen vorlegen, darunter regelmäßige Berichte, Berichte über Vorfälle, Berichte über die Erbringung von Dienstleistungen, Berichte über die IKT-Sicherheit und Berichte über Maßnahmen und Tests zur Geschäftsfortführung;
2 Sollmaßnahmen zu lit. a
A-5.20.042kwF-relevante Vertragsinhalte: Berichtspflichten des Dienstleisters
A-5.22.018Überwachung der Berichtspflichten des IKT-Dienstleisters
b)
die Leistungsfähigkeit von IKT-Drittdienstleistern anhand wesentlicher Leistungsindikatoren, wesentlicher Kontrollindikatoren, Audits, Selbstzertifizierungen und unabhängiger Überprüfungen im Einklang mit dem IKT-Risikomanagementrahmen des Finanzunternehmens bewertet wird;
2 Sollmaßnahmen zu lit. b
A-5.20.043kwF-relevante Vertragsinhalte: Überwachungsmaßnahmen und Informationsbereitstellung
A-5.22.016Leistungsbewertung anhand definierter Kontrollindikatoren
c)
das Finanzunternehmen andere relevante Informationen von den IKT-Drittdienstleistern erhält;
2 Sollmaßnahmen zu lit. c
A-5.20.044kwF-relevante Vertragsinhalte: Nachforderung weiterer Informationen
A-5.22.019Anforderung zusätzlicher Bewertungsinformationen beim IKT-Dienstleister
d)
das Finanzunternehmen gegebenenfalls über IKT-bezogene Vorfälle und operationale oder sicherheitsbezogene Vorfälle im Zusammenhang mit Zahlungen unterrichtet wird;
2 Sollmaßnahmen zu lit. d
A-5.20.045kwF-relevante Vertragsinhalte: Meldung von Vorfällen an das Finanzunternehmen
A-5.22.013Bearbeitung von Vorfallmeldungen des IKT-Dienstleisters
e)
eine unabhängige Überprüfung und Audits vorgenommen werden, um die Einhaltung der rechtlichen und regulatorischen Anforderungen und Strategien zu prüfen.
2 Sollmaßnahmen zu lit. e
A-5.20.046kwF-relevante Vertragsinhalte: Unabhängige Überprüfungen und Audits
A-5.22.020Durchführung unabhängiger Audits und Überprüfungen
(3)
In der Leitlinie wird festgelegt, dass die Bewertung nach Absatz 2 zu dokumentieren ist und ihre Ergebnisse verwendet werden müssen, um die Risikobewertung des Finanzunternehmens im Sinne von Artikel 6 zu aktualisieren.
2 Sollmaßnahmen
A-5.1.213Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Dokumentation der Dienstleisterüberwachung
A-5.22.021Dokumentation und Risikobewertung der Überwachungsergebnisse
(4)
In der Leitlinie werden die geeigneten Maßnahmen festgelegt, die das Finanzunternehmen ergreifen muss, wenn es Mängel beim IKT-Drittdienstleister, einschließlich IKT-bezogener Vorfälle und operationaler oder sicherheitsbezogener Vorfälle im Zusammenhang mit Zahlungen, bei der Erbringung der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder bei der Einhaltung vertraglicher Vereinbarungen oder rechtlicher Anforderungen feststellt. Ferner wird darin festgelegt, wie die Umsetzung solcher Maßnahmen zu überwachen ist, um sicherzustellen, dass die Maßnahmen innerhalb eines festgelegten Zeitrahmens wirksam eingehalten werden, wobei zu berücksichtigen ist, wie wesentlich die Mängel sind.
3 Sollmaßnahmen
A-5.1.238Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Umgang mit Leistungsmängeln
A-5.20.036kwF-relevante Vertragsinhalte: Abhilfe bei Leistungsmängeln
A-5.22.022Mängelmanagement und Maßnahmennachverfolgung beim IKT-Dienstleister
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 10
Ausstieg aus und Beendigung von vertraglichen Vereinbarungen
RTS IKT-Drittparteien (2024/1773)
Die Leitlinie enthält Anforderungen an einen dokumentierten Ausstiegsplan für jede vertragliche Vereinbarung sowie Anforderungen, die die regelmäßigen Überprüfungen und Tests des dokumentierten Ausstiegsplans betreffen. Bei der Festlegung des Ausstiegsplans ist Folgendes zu berücksichtigen:
a)
unvorhergesehene und anhaltende Unterbrechungen bei der Bereitstellung von Dienstleistungen;
b)
eine mangelhafte oder nicht erfolgte Erbringung von Dienstleistungen;
c)
eine unerwartete Beendigung vertraglicher Vereinbarungen.
Der Ausstiegsplan muss realistisch und durchführbar sein, auf plausiblen Szenarien und vernünftigen Annahmen beruhen und einen Durchführungszeitplan enthalten, der mit den in den vertraglichen Vereinbarungen festgelegten Ausstiegs- und Beendigungsbedingungen vereinbar ist.
3 Sollmaßnahmen · 1 Zieldokument · 1 Nachweis
Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen· 2 hierkatalogweit 51 in 20 Artikeln
A-5.1.214Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstieg – Strategien und Beendigungsverfahren (Verträge)
A-5.1.215Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstieg – Ausstiegsplan je Vertrag
Nachweise / operative Umsetzung· 1 hier
A-5.22.023Exitplanung und -tests für kwF-relevante IKT-Verträge
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 11
Inkrafttreten
RTS IKT-Drittparteien (2024/1773)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 1
Begriffsbestimmungen
ITS Informationsregister (2024/2956)
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck
1.
„direkter IKT-Drittdienstleister“ einen IKT-Drittdienstleister oder einen gruppeninternen IKT-Dienstleister, der eine vertragliche Vereinbarung unterzeichnet hat mit a) einem Finanzunternehmen, um seine IKT-Dienstleistungen direkt für dieses Finanzunternehmen zu erbringen, b) einem Finanzunternehmen oder Nichtfinanzunternehmen, um seine Dienstleistungen für andere Finanzunternehmen innerhalb derselben Gruppe zu erbringen,
2.
„IKT-Dienstleistungskette“ eine Abfolge von vertraglichen Vereinbarungen im Zusammenhang mit der IKT-Dienstleistung, die vom direkten IKT-Drittdienstleister für das Finanzunternehmen erbracht wird, beginnend mit dem direkten IKT-Drittdienstleister, der einen oder mehrere andere IKT-Drittdienstleister als Gegenpartei(en) (Unterauftragnehmer) hat,
3.
„Rang“ die Position eines IKT-Drittdienstleisters in der IKT-Dienstleistungskette.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Erstellung einer Rangfolge von IKT-Drittdienstleistern in der Dienstleistungskette
ITS Informationsregister (2024/2956)
Finanzunternehmen weisen jedem IKT-Drittdienstleister einen Rang zu. Der Rang ist eine beliebige natürliche Zahl größer oder gleich „1“, wobei die Vereinbarung dem Finanzunternehmen umso näher steht, je niedriger die natürliche Zahl ist, die dem Rang zugeordnet ist.
Der Rang des direkten IKT-Drittdienstleisters in der IKT-Dienstleistungskette muss stets „1“ sein.
Der Rang des Unterauftragnehmers in der IKT-Dienstleistungskette muss stets größer als „1“ sein.
1 Sollmaßnahme
A-5.20.013Informationsregister: Dokumentation der Unterauftragsketten
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
Allgemeine Anforderungen an die Vorlagen des Informationsregisters
ITS Informationsregister (2024/2956)
(1)
Die Finanzunternehmen führen und aktualisieren das Informationsregister gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554 auf Unternehmensebene oder auf teilkonsolidierter und konsolidierter Ebene unter Verwendung der in den Anhängen I bis IV enthaltenen Vorlagen.
1 Sollmaßnahme
A-5.20.002Informationsregister: Führung auf Unternehmens- und Konzernebene
(2)
Die Finanzunternehmen stellen sicher, dass die in Absatz 1 genannten Vorlagen alle nachstehenden Angaben enthalten:
a)
die einschlägigen Informationen in Bezug auf sämtliche IKT-Dienstleistungen, die von direkten IKT-Drittdienstleistern erbracht werden,
b)
Informationen über alle Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Bereiche davon sicherstellen.
1 Sollmaßnahme
A-5.20.003Informationsregister: Erfassung direkter und indirekter IKT-Dienstleister
(3)
Die Finanzunternehmen stellen sicher, dass die Angaben in den in Absatz 1 genannten Vorlagen korrekt und kohärent sind. Die Finanzunternehmen überprüfen die in den Vorlagen enthaltenen Angaben regelmäßig und korrigieren unverzüglich festgestellte Fehler oder Unstimmigkeiten.
Im Falle von Gruppen stellen die Finanzunternehmen, die für die Führung und Aktualisierung des Informationsregisters auf teilkonsolidierter und konsolidierter Ebene zuständig sind, sicher, dass die Angaben in Bezug auf die Unternehmensebene in der Konsolidierung korrekt sind und mit den Angaben auf teilkonsolidierter und konsolidierter Ebene übereinstimmen.
1 Sollmaßnahme
A-5.20.004Informationsregister: Datenqualität und Aktualisierung
(4)
Die Finanzunternehmen stellen sicher, dass die Angaben in den in Absatz 1 genannten Vorlagen den folgenden Grundsätzen der Datenqualität entsprechen:
a)
Richtigkeit
b)
Vollständigkeit
c)
Kohärenz
d)
Integrität
e)
Einheitlichkeit
f)
Gültigkeit
1 Sollmaßnahme
A-5.20.005Informationsregister: Einhaltung der Datenqualitätsgrundsätze
(5)
Die Finanzunternehmen verwenden eine gültige und aktive Rechtsträgerkennung (Legal Entity Identifier, im Folgenden „LEI“) oder die in Artikel 16 der Richtlinie (EU) 2017/1132 genannte europäische einheitliche Kennung (European Unique Identifier, im Folgenden „EUID“) bzw., sofern vorhanden, beide Kennungen, um alle ihre IKT-Drittdienstleister, bei denen es sich um juristische Personen handelt, zu identifizieren, mit Ausnahme von natürlichen Personen, die als Unternehmer handeln.
1 Sollmaßnahme
A-5.20.006Informationsregister: Eindeutige Identifikation von IKT-Dienstleistern
(6)
Wenn eine IKT-Dienstleistung, die von einem direkten IKT-Drittdienstleister erbracht wird, eine kritische oder wichtige Funktion der Finanzunternehmen unterstützt, stellen die Finanzunternehmen über den direkten IKT-Drittdienstleister sicher, dass alle Unterauftragnehmer des direkten IKT-Drittdienstleisters, die im Informationsregister gemäß Absatz 2 Buchstabe b aufgeführt sind und IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, sicherstellen/unterstützen, eine gültige und aktive LEI verwenden oder ihre EUID bzw., sofern vorhanden, beide Kennungen bereitstellen, es sei denn, bei diesen Unterauftragnehmern handelt es sich um natürliche Personen, die als Unternehmer handeln.
1 Sollmaßnahme
A-5.20.007Informationsregister: Dokumentation der kwF-Unterstützung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Anforderung an das Datenformat
ITS Informationsregister (2024/2956)
(1)
Sofern in der Anleitung nichts anderes bestimmt ist, bestehen alle Vorlagen, aus denen sich das Informationsregister zusammensetzt, aus einer Tabelle mit einer vorgegebenen Anzahl von Spalten und einer unbestimmten Anzahl von Zeilen.
(2)
Die Finanzunternehmen müssen zu jedem Datenelement einen Einzelwert angeben. Sind bei einem bestimmten Datenelement mehrere Werte gültig, so fügen die Finanzunternehmen in der entsprechenden Vorlage für jeden gültigen Wert eine zusätzliche Zeile hinzu.
(3)
Die Finanzunternehmen geben alle Datenelemente im Informationsregister auf Unternehmensebene bzw. gegebenenfalls auf teilkonsolidierter und konsolidierter Ebene an.
1 Sollmaßnahme
A-5.20.008Informationsregister: Einhaltung der ITS-Vorlagen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Inhalt des Informationsregisters
ITS Informationsregister (2024/2956)
(1)
Finanzunternehmen nehmen in das Informationsregister gemäß der Anleitung in Anhang I folgende Angaben auf:
a)
allgemeine Informationen über das Finanzunternehmen, das das Informationsregister auf Unternehmensebene bzw. auf teilkonsolidierter oder konsolidierter Ebene führt und aktualisiert, gemäß Vorlage B_01.01 in Anhang I,
b)
allgemeine Informationen zu den in der Konsolidierung befindlichen Unternehmen gemäß Vorlage B_01.02 in Anhang I,
c)
gegebenenfalls Angabe der Zweigniederlassungen von Finanzunternehmen, die außerhalb des in der Vorlage B_01.02 aufgeführten Sitzlandes ansässig sind, gemäß Vorlage B_01.03 in Anhang I,
d)
allgemeine Informationen zu den vertraglichen Vereinbarungen gemäß Vorlage B_02.01 in Anhang I,
e)
spezifische Informationen zu den vertraglichen Vereinbarungen gemäß Vorlage B_02.02 in Anhang I,
f)
Angaben zu den Verbindungen zwischen gruppeninternen vertraglichen Vereinbarungen und vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, die nicht der Gruppe angehören, und zwar unter Verwendung der vertraglichen Kennnummern, wenn ein Teil der IKT-Dienstleistungskette gruppenintern ist (siehe Vorlage B_02.03 in Anhang I),
g)
Informationen über die Unternehmen, die die vertraglichen Vereinbarungen mit den direkten IKT-Drittdienstleistern für den Erhalt von IKT-Dienstleistungen oder im Namen der Unternehmen, die die IKT-Dienstleistungen in Anspruch nehmen, unterzeichnen (siehe Vorlage B_03.01 in Anhang I),
h)
Angabe der IKT-Drittdienstleister, die die vertraglichen Vereinbarungen für die Erbringung von IKT-Dienstleistungen unterzeichnen (siehe Vorlage B_03.02 in Anhang I),
i)
Angabe der Unternehmen, die die vertraglichen Vereinbarungen über die Erbringung von IKT-Dienstleistungen für andere zum Konsolidierungskreis gehörende Unternehmen unterzeichnen (siehe Vorlage B_03.03 in Anhang I),
j)
Angaben zu den Unternehmen, die die von den IKT-Drittdienstleistern bereitgestellten IKT-Dienstleistungen in Anspruch nehmen (siehe Vorlage B_04.01 in Anhang I),
k)
Angaben zu den direkten IKT-Drittdienstleistern und Unterauftragnehmern (siehe Vorlage B_05.01 in Anhang I),
l)
Angaben zur IKT-Dienstleistungskette (siehe Vorlage B_05.02 in Anhang I),
m)
Angaben zur Identifizierung der Funktionen (siehe Vorlage B_06.01 in Anhang I),
n)
Angaben zur Bewertung der von IKT-Drittdienstleistern erbrachten IKT-Dienstleistungen, die eine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützen (siehe Vorlage B_07.01 in Anhang I),
o)
Informationen über die von Finanzunternehmen beim Ausfüllen der Vorlagen verwendete Terminologie und die entsprechenden Begriffe, die in den erschöpfenden Listen und Klassifizierungssystemen enthalten sind (siehe Vorlage B_99.01 in Anhang I).
1 Sollmaßnahme
A-5.20.009Informationsregister: Vollständigkeit und Konsistenz
(2)
Sofern dies für ihr Risikomanagement oder ihr Vertragsmanagement relevant ist, können die Finanzunternehmen zusätzliche Informationen in das Informationsregister aufnehmen, und zwar in dem Format, das für die Zwecke dieser zusätzlichen Informationen am besten geeignet ist.
1 Sollmaßnahme
A-5.20.010Informationsregister: Ergänzende Risikomanagement-Informationen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
Anwendungsbereich des Informationsregisters auf teilkonsolidierter und konsolidierter Ebene
ITS Informationsregister (2024/2956)
(1)
Bei Gruppen entscheiden die Mutterunternehmen unter Berücksichtigung der einschlägigen sektorspezifischen Rechtsvorschriften der Union, welche Unternehmen in das Informationsregister aufgenommen werden sollen.
1 Sollmaßnahme
A-5.20.011Informationsregister: Sektorspezifische Konsolidierung
(2)
Das auf teilkonsolidierter und konsolidierter Ebene geführte und aktualisierte Informationsregister umfasst alle Finanzunternehmen und gruppeninternen IKT-Dienstleister, die zur Teilgruppe und zur Gruppe gehören.
1 Sollmaßnahme
A-5.20.012Informationsregister: Aggregation von Einzelunternehmensangaben
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
Inkrafttreten
ITS Informationsregister (2024/2956)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Anhang I
Anleitung zum Ausfüllen des Informationsregisters
ITS Informationsregister (2024/2956)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
TEIL 1
ALLGEMEINE ANLEITUNGEN
Finanzunternehmen, die das Informationsregister auf Unternehmensebene, teilkonsolidierter und konsolidierter Ebene führen und aktualisieren, tragen die Daten in die Vorlagen des Informationsregisters ein und verwenden dabei die in Teil 2 der Anleitung genannten Formate.
Teil 2 enthält Anleitungen, die von den Finanzunternehmen beim Ausfüllen der einzelnen Spalten in den jeweiligen Vorlagen zu befolgen sind. Beim Ausfüllen bestimmter Spalten müssen die Finanzunternehmen auf die Anhänge II, III und IV oder andere externe Quellen zurückgreifen. In diesem Fall wird in den Anleitungen auf die entsprechenden Anhänge oder externen Quellen verwiesen.
Liste der Vorlagen
| Vorlagencode | Vorlagenbezeichnung | Kurzbeschreibung |
|---|---|---|
| B_01.01 | Unternehmen, das das Informationsregister führt | In dieser Vorlage wird das Unternehmen angegeben, das das Informationsregister auf Unternehmensebene bzw. auf teilkonsolidierter oder konsolidierter Ebene führt und aktualisiert. |
| B_01.02 | Liste der zum Konsolidierungskreis gehörenden Unternehmen | In dieser Vorlage werden alle zur Gruppe gehörenden Unternehmen aufgeführt. Gehört das für die Führung und Aktualisierung des Informationsregisters zuständige Finanzunternehmen keiner Gruppe an, ist in dieser Vorlage nur das betreffende Finanzunternehmen anzugeben. |
| B_01.03 | Liste der Zweigniederlassungen | In dieser Vorlage werden die Zweigniederlassungen der in der Vorlage B_01.02 genannten Finanzunternehmen aufgeführt. |
| B_02.01 | Vertragliche Vereinbarungen – allgemeine Informationen | In dieser Vorlage werden alle vertraglichen Vereinbarungen mit direkten IKT-Drittdienstleistern aufgeführt. Für jede vertragliche Vereinbarung mit einem direkten IKT-Drittdienstleister weist das Finanzunternehmen, das das Informationsregister führt, eine eindeutige „Kennnummer der vertraglichen Vereinbarung“ zu, mit der die vertragliche Vereinbarung selbst eindeutig identifiziert wird. |
| B_02.02 | Vertragliche Vereinbarungen – spezifische Informationen | Diese Vorlage enthält nähere Angaben zu jeder in der Vorlage B_02.01 aufgeführten vertraglichen Vereinbarung in Bezug auf: a) die IKT-Dienstleistungen, die in den Anwendungsbereich der vertraglichen Vereinbarung fallen, b) die Funktionen der Finanzunternehmen, die von diesen IKT-Dienstleistungen unterstützt werden, c) sonstige wichtige Informationen zu den spezifischen erbrachten IKT-Dienstleistungen (z. B. Kündigungsfrist, für die Vereinbarung geltendes Recht usw.). |
| B_02.03 | Liste der gruppeninternen vertraglichen Vereinbarungen | In dieser Vorlage werden unter Angabe der Vertragskennnummern die Verbindungen zwischen gruppeninternen vertraglichen Vereinbarungen und vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, die nicht der Gruppe angehören, erfasst, wenn sie Teil der IKT-Dienstleistungskette sind. |
| B_03.01 | Unternehmen, die die vertraglichen Vereinbarungen für den Erhalt der IKT-Dienstleistung(en) oder im Namen der Unternehmen, die die IKT-Dienstleistung(en) in Anspruch nehmen, unterzeichnen | Diese Vorlage enthält Informationen über das Unternehmen, das die vertraglichen Vereinbarungen mit dem direkten IKT-Drittdienstleister für das Unternehmen, das die IKT-Dienstleistungen in Anspruch nimmt, unterzeichnet. Wird das Informationsregister auf Unternehmensebene geführt und aktualisiert, ist das Unternehmen, das die vertragliche Vereinbarung unterzeichnet und die IKT-Dienstleistungen in Anspruch nimmt, das Finanzunternehmen, das das Informationsregister führt und aktualisiert. Im Falle der Teilkonsolidierung und Konsolidierung ist das Finanzunternehmen, das die erbrachten IKT-Dienstleistungen in Anspruch nimmt, nicht unbedingt das Unternehmen, das die vertragliche Vereinbarung mit den IKT-Drittdienstleistern unterzeichnet. |
| B_03.02 | IKT-Drittdienstleister, die die vertraglichen Vereinbarungen für die Erbringung der IKT-Dienstleistung(en) unterzeichnen | In dieser Vorlage sind alle in der Vorlage B_05.01 genannten IKT-Drittdienstleister aufgeführt, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen zur Erbringung der IKT-Dienstleistungen unterzeichnen. |
| B_03.03 | Unternehmen, die die vertraglichen Vereinbarungen über die Erbringung der IKT-Dienstleistung(en) für andere Unternehmen im Konsolidierungskreis unterzeichnen | In dieser Vorlage werden alle in der Vorlage B_01.02 genannten Unternehmen aufgeführt, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen über die Erbringung von IKT-Dienstleistungen für andere Unternehmen im Konsolidierungskreis unterzeichnen. |
| B_04.01 | Unternehmen, die IKT-Dienstleistungen in Anspruch nehmen | In dieser Vorlage sind alle Unternehmen aufgeführt, die IKT-Dienstleistungen nutzen, die von IKT-Drittdienstleistern erbracht werden und im Informationsregister registriert sind. Bei den Unternehmen, die IKT-Dienstleistungen in Anspruch nehmen, handelt es sich entweder um die in den Anwendungsbereich fallenden Finanzunternehmen oder um die gruppeninternen IKT-Dienstleister. Wird das Informationsregister auf Unternehmensebene geführt und aktualisiert, sind das Unternehmen, das die vertragliche Vereinbarung unterzeichnet, und das Unternehmen, das die IKT-Dienstleistungen in Anspruch nimmt, das Finanzunternehmen, das das Register führt. |
| B_05.01 | IKT-Drittdienstleister | Diese Vorlage enthält allgemeine Informationen zur Ermittlung a) der direkten IKT-Drittdienstleister, b) der gruppeninternen IKT-Dienstleister, c) aller Unterauftragnehmer, die in der Vorlage B_05.02 zur IKT-Dienstleistungskette aufgeführt sind, d) des obersten Mutterunternehmens der unter den Buchstaben a, b und c genannten IKT-Drittdienstleister. |
| B_05.02 | IKT-Dienstleistungskette | In dieser Vorlage werden die IKT-Drittdienstleister, die Teil derselben IKT-Dienstleistungskette sind, ausgewiesen und zueinander in Beziehung gesetzt. Die Finanzunternehmen müssen die IKT-Drittdienstleister für jede in jeder vertraglichen Vereinbarung enthaltene IKT-Dienstleistung benennen und einstufen. Beispiel: Ein Finanzunternehmen hat eine vertragliche Vereinbarung mit einem IKT-Drittdienstleister (im Folgenden „IKT-Drittdienstleister X“) getroffen, um zwei spezifische IKT-Dienstleistungen (im Folgenden „IKT-Dienstleistung A“ und „IKT-Dienstleistung B“) in Anspruch zu nehmen, und der Dienstleister nutzt einen Unterauftragnehmer („IKT-Drittdienstleister Y“), um eine dieser Dienstleistungen zu erbringen („IKT-Dienstleistung B“). — In Bezug auf die IKT-Dienstleistung A besteht die IKT-Dienstleistungskette aus einem IKT-Drittdienstleister (dem IKT-Drittdienstleister X), der in der Vorlage als Nummer 1 eingestuft wird. Der IKT-Drittdienstleister X ist der direkte IKT-Drittdienstleister. — In Bezug auf die IKT-Dienstleistung B setzt sich die IKT-Dienstleistungskette aus zwei IKT-Drittdienstleistern zusammen: a) dem IKT-Drittdienstleister X, der in der Vorlage an erster Stelle steht. Der IKT-Drittdienstleister X ist der direkte IKT-Drittdienstleister. b) dem IKT-Drittdienstleister Y, der in der Vorlage an zweiter Stelle steht. Der IKT-Drittdienstleister Y ist ein Unterauftragnehmer. Alle IKT-Drittdienstleister, die derselben IKT-Dienstleistungskette angehören, haben dieselbe „Kennnummer der vertraglichen Vereinbarung“ gemäß Vorlage B_02.01 und erbringen dieselbe Art von IKT-Dienstleistungen. |
| B_06.01 | Angabe der Funktionen | In dieser Vorlage werden die Funktionen des Finanzunternehmens, das die IKT-Dienstleistungen in Anspruch nimmt, genannt und näher beschrieben. In den in dieser Vorlage bereitzustellenden Informationen müssen Finanzunternehmen für jede Kombination aus LEI, genehmigter Tätigkeit und Funktion eines Finanzunternehmens eine eindeutige Kennung, die „Funktionskennung“, angeben. Beispiel: Ein Finanzunternehmen (LEI: 21USLEIC20231109J3Z8), das im Rahmen von zwei genehmigten Tätigkeiten („Tätigkeit A“ und „Tätigkeit B“) agiert, erhält zwei eindeutige „Funktionskennungen“ für dieselbe Funktion X (z. B. Vertrieb), die jeweils für Tätigkeit A bzw. Tätigkeit B ausgeführt wird. Funktionskennung: F1 für die Kombination aus „21USLEIC20231109J3Z8“, „Tätigkeit A“ und „Funktion X“ F2 für die Kombination aus „21USLEIC20231109J3Z8“, „Tätigkeit B“ und „Funktion X“ |
| B_07.01 | Bewertungen der IKT-Dienstleistungen | Diese Vorlage enthält Informationen im Zusammenhang mit der Risikobewertung der IKT-Dienstleistungen (z. B. Substituierbarkeit, Zeitpunkt des letzten Audits usw.), wenn die betreffenden IKT-Dienstleistungen eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützen. |
| B_99.01 | Begriffsbestimmungen seitens der Unternehmen, die IKT-Dienstleistungen in Anspruch nehmen | Diese Vorlage enthält unternehmensinterne Erläuterungen, Bedeutungen und Begriffsbestimmungen in Bezug auf den erschöpfenden Indikatorenkatalog, den das Finanzunternehmen im Informationsregister verwendet. Beispiel: In der Vorlage B_07.01 muss das Finanzunternehmen anhand einer erschöpfenden Liste von Optionen (gering, mittel, hoch) die Auswirkungen der Einstellung der IKT-Dienstleistungen angeben. In der Vorlage B_99.01 muss das Finanzunternehmen die Bedeutung dieser Optionen darlegen. |
TEIL 2
ANLEITUNGEN ZU DEN EINZELNEN VORLAGEN
Anleitung zum Ausfüllen der Vorlage B_01.01 – Finanzunternehmen, das das Informationsregister führt
Geben Sie das Finanzunternehmen an, das das Informationsregister führt und aktualisiert.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_01.01.0010 | LEI des Finanzunternehmens, das das Informationsregister führt | Alphanumerisch | Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an, das das Informationsregister führt und aktualisiert. | Obligatorisch |
| B_01.01.0020 | Name des Finanzunternehmens | Alphanumerisch | Offizielle Bezeichnung des Finanzunternehmens, das das Informationsregister führt und aktualisiert | Obligatorisch |
| B_01.01.0030 | Land des Finanzunternehmens | Land | Geben Sie nach ISO 3166-1 Alpha-2 den Ländercode des Landes an, in dem die Lizenz oder die Eintragung des im Informationsregister gemeldeten Unternehmens erteilt wurde. | Obligatorisch |
| B_01.01.0040 | Art des Finanzunternehmens | Erschöpfende Optionsliste | Benennen Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste die Art des Finanzunternehmens: 1. Kreditinstitute, 2. Zahlungsinstitute, einschließlich nach der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates ausgenommene Zahlungsinstitute (1), 3. Kontoinformationsdienstleister, 4. E-Geld-Institute, einschließlich nach der Richtlinie 2009/110/EG des Europäischen Parlaments und des Rates ausgenommene E-Geld-Institute (2), 5. Wertpapierfirmen, 6. Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates zugelassen sind (3), 7. Emittenten wertreferenzierter Token, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind, 8. Zentralverwahrer, 9. zentrale Gegenparteien, 10. Handelsplätze, 11. Transaktionsregister, 12. Verwalter alternativer Investmentfonds, 13. Verwaltungsgesellschaften, 14. Datenbereitstellungsdienste, 15. Versicherungs- und Rückversicherungsunternehmen, 16. Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, 17. Einrichtungen der betrieblichen Altersversorgung, 18. Ratingagenturen, 19. Administratoren kritischer Referenzwerte, 20. Schwarmfinanzierungsdienstleister, 21. Verbriefungsregister, 22. sonstige Finanzunternehmen. Wird das Informationsregister auf Gruppenebene vom Mutterunternehmen geführt, das selbst nicht der Pflicht zur Führung eines solchen Registers unterliegt, da es nicht unter die Definition der Finanzunternehmen gemäß Artikel 2 der Verordnung (EU) 2022/2554 fällt (z. B. Finanzholdinggesellschaft, gemischte Finanzholdinggesellschaft oder gemischte Holdinggesellschaft), ist die Option „Sonstiges Finanzunternehmen“ zu wählen. | Obligatorisch |
| B_01.01.0050 | Zuständige Behörde | Alphanumerisch | Geben Sie die in Artikel 46 der Verordnung (EU) 2022/2554 genannte zuständige Behörde an, der das Informationsregister gemeldet wird. | Obligatorisch im Falle der Meldung |
| B_01.01.0060 | Datum der Meldung | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ–MM–TT) des Meldedatums an. | Obligatorisch im Falle der Meldung |
Anleitung zum Ausfüllen der Vorlage B_01.02 – Liste der Finanzunternehmen, die in den Anwendungsbereich des Informationsregisters fallen
Wird das Informationsregister auf teilkonsolidierter und konsolidierter Ebene geführt und aktualisiert, so werden in dieser Vorlage alle Finanzunternehmen aufgeführt, die zur Teilgruppe und Gruppe gehören. Gehört das für die Führung und Aktualisierung des Informationsregisters zuständige Finanzunternehmen keiner Gruppe an, ist in dieser Vorlage nur das betreffende Finanzunternehmen auszuweisen, und der Eintrag in dieser Vorlage muss mit dem Eintrag in der Vorlage B_01.01 identisch sein.
Wenn ein Unternehmen für alle Tätigkeiten (einschließlich der IKT-Dienstleistungen) im Namen eines Finanzunternehmens handelt, sollten die direkten IKT-Drittdienstleister dieses Unternehmens in den einschlägigen Vorlagen des Informationsregisters des Finanzunternehmens erfasst werden. In diesem Fall wird das Unternehmen nur als Unternehmen registriert, das das Register führt, und nicht in dieser Vorlage angegeben.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_01.02.0010 | LEI des Finanzunternehmens | Alphanumerisch | Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an, das im Informationsregister gemeldet wird. | Obligatorisch |
| B_01.02.0020 | Name des Finanzunternehmens | Alphanumerisch | Offizielle Bezeichnung des Finanzunternehmens, das im Informationsregister gemeldet wird | Obligatorisch |
| B_01.02.0030 | Land des Finanzunternehmens | Land | Geben Sie nach ISO 3166-1 Alpha-2 den Ländercode des Landes an, in dem die Lizenz oder die Eintragung des im Informationsregister gemeldeten Finanzunternehmens erteilt wurde. | Obligatorisch |
| B_01.02.0040 | Art des Finanzunternehmens | Erschöpfende Optionsliste | Benennen Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste die Art des Finanzunternehmens: 1. Kreditinstitute, 2. Zahlungsinstitute, einschließlich nach der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute, 3. Kontoinformationsdienstleister, 4. E-Geld-Institute, einschließlich nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute, 5. Wertpapierfirmen, 6. Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind, 7. Emittenten wertreferenzierter Token, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind, 8. Zentralverwahrer, 9. zentrale Gegenparteien, 10. Handelsplätze, 11. Transaktionsregister, 12. Verwalter alternativer Investmentfonds, 13. Verwaltungsgesellschaften, 14. Datenbereitstellungsdienste, 15. Versicherungs- und Rückversicherungsunternehmen, 16. Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, 17. Einrichtungen der betrieblichen Altersversorgung, 18. Ratingagenturen, 19. Administratoren kritischer Referenzwerte, 20. Schwarmfinanzierungsdienstleister, 21. Verbriefungsregister, 22. sonstige Finanzunternehmen, 23. Nichtfinanzunternehmen: gruppeninterne IKT-Dienstleister, 24. Nichtfinanzunternehmen: Sonstiges. | Obligatorisch |
| B_01.02.0050 | Hierarchie des Finanzunternehmens innerhalb der Gruppe (falls zutreffend) | Erschöpfende Optionsliste | Benennen Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste die Hierarchie des Finanzunternehmens im Konsolidierungskreis: 1. Das Finanzunternehmen ist das oberste Mutterunternehmen in der Konsolidierung. 2. Das Finanzunternehmen ist das Mutterunternehmen eines teilkonsolidierten Bereichs der Konsolidierung. 3. Das Finanzunternehmen ist ein in der Konsolidierung befindliches Tochterunternehmen und kein Mutterunternehmen eines teilkonsolidierten Bereichs. 4. Das Finanzunternehmen gehört keiner Gruppe an. 5. Das Finanzunternehmen ist ein Dienstleister, an den das Finanzunternehmen (oder der in seinem Namen handelnde Drittdienstleister) alle seine operationellen Tätigkeiten auslagert. Trifft auf ein Unternehmen mehr als eine Option der oben angegebenen erschöpfenden Liste zu, so ist die auf das Unternehmen zutreffende höherrangige Option auszuwählen. | Obligatorisch |
| B_01.02.0060 | LEI des direkten Mutterunternehmens des Finanzunternehmens | Alphanumerisch | Geben Sie das im Informationsregister gemeldete direkte Mutterunternehmen des Finanzunternehmens unter Verwendung des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 an. | Obligatorisch |
| B_01.02.0070 | Datum der letzten Aktualisierung | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ–MM–TT) des Datums der letzten Aktualisierung oder Änderung des Informationsregisters in Bezug auf das Finanzunternehmen an. | Obligatorisch |
| B_01.02.0080 | Datum der Aufnahme in das Informationsregister | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ–MM–TT) des Datums der Aufnahme des Finanzunternehmens in das Informationsregister an. | Obligatorisch |
| B_01.02.0090 | Datum der Löschung im Informationsregister | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ–MM–TT) des Datums der Löschung des Finanzunternehmens aus dem Informationsregister an. Wurde das Finanzunternehmen nicht gelöscht, ist „9999-12-31“ anzugeben. | Obligatorisch |
| B_01.02.0100 | Währung | Währung | Geben Sie den alphabetischen ISO 4217-Code der Währung an, die für die Aufstellung des Jahresabschlusses des Finanzunternehmens verwendet wird. Die Beträge sind in der Währung auszuweisen, die das Finanzunternehmen bei der Aufstellung des Jahresabschlusses je nach Sachlage auf Unternehmensebene, teilkonsolidierter oder konsolidierter Ebene verwendet. | Nur obligatorisch, wenn B_01.02.0110 gemeldet wird |
| B_01.02.0110 | Gesamtwert der Aktiva des Finanzunternehmens | Monetär | Monetärer Gesamtwert der Aktiva des Finanzunternehmens; maßgeblich ist der im Jahresabschluss des Finanzunternehmens für das Jahr vor dem Datum der letzten Aktualisierung des Informationsregisters ausgewiesene Wert. Der monetäre Wert ist in Einheiten anzugeben. Für das Ausfüllen dieser Spalte wird auf Anhang IV verwiesen. | Obligatorisch, wenn es sich bei dem Unternehmen um ein Finanz-unternehmen handelt |
Anleitung zum Ausfüllen der Vorlage B_01.03 – Liste der Zweigniederlassungen
Hat ein Finanzunternehmen Zweigniederlassungen, die sich außerhalb seines Sitzlandes befinden, so sind diese Zweigniederlassungen in dieser Vorlage anzugeben.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_01.03.0010 | Identifikationscode der Zweigniederlassung | Alphanumerisch | Geben Sie für jede Zweigniederlassung eines Finanzunternehmens, die sich außerhalb seines Sitzlandes befindet, einen eindeutigen Code an. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: a) LEI der Zweigniederlassung, wenn sie nur für diese Zweigniederlassung gilt und sich von der Angabe in B_01.03.0020 unterscheidet, b) ein anderer Identifikationscode, der von dem Finanzunternehmen zur Identifizierung der Zweigniederlassung verwendet wird (wenn die LEI der Zweigniederlassung derjenigen in Vorlage B_01.03.0020 oder der LEI einer anderen Zweigniederlassung entspricht). | Obligatorisch |
| B_01.03.0020 | LEI des Hauptsitzes des Finanzunternehmens der Zweigniederlassung | Alphanumerisch | Wie in B_01.02.0010 angegeben Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 den Hauptsitz des Finanzunternehmens der Zweigniederlassung an. | Obligatorisch |
| B_01.03.0030 | Name der Zweigniederlassung | Alphanumerisch | Geben Sie den Namen der Zweigniederlassung an. | Obligatorisch |
| B_01.03.0040 | Land der Zweigniederlassung | Land | Geben Sie den Code des Landes, in dem die Zweigniederlassung ansässig ist, gemäß ISO 3166-1 Alpha-2 an. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_02.01 – Vertragliche Vereinbarungen – Allgemeine Informationen
Finanzunternehmen müssen für jede vertragliche Vereinbarung im Informationsregister eine „Kennnummer der vertraglichen Vereinbarung“ angeben. Nimmt der externe IKT-Drittdienstleister Unterauftragnehmer in Anspruch, erfassen die Finanzunternehmen im Informationsregister für Vereinbarungen zwischen den externen IKT-Drittdienstleistern und ihren Unterauftragnehmern keine „Kennnummer der vertraglichen Vereinbarung“. Im Falle eines gruppeninternen IKT-Dienstleisters erfassen die Finanzunternehmen in dieser Vorlage die „Kennnummer der vertraglichen Vereinbarung“ zwischen diesem gruppeninternen IKT-Dienstleister und seinen IKT-Drittdienstleistern und füllen die Vorlage B_02.03 (Liste der gruppeninternen vertraglichen Vereinbarungen) entsprechend aus.
Die „Kennnummer der vertraglichen Vereinbarung“ bezieht sich auf die folgenden Arten von vertraglichen Vereinbarungen:
a)
jede Art von eigenständigen Vereinbarungen,
b)
jede Art von „übergeordneten Vereinbarungen oder Rahmenübereinkünften“, einschließlich Globalvereinbarungen und Rahmenübereinkünften,
c)
jede Art von „Folge- oder Nebenvereinbarungen“, einschließlich Durchführungsvereinbarungen, Unterdienstleistungsvereinbarungen und Bestellscheinen.
Die Kennnummer der vertraglichen Vereinbarung bezieht sich nicht auf Dienstgütevereinbarungen, die einer der in den Buchstaben a, b und c oben genannten vertraglichen Vereinbarungen untergeordnet sind.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_02.01.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Führen Sie die vertragliche Vereinbarung zwischen dem Finanzunternehmen oder – im Falle einer Gruppe – dem Tochterunternehmen der Gruppe und dem direkten IKT-Drittdienstleister auf. Die Kennnummer der vertraglichen Vereinbarung ist die interne Kennnummer der vertraglichen Vereinbarung, die vom Finanzunternehmen zugewiesen wurde. Die Kennnummer der vertraglichen Vereinbarung muss auf Unternehmensebene bzw. auf teilkonsolidierter und auf konsolidierter Ebene eindeutig sein und ist im Zeitverlauf unverändert beizubehalten. Die Kennnummer der vertraglichen Vereinbarung ist in allen Vorlagen des Informationsregisters einheitlich zu verwenden, wenn auf dieselbe vertragliche Vereinbarung Bezug genommen wird. Wenn ein Unternehmen für alle Tätigkeiten (einschließlich der IKT-Dienstleistungen) im Namen eines Finanzunternehmens handelt (siehe Erwägungsgrund 7), kann die Kennnummer der vertraglichen Vereinbarung die vertragliche Vereinbarung zwischen dem Unternehmen und seinem direkten IKT-Drittdienstleister sein. | Obligatorisch |
| B_02.01.0020 | Art der vertraglichen Vereinbarung | Erschöpfende Liste von Optionen | Benennen Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste die Art der vertraglichen Vereinbarung: 1. eigenständige Vereinbarung, 2. übergeordnete Vereinbarung / Globalvereinbarung, 3. Folge- oder Nebenvereinbarung. | Obligatorisch |
| B_02.01.0030 | Kennnummer der übergeordneten vertraglichen Vereinbarung | Alphanumerisch | Entfällt, wenn es sich bei der vertraglichen Vereinbarung um die „übergeordnete vertragliche Vereinbarung“ oder um eine „eigenständige Vereinbarung“ handelt. In den anderen Fällen ist die Kennnummer der übergeordneten vertraglichen Vereinbarung anzugeben. Diese muss dem Wert entsprechen, der in Spalte B_02.01.0010 bei der Meldung der übergeordneten vertraglichen Vereinbarung angegeben wurde. | Obligatorisch |
| B_02.01.0040 | Währung des in B_02.01.0050 ausgewiesenen Betrags | Währung | Geben Sie den alphabetischen ISO 4217-Code der Währung an, in der der Betrag in B_02.01.0050 ausgewiesen ist. | Obligatorisch |
| B_02.01.0050 | Jährliche Ausgaben oder voraussichtliche Kosten der vertraglichen Vereinbarung für das zurückliegende Jahr | Monetär | Jährliche Ausgaben oder voraussichtliche Kosten (oder gruppeninterner Transfer) der vertraglichen Vereinbarung für IKT-Dienstleistungen für das zurückliegende Jahr. Der monetäre Wert ist in Einheiten anzugeben. Die jährlichen Ausgaben oder voraussichtlichen Kosten sind in der in B_01.02.0040 angegebenen Währung auszuweisen. Im Falle einer übergeordneten Vereinbarung mit Folge- oder Nebenvereinbarungen muss die Summe der jährlichen Ausgaben oder voraussichtlichen Kosten, die für die übergeordnete Vereinbarung und die Folge- oder Nebenvereinbarungen gemeldet werden, den Gesamtausgaben oder den gesamten voraussichtlichen Kosten für die vertragliche Gesamtvereinbarung entsprechen. Es darf keine Wiederholung oder Doppelerfassung der jährlichen Ausgaben oder voraussichtlichen Kosten geben. Die folgenden Fälle sind zu berücksichtigen: a) Werden die jährlichen Ausgaben oder voraussichtlichen Kosten nicht auf der Ebene der übergeordneten Vereinbarung bestimmt (also auf der Ebene 0), so sind die jährlichen Ausgaben oder voraussichtlichen Kosten auf der Ebene der einzelnen Folge- oder Nebenvereinbarungen anzugeben. b) Können die jährlichen Ausgaben oder voraussichtlichen Kosten nicht für die einzelnen Folge- oder Nebenvereinbarungen gemeldet werden, so werden die jährlichen Gesamtausgaben oder voraussichtlichen Kosten auf der Ebene der übergeordneten Vereinbarung gemeldet. c) Gibt es jährliche Ausgaben oder voraussichtliche Kosten für jede Ebene der Vereinbarung, d. h. für die übergeordnete Vereinbarung und die Folge- oder Nebenvereinbarung, und sind diese Informationen verfügbar, so sind die jährlichen Ausgaben oder voraussichtlichen Kosten ohne Doppelerfassung für jede Ebene der vertraglichen Vereinbarung anzugeben. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_02.02 – Vertragliche Vereinbarungen – Spezifische Informationen
Die Finanzunternehmen sind gehalten, diese Vorlage mit der größtmöglichen Granularität auszufüllen. Umfasst die vertragliche Vereinbarung mehrere IKT-Dienstleistungen, die mehrere Funktionen unterstützen, müssen die Finanzunternehmen entsprechend viele Zeilen für die Elemente in der Vorlage verwenden, wobei die von der vertraglichen Vereinbarung abgedeckten IKT-Dienstleistungen und die Funktionen des Finanzunternehmens kombiniert werden.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_02.02.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.01.0010 angegeben | Obligatorisch |
| B_02.02.0020 | LEI des Finanzunter-nehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt | Alphanumerisch | Wie in B_04.01.0020 angegeben Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an, das die IKT-Dienstleistung(en) in Anspruch nimmt. | Obligatorisch |
| B_02.02.0030 | Identifikationscode des IKT-Drittdienstleisters | Alphanumerisch | Wie in B_05.01.0010 angegeben Code zur Identifizierung des IKT-Drittdienstleisters gemäß den Angaben in B_05.01.0010 für diesen Dienstleister. | Obligatorisch |
| B_02.02.0040 | Art des Codes zur Identifizierung des IKT-Drittdienstleisters | Muster | Wie in B_05.01.0020 angegeben Art des Codes zur Identifizierung des IKT-Drittdienstleisters in B_02.02.0030 gemäß den Angaben in B_05.01.0020 für diesen Dienstleister. | Obligatorisch |
| B_02.02.0050 | Funktionskennung | Muster | Gemäß Definition durch das Finanzunternehmen in B_06.01.0010 | Obligatorisch |
| B_02.02.0060 | Art der IKT-Dienstleistungen | Erschöpfende Liste von Optionen | Eine der in Anhang III genannten Arten von IKT-Dienstleistungen | Obligatorisch |
| B_02.02.0070 | Startdatum der vertraglichen Vereinbarung | Datum | Geben Sie unter Verwendung des ISO 8601-Codes (JJJJ-MM-TT) das Datum des Inkrafttretens der vertraglichen Vereinbarung an, das in der vertraglichen Vereinbarung festgelegt ist. | Obligatorisch |
| B_02.02.0080 | Enddatum der vertraglichen Vereinbarung | Datum | Geben Sie unter Verwendung des ISO 8601-Codes (JJJJ-MM-TT) das in der vertraglichen Vereinbarung festgelegte Enddatum an. Ist die vertragliche Vereinbarung unbefristet, ist an dieser Stelle „9999-12-31“ anzugeben. Wurde die vertragliche Vereinbarung zu einem anderen Zeitpunkt als dem Enddatum gekündigt, so ist in diesem Fall das Kündigungsdatum anzugeben. Ist in der vertraglichen Vereinbarung eine Verlängerung vorgesehen, so ist diese mit dem in der vertraglichen Vereinbarung festgelegten Datum der Vertragsverlängerung anzugeben. | Obligatorisch |
| B_02.02.0090 | Grund für die Kündigung oder Beendigung der vertraglichen Vereinbarung | Erschöpfende Liste von Optionen | Wenn die vertragliche Vereinbarung gekündigt oder beendet wurde, geben Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste den Grund für die Kündigung oder Beendigung der vertraglichen Vereinbarungen an: 1. Beendigung ohne besonderen Anlass: Die vertragliche Vereinbarung ist abgelaufen/beendet und wurde von keiner der Parteien verlängert. 2. Beendigung aus gegebenem Anlass: Die vertragliche Vereinbarung wurde gekündigt, da der IKT-Drittdienstleister gegen anwendbares Recht, Regelungen oder Vertragsbestimmungen verstoßen hat. 3. Beendigung aus gegebenem Anlass: Die vertragliche Vereinbarung wurde aufgrund der Tatsache gekündigt, dass beim IKT-Drittdienstleister Schwierigkeiten festgestellt wurden, die die unterstützte Funktion beeinträchtigen könnten. 4. Beendigung aus gegebenem Anlass: Die vertragliche Vereinbarung wurde aufgrund von Defiziten des IKT-Drittdienstleisters in Bezug auf die Verwaltung und Sicherheit sensibler Daten oder Informationen einer der Gegenparteien gekündigt. 5. Kündigung auf Ersuchen einer zuständigen Behörde: Die vertragliche Vereinbarung wurde auf Ersuchen einer zuständigen Behörde gekündigt. 6. Sonstige: Die vertragliche Vereinbarung wurde von einer der Parteien aus einem anderen als den unter den Nummern 1 bis 5 genannten Gründen gekündigt. | Obligatorisch bei Kündigung der vertraglichen Vereinbarung |
| B_02.02.0100 | Kündigungsfrist für das Finanzunternehmen, das die IKT-Dienstleistung(en) in Anspruch nimmt | Natürliche Zahl | Geben Sie die Kündigungsfrist für die Kündigung der vertraglichen Vereinbarung durch das Finanzunternehmen in einem Szenario mit unveränderten Rahmenbedingungen an. Die Kündigungsfrist wird als Anzahl von Kalendertagen ab dem Eingang des Antrags auf Kündigung der IKT-Dienstleistung bei der Gegenpartei ausgedrückt. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0110 | Kündigungsfrist für den IKT-Drittdienstleister | Natürliche Zahl | Geben Sie die Kündigungsfrist für die Kündigung der vertraglichen Vereinbarung durch den IKT-Drittdienstleister in einem Szenario mit unveränderten Rahmenbedingungen an. Die Kündigungsfrist wird als Anzahl von Kalendertagen ab dem Eingang des Antrags auf Kündigung der IKT-Dienstleistung bei der Gegenpartei ausgedrückt. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0120 | Land, dessen Recht für die vertragliche Vereinbarung maßgebend ist | Land | Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, dessen Recht für die vertragliche Vereinbarung maßgebend ist. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0130 | Land der Erbringung der IKT-Dienstleistungen | Land | Geben das Land, aus dem die IKT-Dienstleistungen erbracht werden, unter Verwendung des ISO 3166-1-Alpha-2-Codes an. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0140 | Datenspeicherung | [Ja/Nein] | Ist die IKT-Dienstleistung mit der (vorübergehenden) Speicherung von Daten verbunden (oder sieht sie diese vor)? Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Ja 2. Nein | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0150 | Aufbewahrungsort der gespeicherten Daten (Speicherung) | Land | Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, in dem sich der Aufbewahrungsort der gespeicherten Daten (Speicherung) befindet. Handelt es sich um mehrere Länder, so ist für jedes Land eine zusätzliche Zeile zu verwenden. | Obligatorisch, wenn in B_02.02.0140 „Ja“ angegeben wurde. |
| B_02.02.0160 | Ort der Datenverwaltung (Datenverarbeitung) | Land | Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, in dem die Datenverwaltung (Datenverarbeitung) stattfindet. Handelt es sich um mehrere Länder, so ist für jedes Land eine zusätzliche Zeile zu verwenden. | Obligatorisch, wenn die IKT-Dienstleistung sich auf die Datenver-arbeitung stützt oder diese vorsieht |
| B_02.02.0170 | Sensibilität der vom IKT-Drittdienstleister gespeicherten Daten | Erschöpfende Liste von Optionen | Geben Sie anhand einer der Optionen, die in der folgenden erschöpfenden Liste aufgeführt sind, den Grad der Sensibilität der vom IKT-Drittdienstleister gespeicherten oder verarbeiteten Daten an: 1. Gering 2. Mittel 3. Hoch Die sensibelsten Daten haben dabei Vorrang: Wenn z. B. sowohl „Mittel“ als auch „Hoch“ zutreffend sind, ist „Hoch“ zu wählen. | Obligatorisch, wenn der IKT-Drittdienstleister Daten speichert und die IKT-Dienstleistung eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützt |
| B_02.02.0180 | Grad der Abhängigkeit von der IKT-Dienstleistung, die die kritische oder wichtige Funktion unterstützt. | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Unerheblich 2. Geringe Abhängigkeit: Bei einer etwaigen Störung der Dienstleistungen werden die unterstützten Funktionen nicht wesentlich beeinträchtigt (keine Unterbrechung, kein erheblicher Schaden) oder die Störung kann schnell und mit minimalen Auswirkungen auf die unterstützten Funktionen behoben werden. 3. Wesentliche Abhängigkeit: Bei einer Störung der Dienstleistungen werden die unterstützten Funktionen erheblich beeinträchtigt, wenn die Störung länger als wenige Minuten/wenige Stunden dauert, und die Störung kann Schäden verursachen, ist aber noch beherrschbar. 4. Vollständige Abhängigkeit: Bei einer Störung der Dienstleistungen werden die unterstützten Funktionen sofort und über einen längeren Zeitraum hinweg massiv unterbrochen/geschädigt. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützt |
Anleitung zum Ausfüllen der Vorlage B_02.03 – Liste der gruppeninternen vertraglichen Vereinbarungen
In der Vorlage B_02.03 werden vertragliche Vereinbarungen aus derselben IKT-Dienstleistungskette anhand der gruppeninternen Vertragskennnummern erfasst, wenn die IKT-Dienstleistungskette gruppeninterne IKT-Dienstleister enthält, d. h. wenn mindestens einer der IKT-Drittdienstleister in der IKT-Dienstleistungskette ein Unternehmen ist, das derselben Gruppe angehört wie das Unternehmen, das die IKT-Dienstleistungen in Anspruch nimmt.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_02.03.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Kennnummer der vertraglichen Vereinbarung zwischen dem Unternehmen, das die bereitgestellten IKT-Dienstleistung(en) in Anspruch nimmt, und dem gruppeninternen IKT-Dienstleister. Die Kennnummer der vertraglichen Vereinbarung muss eindeutig sein und ist im Zeitverlauf und über die gesamte Gruppe hinweg unverändert beizubehalten. | Obligatorisch |
| B_02.03.0020 | Vertragliche Vereinbarung im Zusammenhang mit der in B_02.03.0010 genannten vertraglichen Vereinbarung | Alphanumerisch | Kennnummer der vertraglichen Vereinbarung zwischen dem gruppeninternen IKT-Dienstleister der vertraglichen Vereinbarung in B_02.03.0010 und seinem direkten IKT-Drittdienstleister. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_03.01 – Unternehmen, die die vertraglichen Vereinbarungen für den Erhalt der IKT-Dienstleistung(en) im Namen der Finanzunternehmen, die die IKT-Dienstleistung(en) in Anspruch nehmen, unterzeichnen
Geben Sie alle in Vorlage B_01.02 genannten Finanzunternehmen an, die die in Vorlage B_02.01 genannten vertraglichen Vereinbarungen über den Erhalt von IKT-Dienstleistungen unterzeichnen. Wird das Informationsregister auf Unternehmensebene geführt und aktualisiert, so ist das Finanzunternehmen, das die vertraglichen Vereinbarungen unterzeichnet, das Finanzunternehmen selbst, das das Informationsregister führt und aktualisiert.
Das Unternehmen, das die vertragliche Vereinbarung unterzeichnet, ist weder notwendigerweise ein Finanzunternehmen noch das Finanzunternehmen, das die vom IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen in Anspruch nimmt.
Beispielsweise kann es sich bei dem Unternehmen, das die in Unterabsatz 2 genannte vertragliche Vereinbarung unterzeichnet, um einen gruppeninternen IKT-Dienstleister, um ein Finanzunternehmen oder um ein Nichtfinanzunternehmen handeln, das derselben Gruppe angehört wie die Finanzunternehmen, die die vom IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen in Anspruch nehmen.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_03.01.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.02.0010 angegeben Geben Sie die Kennnummer der vom Unternehmen unterzeichneten vertraglichen Vereinbarung an. | Obligatorisch |
| B_03.01.0020 | LEI des Unternehmens, das die vertragliche Vereinbarung unterzeichnet | Alphanumerisch | Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 oder anhand der EUID das Unternehmen an, das die vertragliche Vereinbarung unterzeichnet. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_03.02 – IKT-Drittdienstleister, die die vertraglichen Vereinbarungen für die Erbringung der IKTDienstleistung(en) unterzeichnen
Geben Sie in dieser Vorlage alle in der Vorlage B_05.01 genannten IKT-Drittdienstleister an, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen zur Erbringung der IKT-Dienstleistungen unterzeichnen.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_03.02.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.02.0010 angegeben Geben Sie die Kennnummer der vertraglichen Vereinbarung an, die vom IKT-Drittdienstleister unterzeichnet wurde. | Obligatorisch |
| B_03.02.0020 | Identifikationscode des IKT-Drittdienstleisters | Alphanumerisch | Wie in B_05.01.0010 angegeben Code zur Identifizierung des IKT-Drittdienstleisters gemäß den Angaben in B_05.01.0020 für diesen Dienstleister. | Obligatorisch |
| B_03.02.0030 | Art des Codes zur Identifizierung des IKT-Drittdienstleisters | Muster | Wie in B_05.01.0020 angegeben Art des Codes zur Identifizierung des IKT-Drittdienstleisters in B_03.02.0020 gemäß den Angaben in B_05.01.0020 für diesen Dienstleister. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_03.03 – Finanzunternehmen, die die vertraglichen Vereinbarungen über die Erbringung der IKTDienstleistung(en) für andere Finanzunternehmen im Konsolidierungskreis unterzeichnen
Geben Sie alle in der Vorlage B_01.02 genannten Finanzunternehmen an, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen über die Erbringung von IKT-Dienstleistungen für andere in der Vorlage B_01.02 genannte Unternehmen im Konsolidierungskreis unterzeichnet haben.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_03.03.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.02.0010 angegeben Geben Sie die Kennnummer der vertraglichen Vereinbarung an, die vom Unternehmen für die Erbringung der IKT-Dienstleistung(en) unterzeichnet wurde. | Obligatorisch |
| B_03.03.0020 | LEI des Finanzunternehmens, das IKT-Dienstleistungen erbringt | Alphanumerisch | Wie in B_01.02.0010 angegeben Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Unternehmen an, das die IKT-Dienstleistungen bereitstellt. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_04.01 – Finanzunternehmen, die IKT-Dienstleistungen in Anspruch nehmen
In dieser Vorlage sind alle in Vorlage B_01.02 genannten Finanzunternehmen und die in Vorlage B_01.03 genannten Zweigniederlassungen von Finanzunternehmen zu melden, die IKT-Dienstleistungen eines IKT-Drittdienstleisters in Anspruch nehmen.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_04.01.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.01.0010 angegeben Geben Sie die Kennnummer der vertraglichen Vereinbarung in Bezug auf das Finanzunternehmen an, das die erbrachten IKT-Dienstleistungen in Anspruch nimmt. | Obligatorisch |
| B_04.01.0020 | LEI des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt | Alphanumerisch | Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an, das die IKT-Dienstleistung(en) in Anspruch nimmt. | Obligatorisch |
| B_04.01.0030 | Art des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Das Finanzunternehmen, das die IKT-Dienstleistung(en) in Anspruch nimmt, ist eine Zweigniederlassung eines Finanzunternehmens. 2. Das Finanzunternehmen, das die IKT-Dienstleistung(en) in Anspruch nimmt, ist keine Zweigniederlassung. | Obligatorisch |
| B_04.01.0040 | Identifikationscode der Zweigniederlassung | Alphanumerisch | Identifikationscode der in B_01.03.0010 gemeldeten Zweigniederlassung | Obligatorisch, wenn das Finanzunternehmen, das die IKT-Dienstleistung(en) in Anspruch nimmt, eine Zweigniederlassung eines Finanzunternehmens ist (B_04.01.0030) |
Anleitung zum Ausfüllen der Vorlage B_05.01 – IKT-Drittdienstleister
Finanzunternehmen führen alle relevanten IKT-Drittdienstleister auf, darunter:
a)
alle direkten IKT-Drittdienstleister,
b)
alle gruppeninternen IKT-Dienstleister,
c)
alle Unterauftragnehmer, die in der Vorlage B_05.02 zur IKT-Dienstleistungskette aufgeführt sind,
| d) | alle obersten Mutterunternehmen der unter den Buchstaben a, b und c oben genannten IKT-Drittdienstleister. Spaltencode Spaltenbezeichnung Art Hinweise zum Ausfüllen Ausfülloption B_05.01.0010 Identifikationscode des IKT-Drittdienstleisters Alphanumerisch Code zur Identifizierung des IKT-Drittdienstleisters. Wird die LEI verwendet, so ist diese als 20-stelliger alphanumerischer Code gemäß der Norm ISO 17442 anzugeben. Wird die EUID verwendet, so ist diese gemäß Artikel 9 der Durchführungsverordnung (EU) 2021/1042 der Kommission anzugeben. Obligatorisch B_05.01.0020 Art des Codes zur Identifizierung des IKT-Drittdienstleisters Muster Art des Codes zur Identifizierung des IKT-Drittdienstleisters gemäß B_05.01.0010. 1. „LEI“ für LEI, 2. „EUID“ für EUID, 3. CRN für die Handelsregisternummer, 4. VAT für die Umsatzsteuer-Identifikationsnummer, 5. PNR für die Reisepassnummer, 6. NIN für die Nummer des Personalausweises. Für juristische Personen gemäß den Angaben in B_05.01.0070 sind nur die LEI oder die EUID zu verwenden; ein alternativer Code darf nur für eine natürliche Person verwendet werden, die als Unternehmer handelt. Für nicht in der Union niedergelassene juristische Personen ist nur die LEI zu verwenden. Obligatorisch B_05.01.0030 Zusätzlicher Identifikationscode des IKT-Drittdienstleisters Alphanumerisch Zusätzlicher Code zur Identifizierung des IKT-Drittdienstleisters, wenn verfügbar. Optional B_05.01.0040 Art des zusätzlichen Codes zur Identifizierung des IKT-Drittdienstleisters Muster Art des zusätzlichen Codes zur Identifizierung des IKT-Drittdienstleisters gemäß den Angaben in B_05.01.0030: 1. „LEI“ für LEI, 2. „EUID“ für EUID, 3. CRN für die Handelsregisternummer, 4. VAT für die Umsatzsteuer-Identifikationsnummer, 5. PNR für die Reisepassnummer, 6. NIN für die Nummer des Personalausweises. Für juristische Personen gemäß den Angaben in B_05.01.0070 sind die LEI oder die EUID zu verwenden; ein alternativer Code darf nur für eine natürliche Person verwendet werden, die in als Unternehmer handelt. Für nicht in der Union niedergelassene juristische Personen ist nur die LEI zu verwenden. Obligatorisch, wenn B_05.01.0030 gemeldet wird B_05.01.0050 Offizielle Bezeichnung des IKT-Drittdienstleisters Alphanumerisch Offizielle Bezeichnung des IKT-Drittdienstleisters, wie im Unternehmensregister in lateinischer, kyrillischer oder griechischer Schrift angegeben. Obligatorisch B_05.01.0060 Name des IKT-Drittdienstleisters in lateinischer Schrift Alphanumerisch Name des IKT-Drittdienstleisters in lateinischer Schrift. Ist der Name des IKT-Drittanbieters gemäß B_05.01.0050 in lateinischer Schrift angegeben, so ist er in diesem Datenfeld zu wiederholen. Obligatorisch B_05.01.0070 Art der Person des IKT-Drittdienstleisters Erschöpfende Liste von Optionen Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Juristische Person, ausgenommen natürliche Personen, die als Unternehmer handeln 2. Natürliche Person, die als Unternehmer handelt Obligatorisch B_05.01.0080 Land, in dem der IKT-Drittdienstleister seinen Sitz hat Land Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, in dem sich die weltweite Hauptverwaltung des IKT-Drittdienstleisters befindet (in der Regel handelt es sich bei dem Land um das Land der steuerlichen Ansässigkeit). Obligatorisch B_05.01.0090 Währung des in B_05.01.0100 ausgewiesenen Betrags Währung Geben Sie den alphabetischen ISO 4217-Code der Währung an, in der der Betrag in B_05.01.0100 ausgewiesen ist. Die Beträge sind in der Währung auszuweisen, die das Finanzunternehmen bei der Aufstellung des Jahresabschlusses je nach Sachlage auf Unternehmensebene, teilkonsolidierter oder konsolidierter Ebene verwendet. Obligatorisch, wenn B_05.01.0100 gemeldet wird B_05.01.0100 Jährliche Gesamtausgaben oder voraussichtliche Kosten für den IKT-Drittdienstleister Monetär Jährliche Ausgaben oder voraussichtliche Kosten für die Nutzung der IKT-Dienstleistungen, die der IKT-Drittdienstleister für die Unternehmen erbringt, die die IKT-Dienstleistungen in Anspruch nehmen. Der monetäre Wert ist in Einheiten anzugeben. Obligatorisch, wenn es sich bei dem IKT-Drittdienstleister um einen direkten IKT-Drittdienstleister handelt B_05.01.0110 Identifikationscode des obersten Mutterunternehmens des IKT-Drittdienstleisters Alphanumerisch Code zur Identifizierung des obersten Mutterunternehmens des IKT-Drittdienstleisters. Der zur Identifizierung des obersten Mutterunternehmens in diesem Feld verwendete Code muss mit dem in B_05.01.0010 für dieses oberste Mutterunternehmen angegebenen Identifikationscode übereinstimmen. Ist der IKT-Drittdienstleister nicht Teil einer Gruppe, so ist der zur Identifizierung dieses IKT-Drittdienstleisters in B_05.01.0010 verwendete Identifikationscode in diesem Datenfeld zu wiederholen. Obligatorisch, wenn der IKT-Drittdienstleister nicht das oberste Mutterunternehmen ist B_05.01.0120 Art des Codes zur Identifizierung des Mutterunternehmens des IKT-Drittdienstleisters Muster Art des Codes zur Identifizierung obersten Mutterunternehmens des IKT-Drittdienstleisters gemäß B_05.01.0110. Die Art des Codes zur Identifizierung des obersten Mutterunternehmens in diesem Feld muss mit dem in B_05.01.0020 für dieses oberste Mutterunternehmen angegebenen Identifikationscode übereinstimmen. Ist der IKT-Drittdienstleister nicht Teil einer Gruppe, so ist die Art des Identifikationscodes, der in B_05.01.0020 zur Identifizierung dieses IKT-Drittdienstleisters verwendet wurde, in diesem Datenfeld zu wiederholen. Obligatorisch, wenn der IKT-Drittdienstleister nicht das oberste Mutterunternehmen ist |
|---|
Anleitung zum Ausfüllen der Vorlage B_05.02 – IKT-Dienstleistungsketten
In dieser Vorlage werden die IKT-Drittdienstleister, die Teil derselben IKT-Dienstleistungskette sind, gemeinsam ausgewiesen und zueinander in Beziehung gesetzt.
Die IKT-Dienstleistungskette umfasst gegebenenfalls Folgendes:
a)
alle direkten IKT-Drittdienstleister,
b)
alle gruppeninternen IKT-Dienstleister,
c)
bei IKT-Dienstleistungen, die eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützen, alle Unterauftragnehmer, die die Erbringung dieser IKT-Dienstleistungen sicherstellen (d. h. alle Unterauftragnehmer, die IKT-Dienstleistungen erbringen, deren Störung die Sicherheit oder Kontinuität des Dienstangebots beeinträchtigen würde),
d)
wenn ein gruppeninterner IKT-Dienstleister zur Erbringung seiner IKT-Dienstleistungen für das Finanzunternehmen Unterauftragnehmer einsetzt, zumindest den ersten Unterauftragnehmer außerhalb der Gruppe, auch wenn die erbrachten IKT-Dienstleistungen keine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützen.
Alle IKT-Drittdienstleister, die derselben IKT-Dienstleistungskette angehören, weisen die folgenden gemeinsamen Merkmale auf:
a)
dieselbe „Kennnummer der vertraglichen Vereinbarung“ gemäß Vorlage B_02.01,
b)
dieselbe „Art von IKT-Dienstleistungen“ gemäß Anhang III.
Jedem IKT-Drittdienstleister, der zu derselben IKT-Dienstleistungskette gehört, wird ein „Rang“ (Vorlage B_05.02.0050) zugewiesen, um seine Position innerhalb der IKT-Dienstleistungskette zu kennzeichnen. Haben mehrere IKT-Drittdienstleister dieselbe Position innerhalb derselben IKT-Dienstleistungskette, so wird diesen Anbietern derselbe „Rang“ zugewiesen. Gemäß Artikel 2 liegen die direkten IKT-Drittdienstleister somit an erster Stelle (Rang 1). Ist die Rangnummer größer als 1, so sind die IKT-Drittdienstleister Unterauftragnehmer.
Um die IKT-Drittdienstleister, die zu derselben IKT-Dienstleistungskette gehören, zueinander in Beziehung zu setzen, müssen die Finanzunternehmen für jeden IKT-Unterauftragnehmer (d. h. dessen „Rangnummer“ größer als 1 ist) den IKT-Drittdienstleister identifizieren, der die im Unterauftrag vergebenen Dienstleistungen erhält. Die Identifizierung des IKT-Drittdienstleisters, der die im Unterauftrag vergebenen Dienstleistungen erhält, erfolgt über die Spalten B_05.02.0060 und B_05.02.0070.
Für jede IKT-Dienstleistungskette (d. h. eine Kombination aus einer „Kennnummer der vertraglichen Vereinbarung“ und einer „Art von IKT-Dienstleistungen“), bei der es mehrere IKT-Drittdienstleister gibt, die die im Unterauftrag vergebenen Dienstleistungen erhalten, sind alle diese Dienstleister in separaten Zeilen in der Vorlage auszuweisen. Diese Logik gilt für jeden Rang der IKT-Dienstleistungskette.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_05.02.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.01.0010 angegeben | Obligatorisch |
| B_05.02.0020 | Art der IKT-Dienstleistungen | Erschöpfende Liste von Optionen | Eine der in Anhang III genannten Arten von IKT-Dienstleistungen | Obligatorisch |
| B_05.02.0030 | Identifikationscode des IKT-Drittdienstleisters | Alphanumerisch | Wie in B_05.01.0010 für diesen IKT-Drittdienstleister angegeben. Beispiele: — Identifikationscode des direkten IKT-Drittdienstleisters, der für das Finanzunternehmen IKT-Dienstleistungen erbringt; — Identifikationscode des Unterauftragnehmers mit Rangnummer 2, der für den direkten IKT-Drittanbieter Dienstleistungen erbringt. | Obligatorisch |
| B_05.02.0040 | Art des Codes zur Identifizierung des IKT-Drittdienstleisters | Muster | Wie in B_05.01.0020 für diesen IKT-Drittdienstleister angegeben. | Obligatorisch |
| B_05.02.0050 | Rang | Natürliche Zahl | Wenn der IKT-Drittdienstleister die vertragliche Vereinbarung mit dem Finanzunternehmen unterzeichnet, gilt er als direkter IKT-Drittdienstleister und ist mit der „Rangnummer“ 1 zu kennzeichnen. Wenn der IKT-Drittdienstleister den Vertrag mit dem direkten IKT-Drittdienstleister unterzeichnet, gilt er als Unterauftragnehmer und ist mit der „Rangnummer“ 2 zu kennzeichnen. Diese Logik gilt auch für alle folgenden Unterauftragnehmer, deren „Rangnummer“ entsprechend jeweils um eine Zahl erhöht werden muss. Haben mehrere IKT-Drittdienstleister denselben „Rang“ in der IKT-Dienstleistungskette, so ist von den Finanzunternehmen für alle diese IKT-Drittdienstleister derselbe „Rang“ einzutragen. | Obligatorisch |
| B_05.02.0060 | Identifikationscode des Empfängers von im Unterauftrag vergebenen IKT-Dienstleistungen | Alphanumerisch | Nicht auszufüllen, wenn der IKT-Drittdienstleister (Vorlage B_05.02.0030) ein direkter IKT-Drittdienstleister ist, d. h. den „Rang“ r = 1 hat (Vorlage B_05.02.0050). Wenn der IKT-Drittdienstleister den „Rang“ r = n hat (wobei n eine Zahl größer als 1 ist), ist der „Identifikationscode des Empfängers von im Unterauftrag vergebenen Dienstleistungen“ mit dem „Rang“ r=n-1 anzugeben, wenn eine (selbst nur teilweise) Untervergabe der IKT-Dienstleistung im Zusammenhang mit dem IKT-Drittdienstleister mit dem „Rang“ r=n erfolgt ist. Beispiele: — Identifikationscode des direkten IKT-Drittdienstleisters, der die Dienstleistung vom Unterauftragnehmer mit der Rangnummer 2 erhält. — Identifikationscode des Unterauftragnehmers mit der Rangnummer 2, der die Dienstleistung vom Unterauftragnehmer mit der Rangnummer 3 erhält. Der zur Identifizierung des Empfängers von im Unterauftrag vergebenen IKT-Dienstleistungen verwendete Code muss mit dem in B_05.01.0010 für diesen Dienstleister angegebenen Identifikationscode übereinstimmen. | Obligatorisch; nicht zutreffend bei Rang 1 |
| B_05.02.0070 | Art des Codes zur Identifizierung des Empfängers von im Unterauftrag vergebenen IKT-Dienstleistungen | Muster | Nicht auszufüllen, wenn der IKT-Drittdienstleister (Vorlage B_05.02.0030) den Rang r = 1 hat (Vorlage B_05.02.0050). Wenn der IKT-Drittdienstleister den „Rang“ r = n hat (wobei n eine Zahl größer als 1 ist), ist die „Art des Codes zur Identifizierung des Empfängers von im Unterauftrag vergebenen Dienstleistungen“ mit dem „Rang“ r=n-1 anzugeben, wenn eine (selbst nur teilweise) Untervergabe der IKT-Dienstleistung im Zusammenhang mit dem IKT-Drittdienstleister mit dem „Rang“ r=n erfolgt ist. 1. „LEI“ für LEI, 2. „EUID“ für EUID, 3. CRN für die Handelsregisternummer, 4. VAT für die Umsatzsteuer-Identifikationsnummer, 5. PNR für die Reisepassnummer, 6. NIN für die Nummer des Personalausweises. Die Art des Codes zur Identifizierung des Empfängers von im Unterauftrag vergebenen IKT-Dienstleistungen muss mit dem in B_05.01.0020 für diesen Dienstleister angegebenen Identifikationscode übereinstimmen. | Obligatorisch; nicht zutreffend bei Rang 1 |
Anleitung zum Ausfüllen der Vorlage B_06.01 – Angabe der Funktionen
Finanzunternehmen müssen entsprechend ihrer internen Organisation, die durch IKT-Dienste von IKT-Drittdienstleistern unterstützt wird, alle einschlägigen Funktionen angeben und Informationen hierüber bereitstellen.
Jeder Kombination der folgenden Elemente muss eine eindeutige Funktionskennung zugewiesen werden:
a)
„LEI des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt“, Spalte B_06.01.0040,
b)
„Genehmigte Tätigkeit“, Spalte B_06.01.0020,
c)
„Bezeichnung der Funktion“, Spalte B_06.01.0030.
Die Finanzunternehmen müssen zum Ausfüllen dieser Vorlage so viele Zeilen verwenden, wie Elemente in der Vorlage vorhanden sind, wenn sie die beiden obigen Punkte kombinieren.
| Spaltencode | Spaltenbezeichnung | Art | Anleitung | Ausfülloption |
|---|---|---|---|---|
| B_06.01.0010 | Funktionskennung | Muster | Die Funktionskennung besteht aus dem Buchstaben F (Hauptbuchstabe), gefolgt von einer natürlichen Zahl (z. B. „F1“ für die 1. Funktionskennung und „Fn“ für die n. Funktionskennung, wobei „n“ eine natürliche Zahl ist). Jede Kombination zwischen „LEI des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt“ (B_06.01.0040), „Bezeichnung der Funktion“ (B_06.01.0030) und „Genehmigte Tätigkeit“ (B_06.01.0020) muss eine eindeutige Funktionskennung aufweisen. Beispiel: Ein Finanzunternehmen, das im Rahmen von zwei genehmigten Tätigkeiten („Tätigkeit A“ und „Tätigkeit B“) agiert, erhält zwei eindeutige „Funktionskennungen“ für dieselbe Funktion X (z. B. Vertrieb), die jeweils für Tätigkeit A bzw. Tätigkeit B ausgeführt wird. | Obligatorisch |
| B_06.01.0020 | Genehmigte Tätigkeit | Erschöpfende Optionsliste | Eine der in den einschlägigen Rechtsakten in Anhang II genannten genehmigten Tätigkeiten für die verschiedenen Arten von Finanzunternehmen. Ist die Funktion nicht mit einer registrierten oder genehmigten Tätigkeit verbunden, so ist „Unterstützungsfunktionen“ anzugeben. | Obligatorisch |
| B_06.01.0030 | Bezeichnung der Funktion | Alphanumerisch | Funktionsbezeichnung entsprechend der internen Organisation des Finanzunternehmens. | Obligatorisch |
| B_06.01.0040 | LEI des Finanzunternehmens | Alphanumerisch | Wie in B_04.01.0020 angegeben Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an. | Obligatorisch |
| B_06.01.0050 | Bewertung der Kritikalität oder der Bedeutung | Erschöpfende Optionsliste | Geben Sie in dieser Spalte an, ob die Funktion nach Einschätzung des Finanzunternehmens kritisch oder wichtig ist. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Ja 2. Nein 3. Keine Bewertung durchgeführt | Obligatorisch |
| B_06.01.0060 | Gründe für Kritikalität oder Bedeutung | Alphanumerisch | Kurze Erläuterung der Gründe für die Einstufung der Funktion als kritisch oder wichtig (max. 300 Zeichen) | Optional |
| B_06.01.0070 | Datum der letzten Bewertung der Kritikalität oder Bedeutung | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ-MM-TT) des Datums der letzten Bewertung der Kritikalität oder Bedeutung an, falls die Funktion durch IKT-Dienstleistungen unterstützt wird, die von IKT-Drittdienstleistern bereitgestellt werden. Wird keine Bewertung der Kritikalität oder Bedeutung der Funktion vorgenommen, ist an dieser Stelle „9999-12-31“ anzugeben. | Obligatorisch |
| B_06.01.0080 | Vorgabe für die Wiederherstellungszeit der Funktion | Natürliche Zahl | Die Angabe erfolgt in Stunden. Beträgt die Vorgabe für die Wiederherstellungszeit weniger als 1 Stunde, ist „1“ anzugeben. Ist die Vorgabe für die Wiederherstellungszeit der Funktion nicht definiert, ist „0“ anzugeben. | Obligatorisch |
| B_06.01.0090 | Vorgabe für den Wiederherstellungspunkt der Funktion | Natürliche Zahl | Die Angabe erfolgt in Stunden. Beträgt die Vorgabe für den Wiederherstellungspunkt weniger als 1 Stunde, ist „1“ anzugeben. Ist die Vorgabe für den Wiederherstellungspunkt der Funktion nicht definiert, ist „0“ anzugeben. | Obligatorisch |
| B_06.01.0100 | Auswirkung der Einstellung der Funktion | Erschöpfende Optionsliste | Geben Sie in dieser Spalte die Auswirkung der Einstellung der Funktion nach Einschätzung des Finanzunternehmens an. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Gering 2. Mittel 3. Hoch 4. Keine Bewertung durchgeführt | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_07.01 – Bewertung der IKT-Dienstleistungen
Wenn eine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützt werden, ermöglicht diese Vorlage weitere Bewertungen der IKT-Dienstleistungen, die von IKT-Drittdienstleistern (einschließlich des ersten gruppenfremden Unterauftragnehmers in der IKT-Dienstleistungskette, wenn es sich bei den vorherigen IKT-Drittdienstleistern um gruppeninterne Dienstleister handelt) für das Finanzunternehmen erbracht werden.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_07.01.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.01.0010 angegeben | Obligatorisch |
| B_07.01.0020 | Identifikationscode des IKT-Drittdienstleisters | Alphanumerisch | Wie in B_05.01.0010 angegeben | Obligatorisch |
| B_07.01.0030 | Art des Codes zur Identifizierung des IKT-Drittdienstleisters | Muster | Wie in B_05.01.0020 angegeben | Obligatorisch |
| B_07.01.0040 | Art der IKT-Dienstleistungen | Erschöpfende Optionsliste | Eine der in Anhang III genannten Arten von IKT-Dienstleistungen | Obligatorisch |
| B_07.01.0050 | Substituierbarkeit des IKT-Drittdienstleisters | Erschöpfende Optionsliste | Geben Sie in dieser Spalte die Ergebnisse der Bewertung des Finanzunternehmens in Bezug auf den Grad der Substituierbarkeit des IKT-Drittdienstleisters für die Erbringung der spezifischen IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion an. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Nicht substituierbar 2. Äußerst komplizierte Substituierbarkeit 3. Mittelschwere Substituierbarkeit 4. Problemlos substituierbar | Obligatorisch |
| B_07.01.0060 | Grund, warum der IKT-Drittdienstleister als nicht substituierbar oder schwer substituierbar angesehen wird | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Mangel an echten, auch teilweisen Alternativen aufgrund der begrenzten Zahl von IKT-Drittdienstleistern, die auf einem bestimmten Markt tätig sind, oder des Marktanteils des betreffenden IKT-Drittdienstleisters oder der damit verbundenen technischen Komplexität oder Differenziertheit, auch in Bezug auf proprietäre Technologien, oder der besonderen Merkmale der Organisation oder Tätigkeit des IKT-Drittdienstleisters, 2. Schwierigkeiten bei der teilweisen oder vollständigen Migration der einschlägigen Daten und Arbeitslasten vom jeweiligen IKT-Drittdienstleister zu einem anderen IKT-Drittdienstleister oder bei deren Wiedereingliederung in den Betrieb des Finanzunternehmens, die entweder auf erhebliche finanzielle Kosten, zeitliche oder sonstige Ressourcen, die der Migrationsprozess mit sich bringen kann, oder auf erhöhte IKT-Risiken oder sonstige operationelle Risiken zurückzuführen sind, denen das Finanzunternehmen ausgesetzt sein könnte, 3. Beide unter Punkt 1 und 2 genannten Gründe. | Obligatorisch, wenn in B_07.01.0041 „Nicht substituierbar“ oder „Äußerst komplizierte Substituierbarkeit“ ausgewählt wurde. |
| B_07.01.0070 | Datum des letzten Audits über den IKT-Drittdienstleister | Datum | Geben Sie in dieser Spalte das Datum des letzten Audits über die spezifischen IKT-Dienstleistungen an, die vom IKT-Drittdienstleister erbracht werden. Diese Spalte bezieht sich auf Audits, die von einer der folgenden Stellen durchgeführt werden: a) der Innenrevision oder sonstigem zusätzlichen qualifizierten Personal des Finanzunternehmens, b) einem gemeinsamen Team mit anderen Kunden desselben IKT-Drittdienstleisters („Sammelaudit“), c) einem Dritten, der vom beaufsichtigten Unternehmen mit dem Audit über den Dienstleister beauftragt wird. Diese Spalte bezieht sich nicht auf den Eingang oder den Stichtag von Zertifizierungen durch Dritte oder von Innenrevisionsberichten des IKT-Drittdienstleisters, den Zeitpunkt der jährlichen Überwachung der Vereinbarung durch das Finanzunternehmen oder den Zeitpunkt der Überprüfung der Risikobewertung durch das Finanzunternehmen. In dieser Spalte sind alle Arten von Audits anzugeben, die von einer der unter den Buchstaben a, b und c genannten Stellen durchgeführt wurden und sich ganz oder teilweise auf die vom IKT-Drittdienstleister erbrachten IKT-Dienstleistungen beziehen. Für die Angabe des Datums ist der ISO 8601-Code (JJJJ-MM-TT) zu verwenden. Wurde kein Audit durchgeführt, ist an dieser Stelle „9999-12-31“ anzugeben. | Obligatorisch |
| B_07.01.0080 | Vorliegen eines Ausstiegsplans | [Ja/Nein] | Geben Sie in dieser Spalte an, ob ein Ausstiegsplan für den IKT-Drittdienstleister in Bezug auf die spezielle erbrachte IKT-Dienstleistung vorliegt. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Ja 2. Nein | Obligatorisch |
| B_07.01.0090 | Möglichkeit der Wiedereingliederung der vertraglich vereinbarten IKT-Dienstleistung | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Problemlos 2. Schwierig 3. Äußerst kompliziert Verwenden Sie diese Spalte, wenn die IKT-Dienstleistung von einem IKT-Drittdienstleister erbracht wird, der kein gruppeninterner IKT-Dienstleister ist. | Obligatorisch |
| B_07.01.0100 | Auswirkung der Einstellung der IKT-Dienstleistungen | Erschöpfende Optionsliste | In dieser Spalte ist das Ausmaß der Auswirkungen anzugeben, die die Einstellung der vom IKT-Drittdienstleister erbrachten IKT-Dienstleistungen nach Einschätzung des Finanzunternehmens für das Finanzunternehmen hätte. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Gering 2. Mittel 3. Hoch 4. Keine Bewertung durchgeführt | Obligatorisch |
| B_07.01.0110 | Gibt es alternative IKT-Drittdienstleister? | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Ja 2. Nein 3. Keine Bewertung durchgeführt Für jeden IKT-Drittdienstleister, der eine kritische oder wichtige Funktion unterstützt, muss eine Bewertung zur Ermittlung eines alternativen Dienstleisters durchgeführt werden. | Obligatorisch |
| B_07.01.0120 | Angabe alternativer IKT-Drittdienstleister | Alphanumerisch | Wenn in B_07.01.0110„Ja“ angegeben ist, können in dieser Spalte zusätzliche Angaben gemacht werden. | Optional |
Anleitung zum Ausfüllen der Vorlage B_99.01 – Terminologie der Finanzunternehmen, die die IKT-Dienstleistungen nutzen
Die Finanzunternehmen stellen unternehmensinterne Erläuterungen, Bedeutungen und Begriffsbestimmungen in Bezug auf den erschöpfenden Indikatorenkatalog und Optionen, die im Informationsregisters verwendet werden, bereit.
| B_99.01.C0010 | B_99.01.C0020 | B_99.01.C0030 | B_99.01.C0040 | |
|---|---|---|---|---|
| Spaltencode | Spaltenbezeichnung | Option | Beschreibung/Interne Definition der Option | |
| B_99.01.R0010 | B_02.01.0020 | Art der vertraglichen Vereinbarung | 1. Eigenständige Vereinbarung | |
| B_99.01.R0020 | 2. Übergeordnete Vereinbarung | |||
| B_99.01.R0030 | 3. Folge- oder Nebenvereinbarung. | |||
| B_99.01.R0040 | B_02.02.0170 | Sensibilität der vom IKT-Drittdienstleister gespeicherten Daten | 1. Gering | |
| B_99.01.R0050 | 2. Mittel | |||
| B_99.01.R0060 | 3. Hoch | |||
| B_99.01.R0070 | B_06.01.0110 | Auswirkung der Einstellung der Funktion | 1. Gering | |
| B_99.01.R0080 | 2. Mittel | |||
| B_99.01.R0090 | 3. Hoch | |||
| B_99.01.R0100 | B_07.01.0050 | Substituierbarkeit des IKT-Drittdienstleisters | 1. Nicht substituierbar | |
| B_99.01.R0110 | 2. Äußerst komplizierte Substituierbarkeit | |||
| B_99.01.R0120 | 3. Mittelschwere Substituierbarkeit | |||
| B_99.01.R0130 | 4. Problemlos substituierbar | |||
| B_99.01.R0140 | B_07.01.0090 | Möglichkeit der Wiedereingliederung der vertraglich vereinbarten IKT-Dienstleistung | 1. Problemlos | |
| B_99.01.R0150 | 2. Schwierig | |||
| B_99.01.R0160 | 3. Äußerst kompliziert | |||
| B_99.01.R0170 | B_07.01.0100 | Auswirkung der Einstellung der IKT-Dienstleistungen | 1. Gering | |
| B_99.01.R0180 | 2. Mittel | |||
| B_99.01.R0190 | 3. Hoch |
(1) Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 2002/65/EG, 2009/110/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010 sowie zur Aufhebung der Richtlinie 2007/64/EG (ABl. L 337 vom 23.12.2015, S. 35, ELI: http://data.europa.eu/eli/dir/2015/2366/oj).
(2) Richtlinie 2009/110/EG des Europäischen Parlaments und des Rates vom 16. September 2009 über die Aufnahme, Ausübung und Beaufsichtigung der Tätigkeit von E-Geld-Instituten, zur Änderung der Richtlinien 2005/60/EG und 2006/48/EG sowie zur Aufhebung der Richtlinie 2000/46/EG (ABl. L 267 vom 10.10.2009, S. 7, ELI: http://data.europa.eu/eli/dir/2009/110/oj).
(3) Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates vom 31. Mai 2023 über Märkte für Kryptowerte und zur Änderung der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 1095/2010 sowie der Richtlinien 2013/36/EU und (EU) 2019/1937 (ABl. L 150 vom 9.6.2023, S. 40, ELI: http://data.europa.eu/eli/reg/2023/1114/oj).
Anhang II
Liste der Tätigkeiten nach Art des Unternehmens
ITS Informationsregister (2024/2956)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Art des Unternehmens | Liste der Tätigkeiten und Dienstleistungen |
|---|---|
| a) Kreditinstitute | Tätigkeiten, die in Anhang I der Richtlinie 2013/36/EU aufgeführt sind, und Tätigkeiten, die in Abschnitt A und B von Anhang I der Richtlinie 2014/65/EU aufgeführt sind |
| b) Zahlungsinstitute, einschließlich nach der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute | Tätigkeiten, die in Anhang I der Richtlinie (EU) 2015/2366 aufgeführt sind |
| c) Kontoinformationsdienstleister | Kontoinformationsdienste gemäß Anhang I Nummer 8 der Richtlinie (EU) 2015/2366 |
| d) E-Geld-Institute, einschließlich nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute | Ausgabe von E-Geld gemäß der Richtlinie 2009/110/EG und Tätigkeiten, die in Anhang I der Richtlinie (EU) 2015/2366 aufgeführt sind |
| e) Wertpapierfirmen | Wertpapierdienstleistungen und Tätigkeiten, die in Abschnitt A und B des Anhangs I der Richtlinie 2014/65/EU aufgeführt sind |
| f) Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind | Dienstleistungen und Tätigkeiten, die in Artikel 3 Nummer 16 der Verordnung (EU) 2023/1114 aufgeführt sind |
| g) Emittenten wertreferenzierter Token, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind | Tätigkeiten gemäß Artikel 16 Absatz 1 der Verordnung (EU) 2023/1114 |
| h) Zentralverwahrer | Tätigkeiten, die im Anhang der Verordnung (EU) Nr. 909/2014 des Europäischen Parlaments und des Rates aufgeführt sind (1) |
| i) zentrale Gegenparteien | Tätigkeit zentraler Gegenparteien im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 648/2012 |
| j) Handelsplätze | Tätigkeit von Handelsplätzen im Sinne des Artikels 4 Nummern 21 bis 24 der Richtlinie 2014/65/EU |
| k) Transaktionsregister | Tätigkeiten von Transaktionsregistern im Sinne des Artikels 2 Nummer 2 der Verordnung (EU) Nr. 648/2012 und des Artikels 3 Nummer 1 der Verordnung (EU) 2015/2365 des Europäischen Parlaments und des Rates (2) |
| l) Verwalter alternativer Investmentfonds | Tätigkeiten, die in Artikel 6 Absatz 4 und in Anhang I der Richtlinie 2011/61/EU des Europäischen Parlaments und des Rates aufgeführt sind (3) |
| m) Verwaltungsgesellschaften | Tätigkeiten, die in Artikel 6 Absatz 3 und in Anhang II der Richtlinie 2009/65/EG des Europäischen Parlaments und des Rates aufgeführt sind (4) |
| n) Datenbereitstellungsdienste | Dienstleistungen gemäß Artikel 2 Absatz 1 Nummer 34, 35 und 36 der Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates (5) |
| o) Versicherungs- und Rückversicherungsunternehmen | Zugelassene Tätigkeiten für i) die in Anhang I Abschnitt B der Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates (6) genannten Versicherungszweige der Nichtlebensversicherung; ii) Lebensversicherungszweige gemäß Anhang II der Richtlinie; iii) Tätigkeiten der Nichtlebensrückversicherung und iv) Tätigkeiten der Lebensrückversicherung gemäß Artikel 15 Absatz 5 jener Richtlinie. |
| p) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit | Tätigkeiten des Versicherungs- und Rückversicherungsvertriebs im Sinne des Artikels 2 Absatz 1 Nummer 1 und 2 der Richtlinie (EU) 2016/97 des Europäischen Parlaments und des Rates (7) |
| q) Einrichtungen der betrieblichen Altersversorgung | Tätigkeiten von Einrichtungen der betrieblichen Altersversorgung gemäß Artikel 7 der Richtlinie (EU) 2016/2341 des Europäischen Parlaments und des Rates (8) |
| r) Ratingagenturen | Tätigkeiten von Ratingagenturen gemäß Artikel 3 Absatz 1 Buchstaben a und b der Verordnung (EG) Nr. 1060/2009 des Europäischen Parlaments und des Rates (9) |
| s) Administratoren kritischer Referenzwerte | Bereitstellung von Referenzwerten durch Administratoren im Sinne des Artikels 3 Absatz 1 Nummern 5 und 6 der Verordnung (EU) 2016/1011 des Europäischen Parlaments und des Rates in Bezug auf kritische Referenzwerte im Sinne des Artikels 3 Absatz 1 Nummer 25 jener Verordnung |
| t) Schwarmfinanzierungsdienstleister | Erbringung von Schwarmfinanzierungsdienstleistungen gemäß Artikel 3 der Verordnung (EU) 2020/1503 des Europäischen Parlaments und des Rates (10) |
| u) Verbriefungsregister | Tätigkeit von Verbriefungsregistern im Sinne des Artikels 2 Nummer 23 der Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates (11) und Artikel 1 Nummern 4 und 5 der Delegierten Verordnung (EU) 2020/1230 der Kommission (12) |
| Nichtfinanzunternehmen: gruppeninterner IKT-Dienstleister | Nicht zutreffend |
| Nichtfinanzunternehmen: sonstiges gruppeninternes Unternehmen | Nicht zutreffend |
| Nichtfinanzunternehmen: IKT-Drittdienstleister | Nicht zutreffend |
(1) Verordnung (EU) Nr. 909/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 zur Verbesserung der Wertpapierlieferungen und -abrechnungen in der Europäischen Union und über Zentralverwahrer sowie zur Änderung der Richtlinien 98/26/EG und 2014/65/EU und der Verordnung (EU) Nr. 236/2012 (ABl. L 257 vom 28.8.2014, S. 1, ELI: http://data.europa.eu/eli/reg/2014/909/oj).
(2) Verordnung (EU) 2015/2365 des Europäischen Parlaments und des Rates vom 25. November 2015 über die Transparenz von Wertpapierfinanzierungsgeschäften und der Weiterverwendung sowie zur Änderung der Verordnung (EU) Nr. 648/2012 (ABl. L 337 vom 23.12.2015, S. 1, ELI: http://data.europa.eu/eli/reg/2015/2365/oj).
(3) Richtlinie 2011/61/EU des Europäischen Parlaments und des Rates vom 8. Juni 2011 über die Verwalter alternativer Investmentfonds und zur Änderung der Richtlinien 2003/41/EG und 2009/65/EG und der Verordnungen (EG) Nr. 1060/2009 und (EU) Nr. 1095/2010 (ABl. L 174 vom 1.7.2011, S. 1, ELI: http://data.europa.eu/eli/dir/2011/61/oj).
(4) Richtlinie 2009/65/EG des Europäischen Parlaments und des Rates vom 13. Juli 2009 zur Koordinierung der Rechts- und Verwaltungsvorschriften betreffend bestimmte Organismen für gemeinsame Anlagen in Wertpapieren (OGAW) (ABl. L 302 vom 17.11.2009, S. 32, ELI: http://data.europa.eu/eli/dir/2009/65/oj).
(5) Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates vom 15. Mai 2014 über Märkte für Finanzinstrumente und zur Änderung der Verordnung (EU) Nr. 648/2012 (ABl. L 173 vom 12.6.2014, S. 84, ELI: http://data.europa.eu/eli/reg/2014/600/oj).
(6) Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates vom 25. November 2009 betreffend die Aufnahme und Ausübung der Versicherungs- und der Rückversicherungstätigkeit (Solvabilität II) (ABl. L 335 vom 17.12.2009, S. 1, ELI: http://data.europa.eu/eli/dir/2009/138/oj).
(7) Richtlinie (EU) 2016/97 des Europäischen Parlaments und des Rates vom 20. Januar 2016 über Versicherungsvertrieb (ABl. L 26 vom 2.2.2016, S. 19, ELI: http://data.europa.eu/eli/dir/2016/97/oj).
(8) Richtlinie (EU) 2016/2341 des Europäischen Parlaments und des Rates vom 14. Dezember 2016 über die Tätigkeiten und die Beaufsichtigung von Einrichtungen der betrieblichen Altersversorgung (EbAV) (ABl. L 354 vom 23.12.2016, S. 37, ELI: http://data.europa.eu/eli/dir/2016/2341/oj).
(9) Verordnung (EG) Nr. 1060/2009 des Europäischen Parlaments und des Rates vom 16. September 2009 über Ratingagenturen (ABl. L 302 vom 17.11.2009, S. 1, ELI: http://data.europa.eu/eli/reg/2009/1060/oj).
(10) Verordnung (EU) 2020/1503 des Europäischen Parlaments und des Rates vom 7. Oktober 2020 über Europäische Schwarmfinanzierungsdienstleister für Unternehmen und zur Änderung der Verordnung (EU) 2017/1129 und der Richtlinie (EU) 2019/1937 (ABl. L 347 vom 20.10.2020, S. 1, ELI: http://data.europa.eu/eli/reg/2020/1503/oj).
(11) Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates vom 12. Dezember 2017 zur Festlegung eines allgemeinen Rahmens für Verbriefungen und zur Schaffung eines spezifischen Rahmens für einfache, transparente und standardisierte Verbriefung und zur Änderung der Richtlinien 2009/65/EG, 2009/138/EG, 2011/61/EU und der Verordnungen (EG) Nr. 1060/2009 und (EU) Nr. 648/2012 (ABl. L 347 vom 28.12.2017, S. 35, ELI: http://data.europa.eu/eli/reg/2017/2402/oj).
(12) Delegierte Verordnung (EU) 2020/1230 der Kommission vom 29. November 2019 zur Ergänzung der Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Einzelheiten des Antrags auf Registrierung als Verbriefungsregister und der Einzelheiten des vereinfachten Antrags auf Ausweitung der Registrierung als Transaktionsregister (ABl. L 289 vom 3.9.2020, S. 345, ELI: http://data.europa.eu/eli/reg/2020/1230/oj).
Anhang III
Art der IKT-Dienstleistungen
ITS Informationsregister (2024/2956)
2 Sollmaßnahmen
A-5.1.229Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Dienstleistungskategorien (Informationsregister)
A-5.20.001Informationsregister: Klassifizierung von IKT-Dienstleistungen
Wird auf eine Art von IKT-Dienstleistungen in den Vorlagen des Informationsregisters Bezug genommen, ist nur die Kennung (von S01 bis S19) der betreffenden Art von IKT-Dienstleistungen anzugeben.
| Kennung | Art der IKT-Dienstleistungen | Beschreibung |
|---|---|---|
| S01 | 1. IKT-Projektmanagement | Erbringung von Dienstleistungen im Zusammenhang mit dem Projektmanagement. |
| S02 | 2. IKT-Entwicklung | Erbringung von Dienstleistungen im Zusammenhang mit: Unternehmensanalyse, Softwaredesign und -entwicklung, Tests. |
| S03 | 3. IKT-Helpdesk und First-Level-Support | Erbringung von Dienstleistungen im Zusammenhang mit: Helpdesk-Support und First-Level-Support bei IKT-Vorfällen |
| S04 | 4. IKT-Sicherheitsmanagementdienste | Erbringung von Dienstleistungen im Zusammenhang mit: IKT-Sicherheit (Schutz, Erkennung, Reaktion und Wiederherstellung), einschließlich Umgang mit Sicherheitsvorfällen und Forensik. |
| S05 | 5. Bereitstellung von Daten | Abonnement der Dienste von Datenanbietern. (digitaler Datendienst) |
| S06 | 6. Datenanalyse | Erbringung von Dienstleistungen im Zusammenhang mit der Unterstützung der Datenanalyse. (digitaler Datendienst) |
| S07 | 7. IKT, Betriebsmittel und Hostingdienste (ohne Cloud-Dienste) | Bereitstellung von IKT-Infrastruktur, Betriebsmitteln und Hostingdiensten, einschließlich Versorgungsleistungen (Energie, Wärmemanagement usw.), Telekommunikationszugang und physischer Sicherheit (ohne Cloud-Dienste), Zahlungsabwicklungstätigkeiten oder Bereitstellung von Zahlungsinfrastrukturen |
| S08 | 8. Rechenleistung | Bereitstellung digitaler Verarbeitungskapazitäten (einschließlich Datenrechenleistung), mit Ausnahme der im Rahmen einer Cloud-Umgebung erbrachten Rechendienste. |
| S09 | 9. Datenspeicherung außerhalb der Cloud | Bereitstellung von Datenspeicherplattformen (ohne Cloud-Dienste). |
| S10 | 10. Telekommunikationsanbieter | Betrieb von Telekommunikationssystemen und Ablaufmanagement. Traditionelle analoge Telefondienste sind gemäß Artikel 3 Nummer 21 der Verordnung (EU) 2022/2554 ausdrücklich ausgeschlossen. |
| S11 | 11. Netzwerkinfrastruktur | Bereitstellung von Netzwerkinfrastruktur |
| S12 | 12. Hardware und physische Geräte | Bereitstellung von Arbeitsplätzen, Telefonen, Servern, Datenspeichergeräten, Vorrichtungen usw. in Form einer Dienstleistung |
| S13 | 13. Softwarelizenzierung (ohne SaaS) | Bereitstellung von lokal ausgeführter Software. |
| S14 | 14. IKT-Betriebsmanagement (einschließlich Wartung) | Erbringung von Dienstleistungen im Zusammenhang mit: Infrastrukturkonfiguration (Systeme und Hardware mit Ausnahme des Netzwerks), Wartung, Installation, Kapazitätsmanagement, betriebliches Kontinuitätsmanagement usw. Einschließlich Anbieter von verwalteten Dienstleistungen (Managed Service Providers, MSPs) |
| S15 | 15. IKT-Beratung | Erbringung von auf Know-how/IKT-Fachwissen beruhenden Dienstleistungen. |
| S16 | 16. IKT-Risikomanagement | Überprüfung der Einhaltung der Anforderungen für das IKT-Risikomanagement gemäß Artikel 6 Absatz 10 der Verordnung (EU) 2022/2554 |
| S17 | 17. Cloud-Dienste: IaaS | Infrastructure-as-a-Service |
| S18 | 18. Cloud-Dienste: PaaS | Platform-as-a-Service |
| S19 | 19. Cloud-Dienste: SaaS | Software-as-a-Service |
Anhang IV
Anleitung zur Meldung des „Gesamtwerts der Aktiva“
ITS Informationsregister (2024/2956)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Art des Unternehmens | Anleitung zur Meldung des Gesamtwerts der Aktiva in Spalte B_01.02.0110 |
|---|---|
| a) Kreditinstitute | Angaben gemäß Meldebogen C40.00 Zeile 0410 Spalte 0010 in Anhang X der Durchführungsverordnung (EU) 2021/451 der Kommission (1) |
| b) Zahlungsinstitute, einschließlich nach der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| c) Kontoinformationsdienstleister | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| d) E-Geld-Institute, einschließlich nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| e) Wertpapierfirmen | Angaben gemäß Meldebogen Z01.00 Spalte 0090 in Anhang I der Durchführungsverordnung (EU) 2018/1624 der Kommission (2) |
| f) Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| g) Emittenten wertreferenzierter Token, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| h) Zentralverwahrer | Gesamtwert der Aktiva in den geprüften Jahresabschlüssen, die den zuständigen Behörden gemäß Artikel 41 Buchstabe a der Delegierten Verordnung (EU) 2017/392 der Kommission gemeldet wurden (3) |
| i) zentrale Gegenparteien | Angaben gemäß Feld 15.2 der „Veröffentlichten quantitativen Offenlegungsstandards für zentrale Gegenparteien“ der BIZ/IOSCO. |
| j) Handelsplätze | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| k) Transaktionsregister | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| l) Verwalter alternativer Investmentfonds | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| m) Verwaltungsgesellschaften | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| n) Datenbereitstellungsdienste | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| o) Versicherungs- und Rückversicherungsunternehmen | Angaben gemäß Anhang II und Meldebogen S02.01 Zeile 0500 Spalte 0010 in Anhang III der Durchführungsverordnung (EU) 2023/894 der Kommission (4) |
| p) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| q) Einrichtungen der betrieblichen Altersversorgung | Das Gesamtvermögen muss der Summe aller getrennt auf der Aktivseite der Bilanz ausgewiesenen Positionen sowie auch der Passiva insgesamt entsprechen |
| r) Ratingagenturen | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| s) Administratoren kritischer Referenzwerte | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| t) Schwarmfinanzierungsdienstleister | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| u) Verbriefungsregister | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| Nichtfinanzunternehmen: gruppeninterner IKT-Dienstleister | Nicht zutreffend |
| Nichtfinanzunternehmen: sonstiges gruppeninternes Unternehmen | Nicht zutreffend |
| Nichtfinanzunternehmen: IKT-Drittdienstleister | Nicht zutreffend |
(1) Durchführungsverordnung (EU) 2021/451 der Kommission vom 17. Dezember 2020 zur Festlegung technischer Durchführungsstandards für die Anwendung der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates auf die aufsichtlichen Meldungen der Institute und zur Aufhebung der Durchführungsverordnung (EU) Nr. 680/2014 (ABl. L 97 vom 19.3.2021, S. 1, ELI: http://data.europa.eu/eli/reg_impl/2021/451/oj).
(2) Durchführungsverordnung (EU) 2018/1624 der Kommission vom 23. Oktober 2018 zur Festlegung technischer Durchführungsstandards in Bezug auf Verfahren, Standardformulare und Meldebögen für die Bereitstellung von Informationen für die Erstellung von Abwicklungsplänen für Kreditinstitute und Wertpapierfirmen gemäß der Richtlinie 2014/59/EU des Europäischen Parlaments und des Rates und zur Aufhebung der Durchführungsverordnung (EU) 2016/1066 der Kommission (ABl. L 277 vom 7.11.2018, S. 1, ELI: http://data.europa.eu/eli/reg_impl/2018/1624/oj).
(3) Delegierte Verordnung (EU) 2017/392 der Kommission vom 11. November 2016 zur Ergänzung der Verordnung (EU) Nr. 909/2014 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für die Zulassung von und für aufsichtliche und operationelle Anforderungen an Zentralverwahrer (ABl. L 65 vom 10.3.2017, S. 48, ELI: http://data.europa.eu/eli/reg_del/2017/392/oj).
(4) Durchführungsverordnung (EU) 2023/894 der Kommission vom 4. April 2023 zur Festlegung technischer Durchführungsstandards für die Anwendung der Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates im Hinblick auf die Meldebögen zur Übermittlung für die Aufsicht erforderlicher Informationen durch Versicherungs- und Rückversicherungsunternehmen an ihre Aufsichtsbehörde und zur Aufhebung der Durchführungsverordnung (EU) 2015/2450 (ABl. L 120, 5.5.2023, S. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/894/oj).
Artikel 1
Allgemeine Informationen, die in Erstmeldungen sowie in Zwischen- und Abschlussmeldungen schwerwiegender IKT-bezogener Vorfälle enthalten sein müssen
RTS Incident-Meldung (2025/301)
Finanzunternehmen nehmen in die Erstmeldung, die Zwischenmeldung und die Abschlussmeldung gemäß Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 die folgenden allgemeinen Informationen auf:
a)
Art der Übermittlung (Erstmeldung, Zwischenmeldung oder Abschlussmeldung),
b)
Name des Finanzunternehmens, seinen LEI-Code und Art des Finanzunternehmens gemäß Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554,
c)
Name und Identifikationscode des Unternehmens, das die Erst-, Zwischen- oder Abschlussmeldung für das Finanzunternehmen übermittelt,
d)
gegebenenfalls Namen und LEI-Codes aller Finanzunternehmen, die in der aggregierten Erst-, Zwischen- oder Abschlussmeldung erfasst sind,
e)
Kontaktdaten der Personen, die für die Kommunikation mit der zuständigen Behörde über den schwerwiegenden IKT-bezogenen Vorfall verantwortlich sind,
f)
gegebenenfalls Angabe des Mutterunternehmens der Gruppe, der das Finanzunternehmen angehört,
g)
bei monetären Auswirkungen die Währung, in der die Beträge angegeben werden.
1 Sollmaßnahme
A-6.8.017Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Pflichtinformationen jeder Meldung (Identifikation)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Spezifische Informationen, die in Erstmeldungen enthalten sein müssen
RTS Incident-Meldung (2025/301)
Erstmeldungen gemäß Artikel 19 Absatz 4 Buchstabe a der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen:
a)
vom Finanzunternehmen zugewiesener Referenzcode des Vorfalls,
b)
Datum und Uhrzeit der Erkennung des Vorfalls sowie dessen Einstufung gemäß Artikel 8 der Delegierten Verordnung (EU) 2024/1772 der Kommission (7),
c)
Beschreibung des IKT-bezogenen Vorfalls,
d)
in den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 festgelegte Kriterien, auf deren Grundlage das Finanzunternehmen den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat,
e)
Mitgliedstaaten, die von dem IKT-bezogenen Vorfall betroffen sind,
f)
Angaben dazu, wie der IKT-bezogene Vorfall erkannt wurde,
g)
soweit verfügbar, Angaben zum Ursprung des IKT-bezogenen Vorfalls,
h)
Angaben dazu, ob das Finanzunternehmen einen Geschäftsfortführungsplan aktiviert hat,
i)
gegebenenfalls Angaben zur Neueinstufung des schwerwiegenden IKT-bezogenen Vorfalls als nicht schwerwiegend,
j)
soweit verfügbar, sonstige zweckdienliche Informationen.
1 Sollmaßnahme
A-6.8.020Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Inhalt der Erstmeldung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
Spezifische Informationen, die in Zwischenmeldungen enthalten sein müssen
RTS Incident-Meldung (2025/301)
Zwischenmeldungen gemäß Artikel 19 Absatz 4 Buchstabe b der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen:
a)
gegebenenfalls den von der zuständigen Behörde für den Vorfall mitgeteilten Referenzcode,
b)
Datum und Uhrzeit des Eintretens des IKT-bezogenen Vorfalls,
c)
gegebenenfalls Datum und Uhrzeit der Wiederaufnahme des regulären Geschäftsbetriebs des Finanzunternehmens,
d)
Angaben dazu, inwieweit die in den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 festgelegten Kriterien, auf deren Grundlage das Finanzunternehmen den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat, erfüllt sind,
e)
Art des IKT-bezogenen Vorfalls,
f)
gegebenenfalls vom Angreifer artikulierte Bedrohungen und eingesetzte Techniken,
g)
betroffene Funktionsbereiche und Geschäftsprozesse,
h)
betroffene Infrastrukturkomponenten, die Geschäftsprozesse unterstützen,
i)
Auswirkungen auf die finanziellen Interessen von Kunden,
j)
Angaben zur Meldung des IKT-bezogenen Vorfalls an andere Behörden,
k)
befristete Maßnahmen, die das Finanzunternehmen ergriffen hat oder zu ergreifen beabsichtigt, um sich von dem IKT-bezogenen Vorfall zu erholen,
l)
gegebenenfalls Angaben zu Kompromittierungsindikatoren.
1 Sollmaßnahme
A-6.8.022Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Inhalt der Zwischenmeldung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Spezifische Informationen, die in Abschlussmeldungen enthalten sein müssen
RTS Incident-Meldung (2025/301)
Abschlussmeldungen gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen:
a)
Angaben zu den Ursachen des IKT-bezogenen Vorfalls,
b)
Datum und Uhrzeit der Behebung des IKT-bezogenen Vorfalls sowie der Beseitigung der zugrunde liegenden Ursache(n),
c)
Angaben dazu, wie dem IKT-bezogenen Vorfall entgegengewirkt wurde,
d)
gegebenenfalls Informationen, die für die Abwicklungsbehörden relevant sind,
e)
Angaben zu direkten und indirekten Kosten und Verlusten, die infolge des IKT-bezogenen Vorfalls entstanden sind, und Angaben zu finanziellen Wiedereinziehungen,
f)
gegebenenfalls Angaben zu wiederholten IKT-bezogenen Vorfällen.
1 Sollmaßnahme
A-6.8.025Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Inhalt der Abschlussmeldung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Fristen für die Erst-, Zwischen- und Abschlussmeldung
RTS Incident-Meldung (2025/301)
(1)
Finanzunternehmen übermitteln die Erst-, Zwischen- und Abschlussmeldung gemäß Artikel 19 Absatz 4 Buchstaben a, b und c der Verordnung (EU) 2022/2554 innerhalb der folgenden Fristen:
a)
bei der Erstmeldung: so früh wie möglich, in jedem Fall aber innerhalb von vier Stunden nach Einstufung des IKT-bezogenen Vorfalls als schwerwiegend und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat,
1 Sollmaßnahme zu lit. a
A-6.8.018Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Frist der Erstmeldung (4 h / 24 h)
b)
bei der Zwischenmeldung: spätestens 72 Stunden nach Übermittlung der Erstmeldung, auch wenn sich gemäß Artikel 19 Absatz 4 Buchstabe b der Verordnung (EU) 2022/2554 der Status oder die Handhabung des Vorfalls nicht geändert hat. Die Finanzunternehmen übermitteln unverzüglich etwaige aktualisierte Zwischenmeldungen, in jedem Fall aber, sobald der reguläre Geschäftsbetrieb wiederaufgenommen wurde,
1 Sollmaßnahme zu lit. b
A-6.8.021Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Auslöser und Frist der Zwischenmeldung
c)
bei der Abschlussmeldung: spätestens einen Monat nach Übermittlung der Zwischenmeldung oder gegebenenfalls nach der letzten aktualisierten Zwischenmeldung.
2 Sollmaßnahmen zu lit. c · 1 Zieldokument
Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen· 2 hierkatalogweit 23 in 13 Artikeln
A-6.8.023Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Auslöser und Frist der Abschlussmeldung
A-6.8.024Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Frist der Abschlussmeldung (ein Monat)
↕ Bindet mit Abs. 5 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Hat das Finanzunternehmen einen IKT-bezogenen Vorfall nicht innerhalb von 24 Stunden nach dem Zeitpunkt, zu dem es Kenntnis von dem IKT-bezogenen Vorfall erlangt hat, sondern erst zu einem späteren Zeitpunkt als schwerwiegend eingestuft, übermittelt es die Erstmeldung innerhalb von vier Stunden, nachdem es den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat.
1 Sollmaßnahme
A-6.8.019Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Erstmeldung bei später Einstufung
(3)
Finanzunternehmen, die nicht in der Lage sind, die Erstmeldung, die Zwischenmeldung oder die Abschlussmeldung innerhalb der in Absatz 1 genannten Fristen zu übermitteln, teilen dies der zuständigen Behörde unverzüglich, spätestens jedoch innerhalb der jeweiligen Fristen für die Übermittlung der Meldung mit und geben die Gründe für die Verzögerung an.
1 Sollmaßnahme
A-6.8.013Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Information über Fristüberschreitung
(4)
Fällt die Frist für die Übermittlung der Erstmeldung, der Zwischenmeldung oder der Abschlussmeldung auf ein Wochenende oder einen Feiertag im Mitgliedstaat des meldenden Finanzunternehmens, so kann das Finanzunternehmen die Erstmeldung, die Zwischenmeldung oder die Abschlussmeldung bis 12.00 Uhr des darauffolgenden Arbeitstages übermitteln.
1 Sollmaßnahme
A-6.8.014Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Fristwahrung bei Wochenende/Feiertag
↕ Bindet mit Abs. 5 zusammen — die gemeinsame Sollmaßnahme steht dort.
(5)
Absatz 4 gilt nicht für die Übermittlung einer Erstmeldung oder einer Zwischenmeldung durch Kreditinstitute, zentrale Gegenparteien, Betreiber von Handelsplätzen und andere Finanzunternehmen, die gemäß Artikel 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Einrichtungen eingestuft sind.
1 Sollmaßnahme
A-6.8.012Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Meldefristen und Wochenend-/Feiertagsregel
(6)
Die zuständigen Behörden können beschließen, dass Absatz 4 nicht für die Übermittlung einer Erstmeldung oder einer Zwischenmeldung durch andere Finanzinstitute als die in Absatz 5 genannten gilt, die bedeutend oder für den Finanzsektor auf nationaler oder Unionsebene systemrelevant sind. Die zuständigen Behörden teilen den betreffenden Finanzunternehmen ihren Beschluss mit. Der Beschluss der zuständigen Behörde gilt nur für Vorfälle, die sich ereignet haben, nachdem die zuständige Behörde den betreffenden Finanzunternehmen ihre Entscheidung mitgeteilt hat.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
Inhalt der freiwilligen Meldung erheblicher Cyberbedrohungen
RTS Incident-Meldung (2025/301)
Eine freiwillige Meldung in Bezug auf erhebliche Cyberbedrohungen gemäß Artikel 19 Absatz 2 der Verordnung (EU) 2022/2554 umfasst Folgendes:
a)
allgemeine Angaben zu dem meldenden Finanzunternehmen gemäß Artikel 1,
b)
Datum und Uhrzeit der Erkennung einer erheblichen Cyberbedrohung und sonstige relevante Zeitstempel im Zusammenhang mit der erheblichen Cyberbedrohung,
c)
Beschreibung der erheblichen Cyberbedrohung,
d)
Angaben zu den möglichen Auswirkungen der erheblichen Cyberbedrohung auf das Finanzunternehmen, seine Kunden oder Gegenparteien im Finanzbereich,
e)
Einstufungskriterien, die die Meldung eines schwerwiegenden Vorfalls gemäß den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 ausgelöst hätten, wenn die Cyberbedrohung eingetreten wäre,
f)
Angaben zum Status der erheblichen Cyberbedrohung und dazu, ob sich die Bedrohungsaktivität verändert hat,
g)
gegebenenfalls Beschreibung der Maßnahmen, die das Finanzunternehmen ergriffen hat, um das Eintreten erheblicher Cyberbedrohungen zu verhindern,
h)
Angabe dazu, ob andere Finanzunternehmen oder Behörden über die erhebliche Cyberbedrohung benachrichtigt wurden,
i)
gegebenenfalls Angaben zu Kompromittierungsindikatoren,
j)
soweit verfügbar, sonstige zweckdienliche Informationen.
1 Sollmaßnahme
A-6.8.004Verfahren zur Meldung von erheblichen Cyberbedrohungen: Mindestinhalte der Meldung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
Inkrafttreten
RTS Incident-Meldung (2025/301)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 1
Vorlage für die Meldung schwerwiegender IKT-bezogener Vorfälle
ITS Incident-Reporting (2025/302)
(1)
Finanzunternehmen verwenden für die Übermittlung der in Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 genannten Erstmeldung, Zwischenmeldung und Abschlussmeldung die Vorlage in Anhang I wie folgt:
a)
Finanzunternehmen, die eine Erstmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 2 der Delegierten Verordnung (EU) 2025/301 der Kommission (7) geforderten Informationen entsprechen, und können, wenn sie bereits über diese Informationen verfügen, diejenigen Datenfelder ausfüllen, die nicht für eine Erstmeldung, sondern für eine Zwischen- oder Abschlussmeldung ausgefüllt werden müssen.
b)
Finanzunternehmen, die eine Zwischenmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 3 der Delegierten Verordnung (EU) 2025/301 geforderten Informationen entsprechen, und können, wenn sie bereits über diese Informationen verfügen, diejenigen Datenfelder ausfüllen, die nicht für eine Zwischenmeldung, sondern für eine Abschlussmeldung ausgefüllt werden müssen.
c)
Finanzunternehmen, die eine Abschlussmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 4 der Delegierten Verordnung (EU) 2025/301 geforderten Informationen entsprechen.
(2)
Die Finanzunternehmen stellen sicher, dass die in der Erstmeldung sowie in der Zwischenmeldung und der Abschlussmeldung enthaltenen Informationen vollständig und korrekt sind.
(3)
Finanzunternehmen geben, soweit möglich, Schätzwerte auf der Grundlage anderer verfügbarer Daten und Informationen an, wenn zum Zeitpunkt der Erstmeldung oder der Zwischenmeldung keine genauen Daten verfügbar sind.
(4)
Bei der Übermittlung einer Zwischen- oder Abschlussmeldung verwenden Finanzunternehmen die Vorlage in Anhang I, um alle erforderlichen Informationen zu übermitteln und gegebenenfalls die Informationen zu aktualisieren, die zuvor in der Erstmeldung oder in der Zwischenmeldung übermittelt wurden.
(5)
Beim Ausfüllen der Vorlage in Anhang I beachten die Finanzunternehmen das Datenglossar und die Anleitung in Anhang II.
1 Sollmaßnahme
A-6.8.010Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Verwendung des vorgeschriebenen Templates
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Gleichzeitige Übermittlung der Erst-, Zwischen- und Abschlussmeldung
ITS Incident-Reporting (2025/302)
Finanzunternehmen können die Erstmeldung, die Zwischenmeldung und die Abschlussmeldung zusammenlegen und zwei oder alle Meldungen gleichzeitig übermitteln, wenn der reguläre Geschäftsbetrieb wiederhergestellt ist oder die Ursachenanalyse abgeschlossen wurde und die Fristen gemäß Artikel 5 der Delegierten Verordnung (EU) 2025/301 eingehalten werden.
1 Sollmaßnahme
A-6.8.015Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Zusammenlegung der Meldungen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
Wiederholte IKT-bezogene Vorfälle
ITS Incident-Reporting (2025/302)
Finanzunternehmen, die Informationen über wiederholte nicht schwerwiegende IKT-bezogene Vorfälle bereitstellen, die zusammen die Voraussetzungen für einen schwerwiegenden IKT-bezogenen Vorfall gemäß Artikel 8 Absatz 2 der Delegierten Verordnung (EU) 2024/1772 erfüllen, übermitteln diese Informationen in aggregierter Form.
1 Sollmaßnahme
A-6.8.011Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Aggregierte Meldung wiederholter Vorfälle
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Nutzung sicherer elektronischer Kanäle
ITS Incident-Reporting (2025/302)
(1)
Finanzunternehmen nutzen sichere elektronische Kanäle, die von ihrer zuständigen Behörde für die Übermittlung der Erst-, Zwischen- und Abschlussmeldung bereitgestellt werden.
(2)
Finanzunternehmen, die nicht in der Lage sind, die von ihrer zuständigen Behörde bereitgestellten sicheren elektronischen Kanäle zu nutzen, unterrichten ihre zuständige Behörde im Einvernehmen mit der zuständigen Behörde auf andere sichere Weise über einen schwerwiegenden IKT-bezogenen Vorfall. Auf Verlangen der zuständigen Behörde übermitteln Finanzunternehmen die Erst-, Zwischen- oder Abschlussmeldung erneut über den von ihrer zuständigen Behörde bereitgestellten sicheren elektronischen Kanal, sobald sie dazu in der Lage sind.
1 Sollmaßnahme
A-6.8.009Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Nutzung der behördlichen Meldekanäle (Ausfall)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Rückstufung schwerwiegender IKT-bezogener Vorfälle
ITS Incident-Reporting (2025/302)
Kommt das Finanzunternehmen nach eingehender Prüfung zu dem Schluss, dass der zuvor als „schwerwiegend“ gemeldete IKT-bezogene Vorfall zu keinem Zeitpunkt die in Artikel 8 der Delegierten Verordnung (EU) 2024/1772 festgelegten Einstufungskriterien und Schwellenwerte erfüllte, so teilt es der zuständigen Behörde mit, dass es den IKT-bezogenen Vorfall von „schwerwiegend“ auf „nicht schwerwiegend“ zurückgestuft hat, und macht in der Vorlage in Anhang II dieser Verordnung in den Feldern „Art der Meldung“ und „Sonstige Informationen“ entsprechende Angaben zu dieser Rückstufung.
1 Sollmaßnahme
A-6.8.016Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Herabstufung bei Fehlklassifikation
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
Unterrichtung über die Auslagerung der Berichtspflichten
ITS Incident-Reporting (2025/302)
(1)
Finanzunternehmen, die die Verpflichtung zur Meldung schwerwiegender IKT-bezogener Vorfälle gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 ausgelagert haben, unterrichten ihre zuständige Behörde über die Vereinbarung zur Auslagerung, sobald diese abgeschlossen wurde, spätestens jedoch vor der ersten Meldung.
(2)
Finanzunternehmen teilen der zuständigen Behörde den Namen, die Kontaktdaten und den Identifikationscode des Dritten mit, der die Meldungen schwerwiegender IKT-bezogener Vorfälle für sie übermitteln wird.
(3)
Finanzunternehmen unterrichten ihre zuständige Behörde, sobald sie ihre Meldepflichten gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 nicht mehr auslagern.
1 Sollmaßnahme
A-6.8.027Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Anzeige der Auslagerungsvereinbarung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
Aggregierte Meldung
ITS Incident-Reporting (2025/302)
(1)
Ein Drittdienstleister, an den Meldepflichten gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 ausgelagert wurden, kann die Vorlage in Anhang I dieser Verordnung verwenden, um aggregierte Informationen über einen schwerwiegenden IKT-bezogenen Vorfall, der sich auf mehrere Finanzunternehmen auswirkt, in einer einzigen Meldung bereitzustellen und diese Meldung im Namen aller betroffenen Finanzunternehmen der zuständigen Behörde zu übermitteln, sofern alle folgenden Voraussetzungen erfüllt sind:
a)
Der zu meldende schwerwiegende IKT-bezogene Vorfall hat bei einem IKT- Drittdienstleister seinen Ursprung oder wird von diesem verursacht.
b)
Dieser Drittdienstleister erbringt die betreffende IKT-Dienstleistung für mehr als ein Finanzunternehmen oder für eine Gruppe.
c)
Der IKT-bezogene Vorfall wird von jedem in der aggregierten Meldung erfassten Finanzunternehmen als schwerwiegend eingestuft.
d)
Der schwerwiegende IKT-bezogene Vorfall betrifft Finanzunternehmen im selben Mitgliedstaat und die aggregierte Meldung bezieht sich auf Finanzunternehmen, die von derselben zuständigen Behörde beaufsichtigt werden.
e)
Die zuständigen Behörden haben dieser Art von Finanzunternehmen ausdrücklich gestattet, aggregierte Meldungen zu übermitteln.
(2)
Absatz 1 gilt nicht für Kreditinstitute, die gemäß Artikel 2 Nummer 16 der Verordnung (EU) Nr. 468/2014 der Europäischen Zentralbank (8) als von erheblicher Bedeutung angesehen werden, Betreiber von Handelsplätzen und zentrale Gegenparteien, die nur die Vorlage in Anhang I verwenden, um Meldungen schwerwiegender IKT-bezogener Vorfälle einzeln an ihre zuständige Behörde zu übermitteln.
1 Sollmaßnahme
A-6.8.028Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Aggregierte Meldung durch den Dienstleister
(3)
Verlangen die zuständigen Behörden Informationen über die individuellen Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf ein einzelnes Finanzunternehmen, so übermittelt das Finanzunternehmen auf Ersuchen der zuständigen Behörde eine Einzelmeldung über den schwerwiegenden IKT-bezogenen Vorfall.
1 Sollmaßnahme
A-6.8.029Verfahren zur Meldung von schwerwiegenden IKT-bezogenen Vorfällen: Separate Einzelmeldung auf Behördenanfrage
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 8
Meldung erheblicher Cyberbedrohungen
ITS Incident-Reporting (2025/302)
(1)
Finanzunternehmen, die den zuständigen Behörden gemäß Artikel 19 Absatz 2 der Verordnung (EU) 2022/2554 erhebliche Cyberbedrohungen melden, verwenden die Vorlage in Anhang III dieser Verordnung und befolgen das Datenglossar und die Anleitung in Anhang IV dieser Verordnung.
1 Sollmaßnahme
A-6.8.005Verfahren zur Meldung von erheblichen Cyberbedrohungen: Meldetemplate und Datenglossar
(2)
Finanzunternehmen stellen sicher, dass die in der Meldung erheblicher Cyberbedrohungen enthaltenen Informationen vollständig und korrekt sind.
1 Sollmaßnahme
A-6.8.006Verfahren zur Meldung von erheblichen Cyberbedrohungen: Vollständigkeit und Richtigkeit der Angaben
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 9
Inkrafttreten
ITS Incident-Reporting (2025/302)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Anhang I
VORLAGEN FÜR DIE MELDUNG SCHWERWIEGENDER SICHERHEITSVORFÄLLE
ITS Incident-Reporting (2025/302)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Feld-nummer | Datenfeld | |
|---|---|---|
| Allgemeine Angaben zum Finanzunternehmen | ||
| 1.1 | Art der Übermittlung | |
| 1.2 | Name des Unternehmens, das die Meldung übermittelt | |
| 1.3 | Identifikationscode des Unternehmens, das die Meldung übermittelt | |
| 1.4 | Art des betroffenen Finanzunternehmens | |
| 1.5 | Name des betroffenen Finanzunternehmens | |
| 1.6 | LEI-Code des betroffenen Finanzunternehmens | |
| 1.7 | Name des Hauptansprechpartners | |
| 1.8 | E-Mail-Adresse des Hauptansprechpartners | |
| 1.9 | Telefonnummer des Hauptansprechpartners | |
| 1.10 | Name des zweiten Ansprechpartners | |
| 1.11 | E-Mail-Adresse des zweiten Ansprechpartners | |
| 1.12 | Telefonnummer des zweiten Ansprechpartners | |
| 1.13 | Name des obersten Mutterunternehmens | |
| 1.14 | LEI-Code des obersten Mutterunternehmens | |
| 1.15 | Meldewährung | |
| Inhalt der Erstmeldung | ||
| 2.1 | Vom Finanzunternehmen zugewiesener Referenzcode für den Vorfall | |
| 2.2 | Datum und Uhrzeit der Feststellung des schwerwiegenden IKT-bezogenen Vorfalls | |
| 2.3 | Datum und Uhrzeit der Einstufung des IKT-bezogenen Vorfalls als schwerwiegend | |
| 2.4 | Beschreibung des schwerwiegenden IKT-bezogenen Vorfalls | |
| 2.5 | Einstufungskriterien, die die Meldung des Vorfalls ausgelöst haben | |
| 2.6 | Wesentlichkeitsschwellen für das Einstufungskriterium „Geografische Ausbreitung“ | |
| 2.7 | Feststellung des schwerwiegenden IKT-bezogenen Vorfalls | |
| 2.8 | Angabe, ob der schwerwiegende IKT-bezogene Vorfall bei einem Drittdienstleister oder einem anderen Finanzunternehmen seinen Ursprung hat | |
| 2.9 | Aktivierung des Plans zur Aufrechterhaltung des Geschäftsbetriebs, falls aktiviert | |
| 2.10 | Sonstige zweckdienliche Angaben | |
| Inhalt der Zwischenmeldung | ||
| 3.1 | Von der zuständigen Behörde bereitgestellter Referenzcode für den Vorfall | |
| 3.2 | Datum und Uhrzeit des Eintretens des schwerwiegenden IKT-bezogenen Vorfalls | |
| 3.3 | Datum und Uhrzeit der Wiederherstellung der Dienste, Tätigkeiten oder Vorgänge | |
| 3.4 | Anzahl der betroffenen Kunden | |
| 3.5 | Prozentsatz der betroffenen Kunden | |
| 3.6 | Anzahl der betroffenen Gegenparteien im Finanzbereich | |
| 3.7 | Prozentsatz der betroffenen Gegenparteien im Finanzbereich | |
| 3.8 | Auswirkungen auf einschlägige Kunden oder Gegenparteien im Finanzbereich | |
| 3.9 | Anzahl der betroffenen Transaktionen | |
| 3.10 | Prozentsatz der betroffenen Transaktionen | |
| 3.11 | Wert der betroffenen Transaktionen | |
| 3.12 | Angaben dazu, ob es sich um tatsächliche Zahlen oder Schätzungen handelt oder ob es keine Auswirkungen gegeben hat | |
| 3.13 | Reputationsschaden | |
| 3.14 | Kontextbezogene Angaben zum Reputationsschaden | |
| 3.15 | Dauer des schwerwiegenden IKT-bezogenen Vorfalls | |
| 3.16 | Ausfallzeiten | |
| 3.17 | Angaben dazu, ob es sich bei der Dauer und den Ausfallzeiten um tatsächliche Zahlen oder Schätzungen handelt | |
| 3.18 | Arten von Auswirkungen in den Mitgliedstaaten | |
| 3.19 | Beschreibung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls in anderen Mitgliedstaaten | |
| 3.20 | Wesentlichkeitsschwellen für das Einstufungskriterium „Datenverluste“ | |
| 3.21 | Beschreibung der Datenverluste | |
| 3.22 | Einstufungskriterium „Betroffene kritische Dienstleistungen“ | |
| 3.23 | Art des schwerwiegenden IKT-bezogenen Vorfalls | |
| 3.24 | Andere Arten von Vorfällen | |
| 3.25 | Bedrohungen und Techniken des Angreifers | |
| 3.26 | Andere Arten von Techniken | |
| 3.27 | Angaben zu betroffenen Funktionsbereichen und Geschäftsprozessen | |
| 3.28 | Betroffene Infrastrukturkomponenten, die Geschäftsprozesse unterstützen | |
| 3.29 | Angaben zu betroffenen Infrastrukturkomponenten, die Geschäftsprozesse unterstützen | |
| 3.30 | Auswirkungen auf die finanziellen Interessen von Kunden | |
| 3.31 | Meldung an andere Behörden | |
| 3.32 | Angabe der „anderen“ Behörden | |
| 3.33 | Ergriffene oder geplante befristete Maßnahmen zur Wiederherstellung nach dem Vorfall | |
| 3.34 | Beschreibung etwaiger ergriffener oder geplanter befristeter Maßnahmen zur Wiederherstellung nach dem Vorfall | |
| 3.35 | Kompromittierungsindikatoren | |
| Inhalt der Abschlussmeldung | ||
| 4.1 | Übergeordnete Einstufung der Ursachen des Vorfalls | |
| 4.2 | Detaillierte Einstufung der Ursachen des Vorfalls | |
| 4.3 | Weitergehende Einstufung der Ursachen des Vorfalls | |
| 4.4 | Andere Arten von Ursachen | |
| 4.5 | Angaben zu den Ursachen des Vorfalls | |
| 4.6 | Zusammenfassung der Behebung des Vorfalls | |
| 4.7 | Datum und Uhrzeit der Behebung der Ursache des Vorfalls | |
| 4.8 | Datum und Uhrzeit der Behebung des Vorfalls | |
| 4.9 | Angabe, falls das Datum der dauerhaften Behebung des Vorfalls von dem ursprünglich geplanten Umsetzungsdatum abweicht | |
| 4.10 | Bewertung des Risikos für kritische Funktionen für Abwicklungszwecke | |
| 4.11 | Für Abwicklungsbehörden relevante Angaben | |
| 4.12 | Wesentlichkeitsschwelle für das Einstufungskriterium „Wirtschaftliche Auswirkungen“ | |
| 4.13 | Betrag der direkten und indirekten Bruttokosten und Verluste | |
| 4.14 | Betrag der finanziellen Rückflüsse | |
| 4.15 | Angaben dazu, ob sich die nicht schwerwiegenden Vorfälle wiederholt haben | |
| 4.16 | Datum und Uhrzeit des Eintretens wiederholter Vorfälle | |
Anhang II
DATENGLOSSAR UND ANLEITUNG FÜR DIE MELDUNG SCHWERWIEGENDER SICHERHEITSVORFÄLLE
ITS Incident-Reporting (2025/302)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Datenfeld | Beschreibung | Verpflichtend für die Erstmeldung | Verpflich-tend für die Zwischen-meldung | Verpflich-tend für die Abschluss-meldung | Feldtyp |
|---|---|---|---|---|---|
| Allgemeine Angaben zum Finanzunternehmen | |||||
| 1.1. Art der Übermittlung | Geben Sie die Art der Meldung des Vorfalls an, die der zuständigen Behörde übermittelt wird. | Ja | Ja | Ja | Auswahl: — Erstmeldung; — Zwischenmeldung; — Abschlussmeldung; — Schwerwiegender Vorfall, der in nicht schwerwiegend zurückgestuft wurde. |
| 1.2. Name des Unternehmens, das die Meldung übermittelt | Vollständige juristische Bezeichnung des Unternehmens, das die Meldung übermittelt. | Ja | Ja | Ja | Alphanumerisch |
| 1.3. Identifikations- code des Unternehmens, das die Meldung übermittelt | Identifikationscode des Unternehmens, das die Meldung übermittelt. Übermitteln Finanzunternehmen die Meldung, ist die Rechtsträgerkennung (Legal Entity Identifier; LEI-Code), ein eindeutiger alphanumerischer 20-stelliger Code nach ISO 17442-1:2020. Ein Drittdienstleister, der eine Meldung für ein Finanzunternehmen übermittelt, kann eine Rechtsträgerkennung verwenden, die in den gemäß Artikel 28 Absatz 9 der Verordnung (EU) 2022/2554 angenommenen technischen Durchführungsstandards festgelegt ist. | Ja | Ja | Ja | Alphanumerisch |
| 1.4. Art des betroffenen Finanz-unternehmens | Art des Unternehmens gemäß Artikel 2 Absatz 1 Buchstaben a bis t der Verordnung (EU) 2022/2554, für das die Meldung übermittelt wird. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung sind die verschiedenen Arten von Finanzunternehmen auszuwählen, die in der aggregierten Meldung erfasst sind. | Ja | Ja | Ja | Auswahl (Mehrfach-auswahl): — Kreditinstitut; — Zahlungs-institut; — Ausge-nommenes Zahlungs-institut; — Kontoinfor-mationsdienst-leister; — E-Geld-Institut; — Ausge-nommenes E-Geld-Institut; — Wertpapier-firma; — Anbieter von Kryptowerte-Dienstleis-tungen; — Emittent wertreferen-zierter Token; — Zentral-verwahrer; — Zentrale Gegenpartei; — Handelsplatz; — Transak-tionsregister; — Verwalter alternativer Investment-fonds; — Verwaltungs-gesellschaft; — Datenbereit-stellungsdienst; — Versicherungs- und Rückversiche-rungsunter-nehmen; — Versicherungs-vermittler, Rückversiche-rungsvermittler und Versicherungs-vermittler in Nebentätigkeit; — Einrichtung der betrieblichen Altersversor-gung; — Ratingagentur; — Administrator kritischer Referenzwerte; — Schwarm-finanzierungs-dienstleister; — Verbriefungs-register. |
| 1.5. Name des betroffenen Finanzunter-nehmens | Vollständige juristische Bezeichnung des von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunternehmens, das gemäß Artikel 19 der Verordnung (EU) 2022/2554 seiner zuständigen Behörde den schwerwiegenden Vorfall melden muss. Bei aggregierter Meldung: a) Auflistung aller Namen der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunternehmen, getrennt durch ein Semikolon. b) Der Drittdienstleister, der eine Meldung eines schwerwiegenden Vorfalls oder in aggregierter Form gemäß Artikel 7 dieser Verordnung übermittelt, führt die Namen aller von dem Vorfall betroffenen Finanzunternehmen auf, getrennt durch ein Semikolon. | Ja, wenn es sich bei dem von dem Vorfall betroffenen Finanzunter-nehmen nicht um das Unternehmen handelt, das die Meldung übermittelt, und im Falle einer aggregierten Meldung | Ja, wenn es sich bei dem von dem Vorfall betroffe-nen Finanz-unter-nehmen nicht um das Unter-nehmen handelt, das die Meldung übermit-telt, und im Falle einer aggre-gierten Meldung | Ja, wenn es sich bei dem von dem Vorfall betroffenen Finanzun-ternehmen nicht um das Unterneh-men handelt, das die Meldung übermittelt, und im Falle einer aggregierten Meldung | Alphanumerisch |
| 1.6. LEI-Code des betroffenen Finanzunterneh-mens | Der nach der Internationalen Organisation für Normung zugewiesene LEI-Code des von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunternehmens. Bei aggregierter Meldung: a) Auflistung aller LEI-Codes der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunternehmen, getrennt durch ein Semikolon; b) der Drittdienstleister, der eine Meldung eines schwerwiegenden Vorfalls in aggregierter Form gemäß Artikel 7 dieser Verordnung übermittelt, führt die LEI-Codes aller von dem Vorfall betroffenen Finanzunternehmen auf, getrennt durch ein Semikolon. Die Reihenfolge der Auflistung der LEI-Codes muss mit derjenigen der Namen der Finanzunternehmen identisch sein. | Ja, wenn es sich bei dem von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunter-nehmen nicht um das Unternehmen handelt, das die Meldung übermittelt, und bei einer aggregierten Meldung | Ja, wenn es sich bei dem von dem schwer-wiegenden IKT-bezogenen Vorfall betroffe-nen Finanz-unterneh-men nicht um das Unterneh-men handelt, das die Meldung übermittelt, und bei einer aggre-gierten Meldung | Ja, wenn es sich bei dem von dem schwer-wiegenden IKT-bezogenen Vorfall betroffenen Finanzun-ternehmen nicht um das Unterneh-men handelt, das die Meldung übermittelt, und bei einer aggregierten Meldung | Eindeutiger alphanumerischer Code mit 20 Zeichen nach ISO 17442-1:2020 |
| 1.7. Name des Hauptansprech-partners | Vor- und Nachname des Hauptansprechpartners des Finanzunternehmens. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung der Name des Hauptansprechpartners in dem Unternehmen, das die aggregierte Meldung übermittelt. | Ja | Ja | Ja | Alphanumerisch |
| 1.8. E-Mail-Adresse des Hauptansprech-partners | E-Mail-Adresse des Hauptansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die E-Mail-Adresse des Hauptansprechpartners in dem Unternehmen, das die aggregierte Meldung übermittelt. | Ja | Ja | Ja | Alphanumerisch |
| 1.9. Telefonnummer des Hauptansprech-partners | Telefonnummer des Hauptansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Telefonnummer des Hauptansprechpartners in dem Unternehmen, das die aggregierte Meldung übermittelt. Die Telefonnummer ist mit allen internationalen Vorwahlen anzugeben (z. B. +33 XXXXXXXXX). | Ja | Ja | Ja | Alphanumerisch |
| 1.10. Name des zweiten Ansprech-partners | Vor- und Nachname des zweiten Ansprechpartners oder Name des verantwortlichen Teams des Finanzunternehmens oder des Unternehmens, das die Meldung im Namen des Finanzunternehmens übermittelt | Ja | Ja | Ja | Alphanumerisch |
| 1.11. E-Mail-Adresse des zweiten Ansprech-partners | E-Mail-Adresse des zweiten Ansprechpartners oder die funktionale E-Mail-Adresse des Teams, an die bzw. das sich die zuständige Behörde in der Folgemitteilung wenden kann. | Ja | Ja | Ja | Alphanumerisch |
| 1.12. Telefonnummer des zweiten Ansprech-partners | Telefonnummer des zweiten Ansprechpartners oder eines Teams, an den bzw. das sich die zuständige Behörde in der Folgemitteilung wenden kann. Die Telefonnummer ist mit allen internationalen Vorwahlen anzugeben (z. B. +33 XXXXXXXXX). | Ja | Ja | Ja | Alphanumerisch |
| 1.13. Name des obersten Mutterunter-nehmens | Gegebenenfalls Name des obersten Mutterunternehmens der Gruppe, der das betroffene Finanzunternehmen angehört. | Ja, wenn das Finanzunter-nehmen einer Gruppe angehört | Ja, wenn das Finanz-unterneh-men einer Gruppe angehört | Ja, wenn das Finanzun-ternehmen einer Gruppe angehört | Alphanumerisch |
| 1.14. LEI-Code des obersten Mutterunter-nehmens | Gegebenenfalls LEI-Code des obersten Mutterunternehmens der Gruppe, der das betroffene Finanzunternehmen angehört. Zugewiesen gemäß der Internationalen Organisation für Normung. | Ja, wenn das Finanzunter-nehmen einer Gruppe angehört | Ja, wenn das Finanz-unter-nehmen einer Gruppe angehört | Ja, wenn das Finanzun-ternehmen einer Gruppe angehört | Eindeutiger alphanumerischer Code mit 20 Zeichen nach ISO 17442-1:2020 |
| 1.15. Meldewährung | Währung, die für die Meldung des Vorfalls verwendet wird. | Ja | Ja | Ja | Auswahl ist anhand der ISO 4217 Währungscodes zu treffen |
| Inhalt der Erstmeldung | |||||
| 2.1. Vom Finanzunter-nehmen zugewiesener Referenzcode für den Vorfall | Vom Finanzunternehmen vergebener eindeutiger Referenzcode zur eindeutigen Identifizierung des schwerwiegenden IKT-bezogenen Vorfalls. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung der vom Drittdienstleister zugewiesene Referenzcode für den Vorfall. | Ja | Ja | Ja | Alphanumerisch |
| 2.2. Datum und Uhrzeit der Feststellung des IKT-bezogenen Vorfalls | Datum und Uhrzeit der Kenntnisnahme des IKT-bezogenen Vorfalls durch das Finanzunternehmen. Bei wiederholten Vorfällen das Datum und die Uhrzeit der Feststellung des letzten IKT-bezogenen Vorfalls. | Ja | Ja | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 2.3. Datum und Uhrzeit der Einstufung des Vorfalls als schwerwiegend | Datum und Uhrzeit der Einstufung des IKT-bezogenen Vorfall als schwerwiegend gemäß den in der Delegierten Verordnung (EU) 2024/1772 festgelegten Einstufungskriterien. | Ja | Ja | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 2.4. Beschreibung des IKT-bezogenen Vorfalls | Beschreibung der relevantesten Aspekte des schwerwiegenden IKT-bezogenen Vorfalls. Finanzunternehmen geben einen allgemeinen Überblick über die folgenden Informationen, z. B. mögliche Ursachen, unmittelbare Auswirkungen, betroffene Systeme usw. Finanzunternehmen geben an, sofern bekannt oder nach vernünftigem Ermessen zu erwarten, ob sich der Vorfall auf Drittdienstleister oder andere Finanzunternehmen auswirkt, die Art des Dienstleisters oder Finanzunternehmens, ihren Namen, ihre jeweiligen Identifikationscodes und die Art des Identifikationscodes (z. B. LEI-Code oder EUID). In nachfolgenden Meldungen kann sich der Feldinhalt im Zeitverlauf ändern, um dem jeweils aktuellen Verständnis des IKT-bezogenen Vorfalls Rechnung zu tragen und andere relevante Informationen über den IKT-bezogenen Vorfall zu beschreiben, die nicht von den Datenfeldern erfasst werden, einschließlich der internen Bewertung der Schwere des IKT-bezogenen Vorfalls durch das Finanzunternehmen (z. B. sehr niedrig, niedrig, mittel, hoch, sehr hoch) und eines Hinweises auf Ebene und Name der höchsten Entscheidungsstrukturen, die an der Reaktion auf den IKT-bezogenen Vorfall beteiligt waren. | Ja | Ja | Ja | Alphanumerisch |
| 2.5. Einstufungs- kriterien, die die Meldung des Vorfalls ausgelöst haben | Einstufungskriterien gemäß der Delegierten Verordnung (EU) 2024/1772, die dazu geführt haben, dass der IKT-bezogene Vorfall als schwerwiegender Vorfall eingestuft und gemeldet wurde. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung die Einstufungskriterien, die dazu geführt haben, dass der IKT-bezogene Vorfall für mindestens ein oder mehrere Finanzunternehmen als schwerwiegend eingestuft wurde. | Ja | Ja | Ja | Auswahl (Mehrfachauswahl): — Betroffene Kunden, Gegenparteien im Finanzbereich und Transaktionen; — Reputations-schaden; — Dauer und Ausfallzeiten; — Geografische Ausbreitung; — Datenverluste; — Betroffene kritische Dienstleistun-gen; — Wirtschaftliche Auswirkungen. |
| 2.6. Wesentlichkeits- schwellen für das Einstufungs-kriterium „Geografische Ausbreitung“ | EWR-Mitgliedstaaten, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind. Bei der Bewertung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls in anderen Mitgliedstaaten berücksichtigen Finanzunternehmen die Artikel 4 und 12 der Delegierten Verordnung (EU) 2024/1772. | Ja, wenn der Schwellenwert für „Geografische Ausbreitung“ erreicht ist | Ja, wenn der Schwel-lenwert für „Geogra-fische Ausbrei-tung“ erreicht ist | Ja, wenn der Schwellen-wert für „Geografi-sche Ausbrei-tung“ erreicht ist | Die Auswahl (Mehrfachauswahl) wird mithilfe von ISO 3166 ALPHA-2 der betroffenen Länder ausgefüllt |
| 2.7. Feststellung des schwerwie-genden IKT-bezogenen Vorfalls | Angaben dazu, wie der schwerwiegende IKT-bezogene Vorfall festgestellt wurde. | Ja | Ja | Ja | Auswahl: — IT-Sicherheit; — Personal; — Interne Revision; — Externe Prüfung; — Kunden; — Gegenparteien im Finanzbereich; — Drittdienst-leister; — Angreifer; — Überwa-chungssysteme; — Staatliches Organ/Agentur/Strafverfol-gungsbehörde; — Sonstiges. |
| 2.8. Angaben dazu, ob der Vorfall bei einem Drittdienst-leister oder einem anderen Finanzunter-nehmen seinen Ursprung hat | Angaben dazu, ob der schwerwiegende IKT-bezogene Vorfall bei einem Drittdienstleister oder einem anderen Finanzunternehmen seinen Ursprung hat. Finanzunternehmen geben an, ob der schwerwiegende IKT-bezogene Vorfall bei einem Drittdienstleister oder einem anderen Finanzunternehmen (einschließlich Finanzunternehmen, die derselben Gruppe wie das meldende Unternehmen angehören) seinen Ursprung hat, und nennen den Namen, den Identifikationscode des Drittdienstleisters oder des Finanzunternehmens und die Art des Identifikationscodes (z. B. LEI-Code oder EUID). | Ja, wenn der Vorfall seinen Ursprung bei einem Drittdienst-leister oder einem anderen Finanzunter-nehmen hat | Ja, wenn der Vorfall seinen Ursprung bei einem Dritt-dienst-leister oder einem anderen Finanz-unterneh-men hat | Ja, wenn der Vorfall seinen Ursprung bei einem Drittdienst-leister oder einem anderen Finanzun-ternehmen hat | Alphanumerisch |
| 2.9. Aktivierung des Plans zur Aufrechter-haltung des Geschäfts-betriebs, falls aktiviert | Angabe, ob die Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs des Finanzunternehmens formal aktiviert wurden. | Ja | Ja | Ja | Boolesch (Ja oder Nein) |
| 2.10. Sonstige zweckdienliche Angaben | Alle weiteren Informationen, die nicht in der Vorlage erfasst sind. Finanzunternehmen, die einen schwerwiegenden IKT-bezogenen Vorfall in nicht schwerwiegend zurückgestuft haben, beschreiben die Gründe, aus denen der IKT-bezogene Vorfall die Kriterien für die Einstufung als schwerwiegend nicht erfüllt und voraussichtlich nicht erfüllen wird. | Ja, wenn es andere Informationen gibt, die nicht in der Vorlage erfasst sind, oder wenn der schwerwiegende IKT-bezogene Vorfall in nicht schwerwie-gend zurückgestuft wurde | Ja, wenn es andere Informationen gibt, die nicht in der Vorlage erfasst sind, oder wenn der schwer-wiegende IKT-bezogene Vorfall in nicht schwer-wiegend zurück-gestuft wurde | Ja, wenn es andere Informationen gibt, die nicht in der Vorlage erfasst sind, oder wenn der schwer-wiegende IKT-bezogene Vorfall in nicht schwer-wiegend zurück-gestuft wurde | Alphanumerisch |
| Inhalt der Zwischenmeldung | |||||
| 3.1. Von der zuständigen Behörde bereitgestellter Referenzcode für den Vorfall | Von der zuständigen Behörde zum Zeitpunkt des Eingangs der Erstmeldung zugewiesener eindeutiger Referenzcode zur eindeutigen Identifizierung des schwerwiegenden IKT-bezogenen Vorfalls. | Nein | Ja, falls zutreffend | Ja, falls zutreffend | Alphanumerisch |
| 3.2. Datum und Uhrzeit des Eintretens des Vorfalls | Datum und Uhrzeit des Eintretens des schwerwiegenden IKT-bezogenen Vorfalls, falls abweichend von dem Zeitpunkt, zu dem das Finanzunternehmen von dem schwerwiegenden IKT-bezogenen Vorfall Kenntnis erlangt hat. Bei wiederholten schwerwiegenden IKT-bezogenen Vorfällen Datum und Uhrzeit des Eintretens des letzten schwerwiegenden IKT-bezogenen Vorfalls. | Nein | Ja | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 3.3. Datum und Uhrzeit der Wiederher-stellung der Dienste, Tätigkeiten oder Vorgänge | Angaben zu Datum und Uhrzeit der Wiederherstellung der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Dienste, Tätigkeiten oder Vorgänge. | Nein | Ja, wenn Datenfeld 3.16 „Ausfall-zeiten“ ausgefüllt wurde | Ja, wenn Datenfeld 3.16 „Ausfall-zeiten“ ausgefüllt wurde | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 3.4. Anzahl der betroffenen Kunden | Anzahl der Kunden, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind und die Dienste des Finanzunternehmens in Anspruch nehmen. Bei der Ermittlung der Anzahl der betroffenen Kunden berücksichtigen Finanzunternehmen Artikel 1 Absatz 1 und Artikel 9 Absatz 1 Buchstabe b der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das die tatsächliche Anzahl der betroffenen Kunden nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Gesamtzahl der betroffenen Kunden in allen Finanzunternehmen. | Nein | Ja | Ja | Numerische ganze Zahl |
| 3.5. Prozentsatz der betroffenen Kunden | Prozentsatz der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Kunden im Verhältnis zur Gesamtzahl der Kunden, die die betroffenen Dienste des Finanzunternehmens in Anspruch nehmen. Bei mehr als einer betroffenen Dienstleistung werden die Dienstleistungen aggregiert. Finanzunternehmen berücksichtigen bei der Ermittlung der Zahlen die Artikel 1 Absatz 1 und Artikel 9 Absatz 1 Buchstabe a der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das den tatsächlichen Prozentsatz der betroffenen Kunden nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung teilt das Finanzunternehmen die Summe aller betroffenen Kunden durch die Gesamtzahl der Kunden aller betroffenen Finanzunternehmen. | Nein | Ja | Ja | Wird als Prozentwert mitgeteilt — ein Wert mit bis zu fünf numerischen Zeichen, die bis zu eine Dezimalstelle umfassen, ausgedrückt als Prozentsatz (z. B. 2,4, nicht 2,4 %). Hat der Wert mehr als eine Stelle nach dem Dezimaltrenn-zeichen, wenden die meldenden Gegenparteien die kaufmännische Rundung an. |
| 3.6. Anzahl der betroffenen Gegenparteien im Finanzbereich | Anzahl der Gegenparteien im Finanzbereich, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind und einen Vertrag mit dem Finanzunternehmen geschlossen haben. Bei der Ermittlung der Anzahl der betroffenen Gegenparteien im Finanzbereich berücksichtigen die Finanzunternehmen Artikel 1 Absatz 2 der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das die tatsächliche Anzahl der betroffenen Gegenparteien im Finanzbereich nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung die Gesamtzahl der betroffenen Gegenparteien im Finanzbereich in allen Finanzunternehmen. | Nein | Ja | Ja | Numerische ganze Zahl |
| 3.7. Prozentsatz der betroffenen Gegenparteien im Finanzbereich | Prozentsatz der Gegenparteien im Finanzbereich, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind und einen Vertrag mit dem Finanzunternehmen geschlossen haben, im Verhältnis zur Gesamtzahl der Gegenparteien im Finanzbereich. Bei der Ermittlung des Prozentsatzes der betroffenen Gegenparteien im Finanzbereich berücksichtigen die Finanzunternehmen die Artikel 1 Absatz 1 und Artikel 9 Absatz 1 Buchstabe c der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das den tatsächlichen Prozentsatz der betroffenen Gegenparteien im Finanzbereich nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung ist die Summe aller betroffenen Gegenparteien im Finanzbereich geteilt durch die Gesamtzahl der Gegenparteien im Finanzbereich aller betroffenen Finanzunternehmen anzugeben. | Nein | Ja | Ja | Wird als Prozentwert mitgeteilt — ein Wert mit bis zu fünf numerischen Zeichen, die bis zu eine Dezimalstelle umfassen, ausgedrückt als Prozentsatz (z. B. 2,4, nicht 2,4 %). Hat der Wert mehr als eine Stelle nach dem Dezimaltrenn-zeichen, wenden die meldenden Gegenparteien die kaufmännische Rundung an. |
| 3.8. Auswirkungen auf einschlägige Kunden oder Gegenparteien im Finanzbereich | Festgestellte Auswirkungen auf relevante Kunden oder Gegenparteien im Finanzbereich gemäß Artikel 1 Absatz 3 und Artikel 9 Absatz 1 Buchstabe f der Delegierten Verordnung (EU) 2024/1772. | Nein | Ja, wenn der Schwel-lenwert für „Relevanz der Kunden und der Gegen-parteien im Finanz-bereich“ erreicht ist | Ja, wenn der Schwellen-wert für „Relevanz der Kunden und der Gegenparteien im Finanz-bereich“ erreicht ist | Boolesch (Ja oder Nein) |
| 3.9. Anzahl der betroffenen Transaktionen | Anzahl der Transaktionen, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind. Bei der Bewertung der Auswirkungen auf Transaktionen berücksichtigen die Finanzunternehmen Artikel 1 Absatz 4 der Delegierten Verordnung (EU) 2024/1772; dies schließt alle betroffenen inländischen und grenzüberschreitenden Transaktionen ein, die einen Geldbetrag beinhalten, der mindestens teilweise mit einer in der Union ausgeführten Transaktion in Zusammenhang steht. Ein Finanzunternehmen, das die tatsächliche Anzahl der betroffenen Transaktionen nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung ist die Gesamtzahl der betroffenen Transaktionen in allen Finanzunternehmen anzugeben. | Nein | Ja, wenn eine Transak-tion von dem Vorfall betroffen war | Ja, wenn eine Transaktion von dem Vorfall betroffen war | Numerische ganze Zahl |
| 3.10. Prozentsatz der betroffenen Transaktionen | Prozentsatz der betroffenen Transaktionen im Verhältnis zur durchschnittlichen Anzahl inländischer und grenzüberschreitender Transaktionen des Finanzunternehmens im Zusammenhang mit der betroffenen Dienstleistung. Finanzunternehmen berücksichtigen die Artikel 1 Absatz 4 und Artikel 9 Absatz 1 Buchstabe d der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das den tatsächlichen Prozentsatz der betroffenen Transaktionen nicht bestimmen kann, verwendet Schätzungen. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung teilt das Finanzunternehmen die Summe aller betroffenen Transaktionen durch die Gesamtzahl der Transaktionen aller betroffenen Finanzunternehmen. | Nein | Ja, wenn eine Transak-tion von dem Vorfall betroffen war | Ja, wenn eine Transaktion von dem Vorfall betroffen war | Wird als Prozentwert mitgeteilt — ein Wert mit bis zu fünf numerischen Zeichen, die bis zu eine Dezimalstelle umfassen, ausgedrückt als Prozentsatz (z. B. 2,4, nicht 2,4 %). Hat der Wert mehr als eine Stelle nach dem Dezimaltrenn-zeichen, wenden die meldenden Gegenparteien die kaufmännische Rundung an. |
| 3.11. Wert der betroffenen Transaktionen | Der Gesamtwert der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Transaktionen wird gemäß Artikel 1 Absatz 4 und Artikel 9 Absatz 1 Buchstabe e der Delegierten Verordnung (EU) 2024/1772 ermittelt. Ein Finanzunternehmen, das den tatsächlichen Wert der betroffenen Transaktionen nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Ein Finanzunternehmen hat den Geldbetrag als positiven Wert auszuweisen. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung der Gesamtwert der betroffenen Transaktionen in allen Finanzunternehmen. | Nein | Ja, wenn Transaktionen von dem Vorfall betroffen waren | Ja, wenn eine Transaktion von dem Vorfall betroffen war | Monetär Finanzunternehmen weisen den Datenpunkt mit einer Mindestpräzision aus, die tausend Einheiten entspricht (z. B. 2,5, nicht 2 500 EUR). |
| 3.12. Angaben dazu, ob es sich um tatsächliche Zahlen oder Schätzungen handelt oder ob es keine Auswirkungen gegeben hat | Angaben dazu, ob es sich bei den in den Datenfeldern 3.4 bis 3.11 ausgewiesenen Werten um tatsächliche Werte oder Schätzungen handelt oder ob es keine Auswirkungen gegeben hat. | Nein | Ja | Ja | Auswahl (Mehrfachauswahl): — Tatsächliche Zahlen zu den betroffenen Kunden; — tatsächliche Zahlen zu den betroffenen Gegenparteien im Finanzbereich; — tatsächliche Zahlen zu den betroffenen Transaktionen; — Schätzungen zu den betroffenen Kunden; — Schätzungen zu den betroffenen Gegenparteien im Finanzbereich; — Schätzungen zu den betroffenen Transaktionen; — keine Auswirkungen auf Kunden; — keine Auswirkungen auf Gegenparteien im Finanzbereich; — keine Auswirkungen auf Transaktionen. |
| 3.13. Reputations- schaden | Angaben zum Reputationsschaden infolge des schwerwiegenden IKT-bezogenen Vorfalls im Sinne der Artikel 2 und 10 der Delegierten Verordnung (EU) 2024/1772. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Kategorien von Reputationsschaden, die auf mindestens ein Finanzunternehmen zutreffen. | Nein | Ja, wenn das Kriterium „Reputa-tions-schaden“ erfüllt ist | Ja, wenn das Kriterium „Reputa-tions-schaden“ erfüllt ist | Auswahl (Mehrfachauswahl): — Über den schwerwie-genden IKT-bezogenen Vorfall wurde in den Medien berichtet; — der schwerwie-gende IKT-bezogene Vorfall hat zu wiederholten Beschwerden verschiedener Kunden oder Gegenparteien im Finanzbereich über kunden-orientierte Dienstleistun-gen oder kritische Geschäfts-beziehungen geführt; — das Finanzunter-nehmen wird aufgrund des schwerwie-genden IKT-bezogenen Vorfalls nicht oder wahrscheinlich nicht in der Lage sein, regulatorische Anforderungen zu erfüllen; — das Finanzunter-nehmen wird infolge des schwerwiegenden IKT-bezogenen Vorfalls Kunden oder Gegenparteien im Finanzbereich verlieren oder wahrscheinlich verlieren, was wesentliche Auswirkungen auf seine Geschäfts-tätigkeit haben wird. |
| 3.14. Kontextbezo-gene Angaben zum Reputations-schaden | Angaben dazu, wie der schwerwiegende IKT-bezogene Vorfall die Reputation des Finanzunternehmens beeinträchtigt hat oder beeinträchtigen könnte, einschließlich Verstößen gegen Rechtsvorschriften, nicht erfüllter regulatorischer Anforderungen, Anzahl der Kundenbeschwerden usw. Die kontextbezogenen Angaben umfassen die Art der Medien (z. B. traditionelle und digitale Medien, Blogs, Streaming-Plattformen) und die Medienberichterstattung, einschließlich der Reichweite der Medien (lokal, national, international). Die Medienberichterstattung bezieht sich in diesem Zusammenhang nicht auf vereinzelte negative Kommentare von Followern oder Nutzern sozialer Netzwerke. Das Finanzunternehmen gibt auch an, ob die Medienberichterstattung erhebliche Risiken für seine Kunden im Zusammenhang mit dem schwerwiegenden IKT-bezogenen Vorfall aufgezeigt hat, einschließlich des Risikos der Insolvenz des Finanzunternehmens oder des Risikos, Mittel zu verlieren. Die Finanzunternehmen geben auch an, ob sie den Medien Informationen zur Verfügung gestellt haben, die dazu dienten, die Öffentlichkeit zuverlässig über den schwerwiegenden IKT-bezogenen Vorfall und seine Folgen zu informieren. Die Finanzunternehmen können auch angeben, ob in den Medien im Zusammenhang mit dem IKT-bezogenen Vorfall Falschinformationen verbreitet wurden, worunter auch solche fallen, die sich auf vorsätzlich vom Angreifer verbreitete Falschinformationen stützen, oder die mutwillige Veränderung der Website des Finanzunternehmens betreffen oder zum Ausdruck bringen. | Nein | Ja, wenn das Kriterium „Reputa-tions-schaden“ erfüllt ist | Ja, wenn das Kriterium „Reputa-tions-schaden“ erfüllt ist | Alphanumerisch |
| 3.15. Dauer des Vorfalls | Finanzunternehmen bestimmen die Dauer des schwerwiegenden IKT-bezogenen Vorfalls vom Zeitpunkt des Eintretens des schwerwiegenden IKT-bezogenen Vorfalls bis zu dem Zeitpunkt, zu dem der Vorfall behoben wurde. Finanzunternehmen, die nicht in der Lage sind, den Zeitpunkt zu bestimmen, zu dem der schwerwiegende IKT-bezogene Vorfall eingetreten ist, bestimmen die Dauer des schwerwiegenden IKT-bezogenen Vorfalls ab dem Zeitpunkt, zu dem das Finanzunternehmen den Vorfall festgestellt hat, bis zu dem Zeitpunkt, zu dem das Finanzunternehmen den Vorfall in Netzwerk- oder Systemprotokollen oder anderen Datenquellen aufgezeichnet hat, je nachdem, welcher Zeitpunkt zuerst eintritt. Finanzunternehmen, die den Zeitpunkt der Behebung des schwerwiegenden IKT-bezogenen Vorfalls noch nicht kennen, verwenden Schätzungen. Der Wert ist in Tagen, Stunden und Minuten anzugeben. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung bestimmen Finanzunternehmen bei Unterschieden zwischen den Finanzunternehmen die längste Dauer des schwerwiegenden IKT-bezogenen Vorfalls. | Nein | Ja | Ja | TT:HH:MM |
| 3.16. Ausfallzeiten | Ausfallzeiten, gemessen ab dem Zeitpunkt, zu dem der Dienst für Kunden, Gegenparteien im Finanzbereich oder andere interne oder externe Nutzer vollständig oder teilweise nicht mehr verfügbar ist, bis zu dem Zeitpunkt, zu dem die regulären Tätigkeiten oder Vorgänge in dem vor dem schwerwiegenden IKT-bezogenen Vorfall herrschenden Umfang wiederhergestellt sind. Führen die Ausfallzeiten nach der Wiederherstellung der regulären Tätigkeiten oder Vorgänge zu einer Verzögerung bei der Bereitstellung von Dienstleistungen, so messen die Finanzunternehmen die Ausfallzeiten vom Beginn des schwerwiegenden IKT-bezogenen Vorfalls bis zu dem Zeitpunkt, zu dem die verzögerte Dienstleistung erbracht ist. Finanzunternehmen, die den Beginn der Ausfallzeiten nicht bestimmen können, messen die Dauer der Ausfallzeiten ab dem Zeitpunkt der Feststellung des Vorfalls bis zu dem Zeitpunkt, zu dem sie aufgezeichnet wurde, je nachdem, welcher Zeitpunkt zuerst eintritt. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung bestimmen Finanzunternehmen bei Unterschieden zwischen den Finanzunternehmen die längste Dauer der Ausfallzeiten. | Nein | Ja, wenn der Vorfall zu Ausfall-zeiten geführt hat | Ja, wenn der Vorfall zu Ausfall-zeiten geführt hat | TT:HH:MM |
| 3.17. Angaben dazu, ob es sich bei der Dauer und den Ausfallzeiten um tatsächliche Zahlen oder Schätzungen handelt | Angaben dazu, ob es sich bei den in den Datenfeldern 3.15 und 3.16 ausgewiesenen Werten um tatsächliche Werte oder Schätzungen handelt. | Nein | Ja, wenn das Kriterium „Dauer und Ausfall-zeiten“ erfüllt ist | Ja, wenn das Kriterium „Dauer und Ausfall-zeiten“ erfüllt ist | Auswahl: — Tatsächliche Zahlen; — Schätzungen; — tatsächliche Zahlen und Schätzungen; — keine Informationen verfügbar. |
| 3.18. Arten von Auswirkungen in den Mitgliedstaaten | Art der Auswirkung in den jeweiligen EWR-Mitgliedstaaten. Angabe, ob der schwerwiegende IKT-bezogene Vorfall Auswirkungen in anderen EWR-Mitgliedstaaten (ausgenommen der Mitgliedstaat der zuständigen Behörde, der der Vorfall direkt gemeldet wird) gemäß Artikel 4 der Delegierten Verordnung (EU) 2024/1772 hat und insbesondere im Hinblick auf die Bedeutung der Auswirkungen in Bezug auf: a) betroffene Kunden und Gegenparteien im Finanzbereich in anderen Mitgliedstaaten oder b) Zweigniederlassungen oder andere Finanzunternehmen innerhalb der Gruppe, die in anderen Mitgliedstaaten tätig sind, oder c) Finanzmarktinfrastrukturen oder Drittdienstleister mit möglichen Auswirkungen auf Finanzunternehmen in anderen Mitgliedstaaten, für die sie Dienstleistungen erbringen, soweit diese Informationen verfügbar sind. | Nein | Ja, wenn der Schwel-lenwert für „Geogra-fische Ausbrei-tung“ erreicht ist | Ja, wenn der Schwellen-wert für „Geogra-fische Ausbreitung“ erreicht ist | Auswahl (Mehrfachauswahl): — Kunden; — Gegenparteien im Finanzbereich; — Zweigniederlassung des Finanzunternehmens; — Finanzunternehmen innerhalb der Gruppe, die in dem betreffenden Mitgliedstaat tätig sind; — Finanzmarktinfra-struktur; — Drittdienstleister, die möglicherweise auch von anderen Finanzunternehmen in Anspruch genommen werden. |
| 3.19. Beschreibung der Auswirkungen des Vorfalls in anderen Mitgliedstaaten | Beschreibung der Auswirkungen und Schwere des schwerwiegenden IKT-bezogenen Vorfalls in jedem betroffenen Mitgliedstaat, einschließlich einer Bewertung der Auswirkungen und Schwere in Bezug auf: a) Kunden; b) Gegenparteien im Finanzbereich; c) Zweigniederlassungen des Finanzunternehmens; d) Andere Finanzunternehmen innerhalb der Gruppe, die in anderen Mitgliedstaaten tätig sind; e) Finanzmarktinfrastrukturen; f) Drittdienstleister, die möglicherweise auch von anderen Finanzunternehmen in anderen Mitgliedstaaten in Anspruch genommen werden. | Nein | Ja, wenn der Schwel-lenwert für „Geogra-fische Ausbrei-tung“ erreicht ist | Ja, wenn der Schwellen-wert für „Geogra-fische Ausbrei-tung“ erreicht ist | Alphanumerisch |
| 3.20. Wesentlich- keitsschwellen für das Einstufungs-kriterium „Datenverluste“ | Art der mit dem schwerwiegenden IKT-bezogenen Vorfall verbundenen Verfügbarkeits-, Authentizitäts-, Integritäts- und Vertraulichkeitsverluste von Daten. Finanzunternehmen berücksichtigen bei ihrer Bewertung die Artikel 5 und 13 der Delegierten Verordnung (EU) 2024/1772. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Datenverluste, die mindestens ein Finanzunternehmen betreffen. | Nein | Ja, wenn das Kriterium „Daten-verluste“ erfüllt ist | Ja, wenn das Kriterium „Daten-verluste“ erfüllt ist | Auswahl (Mehrfachauswahl): — Verfügbarkeit; — Authentizität; — Integrität; — Vertraulichkeit. |
| 3.21. Beschreibung der Datenverluste | Beschreibung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit kritischer Daten gemäß den Artikeln 5 und 13 der Delegierten Verordnung (EU) 2024/1772. Angaben zu den Auswirkungen auf die Umsetzung der Geschäftsziele des Finanzunternehmens oder auf die Erfüllung regulatorischer Anforderungen. Als Teil der bereitgestellten Informationen geben Finanzunternehmen an, ob es sich bei den betroffenen Daten um Kundendaten, Daten anderer Unternehmen (z. B. Gegenparteien im Finanzbereich) oder um Daten des Finanzunternehmens selbst handelt. Das Finanzunternehmen kann auch die Art der von dem Vorfall betroffenen Daten angeben, insbesondere, ob die Daten vertraulich sind und um welche Art von Vertraulichkeit es sich handelt (z. B. Geschäftsgeheimnisse, personenbezogene Daten, Berufsgeheimnis wie etwa Bankgeheimnis, Versicherungsgeheimnis, Zahlungsdienstegeheimnis usw.). Die Informationen können auch mögliche Risiken im Zusammenhang mit den Datenverlusten umfassen, z. B. ob die von dem Vorfall betroffenen Daten zur Identifizierung einzelner Personen verwendet werden können und von dem Angreifer genutzt werden könnten, um Kredite oder Darlehen ohne die Zustimmung dieser Personen zu erhalten, Spear-Phishing-Angriffe durchzuführen oder Informationen öffentlich preiszugeben. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung eine allgemeine Beschreibung der Auswirkungen des Vorfalls auf die betroffenen Finanzunternehmen. Gibt es Unterschiede bei den Auswirkungen, so sind in der Beschreibung der Auswirkungen die spezifischen Auswirkungen auf die verschiedenen Finanzunternehmen eindeutig anzugeben. | Nein | Ja, wenn das Kriterium „Daten-verluste“ erfüllt ist | Ja, wenn das Kriterium „Daten-verluste“ erfüllt ist | Alphanumerisch |
| 3.22. Einstufungs- kriterium „Betroffene kritische Dienstleistun-gen“ | Angaben beim Kriterium „Betroffene kritische Dienstleistungen“. Finanzunternehmen berücksichtigen bei ihrer Bewertung Artikel 6 der Delegierten Verordnung (EU) 2024/1772, einschließlich Informationen über — die betroffenen Dienstleistungen oder Tätigkeiten, die einer Zulassung oder Registrierung bedürfen oder von den zuständigen Behörden beaufsichtigt werden, oder — die IKT-Dienste oder Netzwerk- und Informationssysteme, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen, und — die Art des böswilligen und unbefugten Zugriffs auf die Netzwerk- und Informationssysteme des Finanzunternehmens. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Auswirkungen auf kritische Dienstleistungen, die auf mindestens ein Finanzunternehmen zutreffen. | Nein | Ja | Ja | Alphanumerisch |
| 3.23. Art des Vorfalls | Einstufung der Vorfälle nach Art. | Nein | Ja | Ja | Auswahl (Mehrfachauswahl): — Cybersicherheits-bezogen; — Prozessversagen; — Systemversagen; — Externes Ereignis; — Zahlungsbezogen; — Sonstiges (bitte angeben). |
| 3.24. Andere Arten von Vorfällen | Andere Arten von IKT-bezogenen Vorfällen: Finanzunternehmen, die im Datenfeld 3.23 „Sonstiges“ als Art des Vorfalls ausgewählt haben, geben die Art des IKT-bezogenen Vorfalls an. | Nein | Ja, wenn in Datenfeld 3.23 „Sonsti-ges“ als Art des Vorfalls ausge-wählt wurde | Ja, wenn in Datenfeld 3.23 „Sonstiges“ als Art des Vorfalls ausgewählt wurde | Alphanumerisch |
| 3.25. Bedrohungen und Techniken des Angreifers | Geben Sie die Bedrohungen und Techniken an, die der Angreifer einsetzt, wie zum Beispiel: a) Social Engineering, einschließlich Phishing; b) (D)DoS; c) Identitätsdiebstahl; d) Datenverschlüsselung mit weitergehenden Folgen, einschließlich Ransomware; e) Kaperung von Ressourcen; f) Datenexfiltration und -manipulation, ausgenommen Identitätsdiebstahl; g) Datenvernichtung; h) mutwillige Veränderung (Defacement); i) Lieferkettenangriff; j) Sonstiges (bitte angeben). | Nein | Ja, wenn als Art des IKT-bezogenen Vorfalls in Feld 3.23 „Cyber-sicher-heitsbezo-gen“ ausge-wählt wurde | Ja, wenn als Art des IKT-bezogenen Vorfalls in Feld 3.23 „Cyber-sicherheits-bezogen“ ausgewählt wurde | Auswahl (Mehrfachauswahl): — Social Engineering (einschließlich Phishing); — (D)DoS; — Identitätsdiebstahl; — Datenverschlüsse-lung mit weitergehenden Folgen, einschließlich Ransomware; — Kaperung von Ressourcen; — Datenexfiltration und -manipulation, einschließlich Identitätsdiebstahl; — Datenvernichtung; — mutwillige Veränderung (Defacement); — Lieferkettenangriff; — Sonstiges (bitte angeben). |
| 3.26. Andere Arten von Techniken | Andere Arten von Techniken Finanzunternehmen, die im Datenfeld 3.25 „Sonstiges“ als Art der Technik ausgewählt haben, geben die Art der Technik an. | Nein | Ja, wenn in Datenfeld 3.25 „Sonstiges“ als Art der Technik ausge-wählt wurde | Ja, wenn in Datenfeld 3.25 „Sonstiges“ als Art der Technik ausgewählt wurde | Alphanumerisch |
| 3.27. Angaben zu betroffenen Funktions-bereichen und Geschäfts-prozessen | Angabe der Funktionsbereiche und Geschäftsprozesse, die von dem Vorfall betroffen sind, einschließlich Produkten und Dienstleistungen. Die Funktionsbereiche umfassen unter anderem: a) Marketing und Geschäftsentwicklung; b) Kundenservice; c) Produktmanagement; d) Rechtskonformität; e) Risikomanagement; f) Finanz- und Rechnungswesen; g) Personal und allgemeine Dienstleistungen; h) Informationstechnologie. Die Geschäftsprozesse umfassen unter anderem: — Kontoinformationen; — Dienstleistungen im Bereich Versicherungsmathematik; — Annahme und Abrechnung („Acquiring“) von Zahlungsvorgängen; — Authentifizierung/Autorisierung; — Verfasser; — Kunden-Onboarding; — Benefit-Management; — Management von Benefit-Zahlungen; — Kauf und Verkauf von Pauschalversicherungen zwischen Versicherungen; — Kartenzahlungen; — Liquiditätsmanagement; — Platzierung oder Entnahme von Bargeld; — Management von Versicherungsansprüchen; — Schadenregulierung; — Clearing; — Unternehmenskreditkonglomerate; — Kollektivversicherungen; — Überweisungen; — Verwahrung von Vermögenswerten; — Kunden-Onboarding; — Datenaufnahme; — Datenverarbeitung; — Lastschriften; — Ausfuhrversicherungen; — Finalisierung von Geschäften/Abschlüssen; — Platzierung von Finanzinstrumenten; — Fondsbuchhaltung; — Devisen; — Anlageberatung; — Anlageverwaltung; — Emission von Zahlungsinstrumenten; — Kreditmanagement; — Zahlungsverfahren für Lebensversicherungen; — Finanztransfer; — Berechnung des Nettovermögens; — Order; — Zahlungsauslösung; — Abschluss von Versicherungen; — Portfolioverwaltung; — Prämieneinzug; — Empfang/Übermittlung/Ausführung; — Rückversicherung; — Abwicklung; — Transaktionsüberwachung. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung die betroffenen Funktionsbereiche und Geschäftsprozesse bei mindestens einem Finanzunternehmen. | Nein | Ja | Ja | Alphanumerisch |
| 3.28. Betroffene Infrastruktur-komponenten, die Geschäftspro-zesse unterstützen | Angaben dazu, ob Infrastrukturkomponenten (Server, Betriebssysteme, Software, Anwendungsserver, Middleware, Netzwerkkomponenten usw.), die Geschäftsprozesse unterstützen, von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind. | Nein | Ja | Ja | Auswahl: — Ja; — Nein; — keine Informationen verfügbar. |
| 3.29. Angaben zu betroffenen Infrastruktur-komponenten, die Geschäfts-prozesse unterstützen | Beschreibung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf Infrastrukturkomponenten, die Geschäftsprozesse unterstützen, einschließlich Hardware und Software. Hardware umfasst Server, Computer, Rechenzentren, Switches, Router und Hubs. Software umfasst Betriebssysteme, Anwendungen, Datenbanken, Sicherheitstools und Netzwerkkomponenten. Bei „Sonstiges“ bitte Angaben machen. In den Beschreibungen sind die betroffenen Infrastrukturkomponenten oder -systeme zu beschreiben oder zu benennen und, soweit verfügbar, folgende Angaben zu machen: a) Versionsinformationen; b) Interne Infrastruktur/Teilweise ausgelagert/Vollständig ausgelagert — Name des Drittdienstleisters; c) Ob die Infrastruktur von mehreren Geschäftsfunktionen separat/gemeinsam genutzt wird; d) Ob einschlägige Regelungen zur Resilienz/Kontinuität/Wiederherstellung/Substituierbarkeit getroffen wurden. | Nein | Ja, wenn der Vorfall Infra-struktur-komponenten beein-trächtigt hat, die Geschäfts-prozesse unter-stützen | Ja, wenn der Vorfall Infra-struktur-kompo-nenten beeinträch-tigt hat, die Geschäfts-prozesse unterstützen | Alphanumerisch |
| 3.30. Auswirkungen auf die finanziellen Interessen von Kunden | Angaben dazu, ob sich der schwerwiegende IKT-bezogene Vorfall auf die finanziellen Interessen der Kunden ausgewirkt hat. | Nein | Ja | Ja | Auswahl: — Ja; — Nein; — keine Informationen verfügbar. |
| 3.31. Meldung an andere Behörden | Angabe, welche Behörden über den schwerwiegenden IKT-bezogenen Vorfall informiert wurden. Unter Berücksichtigung der Unterschiede, die sich aus den nationalen Rechtsvorschriften der Mitgliedstaaten ergeben, ist der Begriff der Strafverfolgungsbehörde von den Finanzunternehmen im weitesten Sinne so zu verstehen, dass er Behörden umfasst, die zur Verfolgung von Cyberkriminalität befugt sind, einschließlich Polizei, Organe zur Aufrechterhaltung der öffentlichen Ordnung und Staatsanwaltschaften. | Nein | Ja | Ja | Auswahl (Mehrfachauswahl): — Polizei/Straf-verfolgung; — CSIRT; — Datenschutz-behörde; — nationale Agentur für Cyber-sicherheit; — keine; — andere (bitte angeben). |
| 3.32. Angabe der „anderen“ Behörden | Angabe, welche „anderen“ Behörden über den schwerwiegenden IKT-bezogenen Vorfall informiert wurden. Falls in Datenfeld 3.31 „Andere“ ausgewählt wurde: In die Beschreibung sind nähere Informationen über die Behörde, der das Finanzunternehmen Informationen über den schwerwiegenden IKT-bezogenen Vorfall übermittelt hat, aufzunehmen. | Nein | Ja, wenn das Finanz-unterneh-men „andere“ Behörden über den schwer-wiegenden IKT-bezogenen Vorfall informiert hat | Ja, wenn das Finanzun-ternehmen „andere“ Behörden über den schwer-wiegenden IKT-bezogenen Vorfall informiert hat | Alphanumerisch |
| 3.33. Ergriffene oder geplante befristete Maßnahmen zur Wiederher-stellung nach dem Vorfall | Angabe, ob das Finanzunternehmen befristete Maßnahmen umgesetzt hat (oder dies plant), die ergriffen wurden (oder geplant sind), um den normalen Geschäftsbetrieb nach dem schwerwiegenden IKT-bezogenen Vorfall wiederherzustellen. | Nein | Ja | Ja | Boolesch (Ja oder Nein) |
| 3.34. Beschreibung etwaiger ergriffener oder geplanter befristeter Maßnahmen zur Wiederher-stellung nach dem Vorfall | Es ist zu beschreiben, welche Sofortmaßnahmen ergriffen wurden, einschließlich der Isolierung des Vorfalls auf Netzwerkebene, der Aktivierung von Workaround-Verfahren, der Sperrung von USB-Ports, der Aktivierung der Site für die Wiederherstellung im Notfall und anderer vorübergehend eingerichteter zusätzlicher Sicherheitsmechanismen. Finanzunternehmen geben das Datum und die Uhrzeit der Umsetzung der befristeten Maßnahmen sowie den voraussichtlichen Zeitpunkt der Rückkehr zur primären Site an. Bei befristeten Maßnahmen, die nicht umgesetzt wurden, aber noch geplant sind, ist das Datum anzugeben, bis zu dem sie voraussichtlich umgesetzt werden. Falls keine befristeten Maßnahmen ergriffen wurden, bitte den Grund angeben. | Nein | Ja, wenn befristete Maß-nahmen ergriffen wurden oder geplant sind (Daten-feld 3.33) | Ja, wenn befristete Maßnahmen ergriffen wurden oder geplant sind (Daten-feld 3.33) | Alphanumerisch |
| 3.35. Kompromittie- rungsindika-toren | Gegebenenfalls Informationen im Zusammenhang mit dem schwerwiegenden IKT-bezogenen Vorfall, die dazu beitragen können, böswillige Aktivitäten innerhalb eines Netzwerks oder Informationssystems zu erkennen (Kompromittierungsindikatoren). Das Feld betrifft nur Finanzunternehmen, die in den Anwendungsbereich der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates (1) fallen, und Finanzunternehmen, die gegebenenfalls gemäß den nationalen Vorschriften zur Umsetzung des Artikels 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Unternehmen ermittelt wurden. Die von dem Finanzunternehmen bereitgestellten Kompromittierungsindikatoren enthalten die folgenden Datenkategorien: a) IP-Adressen; b) URL-Adressen; c) Domains; d) Datei-Hashes; e) Daten zu Schadsoftware (Name der Schadsoftware, Dateinamen und ihre Speicherorte, spezifische Registrierungsschlüssel im Zusammenhang mit Schadsoftware-Aktivitäten); f) Daten zu Netzaktivitäten (Ports, Protokolle, Adressen, Referrer, User Agents, Header, spezifische Protokolle oder auffällige Muster im Netzwerkverkehr); g) Daten zu E-Mail-Nachrichten (Absender, Empfänger, Betreff, Header, Inhalt); h) DNS-Anfragen und Registrierungskonfigurationen; i) Nutzerkontoaktivitäten (Anmeldungen, Kontoaktivitäten privilegierter Nutzer, Rechteausweitung); j) Datenbankverkehr (Lesen/Schreiben), Anfragen für dieselbe Datei. Diese Art von Informationen kann in der Praxis Daten umfassen, die sich unter anderem auf Indikatoren, die Muster im Netzwerkverkehr im Zusammenhang mit bekannten Angriffen/Botnetkommunikation beschreiben, IP-Adressen von mit Schadsoftware infizierten Rechnern (Bots), Daten über von Schadsoftware genutzte „Command and Control“-Server (in der Regel Domains oder IP-Adressen) und URLs in Bezug auf Phishing-Websites oder Websites, bei denen beobachtet wurde, dass sie für das Hosting von Schadsoftware oder Exploit Kits genutzt werden, beziehen. | Nein | Ja, wenn „Cyber-sicher-heitsbe-zogen“ als Art des Vorfalls in Datenfeld 3.23 ausge-wählt wurde | Ja, wenn „Cyber-sicherheits-bezogen“ als Art des Vorfalls in Daten-feld 3.23 ausgewählt wurde | Alphanumerisch |
| Inhalt der Abschlussmeldung | |||||
| 4.1. Übergeordnete Einstufung der Ursachen des Vorfalls | Übergeordnete Einstufung der Ursache des schwerwiegenden IKT-bezogenen Vorfalls bei den Arten von Vorfällen, einschließlich der folgenden übergeordneten Kategorien: a) Böswillige Handlungen; b) Prozessversagen; c) Systemversagen/-störung; d) menschliches Versagen; e) externes Ereignis. | Nein | Nein | Ja | Auswahl (Mehrfachauswahl): — Böswillige Handlungen; — Prozess-versagen; — System-versagen/-störung; — menschliches Versagen; — externes Ereignis. |
| 4.2. Detaillierte Einstufung der Ursachen des Vorfalls | Detaillierte Einstufung der Ursachen des schwerwiegenden IKT-bezogenen Vorfalls bei den Arten von Vorfällen, einschließlich der folgenden detaillierten Kategorien im Zusammenhang mit den in Datenfeld 4.1 ausgewiesenen übergeordneten Kategorien: 1. Böswillige Handlungen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Vorsätzliche interne Handlungen; b) vorsätzliche physische Schäden/Manipulation/Diebstahl; c) betrügerische Handlungen. 2. Prozessversagen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Unzureichende Überwachung oder mangelhafte Überwachung und Kontrolle; b) unzureichende/unklare Rollen und Zuständigkeiten; c) Versagen des IKT-Risikomanagementprozesses; d) unzureichende oder nicht funktionierende IKT-Abläufe und IKT-Sicherheitsabläufe; e) unzureichendes oder nicht funktionierendes IKT-Projektmanagement; f) unzureichende interne Richtlinien, Verfahren und Dokumentation; g) unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; h) Sonstiges (bitte angeben). 3. Systemversagen/-störung (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Hardwarekapazität und -leistung: schwerwiegende IKT-bezogene Vorfälle, die durch Hardwareressourcen verursacht werden, die sich in Bezug auf Kapazität oder Leistung als unzureichend erweisen, um die geltenden rechtlichen Anforderungen zu erfüllen; b) Wartung der Hardware: schwerwiegende IKT-bezogene Vorfälle infolge unangemessener oder unzureichender Wartung von Hardwarekomponenten (ausgenommen „Veralterung/Alterung der Hardware“); c) Veralterung/Alterung der Hardware: Diese Ursache betrifft schwerwiegende IKT-bezogene Vorfälle aufgrund veralteter oder alternder Hardwarekomponenten; d) Softwarekompatibilität/-konfiguration: schwerwiegende IKT-bezogene Vorfälle, die durch Softwarekomponenten verursacht werden, die mit anderen Software- oder Systemkonfigurationen nicht kompatibel sind, einschließlich schwerwiegender IKT-bezogener Vorfälle aufgrund von Softwarekonflikten, fehlerhaften Einstellungen oder falsch konfigurierten Parametern, die sich auf die Gesamtfunktionalität des Systems auswirken; e) Softwareleistung: schwerwiegende IKT-bezogene Vorfälle infolge von Softwarekomponenten, die aus anderen als den unter „Softwarekompatibilität/-konfiguration“ genannten Gründen eine schlechte Leistung oder Ineffizienz aufweisen, einschließlich schwerwiegender IKT-bezogener Vorfälle, die durch langsame Reaktionszeiten, übermäßigen Ressourcenverbrauch oder ineffiziente Abfragen, die sich auf die Leistung der Software oder des Systems auswirken, verursacht werden; f) Netzwerkkonfiguration: schwerwiegende IKT-bezogene Vorfälle, die auf fehlerhafte oder falsch konfigurierte Netzwerkeinstellungen oder -infrastruktur zurückzuführen sind, einschließlich schwerwiegender IKT-bezogener Vorfälle aufgrund von Netzwerkkonfigurationsfehlern, Routingproblemen, Fehlkonfigurationen der Firewall oder anderen netzwerkbezogenen Problemen, die die Konnektivität oder die Kommunikation beeinträchtigen; g) physische Schäden: schwerwiegende IKT-bezogene Vorfälle, die durch physische Schäden an der IKT-Infrastruktur verursacht werden, die zu Systemversagen führen; h) Sonstiges (bitte angeben). 4. Menschliches Versagen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Unterlassung (unbeabsichtigt); b) Irrtum; c) Fähigkeiten und Kenntnisse: schwerwiegende IKT-bezogene Vorfälle, die durch mangelndes Fachwissen oder mangelnde Kompetenz im Umgang mit IKT-Systemen oder -Prozessen verursacht werden, was auf unzureichende Ausbildung, unzureichendes Wissen oder Qualifikationsdefizite im Hinblick auf die durchzuführenden Aufgaben oder die Bewältigung technischer Herausforderungen zurückzuführen sein kann; d) unzureichende personelle Ausstattung: schwerwiegende IKT-bezogene Vorfälle, die durch einen Mangel an erforderlichen Ressourcen, einschließlich Hardware, Software, Infrastruktur oder Personal, verursacht werden, einschließlich Situationen, in denen unzureichende Ressourcen zu operativen Ineffizienzen, Systemversagen oder der Unfähigkeit der Unternehmen, die geschäftlichen Anforderungen zu erfüllen, führen; e) Fehlkommunikation; f) Sonstiges (bitte angeben). 5. Externes Ereignis (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Naturkatastrophen/höhere Gewalt; b) Ausfälle bei Dritten; c) Sonstiges (bitte angeben). Finanzunternehmen achten darauf, dass bei wiederholten schwerwiegenden IKT-bezogenen Vorfällen die spezifische offensichtliche Ursache des Sicherheitsvorfalls und nicht die in diesem Feld enthaltenen allgemeinen Kategorien berücksichtigt werden. | Nein | Nein | Ja | Auswahl (Mehrfachauswahl): — Böswillige Handlungen: Vorsätzliche interne Handlungen; — böswillige Handlungen: Vorsätzliche physische Schäden/Manipulation/ Diebstahl; — böswillige Handlungen: Betrügerische Handlungen; — Prozess-versagen: Unzureichende Überwachung oder mangelhafte Überwachung und Kontrolle; — Prozess-versagen: Unzureichende/unklare Rollen und Zuständig-keiten; — Prozess-versagen: Versagen des IKT-Risiko-management-prozesses; — Prozess-versagen: Unzureichende oder nicht funktionie-rende IKT-Abläufe und IKT-Sicherheits-abläufe; — Prozess-versagen: Unzureichen-des oder nicht funktionie-rendes IKT-Projekt-management; — Prozess-versagen: Unzureichende interne Richtlinien, Verfahren und Dokumentation; — Prozess-versagen: Unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; — Prozess-versagen: Sonstiges (bitte angeben); — System-versagen: Hardware-kapazität und -leistung; — System-versagen: Wartung der Hardware; — System-versagen: Veralterung/ Alterung der Hardware; — System-versagen: Software-kompatibilität/-konfiguration; — System-versagen: Software-leistung; — System-versagen: Netzwerk-konfiguration; — System-versagen: Physische Schäden; — System-versagen: Sonstiges (bitte angeben); — menschliches Versagen: Unterlassung; — menschliches Versagen: Irrtum; — menschliches Versagen: Fähigkeiten und Kenntnisse; — menschliches Versagen: Unzureichende personelle Ausstattung; — menschliches Versagen: Fehlkommu-nikation; — menschliches Versagen: Sonstiges (bitte angeben); — externes Ereignis: Naturkatastro-phen/höhere Gewalt; — externes Ereignis: Ausfälle bei Dritten; — externes Ereignis: Sonstiges (bitte angeben). |
| 4.3. Weitergehende Einstufung der Ursachen des Vorfalls | Weitergehende Einstufung der Ursachen des schwerwiegenden IKT-bezogenen Vorfalls bei der Art des Vorfalls, einschließlich der folgenden weitergehenden Einstufungskategorien im Zusammenhang mit den in Datenfeld 4.2 ausgewiesenen detaillierten Kategorien Das Feld ist bei der Abschlussmeldung ein Pflichtfeld, wenn bestimmte Kategorien, die weiter ausgeführt werden müssen, in Datenfeld 4.2 angegeben werden. 2(a) Unzureichende oder mangelhafte Überwachung und Kontrolle: a) Überwachung der Einhaltung von Richtlinien; b) Überwachung von Drittdienstleistern; c) Überwachung und Überprüfung der Behebung von Schwachstellen; d) Identitäts- und Zugangsmanagement; e) Verschlüsselung und Kryptografie; f) Protokollierung. 2(c) Versagen des IKT-Risikomanagementprozesses: a) Versäumnis, genaue Risikotoleranzen festzulegen; b) unzureichende Bewertungen von Bedrohungen und Schwachstellen; c) unzureichende Maßnahmen für die Risikobehandlung; d) Unzureichendes Management der IKT-Restrisiken. 2(d) Unzureichende oder nicht funktionierende IKT-Abläufe und IKT-Sicherheitsabläufe: a) Schwachstellen- und Patch-Management; b) Änderungsmanagement; c) Kapazitäts- und Leistungsmanagement; d) Management von IKT-Assets und Informationsklassifizierung; e) Sicherung und Wiederherstellung; f) Fehlerbehandlung. 2(g) Unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen: a) Unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; b) unzureichende Software-Tests oder Versagen von Software-Tests. | Nein | Nein | Ja | Auswahl (Mehrfachauswahl): — Überwachung der Einhaltung von Richtlinien; — Überwachung von Drittdienst-leistern; — Überwachung und Überprüfung der Behebung von Schwachstellen; — Identitäts- und Zugangs-management; — Verschlüsselung und Kryptografie; — Protokollierung; — Versäumnis, genaue Risikotole-ranzen festzulegen; — unzureichende Bewertungen von Bedrohungen und Schwachstellen; — unzureichende Maßnahmen für die Risiko-behandlung; — unzureichendes Management der IKT-Restrisiken; — Schwachstellen- und Patch-Management; — Änderungs-management; — Kapazitäts- und Leistungs-management; — Management von IKT-Assets und Informations-klassifizierung; — Sicherung und Wiederher-stellung; — Fehler-behandlung; — unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; — unzureichende Software-Tests oder Versagen von Software-Tests. |
| 4.4. Andere Arten von Ursachen | Finanzunternehmen, die in Datenfeld 4.2 „Sonstiges“ als Art der Ursache ausgewählt haben, geben die anderen Arten von Ursachen an. | Nein | Nein | Ja, wenn in Datenfeld 4.2 „Sonstiges“ als Art der Ursache ausgewählt wurde. | Alphanumerisch |
| 4.5. Angaben zu den Ursachen des Vorfalls | Beschreibung der Abfolge der Ereignisse, die zu dem schwerwiegenden IKT-bezogenen Vorfall geführt haben, und Beschreibung, wie der schwerwiegende IKT-bezogene Vorfall eine offensichtlich ähnliche Ursache hat, wenn dieser Sicherheitsvorfall als wiederholter Vorfall eingestuft wird, einschließlich einer kurzen Beschreibung aller zugrunde liegenden Gründe und Hauptfaktoren, die zum Eintreten des schwerwiegenden IKT-bezogenen Vorfalls beigetragen haben. Bei böswilligen Handlungen Beschreibung des Mechanismus der böswilligen Handlung, einschließlich der verwendeten Taktiken, Techniken und Verfahren, sowie des Eintrittsvektors des schwerwiegenden IKT-bezogenen Vorfalls, gegebenenfalls einschließlich einer Beschreibung der Untersuchungen und Analysen, die zur Ermittlung der Ursachen geführt haben. | Nein | Nein | Ja | Alphanumerisch |
| 4.6. Behebung des Vorfalls | Zusätzliche Angaben zu den Maßnahmen, die ergriffen wurden/geplant sind, um den schwerwiegenden IKT-bezogenen Vorfall dauerhaft zu beheben und zu verhindern, dass sich dieser Vorfall erneut ereignet. Aus dem schwerwiegenden IKT-bezogenen Vorfall gewonnene Erkenntnisse. Die Beschreibung muss folgende Punkte enthalten: 1. Beschreibung der Maßnahmen zur Behebung a) Maßnahmen zur dauerhaften Behebung des schwerwiegenden IKT-bezogenen Vorfalls (ausgenommen befristete Maßnahmen); b) bei jeder ergriffenen Maßnahme Angabe der potenziellen Beteiligung eines Drittdienstleisters und des Finanzunternehmens; c) Angabe, ob die Verfahren nach dem schwerwiegenden IKT-bezogenen Vorfall angepasst wurden; d) Angabe etwaiger zusätzlicher Kontrollen, die eingeführt wurden oder geplant sind (mit Zeitplan für die Umsetzung). Mögliche Probleme in Bezug auf die Robustheit der betroffenen IT-Systeme bzw. gegebenenfalls in Bezug auf die bestehenden Verfahren oder Kontrollen. Finanzunternehmen geben eindeutig an, wie mit den geplanten Abhilfemaßnahmen die ermittelten Ursachen behoben werden sollen und wann der schwerwiegende IKT-bezogene Vorfall voraussichtlich dauerhaft behoben sein wird. 2. Gewonnene Erkenntnisse Finanzunternehmen beschreiben die Ergebnisse der Überprüfung nach dem Vorfall. | Nein | Nein | Ja | Alphanumerisch |
| 4.7. Datum und Uhrzeit der Behebung der Ursache des Vorfalls | Datum und Uhrzeit der Behebung der Ursache des Vorfalls. | Nein | Nein | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 4.8. Datum und Uhrzeit der Behebung des Vorfalls | Datum und Uhrzeit der Behebung des Vorfalls. | Nein | Nein | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 4.9. Angabe, ob das Datum der dauerhaften Behebung der Vorfälle von dem ursprünglich geplanten Umsetzungs-datum abweicht | Gegebenenfalls eine Beschreibung des Grundes, warum das Datum der dauerhaften Behebung der schwerwiegenden IKT-bezogenen Vorfälle von dem ursprünglich geplanten Umsetzungsdatum abweicht. | Nein | Nein | Ja | Alphanumerisch |
| 4.10. Bewertung des Risikos für kritische Funktionen für Abwicklungs-zwecke | Bewertung, ob der schwerwiegende IKT-bezogene Vorfall ein Risiko für kritische Funktionen im Sinne des Artikels 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU des Europäischen Parlaments und des Rates (2) darstellt. Die in Artikel 1 Absatz 1 der Richtlinie 2014/59/EU genannten Unternehmen geben an, ob der in der Vorlage Z07.01 der Durchführungsverordnung (EU) 2018/1624 der Kommission (3) gemeldete und dem betreffenden Unternehmen in der Vorlage Z07.02 zugeordnete Vorfall ein Risiko für kritische Funktionen im Sinne des Artikels 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU darstellt. | Nein | Nein | Ja, wenn der Vorfall ein Risiko für kritische Funktionen von Finanz-unterneh-men im Sinne des Artikels 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU darstellt | Alphanumerisch |
| 4.11. Für Abwicklungs-behörden relevante Angaben | Beschreibung, ob und, wenn ja, wie sich der schwerwiegende IKT-bezogene Vorfall auf die Abwicklungsfähigkeit des Unternehmens oder der Gruppe ausgewirkt hat. Die in Artikel 1 Absatz 1 der Richtlinie 2014/59/EU genannten Unternehmen stellen Informationen darüber bereit, ob und, wenn ja, wie sich der schwerwiegende IKT-bezogene Vorfall auf die Abwicklungsfähigkeit des Unternehmens oder der Gruppe ausgewirkt hat. Diese Unternehmen geben auch an, ob sich der schwerwiegende IKT-bezogene Vorfall auf die Solvenz oder Liquidität des Finanzunternehmens auswirkt, und geben die potenzielle Quantifizierung der Auswirkungen an. Diese Unternehmen machen auch Angaben zu den Auswirkungen auf die Aufrechterhaltung des Geschäftsbetriebs, den Auswirkungen auf die Abwicklungsfähigkeit des Unternehmens, etwaigen weitergehenden Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf die Kosten und Verluste, einschließlich der Kapitalposition des Finanzunternehmens, und geben an, ob die vertraglichen Vereinbarungen über die Nutzung von IKT-Diensten im Falle einer Abwicklung des Unternehmens nach wie vor robust und uneingeschränkt durchsetzbar sind. | Nein | Nein | Ja, wenn der Vorfall die Abwick-lungsfähig-keit des Unterneh-mens oder der Gruppe beeinträch-tigt hat | Alphanumerisch |
| 4.12. Wesentlichkeits- schwelle für das Einstufungs-kriterium „Wirtschaftliche Auswirkungen“ | Detaillierte Informationen über Schwellenwerte, die der schwerwiegende IKT-bezogene Vorfall am Ende erreicht hat, in Bezug auf das in den Artikeln 7 und 14 der Delegierten Verordnung (EU) 2024/1772 genannte Kriterium „Wirtschaftliche Auswirkungen“. | Nein | Nein | Ja | Alphanumerisch |
| 4.13. Betrag der direkten und indirekten Bruttokosten und Verluste | Gesamtbetrag der direkten und indirekten Bruttokosten und Verluste, die dem Finanzunternehmen aufgrund des schwerwiegenden IKT-bezogenen Vorfalls entstanden sind, einschließlich a) der Höhe der enteigneten Mittel oder finanziellen Vermögenswerte, für die das Finanzunternehmen haftet, b) der Höhe der Kosten für die Ersetzung oder Verlegung von Software, Hardware oder Infrastruktur, c) der Höhe der Personalkosten, einschließlich der Kosten im Zusammenhang mit der Ersetzung oder Verlegung von Personal, der Einstellung von zusätzlichem Personal, der Vergütung von Überstunden und der Wiederherstellung verloren gegangener oder beeinträchtigter Kompetenzen des Personals, d) der Höhe der Gebühren wegen Nichteinhaltung vertraglicher Verpflichtungen, e) der Höhe der Entschädigungs- und Wiedergutmachungskosten für Kunden, f) der Höhe der Verluste wegen entgangener Einnahmen, g) der Höhe der Kosten für die interne und externe Kommunikation, h) der Höhe der Beratungskosten, einschließlich Kosten für Rechtsberatung, forensische Dienstleistungen und Behebungsdienstleistungen, i) der Höhe der sonstigen Kosten und Verluste, einschließlich: i) der in der Gewinn- und Verlustrechnung erfassten direkten Belastungen einschließlich Wertminderungen und Vergleichszahlungen sowie Abwertungen aufgrund des schwerwiegenden IKT-bezogenen Vorfalls, ii) der in der Gewinn- und Verlustrechnung erfassten Rückstellungen oder Rücklagen für wahrscheinliche Verluste im Zusammenhang mit dem schwerwiegenden IKT-bezogenen Vorfall, iii) der drohenden Verluste in Form von Verlusten aufgrund des schwerwiegenden IKT-bezogenen Vorfalls, die vorübergehend auf Übergangs- oder Zwischenkonten gebucht werden und noch nicht in der Gewinn- und Verlustrechnung erfasst sind und die nach einem gewissen Zeitraum, der der Größe und dem Alter des drohenden Verlusts entspricht, erfasst werden sollen, iv) der wesentlichen nicht realisierten Einnahmen im Zusammenhang mit vertraglichen Verpflichtungen gegenüber Dritten, darunter die Entscheidung, einen Kunden nach dem schwerwiegenden IKT-bezogenen Vorfall durch eine Anpassung der Erlöse, bei der die vertraglichen Kosten für einen bestimmten Zeitraum ausgesetzt oder verringert werden, zu entschädigen (anstelle einer Rückerstattung oder einer direkten Zahlung), v) Timing Losses, die über ein Geschäftsjahr hinausgehen und ein Rechtsrisiko nach sich ziehen. Finanzunternehmen berücksichtigen bei ihrer Bewertung Artikel 7 Absätze 1 und 2 der Delegierten Verordnung (EU) 2024/1772. Finanzunternehmen dürfen in diesen Wert keine wie auch immer gearteten Rückflüsse einbeziehen. Finanzunternehmen weisen den Geldbetrag als positiven Wert aus. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung berücksichtigen Finanzunternehmen den Gesamtbetrag der Kosten und Verluste in allen Finanzunternehmen. Finanzunternehmen weisen den Datenpunkt mit einer Mindestpräzision aus, die tausend Einheiten entspricht. | Nein | Nein | Ja | Monetär |
| 4.14. Betrag der finanziellen Rückflüsse | Gesamtbetrag der finanziellen Rückflüsse. Finanzielle Rückflüsse müssen sich auf den ursprünglichen Verlust beziehen, der durch das Ereignis verursacht wurde, unabhängig davon, wann sie in Form von Geldern oder Zuflüssen wirtschaftlichen Nutzens vereinnahmt werden. Finanzunternehmen weisen den Geldbetrag als positiven Wert aus. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung berücksichtigen Finanzunternehmen den Gesamtbetrag der finanziellen Rückflüsse in allen Finanzunternehmen. | Nein | Nein | Ja | Monetär Finanzunternehmen weisen den Datenpunkt mit einer Mindestpräzision aus, die tausend Einheiten entspricht. |
| 4.15. Angaben dazu, ob sich die nicht schwerwie-genden Vorfälle wiederholt haben | Angaben dazu, ob ein nicht schwerwiegender IKT-bezogener Vorfall wiederholt eingetreten ist und diese Vorfälle zusammen als schwerwiegender Vorfall im Sinne des Artikels 8 Absatz 2 der Delegierten Verordnung (EU) 2024/1772 zu betrachten sind. Finanzunternehmen geben an, ob sich die nicht schwerwiegenden IKT-bezogenen Vorfälle wiederholt haben und zusammen als ein schwerwiegender IKT-bezogener Vorfall zu betrachten sind. Finanzunternehmen geben auch an, wie oft diese nicht schwerwiegenden IKT-bezogenen Vorfälle eingetreten sind. | Nein | Nein | Ja, wenn der schwer-wiegende Vorfall mehr als einen nicht schwer-wiegenden wieder-holten Vorfall umfasst | Alphanumerisch |
| 4.16. Datum und Uhrzeit des Eintretens wiederholter Vorfälle | Wenn Finanzunternehmen wiederholte IKT-bezogene Vorfälle melden, Datum und Uhrzeit des ersten IKT-bezogenen Vorfalls. | Nein | Nein | Ja, bei wieder-holten Vorfällen | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
(1) Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) (ABl. L 333 vom 27.12.2022, S. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).
(2) Richtlinie 2014/59/EU des Europäischen Parlaments und des Rates vom 15. Mai 2014 zur Festlegung eines Rahmens für die Sanierung und Abwicklung von Kreditinstituten und Wertpapierfirmen und zur Änderung der Richtlinie 82/891/EWG des Rates, der Richtlinien 2001/24/EG, 2002/47/EG, 2004/25/EG, 2005/56/EG, 2007/36/EG, 2011/35/EU, 2012/30/EU und 2013/36/EU sowie der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 648/2012 des Europäischen Parlaments und des Rates (ABl. L 173 vom 12.6.2014, S. 190, ELI: http://data.europa.eu/eli/dir/2014/59/oj).
(3) Durchführungsverordnung (EU) 2018/1624 der Kommission vom 23. Oktober 2018 zur Festlegung technischer Durchführungsstandards in Bezug auf Verfahren, Standardformulare und Meldebögen für die Bereitstellung von Informationen für die Erstellung von Abwicklungsplänen für Kreditinstitute und Wertpapierfirmen gemäß der Richtlinie 2014/59/EU des Europäischen Parlaments und des Rates und zur Aufhebung der Durchführungsverordnung (EU) 2016/1066 der Kommission (ABl. L 277 vom 7.11.2018, S. 1, ELI: http://data.europa.eu/eli/reg_impl/2018/1624/oj).
Anhang III
VORLAGEN FÜR DIE MELDUNG ERHEBLICHER CYBERBEDROHUNGEN
ITS Incident-Reporting (2025/302)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Feldnummer | Datenfeld | |
|---|---|---|
| 1 | Name des Unternehmens, das die Meldung übermittelt | |
| 2 | Identifikationscode des Unternehmens, das die Meldung übermittelt | |
| 3 | Art des Finanzunternehmens, das die Meldung übermittelt | |
| 4 | Name des Finanzunternehmens | |
| 5 | LEI-Code des Finanzunternehmens | |
| 6 | Name des Hauptansprechpartners | |
| 7 | E-Mail-Adresse des Hauptansprechpartners | |
| 8 | Telefonnummer des Hauptansprechpartners | |
| 9 | Name des zweiten Ansprechpartners | |
| 10 | E-Mail-Adresse des zweiten Ansprechpartners | |
| 11 | Telefonnummer des zweiten Ansprechpartners | |
| 12 | Datum und Uhrzeit der Feststellung der Cyberbedrohung | |
| 13 | Beschreibung der erheblichen Cyberbedrohung | |
| 14 | Angaben zu möglichen Auswirkungen | |
| 15 | Kriterien für die Einstufung potenzieller Vorfälle | |
| 16 | Status der Cyberbedrohung | |
| 17 | Zur Verhinderung des Eintretens ergriffene Maßnahmen | |
| 18 | Benachrichtigung anderer Beteiligter | |
| 19 | Kompromittierungsindikatoren | |
| 20 | Sonstige zweckdienliche Angaben |
Anhang IV
DATENGLOSSAR UND ANLEITUNG FÜR DIE MELDUNG ERHEBLICHER CYBERBEDROHUNGEN
ITS Incident-Reporting (2025/302)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Datenfeld | Beschreibung | Pflichtfeld | Feldtyp |
|---|---|---|---|
| 1. Name des Unternehmens, das die Meldung übermittelt | Vollständige juristische Bezeichnung des Unternehmens, das die Meldung übermittelt. | Ja | Alphanumerisch |
| 2. Identifika tionscode des Unternehmens, das die Meldung übermittelt | Identifikationscode des Unternehmens, das die Meldung übermittelt. Übermitteln Finanzunternehmen die Meldung, ist die Rechtsträgerkennung (Legal Entity Identifier; LEI-Code), ein eindeutiger alphanumerischer 20-stelliger Code nach ISO 17442-1:2020. Übermittelt ein Drittdienstleister eine Meldung für ein Finanzunternehmen, kann er einen Identifikationscode verwenden, der in den gemäß Artikel 28 Absatz 9 der Verordnung (EU) 2022/2554 angenommenen technischen Durchführungsstandards festgelegt ist. | Ja | Alphanumerisch |
| 3. Art des Finanzunter-nehmens, das die Meldung übermittelt | Art des Unternehmens gemäß Artikel 2 Absatz 1 Buchstaben a bis t der Verordnung (EU) 2022/2554, das die Meldung übermittelt. | Ja, wenn die Meldung nicht direkt von dem betroffenen Finanzunternehmen übermittelt wird | Auswahl (Mehrfachauswahl): — Kreditinstitut; — Zahlungsinstitut; — Ausgenommenes Zahlungsinstitut; — Kontoinformations-dienstleister; — E-Geld-Institut; — Ausgenommenes E-Geld-Institut; — Wertpapierfirma; — Anbieter von Kryptowerte-Dienstleistungen; — Emittent wertreferenzierter Token; — Zentralverwahrer; — Zentrale Gegenpartei; — Handelsplatz; — Transaktionsregister; — Verwalter alternativer Investmentfonds; — Verwaltungsgesellschaft; — Datenbereitstellungs-dienst; — Versicherungs- und Rückversicherungsunter-nehmen; — Versicherungsvermittler, Rückversicherungs-vermittler und Versicherungsvermittler in Nebentätigkeit; — Einrichtung der betrieblichen Altersversorgung; — Ratingagentur; — Administrator kritischer Referenzwerte; — Schwarmfinanzie-rungsdienstleister; — Verbriefungsregister. |
| 4. Name des Finanzunter-nehmens | Vollständige juristische Bezeichnung des Finanzunternehmens, das die erhebliche Cyberbedrohung meldet. | Ja, wenn es sich bei dem Finanzunternehmen nicht um das Unternehmen handelt, das die Meldung übermittelt | Alphanumerisch |
| 5. LEI-Code des Finanzunter-nehmens | Die nach der Internationalen Organisation für Normung zugewiesene Rechtsträgerkennung (LEI-Code) des Finanzunternehmens, das die erhebliche Cyberbedrohung meldet. | Ja, wenn das Finanzunternehmen, das die erhebliche Cyberbedrohung meldet, nicht mit dem meldenden Unternehmen identisch ist | Eindeutiger alphanumerischer Code mit 20 Zeichen nach ISO 17442-1:2020 |
| 6. Name des Hauptan-sprechpartners | Vor- und Nachname des Hauptansprechpartners des Finanzunternehmens. | Ja | Alphanumerisch |
| 7. E-Mail- Adresse des Hauptan-sprechpartners | E-Mail-Adresse des Hauptansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. | Ja | Alphanumerisch |
| 8. Telefon- nummer des Hauptan-sprechpartners | Telefonnummer des Hauptansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. Die Telefonnummer ist mit allen internationalen Vorwahlen anzugeben (z. B. +33 XXXXXXXXX). | Ja | Alphanumerisch |
| 9. Name des zweiten Ansprech-partners | Vor- und Nachname des zweiten Ansprechpartners des Finanzunternehmens oder des Unternehmens, das die Meldung im Namen des Finanzunternehmens übermittelt. | Ja, wenn Vor- und Nachname des zweiten Ansprechpartners des Finanzunternehmens oder eines Unternehmens, das die Meldung für das Finanzunternehmen übermittelt, vorliegen | Alphanumerisch |
| 10. E-Mail- Adresse des zweiten Ansprech-partners | Gegebenenfalls E-Mail-Adresse des zweiten Ansprechpartners oder die funktionale E-Mail-Adresse des Teams, an den bzw. das sich die zuständige Behörde in der Folgemitteilung wenden kann. | Ja, wenn die E-Mail-Adresse des zweiten Ansprechpartners oder die funktionale E-Mail-Adresse des Teams, an den bzw. das sich die zuständige Behörde in der Folgemitteilung wenden kann, vorliegen | Alphanumerisch |
| 11. Telefon- nummer des zweiten Ansprech-partners | Gegebenenfalls Telefonnummer des zweiten Ansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. Die Telefonnummer ist mit allen internationalen Vorwahlen anzugeben (z. B. +33 XXXXXXXXX). | Ja, wenn die Telefonnummer des zweiten Ansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann, vorliegt | Alphanumerisch |
| 12. Datum und Uhrzeit der Feststellung der Cyber-bedrohung | Datum und Uhrzeit der Kenntnisnahme der erheblichen Cyberbedrohung durch das Finanzunternehmen. | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 13. Beschreibung der erheblichen Cyber-bedrohung | Beschreibung der wichtigsten Aspekte der erheblichen Cyberbedrohung. Finanzunternehmen übermitteln folgende Informationen: a) Allgemeine Darstellung der relevantesten Aspekte der erheblichen Cyberbedrohung; b) Die damit verbundenen Risiken, einschließlich potenzieller Schwachstellen der Systeme des Finanzunternehmens, die ausgenutzt werden könnten; c) Angaben zur Eintrittswahrscheinlichkeit der erheblichen Cyberbedrohung und d) Angaben zur Informationsquelle über die Cyberbedrohung. | Ja | Alphanumerisch |
| 14. Angaben zu möglichen Auswirkungen | Angaben zu den möglichen Auswirkungen der Cyberbedrohung auf das Finanzunternehmen, seine Kunden oder Gegenparteien im Finanzbereich, wenn die Cyberbedrohung eingetreten ist | Ja | Alphanumerisch |
| 15. Kriterien für die Einstufung potenzieller Vorfälle | Die Einstufungskriterien, die eine Meldung über einen schwerwiegenden Vorfall hätten auslösen können, wenn die Cyberbedrohung eingetreten wäre. | Ja | Auswahl (Mehrfachauswahl): — Betroffene Kunden, Gegenparteien im Finanzbereich und Transaktionen — Reputationsschaden — Dauer und Ausfallzeiten — Geografische Ausbreitung — Datenverluste — Betroffene kritische Dienstleistungen — Wirtschaftliche Auswirkungen |
| 16. Status der Cyber-bedrohung | Angaben zum Status der Cyberbedrohung für das Finanzunternehmen und dazu, ob sich die Bedrohungsaktivität verändert hat. Wenn die Cyberbedrohung nicht mehr mit den Informationssystemen des Finanzunternehmens kommuniziert, kann der Status auf inaktiv gesetzt werden. Liegen dem Finanzunternehmen Informationen darüber vor, dass die Bedrohung gegen andere Parteien oder das Finanzsystem insgesamt aktiv bleibt, ist der Status als aktiv zu kennzeichnen. | Ja | Auswahl: — Aktiv — Inaktiv |
| 17. Zur Verhinderung des Eintretens ergriffene Maßnahmen | Gegebenenfalls detaillierte Informationen über die Maßnahmen, die das Finanzunternehmen ergriffen hat, um das Eintreten der erheblichen Cyberbedrohungen zu verhindern. | Ja | Alphanumerisch |
| 18. Benachrichti- gung anderer Beteiligter | Angaben zur Benachrichtigung anderer Finanzunternehmen oder Behörden über die Cyberbedrohung. | Ja, wenn andere Finanzunternehmen oder Behörden über die Cyberbedrohung informiert wurden | Alphanumerisch |
| 19. Kompro- mittierungs-indikatoren | Gegebenenfalls Informationen im Zusammenhang mit der erheblichen Cyberbedrohung, die dazu beitragen können, böswillige Aktivitäten innerhalb eines Netzwerks oder Informationssystems zu erkennen (Kompromittierungsindikatoren). Die von dem Finanzunternehmen bereitgestellten Kompromittierungsindikatoren können unter anderem die folgenden Datenkategorien enthalten: a) IP-Adressen; b) URL-Adressen; c) Domains; d) Datei-Hashes; e) Daten zu Schadsoftware (Name der Schadsoftware, Dateinamen und ihre Speicherorte, spezifische Registrierungsschlüssel im Zusammenhang mit Schadsoftware-Aktivitäten); f) Daten zu Netzaktivitäten (Ports, Protokolle, Adressen, Referrer, User Agents, Header, spezifische Protokolle oder auffällige Muster im Netzwerkverkehr); g) Daten zu E-Mail-Nachrichten (Absender, Empfänger, Betreff, Header, Inhalt); h) DNS-Anfragen und Registrierungskonfigurationen; i) Nutzerkontoaktivitäten (Anmeldungen, Kontoaktivitäten privilegierter Nutzer, Rechteausweitung); j) Datenbankverkehr (Lesen/Schreiben), Anfragen für dieselbe Datei. Diese Art von Informationen kann Daten umfassen, die sich unter anderem auf Indikatoren, die Muster im Netzwerkverkehr im Zusammenhang mit bekannten Angriffen/Botnetkommunikation beschreiben, IP-Adressen von mit Schadsoftware infizierten Rechnern (Bots), Daten über von Schadsoftware genutzte „Command and Control“-Server (in der Regel Domains oder IP-Adressen) und URLs in Bezug auf Phishing-Websites oder Websites, bei denen beobachtet wurde, dass sie für das Hosting von Schadsoftware oder Exploit Kits genutzt wird, beziehen. | Ja, wenn Informationen über Kompromittierungs-indikatoren im Zusammenhang mit der Cyberbedrohung verfügbar sind | Alphanumerisch |
| 20. Sonstige zweckdien-liche Angaben | Sonstige zweckdienliche Angaben zu der erheblichen Cyberbedrohung. | Ja, falls zutreffend und wenn andere Informationen verfügbar sind, die nicht in der Vorlage ausgewiesen sind. | Alphanumerisch |
Artikel 1
Gesamtrisikoprofil und Komplexität
RTS Untervergabe (2025/532)
Finanzunternehmen berücksichtigen ihre Größe und ihr Gesamtrisikoprofil sowie die Art, den Umfang und die Aspekte erhöhter oder verringerter Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte, einschließlich der Aspekte, die sich auf Folgendes beziehen:
a)
die Art der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die unter die vertragliche Vereinbarung zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister fallen;
b)
die Art der IKT-Dienstleistungen, die unter die vertragliche Vereinbarung zwischen dem IKT-Drittdienstleister und seinen Unterauftragnehmern fallen;
c)
den Standort des IKT-Unterauftragnehmers, der IKT-Dienstleistungen erbringt, die kritische oder wichtige Funktionen oder einen wesentlichen Teil davon unterstützen, oder den Standort seines Mutterunternehmens;
d)
die Länge und Komplexität der vom IKT-Drittdienstleister genutzten Kette von Unterauftragnehmern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen;
e)
die Art der Daten, die an IKT-Unterauftragnehmer weitergegeben werden, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen;
f)
die Frage, ob die IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, von Unterauftragnehmern erbracht werden, die ihren Sitz in einem Mitgliedstaat oder in einem Drittland haben, einschließlich des Standorts, von dem aus die IKT-Dienstleistungen tatsächlich erbracht werden, und des Standorts, an dem die Daten tatsächlich verarbeitet und gespeichert werden;
g)
die Frage, ob die IKT-Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, derselben Gruppe angehören wie das Finanzunternehmen, für das diese Dienstleistungen erbracht werden;
h)
die Frage, ob die IKT-Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, einer Zulassung, einer Registrierung oder der Beaufsichtigung oder Überwachung durch eine zuständige Behörde in einem Mitgliedstaat oder dem Überwachungsrahmen nach Kapitel V Abschnitt II der Verordnung (EU) 2022/2554 unterliegen;
i)
die Frage, ob die IKT-Drittdienstleister, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, einer Zulassung, einer Registrierung oder der Beaufsichtigung oder Überwachung durch eine Aufsichtsbehörde in einem Drittstaat unterliegen;
j)
die Frage, ob sich die Erbringung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon auf einen einzigen Unterauftragnehmer eines IKT-Drittdienstleisters oder eine kleine Zahl solcher Unterauftragnehmer konzentriert;
k)
die Frage, ob sich die Vergabe von Unteraufträgen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile unterstützen, auf die Übertragbarkeit dieser IKT-Dienstleistungen auf einen anderen IKT-Drittdienstleister auswirken würde;
l)
die potenzielle Auswirkung von Störungen auf die Kontinuität und Verfügbarkeit der IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen und vom IKT-Drittdienstleister erbracht werden, wenn ein Unterauftragnehmer eingesetzt wird, der IKT-Dienstleistungen erbringt, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen.
1 Sollmaßnahme
A-5.21.001IKT-Konzentrationsrisiko auf Unterauftragnehmerebene
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Anwendung auf eine Gruppe
RTS Untervergabe (2025/532)
Findet diese Verordnung auf teilkonsolidierter oder konsolidierter Basis Anwendung, so trägt das Mutterunternehmen, das für die Erstellung des konsolidierten oder teilkonsolidierten Abschlusses für die Gruppe verantwortlich zeichnet, dafür Sorge, dass die Bedingungen für die Vergabe von Unteraufträgen für die Nutzung von IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen — sofern eine solche Unterauftragsvergabe nach den vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zulässig ist — in allen Finanzunternehmen, die Teil der Gruppe sind, konsistent umgesetzt werden und für die wirksame Anwendung dieser Verordnung auf allen relevanten Ebenen angemessen sind.
1 Sollmaßnahme
A-5.21.003Einheitliche gruppenweite Umsetzung der Vorgaben zum IKT-Drittparteienrisiko
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
Sorgfaltspflicht und Risikobewertung in Bezug auf den Einsatz von Unterauftragnehmern, die kritische oder wichtige Funktionen unterstützen
RTS Untervergabe (2025/532)
(1)
Bevor ein Finanzunternehmen eine vertragliche Vereinbarung mit einem IKT-Drittdienstleister schließt, muss es entscheiden, ob dieser IKT-Drittdienstleister eine IKT-Dienstleistung, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützt, an Unterauftragnehmer vergeben darf. Das Finanzunternehmen darf eine solche vertragliche Vereinbarung nur dann schließen, wenn es festgestellt hat, dass alle folgenden Bedingungen erfüllt sind:
2 Sollmaßnahmen
A-5.1.228Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Unterauftragsvergabe – Vorabprüfung
A-5.21.005Risikoanalyse zur Unterauftragsvergabe: Zulässigkeit der Unterauftragsvergabe
a)
Durch die im Rahmen der Sorgfaltspflicht durchgeführten Verfahren in Bezug auf den IKT-Drittdienstleister wird sichergestellt, dass dieser in der Lage ist, potenzielle IKT-Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen sollen, auszuwählen und deren operative und finanzielle Fähigkeiten zu beurteilen, auch indem er auf Verlangen des Finanzunternehmens an Tests der digitalen operationalen Resilienz gemäß Kapitel IV der Verordnung (EU) 2022/2554 teilnimmt;
1 Sollmaßnahme zu lit. a
A-5.21.006Risikoanalyse zur Unterauftragsvergabe: Due Diligence bei Unterauftragnehmerauswahl
b)
der IKT-Drittdienstleister ist in der Lage, alle Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, zu ermitteln, um das Finanzunternehmen über diese Unterauftragnehmer zu benachrichtigen und zu informieren, und ist in der Lage, dem Finanzunternehmen alle Informationen zur Verfügung zu stellen, die für die Bewertung der Bedingungen nach diesem Artikel erforderlich sein könnten;
1 Sollmaßnahme zu lit. b
A-5.21.007Risikoanalyse zur Unterauftragsvergabe: Identifikation und Information über Unterauftragnehmer
c)
der IKT-Drittdienstleister stellt sicher, dass die vertraglichen Vereinbarungen mit den Unterauftragnehmern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, es dem Finanzunternehmen ermöglichen, seine eigenen Verpflichtungen aus der Verordnung (EU) 2022/2554 und den geltenden Rechtsvorschriften der Union und der Mitgliedstaaten zu erfüllen;
1 Sollmaßnahme zu lit. c
A-5.21.008Risikoanalyse zur Unterauftragsvergabe: Vertragliche Regelungen mit Unterauftragnehmern
d)
der Unterauftragnehmer räumt dem Finanzunternehmen und den zuständigen Behörden und Abwicklungsbehörden die gleichen vertraglichen Zugangs- und Inspektionsrechte wie der IKT-Drittdienstleister ein;
1 Sollmaßnahme zu lit. d
A-5.21.009Risikoanalyse zur Unterauftragsvergabe: Prüfungsrechte bei Unterauftragnehmern
e)
unbeschadet der letztendlichen Verantwortung des Finanzunternehmens für die Einhaltung seiner rechtlichen und regulatorischen Pflichten verfügt der IKT-Drittdienstleister selbst über ausreichende Fähigkeiten, Fachkenntnisse und angemessene finanzielle, personelle und technische Ressourcen, um die IKT-Risiken auf der Ebene der Unterauftragnehmer zu überwachen, unter anderem durch die Anwendung geeigneter Informationssicherheitsstandards und durch die Einrichtung einer angemessenen Organisationsstruktur, eines entsprechenden Risikomanagements und interner Kontrollen sowie durch die Meldung von Vorfällen und die Reaktion darauf;
1 Sollmaßnahme zu lit. e
A-5.21.010Risikoanalyse zur Unterauftragsvergabe: Ressourcen und Governance des IKT-Dienstleisters
f)
das Finanzunternehmen verfügt über ausreichende Fähigkeiten, Fachkenntnisse und angemessene finanzielle, personelle und technische Ressourcen, um die IKT-Risiken im Zusammenhang mit der Dienstleistung zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon, die an Unterauftragnehmer vergeben wurde, zu überwachen, unter anderem durch die Anwendung geeigneter Informationssicherheitsstandards und durch die Einrichtung einer angemessenen Organisationsstruktur und eines angemessenen Risikomanagements sowie durch Reaktionsmaßnahmen bei Vorfällen, ein Geschäftsfortführungsmanagement und interne Kontrollen;
1 Sollmaßnahme zu lit. f
A-5.21.011Risikoanalyse zur Unterauftragsvergabe: Ressourcen und Kontrollstrukturen
g)
das Finanzunternehmen hat die Auswirkungen eines möglichen Ausfalls eines Unterauftragnehmers, der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder eines wesentlichen Teils davon erbringt, auf die digitale operationale Resilienz und die finanzielle Solidität des Finanzunternehmens bewertet;
1 Sollmaßnahme zu lit. g
A-5.21.012Risikoanalyse zur Unterauftragsvergabe: Ausfallrisiko von Unterauftragnehmern
h)
das Finanzunternehmen hat die Risiken bewertet, die mit dem Standort der potenziellen Unterauftragnehmer in Bezug auf die vom IKT-Drittdienstleister erbrachten IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder eines wesentlichen Teils davon verbunden sind;
1 Sollmaßnahme zu lit. h
A-5.21.013Risikoanalyse zur Unterauftragsvergabe: Standortrisiken der Unterauftragnehmer
i)
das Finanzunternehmen hat die IKT-Konzentrationsrisiken auf Unternehmensebene gemäß Artikel 29 der Verordnung (EU) 2022/2554 bewertet;
1 Sollmaßnahme zu lit. i
A-5.21.014Risikoanalyse zur Unterauftragsvergabe: Konzentrationsrisiken
j)
das Finanzunternehmen hat geprüft, ob es Hindernisse für die Ausübung der Prüfungs-, Inspektions- und Zugangsrechte durch die zuständigen Behörden, die Abwicklungsbehörden oder das Finanzunternehmen, einschließlich der von ihnen benannten Personen, gibt.
1 Sollmaßnahme zu lit. j
A-5.21.015Risikoanalyse zur Unterauftragsvergabe: Hindernisse für Prüfungsrechte
↕ Bindet mit Abs. 3 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Finanzunternehmen, die IKT-Drittdienstleister nutzen, welche IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon an Unterauftragnehmer vergeben, führen regelmäßig die in Absatz 1 Buchstaben f bis j genannte Risikobewertung in Bezug auf mögliche Veränderungen in ihrem Geschäftsumfeld durch, auch mit Blick auf Veränderungen bei den unterstützten Geschäftsfunktionen, einschließlich Risikobewertungen der IKT-Bedrohungen, IKT-Konzentrationsrisiken und geopolitischen Risiken.
1 Sollmaßnahme
A-5.21.016Risikoanalyse zur Unterauftragsvergabe: Regelmäßige Überprüfung
(3)
Der Rückgriff auf die Ergebnisse der Risikobewertung, die ihre IKT-Drittdienstleister für ihre Unterauftragnehmer im Hinblick auf die Erfüllung der in diesem Artikel festgelegten Pflichten durchgeführt haben, entbindet die Finanzunternehmen nicht von ihrer letztendlichen Verantwortung für die Erfüllung ihrer rechtlichen und regulatorischen Pflichten gemäß der Verordnung (EU) 2022/2554.
1 Sollmaßnahme
A-5.21.004Ex-Ante-Risk Assessment zur Unterauftragsvergabe
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Bedingungen, unter denen IKT-Dienstleistungen, die kritische oder wichtige Funktionen einen wesentlichen Teil davon unterstützen, an Unterauftragnehmer vergeben werden können
RTS Untervergabe (2025/532)
(1)
In der vertraglichen Vereinbarung zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister wird festgelegt, welche IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, für eine Unterauftragsvergabe infrage kommen und unter welchen Bedingungen. In diesem Vertrag wird festgelegt,
a)
dass der IKT-Drittdienstleister für die Erbringung der von den Unterauftragnehmern erbrachten Dienstleistungen verantwortlich ist;
b)
dass der IKT-Drittdienstleister verpflichtet ist, alle an Unterauftragnehmer vergebenen IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, zu überwachen, um sicherzustellen, dass seine vertraglichen Verpflichtungen gegenüber dem Finanzunternehmen jederzeit erfüllt werden;
c)
welche Überwachungs- und Berichtspflichten der IKT-Drittdienstleister gegenüber dem Finanzunternehmen in Bezug auf Unterauftragnehmer hat, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen;
d)
dass der IKT-Drittdienstleister alle Risiken zu bewerten hat, die mit dem Standort der derzeitigen oder potenziellen Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, und ihres Mutterunternehmens sowie mit dem Standort, von dem aus die betreffende IKT-Dienstleistung erbracht wird, verbunden sind;
e)
an welchem Ort die Daten vom Unterauftragnehmer gegebenenfalls verarbeitet oder gespeichert werden;
f)
dass der IKT-Drittdienstleister in seinem Vertrag mit seinen Unterauftragnehmern die Überwachungs- und Berichterstattungspflichten dieses Unterauftragnehmers gegenüber dem IKT-Drittdienstleister und, sofern vereinbart, gegenüber dem Finanzunternehmen festzulegen hat;
g)
dass der IKT-Drittdienstleister die Kontinuität der IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, entlang der gesamten Kette von Unterauftragnehmern sicherstellen muss, wenn ein IKT-Unterauftragnehmer seinen vertraglichen Verpflichtungen nicht nachkommt;
h)
dass die vertragliche Vereinbarung zwischen dem IKT-Drittdienstleister und seinen Unterauftragnehmern die in Artikel 30 Absatz 3 Buchstabe c der Verordnung (EU) 2022/2554 genannten Anforderungen an Geschäftsfortführungspläne enthält und die von den IKT-Unterauftragnehmern in Bezug auf diese Pläne zu erfüllende Dienstleistungsgüte vorschreibt;
i)
dass die vertragliche Vereinbarung zwischen dem IKT-Drittdienstleister und seinen Unterauftragnehmern die IKT-Sicherheitsstandards und alle zusätzlichen Sicherheitsanforderungen nach Artikel 30 Absatz 3 Buchstabe c der Verordnung (EU) 2022/2554 vorschreibt;
j)
dass der Unterauftragnehmer dem Finanzunternehmen und den relevanten zuständigen Behörden und Abwicklungsbehörden dieselben Zugangs-, Inspektions- und Auditrechte wie die in Artikel 30 Absatz 3 Buchstabe e der Verordnung (EU) 2022/2554 genannten gewähren muss;
k)
dass der IKT-Drittdienstleister dem Finanzunternehmen jede wesentliche Änderung der Unterauftragsvereinbarungen zu melden hat;
l)
dass das Finanzunternehmen das Recht hat, den Vertrag mit dem IKT-Drittdienstleister zu kündigen, wenn die in Artikel 6 der vorliegenden Verordnung oder die in Artikel 28 Absatz 7 der Verordnung (EU) 2022/2554 beschriebenen Bedingungen erfüllt sind.
1 Sollmaßnahme
A-5.20.048kwF-relevante Vertragsinhalte: Bedingungen und Mindestinhalte der Unterauftragsvergabe
(2)
Änderungen, die aufgrund der vorliegenden Verordnung an vertraglichen Vereinbarungen zwischen dem Finanzunternehmen und IKT-Drittdienstleistern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, vorgenommen werden müssen, werden zeitnah und so bald wie möglich umgesetzt. Das Finanzunternehmen dokumentiert den geplanten zeitlichen Ablauf der Umsetzung.
1 Sollmaßnahme
A-5.22.005Vertragsanpassungen bei Unterauftragsvergabe und Umsetzungsplan
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Wesentliche Änderungen an Unterauftragsvereinbarungen über IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen
RTS Untervergabe (2025/532)
(1)
Die vertragliche Vereinbarung sieht vor, dass der IKT-Drittdienstleister das Finanzunternehmen rechtzeitig über alle beabsichtigten wesentlichen Änderungen seiner Unterauftragsvereinbarungen informiert, damit das Finanzunternehmen Folgendes bewerten kann:
a)
die Auswirkung auf die Risiken, denen er ausgesetzt ist oder ausgesetzt sein könnte;
b)
ob solche wesentlichen Änderungen die Fähigkeit des IKT-Drittdienstleisters beeinträchtigen könnten, seinen vertraglichen Verpflichtungen gegenüber dem Finanzunternehmen nachzukommen.
2 Sollmaßnahmen
A-5.20.049kwF-relevante Vertragsinhalte: Anzeige von Unterauftragsänderungen
A-5.22.006Mitteilungspflicht bei Änderung der Unterauftragsvergabe
↕ Bindet mit Abs. 4 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Die vertragliche Vereinbarung muss eine angemessene Mitteilungsfrist enthalten, in der das Finanzunternehmen den Änderungen zustimmen oder sie ablehnen kann.
(3)
Der IKT-Drittdienstleister setzt die wesentlichen Änderungen seiner Unterauftragsvereinbarungen erst dann um, wenn das Finanzunternehmen die Änderungen bis zum Ablauf der Mitteilungsfrist entweder genehmigt oder sie nicht abgelehnt hat.
↕ Bindet mit Abs. 4 zusammen — die gemeinsame Sollmaßnahme steht dort.
(4)
Ist das Finanzunternehmen der Auffassung, dass die in Absatz 1 genannten wesentlichen Änderungen die Risikotoleranz des Finanzunternehmens überschreiten, so muss es vor Ablauf der Mitteilungsfrist
a)
den IKT-Drittdienstleister davon in Kenntnis setzen;
b)
die Änderungen ablehnen und vor deren Umsetzung Anpassungen verlangen.
1 Sollmaßnahme
A-5.20.053kwF-relevante Vertragsinhalte: Mitteilungsfrist, Zustimmung und Ablehnung bei Unterauftragsänderungen
1 Sollmaßnahme
A-5.22.007Umsetzung von Vertragsanpassungen bei Unterauftragsvergabe
1 Sollmaßnahme
ISMS-8.2.009IKT-Risikobewertung bei Unterauftragsänderungen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
Kündigung des Vertrags zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister
RTS Untervergabe (2025/532)
Das Finanzunternehmen hat das Recht, in der vertraglichen Vereinbarung mit dem IKT-Drittdienstleister vorzusehen, dass die vertragliche Vereinbarung in jedem der folgenden Fälle beendet wird:
a)
Das Finanzunternehmen hat wesentliche Änderungen der Unterauftragsvereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen abgelehnt und um Anpassungen dieser Änderungen gebeten, doch der IKT-Drittdienstleister hat diese wesentlichen Änderungen dennoch umgesetzt;
b)
der IKT-Drittdienstleister hat vor Ablauf der Mitteilungsfrist ohne Genehmigung des Finanzunternehmens wesentliche Änderungen an den Unterauftragsvereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon vorgenommen;
c)
der IKT-Drittdienstleister hat eine IKT-Dienstleistung, die eine kritische oder wichtige Funktion oder einen wesentlichen Teil davon unterstützt, als Unterauftrag vergeben, obwohl eine derartige Unterauftragsvergabe im Vertrag zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister nicht ausdrücklich genehmigt wurde.
1 Sollmaßnahme
A-5.20.050kwF-relevante Vertragsinhalte: Kündigungsrecht bei unzulässiger Unterauftragsvergabe
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
Inkrafttreten
RTS Untervergabe (2025/532)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 1
Begriffsbestimmungen
RTS TLPT (2025/1190)
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:
1.
„Kontrollteam“ das Team, das sich aus Mitarbeitern des getesteten Finanzunternehmens und, entsprechend dem Umfang des TLPT, gegebenenfalls aus Mitarbeitern seiner Drittdienstleister und jeder anderen Partei, die den Test leitet, zusammensetzt;
2.
„Leiter des Kontrollteams“ den Mitarbeiter des Finanzunternehmens, der für die Durchführung aller TLPT-bezogenen Aktivitäten des Finanzunternehmens im Rahmen eines bestimmten Tests verantwortlich ist;
3.
„Blue Team“ die Mitarbeiter des Finanzunternehmens und gegebenenfalls die Mitarbeiter der Drittdienstleister des Finanzunternehmens und alle anderen entsprechend dem Umfang des TLPT als relevant erachteten Parteien bei den Drittdienstleitern des Finanzunternehmens, die die Nutzung von Netzwerk- und Informationssystemen des Finanzunternehmens absichern, indem sie seine Fähigkeit zur Abwehr simulierter oder realer Angriffe aufrechterhalten, und die keine Kenntnis vom TLPT haben;
4.
„Blue-Team-Aufgaben“ Aufgaben, die in der Regel vom Blue Team wahrgenommen werden, wie z. B. Security Operation Centre (SOC), IKT-Infrastrukturdienstleistungen, Helpdesk-Dienstleistungen und Vorfallmanagement-Dienstleistungen auf operativer Ebene;
5.
„Red Team“ die internen oder externen Tester, die mit einem TLPT beauftragt oder betraut wurden;
6.
„Purple-Teaming“ gemeinsam durchgeführte Tests, an denen sowohl die Tester als auch das Blue Team beteiligt sind;
7.
„TLPT-Behörde“ eine der folgenden Behörden: a) die gemäß Artikel 26 Absatz 9 der Verordnung (EU) 2022/2554 benannte einzige staatliche Behörde im Finanzsektor, b) die für den Finanzsektor zuständige Behörde, der die Wahrnehmung einiger oder aller Aufgaben im Zusammenhang mit TLPT gemäß Artikel 26 Absatz 10 der Verordnung (EU) 2022/2554 übertragen wird, c) eine der in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörden;
8.
„TLPT-Cyberteam“ oder „TCT“ die Mitarbeiter der TLPT-Behörden, die für mit TLPT verbundene Angelegenheiten zuständig sind;
9.
„Testmanager“ die Mitarbeiter, die benannt wurden, um die Aktivitäten der TLPT-Behörde für einen bestimmten TLPT zu leiten und die Einhaltung dieser Verordnung zu überwachen;
10.
„Anbieter von Bedrohungsanalysen“ die Sachverständigen, die vom Finanzunternehmen für den jeweiligen TLPT beauftragt wurden und nicht dem Finanzunternehmen oder etwaigen gruppeninternen IKT-Dienstleistern angehören und die gezielte Bedrohungsinformationen sammeln und analysieren, welche für die Finanzunternehmen, die in den Anwendungsbereich eines spezifischen TLPT fallen, relevant sind, und entsprechende relevante und realistische Bedrohungsszenarien entwickeln;
11.
„TLPT-Anbieter“ Tester und Anbieter von Bedrohungsanalysen;
12.
„Hilfestellung“ oder „Leg-up“ die Unterstützung oder Informationen, die das Kontrollteam den Testern zur Verfügung stellt, um es ihnen zu ermöglichen, einen Angriffspfad fortzusetzen, wenn sie allein nicht weiterkommen, und wenn es keine andere vernünftige Alternative gibt, z. B. wenn für einen TLPT nicht genug Zeit oder Ressourcen zur Verfügung stehen;
13.
„Angriffspfad“ den Pfad, dem die Tester während des aktiven Red-Team-Tests folgen, um die für diesen TLPT vordefinierten Ziele zu erreichen;
14.
„Flags“ oder „vordefinierte Ziele“ Kernziele der IKT-Systeme zur Unterstützung kritischer oder wichtiger Funktionen eines Finanzunternehmens, die die Tester mit dem Test zu erreichen versuchen;
15.
„sensible Informationen“ Informationen, die leicht für Angriffe auf die IKT-Systeme des Finanzunternehmens genutzt werden können, geistiges Eigentum, vertrauliche Geschäftsdaten oder personenbezogene Daten, die dem Finanzunternehmen und seinem Ökosystem direkt oder indirekt schaden könnten, wenn sie in die Hände böswilliger Akteure fallen würden;
16.
„Pool“ alle Finanzunternehmen, die an einem gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 teilnehmen;
17.
„Aufnahmemitgliedstaat“ den Aufnahmemitgliedstaat gemäß den sektorspezifischen Rechtsvorschriften der Union, die für das betreffende Finanzunternehmen gelten;
18.
„gemeinsamer TLPT“ einen TLPT, bei dem es sich nicht um einen gebündelten TLPT im Sinne des Artikels 26 Absatz 4 der Verordnung (EU) 2022/2554 handelt und an dem mehrere Finanzunternehmen beteiligt sind, die denselben gruppeninternen IKT-Dienstleister in Anspruch nehmen oder derselben Gruppe angehören und IKT-Systeme gemeinsam nutzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 2
Bestimmung der Finanzunternehmen, die zur Durchführung eines TLPT verpflichtet sind
RTS TLPT (2025/1190)
(1)
Die TLPT-Behörden prüfen, ob ein Finanzunternehmen zur Durchführung eines TLPT verpflichtet ist, und berücksichtigen dabei die Auswirkungen dieses Finanzunternehmens, seinen systemischen Charakter und sein IKT-Risikoprofil auf der Grundlage aller folgenden Kriterien:
a)
Faktoren in Verbindung mit Auswirkungen und systemischem Charakter: i) Größe des Finanzunternehmens, die sich danach richtet, ob das Finanzunternehmen Finanzdienstleistungen in einem oder mehreren Mitgliedstaaten erbringt, und die durch Vergleich der Tätigkeiten des Finanzunternehmens mit denen anderer Finanzunternehmen, die ähnliche Dienstleistungen erbringen, ermittelt wird, ii) Ausmaß und Art der Verflechtung des Finanzunternehmens mit anderen Finanzunternehmen des Finanzsektors in einem oder mehreren Mitgliedstaaten, iii) Kritikalität oder Bedeutung der Dienstleistungen, die das Finanzunternehmen für den Finanzsektor erbringt, iv) Substituierbarkeit der von dem betreffenden Finanzunternehmen erbrachten Dienstleistungen, v) Komplexität des Geschäftsmodells des Finanzunternehmens und der damit verbundenen Dienstleistungen und Prozesse, vi) Frage, ob das Finanzunternehmen Teil einer Gruppe systemischen Charakters auf Unionsebene oder auf nationaler Ebene im Finanzsektor ist und IKT-Systeme gemeinsam nutzt;
b)
Faktoren in Verbindung mit dem IKT-Risiko: i) Risikoprofil des Finanzunternehmens, ii) Bedrohungslage des Finanzunternehmens, iii) Grad der Abhängigkeit kritischer oder wichtiger Funktionen des Finanzunternehmens oder seiner unterstützenden Funktionen von IKT-Systemen und -Prozessen, iv) Komplexität der IKT-Architektur des Finanzunternehmens, v) Von IKT-Drittdienstleistern unterstützte IKT-Dienstleistungen und -Funktionen sowie Anzahl und Art der vertraglichen Vereinbarungen mit IKT-Drittdienstleistern oder gruppeninternen IKT-Dienstleistern, vi) Ergebnisse etwaiger aufsichtlicher Überprüfungen, die für die Bewertung der IKT-Reife des Finanzunternehmens relevant sind, vii) Reifegrad der IKT-Geschäftsfortführungspläne und IKT-Reaktions- und Wiederherstellungspläne, viii) Reifegrad der operativen IKT-Sicherheitskontrollen und Risikominderungsmaßnahmen, einschließlich der Fähigkeit, 1. die IKT-Infrastruktur des Finanzunternehmens dauerhaft zu überwachen, 2. IKT-bezogene Ereignisse in Echtzeit zu erkennen, 3. die unter Ziffer 2 genannten Ereignisse zu analysieren, 4. auf die unter Ziffer 2 genannten Ereignisse schnell und wirksam zu reagieren, ix) Frage, ob das Finanzunternehmen Teil einer Gruppe ist, die auf Unionsebene oder auf nationaler Ebene im Finanzsektor tätig ist und IKT-Systeme gemeinsam nutzt.
Für die Zwecke des Buchstabens a Ziffer i berücksichtigt die TLPT-Behörde nach Möglichkeit
a)
den Marktanteil des Finanzunternehmens auf Unions- und nationaler Ebene,
b)
das Spektrum der vom Finanzunternehmen angebotenen Tätigkeiten,
c)
den Marktanteil der vom Finanzunternehmen erbrachten Dienstleistungen oder der auf Unions- und nationaler Ebene durchgeführten Tätigkeiten.
Für die Zwecke des Buchstabens a Ziffer v berücksichtigt die TLPT-Behörde, soweit möglich,
a)
ob das Finanzunternehmen über mehr als ein Geschäftsmodell verfügt,
b)
die Verflechtung der verschiedenen Geschäftsprozesse und der damit verbundenen Dienstleistungen.
(2)
Die TLPT-Behörden verlangen von allen folgenden Finanzunternehmen die Durchführung von TLPT, es sei denn, die Bewertung eines Finanzunternehmens gemäß Absatz 1 hat ergeben, dass seine Auswirkungen, Bedenken hinsichtlich der Finanzstabilität in Bezug auf das betreffende Finanzunternehmen oder sein IKT-Risikoprofil die Durchführung eines TLPT nicht rechtfertigen:
a)
Kreditinstitute, die eine der folgenden Bedingungen erfüllen: i) Sie wurden gemäß Artikel 131 der Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates (7) als global systemrelevante Institute (G-SRI) eingestuft. ii) Sie wurden gemäß Artikel 131 der Richtlinie 2013/36/EU als andere systemrelevante Institute („A-SRI“) ermittelt. iii) Sie sind Teil eines G-SRI oder A-SRI.
b)
Zahlungsinstitute, die in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, einen Gesamtbetrag der Zahlungsvorgänge im Sinne von Artikel 4 Ziffer 5 der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates (8) von 150 Mrd. EUR überschritten haben,
c)
E-Geld-Institute, die in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, entweder einen Gesamtbetrag der Zahlungsvorgänge im Sinne von Artikel 4 Ziffer 5 der Richtlinie (EU) 2015/2366 von 150 Mrd. EUR oder einen Gesamtbetrag des E-Geld-Umlaufs von 40 Mrd. EUR überschritten haben,
d)
Zentralverwahrer,
e)
zentrale Gegenparteien,
f)
Handelsplätze mit einem elektronischen Handelssystem, die eines der folgenden Kriterien erfüllen: i) Der Handelsplatz hat in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, in Bezug auf den Umsatz auf nationaler Ebene den höchsten Marktanteil in einem der folgenden Bereiche: 1. übertragbare Wertpapiere im Sinne des Artikels 4 Absatz 1 Nummer 44 Buchstabe a der Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates (9), 2. übertragbare Wertpapiere im Sinne des Artikels 4 Absatz 1 Nummer 44 Buchstabe b der Richtlinie 2014/65/EU, 3. Derivate im Sinne des Artikels 2 Absatz 1 Nummer 29 der Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates (10), 4. strukturierte Finanzprodukte im Sinne des Artikels 2 Absatz 1 Nummer 28 der Verordnung (EU) Nr. 600/2014, 5. Emissionszertifikate im Sinne des Anhangs I Abschnitt C Nummer 11 der Richtlinie 2014/65/EU, ii) Der Handelsplatz hat in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, in Bezug auf den Umsatz auf Unionsebene einen Marktanteil von über 5 % in einem der folgenden Bereiche: 1. Aktien und andere, Aktien oder Anteilen an Gesellschaften, Personengesellschaften oder anderen Rechtspersönlichkeiten gleichzustellende Wertpapiere sowie Aktienzertifikate, 2. Schuldverschreibungen oder andere verbriefte Schuldtitel, einschließlich Zertifikaten (Hinterlegungsscheinen) für solche Wertpapiere, 3. Derivate, die in Artikel 2 Absatz 1 Nummer 29 der Verordnung (EU) Nr. 600/2014 definiert sind, 4. strukturierte Finanzprodukte im Sinne des Artikels 2 Absatz 1 Nummer 28 der Verordnung (EU) Nr. 600/2014, 5. Emissionszertifikate im Sinne des Anhangs I Abschnitt C Nummer 11 der Richtlinie 2014/65/EU.
g)
Versicherungs- und Rückversicherungsunternehmen, die alle folgenden Kriterien erfüllen: i) Die verbuchten Bruttoprämieneinnahmen betragen mehr als 1 500 000 000 EUR. ii) Die versicherungstechnischen Rückstellungen betragen mehr als 10 000 000 000 EUR. iii) Versicherungsunternehmen, die nur in der Lebensversicherung oder die sowohl in der Lebensversicherung als auch in der Nichtlebensversicherung tätig sind und deren Vermögenswerte insgesamt 3,5 % der Summe der gemäß Artikel 75 der Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates bewerteten gesamten Vermögenswerte (11) der in dem Mitgliedstaat niedergelassenen Versicherungs- und Rückversicherungsunternehmen übersteigen.
Für die Zwecke des Buchstabens f Ziffer ii wird für den Fall, dass der Handelsplatz Teil eines gruppenübergreifenden IKT-Systems oder desselben gruppeninternen IKT-Dienstleisters ist, der Umsatz mit den Wertpapieren und Derivatkontrakten an allen Handelsplätzen berücksichtigt, die derselben Gruppe angehören und in der Union niedergelassen sind.
Für die Zwecke des Buchstabens g ermitteln die TLPT-Behörden eine Untergruppe aller Versicherungs- und Rückversicherungsunternehmen und wenden die unter Buchstabe g Ziffern i, ii und iii festgelegten Kriterien an. Zu dieser Untergruppe gehörende Versicherungs- und Rückversicherungsunternehmen sind zur Durchführung von TLPT verpflichtet, wenn sie eines der folgenden Kriterien erfüllen:
a)
verbuchte Bruttoprämieneinnahmen von mehr als 3 000 000 000 EUR,
b)
versicherungstechnische Rückstellungen von mehr als 30 000 000 000 EUR,
c)
Summe der Vermögenswerte übersteigt 10 % der Summe der gemäß Artikel 75 der Richtlinie 2009/138/EG bewerteten gesamten Vermögenswerte der in dem Mitgliedstaat niedergelassenen Versicherungs- und Rückversicherungsunternehmen.
(3)
Erfüllen mehrere Finanzunternehmen, die derselben Gruppe angehören und IKT-Systeme gemeinsam nutzen, oder mehrere Finanzunternehmen, die denselben gruppeninternen IKT-Dienstleister in Anspruch nehmen, die in Absatz 2 genannten Kriterien, so entscheiden die für diese Finanzunternehmen zuständigen TLPT-Behörden gemäß Artikel 16 Absatz 2, ob die Pflicht zur Durchführung von TLPT auf Einzelbasis für diese Finanzunternehmen relevant ist.
Unterscheidet sich die für das Mutterunternehmen einer in Unterabsatz 1 genannten Gruppe von Finanzunternehmen zuständige TLPT-Behörde von den für die Finanzunternehmen der Gruppe zuständigen TLPT-Behörden, so wird diese Behörde von den TLPT-Behörden, die für die zu dieser Gruppe gehörenden Finanzunternehmen zuständig sind, zu der Frage konsultiert, ob TLPT auf Einzelbasis durchgeführt werden sollten.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 3
TCT- und TLPT-Testmanager
RTS TLPT (2025/1190)
(1)
Eine TLPT-Behörde überträgt die Zuständigkeit für die Koordinierung der mit TLPT verbundenen Aktivitäten einem Test-Cyberteam (im Folgenden „TCT“). Ein TCT setzt sich aus Testmanagern zusammen, die mit der Beaufsichtigung eines einzelnen TLPT betraut sind.
(2)
Für jeden Test benennt die TLPT-Behörde einen Testmanager und mindestens einen Stellvertreter.
(3)
Die Testmanager überwachen, ob die in dieser Verordnung festgelegten Anforderungen eingehalten werden, und stellen deren Einhaltung sicher.
(4)
Der Testmanager teilt dem Finanzunternehmen die Kontaktdaten des TCT im Wege der in Artikel 9 Absatz 1 genannten Aufforderung mit.
(5)
Die TLPT-Behörde nimmt an allen Phasen des TLPT teil.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 4
Von den Finanzunternehmen zu treffende organisatorische Vorkehrungen
RTS TLPT (2025/1190)
(1)
Die Finanzunternehmen benennen ein Kontrollteam, das für die laufende Umsetzung des TLPT sowie die Entscheidungen und Maßnahmen des Kontrollteams zuständig ist.
1 Sollmaßnahme
TLPT.004TLPT-Organisation: Benennung des Kontrollteam-Leiters
(2)
Finanzunternehmen legen organisatorische und verfahrenstechnische Maßnahmen fest, um sicherzustellen, dass
1 Sollmaßnahme
TLPT.008TLPT-Organisation: Organisatorische Rahmenbedingungen
a)
der Zugang zu Informationen über geplante oder laufende TLPT dem Kontrollteam, dem Leitungsorgan, den Testern, dem Anbieter von Bedrohungsanalysen und der TLPT-Behörde nur in dem Maße gewährt wird, in dem die Kenntnis der Informationen notwendig ist,
1 Sollmaßnahme zu lit. a
TLPT.009TLPT-Organisation: Zugriffsbeschränkung auf TLPT-Informationen
b)
das Kontrollteam die Testmanager konsultiert, bevor es ein Mitglied des Blue Teams in einen TLPT einbindet,
1 Sollmaßnahme zu lit. b
TLPT.010TLPT-Steuerung: Konsultation vor Blue-Team-Einbeziehung
c)
das Kontrollteam informiert wird, wenn ein Mitarbeiter des Finanzunternehmens oder seiner Drittdienstleister den TLPT aufdeckt, im Falle einer Eskalation der sich daraus ergebenden Reaktion auf Vorfälle das Kontrollteam erforderlichenfalls eine solche Eskalation eindämmt,
1 Sollmaßnahme zu lit. c
TLPT.011TLPT-Steuerung: Reaktion bei Testaufdeckung
d)
Vereinbarungen über die Geheimhaltung des TLPT bestehen, die für die Mitarbeiter des Finanzunternehmens, die Mitarbeiter der betreffenden IKT-Drittdienstleister, Tester und den Anbieter von Bedrohungsanalysen gelten,
1 Sollmaßnahme zu lit. d
TLPT.012TLPT-Organisation: Geheimhaltungsvereinbarungen
e)
das Kontrollteam den Testmanagern auf Anfrage alle Informationen über den TLPT zur Verfügung stellt,
1 Sollmaßnahme zu lit. e
TLPT.013TLPT-Steuerung: Informationsbereitstellung an Testmanager
f)
sich die am TLPT beteiligten Parteien nach Möglichkeit nur mit Codenamen darauf beziehen.
1 Sollmaßnahme zu lit. f
TLPT.014TLPT-Steuerung: Vertraulichkeit durch Codenamen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 5
Risikomanagement bei TLPT
RTS TLPT (2025/1190)
(1)
Während der Vorbereitungsphase gemäß Artikel 9 bewertet das Kontrollteam die Risiken im Zusammenhang mit Tests der Live-Produktionssysteme kritischer oder wichtiger Funktionen des Finanzunternehmens, einschließlich möglicher Auswirkungen auf
a)
den Finanzsektor,
b)
die Finanzstabilität auf Unions- oder nationaler Ebene.
Das Kontrollteam überprüft diese Auswirkungen während des gesamten Tests.
1 Sollmaßnahme
TLPT.039TLPT-Testerauswahl: Risikomanagement bei Testerbeauftragung
(2)
Für die Zwecke der Risikobewertung und des Risikomanagements berücksichtigt das Kontrollteam mindestens die folgenden Arten von Risiken in Verbindung mit
a)
der Gewährung des Zugangs zu sensiblen Informationen über das Finanzunternehmen für die Anbieter von Bedrohungsanalysen und gegebenenfalls externe Tester,
b)
der unzureichenden Einhaltung der Verordnung (EU) 2022/2554 und der vorliegenden Verordnung bei der Durchführung des TLPT, wenn diese unzureichende Einhaltung dazu führt, dass die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung nicht ausgestellt wird, auch wenn diese unzureichende Einhaltung auf Verletzungen der Vertraulichkeit des TLPT oder mangelndes ethisches Verhalten zurückzuführen ist,
c)
einer Eskalation in eine Krise oder einen Vorfall,
d)
der aktiven Red-Team-Phase, einschließlich der Risiken in Verbindung mit der Unterbrechung kritischer Tätigkeiten und der Datenkorruption aufgrund der Aktivitäten der Tester, und ihrer potenziellen Auswirkungen auf Dritte,
e)
der Aktivität des Blue Teams, einschließlich der Risiken in Verbindung mit der Unterbrechung kritischer Tätigkeiten und der Datenkorruption aufgrund der Aktivitäten des Blue Teams, und ihrer potenziellen Auswirkungen auf Dritte,
f)
der unvollständigen Wiederherstellung der vom TLPT betroffenen Systeme.
1 Sollmaßnahme
TLPT.040TLPT-Steuerung: Risikoarten der TLPT-Risikobewertung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 6
Risikomanagement bei gebündelten oder gemeinsamen TLPT
RTS TLPT (2025/1190)
(1)
Im Falle eines gemeinsamen TLPT oder eines gebündelten TLPT führt das Kontrollteam jedes Finanzunternehmens eine eigene Risikobewertung durch und legt seine eigenen Risikomanagementmaßnahmen fest.
(2)
Das Kontrollteam des gemäß Artikel 16 Absatz 3 Buchstabe b dieser Verordnung benannten Finanzunternehmens oder das gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 benannte Finanzunternehmen bewertet die Risiken in Verbindung mit der Beteiligung mehrerer Finanzunternehmen an dem TLPT. Die Kontrollteams der beteiligten Finanzunternehmen arbeiten mit dem Kontrollteam des benannten Finanzunternehmens zusammen, um potenzielle gemeinsame Risiken zu ermitteln.
1 Sollmaßnahme
TLPT.062TLPT-Steuerung: Individuelle Risikobewertung bei gemeinsamen TLPTs
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 7
Auswahl der TLPT-Anbieter
RTS TLPT (2025/1190)
(1)
Das Kontrollteam ergreift Maßnahmen zur Steuerung der mit dem TLPT verbundenen Risiken und stellt insbesondere sicher, dass bei jedem TLPT
1 Sollmaßnahme
TLPT.050TLPT-Steuerung: Risikosteuerung durch das Kontrollteam
a)
der Anbieter von Bedrohungsanalysen und externe Tester dem Kontrollteam einen ausführlichen Lebenslauf und Kopien von Bescheinigungen vorlegen, die nach anerkannten Marktstandards eine geeignete Grundlage für die Durchführung ihrer Tätigkeiten sind,
1 Sollmaßnahme zu lit. a
TLPT.020TLPT-Testerauswahl: Vertragliche Erklärungen der Tester
b)
der Anbieter von Bedrohungsanalysen und externe Tester ordnungsgemäß und vollständig durch einschlägige Berufshaftpflichtversicherungen abgesichert sind, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit,
1 Sollmaßnahme zu lit. b
TLPT.021TLPT-Testerauswahl: Versicherungsnachweis
c)
der Anbieter von Bedrohungsanalyen mindestens drei Referenzen aus früheren Aufträgen im Zusammenhang mit Penetrationstests und Red-Team-Testing vorlegt,
1 Sollmaßnahme zu lit. c
TLPT.022TLPT-Testerauswahl: Referenznachweise Bedrohungsanalyse-Anbieter
d)
die externen Tester mindestens fünf Referenzen aus früheren Aufträgen im Zusammenhang mit Penetrationstests und Red-Team-Testing vorlegen,
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
e)
die dem TLPT zugewiesenen Mitarbeiter des Anbieters von Bedrohungsanalysen i) aus mindestens einer Führungskraft mit mindestens fünf Jahren Erfahrung im Bereich der Bedrohungsanalyse und mindestens einem weiteren Mitglied mit mindestens zwei Jahren Erfahrung im Bereich der Bedrohungsanalyse besteht, ii) ein breites und angemessenes Niveau an Fachkenntnissen und beruflichen Qualifikationen aufweist, darunter 1. Kenntnis der Taktiken, Techniken und Verfahren zur Informationsgewinnung, 2. geopolitisches, technisches und sektorbezogenes Wissen, 3. angemessene Kommunikationsfähigkeiten, um das Ergebnis des Arbeitsauftrags klar darzulegen und darüber Bericht zu erstatten, iii) in der Vergangenheit an insgesamt mindestens drei Arbeitsaufträgen im Bereich der Bedrohungsanalyse im Zusammenhang mit Penetrationstests und Red-Team-Tests beteiligt war, iv) nicht gleichzeitig Blue-Team-Aufgaben oder andere Dienstleistungen ausführt, die einen Interessenkonflikt hinsichtlich des an dem TLPT, dem sie zugewiesen sind, beteiligten Finanzunternehmens, IKT-Drittdienstleisters oder gruppeninternen IKT-Dienstleisters darstellen könnten, v) von Mitarbeitern desselben TLPT-Anbieters, der externe Tester für denselben TLPT bereitstellt, getrennt ist und diesen nicht Bericht erstattet,
2 Sollmaßnahmen zu lit. e · 1 Zieldokument
TLPT-Testerauswahl· 2 hierkatalogweit 13 in 3 Artikeln
TLPT.023TLPT-Testerauswahl: Qualifikation Bedrohungsanalyse-Personal
TLPT.024TLPT-Testerauswahl: Personelle Trennung
f)
bei externen Testern das dem TLPT zugewiesene Red Team i) aus mindestens einer Führungskraft mit mindestens fünf Jahren Erfahrung mit Penetrationstests und Red-Team-Tests sowie mindestens zwei weiteren Testern, die jeweils mindestens zwei Jahre Erfahrung mit Penetrationstests und Red-Team-Tests haben, besteht, ii) ein breites und angemessenes Niveau an Fachkenntnissen und beruflichen Qualifikationen aufweist, darunter Kenntnisse über die Geschäftstätigkeit des Finanzunternehmens, Auskundschaftung, Risikomanagement, Exploit-Entwicklung, physische Penetration, Social Engineering und Schwachstellenanalyse, und angemessene Kommunikationsfähigkeiten besitzt, um das Ergebnis des Arbeitsauftrags klar darzulegen und darüber Bericht zu erstatten, iii) in der Vergangenheit an insgesamt mindestens fünf Arbeitsaufträgen im Zusammenhang mit Penetrationstests und Red-Team-Tests beteiligt war, iv) weder bei einem Anbieter von Bedrohungsanalysen, der gleichzeitig Blue-Team-Aufgaben für ein an dem TLPT beteiligtes Finanzunternehmen, einen IKT-Drittdienstleister oder einen gruppeninternen IKT-Dienstleister wahrnimmt, beschäftigt ist noch Dienstleistungen für einen solchen Anbieter erbringt, v) von Mitarbeitern desselben TLPT-Anbieters getrennt ist, der gleichzeitig Bedrohungsanalyse-Dienstleistungen für denselben TLPT erbringt,
2 Sollmaßnahmen zu lit. f · 1 Zieldokument
TLPT-Testerauswahl· 2 hierkatalogweit 13 in 3 Artikeln
TLPT.025TLPT-Testerauswahl: Qualifikation Red-Team-Personal
TLPT.026TLPT-Testerauswahl: Unabhängigkeit des Red Teams
g)
die Tester und der Anbieter von Bedrohungsanalysen am Ende der Tests Wiederherstellungsverfahren durchführen, einschließlich der sicheren Löschung von Informationen im Zusammenhang mit Passwörtern, Zugangsdaten und anderen geheimen Schlüsseln, die während des TLPT kompromittiert wurden, der sicheren Kommunikation mit den Finanzunternehmen über die kompromittierten Konten, der sicheren Erfassung, Speicherung, Verwaltung und Vernichtung anderer während der Tests erhobener Daten,
1 Sollmaßnahme zu lit. g
TLPT.051TLPT-Steuerung: Wiederherstellung nach Testende
h)
die Tester zusätzlich zu den Wiederherstellungsverfahren am Ende der Tests gemäß Buchstabe g die folgenden Wiederherstellungsverfahren durchführen: i) Deaktivierung von Command-and-Control-Diensten, ii) Kill Switches für Umfang und Datum, iii) Entfernung von Hintertüren und anderer Schadsoftware, iv) Meldung möglicher Sicherheitsverletzungen, v) Verfahren für die künftige Backup-Wiederherstellung, die während des Tests installierte Schadsoftware oder Tools betreffen können, vi) Überwachung der Aktivitäten des Blue Teams und Unterrichtung des Kontrollteams, wenn der Test aufgedeckt wird,
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
i)
die Tester und der Anbieter von Bedrohungsanalysen keine der folgenden Aktivitäten durchführen oder sich daran beteiligen: i) unbefugte Zerstörung von Ausrüstung des Finanzunternehmens und gegebenenfalls seiner IKT-Drittdienstleister, ii) unkontrollierte Veränderung der Informationen und IKT-Ressourcen des Finanzunternehmens und gegebenenfalls seiner IKT-Drittdienstleister, iii) vorsätzliche Gefährdung der Kontinuität kritischer oder wichtiger Funktionen des Finanzunternehmens, iv) unbefugte Einbeziehung von Systemen, die nicht in den Anwendungsbereich fallen, v) unbefugte Offenlegung der Testergebnisse.
1 Sollmaßnahme zu lit. i
TLPT.052TLPT-Steuerung: Schutz vor Datenzerstörung
(2)
Das Kontrollteam führt Aufzeichnungen über die von den Testern und den Anbietern von Bedrohungsanalysen zum Nachweis der Einhaltung von Absatz 1 Buchstaben a bis f bereitgestellten Dokumente.
In Ausnahmefällen können Finanzunternehmen externe Tester und Anbieter von Bedrohungsanalysen beauftragen, die eine oder mehrere der in Absatz 1 Buchstaben a bis f genannten Anforderungen nicht erfüllen, sofern diese Finanzunternehmen geeignete Maßnahmen ergreifen, um die Risiken in Verbindung mit der Nichteinhaltung dieser Buchstaben zu mindern, und über diese Maßnahmen Aufzeichnungen führen.
1 Sollmaßnahme
TLPT.027TLPT-Testerauswahl: Compliance-Prüfung durch Kontrollteam
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 8
Besondere Anforderungen bei gebündelten oder gemeinsamen TLPT
RTS TLPT (2025/1190)
(1)
Sofern die federführende TLPT-Behörde nichts anderes beschließt, führt jedes Finanzunternehmen für den Fall, dass mehrere gemäß Artikel 16 Absätze 2 oder 4 ermittelte Finanzunternehmen an einem gebündelten oder gemeinsamen TLPT beteiligt sind, jeden der in den Artikeln 9 bis 15 genannten Schritte aus.
1 Sollmaßnahme
TLPT.062TLPT-Steuerung: Individuelle Risikobewertung bei gemeinsamen TLPTs
(2)
Sofern in dieser Verordnung nichts anderes bestimmt ist, sind für den Fall, dass mehrere TLPT-Behörden an einem gemeinsamen TLPT oder einem gebündelten TLPT gemäß Artikel 16 Absatz 3 oder Artikel 16 Absatz 5 beteiligt sind, Bezugnahmen auf „TLPT-Behörde“ in den Artikeln 9 bis 15 als Bezugnahme auf die federführende TLPT-Behörde für einen solchen gebündelten oder gemeinsamen TLPT zu verstehen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 9
Vorbereitungsphase
RTS TLPT (2025/1190)
(1)
Ein nach Artikel 26 Absatz 8 Unterabsatz 3 der Verordnung (EU) 2022/2554 bestimmtes Finanzunternehmen leitet einen TLPT ein, nachdem es von der TLPT-Behörde eine Aufforderung zur Durchführung eines TLPT erhalten hat.
(2)
Das Finanzunternehmen übermittelt den Testmanagern innerhalb von drei Monaten nach Erhalt der in Absatz 1 genannten Aufforderung alle folgenden Informationen über die Einleitung des TLPT:
a)
Projektcharta mit einem übergeordneten Projektplan, der die in Anhang I aufgeführten Angaben enthält,
b)
Kontaktdaten des Leiters des Kontrollteams,
c)
Informationen über den beabsichtigten Einsatz interner oder externer Tester oder beidem, wie in Artikel 15 dargelegt,
d)
Angaben zu den Kommunikationskanälen, die während des TLPT genutzt werden sollen,
e)
Codename für den TLPT.
1 Sollmaßnahme
TLPT.007TLPT-Organisation: Projektmanagement
(3)
Sind die in Absatz 2 Buchstaben a bis e genannten Informationen vollständig und stellen die Angemessenheit und wirksame Durchführung des TLPT sicher, so validiert die TLPT-Behörde die vom Finanzunternehmen vorgelegten Informationen, die die Einleitung des TLPT betreffen, und unterrichtet das Finanzunternehmen über die Validierung.
1 Sollmaßnahme
TLPT.003TLPT-Organisation: Information der Testmanager zum Testbeginn
(4)
Nach der Validierung der Informationen über die Einleitung des TLPT durch die TLPT-Behörde richtet das Finanzunternehmen ein Kontrollteam ein, das den Leiter des Kontrollteams bei seinen folgenden Aufgaben unterstützt:
a)
Festlegung von Kommunikationskanälen und -prozessen innerhalb des Kontrollteams, mit den Testern und den Anbietern von Bedrohungsanalysen in allen mit dem TLPT verbundenen Belangen,
b)
Unterrichtung des Leitungsorgans des Finanzunternehmens über den Fortgang des TLPT und die damit verbundenen Risiken,
c)
Entscheidungsfindung auf der Grundlage von Fachkompetenz während des gesamten TLPT,
d)
Durchführung des TLPT im Einklang mit dieser Verordnung,
e)
Auswahl des Anbieters von Bedrohungsanalysen für den TLPT,
f)
Auswahl der externen Tester, der internen Tester oder beidem,
g)
Ausarbeitung des Scoping-Dokuments zur Festlegung des Testumfangs.
1 Sollmaßnahme
TLPT.006TLPT-Organisation: Aufgaben des Kontrollteams
(5)
Ist die TLPT-Behörde der Auffassung, dass die anfängliche Zusammensetzung des Kontrollteams und etwaige spätere Änderungen der Zusammensetzung für die Erfüllung der in Absatz 4 genannten Aufgaben angemessen sind, so validiert die TLPT-Behörde das Kontrollteam und unterrichtet den Leiter des Kontrollteams über diese Validierung.
1 Sollmaßnahme
TLPT.005TLPT-Organisation: Einrichtung des Kontrollteams
(6)
Das Finanzunternehmen legt den Testmanagern innerhalb von sechs Monaten nach Eingang der Unterrichtung der TLPT-Behörde gemäß Absatz 1 ein Dokument zur Beschreibung des Testumfangs mit allen in Anhang II aufgeführten Informationen vor. Das Leitungsorgan des Finanzunternehmens genehmigt das Scoping-Dokument.
↕ Bindet mit Abs. 12 zusammen — die gemeinsame Sollmaßnahme steht dort.
(7)
Die Finanzunternehmen berücksichtigen bei der Einbeziehung kritischer oder wichtiger Funktionen in den Anwendungsbereich des TLPT die folgenden Kriterien:
a)
Kritikalität oder Bedeutung der Funktion und ihre möglichen Auswirkungen auf den Finanzsektor und die Finanzstabilität auf Unions- und nationaler Ebene,
b)
Bedeutung der Funktion für den laufenden Geschäftsbetrieb des Finanzunternehmens,
c)
Austauschbarkeit der Funktion,
d)
Verflechtung mit anderen Funktionen,
e)
geografischer Standort der Funktion,
f)
sektorale Abhängigkeit anderer Unternehmen von der Funktion,
g)
Bedrohungsanalysen in Bezug auf die Funktion, soweit vorhanden.
1 Sollmaßnahme
TLPT.017TLPT-Scoping: Auswahlkriterien
(8)
Das Kontrollteam legt die Informationen über die Einleitung des TLPT und das Scoping-Dokument den Testern und Anbietern von Bedrohungsanalysen vor, sobald diese beauftragt wurden. Das Kontrollteam informiert die Tester und Anbieter von Bedrohungsanalysen über das anzuwendende Testverfahren.
1 Sollmaßnahme
TLPT.042TLPT-Testplanung: Informationsbereitstellung an Tester
(9)
Das Finanzunternehmen stellt sicher, dass die Beauftragung oder Zuweisung von Testern und Anbietern von Bedrohungsanalysen vor Beginn der Testphase abgeschlossen ist.
1 Sollmaßnahme
TLPT.028TLPT-Testplanung: Beauftragung von Testern und Anbietern
(10)
Vor Einleitung der Testphase konsultiert das Kontrollteam die Testmanager zur TLPT-bezogenen Risikobewertung und zu den Risikomanagementmaßnahmen. Das Kontrollteam überprüft die Risikobewertung bzw. die Risikomanagementmaßnahmen, wenn die TLPT-Behörde der Auffassung ist, dass sie den mit dem TLPT verbundenen Risiken nicht angemessen Rechnung tragen.
1 Sollmaßnahme
TLPT.041TLPT-Testerauswahl: Behördenkonsultation zur Risikobewertung
(11)
Das Kontrollteam bewertet die Einhaltung der Anforderungen des Artikels 27 der Verordnung (EU) 2022/2554 und des Artikels 7 Absatz 1 der vorliegenden Verordnung durch die Anbieter von Bedrohungsanalysen und Tester, die es in den TLPT einbeziehen möchte, und dokumentiert das Ergebnis dieser Bewertung. Das Kontrollteam wählt die Anbieter von Bedrohungsanalysen nach Maßgabe dieser Bewertung und seiner Risikomanagementpraktiken aus. Vor der Beauftragung der ausgewählten Anbieter von Bedrohungsanalysen und externen Tester legt das Kontrollteam den Testmanagern Nachweise vor, dass diese Anbieter und Tester die Anforderungen des Artikels 27 der Verordnung (EU) 2022/2554 und des Artikels 7 Absatz 1 der vorliegenden Verordnung erfüllen. Das Kontrollteam darf die ausgewählten Anbieter von Bedrohungsanalysen und externen Tester nicht beauftragen, wenn die TLPT-Behörde der Auffassung ist, dass die ausgewählten Anbieter von Bedrohungsanalysen und externen Tester die Anforderungen des Artikels 27 der Verordnung (EU) 2022/2554 oder die in Artikel 7 Absatz 1 der vorliegenden Verordnung festgelegten Anforderungen oder zusätzliche Anforderungen, die sich aus einzelstaatlichen Rechtsvorschriften über die Sicherheit im Einklang mit dem Unionsrecht ergeben, nicht erfüllen, oder wenn das Finanzunternehmen die Anforderungen des Artikels 7 Absatz 2 Unterabsatz 1 der vorliegenden Verordnung nicht erfüllt oder wenn die in Artikel 7 Absatz 2 Unterabsatz 2 der vorliegenden Verordnung genannten Voraussetzungen nicht gegeben sind.
3 Sollmaßnahmen · 1 Zieldokument
TLPT-Testerauswahl· 3 hierkatalogweit 13 in 3 Artikeln
TLPT.029TLPT-Testerauswahl: Regulatorische Compliance-Prüfung
TLPT.030TLPT-Testerauswahl: Compliance-basierte Auswahl
TLPT.031TLPT-Testerauswahl: Ausschluss bei Interessenkonflikten
(12)
Ist das Scoping-Dokument vollständig und gewährleistet die Durchführung eines angemessenen und wirksamen TLPT, so genehmigt die TLPT-Behörde dieses Dokument und unterrichtet den Leiter des Kontrollteams darüber.
1 Sollmaßnahme
TLPT.018TLPT-Organisation: Erstellung des Scoping-Dokuments
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 10
Testphase: Bedrohungsanalyse
RTS TLPT (2025/1190)
(1)
Nach Genehmigung des Scoping-Dokuments durch die TLPT-Behörde analysiert der Anbieter von Bedrohungsanalysen allgemeine und sektorspezifische Informationen über Bedrohungen, die für das Finanzunternehmen relevant sind. Hat die TLPT-Behörde für den Finanzsektor eines Mitgliedstaats Informationen über die allgemeine Bedrohungslage bereitgestellt, so kann der Anbieter von Bedrohungsanalysen diese Informationen als Grundlage für die nationale Bedrohungslage verwenden. Der Anbieter von Bedrohungsanalysen ermittelt Cyberbedrohungen sowie bestehende oder potenzielle Schwachstellen in Bezug auf das Finanzunternehmen. Darüber hinaus sammelt der Anbieter von Bedrohungsanalysen Informationen über das Finanzunternehmen und analysiert konkrete, verwertbare und kontextbezogene Informationen zu möglichen Angriffszielen und Bedrohungen betreffend das Finanzunternehmen, unter anderem durch Konsultation des Kontrollteams und der Testmanager.
(2)
Der Anbieter von Bedrohungsanalysen legt dem Kontrollteam, den Testern und den Testmanagern die relevanten Bedrohungen und spezifische Bedrohungsinformationen dar und schlägt die erforderlichen Szenarien vor. Die vorgeschlagenen Szenarien sollen sich abhängig von den ermittelten Angreifern und den entsprechenden Taktiken, Techniken und Verfahren unterscheiden und auf jede kritische oder wichtige Funktion im Anwendungsbereich des TLPT abzielen.
1 Sollmaßnahme
TLPT.043TLPT-Durchführung: Bedrohungsanalyse
(3)
Der Leiter des Kontrollteams wählt mindestens drei Szenarien für die Durchführung des TLPT aus und berücksichtigt dabei alle folgenden Elemente:
a)
Empfehlung des Anbieters von Bedrohungsanalysen und bedrohungsorientierter Charakter jedes Szenarios,
b)
Beiträge der Testmanager,
c)
Durchführbarkeit der vorgeschlagenen Szenarien auf der Grundlage der Experteneinschätzung der Tester,
d)
Größe, Komplexität und Gesamtrisikoprofil des Finanzunternehmens sowie Art, Umfang und Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäftsprozesse.
(4)
Höchstens eines der ausgewählten Szenarien darf nicht bedrohungsorientiert sein und kann auf einer zukunftsorientierten und potenziell fiktiven Bedrohung mit hohem prädiktivem, antizipativem, opportunistischem oder prospektivem Wert angesichts der erwarteten Entwicklungen der Bedrohungslage für das Finanzunternehmen beruhen.
Bei gebündelten TLPT umfasst unbeschadet der Szenarien, die direkt auf die kritischen oder wichtigen Funktionen der an dem Test beteiligten Finanzunternehmen ausgerichtet sind, mindestens ein Szenario die einschlägigen zugrunde liegenden IKT-Systeme, -Prozesse und -Technologien des IKT-Drittdienstleisters, die die kritischen oder wichtigen Funktionen der in den Anwendungsbereich fallenden Finanzunternehmen unterstützen.
Handelt es sich bei dem Test um einen gemeinsamen TLPT, an dem ein gruppeninterner IKT-Dienstleister beteiligt ist, umfasst unbeschadet der Szenarien, die direkt auf die kritischen oder wichtigen Funktionen der an dem Test beteiligten Finanzunternehmen ausgerichtet sind, mindestens ein Szenario die einschlägigen zugrunde liegenden IKT-Systeme, -Prozesse und -Technologien des gruppeninternen IKT-Dienstleiters, die die kritischen oder wichtigen Funktionen der in den Anwendungsbereich fallenden Finanzunternehmen unterstützen.
1 Sollmaßnahme
TLPT.044TLPT-Testplanung: Bewertung von Testszenarien
(5)
Bedrohungsanalysebericht, in dem die gemäß den Absätzen 3 und 4 ausgewählten Szenarien berücksichtigt sind. Der Bedrohungsanalysebericht enthält die in Anhang III aufgeführten Informationen.
(6)
Das Kontrollteam legt dem Testmanager den spezifischen Bedrohungsanalysebericht zur Genehmigung vor. Ist der spezifische Bedrohungsanalysebericht vollständig und gewährleistet die Durchführung eines wirksamen TLPT, so genehmigt die TLPT-Behörde diesen Bericht und unterrichtet den Leiter des Kontrollteams darüber.
1 Sollmaßnahme
TLPT.045TLPT-Durchführung: Genehmigung des Bedrohungsanalyseberichts
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 11
Testphase: Red-Team-Test
RTS TLPT (2025/1190)
(1)
Nach Genehmigung des spezifischen Bedrohungsanalyseberichts durch die TLPT-Behörde arbeiten die Tester den Red-Team-Testplan aus, der die in Anhang IV aufgeführten Informationen enthält. Die Tester verwenden als Grundlage für die Entwicklung der Angriffsszenarien das Scoping-Dokument und den spezifischen Bedrohungsanalysebericht.
1 Sollmaßnahme
TLPT.046TLPT-Testplanung: Erstellung des Red-Team-Testplans
(2)
Die Tester konsultieren das Kontrollteam, den Anbieter von Bedrohungsanalysen und die Testmanager zu dem Red-Team-Testplan, einschließlich der Kommunikations-, Verfahrens- und Projektmanagementmodalitäten, der vorbereitenden Maßnahmen und Anwendungsfälle für die Aktivierung der Hilfestellungen sowie der Modalitäten für die Berichterstattung an das Kontrollteam und die Testmanager.
(3)
Ist der Red-Team-Testplan vollständig und gewährleistet die Durchführung eines wirksamen TLPT, so genehmigen das Kontrollteam und die TLPT-Behörde den Plan und die TLPT-Behörde unterrichtet den Leiter des Kontrollteams darüber.
1 Sollmaßnahme
TLPT.047TLPT-Durchführung: Abstimmung zwischen Testern und Kontrollteam
(4)
Nach Genehmigung des Red-Team-Testplans gemäß Absatz 3 führen die Tester den TLPT während der aktiven Red-Team-Testphase durch.
(5)
Die Dauer der aktiven Red-Team-Testphase steht in einem angemessenen Verhältnis zum Umfang des TLPT sowie zur Größe, Tätigkeit, Komplexität und Anzahl der am TLPT beteiligten Finanzunternehmen und IKT-Drittdienstleister oder gruppeninternen IKT-Dienstleister und beträgt in jedem Fall mindestens zwölf Wochen. Angriffsszenarien können nacheinander oder gleichzeitig durchgeführt werden. Das Kontrollteam, der Anbieter von Bedrohungsanalysen, die Tester und die Testmanager einigen sich auf das Ende der aktiven Red-Team-Testphase.
(6)
Sofern die Vollständigkeit des Red-Team-Testplans weiterhin gewährleistet ist und die Durchführung eines wirksamen TLPT möglich ist, genehmigen der Leiter des Kontrollteams und die Testmanager etwaige Änderungen des Red-Team-Testplans nach dessen Genehmigung, die sich auf den Zeitplan, den Umfang, die anzugreifenden Ziele oder die Flags beziehen können.
(7)
Während der gesamten aktiven Red-Team-Testphase erstatten die Tester dem Kontrollteam und den Testmanagern mindestens wöchentlich über den Fortgang des TLPT Bericht, und der Anbieter von Bedrohungsanalysen steht dem Kontrollteam auf Anfrage für Konsultationen und zusätzliche Bedrohungsanalysen zur Verfügung.
(8)
Das Kontrollteam leistet rechtzeitig die auf der Grundlage des Red-Team-Testplans ausgearbeiteten Hilfestellungen. Nach Genehmigung durch das Kontrollteam und die Testmanager können Hilfestellungen hinzugefügt oder angepasst werden.
(9)
Werden die Testaktivitäten von einem Mitarbeiter des Finanzunternehmens oder gegebenenfalls seines IKT-Drittdienstleisters oder eines gruppeninternen IKT-Dienstleisters aufgedeckt, so schlägt das Kontrollteam den Testmanagern in Absprache mit den Testern und unbeschadet des Absatzes 10 Maßnahmen vor, die es ermöglichen, den TLPT fortzusetzen und gleichzeitig die Geheimhaltung zu wahren; diese Vorschläge werden von den Testmanagern validiert.
(10)
Unter außergewöhnlichen Umständen, die das Risiko von Auswirkungen auf Daten, Schäden an Vermögenswerten und Störungen kritischer oder wichtiger Funktionen, Dienste oder Tätigkeiten des Finanzunternehmens selbst, seiner IKT-Drittdienstleister oder gruppeninternen IKT-Dienstleister oder Störungen bei seinen Gegenparteien oder im Finanzsektor hervorrufen, kann der Leiter des Kontrollteams den TLPT aussetzen oder als letztes Mittel, wenn die Fortsetzung des TLPT nicht anderweitig möglich ist und vorbehaltlich der vorherigen Validierung durch die TLPT-Behörde, den TLPT mit einer begrenzten Purple-Teaming-Übung fortführen. Die Dauer der begrenzten Purple-Teaming-Übung wird auf die Mindestdauer der aktiven Red-Team-Testphase von zwölf Wochen gemäß Absatz 5 angerechnet.
1 Sollmaßnahme
TLPT.049TLPT-Durchführung: Einhaltung des Red-Team-Testplans
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 12
Abschlussphase
RTS TLPT (2025/1190)
(1)
Nach dem Ende der aktiven Red-Team-Testphase teilt der Leiter des Kontrollteams dem Blue Team mit, dass ein TLPT stattgefunden hat.
(2)
Innerhalb von vier Wochen nach dem Ende der aktiven Red-Team-Testphase legen die Tester dem Kontrollteam einen Red-Team-Testbericht vor, der die in Anhang V aufgeführten Informationen enthält.
(3)
Das Kontrollteam legt den Red-Team-Testbericht umgehend dem Blue Team und den Testmanagern vor.
Sofern von den Testmanagern verlangt, darf der in Unterabsatz 1 genannte Bericht keine sensiblen Informationen enthalten.
(4)
Nach Eingang des Red-Team-Testberichts, spätestens jedoch zehn Wochen nach dem Ende der aktiven Red-Team-Testphase, legt das Blue Team dem Kontrollteam einen Blue-Team- Testbericht vor, der die in Anhang VI aufgeführten Informationen enthält. Das Kontrollteam legt den Blue-Team-Testbericht umgehend den Testern und den Testmanagern vor.
Sofern von den Testmanagern verlangt, darf der in Unterabsatz 1 genannte Bericht keine sensiblen Informationen enthalten.
(5)
Spätestens zehn Wochen nach dem Ende der aktiven Red-Team-Testphase wiederholen das Blue Team und die Tester die während des TLPT vorgenommenen offensiven und defensiven Handlungen. Das Kontrollteam führt zudem Purple-Teaming-Übungen zu Themen durch, die vom Blue Team und den Testern gemeinsam auf der Grundlage der während des Tests festgestellten Schwachstellen ermittelt wurden, und gegebenenfalls zu Fragen, die während der aktiven Red-Team-Testphase nicht getestet werden konnten.
(6)
Nach Abschluss der Wiederholungsaktivitäten und der Purple-Teaming-Übungen geben das Kontrollteam, das Blue Team, die Tester und die Anbieter von Bedrohungsanalysen einander Rückmeldungen zu dem TLPT-Verfahren. Die Testmanager können Rückmeldungen geben.
(7)
Sobald die TLPT-Behörde den Leiter des Kontrollteams darüber unterrichtet hat, dass der Blue-Team-Testbericht und der Red-Team-Testbericht ihrer Bewertung zufolge die in den Anhängen V und VI aufgeführten Informationen enthalten, legt das Finanzunternehmen der TLPT-Behörde gemäß Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554 innerhalb von acht Wochen den Bericht mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT, der die in Anhang VII aufgeführten Angaben enthält, zur Genehmigung vor.
Sofern von der TLPT-Behörde verlangt, darf der in Unterabsatz 1 genannte Bericht keine sensiblen Informationen enthalten.
1 Sollmaßnahme
TLPT.053TLPT-Abschluss: Strukturiertes Abschlussverfahren
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 13
Plan mit Abhilfemaßnahmen
RTS TLPT (2025/1190)
(1)
Innerhalb von acht Wochen nach der in Artikel 12 Absatz 7 der vorliegenden Verordnung genannten Unterrichtung legt das Finanzunternehmen der TLPT-Behörde und — sofern es sich nicht um dieselbe Behörde handelt — der für das Finanzunternehmen zuständigen Behörde die in Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554 genannten Pläne mit Abhilfemaßnahmen und Dokumente vor.
1 Sollmaßnahme
TLPT.056TLPT-Abschluss: Übermittlung des Maßnahmenplans
(2)
Der in Absatz 1 genannte Plan mit Abhilfemaßnahmen enthält für jedes Ergebnis im Rahmen des TLPT Folgendes:
a)
Beschreibung der festgestellten Mängel,
b)
Beschreibung der vorgeschlagenen Abhilfemaßnahmen, ihrer Priorisierung und ihres voraussichtlichen Abschlusses, gegebenenfalls einschließlich Maßnahmen zur Verbesserung der Identifizierungs-, Schutz-, Erkennungs- und Reaktionsfähigkeiten,
c)
Ursachenanalyse,
d)
Mitarbeiter oder Funktionen des Finanzunternehmens, die für die Umsetzung der vorgeschlagenen Abhilfemaßnahmen oder Verbesserungen verantwortlich sind,
e)
Risiken in Verbindung mit einer ausbleibenden Umsetzung der unter Buchstabe b genannten Maßnahmen und gegebenenfalls die mit der Umsetzung dieser Maßnahmen verbundenen Risiken.
1 Sollmaßnahme
TLPT.055TLPT-Abschluss: Inhalte des Maßnahmenplans
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 14
Bescheinigung
RTS TLPT (2025/1190)
(1)
Die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung muss die in Anhang VIII aufgeführten Angaben enthalten.
(2)
Wenn mehrere TLPT-Behörden an einem TLPT beteiligt waren, stellt die federführende TLPT-Behörde den getesteten Finanzunternehmen die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung aus.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 15
Einsatz interner Tester
RTS TLPT (2025/1190)
(1)
Die Finanzunternehmen treffen alle folgenden Vorkehrungen für den Einsatz interner Tester:
a)
Festlegung und Umsetzung einer Strategie für das Management interner Tester bei einem TLPT,
1 Sollmaßnahme zu lit. a
A-5.1.096Richtlinie für das Management interner Tester: Erstellung
b)
Maßnahmen, mit denen sichergestellt wird, dass sich der Einsatz interner Tester für die Durchführung eines TLPT nicht nachteilig auf die allgemeinen Verteidigungs- oder Resilienzfähigkeiten des Finanzunternehmens in Bezug auf IKT-bezogene Vorfälle auswirkt oder sich erheblich auf die Verfügbarkeit von Ressourcen auswirkt, die während eines TLPT für IKT-bezogene Aufgaben eingesetzt werden,
1 Sollmaßnahme zu lit. b
TLPT.035TLPT-Tester: Keine Beeinträchtigung der Resilienzfähigkeit
c)
Maßnahmen, mit denen sichergestellt wird, dass interne Tester über ausreichende Ressourcen und Fähigkeiten verfügen, um einen TLPT durchzuführen.
1 Sollmaßnahme zu lit. c
TLPT.036TLPT-Tester: Ressourcen und Fähigkeiten interner Tester
Die unter Buchstabe a genannte Strategie muss
a)
Kriterien für die Beurteilung von Eignung, Kompetenz und potenziellen Interessenkonflikten der internen Tester enthalten und die Zuständigkeiten der Geschäftsleitung in dem Testverfahren enthalten,
— keine Sollmaßnahme im Katalog zugeordnet
b)
dokumentiert und regelmäßig überprüft werden,
— keine Sollmaßnahme im Katalog zugeordnet
c)
vorsehen, dass dem internen Testteam ein Testmanager und mindestens zwei zusätzliche Mitglieder angehören,
— keine Sollmaßnahme im Katalog zugeordnet
d)
verlangen, dass alle Mitglieder des Testteams in den vorangegangenen zwölf Monaten bei dem Finanzunternehmen oder einem gruppeninternen IKT-Dienstleister beschäftigt waren,
— keine Sollmaßnahme im Katalog zugeordnet
e)
Schulungen zur Durchführung von Penetrationstests und Red-Team-Tests für die internen Tester vorsehen.
— keine Sollmaßnahme im Katalog zugeordnet
(2)
Wenn eine TLPT-Behörde den Einsatz interner Tester gemäß Artikel 27 Absatz 2 Buchstabe a der Verordnung (EU) 2022/2554 genehmigt, berücksichtigt die TLPT-Behörde die in Artikel 7 Absatz 1 der vorliegenden Verordnung festgelegten Anforderungen.
— diesem Absatz ist im Katalog keine Sollmaßnahme zugeordnet
(3)
Beim Einsatz interner Tester stellt das Finanzunternehmen sicher, dass in den folgenden Dokumenten darauf verwiesen wird:
a)
Informationen über die Einleitung des Tests gemäß Artikel 9,
b)
Red-Team-Testbericht gemäß Artikel 12 Absatz 2,
c)
Bericht mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT gemäß den Artikeln 26 Absatz 6 der Verordnung (EU) 2022/2554.
1 Sollmaßnahme
TLPT.037TLPT-Tester: Verweis auf interne Tester in Testdokumenten
(4)
Tester, die bei einem gruppeninternen IKT-Dienstleister beschäftigt sind, gelten als interne Tester des Finanzunternehmens.
1 Sollmaßnahme
TLPT.038TLPT-Tester: Einstufung gruppeninterner Tester
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 16
Zusammenarbeit und gegenseitige Anerkennung
RTS TLPT (2025/1190)
(1)
Für die Durchführung eines TLPT bei einem Finanzunternehmen, das Dienstleistungen in mehr als einem Mitgliedstaat, auch über eine Zweigniederlassung, erbringt, muss die jeweils zuständige TLPT-Behörde
a)
bestimmen, welche TLPT-Behörden in den Aufnahmemitgliedstaaten beteiligt werden sollen; dabei ist zu berücksichtigen, ob eine oder mehrere kritische oder wichtige Funktionen in den Aufnahmemitgliedstaaten ausgeübt oder von diesen gemeinsam genutzt werden,
b)
die gemäß Buchstabe a bestimmten TLPT-Behörden über die Entscheidung, einen TLPT bei dem Finanzunternehmen durchzuführen, unterrichten,
c)
die Leitung des TLPT übernehmen, sofern die TLPT-Behörden nichts anderes vereinbaren.
Die TLPT-Behörden der Aufnahmemitgliedstaaten können innerhalb von zwanzig Arbeitstagen nach Erhalt der Informationen über die künftige Durchführung eines TLPT entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager benennen, der an dem TLPT teilnimmt. Die federführende TLPT-Behörde übermittelt allen TLPT-Behörden, die als Beobachter an dem TLPT teilnehmen, das Scoping-Dokument, den zusammenfassenden Testbericht, den Plan mit Abhilfemaßnahmen und die Bescheinigung.
Die federführende TLPT-Behörde koordiniert alle teilnehmenden TLPT-Behörden während des gesamten Tests und trifft alle Entscheidungen, die für eine angemessene und wirksame Durchführung des TLPT erforderlich sind. Die federführende TLPT-Behörde kann festlegen, dass die Zahl der teilnehmenden TLPT-Behörden eine bestimmte Schwelle nicht übersteigen darf, wenn andernfalls die wirksame Durchführung des TLPT gefährdet werden könnte.
(2)
Nimmt ein Finanzunternehmen denselben gruppeninternen IKT-Dienstleister in Anspruch wie Finanzunternehmen mit Sitz in anderen Mitgliedstaaten oder gehört es einer Gruppe an und nutzt IKT-Systeme gemeinsam mit Finanzunternehmen derselben Gruppe, die in anderen Mitgliedstaaten niedergelassen sind, so wendet sich die für das Finanzunternehmen zuständige TLPT-Behörde an die für die anderen Finanzunternehmen zuständigen TLPT-Behörden, die dieselben gruppeninternen IKT-Dienstleister in Anspruch nehmen oder IKT-Systeme als Teil der Gruppe gemeinsam nutzen, und bewertet gemeinsam mit diesen die Durchführbarkeit und Eignung eines gemeinsamen TLPT. Ein gemeinsamer TLPT ist einem Einzel-TLPT vorzuziehen, wenn dadurch bei den Finanzunternehmen und den TLPT-Behörden Kosten gesenkt und Ressourcen eingespart werden können, sofern die Belastbarkeit und Wirksamkeit der Tests nicht beeinträchtigt werden.
(3)
Für die Durchführung eines gemeinsamen TLPT gilt Folgendes:
a)
Die für die Finanzunternehmen zuständigen TLPT-Behörden vereinbaren unter Berücksichtigung der Gruppenstruktur und der Wirksamkeit des Tests, welches Finanzunternehmen für die Durchführung des TLPT benannt wird.
b)
Die für das gemäß Buchstabe a benannte Finanzunternehmen zuständige TLPT-Behörde leitet den TLPT, sofern die für die am gemeinsamen TLPT beteiligten Finanzunternehmen zuständigen TLPT-Behörden nichts anderes vereinbaren.
c)
Die für die Finanzunternehmen, bei denen es sich nicht um das benannte Finanzunternehmen handelt, das den gemeinsamen TLPT leitet, zuständigen TLPT-Behörden können entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager für den betreffenden TLPT benennen.
Die federführende TLPT-Behörde koordiniert alle am gemeinsamen TLPT beteiligten TLPT-Behörden und trifft alle Entscheidungen, die für eine belastbare und wirksame Durchführung des gemeinsamen TLPT erforderlich sind.
(4)
Beabsichtigt ein Finanzunternehmen, einen gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 durchzuführen, an dem möglicherweise in anderen Mitgliedstaaten niedergelassene Finanzunternehmen beteiligt sind, so setzt sich seine TLPT-Behörde mit den für die anderen Finanzunternehmen zuständigen TLPT-Behörden in Verbindung und bewertet mit ihnen die Durchführbarkeit und Eignung eines gebündelten TLPT bei diesen Unternehmen gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554.
(5)
Für die Durchführung eines gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554
a)
vereinbaren die für die Finanzunternehmen zuständigen TLPT-Behörden, welches Finanzunternehmen unter Berücksichtigung der IKT-Dienstleistungen, die der IKT-Drittdienstleister für die Finanzunternehmen erbringt, und der Wirksamkeit des Tests benannt wird, um den gebündelten TLPT durchzuführen,
b)
übernimmt die für das gemäß Buchstabe a benannte Finanzunternehmen zuständige TLPT-Behörde die Leitung für den TLPT, sofern die für die am gebündelten TLPT beteiligten Finanzunternehmen zuständigen TLPT-Behörden nichts anderes vereinbaren,
c)
können die für die Finanzunternehmen, bei denen es sich nicht um das benannte Finanzunternehmen handelt, das den gemeinsamen TLPT leitet, zuständigen TLPT-Behörden entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager für den betreffenden TLPT benennen.
Die federführende TLPT-Behörde koordiniert alle am gebündelten TLPT beteiligten TLPT-Behörden und trifft alle Entscheidungen, die für eine belastbare und wirksame Durchführung des gebündelten TLPT erforderlich sind.
(6)
Unterscheidet sich die für ein Finanzunternehmen, das einen TLPT durchführen muss, zuständige TLPT-Behörde von der in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörde, so teilen diese Behörden alle relevanten Informationen über alle mit dem TLPT verbundenen Angelegenheiten für die Zwecke der Durchführung des TLPT oder zur Wahrnehmung ihrer Aufgaben gemäß der genannten Verordnung mit.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Artikel 17
Inkrafttreten
RTS TLPT (2025/1190)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 18.07.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
Anhang I
Inhalt der Projektcharta (Artikel 9 Absatz 2 Buchstabe a)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Information | Erforderliche Angaben |
|---|---|
| Für den Projektplan verantwortliche Person, d. h. Leiter des Kontrollteams | Name Kontaktdaten |
| Tester | ☐ intern ☐ extern ☐ beides |
| Gemäß Artikel 9 Absatz 2 Buchstabe d und Artikel 9 Absatz 4 Buchstabe a gewählte Kommunikationskanäle, einschließlich: a) Verwendung von E-Mail-Verschlüsselung b) Verwendung von Online-Datenräumen c) Verwendung von Instant Messaging | |
| Codename des TLPT | |
| Etwaige kritische oder wichtige Funktionen, die das Finanzunternehmen in anderen Mitgliedstaaten ausübt | 1. Auflistung kritischer oder wichtiger Funktionen, die in einem anderen Mitgliedstaat ausgeübt werden 2. für jede kritische oder wichtige Funktion Angabe des Mitgliedstaats bzw. der Mitgliedstaaten, in dem (denen) sie ausgeübt werden |
| Etwaige kritische oder wichtige Funktionen, die von IKT-Drittdienstleistern unterstützt werden | 3. Auflistung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern unterstützt werden 4. für jede Funktion Angabe des IKT-Drittdienstleisters |
| Voraussichtliche Fristen für den Abschluss | |
| 1. der Vorbereitungsphase gemäß Artikel 9 | JJJJ-MM-TT |
| 2. der Testphase gemäß den Artikeln 10 und 11 | JJJJ-MM-TT |
| 3. der Abschlussphase gemäß Artikel 12 | JJJJ-MM-TT |
| 4. der Erstellung des Plans mit Abhilfemaßnahmen gemäß Artikel 13 | JJJJ-MM-TT |
Anhang II
Inhalt des Scoping-Dokuments (Artikel 9 Absatz 6)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
1.
Das Scoping-Dokument enthält eine Auflistung aller kritischen oder wichtigen Funktionen, die das Finanzunternehmen ermittelt hat.
2.
Für jede ermittelte kritische oder wichtige Funktion sind folgende Angaben zu machen:
a)
Wenn die kritische oder wichtige Funktion nicht in den Anwendungsbereich des TLPT fällt, Erläuterung der Gründe, aus denen sie nicht einbezogen wurde.
b)
Wenn die kritische oder wichtige Funktion in den Anwendungsbereich des TLPT fällt:
i)
Angabe der Gründe für die Einbeziehung,
ii)
das (die) identifizierte(n) IKT-System(e) zur Unterstützung dieser kritischen oder wichtigen Funktion,
iii)
für jedes ermittelte IKT-System:
1.
Angabe, ob es ausgelagert ist, und falls ja, Name des IKT-Drittdienstleisters,
2.
Rechtsräume, in denen das IKT-System verwendet wird,
3.
übergeordnete Beschreibung der vorläufigen Flags, aus der hervorgeht, welcher Sicherheitsaspekt (Vertraulichkeit, Integrität, Authentizität oder Verfügbarkeit) von dem einzelnen Flag erfasst ist.
Anhang III
Inhalt des spezifischen Bedrohungsanalyseberichts (Artikel 10 Absatz 5)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der spezifische Bedrohungsanalysebericht enthält Informationen zu allen folgenden Punkten:
1.
Gesamtumfang der Bedrohungsuntersuchungen, die mindestens Folgendes einbeziehen:
a)
kritische oder wichtige Funktionen, die in den Anwendungsbereich fallen,
b)
ihr geografischer Standort,
c)
verwendete EU-Amtssprache,
d)
relevante IKT-Drittdienstleister,
e)
Zeitraum, in dem die Untersuchungen durchgeführt wurden.
2.
Gesamtbewertung, welche konkreten verwertbaren Informationen über das Finanzunternehmen zu finden sind, unter anderem:
a)
Benutzernamen und Passwörter der Mitarbeiter,
b)
Look-Alike-Domains, die mit offiziellen Domains des Finanzunternehmens verwechselt werden können,
c)
technische Auskundschaftung: (für Exploits) anfällige Software, Systeme und Technologien,
d)
von Mitarbeitern im Internet veröffentlichte Informationen über das Finanzunternehmen, die für die Zwecke eines Angriffs verwendet werden könnten,
e)
Informationen, die im Dark Web verkauft werden,
f)
sonstige einschlägige Informationen, die im Internet oder in öffentlichen Netzwerken verfügbar sind,
g)
gegebenenfalls Informationen über Möglichkeiten des physischen Zugangs, z. B. zu den Räumlichkeiten des Finanzunternehmens.
3.
Bedrohungsanalysen unter Berücksichtigung der allgemeinen Bedrohungslage und der besonderen Situation des Finanzunternehmens, darunter mindestens:
a)
das geopolitische Umfeld,
b)
das wirtschaftliche Umfeld,
c)
technologische und sonstige Trends im Zusammenhang mit den Tätigkeiten im Finanzdienstleistungssektor.
4.
Bedrohungsprofile der böswilligen Akteure (bestimmte Einzelperson/Gruppe oder allgemeine Gruppe), die das Finanzunternehmen angreifen könnten, einschließlich der Systeme des Finanzunternehmens, die von böswilligen Akteuren am wahrscheinlichsten kompromittiert oder angegriffen werden, der möglichen Motivation, Absicht und Gründe für den möglichen zielgerichteten Angriff und der möglichen Vorgehensweise der Angreifer.
5.
Bedrohungsszenarien: mindestens drei End-to-End-Bedrohungsszenarien für die gemäß Nummer 4 ermittelten Bedrohungsprofile, die die höchsten Werte für die Schwere der Bedrohung aufweisen. Die Bedrohungsszenarien beschreiben den End-to-End-Angriffspfad und umfassen mindestens:
a)
ein Szenario, das u. a. eine Kompromittierung der Dienstverfügbarkeit umfasst,
b)
ein Szenario, das u. a. eine Kompromittierung der Datenintegrität umfasst,
c)
ein Szenario, das u. a. die Kompromittierung der Vertraulichkeit von Informationen umfasst.
6.
Gegebenenfalls eine Beschreibung des in Artikel 10 Absatz 4 genannten nicht bedrohungsorientierten Szenarios.
Anhang IV
Inhalt des Red-Team-Testplans (Artikel 11 Absatz 1)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der Red-Team-Testplan enthält Informationen zu allen folgenden Punkten:
a)
Kommunikationskanäle und -verfahren,
b)
für den Angriff zulässige und nicht zulässige Taktiken, Techniken und Verfahren, einschließlich ethischer Grenzen für Social Engineering,
c)
von den Testern zu ergreifende Risikomanagementmaßnahmen,
d)
Beschreibung jedes Szenarios, einschließlich
i)
des simulierten Angreifers,
ii)
seiner Absicht, Motivation und Ziele,
iii)
der Funktionen und der unterstützenden IKT-Systeme, gegen die sich der Angriff richtet,
iv)
der Aspekte der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität, auf die der Angriff ausgerichtet ist,
v)
Flags,
e)
detaillierte Beschreibung jedes voraussichtlichen Angriffspfads, einschließlich der Voraussetzungen und etwaigen Hilfestellungen durch das Kontrollteam, mit Angabe der zeitlichen Vorgaben für deren Aktivierung und potenziellen Verwendung,
f)
Planung der Red-Teaming-Aktivitäten, einschließlich der Zeitplanung für die Durchführung jedes Szenarios, mindestens aufgeschlüsselt nach den drei Phasen, die ein Tester während der Testphase absolviert, d. h. Eindringen in die IKT-Systeme des Finanzunternehmens, Bewegung durch die IKT-Systeme und letztlich Erreichen des Angriffsziels und Rückzug aus den IKT-Systemen (In-, Through- und Out-Phase),
g)
Besonderheiten der Infrastruktur der Finanzunternehmen, die bei den Tests zu berücksichtigen sind,
h)
gegebenenfalls zusätzliche Informationen oder sonstige Ressourcen, die die Tester für die Ausführung der Szenarien benötigen.
Anhang V
Inhalt des Red-Team-Testberichts (Artikel 12 Absatz 2)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der Red-Team-Testbericht enthält mindestens Informationen zu allen folgenden Punkten:
a)
Informationen über den durchgeführten Angriff, einschließlich Angaben zu
i)
den angegriffenen kritischen oder wichtigen Funktionen und ermittelten IKT-Systemen, -Prozessen und -Technologien, die die kritische oder wichtige Funktion unterstützen, wie im Red-Team-Testplan festgelegt,
ii)
Zusammenfassung jedes Szenarios,
iii)
erreichte und nicht erreichte Flags,
iv)
erfolgreich und nicht erfolgreich verfolgte Angriffspfade,
v)
erfolgreich und nicht erfolgreich angewandte Taktiken, Techniken und Verfahren,
vi)
etwaige Abweichungen vom Red-Team-Testplan,
vii)
etwaige Hilfestellungen,
b)
alle Aktivitäten, von denen die Tester wissen, dass sie vom Blue Team durchgeführt wurden, um den Angriff zu rekonstruieren und seine Auswirkungen abzumildern,
c)
festgestellte Schwachstellen und andere Probleme, einschließlich:
i)
Beschreibung der Schwachstelle und anderer Probleme, einschließlich ihrer Kritikalität,
ii)
Ursachenanalyse erfolgreicher Angriffe,
iii)
Empfehlungen für Abhilfemaßnahmen mit Priorisierung.
Anhang VI
Inhalt des Blue-Team-Testberichts (Artikel 12 Absatz 4)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der Blue-Team-Testbericht enthält mindestens Informationen zu allen folgenden Punkten:
1.
Für jeden von den Testern im Red-Team-Testbericht beschriebenen Angriffsschritt:
a)
Auflistung der entdeckten Angriffshandlungen,
b)
Protokolleinträge für diese entdeckten Handlungen,
2.
Bewertung der Ergebnisse und Empfehlungen der Tester,
3.
vom Blue Team gesammelte Beweise für den Angriff durch die Tester,
4.
Blue-Team-Ursachenanalyse erfolgreicher Angriffe durch die Tester,
5.
Auflistung der gewonnenen Erkenntnisse und ermittelten Verbesserungspotenziale,
6.
Auflistung der Themen, die beim Purple-Teaming behandelt werden sollen.
Anhang VII
Inhalt des Berichts mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT gemäß Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der zusammenfassende Testbericht muss mindestens Angaben zu allen folgenden Punkten enthalten:
a)
beteiligte Parteien,
b)
Projektplan,
c)
validierter Umfang, einschließlich der Gründe für die Einbeziehung oder den Ausschluss kritischer oder wichtiger Funktionen und ermittelter IKT-Systeme, -Prozesse und -Technologien, die die vom TLPT erfassten kritischen oder wichtigen Funktionen unterstützen,
d)
gewählte Szenarien und etwaige erhebliche Abweichungen vom spezifischen Bedrohungsanalysebericht,
e)
verfolgte Angriffspfade und angewandte Taktiken, Techniken und Verfahren,
f)
erreichte und nicht erreichte Flags,
g)
etwaige Abweichungen vom Red-Team-Testplan,
h)
etwaige vom Blue Team aufgedeckte Handlungen,
i)
Purple-Teaming in der Testphase, sofern durchgeführt, und zugrunde liegende Voraussetzungen,
j)
etwaige Hilfestellungen,
k)
ergriffene Risikomanagementmaßnahmen,
l)
festgestellte Schwachstellen und andere Probleme, einschließlich ihrer Kritikalität,
m)
Ursachenanalyse erfolgreicher Angriffe,
n)
umfassender Plan mit Abhilfemaßnahmen, in dem Schwachstellen und andere festgestellte Probleme, ihre Ursachen und die Priorität der Behebung zueinander in Beziehung gesetzt werden,
o)
Erkenntnisgewinn aus den Rückmeldungen.
Anhang VIII
Inhalt der Bescheinigung über den TLPT gemäß Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Die Bescheinigung enthält mindestens alle folgenden Angaben:
a)
Zum durchgeführten TLPT:
i)
Beginn und Ende des TLPT,
ii)
die kritischen oder wichtigen Funktionen, die Gegenstand des Tests waren,
iii)
gegebenenfalls Informationen über kritische oder wichtige Funktionen, die Gegenstand des Tests waren und für die der TLPT nicht durchgeführt wurde,
iv)
etwaige andere Finanzunternehmen, die an dem TLPT beteiligt waren,
v)
etwaige IKT-Drittdienstleister, die an dem TLPT beteiligt waren,
vi)
zu den Testern:
1.
Angabe, ob interne Tester eingesetzt wurden,
2.
Angabe, ob das Finanzunternehmen von Artikel 5 Absatz 3 Unterabsatz 2 Gebrauch gemacht hat,
vii)
Dauer der aktiven Red-Team-Testphase in Kalendertagen,
b)
wenn mehrere TLPT-Behörden an dem TLPT beteiligt waren: Nennung der anderen TLPT-Behörden und Angabe, in welcher Eigenschaft sie daran beteiligt waren,
c)
Aufstellung der Dokumente, die von der TLPT-Behörde für die Ausstellung der Bescheinigung geprüft wurden.
JC 2024 34
Gemeinsame Leitlinien für die Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste gemäß der Verordnung (EU) 2022/2554
GL Kosten & Verluste (JC 2024 34)
1 Sollmaßnahme
A-5.25.011IKT-Vorfallklassifikation: Aggregierte jährliche Kosten- und Verlustschätzung
Diese Leitlinien enthalten Verweise auf delegierte Verordnungen und Durchführungsverordnungen der Europäischen Kommission, die noch nicht im Amtsblatt der EU veröffentlicht wurden. Sobald diese Verordnungen im Amtsblatt veröffentlicht sind, werden diese Verweise in diese Leitlinien aufgenommen und die Leitlinien fertiggestellt. Die Verweise werden in die gelb markierten Abschnitte eingefügt. Der Zeitpunkt der Anwendung dieser Leitlinien kann erst festgelegt werden, wenn diese Leitlinien fertiggestellt sind. Der voraussichtliche Zeitpunkt für die Anwendung dieser Leitlinien ist der 17. Januar 2025. Sollte es zu Verzögerungen bei der Fertigstellung dieser Leitlinien kommen, gelten diese Leitlinien spätestens zwei Monate nach dem Datum der Veröffentlichung der Übersetzungen dieser Leitlinien in allen Amtssprachen der EU.
Status dieser gemeinsamen Leitlinien
Dieses Dokument enthält gemeinsame Leitlinien, die gemäß Artikel 16 der Verordnung (EU) Nr. 1093/20101, Artikel 16 der Verordnung (EU) Nr. 1094/20102 und Artikel 16 der Verordnung (EU) Nr. 1095/20103 („die ESA-Verordnungen“) herausgegeben wurden. Gemäß Artikel 16 Absatz 3 der ESA-Verordnungen unternehmen die zuständigen Behörden und Finanzinstitute alle erforderlichen Anstrengungen, um diesen Leitlinien nachzukommen. In den gemeinsamen Leitlinien wird dargelegt, welche Aufsichtspraktiken nach Ansicht der ESA im Rahmen des Europäischen Finanzaufsichtssystems angemessen sind oder wie das Unionsrecht in einem bestimmten Bereich angewendet werden sollte. Zuständige Behörden, an die sich die gemeinsamen Leitlinien richten, sollten diese in geeigneter Weise in ihre Aufsichtspraktiken aufnehmen (z. B. durch Änderung ihres Rechtsrahmens oder ihrer Aufsichtsverfahren), auch dann, wenn die gemeinsamen Leitlinien in erster Linie an Institute gerichtet sind.
Meldepflichten
Nach Artikel 16 Absatz 3 der ESA-Verordnungen müssen die zuständigen Behörden der jeweiligen ESA bis zum 19.05.2025 (zwei Monate nach der Herausgabe der Leitlinien) mitteilen, ob sie diesen gemeinsamen Leitlinien/Empfehlungen nachkommen oder nachzukommen beabsichtigen, oder die Gründe nennen, warum sie dies nicht tun. Geht innerhalb der genannten Frist keine Meldung ein, geht die jeweilige ESA davon aus, dass die zuständige Behörde den Leitlinien nicht nachkommt. Meldungen sind unter Angabe der Referenz „JC/GL/2024/34“ an compliance@eba.europa.eu, compliance@eiopa.europa.eu und DORA@esma.europa.eu zu richten. Eine entsprechende Meldevorlage steht auf den Websites der ESA zur Verfügung. Die Meldungen sollten durch Personen erfolgen, die befugt sind, entsprechende Meldungen im Auftrag ihrer zuständigen Behörde zu übermitteln. Die Meldungen werden gemäß Artikel 16 Absatz 3 auf den ESA-Websites veröffentlicht.
Titel I – Gegenstand, Anwendungsbereich, Adressaten und Begriffsbestimmungen
Gegenstand und Anwendungsbereich
1.Mit diesen Leitlinien soll das den Europäischen Aufsichtsbehörden gemäß Artikel 11 Absatz 11 der Verordnung (EU) 2022/2554 4 erteilte Mandat erfüllt werden, gemeinsame Leitlinien für die Schätzung der durch schwerwiegende IKT-bezogene Vorfälle verursachten aggregierten jährlichen Kosten gemäß Artikel 11 Absatz 10 dieser Verordnung auszuarbeiten. Diese Leitlinien enthalten auch eine gemeinsame Vorlage für die Meldung der aggregierten jährlichen Kosten und Verluste.
Adressaten
2.Diese Leitlinien richten sich an zuständige Behörden im Sinne von Artikel 46 der Verordnung (EU) 2022/2554 sowie an Finanzinstitute im Sinne von Artikel 4 Absatz 1 der Verordnung (EU) Nr. 1093/2010, Artikel 4 Absatz 1 der Verordnung (EU) Nr. 1094/2010 und Artikel 4 Absatz 1 der Verordnung (EU) Nr. 1095/2010.
Begriffsbestimmungen
3.Die in der Verordnung (EU) 2022/2554 verwendeten und definierten Begriffe haben in diesen Leitlinien dieselbe Bedeutung.
Titel II - Durchführung
Geltungsbeginn
4.Diese Leitlinien gelten ab dem 19.05.2025.
Titel III – Bestimmungen über die Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste
5.Finanzunternehmen sollten die von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste schätzen, indem sie die Kosten und Verluste für schwerwiegende IKT-bezogene Vorfälle aggregieren, die in das Referenzjahr fallen, für das die zuständige Behörde die Schätzung angefordert hat. Finanzunternehmen können als Referenzjahr entweder das abgeschlossene Kalenderjahr oder das abgeschlossene Geschäftsjahr des Finanzunternehmens, für welches das Finanzunternehmen seinen Jahresabschluss erstellt hat, wählen. Die Entscheidung eines Finanzunternehmens, ob die Schätzung auf der Grundlage des Kalenderjahres oder des Geschäftsjahres vorgelegt wird, sollte auch bei künftigen Schätzungen der aggregierten jährlichen Kosten und Verluste gelten. Finanzunternehmen können diese Entscheidung ändern, indem sie dies der zuständigen Behörde mitteilen, und unter der Voraussetzung, dass die zuständige Behörde innerhalb von zwei Monaten nach Eingang der Mitteilung keine Einwände dagegen erhebt. Finanzunternehmen sollten Kosten und Verluste im Zusammenhang mit Vorfällen, die vor oder nach diesem Referenzjahr liegen, nicht berücksichtigen.
6.Finanzunternehmen sollten in die Schätzung alle IKT-bezogenen Vorfälle einbeziehen, die unabhängig von den Gründen gemäß der Delegierten Verordnung der Kommission [OJ L, 2024/1772, 25.6.2024]5 zur Klassifizierung von Vorfällen als schwerwiegend eingestuft wurden, und
(a)für die das Finanzunternehmen in dem betreffenden Referenzjahr gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 eine Abschlussmeldung vorgelegt hat, oder
(b)Vorfälle, zu denen das Finanzunternehmen in früheren Referenzjahren gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 eine Abschlussmeldung vorgelegt hat und die im betreffenden Referenzjahr quantifizierbare finanzielle Auswirkungen auf das Finanzunternehmen hatten.
7.Finanzunternehmen sollten die aggregierten jährlichen Kosten und Verluste schätzen, indem sie wie folgt vorgehen:
(a)Sie sollten die Kosten und Verluste für jeden einzelnen schwerwiegenden IKT-bezogenen Vorfall schätzen. Bei diesen Schätzungen sollten die Bruttokosten und -verluste unter Berücksichtigung der Arten von Kosten und Verlusten gemäß Artikel 7 Absätze 1 und 2 der Delegierten Verordnung der Kommission [OJ L, 2024/1772, 25.6.2024] ermittelt werden;
(b)für jeden schwerwiegenden IKT-bezogenen Vorfall sollten Finanzunternehmen auch die finanziellen Wiedereinziehungen schätzen, wie in Anhang II der Durchführungsverordnung der Kommission [OJ L, 2025/302, 20.2.2025]6 festgelegt;
(c)Finanzunternehmen sollten die Bruttokosten und -verluste sowie die finanziellen Wiedereinziehungen für alle schwerwiegenden IKT-bezogenen Vorfälle aggregieren.
8.Als Grundlage für die Schätzungen sollten Finanzunternehmen die Kosten, Verluste und finanziellen Wiedereinziehungen heranziehen, die in ihren Jahresabschlüssen wie der Gewinn- und Verlustrechnung oder gegebenenfalls in ihren Meldungen des betreffenden Referenzjahres an die Aufsicht ausgewiesen sind. Bei ihrer Schätzung sollten Finanzunternehmen auch buchhalterische Rückstellungen einbeziehen, die in ihren Jahresabschlüssen wie der Gewinn- und Verlustrechnung des betreffenden Referenzjahres ausgewiesen sind. Sind keine genauen Daten verfügbar, sollten Finanzunternehmen ihre Schätzung so weit wie möglich auf andere verfügbare Daten und Informationen stützen.
9.Finanzunternehmen sollten Anpassungen der Kosten und Verluste einer Schätzung, die sie für ein Vorjahr vorgelegt haben, in die Schätzung des betreffenden Referenzjahres aufnehmen, in dem die Anpassungen vorgenommen wurden.
10.Finanzunternehmen sollten in der Meldung ihrer Schätzung der aggregierten jährlichen Kosten und Verluste auch die Aufschlüsselung der in die Aggregation einbezogenen Bruttokosten und -verluste und der finanziellen Wiedereinziehungen für jeden schwerwiegenden IKT-bezogenen Vorfall aufnehmen.
11.Finanzunternehmen sollten für die Übermittlung der Schätzung ihrer aggregierten jährlichen Kosten und Verluste für das Referenzjahr die im Anhang beigefügte Vorlage verwenden. Für jeden der in die Schätzung des Referenzjahres einbezogenen Posten gemäß den Absätzen 6 und 9 sollten Finanzunternehmen dieselben vom Finanzunternehmen bereitgestellten Referenzcodes für Vorfälle verwenden, die auch in der Abschlussmeldung gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 verwendet werden.
1 Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Bankenaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/78/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 12).
2 Verordnung (EU) Nr. 1094/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/79/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 48-83).
3 Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Wertpapier- und Marktaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/77/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 84-119).
4 Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die Betriebsstabilität digitaler Systeme im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1-79).
5 Delegierte Verordnung (EU) 2024/1772 der Kommission vom 13. März 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, der Wesentlichkeitsschwellen und der Einzelheiten von Meldungen schwerwiegender Vorfälle. [OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj]
6 Durchführungsverordnung (EU) 2025/302 der Kommission vom 23. Oktober 2024 zur Festlegung technischer Durchführungsstandards für die Anwendung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates im Hinblick auf Standardformulare, Vorlagen und Verfahren für Finanzunternehmen zur Meldung eines schwerwiegenden IKT- bezogenen Vorfalls oder einer erheblichen Cyberbedrohung. [OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj]
Anhang I
Meldevorlage für Bruttokosten und -verluste und finanzielle Wiedereinziehungen in einem Referenzjahr
GL Kosten & Verluste (JC 2024 34)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Name des Finanzunternehmens | |
|---|---|
| Legal Entity Identifier (LEI-Code) | |
| Anfangs- und Enddatum des Referenzjahres des Finanzunternehmens | |
| Währung |
| Nummer des Vorfalls | Datum der Einreichung der Abschlussmeldung des Vorfalls | Referenznummer des Vorfalls | Durch den Vorfall entstandene Bruttokosten und -verluste im Referenzjahr (Angaben in 1000) | Wiedereinziehungen in Bezug auf den Vorfall im Referenzjahr (Angaben in 1000) |
|---|---|---|---|---|
| 1 | ||||
| 2 | ||||
| … | ||||
| Gesamtbetrag für das Referenzjahr | ----------- | ----------- |
Hinweise der Aufsichtsbehörden
71 Einträge · 96 verlinkte Dokumente · Stand 07.08.2026
Kuratierte Linksammlung zu den Veröffentlichungen der Aufsichtsbehörden mit DORA-Bezug — BaFin, Deutsche Bundesbank, die drei ESAs (EBA/ESMA/EIOPA), EZB-Bankenaufsicht und ESRB. Die Sammlung ersetzt seit dem 07.08.2026 die früheren Rubriken „Erwartungshaltung von BaFin und Bundesbank“ und „Informationen der Europäischen Aufsicht“: statt eigener Auswertungen je Dokument steht hier je Eintrag ein Link und ein bis zwei Zeilen dazu, was dahintersteckt. Der Mehrwert ist die Sammlung, nicht die Zusammenfassung. Gegliedert nach Thema, nicht nach Herausgeber (Autorin-Votum 07.08.2026). Nicht enthalten sind die Rechtsakte selbst — DORA, RTS/ITS und die Leitlinie Kosten & Verluste haben eigene Bereiche und stehen mit amtlichem Link in der Rechtstexte-Liste des Cockpits.
Einstiege und Nachschlagewerke9Umsetzung und IKT-Risikomanagement10Meldewesen schwerwiegender Vorfälle8Informationsregister und Anzeigepflichten5IKT-Drittparteien, Cloud und Konzentrationsrisiko13Prüfungspraxis und Aufsichtsschwerpunkte12KI, Cyberlage und neue Bedrohungen10Tests der digitalen operationalen Resilienz4
Einstiege und Nachschlagewerke
Die Startpunkte der Behörden — von hier führen alle weiteren Dokumente ab.
Einstiegsseite mit allen DORA-Themenbereichen und den FAQ der Aufsicht — dieselben FAQ, die im Navigator als BaFin-Kästen an den Artikeln hängen.
Einstiegsseite der Bundesbank zum IT-Risikomanagement — hier liegen auch sämtliche Protokolle des Fachgremiums IT.
Das offizielle Dashboard der Single-Rulebook-Q&As — die Quelle der ESA-Q&A-Kästen im Navigator.
Einseiter: alle Dokumentationspflichten aus DORA und den Level-2-Texten, sortiert nach Strategien, Richtlinien und sonstigen Dokumenten.
Sammelverweis auf die Folien der IT-Aufsichtsveranstaltungen, unter anderem „Das erste Jahr DORA“ vom 04.12.2025.
- BaFin-FAQ zu DORA — die acht Themenseiten
Die Fragen und Antworten der deutschen Aufsicht, gegliedert nach DORA-Kapiteln. Im Navigator stecken dieselben Antworten als Kästen an den Artikeln — hier stehen sie in ihrer Originalfassung bei der BaFin.
8 Einzeldokumente anzeigen
- IKT-Risikomanagement
- Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle
- Testen der digitalen operationalen Resilienz einschließlich TLPT
- Management des IKT-Drittparteienrisikos
- Informationsregister und Anzeigepflichten
- Überwachungsrahmen für kritische IKT-Drittdienstleister
- Informationsaustausch sowie Cyberkrisen- und Notfallübungen
- MVP-Fachverfahren DORA (Einreichung über das Melde-Portal)
- Q&A-Werkzeuge der drei ESAs
Jede der drei Behörden führt ihr eigenes Q&A-Werkzeug; die DORA-Antworten werden gemeinsam abgestimmt und laufen im Joint-Register zusammen. Wer eine eigene Auslegungsfrage stellen will, tut es hier.
- DORA-Startseiten der drei ESAs
Die Einstiegsseiten von EBA, EIOPA und ESMA zu DORA — von dort führen Leitlinien, Statements und die Überwachung der kritischen Anbieter ab.
- Europäische Kommission — Cyber-Resilienz im Finanzsektor
Die Seite des Gesetzgebers: Sie führt DORA und die darunter erlassenen delegierten Rechtsakte und Durchführungsrechtsakte zusammen — nützlich, um zu sehen, welche Level-2-Texte förmlich angenommen sind und wann.
Umsetzung und IKT-Risikomanagement
Was die Aufsicht zur Umsetzung von DORA erwartet, und was sich gegenüber BAIT und VAIT geändert hat.
Die zentrale deutsche Umsetzungshilfe: 41 Seiten zum IKT-Risikomanagement und IKT-Drittparteienrisikomanagement, inklusive Abgleich BAIT → DORA.
30 Seiten zum vereinfachten IKT-Risikomanagementrahmen für Kleinstunternehmen — die sauberste Abgrenzung regulär gegen vereinfacht.
Die letzte BAIT-Fassung vor dem DORA-Geltungsbeginn — als historische Referenz für den Übergang.
Auftakt der Umsetzungskommunikation: Zeitplan und Betroffenheit, über 3.600 Unternehmen.
Die aufsichtliche Grunderwartung an das IKT-Risikomanagement, formuliert vor dem Geltungsbeginn.
Was sich gegenüber BAIT und VAIT wirklich ändert: erweiterte Verantwortung des Leitungsorgans, Gewicht vom Informationssicherheits- auf das IKT-Risikomanagement.
Zwischenbilanz des Gruppenleiters IT-Aufsicht zum Vorbereitungsstand — am Tag des Geltungsbeginns.
Was für die rund 1.100 Unternehmen unter Artikel 16 entfällt — Begleitinterview zur zweiten Aufsichtsmitteilung.
Governance-Anforderungen unter der CRD — das Nicht-IT-Pendant zum DORA-Governance-Block der Artikel 5 und 6. Eine Novelle ist in Konsultation.
Der Kapitel-II-Einstieg der BaFin: Rahmen, Governance und die zugehörigen Level-2-Texte an einer Stelle.
Meldewesen schwerwiegender Vorfälle
Meldekaskade, Ausfüllhilfen und die veröffentlichten Auswertungen der eingegangenen Meldungen.
Sammelpunkt für Templates, technische Hinweise und Verfahren rund um Erst-, Zwischen- und Abschlussmeldung.
43-seitige Ausfüllhilfe entlang der Felder des ITS 2025/302 — Feld für Feld, mit Beispielen.
Die Meldekaskade erklärt: Erstmeldung, Zwischenmeldung, Abschlussmeldung; die BaFin als zentraler Meldehub.
13 Abbildungen zum ersten vollen Meldejahr, ohne Download — die Zahlen liegen nur auf der Seite.
Erste volle Jahresauswertung des Meldewesens: 733 Vorfälle, die Hälfte bei Dritten verursacht, rund 40 Prozent der Angriffe zielten auf Dienstleister.
Erster Bericht nach Art. 22 DORA: 3.383 Großvorfälle, dazu ausdrückliche Kritik an der divergierenden Meldepraxis.
Der Zugangsweg für alle DORA-Meldungen: Registrierung, Freischaltung und die Voraussetzungen — ohne LEI keine Freischaltung.
Schritt für Schritt durch das Meldeformular im MVP-Portal, inklusive Datei-Upload und automatisierter Übermittlung per Web-Service.
Informationsregister und Anzeigepflichten
Vorlagen, Fristen und die dokumentierten Fehlerbilder aus den bisherigen Einreichungen.
Fristen zur jährlichen Einreichung nach Art. 28 Abs. 3 DORA — 2026 vom 9. bis 30. März —, dazu Vorlagen und Verfahren.
Verbindliche Hinweise zur Registervorlage: Wer die Struktur der Datei ändert, bekommt die Einreichung zurück.
BaFin-Workshop zur Einreichung 2026 — behandelt die Fehler, die im ersten Meldezyklus tatsächlich aufgetreten sind.
Einreichungsweg, Fristen und die typischen Mängel aus dem Trockenlauf 2024: fehlende Pflichtfelder, fehlerhafte LEI.
Der einzige veröffentlichte Fehlerkatalog zur Registereinreichung: Nur 6,5 Prozent bestanden alle 116 Prüfungen.
IKT-Drittparteien, Cloud und Konzentrationsrisiko
Verträge, Auslagerung, kritische Anbieter und die europäische Überwachung der Dienstleister.
Konsolidierte Cloud-Erwartung von BaFin und Bundesbank, 32 Seiten, Nachfolgerin der Orientierungshilfe von 2018.
Zeile-für-Zeile-Auflösung der Vertragspflichten aus Art. 30 DORA; fortgeschrieben wegen der Subcontracting-Verordnung 2025/532.
Sammelpunkt zu Verträgen, Anzeigepflichten und Konzentrationsrisiken bei IKT-Dienstleistern.
Die Auslagerungsdatenbank als aufsichtliches Frühwarnsystem — der gedankliche Vorläufer des Informationsregisters.
Wie die ESAs kritische IKT-Drittdienstleister ermitteln; Zwangsgelder bis 2,5 Mio. Euro gegen Anbieter, die nicht kooperieren.
Paradigmenwechsel: von der Drittparteiensteuerung des einzelnen Unternehmens zur europaweit koordinierten Überwachung der Anbieter.
Die schärfste Einzelzahl der Aufsicht: Über die Hälfte der Unternehmen kann ausgelagerte IT nicht selbst zurückholen. Prüfungen beim Dienstleister sind angekündigt.
Die amtliche Liste der 19 benannten CTPPs — Grundlage für jedes Konzentrations-Argument gegenüber dem Leitungsorgan.
Wie die Überwachung kritischer IKT-Drittdienstleister praktisch abläuft: Joint Examination Teams, Empfehlungen, Follow-up.
Zusammenarbeit der ESAs mit den zuständigen Behörden bei der Überwachung kritischer Anbieter nach Art. 32 Abs. 7 DORA; die deutsche Fassung ist auf der Seite verlinkt.
Was die EZB über DORA hinaus als Good Practice erwartet — für bedeutende Institute faktisch der Maßstab.
Das allgemeine Auslagerungs-Rahmenwerk — gilt neben DORA fort, wo DORA schweigt: Nicht-IKT-Auslagerungen und die Logik des Auslagerungsregisters.
Wie der europäische Überwachungsrahmen für die benannten CTPPs aus deutscher Sicht funktioniert — Kapitel V Abschnitt II DORA.
Prüfungspraxis und Aufsichtsschwerpunkte
Wonach geprüft wird, was beanstandet wird und welche Schwerpunkte die Aufsicht angekündigt hat.
- Fachgremium IT — zwölf Protokolle 2016 bis 2023
Die Auslegungspraxis des gemeinsamen Gremiums von BaFin und Bundesbank: von der BAIT-Entstehung über die Cloud-Themen bis ICT SREP und DORA-Vorbereitung.
12 Einzeldokumente anzeigen
- 20.05.2016 — Entstehung der BAIT: Zielsetzung, IT-Strategie, Informationsrisiko
- 14.10.2016 — Informationssicherheitsmanagement und Benutzerberechtigungen
- 07.10.2021 — Verwertbarkeit von Cloud-Zertifikaten und Testaten
- 02.12.2021 — Cloud-Arbeitsgruppe, Orientierungshilfe und DORA-Vorbereitung
- 01.03.2022 — Cloud-Services in der CMDB
- 09.06.2022 — DORA-Trilogeinigung, Log4j-Lehren und KI-Governance
- 20.09.2022 — Weiterverlagerung von Cloud-Diensten
- 13.12.2022 — ICT SREP: der Sollmaßnahmenkatalog als benannte Schwachstelle
- 20.04.2023 — Sondertermin zum DORA-Überwachungsrahmenwerk
- 31.05.2023 — IT-Betrieb mit Cloud-Diensten
- 27.11.2023 — Ausstieg aus Cloud-Diensten
- 27.11.2023 — IT-Notfallmanagement bei Cloud-Nutzung
Die ausführlichste Beschreibung dessen, was DORA-Prüfungen beanstanden — etwa Schwachstellenscans mindestens wöchentlich und die IKT-Kontrollfunktion in der Regel nicht auslagern.
BaFin und Bundesbank gemeinsam: Die DORA-Umsetzung wird themenbezogen geprüft — bei Instituten und bei deren IT-Dienstleistern.
Abschnitt I.2.5.1 zu DORA: angepasste Prüfungsleitlinien, über 24.000 angezeigte wesentliche Auslagerungen, Kapitalaufschläge bei schwerwiegenden Mängeln.
Aufsichtsschwerpunkte zum Geltungsbeginn — ausdrücklich auch Prüfungen bei Mehrmandantendienstleistern.
Bilanz nach Jahr eins: Die DORA-Instrumente gehören ins tägliche Risikomanagement, nicht in die Compliance-Ablage.
Die schärfste Mängelaussage der Periode: bei der Cyber-Resilienz „noch Aufholbedarf … diese offene Flanke schließen“.
Drei operative Prioritäten im Klartext: Asset-Inventare vervollständigen, Patch-Management überprüfen, den Cyber-Worst-Case proben.
Die konkreteste Ansage, wonach geprüft wird: zwei Vor-Ort-Kampagnen, ein Review zum IKT-Change-Management, ein Deep Dive zur Cloud-Abhängigkeit.
Das IKT-Risiko bleibt die schwächste Bewertungsachse im aggregierten SREP — der Beleg für anhaltenden Handlungsdruck.
109 Banken getestet. Hauptbefund: Wiederanlaufziele müssen unter realen Bedingungen erreichbar sein, nicht nur auf dem Papier stehen.
Heben die IKT-Sonderleitlinien EBA/GL/2017/05 auf und integrieren die IKT-Risikobewertung in den regulären SREP — ab 01.01.2027.
KI, Cyberlage und neue Bedrohungen
Künstliche Intelligenz als eingesetztes Werkzeug und in der Hand des Angreifers — beide Seiten derselben Lage.
38 Seiten dazu, wie DORA-Pflichten auf eingesetzte KI wirken — das Gegenstück zum ESA-Statement, das KI in der Hand des Angreifers betrachtet.
Erste BaFin-Rede zu Frontier-KI als Angriffsvektor: DORA-Konformität ist die Grundlage, reicht aber nicht — Patches „sehr kurzfristig“ einspielen.
Aktuellste Aussage zum Verhältnis KI-Verordnung und DORA: in die bestehende Governance integrieren, DORA ist „ein sehr gutes Fundament“.
Die Spanne von der Schwachstelle bis zur Ausnutzung: 2019 rund zwei Jahre, 2026 im Schnitt 18 Stunden. Die Verantwortung endet nicht mit der Auslagerung.
IKT-Risiken aus Frontier-KI: Prävention, Erkennung, Steuerung — KI in der Hand des Angreifers.
Formelle Warnung des Ausschusses für Systemrisiken — die makroprudenzielle Flanke derselben Bedrohungslage.
Aktionsplan gegen KI-gestützte Cyberbedrohungen mit Frist zum 31.10.2026 — adressiert an alle bedeutenden Institute.
Drei-Säulen-Modell unter BaFin-Mitvorsitz; die Erwartung an Institute lautet: an den Übungen teilnehmen.
Kapitel VI DORA: freiwillige Informationsaustausch-Vereinbarungen und die Übungen, an denen die Aufsicht Teilnahme erwartet.
Der Koordinierungsrahmen nach Art. 49 DORA: Wer im Ernstfall europaweit zusammenarbeitet, wenn ein Cybervorfall grenzüberschreitend systemisch wirkt.
Tests der digitalen operationalen Resilienz
Bedrohungsgeleitete Penetrationstests nach Art. 26 und 27 DORA.
Bedrohungsgeleitete Penetrationstests nach Art. 26 und 27: wer testpflichtig ist, Turnus alle drei Jahre.
Das Eurosystem-Rahmenwerk für bedrohungsgeleitete Penetrationstests, ausgerichtet auf die Artikel 26 und 27 DORA.
Kapitel IV DORA aus deutscher Sicht: das reguläre Testprogramm und die Abgrenzung zu den bedrohungsgeleiteten Tests.
Der nationale Rahmen für bedrohungsgeleitete Tests, den die Bundesbank betreut; er trägt die TLPT-Durchführung nach Art. 26/27 DORA operativ.
Die Links führen auf die Originalseiten der Behörden und öffnen in einem neuen Tab. Der Navigator gibt hier keine Inhalte wieder — was dort steht, gilt in der Fassung der Behörde. Die Rechtsakte selbst stehen nicht in dieser Liste: sie haben eigene Bereiche und ihre amtlichen Fundstellen in der Rechtstexte-Liste des Cockpits.
Fachbeiträge und Material
marlen-hofmann.de/dora/
Meine Fachbeiträge, Cheatsheets und Materialien stehen auf meiner Website — dort nach Themen geordnet, durchsuchbar und auf dem jeweils aktuellen Stand.
Zu den Fachbeiträgen auf marlen-hofmann.deMaßgeblich für die Umsetzung sind die Rechtstexte und die Sollmaßnahmen in diesem Handbuch, nicht die Beiträge. Der Link öffnet in einem neuen Tab.