DORA-Cockpit
Gesamtsicht über alle Rechtstexte
Die abgebildeten Rechtstexte
10 Rechtsakte · Rechtsstand Juli 2026
| Rechtstext | Amtliche Quelle | Berichtigung |
|---|---|---|
| DORA (EU 2022/2554) | EUR-Lex · CELEX 32022R2554 | R(05) eingearbeitet |
| RTS IKT-Risikomanagement (2024/1774) | EUR-Lex · CELEX 32024R1774 | R(02) eingearbeitet |
| RTS Incident-Klassifizierung (2024/1772) | EUR-Lex · CELEX 32024R1772 | — |
| RTS IKT-Drittparteien (2024/1773) | EUR-Lex · CELEX 32024R1773 | — |
| ITS Informationsregister (2024/2956) | EUR-Lex · CELEX 32024R2956 | R(01) eingearbeitet |
| RTS Incident-Meldung (2025/301) | EUR-Lex · CELEX 32025R0301 | — |
| ITS Incident-Reporting (2025/302) | EUR-Lex · CELEX 32025R0302 | — |
| RTS Untervergabe (2025/532) | EUR-Lex · CELEX 32025R0532 | — |
| RTS TLPT (2025/1190) | EUR-Lex · CELEX 32025R1190 | R(01) eingearbeitet |
| GL Kosten & Verluste (JC 2024 34) | ESA-Website (ESMA) · JC 2024 34 | — |
| Bewusst nicht abgebildet5 DokumenteVier weitere DORA-spezifische Rechtsakte und eine ESA-Leitlinie stehen bewusst nicht im Navigator, da sie nichts regeln, was Finanzunternehmen tun müssen, sondern wie die Aufsicht selbst vorgeht. | ||
| Rechtstext | Amtliche Quelle | Berichtigung |
| DelVO (EU) 2024/1502Kriterien für die Einstufung von IKT-Drittdienstleistern als kritisch (Art. 31 Abs. 6 DORA) | EUR-Lex · CELEX 32024R1502 | — |
| DelVO (EU) 2024/1505Höhe der Überwachungsgebühren bei kritischen IKT-Drittdienstleistern (Art. 43 Abs. 2 DORA) | EUR-Lex · CELEX 32024R1505 | — |
| DelVO (EU) 2025/295Harmonisierung der Bedingungen für die Durchführung von Überwachungstätigkeiten (Art. 41 DORA) | EUR-Lex · CELEX 32025R0295 | — |
| DelVO (EU) 2025/420Zusammensetzung, Benennung und Arbeitsweise des gemeinsamen Untersuchungsteams (Art. 41 Abs. 2 DORA) | EUR-Lex · CELEX 32025R0420 | — |
| Gemeinsame Leitlinien JC/GL/2024/36Zusammenarbeit und Informationsaustausch zwischen ESAs und zuständigen Behörden bei der Überwachung (Art. 32 Abs. 7 DORA) | ESA-Website (ESMA) · JC 2024 36 | — |
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Erwägungsgründe sind nicht abgebildet. Keine Rechtsberatung, keine amtliche Quelle — maßgeblich ist der Volltext bei EUR-Lex.
Compliance-Hinweise
Nutzungsrechte · Autorenschaft · Quellen · Aktualisierung
Nutzungsrechte, Autorenschaft, rechtliche Einordnung und Aktualisierungsstand dieses Werks — bitte vor der Nutzung zur Kenntnis nehmen.
Urheberrechtshinweis zum DORA-Sollmaßnahmenkatalog, den DORA-Schulungsfolien und dem interaktiven Handbuch
Der DORA-Sollmaßnahmenkatalog mit seinen Sollmaßnahmen, Titeln, Anforderungstexten und Einordnungen, die DORA-Schulungsfolien mit ihren Erläuterungen sowie das interaktive Handbuch als solches, also die Auswahl, Anordnung und Verknüpfung der Inhalte in dieser Datei (nachfolgend: „das Werk“), sind zu Gunsten von Frau Dr. Marlen Hofmann urheberrechtlich geschützt, sie ist alleinige Urheberin.
Nicht zum Werk gehören die eingebetteten Rechtstexte der Europäischen Union (Verordnung (EU) 2022/2554 und die ergänzenden Rechtsakte), die Gemeinsamen Leitlinien und die Fragen und Antworten der europäischen Aufsichtsbehörden sowie die Fragen und Antworten der BaFin. Sie stammen von den Organen der Europäischen Union und den Aufsichtsbehörden, sind dort veröffentlicht und werden in diesem Werk unter den im Abschnitt „Quellen und Nutzungsbedingungen“ genannten Bedingungen wiedergegeben. An ihnen besteht kein Urheberrecht von Frau Dr. Marlen Hofmann; die nachfolgenden Bestimmungen gelten für sie nicht.
Die Nutzungsrechte an diesem Werk werden wie nachfolgend dargestellt dem jeweiligen Nutzer eingeräumt, dies gegen Zahlung des vereinbarten Lizenzentgeltes.
Es wird ein einfaches, zeitlich unbegrenztes Nutzungsrecht eingeräumt. Die Nutzung des Werks ist ausschließlich für eigene interne Zwecke des erwerbenden Unternehmens gestattet. Eine Vervielfältigung ist in diesem internen Rahmen gestattet, etwa zur Verteilung an interne Fachabteilungen. Die Einbindung in interne IT-Systeme (etwa ISMS-Tools, GRC-Tools oder vergleichbare interne Anwendungen) des erwerbenden Unternehmens ist ebenfalls gestattet. Sollte diesbezüglich auf Grund technischer Gegebenheiten eine Bearbeitung des Werkes erforderlich sein (etwa im Sinne des Komprimierens oder einer Formatänderung) ist ein Bearbeitungsrecht genehmigt, was über diese technischen Erfordernisse jedoch nicht hinausgeht. Insbesondere darf eine inhaltliche Bearbeitung des Werkes nicht vorgenommen werden, wozu auch Übersetzungen gehören.
Die Übertragung der eingeräumten Nutzungsrechte an Dritte ist nicht gestattet. Davon erfasst sind ebenfalls in Verbindung mit dem erwerbenden Unternehmen stehenden Gesellschaften, wie Tochter- oder Mutterunternehmen oder Beteiligungsgesellschaften. Solche Drittunternehmen haben eine eigenständige Lizenz zu erwerben, wobei eine umfangreiche Konzernlizenz bei Frau Dr. Marlen Hofmann angefragt werden kann.
Nicht gestattet ist im Rahmen dieser Lizenz zudem die Verwendung des Werks im Rahmen des Trainings eines KI-Modells (sei es ein externes oder internes). Zulässig ist jedoch die Einbindung des Werkes in eigene, unternehmensinterne KI-Systeme, welche als Wissensbasis dienen. Eine Einbindung des Werkes in Produkte, Dienstleistungen oder andere Tätigkeiten, die das erwerbende Unternehmen Dritten zur Verfügung stellt, ist nicht gestattet. Hierfür sind durch diese Dritte eigenständige Lizenzen zu erwerben.
Ein Verbreitungs-, Ausstellungs-, Vortrags-, Aufführungsrecht wird ebenso wenig eingeräumt wie das Recht der öffentlichen Zugänglichmachung. Es wird bestätigt, dass Frau Dr. Marlen Hofmann ausschließliche Urheberin des Werkes ist und ihr keine Rechte Dritter an dem Werk bekannt sind. Eine Gewährleistung für das Nichtbestehen solcher Rechte ist jedoch ausdrücklich ausgeschlossen. Gleichzeitig übernimmt Frau Dr. Marlen Hofmann keine Haftung für Ansprüche Dritter, welche sich aus einer unsachgemäßen und insbesondere nicht von der Rechteeinräumung umfassten Nutzung des Werkes ergeben.
Ebenso wird darauf hingewiesen, dass lediglich ein Nutzungsrecht an der hier angebotenen Version des Werkes eingeräumt wird. Ein Anspruch auf Vollständigkeit oder Richtigkeit des Inhalts besteht nicht. Ebenso entsteht kein Anspruch auf Weiterentwicklung, Ergänzung oder Aktualisierung des Werkes seitens Frau Dr. Marlen Hofmann.
Für die Einräumung etwaiger weitergehender Nutzungsrechte möchte bitte eine Anfrage an Dr. Marlen Hofmann direkt gestellt werden.
Hinweis zur Autorenschaft und Nebentätigkeit
Das Werk wurde im Rahmen einer privaten Nebentätigkeit erstellt. Sämtliche Analysen, Interpretationen und Einschätzungen in diesem Werk spiegeln ausschließlich die persönliche fachliche Sichtweise der Autorin wider. Sie stehen in keinem Zusammenhang mit den Ansichten, Richtlinien oder Vorgaben ihres Arbeitgebers und stellen keine offizielle Stellungnahme ihres Arbeitgebers dar.
Erstellung mit KI-Unterstützung
Für die Erstellung des DORA-Navigators hat die Autorin KI eingesetzt:
Technische Umsetzung: Der HTML-, CSS- und JavaScript-Code wurde überwiegend mit KI erzeugt, unter Anleitung und Prüfung der Autorin.
Aufbereitung der Rechtstexte: Die im Navigator dargestellten Rechtstexte wurden maschinell ausgelesen und aufbereitet. Verbindlich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut, abrufbar über EUR-Lex.
Bilder und Visualisierungen: Die Kopfmotive des Navigators sowie einzelne Visualisierungen in den Schulungsfolien wurden unter Anleitung der Autorin mit einem KI-Bildgenerator erstellt.
Fachliche Inhalte: Die DORA-Sollmaßnahmen und die Inhalte der Schulungsfolien stammen von der Autorin und beruhen auf ihrer fachlichen Herleitung. KI wurde zur sprachlichen Überarbeitung und bei der Konsolidierung des Sollmaßnahmenkatalogs 2.0 zum Zusammenführen und Neuordnen der Sollmaßnahmen eingesetzt. Jede daraus übernommene Änderung wurde von der Autorin einzeln geprüft und freigegeben.
Hinweis zur Verwendung und rechtlichen Einordnung
Die dargestellten Sollmaßnahmen basieren auf einer intensiven fachlichen Auseinandersetzung der Autorin mit den zugrunde liegenden Rechtsakten und den dazugehörigen Regulierungsstandards. Das Werk dient ausschließlich als fachliche Orientierungshilfe für die praktische Umsetzung der regulatorischen Anforderungen und erhebt keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.
Die Inhalte dieses Werks stellen keine Rechtsberatung dar und können eine solche nicht ersetzen. Für die konkrete Umsetzung regulatorischer Anforderungen im jeweiligen Einzelfall sollten bei Bedarf qualifizierte rechtliche oder fachliche Beratungen eingeholt werden. Die Herausgeberin übernimmt keine Haftung für Entscheidungen, Maßnahmen, Schäden oder Verluste, die unmittelbar oder mittelbar aus der Nutzung oder Interpretation dieses Werks entstehen.
Quellen und Nutzungsbedingungen
Dieses Werk bettet fremde, öffentlich zugängliche Rechts- und Aufsichtstexte ein und nutzt sie im Rahmen der jeweils geltenden Nutzungsbedingungen. Für die einzelnen Quellen gelten folgende Grundlagen und Bedingungen:
EU-Rechtsakte (EUR-Lex): Die eingebetteten EU-Rechtsakte werden gemäß dem Beschluss 2011/833/EU über die Weiterverwendung von Kommissionsdokumenten wiedergegeben; die kommerzielle Nutzung ist danach zulässig. Quelle: © Europäische Union, eur-lex.europa.eu. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Fassungen.
BaFin-FAQ: Die eingebundenen Fragen und Antworten der BaFin werden wörtlich und unverändert wiedergegeben. Quelle: © Bundesanstalt für Finanzdienstleistungsaufsicht / www.bafin.de. Es handelt sich um amtliche Auslegungshinweise, nicht um Rechtsnormen.
ESA-Q&As und Gemeinsame Leitlinien JC 2024 34 (EBA, ESMA, EIOPA): Die Fragen und Antworten der europäischen Aufsichtsbehörden werden mit Quellenangabe wiedergegeben und sind über das gemeinsame ESA-Q&A-Dashboard kostenlos verfügbar. Ebenfalls eingebettet ist der Text der Gemeinsamen Leitlinien JC 2024 34 zur Schätzung der aggregierten jährlichen Kosten und Verluste nach Art. 11 Abs. 11 DORA – in der deutschen Sprachfassung, unverändert und mit Angabe der Fundstelle. Leitlinien der ESAs sind keine Rechtsnormen, sondern aufsichtliche Vorgaben im Comply-or-explain-Verfahren. Die Aufsichtsbehörden befürworten dieses Werk nicht und übernehmen keine Haftung für seinen Inhalt. Quelle: EBA/ESMA/EIOPA.
Verweise auf marlen-hofmann.de: Die Website enthält eigene Fachbeiträge und Hilfsmittel der Autorin sowie Links zu Behördenseiten. Für verlinkte Inhalte ist allein die Fassung am verlinkten Ort maßgeblich. Die Behörden befürworten dieses Werk nicht.
Schriften: Das Werk bettet die Schriftarten Kanit (Copyright 2020 The Kanit Project Authors) und Open Sans (Copyright 2020 The Open Sans Project Authors) als Schriftdateien ein. Beide stehen unter der SIL Open Font License 1.1 (openfontlicense.org) und werden unverändert weitergegeben. Der Lizenztext ist im folgenden Abschnitt im Wortlaut wiedergegeben. Die Lizenz erfasst allein die Schriftdateien, nicht das Werk im Übrigen.
Lizenztext der eingebetteten Schriften (SIL Open Font License 1.1)
Die beiden im Werk eingebetteten Schriften stehen unter der nachfolgend im Wortlaut wiedergegebenen SIL Open Font License, Version 1.1. Der Lizenztext ist die englische Originalfassung und wird unverändert wiedergegeben; er gilt allein für die Schriftdateien, nicht für das Werk im Übrigen.
Copyright 2020 The Kanit Project Authors (https://github.com/cadsondemak/kanit)
Copyright 2020 The Open Sans Project Authors (https://github.com/googlefonts/opensans)
This Font Software is licensed under the SIL Open Font License, Version 1.1. This license is copied below, and is also available with a FAQ at: https://openfontlicense.org
SIL OPEN FONT LICENSE Version 1.1 - 26 February 2007
PREAMBLE
The goals of the Open Font License (OFL) are to stimulate worldwide development of collaborative font projects, to support the font creation efforts of academic and linguistic communities, and to provide a free and open framework in which fonts may be shared and improved in partnership with others.
The OFL allows the licensed fonts to be used, studied, modified and redistributed freely as long as they are not sold by themselves. The fonts, including any derivative works, can be bundled, embedded, redistributed and/or sold with any software provided that any reserved names are not used by derivative works. The fonts and derivatives, however, cannot be released under any other type of license. The requirement for fonts to remain under this license does not apply to any document created using the fonts or their derivatives.
DEFINITIONS
"Font Software" refers to the set of files released by the Copyright Holder(s) under this license and clearly marked as such. This may include source files, build scripts and documentation.
"Reserved Font Name" refers to any names specified as such after the copyright statement(s).
"Original Version" refers to the collection of Font Software components as distributed by the Copyright Holder(s).
"Modified Version" refers to any derivative made by adding to, deleting, or substituting -- in part or in whole -- any of the components of the Original Version, by changing formats or by porting the Font Software to a new environment.
"Author" refers to any designer, engineer, programmer, technical writer or other person who contributed to the Font Software.
PERMISSION & CONDITIONS
Permission is hereby granted, free of charge, to any person obtaining a copy of the Font Software, to use, study, copy, merge, embed, modify, redistribute, and sell modified and unmodified copies of the Font Software, subject to the following conditions:
1) Neither the Font Software nor any of its individual components, in Original or Modified Versions, may be sold by itself.
2) Original or Modified Versions of the Font Software may be bundled, redistributed and/or sold with any software, provided that each copy contains the above copyright notice and this license. These can be included either as stand-alone text files, human-readable headers or in the appropriate machine-readable metadata fields within text or binary files as long as those fields can be easily viewed by the user.
3) No Modified Version of the Font Software may use the Reserved Font Name(s) unless explicit written permission is granted by the corresponding Copyright Holder. This restriction only applies to the primary font name as presented to the users.
4) The name(s) of the Copyright Holder(s) or the Author(s) of the Font Software shall not be used to promote, endorse or advertise any Modified Version, except to acknowledge the contribution(s) of the Copyright Holder(s) and the Author(s) or with their explicit written permission.
5) The Font Software, modified or unmodified, in part or in whole, must be distributed entirely under this license, and must not be distributed under any other license. The requirement for fonts to remain under this license does not apply to any document created using the Font Software.
TERMINATION
This license becomes null and void if any of the above conditions are not met.
DISCLAIMER
THE FONT SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT OF COPYRIGHT, PATENT, TRADEMARK, OR OTHER RIGHT. IN NO EVENT SHALL THE COPYRIGHT HOLDER BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, INCLUDING ANY GENERAL, SPECIAL, INDIRECT, INCIDENTAL, OR CONSEQUENTIAL DAMAGES, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF THE USE OR INABILITY TO USE THE FONT SOFTWARE OR FROM OTHER DEALINGS IN THE FONT SOFTWARE.
Hinweis zur Aktualisierung
Für die Erstellung der Anforderungen in diesem Werk wurden die im Überblick aufgeführten Rechtsquellen herangezogen. Rechtstexte und Aufsichts-Q&As wurden zuletzt im Juli 2026 mit den amtlichen Quellen abgeglichen (ESA-/BaFin-Stichtage siehe Quellenzeilen der Q&A-Kästen); die Leitlinie JC 2024 34 wurde im August 2026 aufgenommen. Der Sollmaßnahmenkatalog 2.0 wurde im September 2026 vollständig überarbeitet und fachlich geprüft (Rechtsstand Juli 2026) und trägt dieselbe Versionsnummer wie diese Ausgabe.
Da sich regulatorische Anforderungen sowie technische und aufsichtsrechtliche Standards kontinuierlich weiterentwickeln, kann eine regelmäßige Aktualisierung erforderlich sein. Das Werk erhebt daher keinen Anspruch auf dauerhafte Vollständigkeit oder Aktualität.
Es liegt in der Verantwortung der Nutzerinnen und Nutzer, sich eigenständig über Änderungen relevanter Rechtsvorschriften, regulatorischer Vorgaben und technischer Standards zu informieren und diese bei der Umsetzung entsprechend zu berücksichtigen.
Sollmaßnahmen-Überblick
Alle 744 Sollmaßnahmen als Tabelle
In der Vorschau nicht enthalten. Die vollständige Tabelle aller Sollmaßnahmen ist Teil der Vollversion; zur Auslieferung gehört eine Excel-Arbeitsmappe mit Arbeitsspalten für Ihre Umsetzungsdokumentation.
Dieselben Sollmaßnahmen liegen in der beigelegten Excel-Arbeitsmappe, in der Sie filtern, sortieren und weiterarbeiten können.
DORA (EU 2022/2554)›Art. 1
Artikel 1
Gegenstand
DORA (EU 2022/2554)
(1)
Um ein hohes gemeinsames Niveau an digitaler operationaler Resilienz zu erreichen, werden in dieser Verordnung einheitliche Anforderungen für die Sicherheit von Netzwerk- und Informationssystemen, die die Geschäftsprozesse von Finanzunternehmen unterstützen, wie folgt festgelegt:
a)
auf Finanzunternehmen anwendbare Anforderungen in Bezug auf:
i)
Risikomanagement im Bereich der Informations- und Kommunikationstechnologie (IKT);
ii)
Meldung schwerwiegender IKT-bezogener Vorfälle und — auf freiwilliger Basis — erheblicher Cyberbedrohungen an die zuständigen Behörden;
iii)
Meldung schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfälle durch in Artikel 2 Absatz 1 Buchstaben a bis d aufgeführte Finanzunternehmen an die zuständigen Behörden;
iv)
Tests der digitalen operationalen Resilienz;
v)
Austausch von Informationen und Erkenntnissen in Bezug auf Cyberbedrohungen und Schwachstellen;
vi)
Maßnahmen für das solide Management des IKT-Drittparteienrisikos;
b)
Anforderungen in Bezug auf vertragliche Vereinbarungen zwischen IKT-Drittdienstleistern und Finanzunternehmen;
c)
Vorschriften über die Einrichtung und Ausführung des Überwachungsrahmens für kritische IKT-Drittdienstleister bei der Erbringung von Dienstleistungen für Finanzunternehmen;
d)
Vorschriften über die Zusammenarbeit zwischen zuständigen Behörden und Vorschriften über die Beaufsichtigung und Durchsetzung aller von dieser Verordnung erfassten Sachverhalte durch zuständige Behörden.
(2)
In Bezug auf Finanzunternehmen, die gemäß den nationalen Vorschriften zur Umsetzung von Artikel 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Unternehmen ermittelt wurden, gilt diese Verordnung für die Zwecke von Artikel 4 der genannten Richtlinie als sektorspezifischer Rechtsakt der Union.
DORA-Schulungsfolien
DORA und nicht NIS2F
(3)
Diese Verordnung lässt die Zuständigkeiten der Mitgliedstaaten für grundlegende Funktionen des Staates in Bezug auf die öffentliche Sicherheit, die Landesverteidigung und die nationale Sicherheit im Einklang mit dem Unionsrecht unberührt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 2
Artikel 2
Geltungsbereich
DORA (EU 2022/2554)
(1)
Unbeschadet der Absätze 3 und 4 gilt diese Verordnung für folgende Unternehmen:
a)
Kreditinstitute,
b)
Zahlungsinstitute, einschließlich gemäß der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute,
c)
Kontoinformationsdienstleister,
d)
E-Geld-Institute, einschließlich gemäß der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute,
e)
Wertpapierfirmen,
f)
Anbieter von Krypto-Dienstleistungen, die gemäß einer Verordnung des Europäischen Parlaments und des Rates über Märkte von Krypto-Werten und zur Änderung der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 1095/2010 sowie der Richtlinien 2013/36/EU und (EU) 2019/1937 (im Folgenden „Verordnung über Märkte von Krypto-Werten“) zugelassen sind, und Emittenten wertreferenzierter Token,
g)
Zentralverwahrer,
h)
zentrale Gegenparteien,
i)
Handelsplätze,
j)
Transaktionsregister,
k)
Verwalter alternativer Investmentfonds,
l)
Verwaltungsgesellschaften,
m)
Datenbereitstellungsdienste,
n)
Versicherungs- und Rückversicherungsunternehmen,
o)
Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit,
p)
Einrichtungen der betrieblichen Altersversorgung,
q)
Ratingagenturen,
r)
Administratoren kritischer Referenzwerte,
s)
Schwarmfinanzierungsdienstleister,
t)
Verbriefungsregister,
u)
IKT-Drittdienstleister.
(2)
Für die Zwecke dieser Verordnung werden die in Absatz 1 Buchstaben a bis t genannten Unternehmen zusammen als „Finanzunternehmen“ bezeichnet.
(3)
Diese Verordnung gilt nicht für:
a)
Verwalter alternativer Investmentfonds im Sinne von Artikel 3 Absatz 2 der Richtlinie 2011/61/EU;
b)
Versicherungs- und Rückversicherungsunternehmen im Sinne von Artikel 4 der Richtlinie 2009/138/EG;
c)
Einrichtungen der betrieblichen Altersversorgung, die Altersversorgungssysteme mit insgesamt weniger als 15 Versorgungsanwärtern betreiben;
d)
gemäß den Artikeln 2 und 3 der Richtlinie 2014/65/EU ausgenommene natürliche oder juristische Personen;
e)
Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, bei denen es sich um Kleinstunternehmen oder kleine oder mittlere Unternehmen handelt;
f)
Postgiroämter im Sinne von Artikel 2 Absatz 5 Nummer 3 der Richtlinie 2013/36/EU.
(4)
Die Mitgliedstaaten können die in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU aufgeführten Stellen, die sich in ihrem jeweiligen Hoheitsgebiet befinden, vom Geltungsbereich dieser Verordnung ausnehmen. Macht ein Mitgliedstaat von dieser Möglichkeit Gebrauch, so setzt er die Kommission hiervon sowie von allen nachfolgenden Änderungen in Kenntnis. Die Kommission macht diese Informationen auf ihrer Website oder auf andere leicht zugängliche Weise öffentlich zugänglich.
DORA-Schulungsfolien
Adressatenkreis von DORA: 20 + 1F
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 3
Artikel 3
Begriffsbestimmungen
DORA (EU 2022/2554)
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:
1.
„digitale operationale Resilienz“ die Fähigkeit eines Finanzunternehmens, seine operative Integrität und Betriebszuverlässigkeit aufzubauen, zu gewährleisten und zu überprüfen, indem es entweder direkt oder indirekt durch Nutzung der von IKT-Drittdienstleistern bereitgestellten Dienste das gesamte Spektrum an IKT-bezogenen Fähigkeiten sicherstellt, die erforderlich sind, um die Sicherheit der Netzwerk- und Informationssysteme zu gewährleisten, die von einem Finanzunternehmen genutzt werden und die kontinuierliche Erbringung von Finanzdienstleistungen und deren Qualität, einschließlich bei Störungen, unterstützen;
2.
„Netzwerk- und Informationssystem“ ein Netz- und Informationssystem im Sinne von Artikel 6 Nummer 1 der Richtlinie (EU) 2022/2555;
3.
„IKT-Altsystem“ ein IKT-System, das das Ende seines Lebenszyklus (Ende seiner Lebensdauer) erreicht hat, aus technologischen oder wirtschaftlichen Gründen nicht für Upgrades oder Fehlerbehebungen in Frage kommt oder nicht mehr von seinem Anbieter oder einem IKT-Drittdienstleister unterstützt wird, das allerdings weiterhin genutzt wird und die Funktionen des Finanzunternehmens unterstützt;
4.
„Sicherheit von Netzwerk- und Informationssystemen“ die Sicherheit von Netz- und Informationssystemen im Sinne von Artikel 6 Nummer 2 der Richtlinie (EU) 2022/2555;
5.
„IKT-Risiko“ jeden vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, der bei Eintritt durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld die Sicherheit der Netzwerk- und Informationssysteme, jeglicher technologieabhängiger Instrumente oder Prozesse, von Geschäften und Prozessen oder der Bereitstellung von Diensten beeinträchtigen kann.
6.
„Informationsasset“ eine Sammlung materieller oder immaterieller Informationen, die geschützt werden sollten;
7.
„IKT-Asset“ eine Software oder Hardware in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt;
8.
„IKT-bezogener Vorfall“ ein von dem Finanzunternehmen nicht geplantes Ereignis bzw. eine entsprechende Reihe verbundener Ereignisse, das bzw. die die Sicherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die vom Finanzunternehmen erbrachten Dienstleistungen hat;
9.
„zahlungsbezogener Betriebs- oder Sicherheitsvorfall“ ein von den in Artikel 2 Absatz 1 Buchstaben a bis d aufgeführten Finanzunternehmen nicht geplantes Ereignis bzw. eine entsprechende Reihe verbundener Ereignisse, unabhängig davon, ob es sich um IKT-bezogene Vorfälle handelt oder nicht, das bzw. die nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit zahlungsbezogener Daten oder auf die vom Finanzunternehmen bereitgestellten zahlungsbezogenen Dienste hat;
10.
„schwerwiegender IKT-bezogener Vorfall“ einen IKT-Vorfall, der umfassende nachteilige Auswirkungen auf die Netzwerk- und Informationssysteme hat, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen;
11.
„schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfall“ einen zahlungsbezogenen Betriebs- oder Sicherheitsvorfall, der umfassende nachteilige Auswirkungen auf die bereitgestellten zahlungsbezogenen Dienste hat;
12.
„Cyberbedrohung“ eine Cyberbedrohung im Sinne von Artikel 2 Nummer 8 der Verordnung (EU) 2019/881;
13.
„erhebliche Cyberbedrohung“ eine Cyberbedrohung, deren technische Merkmale darauf hindeuten, dass sie das Potenzial haben könnte, einen schwerwiegenden IKT-bezogenen Vorfall oder einen schwerwiegenden zahlungsbezogenen Betriebs- oder Sicherheitsvorfall zu verursachen;
14.
„Cyberangriff“ einen böswilligen IKT-bezogenen Vorfall, der auf den Versuch eines Angreifers zurückgeht, einen Vermögenswert zu zerstören, freizulegen, zu verändern, zu deaktivieren, zu entwenden oder auf unberechtigte Weise auf diesen Vermögenswert zuzugreifen oder ihn auf unberechtigte Weise zu nutzen;
15.
„Bedrohungsanalyse“ Informationen, die aggregiert, umgewandelt, analysiert, ausgewertet oder erweitert wurden, um den notwendigen Kontext für die Entscheidungsfindung zu schaffen und ein relevantes und ausreichendes Verständnis für die Abmilderung der Auswirkungen eines IKT-bezogenen Vorfalls oder einer Cyberbedrohung zu ermöglichen, einschließlich der technischen Einzelheiten eines Cyberangriffs, der für den Angriff verantwortlichen Personen und ihres Modus Operandi und ihrer Beweggründe;
16.
„Schwachstelle“ eine Schwachstelle, Empfindlichkeit oder Fehlfunktion eines Vermögenswerts, eines Systems, eines Prozesses oder einer Kontrolle, die ausgenutzt werden kann;
17.
„bedrohungsorientierte Penetrationstests (TLPT — Threat-Led Penetration Testing)“ einen Rahmen, der Taktik, Techniken und Verfahren realer Angreifer, die als echte Cyberbedrohung empfunden werden, nachbildet und einen kontrollierten, maßgeschneiderten, erkenntnisgestützten (Red-Team-) Test der kritischen Live-Produktionssysteme des Finanzunternehmens ermöglicht;
18.
„IKT-Drittparteienrisiko“ ein IKT-bezogenes Risiko, das für ein Finanzunternehmen im Zusammenhang mit dessen Nutzung von IKT-Dienstleistungen entstehen kann, die von IKT-Drittdienstleistern oder deren Unterauftragnehmern, einschließlich über Vereinbarungen zur Auslagerung, bereitgestellt werden;
19.
„IKT-Drittdienstleister“ ein Unternehmen, das IKT-Dienstleistungen bereitstellt;
DORA-Schulungsfolien
Kategorisierung von IKT-DienstleisternF
20.
„gruppeninterner IKT-Dienstleister“ ein Unternehmen, das Teil einer Finanzgruppe ist und überwiegend IKT-Dienstleistungen für Finanzunternehmen derselben Gruppe oder für Finanzunternehmen, die demselben institutsbezogenen Sicherungssystem angehören, bereitstellt, einschließlich deren Mutterunternehmen, Tochterunternehmen und Zweigniederlassungen oder anderer Unternehmen, die in gemeinsamem Eigentum oder unter gemeinsamer Kontrolle stehen;
21.
„IKT-Dienstleistungen“ digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung und Hardwaredienstleistungen, wozu auch technische Unterstützung durch den Hardwareanbieter mittels Software- oder Firmware-Aktualisierungen gehört, mit Ausnahme herkömmlicher analoger Telefondienste;
DORA-Schulungsfolien
Ermittlung von IKT-Dienstleistern und IKT-Dienstleistungen: Die “BaFin-Schlange“F
Ermittlung von IKT-Dienstleistern und IKT-Dienstleistungen: Die “BaFin-Schlange 2.0“F
22.
„kritische oder wichtige Funktion“ eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen eines Finanzunternehmens oder seiner sonstigen Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde;
DORA-Schulungsfolien
Kritische oder wichtige Funktion (kwF)F
Kritische oder wichtige Funktion (kwF) (1/7): Was ist eine „Funktion“?F
Kritische oder wichtige Funktion (kwF) (2/7): SchadenszenarienF
Kritische oder wichtige Funktion (kwF) (3/7): Die Sicht der AufsichtF
Kritische oder wichtige Funktion (kwF) (4/7): Warum die BIA zu kurz greift?F
Kritische oder wichtige Funktion (kwF) (5/7): Prozesssicht auf kwFF
Kritische oder wichtige Funktion (kwF) (6/7): Vorgehen zur Bestimmung der regulatorisch wichtigen ProzesseF
Kritische oder wichtige Funktion (kwF) (7/7): Methodisches GesamtbildF
23.
„kritischer IKT-Drittdienstleister“ einen IKT-Drittdienstleister, der gemäß Artikel 31 als kritisch eingestuft wurde;
DORA-Schulungsfolien
Kritische IKT-Dienstleister = Critical ICT Third-Party Providers (CTPPs)F
24.
„IKT-Drittdienstleister mit Sitz in einem Drittland“ einen IKT-Drittdienstleister, bei dem es sich um eine in einem Drittland niedergelassene juristische Person handelt, die mit einem Finanzunternehmen eine vertragliche Vereinbarung über die Bereitstellung von IKT-Dienstleistungen geschlossen hat;
25.
„Tochterunternehmen“ ein Tochterunternehmen im Sinne von Artikel 2 Nummer 10 und Artikel 22 der Richtlinie 2013/34/EU;
26.
„Gruppe“ eine Gruppe im Sinne von Artikel 2 Nummer 11 der Richtlinie 2013/34/EU;
27.
„Mutterunternehmen“ ein Mutterunternehmen im Sinne von Artikel 2 Nummer 9 und Artikel 22 der Richtlinie 2013/34/EU;
28.
„IKT-Unterauftragnehmer mit Sitz in einem Drittland“ einen IKT-Unterauftragnehmer, bei dem es sich um eine in einem Drittland niedergelassene juristische Person handelt, die mit einem IKT-Drittdienstleister oder einem IKT-Drittdienstleister mit Sitz in einem Drittland eine vertragliche Vereinbarung geschlossen hat;
29.
„IKT-Konzentrationsrisiko“ die Exposition gegenüber einzelnen oder mehreren verbundenen kritischen IKT-Drittdienstleistern, die zu einer gewissen Abhängigkeit von diesen Dienstleistern führt, sodass die Nichtverfügbarkeit, der Ausfall oder sonstige Defizite dieser Dienstleister die Fähigkeit eines Finanzunternehmens gefährden könnten, kritische oder wichtige Funktionen zu erfüllen, oder bei dem Finanzunternehmen andere Formen nachteiliger Auswirkungen, einschließlich großer Verluste, herbeiführen oder die finanzielle Stabilität der Union insgesamt gefährden könnten;
30.
„Leitungsorgan“ ein Leitungsorgan im Sinne von Artikel 4 Absatz 1 Nummer 36 der Richtlinie 2014/65/EU, von Artikel 3 Absatz 1 Nummer 7 der Richtlinie 2013/36/EU, von Artikel 2 Absatz 1 Buchstabe s der Richtlinie 2009/65/EG des Europäischen Parlaments und des Rates (31), von Artikel 2 Absatz 1 Nummer 45 der Verordnung (EU) Nr. 909/2014, von Artikel 3 Absatz 1 Nummer 20 der Verordnung (EU) 2016/1011 sowie im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten oder die entsprechenden Personen, die das Unternehmen tatsächlich leiten oder im Einklang mit dem einschlägigen Unionsrecht oder nationalen Recht Schlüsselfunktionen wahrnehmen;
31.
„Kreditinstitut“ ein Kreditinstitut im Sinne von Artikel 4 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates (32);
32.
„nach der Richtlinie 2013/36/EU ausgenommenes Institut“ eine in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU aufgeführte Einrichtung;
33.
„Wertpapierfirma“ eine Wertpapierfirma im Sinne von Artikel 4 Absatz 1 Nummer 1 der Richtlinie 2014/65/EU;
34.
„kleine und nicht verflochtene Wertpapierfirma“ eine Wertpapierfirma, die die in Artikel 12 Absatz 1 der Verordnung (EU) 2019/2033 des Europäischen Parlaments und des Rates (33) genannten Bedingungen erfüllt;
35.
„Zahlungsinstitut“ ein Zahlungsinstitut im Sinne von Artikel 4 Nummer 4 der Richtlinie (EU) 2015/2366;
36.
„nach der Richtlinie (EU) 2015/2366 ausgenommenes Zahlungsinstitut“ ein Zahlungsinstitut, für das eine Ausnahme nach Artikel 32 Absatz 1 der Richtlinie (EU) 2015/2366 gilt;
37.
„Kontoinformationsdienstleister“ einen Kontoinformationsdienstleister im Sinne von Artikel 33 Absatz 1 der Richtlinie (EU) 2015/2366;
38.
„E-Geld-Institut“ ein E-Geld-Institut im Sinne von Artikel 2 Nummer 1 der Richtlinie 2009/110/EG;
39.
„nach der Richtlinie 2009/110/EG ausgenommenes E-Geld-Institut“ ein E-Geld-Institut, für das eine Ausnahme nach Artikel 9 Absatz 1 der Richtlinie 2009/110/EG gilt;
40.
„zentrale Gegenpartei“ eine zentrale Gegenpartei im Sinne von Artikel 2 Nummer 1 der Verordnung (EU) Nr. 648/2012;
41.
„Transaktionsregister“ ein Transaktionsregister im Sinne von Artikel 2 Nummer 2 der Verordnung (EU) Nr. 648/2012;
42.
„Zentralverwahrer“ ein Zentralverwahrer im Sinne von Artikel 2 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 909/2014;
43.
„Handelsplatz“ einen Handelsplatz im Sinne von Artikel 4 Absatz 1 Nummer 24 der Richtlinie 2014/65/EU.
44.
„Verwalter alternativer Investmentfonds“ einen Verwalter alternativer Investmentfonds im Sinne von Artikel 4 Absatz 1 Buchstabe b der Richtlinie 2011/61/EU;
45.
„Verwaltungsgesellschaft“ eine Verwaltungsgesellschaft im Sinne von Artikel 2 Absatz 1 Buchstabe b der Richtlinie 2009/65/EG.
46.
„Datenbereitstellungsdienst“ einen in Artikel 2 Absatz 1 Nummern 34 bis 36 der Verordnung (EU) Nr. 600/2014 genannten Datenbereitstellungsdienst im Sinne der genannten Verordnung;
47.
„Versicherungsunternehmen“ ein Versicherungsunternehmen im Sinne von Artikel 13 Nummer 1 der Richtlinie 2009/138/EG;
48.
„Rückversicherungsunternehmen“ ein Rückversicherungsunternehmen im Sinne von Artikel 13 Nummer 4 der Richtlinie 2009/138/EG;
49.
„Versicherungsvermittler“ einen Versicherungsvermittler im Sinne von Artikel 2 Absatz 1 Nummer 3 der Richtlinie (EU) 2016/97 des Europäischen Parlaments und des Rates (34);
50.
„Versicherungsvermittler in Nebentätigkeit“ einen Versicherungsvermittler in Nebentätigkeit im Sinne von Artikel 2 Absatz 1 Nummer 4 der Richtlinie (EU) 2016/97;
51.
„Rückversicherungsvermittler“ einen Rückversicherungsvermittler im Sinne von Artikel 2 Absatz 1 Nummer 5 der Richtlinie (EU) 2016/97;
52.
„Einrichtung der betrieblichen Altersversorgung“ eine Einrichtung der betrieblichen Altersversorgung im Sinne von Artikel 6 Nummer 1 der Richtlinie (EU) 2016/2341;
53.
„kleine Einrichtung der betrieblichen Altersversorgung“ eine Einrichtung der betrieblichen Altersversorgung, die Altersversorgungssysteme mit insgesamt weniger als 100 Versorgungsanwärtern betreibt;
54.
„Ratingagentur“ eine Ratingagentur im Sinne von Artikel 3 Absatz 1 Buchstabe b der Verordnung (EG) Nr. 1060/2009;
55.
„Anbieter von Krypto-Dienstleistungen“ einen Anbieter von Krypto-Dienstleistungen im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten;
56.
„Emittent wertreferenzierter Token“ einen Emittenten „wertreferenzierter Token“ im Sinne der einschlägigen Vorschrift der Verordnung über Märkte von Krypto-Werten;
57.
„Administrator kritischer Referenzwerte“ einen Administrator „kritischer Referenzwerte“ im Sinne von Artikel 3 Absatz 1 Nummer 25 der Verordnung (EU) 2016/1011;
58.
„Schwarmfinanzierungsdienstleister“ einen Schwarmfinanzierungsdienstleister im Sinne von Artikel 2 Absatz 1 Buchstabe e der Verordnung (EU) 2020/1503 des Europäischen Parlaments und des Rates (35);
59.
„Verbriefungsregister“ ein Verbriefungsregister im Sinne von Artikel 2 Nummer 23 der Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates (36);
60.
„Kleinstunternehmen“ ein Finanzunternehmen, bei dem es sich nicht um einen Handelsplatz, eine zentrale Gegenpartei, ein Transaktionsregister oder einen Zentralverwahrer handelt, das weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR nicht überschreitet;
61.
„federführende Überwachungsbehörde“ die gemäß Artikel 31 Absatz 1 Buchstabe b dieser Verordnung benannte Europäische Aufsichtsbehörde;
62.
„Gemeinsamer Ausschuss“ den jeweils in Artikel 54 der Verordnung (EU) Nr. 1093/2010, der Verordnung (EU) Nr. 1094/2010 und der Verordnung (EU) Nr. 1095/2010 genannten Ausschuss;
63.
„Kleinunternehmen“ ein Finanzunternehmen, das 10 oder mehr, aber weniger als 50 Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR überschreitet, nicht jedoch 10 Mio. EUR;
64.
„mittleres Unternehmen“ ein Finanzunternehmen, das kein Kleinunternehmen ist, das weniger als 250 Personen beschäftigt und dessen Jahresumsatz 50 Mio. EUR und/oder dessen Jahresbilanzsumme 43 Mio. EUR nicht überschreitet;
65.
„staatliche Behörde“ jede staatliche Stelle oder sonstige Stelle der öffentlichen Verwaltung, einschließlich der nationalen Zentralbanken.
DORA-Schulungsfolien
Der Begriff, den DORA nicht definiert: IKT-SystemF
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 4
Artikel 4
Grundsatz der Verhältnismäßigkeit
DORA (EU 2022/2554)
(1)
Die Finanzunternehmen wenden die in Kapitel II festgelegten Vorschriften im Einklang mit dem Grundsatz der Verhältnismäßigkeit an, wobei ihrer Größe und ihrem Gesamtrisikoprofil sowie der Art, dem Umfang und der Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte Rechnung zu tragen ist.
(2)
Darüber hinaus muss die Anwendung der Kapitel III und IV sowie des Kapitels V Abschnitt I durch die Finanzunternehmen in einem angemessenen Verhältnis zu ihrer Größe und ihrem Gesamtrisikoprofil sowie zu der Art, dem Umfang und der Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte stehen, wie dies in den einschlägigen Vorschriften jener Kapitel ausdrücklich vorgesehen ist.
(3)
Bei der Überprüfung der Kohärenz des IKT-Risikomanagementrahmens auf der Grundlage der Berichte, die den zuständigen Behörden gemäß Artikel 6 Absatz 5 und Artikel 16 Absatz 2 auf Anfrage vorgelegt werden, prüfen die zuständigen Behörden die Anwendung des Grundsatzes der Verhältnismäßigkeit durch die Finanzunternehmen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.006ProportionalitätsprinzipS
Proportionalitätsprinzip
Das Finanzunternehmen soll die DORA-Anforderungen verhältnismäßig umsetzen und bei der Entwicklung und Implementierung von IKT-Sicherheitsrichtlinien, -verfahren, -protokollen und -tools die Größe des Finanzunternehmens, das Gesamtrisikoprofil sowie die Komplexität der Dienstleistungen, Aktivitäten und Geschäftsprozesse berücksichtigen.
Die Überlegungen, die zur verhältnismäßigen Ausgestaltung geführt haben, sollten dokumentiert werden, zum Beispiel als Begründung in der jeweiligen Richtlinie oder im Bericht zur Überprüfung des IKT-Risikomanagementrahmens, damit das Finanzunternehmen in Prüfungsgesprächen auskunftsfähig ist.
zuletzt geändert am 22.09.2026
IKT-Risikomanagementrahmen: Proportionalität und VerhältnismäßigkeitF
Das Verhältnismäßigkeitsprofil: vier Parameter, zwölf KenngrößenF
Die Stufung (1): Größe und GesamtrisikoprofilF
Die Stufung (2): Art, Umfang und KomplexitätF
Die Kreuzung: Art × UmfangF
Zehn Stellschrauben der AusgestaltungF
Automatisierungsgrad und WerkzeugunterstützungF
Musterbank eG: BeispielprofilF
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 5
Artikel 5
Governance und Organisation
DORA (EU 2022/2554)
(1)
Finanzunternehmen verfügen über einen internen Governance- und Kontrollrahmen, der im Einklang mit Artikel 6 Absatz 4 ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen.
DORA-Sollmaßnahmen
D02.012Governance- und KontrollrahmenS
Governance- und Kontrollrahmen
Das Finanzunternehmen soll klare Steuerungs-, Kontroll- und Überwachungsstrukturen für IKT-Risiken etablieren, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen.
Eine angemessene Ausgestaltung zeigt sich in der Regel darin, dass die Zuständigkeiten für IKT-Risiken in der Aufbauorganisation klar zugeordnet und Berichtswege zum Leitungsorgan festgelegt sind, die schriftlich fixierte Ordnung die IKT-bezogenen Leitlinien und Richtlinien umfasst und die erforderlichen Kontroll- und Überwachungsfunktionen eingerichtet sind.
zuletzt geändert am 22.09.2026
(2)
Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen nach Artikel 6 Absatz 1.
Für die Zwecke von Unterabsatz 1 gilt Folgendes:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.013Genehmigung und Überwachung des IKT-RisikomanagementrahmensS
Genehmigung und Überwachung des IKT-Risikomanagementrahmens
Das Leitungsorgan ist verantwortlich für die Definition, Genehmigung, Überwachung und Umsetzung des IKT-Risikomanagementrahmens.
Nachgewiesen werden kann dies zum Beispiel dadurch, dass
- das Leitungsorgan die Leitlinien und IKT-Sicherheitsrichtlinien des IKT-Risikomanagementrahmens freigibt,
- IKT-Risiken regelmäßig als Tagesordnungspunkt in den Sitzungen des Leitungsorgans behandelt und die Beratungen protokolliert werden,
- das Leitungsorgan Berichte zum IKT-Risiko erhält, sich kritisch damit auseinandersetzt und daraus Aufträge erteilt, deren Umsetzung nachverfolgt wird.
zuletzt geändert am 12.09.2026
Das Leitungsorgan im AKV-Haus (1/4): die MethodeF
Das Leitungsorgan im AKV-Haus (2/4): VerantwortlichkeitenF
Das Leitungsorgan im AKV-Haus (3/4): KompetenzenF
Das Leitungsorgan im AKV-Haus (4/4): AufgabenF
Erste Erkenntnisse aus DORA-Sonderprüfungen: Erkenntnisse aus DORA-SonderprüfungenF
a)
Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens;
DORA-Sollmaßnahmen
D02.014Letztverantwortung für das IKT-RisikomanagementS
Letztverantwortung für das IKT-Risikomanagement
Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens.
Nachweisbar wird das zum Beispiel dadurch, dass
- die Berichtslinien zum IKT-Risiko (IKT-Risikokontrollfunktion, Interne Revision) beim Leitungsorgan enden,
- das Leitungsorgan wesentliche IKT-Risiken und Prüfungsfeststellungen mit IKT-Bezug kennt und ihre Behandlung nachverfolgt () und
- die Verantwortung auch bei der Nutzung von IKT-Dienstleistungen Dritter beim Finanzunternehmen und seinem Leitungsorgan bleibt ().
zuletzt geändert am 22.09.2026
b)
das Leitungsorgan führt Leitlinien ein, die darauf abzielen, hohe Standards in Bezug auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten aufrechtzuerhalten;
DORA-Sollmaßnahmen
D02.015Festlegung von Leitlinien und IKT-SicherheitsrichtlinienS
Festlegung von Leitlinien und IKT-Sicherheitsrichtlinien
Das Leitungsorgan soll geeignete Leitlinien und IKT-Sicherheitsrichtlinien festlegen, um hohe Standards für die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten sicherzustellen.
zuletzt geändert am 12.09.2026
c)
das Leitungsorgan legt klare Aufgaben und Verantwortlichkeiten für alle IKT-bezogenen Funktionen sowie angemessene Governance-Regelungen fest, um eine wirksame und rechtzeitige Kommunikation, Zusammenarbeit und Koordinierung zwischen diesen Funktionen zu gewährleisten;
DORA-Sollmaßnahmen
D02.016Festlegung von Rollen und Koordination der IKT-FunktionenS
Festlegung von Rollen und Koordination der IKT-Funktionen
Das Leitungsorgan soll sicherstellen, dass Rollen, Zuständigkeiten und Abstimmungswege zwischen allen IKT-bezogenen Funktionen klar geregelt sind, sodass Kommunikation, Zusammenarbeit und Koordination reibungslos erfolgen.
zuletzt geändert am 12.09.2026
d)
das Leitungsorgan trägt die Gesamtverantwortung für die Festlegung und Genehmigung der Strategie für die digitale operationale Resilienz gemäß Artikel 6 Absatz 8, einschließlich der Festlegung der angemessenen Toleranzschwelle für das IKT-Risiko des Finanzunternehmens gemäß Artikel 6 Absatz 8 Buchstabe b;
DORA-Sollmaßnahmen
D02.001Genehmigung der DOR-Strategie und RisikotoleranzS
Genehmigung der DOR-Strategie und Risikotoleranz
Das Leitungsorgan ist verantwortlich für die Festlegung und Genehmigung der DOR-Strategie einschließlich der Festlegung des IKT-Risikotoleranzniveaus.
Bei Finanzunternehmen mit zweistufiger Leitungsstruktur sollten die DOR-Strategie und das IKT-Risikotoleranzniveau zusätzlich dem Aufsichtsorgan (zum Beispiel Aufsichtsrat oder Verwaltungsrat) vorgestellt und mit ihm erörtert werden, weil die Strategie der Geschäftsstrategie folgt und deren Überwachung dem Aufsichtsorgan obliegt. Der Beschluss über die Verabschiedung der DOR-Strategie durch das Leitungsorgan sollte dokumentiert sein (mit Genehmigungsdatum und Sitzungsprotokoll oder Unterschrift). Dasselbe gilt für jede Änderung des Dokuments.
zuletzt geändert am 22.09.2026
e)
das Leitungsorgan genehmigt, überwacht und überprüft regelmäßig die Umsetzung der in Artikel 11 Absatz 1 genannten IKT-Geschäftsfortführungsleitlinie und der in Artikel 11 Absatz 3 genannten IKT-Reaktions- und Wiederherstellungspläne, die als eigenständige spezielle Leitlinie, die integraler Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Finanzunternehmens und seines Reaktions- und Wiederherstellungsplans ist, verabschiedet werden können;
DORA-Sollmaßnahmen
D02.009Genehmigung der IKT-Geschäftsfortführungsleitlinie und der IKT-Reaktions- und WiederherstellungspläneS
Genehmigung der IKT-Geschäftsfortführungsleitlinie und der IKT-Reaktions- und Wiederherstellungspläne
Das Leitungsorgan soll die IKT-Geschäftsfortführungsleitlinie sowie die IKT-Reaktions- und Wiederherstellungspläne genehmigen und ihre Umsetzung überwachen und regelmäßig überprüfen.
zuletzt geändert am 22.09.2026
f)
das Leitungsorgan genehmigt und überprüft regelmäßig die internen IKT-Revisionspläne des Finanzunternehmens, die IKT-Revision und die daran vorgenommenen wesentlichen Änderungen;
DORA-Sollmaßnahmen
D02.010Genehmigung der IKT-AuditpläneS
Genehmigung der IKT-Auditpläne
Das Leitungsorgan soll die internen IKT-Revisionspläne und die Durchführung der Revisionstätigkeiten mit IKT-Bezug sowie wesentliche Änderungen daran genehmigen und regelmäßig überprüfen.
zuletzt geändert am 12.09.2026
g)
das Leitungsorgan weist angemessene Budgetmittel zu und überprüft diese regelmäßig, um den Anforderungen des Finanzunternehmens an die digitale operationale Resilienz in Bezug auf alle Arten von Ressourcen gerecht zu werden, einschließlich einschlägiger Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz nach Artikel 13 Absatz 6 sowie IKT-Kompetenzen für alle Mitarbeiter;
DORA-Sollmaßnahmen
D02.017Budgets für digitale operationale ResilienzS
Budgets für digitale operationale Resilienz
Das Leitungsorgan soll angemessene Budgetmittel für die digitale operationale Resilienz zuweisen und diese regelmäßig überprüfen, einschließlich der Mittel für Sensibilisierungs- und Awarenessmaßnahmen, Schulungen zur Informationssicherheit und zur digitalen operationalen Resilienz sowie den Aufbau von IKT-Kompetenzen für alle Mitarbeitenden.
zuletzt geändert am 22.09.2026
h)
das Leitungsorgan genehmigt und überprüft regelmäßig die Leitlinie des Finanzunternehmens in Bezug auf Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die von IKT-Drittdienstleistern bereitgestellt werden;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.002Genehmigung der Leitlinie zur Nutzung von IKT-DienstleistungenS
Genehmigung der Leitlinie zur Nutzung von IKT-Dienstleistungen
Das Leitungsorgan soll die Leitlinien zur Nutzung von IKT-Dienstleistungen genehmigen und regelmäßig überprüfen (siehe und ).
zuletzt geändert am 22.09.2026
D23.004Erstellung einer Leitlinie zur Nutzung von IKT-DienstleistungenS
Erstellung einer Leitlinie zur Nutzung von IKT-Dienstleistungen
Das Finanzunternehmen soll eine allgemeine Leitlinie zur Nutzung von IKT-Dienstleistungen entwickeln, dokumentieren und implementieren, die für alle IKT-Dienstleistungen gilt.
Die Leitlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Leitlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Leitlinie
zuletzt geändert am 22.09.2026
Leitlinie für die Nutzung von IKT-Dienstleistungen: eine oder zwei?F
Leitlinie zur Nutzung von IKT-Dienstleistungen: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
i)
das Leitungsorgan richtet auf Unternehmensebene Meldekanäle ein, die es ihm ermöglichen, ordnungsgemäß über Folgendes informiert zu werden:
i)
mit IKT-Drittdienstleistern geschlossene Vereinbarungen über die Nutzung von IKT-Dienstleistungen,
ii)
alle relevanten geplanten wesentlichen Änderungen in Bezug auf die IKT-Drittdienstleister,
iii)
die potenziellen Auswirkungen derartiger Änderungen auf die kritischen oder wichtigen Funktionen, die Gegenstand dieser Vereinbarungen sind, einschließlich einer Zusammenfassung der Risikoanalyse, um die Auswirkungen dieser Änderungen zu bewerten, und zumindest über schwerwiegende IKT-bezogene Vorfälle und deren Auswirkungen sowie über Gegen-, Wiederherstellungs- und Korrekturmaßnahmen.
DORA-Sollmaßnahmen
D02.018Berichtskanäle für IKT-DienstleistungsvereinbarungenS
Berichtskanäle für IKT-Dienstleistungsvereinbarungen
Das Leitungsorgan soll geeignete Berichtskanäle einrichten, um informiert zu werden über
- Vereinbarungen mit IKT-Drittdienstleistern,
- geplante wesentliche Änderungen bei IKT-Drittdienstleistern,
- die Auswirkungen und Risiken solcher Änderungen auf kwF, einschließlich einer Zusammenfassung von Ex-ante Risk Assessment und Due-Diligence-Prüfung, sowie
- schwerwiegende IKT-bezogene Vorfälle, deren Auswirkungen sowie die ergriffenen Gegen-, Wiederherstellungs- und Korrekturmaßnahmen.
zuletzt geändert am 22.09.2026
(3)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, richten eine Funktion ein, um die mit IKT-Drittdienstleistern über die Nutzung von IKT-Dienstleistungen geschlossenen Vereinbarungen zu überwachen, oder benennen ein Mitglied der Geschäftsleitung, das für die Überwachung der damit verbundenen Risikoexposition und die einschlägige Dokumentation verantwortlich ist.
DORA-Sollmaßnahmen
D03.006Funktion zur Überwachung von IKT-VerträgenS
Funktion zur Überwachung von IKT-Verträgen
Das Finanzunternehmen soll eine Funktion einrichten oder ein Mitglied der Geschäftsleitung benennen, die oder das die mit IKT-Drittdienstleistern geschlossenen Vereinbarungen über IKT-Dienstleistungen, die damit verbundene Risikoexposition sowie die einschlägige Dokumentation überwacht (zum Beispiel IKT-Verträge, Ex-ante-Risikobewertungen, Due-Diligence-Unterlagen und Überprüfungsmaßnahmen).
Zuständigkeit, Zusammenarbeit dieser Stelle mit den Kontrollfunktionen und ihre Berichterstattung an das Leitungsorgan sollten in den internen Vorgaben festgeschrieben werden (siehe ).
zuletzt geändert am 22.09.2026
(4)
Die Mitglieder des Leitungsorgans des Finanzunternehmens halten ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand — unter anderem indem sie regelmäßig spezielle Schulungen absolvieren — entsprechend den zu managenden IKT-Risiken, um die IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Finanzunternehmens verstehen und bewerten können.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D06.024Schulung des Leitungsorgans zu IKT-RisikenS
Schulung des Leitungsorgans zu IKT-Risiken
Die Mitglieder des Leitungsorgans sollen ihre Kenntnisse und Fähigkeiten zu IKT-Risiken aktiv auf dem neuesten Stand halten, unter anderem durch regelmäßige spezielle Schulungen, um IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Finanzunternehmens verstehen und bewerten zu können.
zuletzt geändert am 22.09.2026
Anforderungen an die Kompetenz des Leitungsorgans: beide FunktionenF
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 6
Artikel 6
IKT-Risikomanagementrahmen
DORA (EU 2022/2554)
(1)
Finanzunternehmen verfügen über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen, der Teil ihres Gesamtrisikomanagementsystems ist und es ihnen ermöglicht, IKT-Risiken schnell, effizient und umfassend anzugehen und ein hohes Niveau an digitaler operationaler Resilienz zu gewährleisten.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.019Implementierung des IKT-RisikomanagementrahmensS
Der IKT-Risikomanagementrahmen: eine Analogie zum Straßenverkehr
Der IKT-Risikomanagementrahmen
Die OpRisk-Schnittstelle: IKT-Risiko ist eine Teilmenge
Die OpRisk-Schnittstelle: Das Mapping-Problem
Die OpRisk-Schnittstelle: von IKT-Risiken zu OpRisk-Szenarien
(2)
Der IKT-Risikomanagementrahmen umfasst mindestens Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokolle und -Tools, die erforderlich sind, um alle Informations- und IKT-Assets, einschließlich Computer-Software, Hardware und Server, ordnungsgemäß und angemessen zu schützen sowie um alle relevanten physischen Komponenten und Infrastrukturen, wie etwa Räumlichkeiten, Rechenzentren und ausgewiesene sensible Bereiche zu schützen, damit der angemessene Schutz aller Informations- und IKT-Assets vor Risiken, einschließlich der Beschädigung und des unbefugten Zugriffs oder der unbefugten Nutzung, gewährleistet ist.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.020Komponenten des IKT-RisikomanagementrahmensS
Wesentliche Projektergebnistypen eines DORA-Projekts: IKT-Sicherheitsrichtlinien und Verfahrensanweisungen
Ein Schema für den IKT-Risikomanagementrahmen: Drei Managementsysteme bilden den Rahmen
Dokumentationsanforderungen an Finanzunternehmen gemäß DORA: Die „Bafin-Tapete“
(3)
Im Einklang mit ihrem IKT-Risikomanagementrahmen minimieren Finanzunternehmen die Auswirkungen von IKT-Risiken, indem sie geeignete Strategien, Leit- und Richtlinien, Verfahren, IKT-Protokolle und Tools einsetzen. Sie legen den zuständigen Behörden auf Anfrage vollständige und aktuelle Informationen über IKT-Risiken und ihren IKT-Risikomanagementrahmen vor.
DORA-Sollmaßnahmen
D05.018Behandlung von IKT-RisikenS
D02.021Auskunft an die Aufsicht zum IKT-RisikoS
(4)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, übertragen die Zuständigkeit für das Management und die Überwachung des IKT-Risikos an eine Kontrollfunktion und stellen ein angemessenes Maß an Unabhängigkeit dieser Kontrollfunktion sicher, um Interessenkonflikte zu vermeiden. Die Finanzunternehmen sorgen für eine angemessene Trennung und Unabhängigkeit von IKT-Risikomanagementfunktionen, Kontrollfunktionen und internen Revisionsfunktionen gemäß dem Modell der drei Verteidigungslinien oder einem internen Modell für Risikomanagement und Kontrolle.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D03.007Funktionstrennung (Drei-Linien-Modell)S
Das Modell der drei Linien: die Analogie zum Straßenverkehr
Das Modell der drei Linien
Die erste Linie: IKT-Risikomanagementfunktionen
D03.008IKT-RisikokontrollfunktionS
Die zweite Linie: IKT-Risikokontrollfunktion (1/5)
Die zweite Linie: IKT-Risikokontrollfunktion (2/5)
Die zweite Linie: IKT-Risikokontrollfunktion (3/5)
Die zweite Linie: IKT-Risikokontrollfunktion (4/5)
Die zweite Linie: IKT-Risikokontrollfunktion (5/5): Aufgabenfelder
Blick zur Schwesterfunktion: die OpRisk-Funktion im EBA-Entwurf
Exkurs: Das laufende IKT-Risiko-Reporting
(5)
Der IKT-Risikomanagementrahmen wird mindestens einmal jährlich — bzw. im Falle von Kleinstunternehmen regelmäßig — sowie bei Auftreten schwerwiegender IKT-bezogener Vorfälle und nach aufsichtsrechtlichen Anweisungen oder Feststellungen, die sich aus einschlägigen Tests der digitalen operationalen Resilienz oder Auditverfahren ergeben, dokumentiert und überprüft. Der Rahmen wird auf Grundlage der bei Umsetzung und Überwachung gewonnenen Erkenntnisse kontinuierlich verbessert. Der zuständigen Behörde wird auf deren Anfrage ein Bericht über die Überprüfung des IKT-Risikomanagementrahmens vorgelegt.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.007Überprüfung des IKT-RisikomanagementrahmensS
Überprüfung des IKT-Risikomanagementrahmens
D02.022Vorlage des Berichts zur Überprüfung des IKT-RisikomanagementrahmensS
D02.023Fortlaufende Verbesserung des IKT-RisikomanagementrahmensS
(6)
Im Einklang mit dem Revisionsplan des betreffenden Finanzunternehmens ist der IKT-Risikomanagementrahmen von Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, regelmäßig einer internen Revision durch Revisoren zu unterziehen. Diese Revisoren verfügen über ausreichendes Wissen und ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie über eine angemessene Unabhängigkeit. Häufigkeit und Schwerpunkt von IKT-Revisionen sind den IKT-Risiken des Finanzunternehmens entsprechend angemessen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D03.009Regelmäßige Prüfung des IKT-Risikomanagementrahmens durch die interne RevisionS
Die dritte Linie: Interne Revision
(7)
Auf der Grundlage der Feststellungen aus der Überprüfung der internen Revision legen Finanzunternehmen ein förmliches Follow-up-Verfahren einschließlich Regeln für die rechtzeitige Überprüfung und Auswertung kritischer Erkenntnisse der IKT-Revision fest.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D03.002Erstellung eines Follow-up-Prozesses für kritische RevisionsfeststellungenS
Follow-up-Verfahren für Feststellungen der IKT-Revision: Einordnung in die Dokumentenhierarchie
(8)
Der IKT-Risikomanagementrahmen umfasst eine Strategie für die digitale operationale Resilienz, in der dargelegt wird, wie der Rahmen umgesetzt wird. Zu diesem Zweck schließt die Strategie für die digitale operationale Resilienz Methoden, um IKT-Risiken anzugehen und spezifische IKT-Ziele zu erreichen, ein, indem
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D01.001Erstellung einer DOR-StrategieS
Sicherheit im Straßenverkehr: das oberste Gesetz und seine Regelwerke
Sicherheit im Cyber-Raum: Die DOR-Strategie - das „oberste“ Gesetz zur Cybersicherheit
Inhaltliche und formale Anforderungen an die DOR-Strategie: Der Baum der digitalen operationalen Resilienz
DOR-Strategie: Formale Anforderungen
DOR-Strategie: was drinstehen muss
Anforderungen an die DOR-Strategie: IT-Strategie und DOR-Strategie im Vergleich
a)
erläutert wird, wie der IKT-Risikomanagementrahmen die Geschäftsstrategie und die Ziele des Finanzunternehmens unterstützt;
DORA-Sollmaßnahmen
D01.002DOR-Strategie: Verzahnung mit Geschäftsstrategie und -zielenS
b)
die Risikotoleranzschwelle für IKT-Risiken im Einklang mit der Risikobereitschaft des Finanzunternehmens festgelegt und die Auswirkungsstoleranz mit Blick auf IKT-Störungen untersucht wird;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D01.003DOR-Strategie: IKT-Risikotoleranz und AuswirkungstoleranzS
IKT-Risikomanagementrichtlinie: der Risiko-Tacho
IKT-Risikomanagementrichtlinie: in der Risikomatrix verankern
Verfahren zur IKT-Risikobehandlung: unter die Toleranzschwelle
D05.002Richtlinie zum IKT-Risikomanagement: Verweis auf die RisikotoleranzschwelleS
c)
klare Ziele für die Informationssicherheit festgelegt werden, einschließlich der wesentlichen Leistungsindikatoren und der wesentlichen Risikokennzahlen;
DORA-Sollmaßnahmen
D01.004DOR-Strategie: Ziele der Informationssicherheit (Kennzahlen)S
d)
die IKT-Referenzarchitektur und etwaige Änderungen erläutert werden, die für die Erreichung spezifischer Geschäftsziele erforderlich sind;
DORA-Sollmaßnahmen
D01.005DOR-Strategie: IKT-Referenzarchitektur und ÄnderungsbedarfS
e)
die verschiedenen Mechanismen dargelegt werden, die eingesetzt wurden, um IKT-bezogene Vorfälle zu erkennen, sich davor zu schützen und daraus entstehende Folgen zu verhindern;
DORA-Sollmaßnahmen
D01.006DOR-Strategie: Mechanismen zu Erkennung, Schutz und BegrenzungS
f)
der aktuelle Stand bezüglich der digitalen operationalen Resilienz anhand der Anzahl gemeldeter schwerwiegender IKT-Vorfälle und bezüglich der Wirksamkeit von Präventivmaßnahmen dargelegt wird;
DORA-Sollmaßnahmen
D01.007DOR-Strategie: Stand der operationalen Resilienz (Vorfallslage)S
g)
Tests der digitalen operationalen Resilienz gemäß Kapitel IV dieser Verordnung durchgeführt werden;
DORA-Sollmaßnahmen
D01.008DOR-Strategie: ResilienztestsS
h)
für den Fall von IKT-bezogenen Vorfällen, die gemäß Artikel 14 offengelegt werden müssen, eine Kommunikationsstrategie dargelegt wird.
DORA-Sollmaßnahmen
D01.009DOR-Strategie: Kommunikationsstrategie für VorfälleS
(9)
Finanzunternehmen können im Zusammenhang mit der Strategie für die digitale operationale Resilienz nach Absatz 8 eine ganzheitliche Strategie zur Nutzung mehrerer IKT-Anbieter auf Gruppen- oder Unternehmensebene festlegen, in der wesentliche Abhängigkeiten von IKT-Drittdienstleistern aufgezeigt und die Gründe für die Nutzung verschiedener IKT-Drittdienstleister erläutert werden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.001Strategie zur Nutzung mehrerer IKT-Anbieter (Multi-Vendor-Strategie)S
Multi-Vendor-Strategie (1/2)
Multi-Vendor-Strategie (2/2)
(10)
Finanzunternehmen können die Überprüfung der Einhaltung der Anforderungen für das IKT-Risikomanagement im Einklang mit den sektorspezifischen Rechtsvorschriften der Union und der Mitgliedstaaten an gruppeninterne oder externe Unternehmen auslagern. Im Falle einer solchen Auslagerung bleibt das Finanzunternehmen weiterhin uneingeschränkt für die Überprüfung der Einhaltung der IKT-Risikomanagementanforderungen verantwortlich.
DORA-Sollmaßnahmen
D03.010Auslagerung der IKT-RisikokontrollenS
DORA-Schulungsfolien
Unterschiede zwischen BAIT und DORA: Akzentverschiebung
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 7
Artikel 7
IKT-Systeme, -Protokolle und -Tools
DORA (EU 2022/2554)
Um IKT-Risiken zu bewältigen und zu managen, verwenden und unterhalten Finanzunternehmen stets auf dem neuesten Stand zu haltende IKT-Systeme, -Protokolle und -Tools, die
a)
dem Umfang von Vorgängen, die die Ausübung ihrer Geschäftstätigkeiten unterstützen, im Einklang mit dem Grundsatz der Verhältnismäßigkeit nach Artikel 4 angemessen sind;
DORA-Sollmaßnahmen
D22.014IKT-Systeme, Protokolle und Tools: Aktualität und AngemessenheitS
b)
zuverlässig sind;
DORA-Sollmaßnahmen
D22.015IKT-Systeme, Protokolle und Tools: ZuverlässigkeitS
c)
mit ausreichenden Kapazitäten ausgestattet sind, um die Daten, die für die Ausführung von Tätigkeiten und die rechtzeitige Erbringung von Dienstleistungen erforderlich sind, genau zu verarbeiten und Auftragsspitzen, Mitteilungen oder Transaktionen auch bei Einführung neuer Technologien bewältigen zu können;
DORA-Sollmaßnahmen
D22.016IKT-Systeme, Protokolle und Tools: Ausreichende Kapazitäten (Spitzenlast)S
d)
technologisch resilient sind, um dem unter angespannten Marktbedingungen oder anderen widrigen Umständen erforderlichen zusätzlichen Bedarf an Informationsverarbeitung angemessen zu begegnen.
DORA-Sollmaßnahmen
D22.017IKT-Systeme, Protokolle und Tools: Technologische Resilienz unter StressS
DORA-Schulungsfolien
Richtlinie IKT-Betriebssicherheit (1/2): Indikative Inhalte
Richtlinie IKT-Betriebssicherheit (2/2): Indikative Inhalte
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 8
Artikel 8
Identifizierung
DORA (EU 2022/2554)
(1)
Als Teil des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1 ermitteln und klassifizieren Finanzunternehmen alle IKT-gestützten Unternehmensfunktionen, Rollen und Verantwortlichkeiten, die Informations- und IKT-Assets, die diese Funktionen unterstützen, sowie deren Rollen und Abhängigkeiten hinsichtlich der IKT-Risiken und dokumentieren sie angemessen. Finanzunternehmen überprüfen erforderlichenfalls, mindestens jedoch einmal jährlich, ob diese Klassifizierung und jegliche einschlägige Dokumentation angemessen sind.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Verfahren zum IKT-Assetmanagement
D04.023Erstellung eines Verfahrens zum IKT-AssetmanagementS
Verfahrensanweisung zum (IKT-) Assetmanagement
Verfahren zum IKT-Assetmanagement: Einordnung in die Dokumentenhierarchie
D04.028Regelmäßige Überprüfung der KritikalitätsbewertungS
Weitere Festlegungen
D04.029Überprüfung der Einstufung von kwFS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D04.033Klassifizierung von IKT-Assets nach KritikalitätS
(IKT-) Assetmanagement: Übersicht über die Asset-Arten
↕ Bindet mit Abs. 6 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Finanzunternehmen ermitteln kontinuierlich alle Quellen für IKT-Risiken, insbesondere das Risiko gegenüber und von anderen Finanzunternehmen, und bewerten Cyberbedrohungen und IKT-Schwachstellen, die für ihre IKT-gestützten Geschäftsfunktionen, Informations- und IKT-Assets relevant sind. Finanzunternehmen überprüfen regelmäßig, mindestens jedoch einmal jährlich die sie betreffenden Risikoszenarien.
DORA-Sollmaßnahmen
D05.019Quellen von IKT-RisikenS
D05.020IKT-Risikobewertung: Berücksichtigung von Cyberbedrohungen (Bedrohungsmonitoring)S
D16.002Handhabung von technischen Schwachstellen im IKT-RisikomanagementS
D05.021Jährliche Überprüfung der IKT-RisikobewertungS
(3)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen bei jeder wesentlichen Änderung der Netzwerk- und Informationssysteminfrastruktur, der Prozesse oder Verfahren, die sich auf ihre IKT-gestützten Unternehmensfunktionen, Informations- oder IKT-Assets auswirken, eine Risikobewertung durch.
DORA-Sollmaßnahmen
D05.022IKT-Risikobewertung bei IKT-ÄnderungenS
D09.030Risikobewertungen zur NetzwerksicherheitS
(4)
Finanzunternehmen ermitteln alle Informations- und IKT-Assets, einschließlich derer an externen Standorten, Netzwerkressourcen und Hardware, und erfassen diejenigen, die als kritisch gelten. Sie erfassen die Konfiguration von Informations- und IKT-Assets sowie die Verbindungen und Interdependenzen zwischen den verschiedenen Informations- und IKT-Assets.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie zum IKT-Assetmanagement
D04.002Richtlinie zum IKT-Assetmanagement: Identifikation und Dokumentation der Assets und ihrer AbhängigkeitenS
D04.016Abbildung der Abhängigkeiten zwischen Assets (bisher: Informationsverbund)S
Dokumentation des Informationsverbundes (1/4): Elemente des Informationsverbunds
Dokumentation des Informationsverbundes (2/4): Abhängigkeiten im Informationsverbund
Dokumentation des Informationsverbundes (3/4): Ein Beispiel zum Informationsverbund
Dokumentation des Informationsverbundes (4/4): Dezentrale Informationsverbünde und Teilverbünde
Vorgabedokument: Inventar der IKT-Assets
D04.030Inventar der IKT-Assets: Mindestinhalte je IKT-AssetS
D07.004Konfigurationsdatenbank (CMDB): Konfiguration und Abhängigkeiten je IKT-AssetS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D07.005Inventar und Konfigurationsdokumentation von NetzwerkgerätenS
↕ Bindet mit Abs. 6 zusammen — die gemeinsame Sollmaßnahme steht dort.
(5)
Finanzunternehmen ermitteln und dokumentieren alle Prozesse, die von IKT-Drittdienstleistern abhängen, und ermitteln Vernetzungen mit IKT-Drittdienstleistern, die Dienste zur Unterstützung kritischer oder wichtiger Funktionen bereitstellen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D04.031Darstellung der IKT-DienstleistungsabhängigkeitenS
Kritikalität von IKT-Dienstleistungen (1/2)
Kritikalität von IKT-Dienstleistungen (2/2)
(6)
Für die Zwecke der Absätze 1, 4 und 5 führen Finanzunternehmen entsprechende Inventare, die sie regelmäßig sowie bei jeder wesentlichen Änderung im Sinne von Absatz 3 aktualisieren.
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie zum IKT-Assetmanagement
D04.017Inventar der IKT-unterstützten GeschäftsprozesseS
D04.018Inventar der IKT-Rollen und VerantwortlichkeitenS
D04.019Inventar der InformationsassetsS
D04.020Inventar der IKT-Assets und physischen InfrastrukturenS
D04.021Inventar der IKT-Dienstleistungen und IKT-DrittdienstleisterS
D04.022Regelmäßige Aktualisierung der Asset-InventareS
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D04.003Führung der Asset-Inventare (Pflichtelemente)S
Richtlinie zum IKT-Assetmanagement: Asset-Arten und Asset-Inventare
(7)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen für alle IKT-Altsysteme regelmäßig, mindestens jedoch einmal jährlich und in jedem Fall vor und nach Anschluss von Technologien, Anwendungen oder Systemen eine spezifische Bewertung des IKT-Risikos durch.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D05.023IKT-Risikobewertung für AltsystemeS
Risikomanagement für IKT-Altsysteme
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 9
Artikel 9
Schutz und Prävention
DORA (EU 2022/2554)
(1)
Um einen angemessenen Schutz von IKT-Systemen zu gewährleisten und Gegenmaßnahmen zu organisieren, überwachen und kontrollieren Finanzunternehmen kontinuierlich die Sicherheit und das Funktionieren der IKT-Systeme und -Tools und minimieren durch den Einsatz angemessener IKT-Sicherheitstools, -Richtlinien und -Verfahren die Auswirkungen von IKT-Risiken auf IKT-Systeme.
DORA-Sollmaßnahmen
D02.024Überwachung und Kontrolle der IKT-Systeme im laufenden BetriebS
(2)
Finanzunternehmen konzipieren, beschaffen und implementieren IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools, die darauf abzielen, die Resilienz, Kontinuität und Verfügbarkeit von IKT-Systemen, insbesondere jener zur Unterstützung kritischer oder wichtiger Funktionen, zu gewährleisten und hohe Standards in Bezug auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit, von Daten aufrechtzuerhalten, unabhängig davon, ob diese Daten gespeichert sind oder gerade verwendet oder übermittelt werden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Informationssicherheitsleitlinie
D06.003Themenspezifische IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -ToolsS
Informationssicherheitsleitlinie: die IKT-Sicherheitsrichtlinien
Informationssicherheitsleitlinie: die IKT-Sicherheitsverfahren
D06.004Schutzziele für data at rest, in use und in transitS
(3)
Um die in Absatz 2 genannten Ziele zu erreichen, greifen Finanzunternehmen auf IKT-Lösungen und -Prozesse zurück, die gemäß Artikel 4 angemessen sind. Diese IKT-Lösungen und -Prozesse müssen
a)
die Sicherheit der Datenübermittlungsmittel gewährleisten;
b)
das Risiko von Datenkorruption oder -verlust, unbefugtem Zugriff und technischen Mängeln, die die Geschäftstätigkeit beeinträchtigen können, minimieren;
c)
dem Mangel an Verfügbarkeit, der Beeinträchtigung der Authentizität und Integrität, den Verletzungen der Vertraulichkeit und dem Verlust von Daten vorbeugen;
d)
gewährleisten, dass Daten vor Risiken, die beim Datenmanagement entstehen, einschließlich schlechter Verwaltung, verarbeitungsbedingter Risiken und menschlichem Versagen, geschützt werden.
DORA-Sollmaßnahmen
Vorgabedokument: Informationssicherheitsleitlinie
D06.005Schutz von Datenübertragung und DatenmanagementS
D06.006Verhältnismäßigkeit der IKT-Sicherheitsrichtlinien nach Größe und RisikoprofilS
(4)
Als Teil des IKT-Risikomanagementrahmens nach Artikel 6 Absatz 1 gilt für Finanzunternehmen Folgendes:
a)
Sie erarbeiten und dokumentieren eine Informationssicherheitsleitlinie, in der Regeln zum Schutz der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten und der Informations- und IKT-Assets, gegebenenfalls einschließlich derjenigen ihrer Kunden, festgelegt sind;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Informationssicherheitsleitlinie
D06.001Erstellung einer InformationssicherheitsleitlinieS
Informationssicherheit: Eine Analogie zum Verkehrswesen
Informationssicherheitsleitlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Informationssicherheitsleitlinie: Formales
D06.002Informationssicherheitsleitlinie: Inhaltliche MindestanforderungenS
Informationssicherheitsleitlinie: von der BAIT- zur DORA-Fassung
b)
sie richten entsprechend einem risikobasierten Ansatz eine solide Struktur für Netzwerk- und Infrastrukturmanagement unter Verwendung angemessener Techniken, Methoden und Protokolle ein, wozu auch die Umsetzung automatisierter Mechanismen zur Isolierung betroffener Informationsassets im Falle von Cyberangriffen gehören kann;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D09.001Erstellung einer Richtlinie für das Management der NetzwerksicherheitS
Netzwerksicherheitsrichtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D09.024Trennbare Netzinfrastruktur und automatisierte Isolierung betroffener Netzwerk-AssetsS
Netzwerksicherheit: Die bisherige Erwartungshaltung der Aufsicht
c)
sie implementieren Richtlinien, die den physischen oder logischen Zugang zu Informations- und IKT-Assets ausschließlich auf den Umfang beschränken, der für rechtmäßige und zulässige Funktionen und Tätigkeiten erforderlich ist, und legen zu diesem Zweck eine Reihe von Konzepten, Verfahren und Kontrollen fest, die auf Zugangs- und Zugriffsrechte gerichtet sind, und gewährleisten deren gründliche Verwaltung;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie für die physische Sicherheit
D15.001Erstellung einer Richtlinie für die physische SicherheitS
Richtlinie zur physischen Sicherheit: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Vorgabedokument: IAM-Richtlinie
D17.001Erstellung einer IAM-RichtlinieS
Richtlinie zum Identitäts- und Berechtigungsmanagement: Die IAM-Richtlinie im DORA-Tempel
D17.002IAM-Richtlinie: Zugangsbeschränkung auf das erforderliche MaßS
Richtlinie zum Identitäts- und Berechtigungsmanagement: die IAM-Grundbegriffe
Richtlinie zum Identitäts- und Berechtigungsmanagement (2/4): Grundsätze und Konten
Richtlinie zum Identitäts- und Berechtigungsmanagement (3/4): Konten und Authentifizierung
Richtlinie zum Identitäts- und Berechtigungsmanagement (4/4): der physische Zutritt
D15.009Physische Sicherheit: Vergabeverfahren für ZutrittsrechteS
d)
sie implementieren Konzepte und Protokolle für starke Authentifizierungsmechanismen, die auf einschlägigen Normen und speziellen Kontrollsystemen basieren, sowie Schutzmaßnahmen für kryptografische Schlüssel, wobei Daten auf der Grundlage der Ergebnisse aus genehmigten Datenklassifizierungs- und IKT-Risikobewertungsprozessen verschlüsselt werden;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: IAM-Richtlinie
D17.003IAM-Richtlinie: starke Authentifizierung (MFA)S
Vorgabedokument: Richtlinie für Verschlüsselung und kryptografische Kontrollen
D08.001Erstellung einer Richtlinie für Verschlüsselung und kryptografische KontrollenS
Kryptografie-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Kryptografie-Richtlinie (1/4): die drei Datenzustände
Kryptografie-Richtlinie (2/4): Standards und Ausnahmen
Kryptografie-Richtlinie (3/4): die Schlüssel selbst
Kryptografie-Richtlinie (4/4): Ersatz und Lebenszyklus
D08.011Schutz kryptografischer SchlüsselS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D08.014Kryptografische Kontrollen gemäß Schutzbedarf/ RisikoS
e)
sie implementieren und dokumentieren Richtlinien, Verfahren und Kontrollen für das IKT-Änderungsmanagement, einschließlich Änderungen an Software, Hardware, Firmware-Komponenten, den Systemen oder von Sicherheitsparametern, die auf einem Risikobewertungsansatz basieren und fester Bestandteil des gesamten Änderungsmanagementprozesses des Finanzunternehmens sind, um sicherzustellen, dass alle Änderungen an IKT-Systemen auf kontrollierte Weise erfasst, getestet, bewertet, genehmigt, implementiert und überprüft werden;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie für das IKT-Änderungsmanagement
D18.001Erstellung einer Richtlinie für das IKT-ÄnderungsmanagementS
Richtlinie zum IKT-Änderungsmanagement: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D18.002Richtlinie für das IKT-Änderungsmanagement: Risikobasierte Steuerung von ÄnderungenS
D18.003Richtlinie für das IKT-Änderungsmanagement: Verbindlicher ÄnderungslebenszyklusS
IKT-Änderungsmanagement: Die bisherige Erwartungshaltung der Aufsicht
Vorgabedokument: Verfahren für das IKT-Änderungsmanagement
D18.005Erstellung eines Verfahrens für das IKT-ÄnderungsmanagementS
Verfahren zum IKT-Änderungsmanagement: Einordnung in die Dokumentenhierarchie
f)
sie besitzen angemessene und umfassende dokumentierte Richtlinien für Patches und Updates.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D16.001Erstellung einer Patch-Management-RichtlinieS
Schwachstellen- und Patch-Management: Zwei Seiten einer Medaille
Patch-Management-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Für die Zwecke von Unterabsatz 1 Buchstabe b konzipieren Finanzunternehmen die Infrastruktur für die Netzanbindung und Netzwerkverbindung so, dass sie sofort getrennt oder segmentiert werden kann, damit eine Ansteckung, insbesondere bei miteinander verbundenen Finanzprozessen, minimiert und verhindert wird.
Für die Zwecke von Unterabsatz 1 Buchstabe e wird das Verfahren für das IKT-Änderungsmanagement von zuständigen Leitungsebenen genehmigt und hat spezifische Protokolle.
DORA-Schulungsfolien
Erste Erkenntnisse aus DORA-Sonderprüfungen: Feststellungen zum sicheren IKT-Betrieb
Erste Erkenntnisse aus DORA-Sonderprüfungen: IKT-Sicherheit bei BaFin und Bundesbank
Erste Erkenntnisse aus DORA-Sonderprüfungen: IKT-Sicherheit im FMA/OeNB-Dialog
Erste Erkenntnisse aus DORA-Sonderprüfungen: was die Prüfer sehen wollen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 10
Artikel 10
Erkennung
DORA (EU 2022/2554)
(1)
Finanzunternehmen verfügen über Mechanismen, um anomale Aktivitäten im Einklang mit Artikel 17, darunter auch Probleme bei der Leistung von IKT-Netzwerken und IKT-bezogene Vorfälle, umgehend zu erkennen und potenzielle einzelne wesentliche Schwachstellen zu ermitteln.
Alle in Unterabsatz 1 aufgeführten Erkennungsmechanismen werden gemäß Artikel 25 regelmäßig getestet.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.007Mechanismen zur Anomalieerkennung: Umgehende Erkennung anomaler AktivitätenS
D09.031Protokollierung und Auswertung von NetzwerkereignissenS
D26.033Single Points of Failure: IdentifikationsmechanismenS
D11.002Testen der digitalen operationalen ResilienzS
IKT-Incident Management: was überwacht werden muss
(2)
Die in Absatz 1 genannten Erkennungsmechanismen ermöglichen mehrere Kontrollebenen und legen Alarmschwellen und -kriterien fest, um Reaktionsprozesse bei IKT-bezogenen Vorfällen auszulösen und einzuleiten, einschließlich automatischer Warnmechanismen für Mitarbeiter, die für Reaktionsmaßnahmen bei IKT-bezogenen Vorfällen zuständig sind.
DORA-Sollmaßnahmen
D21.008IKT-Vorfallmanagement: Erkennungsebenen und AlarmschwellenS
(3)
Finanzunternehmen stellen ausreichende Ressourcen und Kapazitäten bereit, um Nutzeraktivitäten, das Auftreten von IKT-Anomalien und IKT-bezogenen Vorfällen, darunter insbesondere Cyberangriffe, zu überwachen.
DORA-Sollmaßnahmen
D21.022IKT-Vorfallmanagement: Ressourcen für ÜberwachungS
(4)
Datenbereitstellungsdienste verfügen darüber hinaus über Systeme, mit denen wirksam Handelsauskünfte auf Vollständigkeit geprüft, Lücken und offensichtliche Fehler erkannt und eine Neuübermittlung angefordert werden können.
DORA-Sollmaßnahmen
D21.023Datenbereitstellungsdienste: Vollständigkeitsprüfung der HandelsauskünfteS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 11
Artikel 11
Reaktion und Wiederherstellung
DORA (EU 2022/2554)
(1)
Als Teil des in Artikel 6 Absatz 1 genannten IKT-Risikomanagementrahmens und auf der Grundlage der Identifizierungsanforderungen nach Artikel 8 legen Finanzunternehmen eine umfassende IKT-Geschäftsfortführungsleitlinie fest, die als eigenständige spezielle Leitlinie, die fester Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Finanzunternehmens ist, verabschiedet werden kann.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D26.001Erstellung einer IKT-GeschäftsfortführungsleitlinieS
IKT-Geschäftsfortführungsleitlinie: Analogie zum Notfallmanagement
IKT-Geschäftsfortführungsleitlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
(2)
Finanzunternehmen implementieren die IKT-Geschäftsfortführungsleitlinie mittels spezieller, angemessener und dokumentierter Regelungen, Pläne, Verfahren und Mechanismen, die darauf abzielen,
DORA-Schulungsfolien
IKT-BCM und IKT-Response & Recovery: zwei Seiten einer Medaille
Verfahren für das IKT-BCM: Einordnung in die Dokumentenhierarchie
a)
die Fortführung der kritischen oder wichtigen Funktionen des Finanzunternehmens sicherzustellen;
b)
auf alle IKT-bezogenen Vorfälle rasch, angemessen und wirksam zu reagieren und diesen so entgegenzuwirken, dass Schäden begrenzt werden und die Wiederaufnahme von Tätigkeiten und Wiederherstellungsmaßnahmen Vorrang erhalten;
c)
unverzüglich spezielle Pläne zu aktivieren, die Eindämmungsmaßnahmen, Prozesse und Technologien für alle Arten IKT-bezogener Vorfälle ermöglichen und weitere Schäden vermeiden, sowie maßgeschneiderte Verfahren zur Reaktion und Wiederherstellung gemäß Artikel 12 zu aktivieren;
d)
vorläufige Auswirkungen, Schäden und Verluste einzuschätzen;
e)
Kommunikations- und Krisenmanagementmaßnahmen festzulegen, die gewährleisten, dass allen relevanten internen Mitarbeitern und externen Interessenträgern im Sinne von Artikel 14 aktualisierte Informationen übermittelt werden, und die Meldung an die zuständigen Behörden gemäß Artikel 19 sicherstellen.
DORA-Sollmaßnahmen
D26.032Erstellung eines Verfahrens für das IKT-BCMS
D26.041IKT-Geschäftsfortführungspläne: Pflichtinhalte der PläneS
D26.044IKT-Reaktions- und Wiederherstellungspläne: Pflichtinhalte der PläneS
D26.048Krisenkommunikationspläne: Pflichtinhalte der PläneS
↕ Bindet mit Abs. 7 zusammen — die gemeinsame Sollmaßnahme steht dort.
(3)
Finanzunternehmen implementieren als Teil des in Artikel 6 Absatz 1 genannten IKT-Risikomanagementrahmens damit verbundene IKT-Reaktions- und Wiederherstellungspläne, die einer unabhängigen internen Revision zu unterziehen sind, sofern es sich bei dem Finanzunternehmen nicht um ein Kleinstunternehmen handelt.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D26.039Erstellung der IKT-Geschäftsfortführungspläne, der IKT-Reaktions- und Wiederherstellungspläne und der KrisenkommunikationspläneS
D03.003(IKT-) Revisionspläne: Prüfung der IKT-Reaktions- und WiederherstellungspläneS
IKT-BCM und IKT-Response & Recovery: IKT-Reaktion und Wiederherstellung
DORA-Sollmaßnahmen
D26.002IKT-Geschäftsfortführungsleitlinie: Verweis auf die IKT-Reaktions- und WiederherstellungspläneS
(4)
Finanzunternehmen erstellen, pflegen und testen regelmäßig angemessene IKT-Geschäftsfortführungspläne, insbesondere in Bezug auf kritische oder wichtige Funktionen, die ausgelagert oder durch vertragliche Vereinbarungen an IKT-Drittdienstleister vergeben werden.
DORA-Sollmaßnahmen
Vorgabedokument: IKT-Geschäftsfortführungspläne (IKT-GFP)
D26.040Erstellung von IKT-Geschäftsfortführungsplänen für ausgelagerte oder vergebene kwFS
D25.009IKT-Geschäftsfortführungspläne für IKT-Dienstleistungen: kwF-relevante und zeitkritische DienstleistungenS
(5)
Als Teil der allgemeinen Geschäftsfortführungsleitlinie führen Finanzunternehmen eine Business-Impact-Analyse (BIA) der bestehenden Risiken für schwerwiegende Betriebsstörungen durch. Im Rahmen der BIA bewerten Finanzunternehmen die potenziellen Auswirkungen schwerwiegender Betriebsstörungen anhand quantitativer und qualitativer Kriterien, wobei sie gegebenenfalls interne und externe Daten und Szenarioanalysen heranziehen. Dabei werden die Kritikalität der identifizierten und erfassten Unternehmensfunktionen, Unterstützungsprozesse, Abhängigkeiten von Dritten und Informationsassets sowie deren Interdependenzen berücksichtigt. Die Finanzunternehmen stellen sicher, dass IKT-Assets und -Dienste in voller Übereinstimmung mit der BIA konzipiert und genutzt werden, insbesondere wenn es darum geht, die Redundanz aller kritischen Komponenten in angemessener Weise zu gewährleisten.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Allgemeine Geschäftsfortführungsleitlinie
D26.029Allgemeine Geschäftsfortführungsleitlinie: Durchführung der Business Impact AnalyseS
Allgemeine Geschäftsfortführungsleitlinie: Eine Leitlinie im „DORA-Tempel“
Verfahren zum IKT-BCM: die Vorgaben zur BIA
Exkurs BIA: Eine Analogie zum Verkehrswesen
Redundante Rechenzentren und Ausweichstandorte: Nur eine Frage der Zentralverwahrer?
D26.030Business Impact Analyse: Bewertung der KritikalitätS
D26.031Business Impact Analyse: Redundanz kritischer KomponentenS
(6)
Im Rahmen ihres umfassenden IKT-Risikomanagements gilt für Finanzunternehmen Folgendes:
DORA-Sollmaßnahmen
D26.019IKT-Geschäftsfortführungsleitlinie: Regelmäßige ÜberprüfungS
D26.049Test und Wirksamkeitsbewertung der IKT-Geschäftsfortführungspläne, der IKT-Reaktions- und Wiederherstellungspläne und der KrisenkommunikationspläneS
D26.042Tests der Pläne: Dokumentation und Bericht der ErgebnisseS
a)
sie testen bei IKT-Systemen, die alle Funktionen unterstützen, mindestens jährlich sowie im Falle jeglicher wesentlicher Änderungen an IKT-Systemen, die kritische oder wichtige Funktionen unterstützen, die IKT-Geschäftsfortführungspläne sowie die IKT-Reaktions- und Wiederherstellungspläne;
DORA-Sollmaßnahmen
D26.050Testszenarien Cyberangriff und Rechenzentrumsumschaltung für die IKT-Geschäftsfortführungspläne und die IKT-Reaktions- und WiederherstellungspläneS
b)
sie testen die gemäß Artikel 14 erstellten Krisenkommunikationspläne.
— keine Sollmaßnahme im Katalog zugeordnet
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, nehmen für die Zwecke von Unterabsatz 1 Buchstabe a Szenarien für Cyberangriffe und Umstellungen von der primären IKT-Infrastruktur auf die redundanten Kapazitäten, Backups und Systeme, die für die Erfüllung der Verpflichtungen nach Artikel 12 erforderlich sind, in ihre Testpläne auf.
Finanzunternehmen überprüfen ihre IKT-Geschäftsfortführungsleitlinie und ihre IKT-Reaktions- und Wiederherstellungspläne regelmäßig und berücksichtigen dabei die Ergebnisse von Tests, die gemäß Unterabsatz 1 durchgeführt wurden, sowie die Empfehlungen, die sich aus Audits oder aufsichtlichen Überprüfungen ergeben.
(7)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, verfügen über eine Krisenmanagementfunktion, die bei Aktivierung ihrer IKT- Geschäftsfortführungspläne oder ihrer IKT-Reaktions- und Wiederherstellungspläne unter anderem klare Verfahren für die Abwicklung interner und externer Krisenkommunikation gemäß Artikel 14 festlegt.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: IKT-Geschäftsfortführungsleitlinie
D26.003IKT-Geschäftsfortführungsleitlinie: Governance und OrganisationS
D03.001KrisenmanagementfunktionS
Weitere Festlegungen
D26.037Nachbereitung nach KrisenfällenS
Krisenmanagement: die Analogie zum Verkehrswesen
Krisenmanagementverfahren: Einordnung in die Dokumentenhierarchie
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D26.036Erstellung eines KrisenmanagementverfahrensS
Krisenmanagement: die Inhalte
(8)
Finanzunternehmen sorgen dafür, dass Aufzeichnungen über die Tätigkeiten vor und während Störungen, wenn ihre IKT-Geschäftsfortführungspläne oder ihre IKT-Reaktions- und Wiederherstellungspläne aktiviert werden, jederzeit eingesehen werden können.
DORA-Sollmaßnahmen
D26.038Aufzeichnungen während StörungenS
(9)
Zentralverwahrer übermitteln den zuständigen Behörden Kopien der Ergebnisse der Tests der IKT-Geschäftsfortführung oder ähnlicher Vorgänge.
DORA-Sollmaßnahmen
D26.020Zentralverwahrer: Übermittlung der Testergebnisse an BehördenS
(10)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, melden den zuständigen Behörden auf Anfrage die geschätzten aggregierten jährlichen Kosten und Verluste, die durch schwerwiegende IKT-bezogene Vorfälle verursacht wurden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.028IKT-Vorfallklassifikation: Aggregierte jährliche Kosten- und VerlustschätzungS
Meldepflichten für schwerwiegende IKT-Vorfälle: Die Schätzung der jährlichen Kosten und Verluste
(11)
Gemäß jeweils Artikel 16 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 arbeiten die Europäischen Aufsichtsbehörden (im Folgenden „ESA“) über den Gemeinsamen Ausschuss bis zum 17. Juli 2024 gemeinsame Leitlinien für die Schätzung der aggregierten jährlichen Kosten und Verluste nach Absatz 10 aus.
DORA-Schulungsfolien
Erste Erkenntnisse aus DORA-Sonderprüfungen: Was Prüfungen am Notfallmanagement und am Meldewesen finden
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 12
Artikel 12
Richtlinie und Verfahren zum Backup sowie Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung
DORA (EU 2022/2554)
(1)
Um die Wiederherstellung von IKT-Systemen und Daten mit minimaler Ausfallzeit sowie begrenzten Störungen und Verlusten als Teil ihres IKT-Risikomanagementrahmens sicherzustellen, entwickeln und dokumentieren Finanzunternehmen:
DORA-Schulungsfolien
Datensicherung & Wiedergewinnung und Wiederherstellung: die Analogie zum Verkehrswesen
a)
Richtlinien und Verfahren für die Datensicherung, in denen der Umfang der Daten, die der Sicherung unterliegen, und die Mindesthäufigkeit der Sicherung auf der Grundlage der Kritikalität der Informationen oder des Vertraulichkeitsgrads der Daten festgelegt werden;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie zur Datensicherung
D10.001Erstellung einer Richtlinie zur DatensicherungS
Richtlinie zur Datensicherung: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D10.002Richtlinie zur Datensicherung: Umfang und Häufigkeit der SicherungS
Vorgabedokument: Verfahren zur Datensicherung (Backup-Verfahren)
D10.007Erstellung eines Verfahrens zur DatensicherungS
Verfahren zur Datensicherung: Einordnung in die Dokumentenhierarchie
Datensicherung & Wiedergewinnung und Wiederherstellung: Zwei Seiten einer Medaille
Datensicherungsverfahren: Was in das Datensicherungsverfahren gehört
D10.008Verfahren zur Datensicherung: Umfang und Häufigkeit nach SchutzbedarfS
b)
Wiedergewinnungs- und Wiederherstellungsverfahren und -methoden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D10.013Erstellung von Wiedergewinnungs- und WiederherstellungsverfahrenS
Datensicherungen, Wiedergewinnung und Wiederherstellung: Die bisherige Erwartungshaltung der Aufsicht
Wiedergewinnungs- und Wiederherstellungsverfahren: Inhaltsübersicht
Wiedergewinnungs- und Wiederherstellungsverfahren: Einordnung in die Dokumentenhierarchie
↕ Bindet mit Abs. 6 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Finanzunternehmen richten Datensicherungssysteme ein, die in Übereinstimmung mit den Richtlinien und Verfahren zur Datensicherung sowie den Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung aktiviert werden können. Die Aktivierung von Datensicherungssystemen darf die Sicherheit der Netzwerk- und Informationssysteme oder die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten nicht gefährden. Die Datensicherungsverfahren sowie die Wiedergewinnungs- und Wiederherstellungsverfahren und -methoden sind regelmäßig zu testen.
DORA-Sollmaßnahmen
D10.005Sicherer Betrieb der DatensicherungssystemeS
D10.011Test von Backup und RestoreS
D10.015Implementierung von DatensicherungssystemenS
↕ Bindet mit Abs. 6 zusammen — die gemeinsame Sollmaßnahme steht dort.
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
(3)
Bei der Wiedergewinnung gesicherter Daten mithilfe eigener Systeme verwenden Finanzunternehmen IKT-Systeme, die von ihrem Quellsystem physisch und logisch getrennt sind. Die IKT-Systeme müssen sicher vor unbefugtem Zugriff oder IKT-Manipulationen geschützt sein und die rechtzeitige Wiederherstellung von Diensten ermöglichen, wobei erforderlichenfalls Daten- und Systemsicherungen (Backups) zu nutzen sind.
Bei zentralen Gegenparteien ermöglichen die Wiederherstellungspläne die Wiederherstellung aller zum Zeitpunkt der Störung laufenden Transaktionen, damit die zentrale Gegenpartei weiterhin sicher arbeiten und die Abwicklung zum vorgesehenen Zeitpunkt abschließen kann.
Datenbereitstellungsdienste unterhalten zusätzlich angemessene Ressourcen und verfügen über die entsprechenden Sicherungs- und Wiedergewinnungseinrichtungen, damit ihre Dienste jederzeit angeboten und aufrechterhalten werden können.
DORA-Sollmaßnahmen
D10.012Wiedergewinnung auf getrennten SystemenS
D10.006Schutz der DatensicherungssystemeS
D26.021Zentrale Gegenparteien: Wiederherstellung aller TransaktionenS
D26.022Datenbereitstellungsdienste: Ressourcen, Backup- und WiederherstellungseinrichtungenS
(4)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, unterhalten redundante IKT-Kapazitäten mit Ressourcen, Fähigkeiten und Funktionen, die für die Deckung des Geschäftsbedarfs ausreichen und angemessen sind. Kleinstunternehmen bewerten auf der Grundlage ihres Risikoprofils, ob diese redundanten IKT-Kapazitäten unterhalten werden müssen.
DORA-Sollmaßnahmen
D22.018IKT-Systeme, Protokolle und Tools: Vorhaltung redundanter KapazitätenS
(5)
Zentralverwahrer unterhalten mindestens einen sekundären Verarbeitungsstandort, dessen Ressourcen, Kapazitäten, Funktionen und Personalressourcen angemessen sind, um den Geschäftsbedarf zu decken.
Der sekundäre Verarbeitungsstandort
DORA-Sollmaßnahmen
D26.023Zentralverwahrer: sekundärer VerarbeitungsstandortS
a)
befindet sich in geografischer Entfernung vom primären Verarbeitungsstandort, damit er ein eigenes Risikoprofil aufweist und nicht von dem Ereignis, das sich am primären Standort ereignet hat, betroffen ist;
DORA-Sollmaßnahmen
D26.024Zentralverwahrer: geografische Distanz des sekundären VerarbeitungsstandortsS
b)
kann die Kontinuität kritischer oder wichtiger, mit dem primären Standort identischer Funktionen gewährleisten oder ein Leistungsniveau bereitstellen, mit dem sichergestellt wird, dass das Finanzunternehmen seine kritischen Vorgänge im Rahmen der Wiederherstellungsziele durchführt;
DORA-Sollmaßnahmen
D26.025Zentralverwahrer: Fortführung der kwF am sekundären VerarbeitungsstandortS
c)
ist für das Personal des Finanzunternehmens unmittelbar zugänglich, damit die Kontinuität kritischer oder wichtiger Funktionen gewährleistet werden kann, falls der primäre Verarbeitungsstandort nicht mehr zur Verfügung steht.
DORA-Sollmaßnahmen
D26.026Zentralverwahrer: Personalzugang zum sekundären VerarbeitungsstandortS
(6)
Bei der Festlegung der Vorgaben für die Wiederherstellungszeit und die Wiederherstellungspunkte jeder Funktion berücksichtigen die Finanzunternehmen, ob es sich um eine kritische oder wichtige Funktion handelt, sowie die potenziellen Gesamtauswirkungen auf die Markteffizienz. Mit diesen Zeitvorgaben ist sichergestellt, dass die vereinbarte Dienstleistungsgüte in Extremszenarien erreicht werden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D26.034Verfahren für das IKT-BCM: Wiederherstellungszeit (RTO) und Wiederherstellungspunkt (RPO)S
IKT-Reaktions- und Wiederherstellungspläne: RPO, WAZ und RTO
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
(7)
Bei der Wiederherstellung nach IKT-bezogenen Vorfällen führen Finanzunternehmen die erforderlichen Prüfungen durch, einschließlich jeglicher Mehrfachprüfungen und Abgleiche, um die größtmögliche Datenintegrität sicherzustellen. Diese Prüfungen werden auch bei der Rekonstruktion von Daten externer Interessenträger durchgeführt, um sicherzustellen, dass alle Daten systemübergreifend einheitlich sind.
DORA-Sollmaßnahmen
D10.014Integritätsprüfung bei DatenwiederherstellungenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 13
Artikel 13
Lernprozesse und Weiterentwicklung
DORA (EU 2022/2554)
(1)
Finanzunternehmen verfügen über Kapazitäten und Personal, um Informationen über Schwachstellen und Cyberbedrohungen, IKT-bezogene Vorfälle, insbesondere Cyberangriffe, zu sammeln und ihre wahrscheinlichen Auswirkungen auf ihre digitale operationale Resilienz zu untersuchen.
DORA-Sollmaßnahmen
D21.009IKT-Vorfallmanagement: Kapazitäten für Bedrohungs- und SchwachstellenanalyseS
(2)
Nach Störungen ihrer Haupttätigkeiten infolge schwerwiegender IKT-bezogener Vorfälle sehen Finanzunternehmen nachträgliche Prüfungen IKT-bezogener Vorfälle vor, die die Ursachen für Störungen untersuchen und die erforderlichen Verbesserungen an IKT-Vorgängen oder im Rahmen der in Artikel 11 genannten IKT-Geschäftsfortführungsleitlinie identifizieren.
Finanzunternehmen, die keine Kleinstunternehmen sind, teilen den zuständigen Behörden auf Verlangen die Änderungen mit, die nach der Prüfung IKT-bezogener Vorfälle gemäß Unterabsatz 1 vorgenommen wurden.
Bei den in Unterabsatz 1 genannten nachträglichen Prüfungen IKT-bezogener Vorfälle wird ermittelt, ob die festgelegten Verfahren befolgt und die ergriffenen Maßnahmen wirksam waren, unter anderem in Bezug auf:
a)
die Schnelligkeit bei der Reaktion auf Sicherheitswarnungen und bei der Bestimmung der Auswirkungen von IKT-bezogenen Vorfällen und ihrer Schwere;
b)
die Qualität und Schnelligkeit bei der Durchführung forensischer Analysen, sofern dies als zweckmäßig erachtet wird;
c)
die Wirksamkeit der Eskalation von Vorfällen innerhalb des Finanzunternehmens;
d)
die Wirksamkeit interner und externer Kommunikation.
DORA-Sollmaßnahmen
D21.069Ursachenanalyse und Verbesserungsmaßnahmen nach schwerwiegenden IKT-bezogenen VorfällenS
D21.070Strukturierte Nachbereitung schwerwiegender IKT-bezogener VorfälleS
D26.037Nachbereitung nach KrisenfällenS
D21.071Behördenmitteilung vorgenommener ÄnderungenS
(3)
Erkenntnisse aus gemäß den Artikeln 26 und 27 durchgeführten Tests der digitalen operationalen Resilienz und aus realen IKT-bezogenen Vorfällen, insbesondere Cyberangriffen, werden neben Herausforderungen, die sich bei der Aktivierung von IKT- Geschäftsfortführungsplänen und IKT-Reaktions- und Wiederherstellungsplänen ergeben, zusammen mit einschlägigen Informationen, die mit Gegenparteien ausgetauscht und im Rahmen aufsichtlicher Überprüfungen bewertet werden, kontinuierlich ordnungsgemäß in den IKT-Risikobewertungsprozess einbezogen. Diese Erkenntnisse bilden die Grundlage für angemessene Überprüfungen relevanter Komponenten des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1.
DORA-Sollmaßnahmen
D05.017Informationen zur IKT-RisikobewertungS
↕ Bindet mit Abs. 5 zusammen — die gemeinsame Sollmaßnahme steht dort.
(4)
Finanzunternehmen überwachen die Wirksamkeit der Umsetzung ihrer Strategie für die digitale operationale Resilienz gemäß Artikel 6 Absatz 8. Dabei erfassen sie die Entwicklung der IKT-Risiken im Zeitverlauf, untersuchen Häufigkeit, Art, Ausmaß und Entwicklung IKT-bezogener Vorfälle, insbesondere Cyberangriffe und deren Muster, um das Ausmaß der IKT-Risiken — insbesondere in Bezug auf kritische oder wichtige Funktionen — zu verstehen und die Cyberreife und die Abwehrbereitschaft des Finanzunternehmens zu verbessern.
DORA-Sollmaßnahmen
D01.010Wirksamkeit der DOR-StrategieS
D05.004Laufende Überwachung von IKT-RisikenS
(5)
Leitende IKT-Mitarbeiter erstatten dem Leitungsorgan mindestens einmal jährlich über die in Absatz 3 genannten Feststellungen Bericht und geben Empfehlungen ab.
DORA-Sollmaßnahmen
D02.011Jährliche IKT-Berichterstattung an das LeitungsorganS
(6)
Finanzunternehmen entwickeln Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz, die im Rahmen ihrer Programme für die Mitarbeiterschulung obligatorisch sind. Diese Programme und Schulungen gelten für alle Beschäftigten und die Geschäftsleitung und sind so komplex, dass sie deren jeweiligem Aufgabenbereich angemessen sind. Gegebenenfalls nehmen die Finanzunternehmen entsprechend Artikel 30 Absatz 2 Buchstabe i auch IKT-Drittdienstleister in ihre einschlägigen Schulungsprogramme auf.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Informationssicherheitsleitlinie
D06.007Sensibilisierungs- und Schulungsprogramme für alle MitarbeitendenS
Schulung und Awareness: das Ende der einen Schulung für alle
Personalsicherheit: die Analogie zur Verkehrssicherheit
Personalsicherheit: sechs Arten, fünf Anker
Personalsicherheit: was verbindlich gilt
Vorgabedokument: Allgemeine Vertragsinhalte
D23.045Allgemeine Vertragsinhalte: Teilnahme an Sensibilisierungs- und SchulungsprogrammenS
D25.011Einbindung des IKT-Drittdienstleisters in Sensibilisierung und SchulungS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D06.023Einbeziehung von IKT-Drittdienstleistern in Sensibilisierungs- und SchulungsprogrammeS
(7)
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, überwachen einschlägige technologische Entwicklungen fortlaufend — auch um die möglichen Auswirkungen des Einsatzes solcher neuen Technologien auf die Anforderungen an die IKT-Sicherheit und die digitale operationale Resilienz zu verstehen. Sie halten sich über die neuesten Prozesse für das IKT-Risikomanagement auf dem Laufenden, um gegenwärtige oder neue Formen von Cyberangriffen wirksam abzuwehren.
DORA-Sollmaßnahmen
D06.008Informationssicherheitsleitlinie: Überwachung technologischer EntwicklungenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 14
Artikel 14
Kommunikation
DORA (EU 2022/2554)
(1)
Als Teil des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1 verfügen Finanzunternehmen über Kommunikationspläne, die je nach Sachlage eine verantwortungsbewusste Offenlegung zumindest von schwerwiegenden IKT-bezogenen Vorfällen oder Schwachstellen gegenüber Kunden und anderen Finanzunternehmen sowie der Öffentlichkeit ermöglichen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D26.039Erstellung der IKT-Geschäftsfortführungspläne, der IKT-Reaktions- und Wiederherstellungspläne und der KrisenkommunikationspläneS
D16.020Kommunikationspläne zur SchwachstellenoffenlegungS
Krisenmanagement: die fünf Anforderungen
(2)
Als Teil des IKT-Risikomanagementrahmens setzen Finanzunternehmen Kommunikationsstrategien für interne Mitarbeiter und externe Interessenträger um. Bei Kommunikationsleitlinien für Mitarbeiter wird berücksichtigt, dass zwischen dem Personal, das am IKT-Risikomanagement, insbesondere im Bereich Reaktion und Wiederherstellung, beteiligt ist, und dem zu informierendem Personal unterschieden werden muss.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Kommunikationsleitlinie
D21.024Erstellung einer KommunikationsleitlinieS
Kommunikationsleitlinie: Die Kommunikationsleitlinie im DORA-Tempel
D21.025Kommunikationsleitlinie: Interne VorfallskommunikationS
D21.026Kommunikationsleitlinie: Externe VorfallskommunikationS
Kommunikationsrichtlinie: die Analogie zur Verkehrssicherheit
Kommunikationsrichtlinie: Formales
Kommunikationsrichtlinie: Was in die Kommunikationsrichtlinie gehört
(3)
Mindestens eine Person im Finanzunternehmen ist mit der Umsetzung der Kommunikationsstrategie für IKT-bezogene Vorfälle beauftragt und nimmt zu diesem Zweck die entsprechende Aufgabe gegenüber der Öffentlichkeit und den Medien wahr.
DORA-Sollmaßnahmen
D21.073Beauftragte Person für die externe VorfallkommunikationS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 15
Artikel 15
Weitere Harmonisierung von Tools, Methoden, Prozessen und Richtlinien für IKT-Risikomanagement
DORA (EU 2022/2554)
Die ESA entwickeln über den Gemeinsamen Ausschuss in Abstimmung mit der Agentur der Europäischen Union für Cybersicherheit (ENISA) gemeinsame Entwürfe technischer Regulierungsstandards für folgende Zwecke:
a)
die Festlegung weiterer Elemente, die in die in Artikel 9 Absatz 2 genannten Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit aufzunehmen sind, um die Sicherheit von Netzwerken zu gewährleisten, angemessene Schutzvorrichtungen gegen Eindringen und Missbrauch von Daten zu ermöglichen, die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, einschließlich kryptografischer Techniken, zu wahren und eine präzise und rasche Datenübermittlung ohne wesentliche Störungen und unangemessene Verzögerungen zu gewährleisten;
b)
die Entwicklung weiterer Komponenten der Kontrollen von Zugangs- und Zugriffsrechten gemäß Artikel 9 Absatz 4 Buchstabe c und der damit verbundenen Personalpolitik, mit denen Zugangsrechte, Verfahren für Erteilung und Widerruf von Rechten, die Überwachung anomalen Verhaltens in Bezug auf IKT-Risiken durch angemessene Indikatoren — auch für Netzwerknutzungsmuster, Zeiten, IT-Aktivität und unbekannte Geräte — spezifiziert werden;
c)
die Weiterentwicklung der in Artikel 10 Absatz 1 genannten Mechanismen, die eine umgehende Erkennung anomaler Aktivitäten ermöglichen, sowie der in Artikel 10 Absatz 2 genannten Kriterien, die Verfahren für die Erkennung IKT-bezogener Vorfälle und die damit verbundenen Reaktionsprozesse auslösen;
d)
die Spezifizierung der in Artikel 11 Absatz 1 genannten Komponenten der IKT-Geschäftsfortführungsleitlinie;
e)
die Spezifizierung der Tests von IKT-Geschäftsfortführungsplänen gemäß Artikel 11 Absatz 6, damit bei diesen Tests Szenarien, in denen die Qualität der Bereitstellung einer kritischen oder wichtigen Funktion auf ein inakzeptables Niveau absinkt oder diese Funktion ganz ausfällt, und die potenziellen Auswirkungen der Insolvenz oder sonstiger Ausfälle einschlägiger IKT-Drittdienstleister sowie gegebenenfalls die etwaigen politischen Risiken in den Rechtsordnungen in den Ländern und Gebieten der jeweiligen Anbieter gebührend berücksichtigt werden;
f)
die Spezifizierung der Komponenten der in Artikel 11 Absatz 3 genannten IKT-Reaktions- und Wiederherstellungspläne;
g)
die Spezifizierung von Inhalt und Form des in Artikel 6 Absatz 5 genannten Berichts über die Überprüfung des IKT-Risikomanagementrahmens.
Bei der Entwicklung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte, wobei sie etwaigen Besonderheiten, die sich aus der unterschiedlichen Art der Tätigkeiten in verschiedenen Finanzdienstleistungssektoren ergeben, gebührend Rechnung tragen.
Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Absatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Durch RTS konkretisiert
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 16
Artikel 16
Vereinfachter IKT-Risikomanagementrahmen
DORA (EU 2022/2554)
(1)
Artikel 5 bis 15 gelten nicht für kleine und nicht verflochtene Wertpapierfirmen, entsprechend der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute, entsprechend der Richtlinie 2013/36/EU ausgenommene Institute, für die die Mitgliedstaaten beschlossen haben, nicht von der in Artikel 2 Absatz 4 der vorliegenden Verordnung genannten Möglichkeit Gebrauch zu machen, nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung.
Unbeschadet des Unterabsatzes 1 müssen die in Unterabsatz 1 genannten Stellen
a)
einen soliden und dokumentierten IKT-Risikomanagementrahmen errichten und aufrechterhalten, in dem die Mechanismen und Maßnahmen für ein rasches, effizientes und umfassendes Management des IKT-Risikos, einschließlich des Schutzes der einschlägigen physischen Komponenten und Infrastrukturen, detailliert sind;
b)
die Sicherheit und das Funktionieren aller IKT-Systeme fortlaufend überwachen;
c)
die Auswirkungen von IKT-Risiken minimieren, indem solide, resiliente und aktualisierte IKT-Systeme, -Protokolle und -Tools, die zur Unterstützung der Durchführung ihrer Tätigkeiten und zur Bereitstellung von Diensten angemessen sind, verwendet werden, und in angemessener Weise die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten in den Netzwerk- und Informationssystemen schützen;
d)
eine rasche Ermittlung und Aufdeckung der Ursachen von IKT-Risiken und -Anomalien in den Netzwerk- und Informationssystemen sowie eine rasche Handhabung von IKT-Vorfällen ermöglichen;
e)
die wesentlichen Abhängigkeiten von IKT-Drittdienstleistern ermitteln;
f)
die Kontinuität kritischer oder wichtiger Funktionen durch Geschäftsfortführungspläne sowie Gegen- und Wiederherstellungsmaßnahmen, die zumindest Sicherungs- und Wiedergewinnungsmaßnahmen umfassen, gewährleisten;
g)
die unter Buchstabe f genannten Pläne und Maßnahmen sowie die Wirksamkeit der gemäß den Buchstaben a und c durchgeführten Kontrollen regelmäßig testen;
h)
gegebenenfalls die relevanten operativen Schlussfolgerungen, die sich aus den Tests gemäß Buchstabe g und der Analyse nach einem Vorfall ergeben, in den IKT-Risikobewertungsprozess einbeziehen und entsprechend dem Bedarf und dem IKT-Risikoprofil Programme zur Sensibilisierung für IKT-Sicherheit sowie Schulungen zur digitalen operationalen Resilienz für Personal und Management entwickeln.
(2)
Der in Absatz 1 Unterabsatz 2 Buchstabe a genannte IKT-Risikomanagementrahmen wird regelmäßig und bei Auftreten schwerwiegender IKT-bezogener Vorfälle entsprechend den aufsichtsrechtlichen Anweisungen dokumentiert und überprüft. Der Rahmen wird auf der Grundlage der bei Umsetzung und Überwachung gewonnenen Erkenntnisse kontinuierlich verbessert. Der zuständigen Behörde wird auf Anfrage ein Bericht über die Überprüfung des IKT-Risikomanagementrahmens vorgelegt.
(3)
Die ESA entwickeln über den Gemeinsamen Ausschuss in Abstimmung mit der ENISA gemeinsame Entwürfe technischer Regulierungsstandards für die folgenden Zwecke:
a)
Spezifizierung der Elemente, die in den in Absatz 1 Unterabsatz 1 Buchstabe a genannten IKT-Risikomanagementrahmen aufzunehmen sind;
b)
Spezifizierung der Elemente in Bezug auf Systeme, Protokolle und Tools zur Minimierung der in Absatz 1 Unterabsatz 2 Buchstabe c genannten Auswirkungen von IKT-Risiken, um die Sicherheit der Netzwerke zu gewährleisten, angemessene Schutzvorkehrungen gegen Eindringen und Datenmissbrauch zu ermöglichen und die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten zu wahren;
c)
Spezifizierung der Komponenten der in Absatz 1 Unterabsatz 2 Buchstabe f genannten IKT-Geschäftsfortführungspläne;
d)
Spezifizierung der Vorschriften über die Tests der Geschäftsfortführungspläne und Gewährleistung der Wirksamkeit der Kontrollen gemäß Absatz 1 Unterabsatz 2 Buchstabe g und Gewährleistung, dass bei diesen Tests Szenarien, in denen die Qualität der Bereitstellung einer kritischen oder wichtigen Funktion auf ein inakzeptables Niveau absinkt oder diese Funktion ganz ausfällt, gebührend berücksichtigt werden;
e)
nähere Spezifizierung von Inhalt und Form des in Absatz 2 genannten Berichts über die Überprüfung des IKT-Risikomanagementrahmens.
Bei der Entwicklung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte.
Die ESA übermitteln der Kommission die Entwürfe dieser technischen Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Unterabsatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 17
Artikel 17
Prozess für die Behandlung IKT-bezogener Vorfälle
DORA (EU 2022/2554)
(1)
Finanzunternehmen bestimmen einen Prozess für die Behandlung IKT-bezogener Vorfälle, richten diese ein und wenden sie an, um IKT-bezogene Vorfälle zu erkennen, zu behandeln und zu melden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.039Erstellung eines IKT-VorfallmanagementprozessesS
IKT-Incident Management: Formales
VAW für IKT-bezogene Vorfälle: Was in das Verfahren für IKT-bezogene Vorfälle gehört (1/3)
VAW für IKT-bezogene Vorfälle: Was in das Verfahren für IKT-bezogene Vorfälle gehört (2/3)
VAW für IKT-bezogene Vorfälle: Was in das Verfahren für IKT-bezogene Vorfälle gehört (3/3)
(2)
Finanzunternehmen erfassen alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen. Finanzunternehmen richten angemessene Verfahren und Prozesse ein, um die kohärente und integrierte Überwachung, Handhabung und Weiterverfolgung IKT-bezogener Vorfälle zu gewährleisten, um sicherzustellen, dass Ursachen ermittelt, dokumentiert und angegangen werden, um das Auftreten solcher Vorfälle zu verhindern.
DORA-Sollmaßnahmen
Vorgabedokument: IKT-Vorfallmanagement
D21.040IKT-Vorfallmanagement: Vollständige Erfassung und DokumentationS
D21.041IKT-Vorfallmanagement: Überwachung und NachverfolgungS
(3)
Durch den in Absatz 1 genannten Prozess für die Behandlung IKT-bezogener Vorfälle
a)
werden Frühwarnindikatoren eingesetzt;
DORA-Sollmaßnahmen
D21.042IKT-Vorfallmanagement: FrühwarnindikatorenS
b)
werden Verfahren zur Ermittlung, Nachverfolgung, Protokollierung, Kategorisierung und Klassifizierung IKT-bezogener Vorfälle entsprechend ihrer Priorität und Schwere und entsprechend der Kritikalität der betroffenen Dienste entsprechend den in Artikel 18 Absatz 1 genannten Kriterien eingerichtet;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.027Erstellung einer Methodik zur Klassifikation von IKT-bezogenen VorfällenS
Verfahren zur Klassifizierung IKT-bezogener Vorfälle: Einordnung in die Dokumentenhierarchie
D21.043IKT-Vorfallmanagement: Kategorisierung und KlassifizierungS
c)
werden Funktionen und Zuständigkeiten zugewiesen, die bei verschiedenen Arten von IKT-bezogenen Vorfällen und -Szenarien aktiviert werden müssen;
DORA-Sollmaßnahmen
D21.044IKT-Vorfallmanagement: Funktionen und ZuständigkeitenS
d)
werden gemäß Artikel 14 Pläne für die Kommunikation mit Personal, externen Interessenträgern und Medien sowie für die Benachrichtigung von Kunden, für interne Eskalationsverfahren, einschließlich IKT-bezogener Kundenbeschwerden, und für die Bereitstellung von Informationen an andere Finanzunternehmen, die als Gegenparteien fungieren, ausgearbeitet, je nach Sachlage;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.045IKT-Vorfallmanagement: Kommunikations- und EskalationspläneS
Kommunikationswürfel
e)
wird sichergestellt, dass zumindest schwerwiegende IKT-bezogene Vorfälle der zuständigen höheren Führungsebene gemeldet werden und die Geschäftsleitung informiert wird, wobei die Auswirkungen und Gegenmaßnahmen und zusätzliche Kontrollen erläutert werden, die infolge dieser IKT-bezogenen Vorfälle einzurichten sind;
DORA-Sollmaßnahmen
D21.046IKT-Vorfallmanagement: Berichterstattung an das LeitungsorganS
f)
werden Verfahren für Reaktionsmaßnahmen bei IKT-bezogenen Vorfällen eingerichtet, um Auswirkungen zu mindern und sicherzustellen, dass die Dienste zeitnah verfügbar und sicher werden.
DORA-Sollmaßnahmen
D21.047IKT-Vorfallmanagement: Reaktionsmaßnahmen und WiederherstellungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 18
Artikel 18
Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen
DORA (EU 2022/2554)
(1)
Finanzunternehmen klassifizieren IKT-bezogene Vorfälle und bestimmen deren Auswirkungen anhand folgender Kriterien:
DORA-Schulungsfolien
Klassifikation von IKT-Vorfällen – eine Herausforderung
Klassifikation von IKT-bezogenen Vorfällen: Klassifikationskriterien (1/4)
Klassifikation von IKT-bezogenen Vorfällen: Klassifikationskriterien (2/4)
Klassifikation von IKT-bezogenen Vorfällen: Klassifikationskriterien (3/4)
Klassifikation von IKT-bezogenen Vorfällen: Klassifikationskriterien (4/4)
a)
Anzahl und/oder Relevanz der Kunden oder anderer Gegenparteien im Finanzbereich, die von dem IKT-bezogenen Vorfall betroffen sind, und gegebenenfalls des Werts oder der Anzahl der davon betroffenen Transaktionen und ob der IKT-bezogene Vorfall einen Reputationsschaden verursacht hat;
b)
Dauer des IKT-bezogenen Vorfalls, einschließlich der Ausfallzeiten des Dienstes;
c)
geografische Ausbreitung der von dem IKT-bezogenen Vorfall betroffenen Gebiete, insbesondere wenn mehr als zwei Mitgliedstaaten betroffen sind;
d)
die mit dem IKT-bezogenen Vorfall verbundenen Verfügbarkeits-, Authentizitäts-, Integritäts- oder Vertraulichkeitsverluste von Daten;
e)
Kritikalität der betroffenen Dienste, einschließlich der Transaktionen und Geschäfte des Finanzunternehmens;
f)
wirtschaftliche Auswirkungen — insbesondere direkte und indirekte Kosten und Verluste — des IKT-bezogenen Vorfalls auf absoluter und relativer Basis.
DORA-Sollmaßnahmen
D21.048IKT-Vorfallmanagement: Klassifizierungskriterien für IKT-VorfälleS
(2)
Finanzunternehmen stufen Cyberbedrohungen auf der Grundlage der Kritikalität der risikobehafteten Dienste, einschließlich der Transaktionen und Geschäfte des Finanzunternehmens, der Anzahl und/oder Relevanz der betroffenen Kunden oder Gegenparteien im Finanzbereich und der geografischen Ausbreitung der Risikogebiete als erheblich ein.
DORA-Sollmaßnahmen
D21.049Erhebliche Cyberbedrohungen: KlassifizierungskriterienS
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.027Erstellung einer Methodik zur Klassifikation von IKT-bezogenen VorfällenS
Verfahren zur Klassifizierung IKT-bezogener Vorfälle: Einordnung in die Dokumentenhierarchie
(3)
Die ESA erarbeiten über den Gemeinsamen Ausschuss in Abstimmung mit der EZB und der ENISA gemeinsame Entwürfe technischer Regulierungsstandards, in denen Folgendes präzisiert wird:
a)
die in Absatz 1 genannten Kriterien, einschließlich der Wesentlichkeitsschwellen für die Bestimmung schwerwiegender IKT-bezogener Vorfälle oder gegebenenfalls schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfälle, die der Meldepflicht nach Artikel 19 Absatz 1 unterliegen;
b)
die Kriterien, die von den zuständigen Behörden anzuwenden sind, um die Relevanz schwerwiegender IKT-bezogener Vorfälle oder gegebenenfalls schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfälle für die jeweils zuständigen Behörden in anderen Mitgliedstaaten zu bewerten, sowie die Einzelheiten in den Meldungen über schwerwiegende IKT-bezogene Vorfälle oder gegebenenfalls schwerwiegende zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die anderen zuständigen Behörden gemäß Artikel 19 Absätze 6 und 7 übermittelt werden müssen;
c)
die in Absatz 2 genannten Kriterien, einschließlich hoher Wesentlichkeitsschwellen für die Bestimmung erheblicher Cyberbedrohungen.
Durch RTS konkretisiert
(4)
Bei der Ausarbeitung der in Absatz 3 genannten gemeinsamen Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die in Artikel 4 Absatz 2 genannten Kriterien sowie von der ENISA entwickelte und veröffentlichte internationale Standards, Leitlinien und Spezifikationen, gegebenenfalls einschließlich Spezifikationen für andere Wirtschaftszweige. Für die Zwecke der Anwendung der in Artikel 4 Absatz 2 festgelegten Kriterien berücksichtigen die ESA gebührend, dass Kleinstunternehmen sowie kleine und mittlere Unternehmen ausreichende Ressourcen und Kapazitäten mobilisieren können müssen, um sicherzustellen, dass IKT-bezogene Vorfälle rasch bewältigt werden.
Die ESA übermitteln der Kommission diese allgemeinen Entwürfe technischer Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, diese Verordnung durch Annahme der in Absatz 3 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
DORA-Schulungsfolien
Klassifikation von IKT-bezogenen Vorfällen: Schema 1/2
Klassifikation von IKT-bezogenen Vorfällen: Schema 2/2
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 19
Artikel 19
Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen
DORA (EU 2022/2554)
(1)
Finanzunternehmen melden der nach Artikel 46 jeweils zuständigen Behörde gemäß Absatz 4 schwerwiegende IKT-bezogene Vorfälle.
Unterliegt ein Finanzunternehmen der Aufsicht mehr als einer nach Artikel 46 zuständigen nationalen Behörde, so benennen die Mitgliedstaaten eine einzige zuständige Behörde als einschlägige zuständige Behörde, die für die Wahrnehmung der im vorliegenden Artikel aufgeführten Funktionen und Aufgaben verantwortlich ist.
Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, melden schwerwiegende IKT-bezogene Vorfälle der gemäß Artikel 4 der Richtlinie 2013/36/EU benannten jeweils zuständigen nationalen Behörde, die diese Meldung unverzüglich an die EZB weiterleitet.
Für die Zwecke von Unterabsatz 1 erstellen Finanzunternehmen nach Erfassung und Analyse aller relevanten Informationen unter Verwendung der in Artikel 20 genannten Vorlage die Erstmeldung und die Meldungen nach Absatz 4 und übermitteln diese der zuständigen Behörde. Falls es aus technischen Gründen nicht möglich ist, die Erstmeldung unter Verwendung der Vorlage zu übermitteln, teilen die Finanzunternehmen dies der zuständigen Behörde auf anderem Wege mit.
Die Erstmeldung und die Meldungen nach Absatz 4 enthalten alle Informationen, die die zuständige Behörde benötigt, um die Signifikanz des schwerwiegenden IKT-bezogenen Vorfalls zu ermitteln und mögliche grenzüberschreitende Auswirkungen zu bewerten.
Unbeschadet der Meldung gemäß Unterabsatz 1 durch das Finanzunternehmen an die jeweils zuständige Behörde können die Mitgliedstaaten zusätzlich festlegen, dass einige oder alle Finanzunternehmen die Erstmeldung und jede Meldung nach Absatz 4 auch den gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden oder Computer-Notfallteams (computer security incident response teams — CSIRT) unter Verwendung der in Artikel 20 genannten Vorlage zur Verfügung stellen müssen.
DORA-Sollmaßnahmen
Vorgabedokument: IKT-Vorfallmanagement
D21.051Meldung schwerwiegender IKT-bezogener Vorfälle: Meldung an die Behörde (Signifikanz, grenzüberschreitend)S
D21.052Meldung schwerwiegender IKT-bezogener Vorfälle: Verwendung des vorgeschriebenen TemplatesS
(2)
Finanzunternehmen können der jeweils zuständigen Behörde auf freiwilliger Basis erhebliche Cyberbedrohungen melden, wenn sie der Auffassung sind, dass die Bedrohung für das Finanzsystem, die Dienstnutzer oder die Kunden relevant ist. Die jeweils zuständige Behörde kann derartige Informationen anderen in Absatz 6 genannten einschlägigen Behörden zur Verfügung stellen.
Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, können erhebliche Cyberbedrohungen auf freiwilliger Basis der gemäß Artikel 4 der Richtlinie 2013/36/EU benannten jeweils zuständigen nationalen Behörde melden, die diese Meldung unverzüglich an die EZB weiterleitet.
Die Mitgliedstaaten können festlegen, dass die Finanzunternehmen, die auf freiwilliger Basis eine Meldung gemäß Unterabsatz 1 vornehmen, diese Meldung auch an die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten CSIRT erstatten können.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.074Erhebliche Cyberbedrohungen: freiwillige Meldung an Behörde und CSIRTS
Klassifikation und Meldung von Cyberbedrohungen: Vorfall melden ist Pflicht, Cyberbedrohung melden ist Kür
(3)
Wenn ein schwerwiegender IKT-bezogener Vorfall auftritt und Auswirkungen auf die finanziellen Interessen von Kunden hat, unterrichten die Finanzunternehmen, sobald sie hiervon Kenntnis erlangt haben, ihre Kunden unverzüglich über den schwerwiegenden IKT-bezogenen Vorfall und die Maßnahmen, die ergriffen wurden, um die nachteiligen Auswirkungen eines solchen Vorfalls zu mindern.
Im Falle einer erheblichen Cyberbedrohung unterrichten die Finanzunternehmen gegebenenfalls ihre potenziell betroffenen Kunden über angemessene Schutzmaßnahmen, die diese ergreifen könnten.
DORA-Sollmaßnahmen
Vorgabedokument: IKT-Vorfallmanagement
D21.053Erhebliche Cyberbedrohungen: Information betroffener KundenS
D21.054Meldung schwerwiegender IKT-bezogener Vorfälle: Kundeninformation bei finanzieller BetroffenheitS
(4)
Finanzunternehmen legen innerhalb der in Artikel 20 Absatz 1 Buchstabe a Ziffer ii festzulegenden Fristen der jeweils zuständigen Behörde Folgendes vor:
a)
eine Erstmeldung;
DORA-Sollmaßnahmen
D21.055Meldung schwerwiegender IKT-bezogener Vorfälle: Frist der Erstmeldung (4 h / 24 h)S
b)
nach der Erstmeldung gemäß Buchstabe a eine Zwischenmeldung, sobald sich der Status des ursprünglichen Vorfalls erheblich geändert hat oder sich die Handhabung des schwerwiegenden IKT-bezogenen Vorfalls auf der Grundlage neuer verfügbarer Informationen geändert hat, gegebenenfalls gefolgt von aktualisierten Meldungen, wann immer eine entsprechende Statusaktualisierung vorliegt, sowie auf ausdrücklichen Antrag der zuständigen Behörde;
DORA-Sollmaßnahmen
D21.056Meldung schwerwiegender IKT-bezogener Vorfälle: Auslöser und Frist der ZwischenmeldungS
c)
eine Abschlussmeldung, wenn die Ursachenanalyse abgeschlossen ist — unabhängig davon, ob bereits Minderungsmaßnahmen getroffen wurden oder nicht — und sich die tatsächlichen Auswirkungen beziffern lassen und Schätzungen ersetzen.
DORA-Sollmaßnahmen
D21.057Meldung schwerwiegender IKT-bezogener Vorfälle: Auslöser und Frist der AbschlussmeldungS
(5)
Finanzunternehmen dürfen im Einklang mit den sektorspezifischen Rechtsvorschriften der Union und der Mitgliedstaaten die Meldepflichten nach diesem Artikel an einen Drittdienstleister auslagern. Bei einer solchen Auslagerung bleibt das Finanzunternehmen in vollem Umfang für die Erfüllung der Anforderungen für die Meldung von Vorfällen verantwortlich.
DORA-Sollmaßnahmen
D23.037IKT-Verträge bei Auslagerung von MeldepflichtenS
D21.058Meldung schwerwiegender IKT-bezogener Vorfälle: Verantwortung verbleibt bei AuslagerungS
D25.017Einbindung von IKT-Drittdienstleistern in MeldepflichtenS
(6)
Nach Eingang der Erstmeldung und jeder Meldung nach Absatz 4 übermittelt die zuständige Behörde auf der Grundlage der je nach Sachlage bestehenden jeweiligen Zuständigkeiten zeitnah Einzelheiten zu dem schwerwiegenden IKT-bezogenen Vorfall an die folgenden Empfänger:
a)
die EBA, die ESMA oder die EIOPA;
b)
die EZB, sofern es sich um Finanzunternehmen im Sinne von Artikel 2 Absatz 1 Buchstaben a, b und d handelt;
c)
die zuständigen Behörden, die zentrale Anlaufstelle oder die CSIRT, die jeweils gemäß der Richtlinie (EU) 2022/2555 benannt oder eingerichtet werden;
d)
die in Artikel 3 der Richtlinie 2014/59/EU genannten Abwicklungsbehörden und den Einheitlichen Abwicklungsausschuss (Single Resolution Board — SRB) in Bezug auf die in Artikel 7 Absatz 2 der Verordnung (EU) Nr. 806/2014 des Europäischen Parlaments und des Rates (37) genannten Unternehmen sowie in Bezug auf die in Artikel 7 Absatz 4 Buchstabe b und Absatz 5 der Verordnung (EU) Nr. 806/2014 genannten Unternehmen und Gruppen, wenn diese Einzelheiten Vorfälle betreffen, die ein Risiko für die Sicherstellung kritischer Funktionen im Sinne von Artikel 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU darstellen; und
e)
andere einschlägige Behörden nach nationalem Recht.
(7)
Nach Erhalt der Informationen gemäß Absatz 6 bewerten die EBA, die ESMA oder die EIOPA und die EZB in Abstimmung mit der ENISA und in Zusammenarbeit mit der jeweils zuständigen Behörde, ob der schwerwiegende IKT-bezogene Vorfall für die zuständigen Behörden in anderen Mitgliedstaaten von Belang ist. Im Anschluss an diese Bewertung benachrichtigen die EBA, die ESMA oder die EIOPA die jeweils zuständigen Behörden in anderen Mitgliedstaaten entsprechend. Die EZB unterrichtet die Mitglieder des Europäischen Systems der Zentralbanken über die für das Zahlungssystem relevanten Aspekte. Auf der Grundlage dieser Unterrichtung treffen die zuständigen Behörden gegebenenfalls alle für die unmittelbare Stabilität des Finanzsystems notwendigen Schutzvorkehrungen.
(8)
Die von der ESMA gemäß Absatz 7 vorzunehmende Meldung berührt nicht die Verantwortung der zuständigen Behörde, die Einzelheiten des schwerwiegenden IKT-bezogenen Vorfalls umgehend an die einschlägige Behörde des Aufnahmemitgliedstaats weiterzuleiten, wenn ein Zentralverwahrer eine umfassende grenzüberschreitende Tätigkeit in dem Aufnahmemitgliedstaat ausübt, der schwerwiegende IKT-bezogene Vorfall wahrscheinlich schwerwiegende Folgen für die Finanzmärkte des Aufnahmemitgliedstaats hat und zwischen den zuständigen Behörden Kooperationsvereinbarungen in Bezug auf die Beaufsichtigung von Finanzunternehmen bestehen.
DORA-Schulungsfolien
Neues von den Aufsichtsbehörden: FAQ und Präsentationen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 20
Artikel 20
Harmonisierung von Inhalt und Vorlagen von Meldungen
DORA (EU 2022/2554)
Die ESA erarbeiten über den Gemeinsamen Ausschuss und in Abstimmung mit der ENISA und der EZB
a)
gemeinsame Entwürfe technischer Regulierungsstandards, um
i)
den Inhalt von Meldungen über schwerwiegende IKT-bezogene Vorfälle festzulegen, damit den in Artikel 18 Absatz 1 aufgeführten Kriterien Rechnung getragen wird und weitere Elemente einbezogen werden, wie z. B. Einzelheiten zur Feststellung der Relevanz der Meldungen für andere Mitgliedstaaten und die Frage, ob es sich dabei um einen schwerwiegenden zahlungsbezogenen Betriebs- oder Sicherheitsvorfall handelt;
ii)
die Fristen für die Erstmeldung und jede Meldung nach Artikel 19 Absatz 4 festzulegen;
iii)
den Inhalt der Meldung erheblicher Cyberbedrohungen festzulegen.
Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte, um insbesondere sicherzustellen, dass den Besonderheiten der Finanzsektoren für die Zwecke des vorliegenden Absatzes Buchstabe a Ziffer ii gegebenenfalls durch unterschiedliche Fristen Rechnung getragen wird, unbeschadet der Beibehaltung eines kohärenten Ansatzes für die Meldung IKT-bezogener Vorfälle gemäß dieser Verordnung und gemäß der Richtlinie (EU) 2022/2555. Die ESA legen — sofern zutreffend — eine Begründung vor, wenn sie von den im Rahmen jener Richtlinie verfolgten Ansätzen abweichen;
b)
gemeinsame Entwürfe technischer Durchführungsstandards zur Festlegung von Standardformularen, Vorlagen und Verfahren für Finanzunternehmen zur Meldung eines schwerwiegenden IKT-bezogenen Vorfalls oder einer erheblichen Cyberbedrohung.
Die ESA übermitteln der Kommission die in Absatz 1 Buchstabe a genannten gemeinsamen Entwürfe technischer Regulierungsstandards und die in Absatz 1 Buchstabe b genannten gemeinsamen Entwürfe technischer Durchführungsstandards bis zum 17. Juli 2024.
Der Kommission wird die Befugnis übertragen, diese Verordnung durch Annahme der in Absatz 1 Buchstabe a genannten gemeinsamen technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Der Kommission wird die Befugnis übertragen, die in Absatz 1 Buchstabe b genannten gemeinsamen technischen Durchführungsstandards gemäß Artikel 15 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 (EU) Nr. 1095/2010 zu erlassen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 21
Artikel 21
Zentralisierung der Berichterstattung über schwerwiegende IKT-bezogene Vorfälle
DORA (EU 2022/2554)
(1)
Die ESA erstellen über den Gemeinsamen Ausschuss und in Abstimmung mit der EZB und der ENISA einen gemeinsamen Bericht, in dem sie die Durchführbarkeit einer weiteren Zentralisierung der Meldung von Vorfällen durch die Einrichtung einer einheitlichen EU-Plattform für die Meldung schwerwiegender IKT-bezogener Vorfälle durch Finanzunternehmen bewerten. In dem gemeinsamen Bericht werden Möglichkeiten sondiert, um den Meldefluss zu IKT-bezogenen Vorfällen zu erleichtern, damit verbundene Kosten zu senken und thematische Analysen zur Erhöhung aufsichtlicher Konvergenz zu unterstützen.
(2)
Der in Absatz 1 genannte gemeinsame Bericht umfasst mindestens die folgenden Aspekte:
a)
Voraussetzungen für die Einrichtung einer einheitlichen EU-Plattform;
b)
Vorteile, Grenzen und Risiken, einschließlich Risiken im Zusammenhang mit einer hohen Konzentration sensibler Informationen;
c)
die erforderliche Fähigkeit zur Gewährleistung der Interoperabilität im Hinblick auf andere einschlägige Meldesysteme;
d)
Elemente des Betriebsmanagements;
e)
Voraussetzungen für die Mitgliedschaft;
f)
technische Regelungen für den Zugang von Finanzunternehmen und zuständigen nationalen Behörden zur einheitlichen EU-Plattform;
g)
eine vorläufige Bewertung der finanziellen Kosten, die durch die Einrichtung der operativen Plattform zur Unterstützung der einheitlichen EU-Plattform entstehen, einschließlich des erforderlichen Fachwissens.
(3)
Die ESA übermitteln dem Europäischen Parlament, dem Rat und der Kommission den in Absatz 1 genannten Bericht bis zum 17. Januar 2025.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 22
Artikel 22
Rückmeldungen von Aufsichtsbehörden
DORA (EU 2022/2554)
(1)
Unbeschadet der technischen Informationen, Empfehlungen oder Abhilfe- und Folgemaßnahmen, die im Einklang mit dem nationalen Recht gegebenenfalls vom CSIRT gemäß Richtlinie (EU) 2022/2555 bereitgestellt werden können, bestätigt die zuständige Behörde nach Eingang der Erstmeldung und jeder Meldung nach Artikel 19 Absatz 4 den Eingang und kann, wenn möglich, dem Finanzunternehmen zeitnah sachdienliche und angemessene Rückmeldungen oder allgemein gehaltene Orientierungshilfen übermitteln, insbesondere durch Zurverfügungstellung relevanter anonymisierter Informationen und Erkenntnisse zu ähnlichen Bedrohungen, sowie auf Ebene des Unternehmens angewandte Abhilfemaßnahmen und Möglichkeiten zur Minimierung und Minderung nachteiliger Auswirkungen auf den gesamten Finanzsektor erörtern. Unbeschadet der aufsichtlichen Rückmeldung bleiben Finanzunternehmen in vollem Umfang für die Handhabung und die Folgen der gemäß Artikel 19 Absatz 1 gemeldeten IKT-bezogenen Vorfälle verantwortlich.
(2)
Die ESA berichten jährlich über den Gemeinsamen Ausschuss in anonymisierter und aggregierter Form über schwerwiegende IKT-bezogene Vorfälle, deren Einzelheiten von den zuständigen Behörden gemäß Artikel 19 Absatz 6 übermittelt werden, und geben dabei mindestens die Zahl schwerwiegender IKT-bezogener Vorfälle, ihre Art und ihre Auswirkungen auf die Geschäftstätigkeit von Finanzunternehmen oder Kunden sowie die ergriffenen Abhilfemaßnahmen und die Kosten an.
Die ESA geben Warnungen heraus und erstellen allgemein gehaltene Statistiken, um die Bewertungen von Bedrohungen und Schwachstellen im IKT-Bereich zu unterstützen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 23
Artikel 23
Zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen
DORA (EU 2022/2554)
Die Anforderungen in diesem Kapitel gelten auch für zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, auch schwerwiegender Art, wenn sie Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen.
DORA-Sollmaßnahmen
D21.050IKT-Vorfallmanagement: Einbeziehung zahlungsbezogener VorfälleS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 24
Artikel 24
Allgemeine Anforderungen für das Testen der digitalen operationalen Resilienz
DORA (EU 2022/2554)
(1)
Um die Vorbereitung auf die Handhabung IKT-bezogener Vorfälle zu bewerten, Schwächen, Mängel und Lücken in Bezug auf die digitale operationale Resilienz zu erkennen und Korrekturmaßnahmen umgehend umzusetzen, erstellen, pflegen und überprüfen Finanzunternehmen, die keine Kleinstunternehmen sind, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien ein solides und umfassendes Programm für das Testen der digitalen operationalen Resilienz als integraler Bestandteil des in Artikel 6 genannten IKT-Risikomanagementrahmens.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie zum Testen der digitalen operationalen Resilienz
D11.001Erstellung einer Richtlinie zum Testen der digitalen operationalen ResilienzS
Richtlinie zum Testen der digitalen operationalen Resilienz für Sicherheitstests: Die Sicherheitstest-Richtlinie im DORA-Tempel
D11.003Richtlinie zum Testen der digitalen operationalen Resilienz: Verhältnismäßigkeit der TestmaßnahmenS
D11.004Verankerung des Programms zum Testen der digitalen operationalen Resilienz im IKT-RisikomanagementS
D11.005Zielsetzung des Programms zum Testen der digitalen operationalen ResilienzS
Testen der digitalen operationalen Resilienz: die Analogie zum Verkehrswesen
Richtlinie zum Testen der digitalen operationalen Resilienz für Sicherheitstests: Inhaltsübersicht
Testen der digitalen operationalen Resilienz: Die bisherige Erwartungshaltung der Aufsicht
Testen der digitalen operationalen Resilienz: Formales
(2)
Das Programm für Tests der digitalen operationalen Resilienz umfasst eine Reihe von Bewertungen, Tests, Methoden, Verfahren und Tools, die gemäß den Artikeln 25 und 26 anzuwenden sind.
DORA-Sollmaßnahmen
D11.018Auswahl der Testmaßnahmen und -werkzeugeS
(3)
Bei der Ausführung des in Absatz 1 genannten Programms für das Testen der digitalen operationalen Resilienz wenden Finanzunternehmen, die keine Kleinstunternehmen sind, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien einen risikobasierten Ansatz an, wobei sie die sich entwickelnden IKT-Risikolandschaften, etwaige spezifische Risiken, denen das betreffende Finanzunternehmen ausgesetzt ist oder ausgesetzt sein könnte, die Kritikalität von Informationsassets und erbrachten Dienstleistungen sowie alle sonstigen Faktoren, die das Finanzunternehmen für angemessen hält, gebührend berücksichtigen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D11.019Risikobasierte Ausgestaltung von TestmaßnahmenS
Richtlinie zum Testen der digitalen operationalen Resilienz für Sicherheitstests: Die Aufsichtsperspektive
(4)
Finanzunternehmen, die keine Kleinstunternehmen sind, stellen sicher, dass Tests von unabhängigen, internen oder externen Parteien durchgeführt werden. Werden die Tests von einem internen Tester durchgeführt, stellen die Finanzunternehmen ausreichende Ressourcen bereit und tragen dafür Sorge, dass während der Konzeptions- und Durchführungsphase der Prüfung keine Interessenkonflikte entstehen.
DORA-Sollmaßnahmen
D11.025Unabhängigkeit der TestdurchführungS
(5)
Finanzunternehmen, die keine Kleinstunternehmen sind, legen Verfahren und Leitlinien zur Priorisierung, Klassifizierung und Behebung aller während der Durchführung der Tests zutage getretenen Probleme fest und legen interne Validierungsmethoden fest, um sicherzustellen, dass alle ermittelten Schwächen, Mängel oder Lücken vollständig angegangen werden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Behandlung von Feststellungen aus Tests
D11.021Erstellung einer Leitlinie zur Behandlung von Feststellungen aus TestsS
D11.022Leitlinie zur Behandlung von Feststellungen aus Tests: Einstufung und Behebung festgestellter MängelS
Vorgabedokument: Verfahren zur Behebung von Feststellungen aus Tests
D11.023Erstellung eines Verfahrens zur Behebung von Feststellungen aus TestsS
Leitlinie zur Behandlung von Feststellungen aus Tests: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Verfahren zur Behebung von Feststellungen aus Tests: Einordnung in die Dokumentenhierarchie
(6)
Finanzunternehmen, die keine Kleinstunternehmen sind, stellen sicher, dass bei allen IKT-Systemen und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich angemessene Tests durchgeführt werden.
DORA-Sollmaßnahmen
D11.020Jährliche Tests für kwF-SystemeS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 25
Artikel 25
Testen von IKT-Tools und -Systemen
DORA (EU 2022/2554)
(1)
Das in Artikel 24 genannte Programm für die Tests der digitalen operationalen Resilienz beinhaltet im Einklang mit den in Artikel 4 Absatz 2 aufgeführten Kriterien die Durchführung angemessener Tests, wie etwa Schwachstellenbewertung und -scans, Open-Source-Analysen, Netzwerksicherheitsbewertungen, Lückenanalysen, Überprüfungen der physischen Sicherheit, Fragebögen und Scans von Softwarelösungen, Quellcodeprüfungen soweit durchführbar, szenariobasierte Tests, Kompatibilitätstests, Leistungstests, End-to-End-Tests und Penetrationstests.
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie zum Testen der digitalen operationalen Resilienz
D11.010Testmaßnahmen: Handhabung von technischen SchwachstellenS
D11.011Testmaßnahmen: Open-Source-SchwachstellenanalyseS
D11.014Testmaßnahmen: NetzwerksicherheitS
D11.007Testmaßnahmen: LückenanalysenS
D11.008Testmaßnahmen: Physische SicherheitsüberwachungS
D11.012Testmaßnahmen: Sicherheitsfragebögen und SoftwarescansS
D11.015Testmaßnahmen: QuellcodeprüfungenS
D11.006Testmaßnahmen: szenariobasierte TestsS
D11.016Testmaßnahmen: KompatibilitätstestsS
D11.009Testmaßnahmen: KapazitätssteuerungS
D11.017Testmaßnahmen: End-to-End-TestsS
D11.013Testmaßnahmen: PenetrationstestsS
Vorgabedokument: Richtlinie für die physische Sicherheit
D15.008Physische Sicherheit: Tests der physischen SicherheitS
Vorgabedokument: Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen
D20.012Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Programm zum Testen der digitalen operationalen ResilienzS
Weitere Festlegungen
D22.024Verfahren für das Kapazitäts- und Leistungsmanagement: Regelmäßige LeistungstestsS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D09.025Netzwerksicherheit: regelmäßige NetzwerksicherheitstestsS
D09.026Regelmäßige Scans der NetzwerksicherheitS
D05.005IKT-Risikobewertung für LückenanalysenS
(2)
Zentralverwahrer und zentrale Gegenparteien führen Schwachstellenbewertungen durch, bevor Anwendungen und Infrastrukturkomponenten sowie IKT-Dienstleistungen, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen, eingesetzt oder wieder eingesetzt werden.
DORA-Sollmaßnahmen
D16.021Sicherheitsprüfung bei Entwicklung und AbnahmeS
(3)
Kleinstunternehmen führen die in Absatz 1 genannten Tests durch, indem sie einen risikobasierten Ansatz mit einer strategischen Planung für IKT-Tests kombinieren, wobei sie gebührend berücksichtigen, dass zwischen dem Umfang von Ressourcen und der Zeit, die für die IKT-Tests gemäß diesem Artikel aufzuwenden sind, einerseits, und der Dringlichkeit, der Art des Risikos, der Kritikalität von Informationsassets und erbrachten Dienstleistungen sowie allen sonstigen relevanten Faktoren, einschließlich der Fähigkeit des Finanzunternehmens, kalkulierte Risiken einzugehen, andererseits, ein ausgewogenes Verhältnis gewahrt werden muss.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 26
Artikel 26
Erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis von TLPT
DORA (EU 2022/2554)
(1)
Gemäß Absatz 8 Unterabsatz 3 des vorliegenden Artikels ermittelte Finanzunternehmen, bei denen es sich weder um die in Artikel 16 Absatz 1 Unterabsatz 1 genannten Unternehmen noch um Kleinstunternehmen handelt, führen mindestens alle drei Jahre anhand von TLPT erweiterte Tests durch. Auf der Grundlage des Risikoprofils des Finanzunternehmens und unter Berücksichtigung der betrieblichen Gegebenheiten kann die zuständige Behörde das Finanzunternehmen erforderlichenfalls auffordern, die Häufigkeit dieser Tests zu verringern oder zu erhöhen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: TLPT-Richtlinie
TLPT-001Erstellung einer TLPT-RichtlinieS
TLPT-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
TLPT-002TLPT-Anforderungen: TestfrequenzS
Erweiterte Tests zur Sicherstellung der digitalen operationalen Resilienz: Basis-Tests für alle
(2)
Jeder bedrohungsorientierte Penetrationstest schließt mehrere oder alle kritischen oder wichtigen Funktionen eines Finanzunternehmens ein und wird an Live-Produktionssystemen durchgeführt, die derartige Funktionen unterstützen.
Finanzunternehmen ermitteln alle relevanten zugrunde liegenden IKT-Systeme, -Prozesse und -Technologien, die kritische oder wichtige Funktionen und IKT-Dienstleistungen unterstützen, einschließlich derer, die diejenigen kritischen oder wichtigen Funktionen unterstützen, die an IKT-Drittdienstleister ausgelagert oder per Vertrag vergeben wurden.
Finanzunternehmen bewerten, welche kritischen oder wichtigen Funktionen ein TLPT einschließen muss. Der genaue Umfang von TLPT ist vom Ergebnis dieser Bewertung abhängig und wird von den zuständigen Behörden validiert.
DORA-Sollmaßnahmen
Vorgabedokument: TLPT-Richtlinie
TLPT-003TLPT-Scoping: Auswahl der zu testenden kwFS
TLPT-004TLPT-Scoping: Benennung kritischer Funktionen im SpezifikationsdokumentS
TLPT-005TLPT-Durchführung: Tests an ProduktionssystemenS
(3)
Sind IKT-Drittdienstleister in das Spektrum der TLPT einbezogen, ergreift das Finanzunternehmen alle erforderlichen Maßnahmen und Vorkehrungen, um die Einbindung dieser IKT-Drittdienstleister in die TLPT sicherzustellen, und trägt jederzeit die volle Verantwortung für die Gewährleistung der Einhaltung dieser Verordnung.
DORA-Sollmaßnahmen
D23.061kwF-relevante Vertragsinhalte: Mindestvertragsinhalte (Art. 30 Abs. 3 DORA)S
TLPT-006TLPT-Drittdienstleister: Teilnahme von IKT-DrittdienstleisternS
(4)
Wenn vernünftigerweise davon auszugehen ist, dass sich die Einbindung eines IKT-Drittdienstleisters in einen TLPT gemäß Absatz 3 nachteilig auf die Qualität oder die Sicherheit von Dienstleistungen des IKT-Drittdienstleisters an Kunden, bei denen es sich um nicht in den Anwendungsbereich dieser Verordnung fallende Unternehmen handelt, oder auf die Vertraulichkeit in Bezug auf die mit diesen Dienstleistungen verbundenen Daten auswirkt, können das Finanzunternehmen und der IKT-Drittdienstleister unbeschadet Absatz 2 Unterabsätze 1 und 2 schriftlich vereinbaren, dass der IKT-Drittdienstleister unmittelbar vertragliche Vereinbarungen mit einem externen Tester schließt, um unter der Leitung eines benannten Finanzunternehmens einen gebündelten TLPT durchzuführen, an dem mehrere Finanzunternehmen beteiligt sind (gebündelter Test), für die der IKT-Drittdienstleister IKT-Dienstleistungen erbringt.
Diese gebündelten Tests erstrecken sich auf das relevante Spektrum von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von den Finanzunternehmen per Vertrag an die jeweiligen IKT-Drittdienstleister vergeben wurden. Die gebündelten Tests gelten als TLPT, die von den an den gebündelten Tests beteiligten Finanzunternehmen durchgeführt werden.
Die Zahl der Finanzunternehmen, die sich an den gebündelten Tests beteiligen, wird unter Berücksichtigung der Komplexität und der Art der betreffenden Dienstleistungen angemessen austariert.
DORA-Sollmaßnahmen
Vorgabedokument: TLPT-Richtlinie
TLPT-007TLPT-Drittdienstleister: Alternative Arrangements bei ServicebeeinträchtigungS
TLPT-008TLPT-Steuerung: Abdeckung bei gebündelten TLPTsS
(5)
Finanzunternehmen wenden in Zusammenarbeit mit IKT-Drittdienstleistern und anderen beteiligten Parteien, einschließlich der Tester, jedoch ohne die zuständigen Behörden, wirksame Risikomanagementkontrollen an, um die Gefahr von potenziellen Auswirkungen auf Daten, Schäden an Vermögenswerten und Unterbrechungen kritischer oder wichtiger Funktionen, Dienste oder Vorgänge im Finanzunternehmen selbst, seinen Gegenparteien oder im Finanzsektor zu mindern.
DORA-Sollmaßnahmen
TLPT-009TLPT-Steuerung: Risikomanagement mit IKT-DrittdienstleisternS
(6)
Nach Abschluss der Tests und der Ausarbeitung von Berichten und Plänen mit Abhilfemaßnahmen legen das Finanzunternehmen und gegebenenfalls die externen Tester der gemäß Absatz 9 oder 10 benannten Behörde eine Zusammenfassung der maßgeblichen Ergebnisse, die Pläne mit Abhilfemaßnahmen und die Unterlagen vor, mit denen belegt wird, dass der TLPT anforderungsgemäß durchgeführt wurden.
DORA-Sollmaßnahmen
TLPT-010TLPT-Abschluss: Berichterstattung an die TLPT-BehördeS
(7)
Die Behörden stellen Finanzunternehmen eine Bescheinigung aus, aus der hervorgeht, dass der Test — wie in den Unterlagen nachgewiesen — im Einklang mit den Anforderungen durchgeführt wurde, um die gegenseitige Anerkennung bedrohungsorientierter Penetrationstests zwischen den zuständigen Behörden zu ermöglichen. Das Finanzunternehmen übermittelt der jeweils zuständigen Behörde die Bescheinigung, die Zusammenfassung der maßgeblichen Ergebnisse und die Abhilfemaßnahmen.
Unbeschadet einer solchen Bescheinigung bleiben Finanzunternehmen jederzeit in vollem Umfang für die Auswirkungen der in Absatz 4 genannten Tests verantwortlich.
DORA-Sollmaßnahmen
TLPT-011TLPT-Abschluss: Erhalt der BehördenbescheinigungS
(8)
Finanzunternehmen beauftragen Tester für die Zwecke der Durchführung von TLPT gemäß Artikel 27. Ziehen Finanzunternehmen für die Zwecke der Durchführung von TLPT interne Tester heran, so beauftragen sie für jeden dritten Test einen externen Tester.
Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, ziehen nur externe Tester gemäß Artikel 27 Absatz 1 Buchstaben a bis e heran.
Die zuständigen Behörden ermitteln Finanzunternehmen, die TLPT durchzuführen haben, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien und stützen sich dabei auf die Bewertung von:
a)
wirkungsbezogenen Faktoren, darunter insbesondere inwieweit sich die vom Finanzunternehmen erbrachten Dienstleistungen und ausgeführten Tätigkeiten auf den Finanzsektor auswirken;
b)
etwaigen Bedenken hinsichtlich der Finanzstabilität, einschließlich des systemischen Charakters des Finanzunternehmens auf Unionsebene oder auf nationaler Ebene, je nach Sachlage;
c)
dem spezifischen IKT-Risikoprofil, dem IKT-Reifegrad des Finanzunternehmens oder einschlägigen technologischen Merkmalen.
DORA-Sollmaßnahmen
Vorgabedokument: TLPT-Richtlinie
TLPT-012TLPT-Anforderungen: Feststellung der TLPT-PflichtS
TLPT-013TLPT-Tester: Rotationspflicht bei internen TesternS
(9)
Die Mitgliedstaaten können eine einzige staatliche Behörde für den Finanzsektor benennen, die auf nationaler Ebene für mit TLPT verbundenen Angelegenheiten im Finanzsektor zuständig ist, und betrauen sie mit allen diesbezüglichen Zuständigkeiten und Aufgaben.
(10)
In Ermangelung einer Benennung gemäß Absatz 9 und unbeschadet der Befugnis zur Ermittlung der Finanzunternehmen, die verpflichtet sind, TLPT durchzuführen, kann eine zuständige Behörde die Wahrnehmung einiger oder aller in diesem Artikel oder in Artikel 27 genannten Aufgaben auf eine andere für den Finanzsektor zuständige nationale Behörde übertragen.
(11)
Die ESA arbeiten im Einvernehmen mit der EZB im Einklang mit dem TIBER-EU-Rahmen gemeinsame Entwürfe technischer Regulierungsstandards aus, in denen Folgendes präzisiert wird:
a)
die für die Zwecke der Anwendung von Absatz 8 Unterabsatz 2 herangezogenen Kriterien;
b)
die Anforderungen und Standards für den Einsatz interner Tester;
c)
die Anforderungen hinsichtlich:
i)
des Umfangs der in Absatz 2 genannten TLPT;
ii)
der Testmethodik und des Testkonzepts für jede einzelne Phase des Testverfahrens;
iii)
der Ergebnisse, des Abschlusses und der Behebungsphasen der Tests;
d)
der Art der aufsichtlichen und sonstigen relevanten Zusammenarbeit, die für die Umsetzung von TLPT und die Erleichterung der gegenseitigen Anerkennung dieser Tests im Kontext von Finanzunternehmen, die in mehr als einem Mitgliedstaat tätig sind, erforderlich ist, um eine angemessene Beteiligung der Aufsichtsbehörden und eine flexible Umsetzung zu ermöglichen, damit den Besonderheiten finanzieller Teilsektoren oder lokaler Finanzmärkte Rechnung getragen wird.
Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA gebührend etwaige Besonderheiten, die sich aus der unterschiedlichen Art der Tätigkeiten in verschiedenen Finanzdienstleistungssektoren ergeben.
Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Juli 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Unterabsatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Durch RTS konkretisiert
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 27
Artikel 27
Anforderungen an Tester bezüglich der Durchführung von TLPT
DORA (EU 2022/2554)
(1)
Finanzunternehmen ziehen für TLPT nur Tester heran, die
a)
von höchster Eignung und Ansehen sind;
b)
über technische und organisatorische Fähigkeiten verfügen und spezifisches Fachwissen in den Bereichen Bedrohungsanalyse, Penetrationstests und Red-Team-Tests nachweisen;
c)
von einer Akkreditierungsstelle in einem Mitgliedstaat zertifiziert wurden oder formale Verhaltenskodizes oder ethische Rahmenregelungen einhalten;
d)
eine unabhängige Gewähr oder einen Auditbericht in Bezug auf das zuverlässige Management von Risiken vorlegen, die mit der Durchführung von TLPT verbunden sind, darunter auch der angemessene Schutz vertraulicher Informationen des Finanzunternehmens und ein Ausgleich der geschäftlichen Risiken des Finanzunternehmens;
e)
ordnungsgemäß und vollständig durch einschlägige Berufshaftpflichtversicherungen abgesichert sind, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit.
DORA-Sollmaßnahmen
TLPT-014TLPT-Tester: EignungsanforderungenS
(2)
Beim Einsatz interner Tester gewährleisten Finanzunternehmen, dass neben den Anforderungen in Absatz 1 auch folgende Bedingungen erfüllt sind:
a)
der Einsatz wurde von der jeweils zuständigen Behörde oder von der gemäß Artikel 26 Absätze 9 und 10 benannten einzigen staatlichen Behörde genehmigt;
b)
die jeweils zuständige Behörde hat überprüft, dass das Finanzunternehmen über ausreichende Ressourcen verfügt und sichergestellt hat, dass während der Konzeptions- und Durchführungsphase der Tests keine Interessenkonflikte entstehen; und
c)
der Anbieter von Bedrohungsanalysen gehört nicht dem Finanzunternehmen an.
DORA-Sollmaßnahmen
TLPT-015TLPT-Tester: Behördengenehmigung für interne TesterS
(3)
Finanzunternehmen stellen sicher, dass in Verträgen, die mit externen Testern geschlossen werden, eine ordentliche Handhabung der Ergebnisse von TLPT vorgesehen ist und die diesbezügliche Datenverarbeitung, einschließlich Generierung, Speicherung, Aggregation, Entwurf, Berichterstattung, Weitergabe oder Vernichtung, keine Risiken für das Finanzunternehmen mit sich bringt.
DORA-Sollmaßnahmen
TLPT-016TLPT-Testplanung: Vertragliche Regelung der ErgebnishandhabungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 28
Artikel 28
Allgemeine Prinzipien
DORA (EU 2022/2554)
(1)
Finanzunternehmen managen das IKT-Drittparteienrisiko als integralen Bestandteil des IKT-Risikos innerhalb ihres IKT-Risikomanagementrahmens nach Artikel 6 Absatz 1 und im Einklang mit den folgenden Prinzipien:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.091Integration des IKT-Drittparteienrisikos in das IKT-RisikomanagementS
IKT-Drittparteienrisikomanagement: Grundsätzliches (1/2)
IKT-Drittparteienrisikomanagement: Grundsätzliches (2/2)
IKT-Drittparteienrisikomanagement: Chancen und Risiken von IKT-Dienstleistungen (1/3)
IKT-Drittparteienrisikomanagement: Was der Fremdbezug an Risiken mitbringt
IKT-Drittparteienrisikomanagement: Chancen und Risiken von IKT-Dienstleistungen (3/3)
a)
Finanzunternehmen, die vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen für die Ausübung ihrer Geschäftstätigkeit getroffen haben, bleiben jederzeit in vollem Umfang für die Einhaltung und Erfüllung aller Verpflichtungen nach dieser Verordnung und nach dem anwendbaren Finanzdienstleistungsrecht verantwortlich.
DORA-Sollmaßnahmen
D23.005Fortbestehende Eigenverantwortung beim Bezug von IKT-DienstleistungenS
b)
Beim Management des IKT-Drittparteienrisikos tragen Finanzunternehmen dem Grundsatz der Verhältnismäßigkeit Rechnung, wobei Folgendes zu berücksichtigen ist:
i)
die Art, das Ausmaß, die Komplexität und die Relevanz IKT-bezogener Abhängigkeiten,
ii)
die Risiken infolge vertraglicher Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die mit IKT-Drittdienstleistern geschlossen wurden, wobei die Kritikalität oder Relevanz der jeweiligen Dienstleistungen, Prozesse oder Funktionen sowie die potenziellen Auswirkungen auf die Kontinuität und Verfügbarkeit von Finanzdienstleistungen und -tätigkeiten auf Einzel- und Gruppenebene zu berücksichtigen sind.
DORA-Sollmaßnahmen
D23.038Verhältnismäßigkeit des DrittparteienrisikomanagementsS
(2)
Finanzinstitute, bei denen es sich weder um die in Artikel 16 Absatz 1 Unterabsatz 1 genannten Unternehmen noch um Kleinstunternehmen handelt, beschließen im Rahmen ihres IKT-Risikomanagementrahmens eine Strategie für das IKT-Drittparteienrisiko und überprüfen diese regelmäßig, wobei gegebenenfalls die in Artikel 6 Absatz 9 genannte Strategie zur Nutzung mehrerer Anbieter Berücksichtigung findet. Die Strategie zum IKT-Drittparteienrisiko umfasst eine Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden, und gilt auf individueller und gegebenenfalls teilkonsolidierter und konsolidierter Basis. Das Leitungsorgan überprüft auf der Grundlage einer Bewertung des Gesamtrisikoprofils des Finanzunternehmens und des Umfangs und der Komplexität der Unternehmensdienstleistungen regelmäßig Risiken, die im Zusammenhang mit den vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen ermittelt werden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Strategie für das IKT-Drittparteienrisiko
D23.002Erstellung einer Strategie für das IKT-DrittparteienrisikoS
Strategie für das IKT-Drittparteienrisiko (1/2)
Strategie für das IKT-Drittparteienrisiko (2/2): die Abgrenzung
Multi-Vendor-Strategie (1/2)
Multi-Vendor-Strategie (2/2)
D23.003Geltungsbereich von Strategie für das IKT-Drittparteienrisiko und Leitlinie zur Nutzung von kwF-relevanten IKT-DienstleistungenS
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.007Erstellung einer Leitlinie zur Nutzung von kwF-relevanten IKT-DienstleistungenS
Leitlinie für die Nutzung von IKT-Dienstleistungen: eine oder zwei?
Leitlinie für die Nutzung von IKT-Dienstleistungen: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D05.024Bewertung des GesamtrisikoprofilsS
D23.006Überprüfung der Risiken kritischer IKT-VerträgeS
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
(3)
Finanzunternehmen führen und aktualisieren im Rahmen ihres IKT-Risikomanagementrahmens auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene ein Informationsregister, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen bezieht.
Die vertraglichen Vereinbarungen gemäß Unterabsatz 1 werden angemessen dokumentiert, wobei zwischen Vereinbarungen, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen abdecken, und solchen unterschieden wird, bei denen dies nicht der Fall ist.
Finanzunternehmen erstatten den zuständigen Behörden mindestens einmal jährlich Bericht zur Anzahl neuer Vereinbarungen über die Nutzung von IKT-Dienstleistungen, den Kategorien von IKT-Drittdienstleistern, der Art der vertraglichen Vereinbarungen sowie den bereitgestellten IKT-Dienstleistungen und -Funktionen.
Finanzunternehmen stellen der zuständigen Behörde auf Verlangen das vollständige Informationsregister oder auf Anfrage bestimmte Teile dieses Registers zusammen mit allen Informationen zur Verfügung, die für eine wirksame Beaufsichtigung des Finanzunternehmens als notwendig erachtet werden.
Finanzunternehmen unterrichten die zuständige Behörde zeitnah über jede geplante vertragliche Vereinbarung über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen sowie in dem Fall, dass eine Funktion kritisch oder wichtig geworden ist.
DORA-Sollmaßnahmen
D23.076Erstellung und Führung des InformationsregistersS
D23.077Bereitstellung des Informationsregisters an die AufsichtS
D23.092Jährlicher Bericht über neue IKT-VerträgeS
D23.093Meldung geplanter kwF-relevanter IKT-Verträge an die AufsichtS
D04.024Verfahren zum IKT-Assetmanagement: Methodik zur kwF-ErmittlungS
D04.034Meldung der kwF an die AufsichtS
(4)
Vor Abschluss einer vertraglichen Vereinbarung über die Nutzung von IKT-Dienstleistungen müssen Finanzunternehmen:
a)
beurteilen, ob sich die vertragliche Vereinbarung auf die Nutzung von IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion bezieht;
DORA-Sollmaßnahmen
D23.039Prüfung der kwF-Relevanz und der aufsichtsrechtlichen Bedingungen vor VertragsabschlussS
b)
beurteilen, ob die aufsichtsrechtlichen Bedingungen für die Auftragsvergabe erfüllt sind;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
c)
alle relevanten Risiken im Zusammenhang mit der vertraglichen Vereinbarung ermitteln und bewerten, einschließlich der Möglichkeit, dass diese vertragliche Vereinbarung dazu beitragen kann, das in Artikel 29 genannte IKT-Konzentrationsrisiko zu erhöhen;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.008Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: IKT-Risikobewertung vor VertragsabschlussS
D23.009Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ex-ante Risk Assessment, RisikoartenS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Der Risikokatalog des Ex-ante Risk Assessment
d)
bei potenziellen IKT-Drittdienstleistern der gebotenen Sorgfaltspflicht nachkommen und während des gesamten Auswahl- und Bewertungsprozesses sicherstellen, dass der IKT-Drittdienstleister geeignet ist;
DORA-Sollmaßnahmen
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.010Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auswahl- und BewertungsverfahrenS
D23.011Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due-Diligence-Prüfung als VoraussetzungS
e)
Interessenkonflikte, die durch die vertragliche Vereinbarung entstehen können, ermitteln und bewerten.
DORA-Sollmaßnahmen
D23.012Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vermeidung von InteressenkonfliktenS
(5)
Finanzunternehmen dürfen vertragliche Vereinbarungen nur mit IKT-Drittdienstleistern schließen, die angemessene Standards für Informationssicherheit einhalten. Betreffen diese vertraglichen Vereinbarungen kritische oder wichtige Funktionen, so berücksichtigen die Finanzunternehmen vor Abschluss der Vereinbarungen angemessen, ob die IKT-Drittdienstleister die aktuellsten und höchsten Qualitätsstandards für die Informationssicherheit anwenden.
DORA-Sollmaßnahmen
D23.036Informationssicherheitsstandards bei IKT-VerträgenS
(6)
Bei der Ausübung der Zugangs-, Inspektions- und Auditrechte in Bezug auf den IKT-Drittdienstleister bestimmen Finanzunternehmen auf der Grundlage eines risikobasierten Ansatzes vorab die Häufigkeit von Audits und Inspektionen sowie die zu prüfenden Bereiche, indem allgemein anerkannte Auditstandards im Einklang mit etwaigen Aufsichtsanweisungen für die Anwendung und Einbeziehung solcher Auditstandards eingehalten werden.
Wenn vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die mit IKT-Drittdienstleistern geschlossen werden, ein hohes Maß an technischer Komplexität mit sich bringen, überprüft das Finanzunternehmen, dass die internen oder externen Revisoren oder ein Revisorenpool über die Fähigkeiten und Kenntnisse verfügen bzw. verfügt, die für die wirksame Durchführung der einschlägigen Audits und Bewertungen erforderlich sind.
DORA-Sollmaßnahmen
D23.040Qualifikationsanforderungen an Revisoren für Audits bei IKT-DrittdienstleisternS
D23.046Allgemeine Vertragsinhalte: Audits und InspektionenS
D25.018Vor-Ort-Audits und Inspektionen beim IKT-DrittdienstleisterS
(7)
Finanzunternehmen stellen sicher, dass vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen gekündigt werden können, wenn einer der folgenden Umstände vorliegt:
a)
ein erheblicher Verstoß des IKT-Drittdienstleisters gegen geltende Gesetze, sonstige Vorschriften oder Vertragsbedingungen;
b)
Umstände, die im Laufe der Überwachung des IKT-Drittparteienrisikos festgestellt wurden und die als geeignet eingeschätzt werden, die Wahrnehmung der im Rahmen der vertraglichen Vereinbarung vorgesehenen Funktionen zu beeinträchtigen, einschließlich wesentlicher Änderungen, die sich auf die Vereinbarung oder die Verhältnisse des IKT-Drittdienstleisters auswirken;
c)
nachweisliche Schwächen des IKT-Drittdienstleisters in Bezug auf sein allgemeines IKT-Risikomanagement und insbesondere bei der Art und Weise, in der er die Verfügbarkeit, Authentizität, Sicherheit und Vertraulichkeit von Daten gewährleistet, unabhängig davon, ob es sich um personenbezogene oder anderweitig sensible Daten oder nicht personenbezogene Daten handelt;
d)
die zuständige Behörde kann das Finanzunternehmen infolge der Bedingungen der jeweiligen vertraglichen Vereinbarung oder der mit dieser Vereinbarung verbundenen Umstände nicht mehr wirksam beaufsichtigen.
DORA-Sollmaßnahmen
D23.047Allgemeine Vertragsinhalte: Kündigungsrechte bei PflichtverstößenS
(8)
Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, richten Finanzunternehmen Ausstiegsstrategien ein. In den Ausstiegsstrategien wird den Risiken Rechnung getragen, die auf der Ebene der IKT-Drittdienstleister entstehen können, darunter insbesondere ein möglicher Fehler des IKT-Drittdienstleisters, eine Verschlechterung der Qualität der bereitgestellten IKT-Dienstleistungen, jede Unterbrechung der Geschäftstätigkeit aufgrund unangemessener oder unterlassener Bereitstellung von IKT-Dienstleistungen oder jedes erhebliche Risiko im Zusammenhang mit der angemessenen und kontinuierlichen Bereitstellung der jeweiligen IKT-Dienstleistungen oder der Beendigung vertraglicher Vereinbarungen mit IKT-Drittdienstleistern unter einem der in Absatz 7 genannten Umstände.
Finanzunternehmen stellen sicher, dass sie aus vertraglichen Vereinbarungen ausscheiden können, ohne:
a)
Unterbrechung ihrer Geschäftstätigkeit,
b)
Einschränkung der Einhaltung regulatorischer Anforderungen,
c)
Beeinträchtigung der Kontinuität und Qualität ihrer für Kunden erbrachten Dienstleistungen.
Ausstiegspläne müssen umfassend, dokumentiert und im Einklang mit den in Artikel 4 Absatz 2 aufgeführten Kriterien ausreichend getestet sein sowie regelmäßig überprüft werden.
Finanzunternehmen ermitteln alternative Lösungen und entwickeln Übergangspläne, die es ihnen ermöglichen, dem IKT-Drittdienstleister die vertraglich vereinbarten IKT-Dienstleistungen und die relevanten Daten zu entziehen und sie sicher und vollständig alternativen Anbietern zu übertragen oder wieder in die eigenen Systeme zu überführen.
Finanzunternehmen verfügen über angemessene Notfallmaßnahmen, um die Fortführung der Geschäftstätigkeit zu gewährleisten, falls die in Unterabsatz 1 genannten Umstände auftreten.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.013Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstiegsstrategien und BeendigungsverfahrenS
D23.014Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstieg, Ausstiegsplan je VertragS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Strategie, Plan und fünf Szenarien
Leitlinie für die Nutzung von IKT-Dienstleistungen: drei Szenarien, sieben Anforderungen
Exkurs: Praxisprobleme mit den Ausstiegsplänen
D25.001IKT-Geschäftsfortführungspläne für IKT-Dienstleistungen: Ausstiegsszenario bei Ausfall des IKT-DrittdienstleistersS
Vorgabedokument: Ausstiegspläne (je kwF-IKT-Dienstleistung)
D23.090Erstellung von Ausstiegsstrategien und Ausstiegsplänen je kwF-IKT-DienstleistungS
Weitere Festlegungen
D23.041Ausstieg ohne BetriebsunterbrechungS
D23.042Alternativlösungen und ÜbergangspläneS
(9)
Die ESA erarbeiten über den Gemeinsamen Ausschuss Entwürfe technischer Durchführungsstandards, um die Standardvorlagen für die Zwecke des in Absatz 3 genannten Informationsregisters festzulegen, einschließlich Informationen, die allen vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen gemein sind. Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, die in Unterabsatz 1 genannten technischen Durchführungsstandards gemäß Artikel 15 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu erlassen.
Durch RTS konkretisiert
(10)
Die ESA erarbeiten über den Gemeinsamen Ausschuss Entwürfe für technische Regulierungsstandards, um den detaillierten Inhalt der Leitlinie, die in Absatz 2 in Bezug auf die vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer und wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden, genannt wird, weiter zu spezifizieren.
Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte. Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Januar 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Unterabsatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
DORA-Schulungsfolien
Ein Jahr IKT-Drittparteienrisikomanagement: Die größten Herausforderungen
Erste Erkenntnisse aus DORA-Sonderprüfungen: Was die Sonderprüfung zum IKT-Drittparteienrisikomanagement anfordert
Erste Erkenntnisse aus DORA-Sonderprüfungen: Was die Prüfer im IKT-Drittparteienrisikomanagement finden
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 29
Artikel 29
Vorläufige Bewertung des IKT-Konzentrationsrisikos auf Unternehmensebene
DORA (EU 2022/2554)
(1)
Bei der Ermittlung und Bewertung der in Artikel 28 Absatz 4 Buchstabe c genannten Risiken berücksichtigen Finanzunternehmen zudem, ob der geplante Abschluss einer vertraglichen Vereinbarung in Bezug auf IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, Folgendes herbeiführen würde:
a)
Verträge mit einem IKT-Drittdienstleister, der nicht ohne Weiteres ersetzbar ist; oder
b)
mehrfache vertragliche Vereinbarungen über die Bereitstellung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen mit demselben IKT-Drittdienstleister oder mit eng verbundenen IKT-Drittdienstleistern.
Finanzunternehmen wägen Nutzen und Kosten alternativer Lösungen ab, z. B. die Nutzung verschiedener IKT-Drittdienstleister, und berücksichtigen, ob und wie geplante Lösungen den geschäftlichen Erfordernissen und Zielen entsprechen, die in ihrer Strategie für digitale Resilienz festgelegt sind.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.094Konzentrationsrisiko im Ex-Ante Risk AssessmentS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Konzentrationsrisiko im Ex-ante Risk Assessment
(2)
Ist in der vertraglichen Vereinbarung über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen die Möglichkeit vorgesehen, dass ein IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion per Unterauftrag an andere IKT-Drittdienstleister vergibt, wägen Finanzunternehmen die Vorteile und Risiken ab, die im Zusammenhang mit einer solchen Unterauftragsvergabe entstehen können, insbesondere sofern der IKT-Unterauftragnehmer in einem Drittland niedergelassen ist.
Betreffen vertragliche Vereinbarungen IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, berücksichtigen die Finanzunternehmen gebührend die Bestimmungen des Insolvenzrechts, die im Falle der Insolvenz des IKT-Drittdienstleisters anwendbar wären, sowie jede Einschränkung, die sich im Zusammenhang mit der dringenden Wiederherstellung der Daten des Finanzunternehmens ergeben könnte.
Werden mit einem IKT-Drittdienstleister mit Sitz in einem Drittland vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen geschlossen, so beachten Finanzunternehmen neben den in Unterabsatz 2 genannten Umständen auch, dass die Datenschutzvorschriften der Union eingehalten und die Rechtsvorschriften in diesem Drittland wirksam durchgesetzt werden.
Ist in den vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen die Unterauftragsvergabe vorgesehen, so bewerten die Finanzunternehmen, ob und wie sich potenziell lange oder komplexe Ketten der Unterauftragsvergabe auf ihre Fähigkeit auswirken können, die vertraglich vereinbarten Funktionen vollständig zu überwachen, und ob die zuständige Behörde in dieser Hinsicht in der Lage ist, das Finanzunternehmen wirksam zu beaufsichtigen.
DORA-Sollmaßnahmen
D23.043Insolvenzfolgen und Drittlandbezug bei kwF-relevanten IKT-VerträgenS
D24.003Bewertung von Vorteilen/Risiken der UnterauftragsvergabeS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 30
Artikel 30
Wesentliche Vertragsbestimmungen
DORA (EU 2022/2554)
(1)
Die Rechte und Pflichten des Finanzunternehmens und des IKT-Drittdienstleisters werden eindeutig zugewiesen und schriftlich dargelegt. Der vollständige Vertrag umfasst die Vereinbarung über die Dienstleistungsgüte und wird in einem schriftlichen Dokument, das den Parteien in Papierform zur Verfügung steht, oder in einem Dokument in einem anderen herunterladbaren, dauerhaften und zugänglichen Format dokumentiert.
DORA-Sollmaßnahmen
D23.048Allgemeine Vertragsinhalte: Rechte, Pflichten und DokumentationsformS
(2)
Die vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen umfassen mindestens folgende Elemente:
a)
eine klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen, die der IKT-Drittdienstleister bereitzustellen hat, wobei anzugeben ist, ob die Vergabe von Unteraufträgen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, zulässig ist, und — wenn dies der Fall ist — welche Bedingungen für diese Unterauftragsvergabe gelten;
b)
die Standorte — das heißt die Regionen oder Länder —, an denen die vertraglich vereinbarten oder an Unterauftragnehmer vergebenen Funktionen und IKT-Dienstleistungen bereitzustellen sind und an denen Daten verarbeitet werden sollen, einschließlich des Speicherorts, sowie die Auflage für den IKT-Drittdienstleister, das Finanzunternehmen vorab zu benachrichtigen, wenn er eine Änderung dieser Standorte beabsichtigt;
c)
Bestimmungen über Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit in Bezug auf den Datenschutz, einschließlich des Schutzes personenbezogener Daten;
d)
Bestimmungen über die Sicherstellung des Zugangs zu personenbezogenen und nicht personenbezogenen Daten, die von dem Finanzunternehmen im Fall einer Insolvenz, Abwicklung, Einstellung der Geschäftstätigkeit des IKT-Drittdienstleisters oder einer Beendigung der vertraglichen Vereinbarungen verarbeitet werden, sowie über die Wiederherstellung und Rückgabe dieser Daten in einem leicht zugänglichen Format;
e)
Beschreibungen der Dienstleistungsgüte, einschließlich Aktualisierungen und Überarbeitungen;
f)
die Verpflichtung des IKT-Drittdienstleisters, dem Finanzunternehmen bei einem IKT-Vorfall, der mit dem für das Finanzunternehmen bereitgestellten IKT-Dienst in Verbindung steht, ohne zusätzliche Kosten oder zu vorab festzusetzenden Kosten Unterstützung zu leisten;
g)
die Verpflichtung des IKT-Drittdienstleisters, vollumfänglich mit den für das Finanzunternehmen zuständigen Behörden und Abwicklungsbehörden zusammenzuarbeiten, einschließlich der von diesen benannten Personen;
h)
Kündigungsrechte und damit zusammenhängende Mindestkündigungsfristen für die Beendigung der vertraglichen Vereinbarungen entsprechend den Erwartungen der zuständigen Behörden und der Abwicklungsbehörden;
i)
Bedingungen für die Teilnahme von IKT-Drittdienstleistern an den von den Finanzunternehmen angebotenen Programmen zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz gemäß Artikel 13 Absatz 6.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.049Allgemeine Vertragsinhalte: Mindestinhalte nach Art. 30 Abs. 2 DORAS
Mindestvertragsinhalte in IKT-Verträgen: die Vertragsspinne
Leitlinie für die Nutzung von IKT-Dienstleistungen: zwei Töpfe statt einer Matrix
Leitlinie für die Nutzung von IKT-Dienstleistungen: Die Arbeitshilfe der BaFin zu den Mindestvertragsinhalten
(3)
Die vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen umfassen zusätzlich zu den in Absatz 2 genannten Elementen mindestens Folgendes:
DORA-Sollmaßnahmen
D23.061kwF-relevante Vertragsinhalte: Mindestvertragsinhalte (Art. 30 Abs. 3 DORA)S
a)
vollständige Beschreibungen der Dienstleistungsgüte, einschließlich Aktualisierungen und Überarbeitungen, mit präzisen quantitativen und qualitativen Leistungszielen innerhalb der vereinbarten Dienstleistungsgüte, um dem Finanzunternehmen eine wirksame Überwachung von IKT-Dienstleistungen und das unverzügliche Ergreifen angemessener Korrekturmaßnahmen zu ermöglichen, wenn eine vereinbarte Dienstleistungsgüte nicht erreicht wird;
— keine Sollmaßnahme im Katalog zugeordnet
b)
Kündigungsfristen und Berichtspflichten des IKT-Drittdienstleisters gegenüber dem Finanzunternehmen, einschließlich der Meldung aller Entwicklungen, die sich wesentlich auf die Fähigkeit des IKT-Drittdienstleisters, IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen gemäß den vereinbarten Leistungsniveaus wirksam bereitzustellen, auswirken könnten;
— keine Sollmaßnahme im Katalog zugeordnet
c)
Anforderungen an den IKT-Drittdienstleister, Notfallpläne zu implementieren und zu testen und über Maßnahmen, Tools und Leit- und Richtlinien für IKT-Sicherheit zu verfügen, die ein angemessenes Maß an Sicherheit für die Erbringung von Dienstleistungen durch das Finanzunternehmen im Einklang mit seinem Rechtsrahmen bieten;
— keine Sollmaßnahme im Katalog zugeordnet
d)
die Verpflichtung des IKT-Drittdienstleisters, sich an den in den Artikeln 26 und 27 genannten TLPT des Finanzunternehmens zu beteiligen und uneingeschränkt daran mitzuwirken;
— keine Sollmaßnahme im Katalog zugeordnet
e)
das Recht, die Leistung des IKT-Drittdienstleisters fortlaufend zu überwachen, wozu Folgendes gehört:
i)
uneingeschränkte Zugangs-, Inspektions- und Auditrechte des Finanzunternehmens oder eines beauftragten Dritten und der zuständigen Behörde sowie das Recht auf Anfertigung von Kopien einschlägiger Unterlagen vor Ort, wenn ihnen für die Geschäftstätigkeit des IKT-Drittdienstleisters entscheidende Bedeutung zukommt, wobei die tatsächliche Ausübung dieser Rechte nicht durch andere vertragliche Vereinbarungen oder Umsetzungsrichtlinien behindert oder eingeschränkt wird;
ii)
das Recht, alternative Bestätigungsniveaus zu vereinbaren, wenn die Rechte anderer Kunden betroffen sind;
iii)
die Verpflichtung des IKT-Drittdienstleisters zur uneingeschränkten Zusammenarbeit bei Vor-Ort-Inspektionen und Audits, die von den zuständigen Behörden, der federführenden Überwachungsbehörde, dem Finanzunternehmen oder einem beauftragten Dritten durchgeführt werden; und
iv)
die Verpflichtung, Einzelheiten zu Umfang und Häufigkeit dieser Inspektionen sowie dem dabei zu befolgenden Verfahren mitzuteilen;
DORA-Sollmaßnahmen
D23.062kwF-relevante Vertragsinhalte: Unabhängige Überprüfungen und AuditsS
f)
Ausstiegsstrategien, insbesondere die Festlegung eines verbindlichen angemessenen Übergangszeitraums,
i)
in dem der IKT-Drittdienstleister weiterhin die entsprechenden Funktionen oder IKT-Dienstleistungen bereitstellt, um das Risiko von Störungen im Finanzunternehmen zu verringern oder um dessen geordnete Abwicklung und Umstrukturierung sicherzustellen;
ii)
der dem Finanzunternehmen ermöglicht, zu einem anderen IKT-Drittdienstleister zu wechseln oder auf interne Lösungen umzustellen, die der Komplexität der erbrachten Dienstleistung entsprechen.
— keine Sollmaßnahme im Katalog zugeordnet
Abweichend von Buchstabe e können der IKT-Drittdienstleister und das Finanzunternehmen, das ein Kleinstunternehmen ist, vereinbaren, dass die Zugangs-, Inspektions- und Auditrechte des Finanzunternehmens auf einen unabhängigen Dritten übertragen werden können, der vom IKT-Drittdienstleister benannt wird, sowie dass das Finanzunternehmen von diesem Dritten jederzeit Informationen und Gewähr in Bezug auf die Leistung des IKT-Drittdienstleisters verlangen kann.
DORA-Sollmaßnahmen
D23.037IKT-Verträge bei Auslagerung von MeldepflichtenS
Vorgabedokument: Allgemeine Vertragsinhalte
D23.050Allgemeine Vertragsinhalte: Pflichten der Mitarbeitenden des IKT-DrittdienstleistersS
D23.051Allgemeine Vertragsinhalte: Verschlüsselung von NetzwerkverbindungenS
(4)
Bei der Aushandlung vertraglicher Vereinbarungen erwägen Finanzunternehmen und IKT-Drittdienstleister die Verwendung von Standardvertragsklauseln, die von Behörden für bestimmte Dienstleistungen entwickelt wurden.
DORA-Sollmaßnahmen
D23.060StandardvertragsklauselnS
(5)
Die ESA erarbeiten über den Gemeinsamen Ausschuss Entwürfe technischer Regulierungsstandards, um die in Absatz 2 Buchstabe a genannten Aspekte zu präzisieren, die ein Finanzunternehmen bei der Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen bestimmen und bewerten muss.
Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte.
Die ESA übermitteln der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Juli 2024.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme der in Unterabsatz 1 genannten technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 31
Artikel 31
Einstufung kritischer IKT-Drittdienstleister
DORA (EU 2022/2554)
(1)
Die ESA nehmen über den Gemeinsamen Ausschuss und auf Empfehlung des gemäß Artikel 32 Absatz 1 eingerichteten Überwachungsforums folgende Aufgaben wahr:
a)
Einstufung der IKT-Drittdienstleister, die für Finanzunternehmen kritisch sind, nachdem eine entsprechende Bewertung unter Berücksichtigung der in Absatz 2 genannten Kriterien durchgeführt wurde;
b)
Ernennung derjenigen Europäischen Aufsichtsbehörde zur federführenden Überwachungsbehörde für jeden kritischen IKT-Drittdienstleister, die gemäß den Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 bzw. (EU) Nr. 1095/2010 für diejenigen Finanzunternehmen zuständig ist, die nachweislich der Summe der einzelnen Bilanzen dieser Finanzunternehmen zusammen den größten Anteil des Gesamtvermögens am Gesamtwert der Aktiva aller Finanzunternehmen halten, die die Dienste des betreffenden kritischen IKT-Drittdienstleisters nutzen.
(2)
Die Einstufung nach Absatz 1 Buchstabe a basiert in Bezug auf IKT-Dienstleistungen, die vom IKT-Drittdienstleister bereitgestellt werden, auf den folgenden Kriterien:
a)
den systemischen Auswirkungen auf die Stabilität, Kontinuität oder Qualität der Erbringung von Finanzdienstleistungen, falls der betreffende IKT-Drittdienstleister bei der Erbringung seiner Dienste einer umfassenden Betriebsstörung ausgesetzt wäre, wobei die Zahl von Finanzunternehmen und der Gesamtwert der Aktiva derjenigen Finanzunternehmen zu berücksichtigen ist, für die der betreffende IKT-Drittdienstleister Dienstleistungen erbringt;
b)
dem systemischen Charakter oder der Bedeutung der Finanzunternehmen, die auf den jeweiligen IKT-Drittdienstleister zurückgreifen, bewertet anhand der folgenden Parameter:
i)
der Anzahl global systemrelevanter Institute (G-SRI) oder anderer systemrelevanter Institute (A-SRI), die auf den jeweiligen IKT-Drittdienstleister zurückgreifen;
ii)
der Interdependenz zwischen den unter Ziffer i genannten G-SRI oder A-SRI und anderen Finanzunternehmen, einschließlich der Fälle, in denen die G-SRI oder A-SRI Finanzinfrastrukturdienstleistungen für andere Finanzunternehmen erbringen;
c)
der Abhängigkeit von Finanzunternehmen von den Dienstleistungen des betreffenden IKT-Drittdienstleisters mit Blick auf kritische oder wichtige Funktionen von Finanzunternehmen, in die letztlich derselbe IKT-Drittdienstleister involviert ist — unabhängig davon, ob Finanzunternehmen diese Dienste direkt oder indirekt durch Vereinbarungen über die Unterauftragsvergabe in Anspruch nehmen;
d)
dem Grad der Substituierbarkeit des IKT-Drittdienstleisters unter Berücksichtigung der folgenden Parameter:
i)
des Mangels an echten, auch teilweisen Alternativen aufgrund der begrenzten Zahl von IKT-Drittdienstleistern, die auf einem bestimmten Markt tätig sind, oder des Marktanteils des betreffenden IKT-Drittdienstleisters oder der damit verbundenen technischen Komplexität oder Differenziertheit, auch in Bezug auf proprietäre Technologien, oder der besonderen Merkmale der Organisation oder Tätigkeit des IKT-Drittdienstleisters;
ii)
der Schwierigkeiten bei der teilweisen oder vollständigen Migration der einschlägigen Daten und Arbeitslasten vom jeweiligen IKT-Drittdienstleister zu einem anderen IKT-Drittdienstleister, die entweder auf erhebliche finanzielle Kosten, zeitliche oder sonstige Ressourcen, die der Migrationsprozess mit sich bringen kann, oder auf erhöhte IKT-Risiken oder sonstige operationelle Risiken zurückzuführen sind, denen das Finanzunternehmen durch eine solche Migration ausgesetzt sein könnte.
(3)
Gehört der IKT-Drittdienstleister zu einer Gruppe, so werden die in Absatz 2 genannten Kriterien in Bezug auf die von der Gruppe als Ganzes bereitgestellten IKT-Dienstleistungen berücksichtigt.
(4)
Kritische IKT-Drittdienstleister, die Teil einer Gruppe sind, benennen eine juristische Person als Koordinierungsstelle, um eine angemessene Vertretung und Kommunikation mit der federführenden Überwachungsbehörde sicherzustellen.
(5)
Die federführende Überwachungsbehörde unterrichtet den IKT-Drittdienstleister über das Ergebnis der Bewertung, die zu der in Absatz 1 Buchstabe a genannten Einstufung geführt hat. Innerhalb von sechs Wochen ab dem Datum der Unterrichtung kann der IKT-Drittdienstleister der federführenden Überwachungsbehörde eine begründete Erklärung mit allen für die Zwecke der Bewertung relevanten Informationen übermitteln. Die federführende Überwachungsbehörde prüft die begründete Erklärung und kann verlangen, dass innerhalb von 30 Kalendertagen nach Eingang der Erklärung zusätzliche Informationen übermittelt werden.
Nach der Einstufung eines IKT-Drittdienstleisters als kritisch, unterrichten die ESA den IKT-Drittdienstleister über den Gemeinsamen Ausschuss über diese Einstufung und das Anfangsdatum, ab dem er tatsächlich Überwachungstätigkeiten unterliegen wird. Dieses Anfangsdatum darf nicht mehr als einen Monat nach der Unterrichtung liegen. Der IKT-Drittdienstleister teilt den Finanzunternehmen, für die er Dienstleistungen erbringt, seine Einstufung als kritisch mit.
(6)
Der Kommission wird die Befugnis übertragen, gemäß Artikel 57 einen delegierten Rechtsakt zu erlassen, um diese Verordnung durch die weitere Präzisierung der in Absatz 2 genannten Kriterien bis 17. Juli 2024 zu ergänzen.
(7)
Die Einstufung nach Absatz 1 Buchstabe a darf erst angewendet werden, wenn die Kommission einen delegierten Rechtsakt gemäß Absatz 6 erlassen hat.
(8)
Die Einstufung nach Absatz 1 Buchstabe a gilt nicht für:
DORA-Schulungsfolien
Kategorisierung von IKT-Dienstleistern und IKT-Dienstleistungen: Wer niemals kritischer IKT-Drittdienstleister werden kann
i)
Finanzunternehmen, die IKT-Dienstleistungen für andere Finanzunternehmen bereitstellen;
ii)
IKT-Drittdienstleister, die Überwachungsrahmen unterliegen, die zur Unterstützung der in Artikel 127 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union genannten Aufgaben eingerichtet wurden;
iii)
gruppeninterne IKT-Dienstleister;
iv)
IKT-Drittdienstleister, die IKT-Dienstleistungen ausschließlich in einem Mitgliedstaat für Finanzunternehmen bereitstellen, die nur in diesem Mitgliedstaat tätig sind.
(9)
Die ESA erstellen, veröffentlichen und aktualisieren die Liste kritischer IKT-Drittdienstleister auf Unionsebene jährlich über den Gemeinsamen Ausschuss.
(10)
Die zuständigen Behörden übermitteln dem gemäß Artikel 32 eingerichteten Überwachungsforum für die Zwecke von Absatz 1 Buchstabe a die in Artikel 28 Absatz 3 Unterabsatz 3 genannten Berichte auf jährlicher und aggregierter Basis. Das Überwachungsforum bewertet die Abhängigkeiten von Finanzunternehmen gegenüber IKT-Drittdienstleistern auf der Grundlage der von den zuständigen Behörden übermittelten Informationen.
(11)
Diejenigen IKT-Drittdienstleister, die nicht in der in Absatz 9 genannten Liste aufgeführt sind, können beantragen, gemäß Absatz 1 Buchstabe a als kritisch eingestuft zu werden.
Für die Zwecke von Unterabsatz 1 reicht der IKT-Drittdienstleister bei der EBA, der ESMA oder der EIOPA einen begründeten Antrag ein, die über den Gemeinsamen Ausschuss entscheiden, ob dieser IKT-Drittdienstleister gemäß Absatz 1 Buchstabe a als kritisch eingestuft werden soll.
Die in Unterabsatz 2 genannte Entscheidung wird innerhalb von 6 Monaten nach Eingang des Antrags getroffen und dem IKT-Drittdienstleister mitgeteilt.
(12)
Finanzunternehmen dürfen nur dann die Dienstleistungen eines IKT-Drittdienstleisters mit Sitz in einem Drittland in Anspruch nehmen, der gemäß Absatz 1 Buchstabe a als kritisch eingestuft worden ist, wenn er innerhalb von zwölf Monaten nach der Einstufung ein Tochterunternehmen in der Union gegründet hat.
DORA-Sollmaßnahmen
D23.039Prüfung der kwF-Relevanz und der aufsichtsrechtlichen Bedingungen vor VertragsabschlussS
D23.043Insolvenzfolgen und Drittlandbezug bei kwF-relevanten IKT-VerträgenS
(13)
Der in Absatz 12 genannte kritische IKT-Drittdienstleister teilt der federführenden Überwachungsbehörde jede Änderung der Leitungsstruktur des in der Union niedergelassenen Tochterunternehmens mit.
DORA-Schulungsfolien
Kritische IKT-Dienstleister = Critical ICT Third-Party Providers (CTPPs)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 32
Artikel 32
Struktur des Überwachungsrahmens
DORA (EU 2022/2554)
(1)
Der Gemeinsame Ausschuss richtet gemäß Artikel 57 Absatz 1 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 das Überwachungsforum als Unterausschuss ein, der die Arbeit des Gemeinsamen Ausschusses und der in Artikel 31 Absatz 1 Buchstabe b genannten federführenden Überwachungsbehörde im Bereich des IKT-Drittparteienrisikos in allen Finanzsektoren unterstützt. Das Überwachungsforum erarbeitet die Entwürfe gemeinsamer Positionen und gemeinsamer Maßnahmen des Gemeinsamen Ausschusses in diesem Bereich.
Das Überwachungsforum erörtert regelmäßig einschlägige Entwicklungen in Bezug auf IKT-Risiken und -Schwachstellen und fördert einen kohärenten Ansatz bei der Überwachung des IKT-Drittparteienrisikos auf Unionsebene.
(2)
Das Überwachungsforum führt jährlich eine gemeinsame Bewertung der Ergebnisse und Erkenntnisse der Überwachungstätigkeiten durch, die für alle kritischen IKT-Drittdienstleister durchgeführt wurden, und fördert Koordinierungsmaßnahmen, um die digitale operationale Resilienz von Finanzunternehmen zu erhöhen, bewährte Verfahren zum Angehen des IKT-Konzentrationsrisikos zu fördern und Möglichkeiten zur Abschwächung sektorübergreifender Risikotransfers zu untersuchen.
(3)
Das Überwachungsforum legt umfassende Referenzwerte für kritische IKT-Drittdienstleister vor, die vom Gemeinsamen Ausschuss als gemeinsame Positionen der ESA gemäß Artikel 56 Absatz 1 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 anzunehmen sind.
(4)
Das Überwachungsforum setzt sich zusammen aus
a)
den Vorsitzenden der ESA;
b)
einem hochrangigen Vertreter des aktuellen Personals der in Artikel 46 genannten betreffenden zuständigen Behörde eines jeden Mitgliedstaats;
c)
den Exekutivdirektoren jeder Europäischen Aufsichtsbehörde und einem Vertreter der Kommission, des ESRB, der EZB und der ENISA als Beobachter;
d)
gegebenenfalls einem zusätzlichen Vertreter einer in Artikel 46 genannten zuständigen Behörde eines jeden Mitgliedstaats als Beobachter;
e)
gegebenenfalls einem Vertreter der gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden, der für die Beaufsichtigung eines wesentlichen oder wichtigen, von der genannten Richtlinie erfassten Unternehmens, das als kritischer IKT-Drittdienstleister eingestuft wurde, zuständig ist, als Beobachter.
Das Überwachungsforum kann gegebenenfalls den Rat unabhängiger Sachverständiger einholen, die gemäß Absatz 6 ernannt wurden.
(5)
Jeder Mitgliedstaat benennt die jeweils zuständige Behörde, deren Mitarbeiter der in Absatz 4 Unterabsatz 1 Buchstabe b genannte hochrangige Vertreter ist, und setzt die federführende Überwachungsbehörde davon in Kenntnis.
Die ESA veröffentlichen auf ihrer Website die Liste der von den Mitgliedstaaten benannten hochrangigen Vertreter aus dem aktuellen Personal der jeweils zuständigen Behörde.
(6)
Die in Absatz 4 Unterabsatz 2 genannten unabhängigen Sachverständigen werden vom Überwachungsforum aus einem Pool von Sachverständigen ernannt, die im Anschluss an ein öffentliches und transparentes Bewerbungsverfahren ausgewählt wurden.
Die unabhängigen Sachverständigen werden auf der Grundlage ihres Fachwissens in den Bereichen Finanzstabilität, digitale operationale Resilienz und Fragen der IKT-Sicherheit ernannt. Sie handeln unabhängig und objektiv im alleinigen Interesse der Union als Ganzes und dürfen von Organen oder Einrichtungen der Union, von der Regierung eines Mitgliedstaats oder von öffentlichen oder privaten Stellen Weisungen weder einholen noch entgegennehmen.
(7)
Gemäß Artikel 16 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 geben die ESA für die Zwecke dieses Abschnitts bis zum 17. Juli 2024 Leitlinien für die Zusammenarbeit zwischen den ESA und den zuständigen Behörden heraus, die die detaillierten Verfahren und Bedingungen für die Zuweisung und Ausführung von Aufgaben zwischen zuständigen Behörden und den ESA sowie die Einzelheiten zum Austausch von Informationen regeln, die zuständige Behörden benötigen, um die Weiterbehandlung der in Artikel 35 Absatz 1 Buchstabe d genannten Empfehlungen zu gewährleisten, die an kritische IKT-Drittdienstleister gerichtet werden.
(8)
Die in diesem Abschnitt dargelegten Anforderungen gelten unbeschadet der Anwendung der Richtlinie (EU) 2022/2555 und anderer Überwachungsvorschriften der Union, die für Anbieter von Cloud-Computing-Diensten gelten.
(9)
Die ESA legen dem Europäischen Parlament, dem Rat und der Kommission über den Gemeinsamen Ausschuss und auf der Grundlage von Vorarbeiten des Überwachungsforums jährlich einen Bericht über die Anwendung dieses Abschnitts vor.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 33
Artikel 33
Aufgaben der federführenden Überwachungsbehörde
DORA (EU 2022/2554)
(1)
Die gemäß Artikel 31 Absatz 1 Buchstabe b ernannte federführende Überwachungsbehörde führt die Überwachung über die zugewiesenen kritischen IKT-Drittdienstleister durch und ist für diese kritischen IKT-Drittdienstleister für die Zwecke aller mit der Überwachung verbundenen Angelegenheiten die vorrangige Anlaufstelle.
(2)
Für die Zwecke des Absatzes 1 bewertet die federführende Überwachungsbehörde, ob jeder kritische IKT-Drittdienstleister über umfassende, fundierte und wirksame Vorschriften, Verfahren, Mechanismen und Vorkehrungen für das Management der IKT-Risiken verfügt, die er für Finanzunternehmen mit sich bringen kann.
Bei der in Unterabsatz 1 genannten Bewertung stehen vor allem IKT-Dienstleistungen im Mittelpunkt, die von dem kritischen IKT-Drittdienstleister bereitgestellt werden und kritische oder wichtige Funktionen von Finanzunternehmen unterstützen. Diese Bewertung wird auf IKT-Dienstleistungen, die andere als kritische oder wichtige Funktionen unterstützen, ausgeweitet, wenn dies zur Bewältigung aller relevanten Risiken erforderlich ist.
(3)
Die in Absatz 2 genannte Bewertung erstreckt sich auf
a)
IKT-Anforderungen, um insbesondere die Sicherheit, Verfügbarkeit, Kontinuität, Skalierbarkeit und Qualität der Dienste zu gewährleisten, die der kritische IKT-Drittdienstleister für Finanzunternehmen erbringt, sowie die Fähigkeit, jederzeit hohe Standards in Bezug auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit der Daten aufrechtzuerhalten;
b)
die physische Sicherheit, die zur Gewährleistung der IKT-Sicherheit beiträgt, darunter auch die Sicherheit von Räumlichkeiten, Einrichtungen und Datenzentren;
c)
Risikomanagementprozesse, einschließlich Strategien für IKT-Risikomanagement, IKT-Geschäftsfortführungsleitlinie und IKT-Reaktions- und Wiederherstellungsplänen;
d)
Governance-Regelungen, einschließlich einer Organisationsstruktur mit klaren, transparenten und kohärenten Zuständigkeits- und Rechenschaftspflichten, die ein wirksames IKT-Risikomanagement ermöglichen;
e)
die Ermittlung, Überwachung und unverzügliche Meldung wesentlicher IKT-bezogener Vorfälle an die Finanzunternehmen sowie den Umgang mit und die Lösung dieser Vorfälle, insbesondere Cyberangriffe;
f)
Mechanismen für Datenübertragbarkeit, Übertragbarkeit von Anwendungen und Interoperabilität, die eine wirksame Wahrnehmung von Kündigungsrechten durch die Finanzunternehmen gewährleisten;
g)
Tests von IKT-Systemen, Infrastrukturen und Kontrollen;
h)
IKT-Audits;
i)
die Übernahme einschlägiger nationaler und internationaler Normen, die auf die Erbringung der IKT-Dienstleistungen für Finanzunternehmen anwendbar sind.
(4)
Die federführende Überwachungsbehörde nimmt auf der Grundlage der in Absatz 2 genannten Bewertung und in Abstimmung mit dem in Artikel 34 Absatz 1 genannten gemeinsamen Überwachungsnetz (Joint Oversight Network — JON) einen klaren, detaillierten und durchdachten individuellen Überwachungsplan an, in dem die für jeden kritischen IKT-Drittdienstleister vorgesehenen jährlichen Überwachungsziele und wichtigsten Überwachungsmaßnahmen beschrieben werden. Dieser Plan wird dem kritischen IKT-Drittdienstleister jedes Jahr übermittelt.
Vor der Annahme des Überwachungsplans übermittelt die federführende Überwachungsbehörde dem kritischen IKT-Drittdienstleister den Entwurf des Überwachungsplans.
Nach Eingang des Entwurfs des Überwachungsplans kann der kritische IKT-Drittdienstleister innerhalb von 15 Kalendertagen eine begründete Erklärung vorlegen, in der die erwarteten Auswirkungen auf Kunden, bei denen es sich um nicht in den Anwendungsbereich dieser Verordnung fallende Unternehmen handelt, aufgezeigt werden und gegebenenfalls Lösungen zur Risikominderung enthalten sind.
(5)
Sobald die in Absatz 4 genannten jährlichen Überwachungspläne angenommen und den kritischen IKT-Drittdienstleistern übermittelt wurden, dürfen die zuständigen Behörden Maßnahmen in Bezug auf diese kritischen IKT-Drittdienstleister nur im Einvernehmen mit der federführenden Überwachungsbehörde ergreifen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 34
Artikel 34
Operative Zusammenarbeit zwischen den federführenden Überwachungsbehörden
DORA (EU 2022/2554)
(1)
Um einen kohärenten Ansatz bei den Überwachungstätigkeiten sicherzustellen und um koordinierte allgemeine Überwachungsstrategien und kohärente operative Ansätze und Arbeitsmethoden sicherzustellen, richten die drei gemäß Artikel 31 Absatz 1 Buchstabe b benannten federführenden Überwachungsbehörden ein JON ein, um sich in den Vorbereitungsphasen untereinander abzustimmen und die Überwachung über die von ihnen jeweils überwachten kritischen IKT-Drittdienstleister sowie über das etwaige Vorgehen, das gemäß Artikel 42 erforderlich sein könnte, zu koordinieren.
(2)
Für die Zwecke von Absatz 1 erstellen die federführenden Überwachungsbehörden ein gemeinsames Überwachungsprotokoll, in dem die genauen Verfahren für die tägliche Koordinierung und die Gewährleistung eines raschen Austauschs und rascher Reaktionen festgelegt sind. Das Protokoll wird regelmäßig überarbeitet, um den operativen Erfordernissen, insbesondere der Entwicklung praktischer Überwachungsregelungen, Rechnung zu tragen.
(3)
Die federführenden Überwachungsbehörden können die EZB und die ENISA auf Ad-hoc-Basis ersuchen, fachliche Beratung zu leisten, praktische Erfahrungen auszutauschen oder an spezifischen Koordinierungssitzungen des JON teilzunehmen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 35
Artikel 35
Befugnisse der federführenden Überwachungsbehörde
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde hat zur Wahrnehmung der in diesem Abschnitt dargelegten Aufgaben in Bezug auf die kritischen IKT-Drittdienstleister die Befugnis,
a)
alle einschlägigen Informationen und Unterlagen gemäß Artikel 37 anzufordern;
b)
allgemeine Untersuchungen und Inspektionen gemäß den Artikeln 38 bzw. 39 durchzuführen;
c)
nach Abschluss der Überwachungstätigkeiten Berichte anzufordern, in denen die ergriffenen Maßnahmen oder die Abhilfemaßnahmen aufgeführt sind, die von den kritischen IKT-Drittdienstleistern in Bezug auf die in Buchstabe d dieses Absatzes genannten Empfehlungen ergriffen wurden;
d)
Empfehlungen zu den in Artikel 33 Absatz 3 genannten Bereichen abzugeben, insbesondere in Bezug auf Folgendes:
i)
die Anwendung spezifischer IKT-Sicherheits- und Qualitätsanforderungen oder -verfahren, insbesondere in Bezug auf die Herausgabe von Patches, Aktualisierungen, Verschlüsselung und andere Sicherheitsmaßnahmen, die die federführende Überwachungsbehörde für die Gewährleistung der IKT-Sicherheit von Diensten, die Finanzunternehmen bereitgestellt werden, für relevant hält;
ii)
die Verwendung von Bedingungen — einschließlich ihrer technischen Umsetzung — zu denen die kritischen IKT-Drittdienstleister IKT-Dienstleistungen für Finanzunternehmen bereitstellen, die die federführende Überwachungsbehörde für relevant hält, um die Entstehung punktueller Ausfälle oder deren Verstärkung zu verhindern oder um mögliche systemische Auswirkungen im Finanzsektor der Union im Falle eines IKT-Konzentrationsrisikos zu minimieren;
iii)
jede geplante Unterauftragsvergabe, in deren Fall die federführende Überwachungsbehörde aufgrund der Prüfung der gemäß den Artikeln 37 und 38 erlangten Informationen der Auffassung ist, dass eine weitere Unterauftragsvergabe, einschließlich Vereinbarungen über die Unterauftragsvergabe, die die kritischen IKT-Drittdienstleister mit anderen IKT-Drittdienstleistern oder mit IKT-Unterauftragnehmern mit Sitz in einem Drittland zu schließen beabsichtigen, Risiken für die Erbringung von Dienstleistungen durch das Finanzunternehmen oder Risiken für die Finanzstabilität mit sich bringen kann;
iv)
von der Vereinbarung über weitere Unterauftragsvergabe abzusehen, wenn die folgenden kumulativen Bedingungen erfüllt sind:
—
Bei dem ausgewählten Unterauftragnehmer handelt es sich um einen IKT-Drittdienstleister oder einen IKT-Unterauftragnehmer mit Sitz in einem Drittland;
—
die Unterauftragsvergabe betrifft eine kritische oder wichtige Funktion des Finanzunternehmens; und
—
die federführende Überwachungsbehörde ist der Ansicht, dass diese Unterauftragsvergabe ein eindeutiges und ernstes Risiko für die Finanzstabilität der Union oder für Finanzunternehmen darstellt, einschließlich der Fähigkeit von Finanzunternehmen, Aufsichtsanforderungen zu erfüllen.
Für die Zwecke der Ziffer iv des vorliegenden Buchstabens übermitteln IKT-Drittdienstleister der federführenden Überwachungsbehörde unter Verwendung der in Artikel 41 Absatz 1 Buchstabe b genannten Vorlage Informationen über die Unterauftragsvergabe.
(2)
Bei der Ausübung der in diesem Artikel genannten Befugnisse geht die federführende Überwachungsbehörde wie folgt vor:
a)
Sie sorgt für eine regelmäßige Abstimmung innerhalb des JON und bemüht sich gegebenenfalls insbesondere um kohärente Herangehensweisen für die Überwachung kritischer IKT-Drittdienstleister;
b)
sie trägt dem durch die Richtlinie (EU) 2022/2555 geschaffenen Rahmen gebührend Rechnung und konsultiert erforderlichenfalls die gemäß der genannten Richtlinie benannten oder eingerichteten zuständigen Behörden, um eine Überschneidung von technischen und organisatorischen Maßnahmen zu vermeiden, die gemäß der genannten Richtlinie auf kritische IKT-Drittdienstleister angewandt werden könnten;
c)
sie ist bestrebt, das Risiko einer Störung der Dienste, die von kritischen IKT-Drittdienstleistern für Kunden bereitgestellt werden, bei denen es sich um nicht in den Anwendungsbereich dieser Verordnung fallende Unternehmen handelt, so weit wie möglich zu minimieren.
(3)
Die federführende Überwachungsbehörde konsultiert das Überwachungsforum, bevor sie die in Absatz 1 genannten Befugnisse ausübt.
Bevor die federführende Überwachungsbehörde Empfehlungen gemäß Absatz 1 Buchstabe d abgibt, bietet die sie dem IKT-Drittdienstleister Gelegenheit, innerhalb von 30 Kalendertagen einschlägige Informationen bereitzustellen, mit denen die erwarteten Auswirkungen auf Kunden, bei denen es sich um nicht in den Anwendungsbereich dieser Verordnung fallende Unternehmen handelt, aufgezeigt werden und die gegebenenfalls Lösungen zur Risikominderung enthalten.
(4)
Die federführende Überwachungsbehörde unterrichtet das JON über das Ergebnis der Ausübung der in Absatz 1 Buchstaben a und b genannten Befugnisse. Sie übermittelt die in Absatz 1 Buchstabe c genannten Berichte unverzüglich dem JON und den Behörden, die für diejenigen Finanzunternehmen, die die IKT-Dienstleistungen des betreffenden kritischen IKT-Drittdienstleisters in Anspruch nehmen, zuständig sind.
(5)
Kritische IKT-Drittdienstleister arbeiten nach Treu und Glauben mit der federführenden Überwachungsbehörde zusammen und unterstützen sie bei der Erfüllung ihrer Aufgaben.
(6)
Bei vollständiger oder teilweiser Nichteinhaltung der Maßnahmen, die infolge der Ausübung der Befugnisse gemäß Absatz 1 Buchstaben a, b oder c zu ergreifen sind, und nach Ablauf einer Frist von mindestens 30 Kalendertagen ab dem Tag, an dem der kritische IKT-Drittdienstleister eine Mitteilung über die betreffenden Maßnahmen erhalten hat, erlässt die federführende Überwachungsbehörde eine Entscheidung über die Verhängung eines Zwangsgelds, um den kritischen IKT-Drittdienstleister zur Einhaltung dieser Maßnahmen zu zwingen.
(7)
Das in Absatz 6 genannte Zwangsgeld wird täglich bis zur Einhaltung der Vorschriften und für höchstens sechs Monate nach Mitteilung der Entscheidung über die Verhängung eines Zwangsgelds an den kritischen IKT-Drittdienstleister verhängt.
(8)
Die Höhe des Zwangsgelds, berechnet ab dem in der Entscheidung über die Verhängung des Zwangsgelds genannten Zeitpunkt, beträgt bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes, den der kritische IKT-Drittdienstleister im vorangegangenen Geschäftsjahr erzielt hat. Bei der Festsetzung der Höhe des Zwangsgelds berücksichtigt die federführende Überwachungsbehörde in Bezug auf die Nichteinhaltung der in Absatz 6 genannten Maßnahmen folgende Kriterien:
a)
Schwere und Dauer der Nichteinhaltung;
b)
ob die Nichteinhaltung vorsätzlich oder fahrlässig begangen wurde;
c)
das Ausmaß der Zusammenarbeit des IKT-Drittdienstleisters mit der federführenden Überwachungsbehörde.
Für die Zwecke des Unterabsatzes 1 führt die federführende Überwachungsbehörde Konsultationen im Rahmen des JON durch, um einen konsistenten Ansatz sicherzustellen.
(9)
Zwangsgelder sind administrativer Art und vollstreckbar. Die Zwangsvollstreckung erfolgt nach den geltenden Vorschriften des Zivilprozessrechts des Mitgliedstaats, in dessen Hoheitsgebiet Inspektionen und Zugang erfolgen. Die Gerichte des betreffenden Mitgliedstaats sind für Beschwerden im Zusammenhang mit vorschriftswidrigem Vollzug zuständig. Die Beträge der Zwangsgelder werden dem Gesamthaushaltsplan der Europäischen Union zugewiesen.
(10)
Die federführende Überwachungsbehörde veröffentlicht sämtliche verhängten Zwangsgelder, sofern dies die Stabilität der Finanzmärkte nicht ernsthaft gefährdet und den Beteiligten daraus kein unverhältnismäßiger Schaden erwächst.
(11)
Die federführende Überwachungsbehörde gibt den Vertretern des dem Verfahren unterliegenden kritischen IKT-Drittdienstleisters vor Verhängung eines Zwangsgeldes nach Absatz 6 Gelegenheit, zu den Feststellungen angehört zu werden, und stützt ihre Entscheidungen ausschließlich auf Feststellungen, zu denen sich der vom Verfahren betroffene kritische IKT-Drittdienstleister äußern konnte.
Die Verteidigungsrechte der vom Verfahren betroffenen Personen werden während des Verfahrens in vollem Umfang gewahrt. Der dem Verfahren unterworfene IKT-Drittdienstleister hat, vorbehaltlich des berechtigten Interesses anderer Personen an der Wahrung ihrer Geschäftsgeheimnisse, ein Recht auf Akteneinsicht. Vom Recht auf Akteneinsicht ausgenommen sind vertrauliche Informationen sowie interne vorbereitende Unterlagen der federführenden Überwachungsbehörde.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 36
Artikel 36
Ausübung der Befugnisse der federführenden Überwachungsbehörde außerhalb der Union
DORA (EU 2022/2554)
(1)
Wenn sich die Überwachungsziele im Wege der Interaktion mit dem für die Zwecke des Artikels 31 Absatz 12 gegründeten Tochterunternehmen oder durch Überwachungstätigkeiten an Standorten in der Union nicht erreichen lassen, kann die federführende Überwachungsbehörde an allen Standorten in einem Drittland, die sich im Eigentum eines kritischen IKT-Drittdienstleisters befinden oder von ihm zur Erbringung von Dienstleistungen für Finanzunternehmen der Union in irgendeiner Weise im Zusammenhang mit seiner Geschäftstätigkeit, seinen Funktionen oder seinen Dienstleistungen genutzt werden, wozu alle Verwaltungs-, Geschäfts- oder Betriebsstellen, Räumlichkeiten, Grundstücke, Gebäude oder andere Immobilien gehören, die Befugnisse ausüben, die in folgenden Bestimmungen genannt werden:
a)
in Artikel 35 Absatz 1 Buchstabe a und
b)
in Artikel 35 Absatz 1 Buchstabe b im Einklang mit Artikel 38 Absatz 2 Buchstaben a, b und d sowie in Artikel 39 Absatz 1 und Absatz 2 Buchstabe a.
Die in Unterabsatz 1 genannten Befugnisse können unter den folgenden Bedingungen ausgeübt werden:
i)
Die federführende Überwachungsbehörde erachtet die Durchführung einer Inspektion in einem Drittland als notwendig, damit sie ihre Aufgaben entsprechend dieser Verordnung vollständig und wirksam wahrnehmen kann;
ii)
die Inspektion in einem Drittland steht in direktem Zusammenhang mit der Bereitstellung von IKT-Dienstleistungen für Finanzunternehmen in der Union;
iii)
der betreffende kritische IKT-Drittdienstleister stimmt der Durchführung einer Inspektion in einem Drittland zu; und
iv)
die einschlägige Behörde des betreffenden Drittlands wurde von der federführenden Überwachungsbehörde offiziell unterrichtet und hat keine Einwände dagegen erhoben.
(2)
Unbeschadet der jeweiligen Zuständigkeiten der Organe der Union und der Mitgliedstaaten schließen die EBA, die ESMA oder die EIOPA für die Zwecke des Absatzes 1 Vereinbarungen über die Verwaltungszusammenarbeit mit der einschlägigen Behörde des Drittlands, um die reibungslose Durchführung von Inspektionen in dem betreffenden Drittland durch die federführende Überwachungsbehörde und ihr für ihren Auftrag in diesem Drittland benanntes Team zu ermöglichen. Diese Kooperationsvereinbarungen begründen keine rechtlichen Verpflichtungen gegenüber der Union und ihren Mitgliedstaaten und hindern die Mitgliedstaaten und ihre zuständigen Behörden nicht daran, bilaterale oder multilaterale Vereinbarungen mit diesen Drittländern und deren einschlägigen Behörden zu schließen.
In den Kooperationsvereinbarungen sind mindestens die folgenden Elemente festgelegt:
a)
die Verfahren für die Koordinierung der im Rahmen dieser Verordnung durchgeführten Überwachungstätigkeiten und jede entsprechende Überwachung des IKT-Drittparteienrisikos im Finanzsektor durch die einschlägige Behörde des betreffenden Drittlands, einschließlich der Einzelheiten für die Übermittlung der Zustimmung dieser Behörde, damit die federführende Überwachungsbehörde und ihr benanntes Team in dessen Hoheitsgebiet allgemeine Untersuchungen und Vor-Ort-Inspektionen gemäß Absatz 1 Unterabsatz 1 durchführen können;
b)
der Mechanismus für die Übermittlung aller relevanten Informationen zwischen der EBA, der ESMA oder der EIOPA und der einschlägigen Behörde des betreffenden Drittlands, insbesondere im Zusammenhang mit Informationen, die von der federführenden Überwachungsbehörde gemäß Artikel 37 angefordert werden können;
c)
die Mechanismen für die unverzügliche Unterrichtung der EBA, der ESMA oder der EIOPA durch die einschlägige Behörde des betreffenden Drittlands über Fälle, in denen einem IKT-Drittdienstleister mit Sitz in einem Drittland, der gemäß Artikel 31 Absatz 1 Buchstabe a als kritisch eingestuft wurde, ein Verstoß gegen die Anforderungen zur Last gelegt wird, die er nach dem geltenden Recht des betreffenden Drittlands bei der Erbringung von Dienstleistungen für Finanzinstitute in diesem Drittland einhalten muss, sowie die angewandten Rechtsbehelfe und verhängten Sanktionen;
d)
die regelmäßige Übermittlung von Neuerungen im Bereich der regulatorischen und aufsichtlichen Entwicklungen bei der Überwachung des IKT-Drittparteienrisikos für Finanzinstitute in dem betreffenden Drittland;
e)
die Einzelheiten, die erforderlichenfalls die Teilnahme eines Vertreters der zuständigen Drittlandsbehörde an den Inspektionen der federführenden Überwachungsbehörde und des benannten Teams ermöglichen.
(3)
Ist die federführende Überwachungsbehörde nicht in der Lage, die in den Absätzen 1 und 2 genannten Überwachungstätigkeiten außerhalb der Union durchzuführen, so
a)
übt sie ihre Befugnisse nach Artikel 35 auf der Grundlage aller ihr bekannten Tatsachen und zur Verfügung stehenden Unterlagen aus;
b)
dokumentiert und erläutert sie alle Folgen, die sich daraus ergeben, dass sie nicht in der Lage ist, die geplanten Überwachungstätigkeiten gemäß diesem Artikel durchzuführen.
Die in Buchstabe b genannten potenziellen Folgen werden in den Empfehlungen der federführenden Überwachungsbehörde gemäß Artikel 35 Absatz 1 Buchstabe d berücksichtigt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 37
Artikel 37
Auskunftsersuchen
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde kann von kritischen IKT-Drittdienstleistern durch einfaches Ersuchen oder durch Beschluss verlangen, alle Informationen zur Verfügung zu stellen, die die federführende Überwachungsbehörde benötigt, um ihre Aufgaben im Rahmen dieser Verordnung wahrzunehmen, einschließlich aller relevanten Geschäfts- oder Betriebsunterlagen, Verträge, Leit- und Richtlinien, Dokumentationen, Meldungen über IKT-Sicherheitsprüfungen, Berichte über IKT-bezogene Vorfälle sowie aller Informationen über Parteien, an die der kritische IKT-Drittdienstleister betriebliche Funktionen oder Tätigkeiten ausgelagert hat.
(2)
Bei der Übermittlung eines einfachen Auskunftsersuchens nach Absatz 1 verfährt die federführende Überwachungsbehörde wie folgt:
a)
Sie nimmt auf diesen Artikel als Rechtsgrundlage des Ersuchens Bezug;
b)
sie gibt den Zweck des Ersuchens bekannt;
c)
sie erläutert, welche Informationen gefordert werden;
d)
sie legt die Frist für die Vorlage der Informationen fest;
e)
sie unterrichtet den Vertreter des kritischen IKT-Drittdienstleisters, von dem die Informationen angefordert werden, darüber, dass er zu deren Übermittlung zwar nicht verpflichtet ist, die vorgelegten Informationen bei freiwilliger Beantwortung des Ersuchens jedoch nicht falsch oder irreführend sein dürfen.
(3)
Fordert die federführende Überwachungsbehörde durch entsprechenden Beschluss gemäß Absatz 1 Informationen an, verfährt sie wie folgt:
a)
Sie nimmt auf diesen Artikel als Rechtsgrundlage des Ersuchens Bezug;
b)
sie gibt den Zweck des Ersuchens bekannt;
c)
sie erläutert, welche Informationen gefordert werden;
d)
sie legt die Frist für die Vorlage der Informationen fest;
e)
sie nennt die Zwangsgelder, die nach Artikel 35 Absatz 6 verhängt werden, wenn die geforderten Informationen unvollständig sind oder nicht innerhalb der unter Buchstabe d genannten Frist vorgelegt werden;
f)
sie weist auf das Recht nach den Artikeln 60 und 61 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 hin, vor dem Beschwerdeausschuss der ESA Beschwerde gegen den Beschluss einzulegen und den Beschluss durch den Gerichtshof der Europäischen Union (im Folgenden „Gerichtshof“) überprüfen zu lassen.
(4)
Die Vertreter der kritischen IKT-Drittdienstleister stellen die angeforderten Informationen zur Verfügung. Ordnungsgemäß bevollmächtigte Rechtsanwälte können die Auskünfte im Namen ihrer Mandanten erteilen. Die kritischen IKT-Drittdienstleister bleiben in vollem Umfang verantwortlich, wenn die erteilten Auskünfte unvollständig, sachlich unrichtig oder irreführend sind.
(5)
Die federführende Überwachungsbehörde übermittelt den für diejenigen Finanzunternehmen, die die Dienste der betreffenden kritischen IKT-Drittdienstleister nutzen, zuständigen Behörden sowie dem JON unverzüglich eine Kopie der Entscheidung, Informationen bereitzustellen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 38
Artikel 38
Allgemeine Untersuchungen
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde kann zur Wahrnehmung ihrer Aufgaben gemäß dieser Verordnung mit Unterstützung des in Artikel 40 Absatz 1 genannten gemeinsamen Untersuchungsteams erforderlichenfalls Untersuchungen von kritischen IKT-Drittdienstleistern durchführen.
(2)
Die federführende Überwachungsbehörde ist befugt,
a)
Aufzeichnungen, Daten, Verfahren und sonstiges für die Erfüllung ihrer Aufgaben relevantes Material unabhängig von der Speicherform zu prüfen;
b)
beglaubigte Kopien oder Auszüge dieser Aufzeichnungen, Daten und dokumentierten Verfahren und von sämtlichen sonstigen Materialien anzufertigen oder zu verlangen;
c)
Vertreter des kritischen IKT-Drittdienstleisters vorzuladen und zur Abgabe mündlicher oder schriftlicher Erklärungen zu Sachverhalten oder Unterlagen aufzufordern, die mit Gegenstand und Zweck der Untersuchung in Zusammenhang stehen, und die Antworten aufzuzeichnen;
d)
jede andere natürliche oder juristische Person zu befragen, die dieser Befragung zum Zweck der Einholung von Informationen über den Gegenstand einer Untersuchung zustimmt;
e)
Aufzeichnungen von Telefongesprächen und Datenübermittlungen anzufordern.
(3)
Die Bediensteten und sonstige von der federführenden Überwachungsbehörde zu Untersuchungen gemäß Absatz 1 ermächtigte Personen üben ihre Befugnisse unter Vorlage einer schriftlichen Ermächtigung aus, in der Gegenstand und Zweck der Untersuchung angegeben werden.
In der Ermächtigung sind auch die in Artikel 35 Absatz 6 vorgesehenen Zwangsgelder für den Fall anzugeben, dass die angeforderten Aufzeichnungen, Daten, dokumentierten Verfahren oder sonstigen Materialien oder die Antworten auf Fragen, die den Vertretern des IKT-Drittdienstleisters gestellt werden, nicht geliefert werden oder unvollständig sind.
(4)
Die Vertreter der kritischen IKT-Drittdienstleister sind verpflichtet, sich den Untersuchungen auf der Grundlage einer Entscheidung der federführenden Überwachungsbehörde zu unterziehen. In dem Beschluss sind Gegenstand und Zweck der Untersuchung, die nach Artikel 35 Absatz 6 vorgesehenen Zwangsgelder, die nach den Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 möglichen Rechtsbehelfe sowie das Recht, den Beschluss durch den Gerichtshof überprüfen zu lassen, anzugeben.
(5)
Rechtzeitig vor Beginn der Untersuchung unterrichtet die federführende Überwachungsbehörde die für diejenigen Finanzunternehmen, die die IKT-Dienstleistungen dieses kritischen IKT-Drittdienstleisters nutzen, zuständigen Behörden über die geplante Untersuchung sowie die Identität der bevollmächtigten Personen.
Die federführende Überwachungsbehörde übermittelt dem JON alle gemäß Unterabsatz 1 mitgeteilten Informationen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 39
Artikel 39
Inspektionen
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde kann zur Wahrnehmung ihrer Aufgaben nach dieser Verordnung mit Unterstützung der in Artikel 40 Absatz 1 genannten gemeinsamen Untersuchungsteams sämtliche Geschäftsräume, Grundstücke oder Gebäude des IKT-Drittdienstleisters, wie Hauptverwaltungen, Betriebszentren und sekundäre Räumlichkeiten, betreten und dort alle erforderlichen Vor-Ort-Inspektionen durchführen sowie außerhalb dieser Räumlichkeiten Inspektionen durchführen.
Für die Ausübung der in Unterabsatz 1 genannten Befugnisse konsultiert die federführende Überwachungsbehörde das JON.
(2)
Die Bediensteten und sonstige Personen, die von der federführenden Überwachungsbehörde zur Durchführung einer Vor-Ort-Inspektion ermächtigt wurden, sind befugt,
a)
diese Geschäftsräume, Grundstücke oder Gebäude zu betreten; und
b)
diese Geschäftsräume, Bücher oder Aufzeichnungen für die Dauer der Inspektion und in dem für die Inspektion erforderlichen Umfang zu versiegeln.
Die Bediensteten und sonstige von der federführenden Überwachungsbehörde ermächtigten Personen üben ihre Befugnisse unter Vorlage einer schriftlichen Ermächtigung aus, in der Gegenstand und Zweck der Inspektion sowie die in Artikel 35 Absatz 6 vorgesehenen Zwangsgelder angegeben sind, die verhängt werden, wenn sich die Vertreter der betreffenden IKT-Drittdienstleister der Inspektion nicht unterziehen.
(3)
Die federführende Überwachungsbehörde unterrichtet die für diejenigen Finanzunternehmen, die diesen IKT-Drittdienstleister in Anspruch nehmen, zuständigen Behörden rechtzeitig vor der Inspektion.
(4)
Die Inspektionen erstrecken sich auf das gesamte Spektrum einschlägiger IKT-Systeme, -Netzwerke, -Geräte, -Informationen und -Daten, die für die Erbringung von IKT-Dienstleistungen für Finanzunternehmen verwendet werden oder dazu beitragen.
(5)
Die federführende Überwachungsbehörde unterrichtet die kritischen IKT-Drittdienstleister vor jeder geplanten Vor-Ort-Inspektion mit angemessenem Vorlauf, es sei denn, eine solche Unterrichtung ist aufgrund einer Not- oder Krisensituation nicht möglich oder würde Umstände herbeiführen, unter denen die Inspektion oder das Audit nicht mehr wirksam wären.
(6)
Der kritische IKT-Drittdienstleister unterzieht sich den durch Beschluss der federführenden Überwachungsbehörde angeordneten Vor-Ort-Inspektionen. In dem Beschluss sind Gegenstand, Zweck und Datum des Beginns der Inspektion, die nach Artikel 35 Absatz 6 vorgesehenen Zwangsgelder, die nach den Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 möglichen Rechtsbehelfe sowie das Recht, den Beschluss durch den Gerichtshof überprüfen zu lassen, anzugeben.
(7)
Gelangen die Bediensteten und sonstige von der federführenden Überwachungsbehörde bevollmächtigte Personen zu dem Schluss, dass ein kritischer IKT-Drittdienstleister sich einer gemäß diesem Artikel angeordneten Inspektion widersetzt, unterrichtet die federführende Überwachungsbehörde den kritischen IKT-Drittdienstleister über die Folgen einer solchen Widersetzung, einschließlich der Möglichkeit der für die betreffenden Finanzunternehmen zuständigen Behörden, Finanzunternehmen zu verpflichten, die mit diesem kritischen IKT-Drittdienstleister geschlossenen vertraglichen Vereinbarungen zu kündigen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 40
Artikel 40
Laufende Überwachung
DORA (EU 2022/2554)
(1)
Bei der Durchführung von Überwachungstätigkeiten, insbesondere allgemeinen Untersuchungen oder Inspektionen, wird die federführende Überwachungsbehörde von einem gemeinsamen Untersuchungsteam unterstützt, das für jeden kritischen IKT-Drittdienstleister eingerichtet wird.
(2)
Das in Absatz 1 genannte gemeinsame Untersuchungsteam setzt sich aus Mitarbeitern der folgenden Behörden zusammen:
a)
der ESA;
b)
der jeweils zuständigen Behörden, die die Finanzunternehmen beaufsichtigen, denen der kritische IKT-Drittdienstleister IKT-Dienstleistungen erbringt;
c)
der in Artikel 32 Absatz 4 Buchstabe e genannten zuständigen nationale Behörde, auf freiwilliger Basis;
d)
einer zuständigen nationalen Behörde des Mitgliedstaats, in dem der kritische IKT-Drittdienstleister seinen Sitz hat, auf freiwilliger Basis.
Die Mitglieder des gemeinsamen Untersuchungsteams müssen über Fachwissen in den Bereichen IKT und operationelle Risiken verfügen. Das gemeinsame Untersuchungsteam arbeitet unter der Koordinierung eines benannten Mitarbeiters der federführenden Überwachungsbehörde („Koordinator der federführenden Überwachungsbehörde“).
(3)
Innerhalb von 3 Monaten nach Abschluss einer Untersuchung oder Inspektion nimmt die federführende Überwachungsbehörde nach Konsultation des Überwachungsforums entsprechend den in Artikel 35 genannten Befugnissen an den kritischen IKT-Drittdienstleister zu richtende Empfehlungen an.
(4)
Die in Absatz 3 genannten Empfehlungen werden dem kritischen IKT-Drittdienstleister und den für diejenigen Finanzunternehmen, denen er IKT-Dienstleistungen erbringt, zuständigen Behörden unverzüglich übermittelt.
Die federführende Überwachungsbehörde kann zur Erfüllung der Überwachungstätigkeiten alle einschlägigen Zertifizierungen Dritter und interne oder externe IKT-Prüfungsberichte Dritter berücksichtigen, die von dem kritischen IKT-Drittdienstleister zur Verfügung gestellt werden.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 41
Artikel 41
Harmonisierung der Voraussetzungen für die Durchführung der Überwachungstätigkeiten
DORA (EU 2022/2554)
(1)
Die ESA arbeiten über den Gemeinsamen Ausschuss Entwürfe technischer Regulierungsstandards aus, um Folgendes festzulegen:
a)
die Informationen, die von einem IKT-Drittdienstleister in dem Antrag bereitzustellen sind, in dem gemäß Artikel 31 Absatz 11 freiwillig um Einstufung als kritisch ersucht wird;
b)
Inhalt, Struktur und Format der Informationen, die IKT-Drittdienstleister gemäß Artikel 35 Absatz 1 übermitteln, offenlegen und melden müssen, einschließlich der Vorlage für die Bereitstellung von Informationen über die Vereinbarungen über die Unterauftragsvergabe;
c)
die Kriterien für die Festlegung der Zusammensetzung des gemeinsamen Untersuchungsteams, bei der eine ausgewogene Beteiligung der Mitarbeiter der ESA und der jeweils zuständigen Behörden sicherzustellen ist, sowie ihrer Benennung, Aufgaben und Arbeitsvereinbarungen;
d)
die Einzelheiten der von den zuständigen Behörden vorgenommenen Bewertung der Maßnahmen, die von kritischen IKT-Drittdienstleistern auf der Grundlage der Empfehlungen der federführenden Überwachungsbehörde gemäß Artikel 42 Absatz 3 ergriffen wurden.
(2)
Die ESA legen der Kommission diese Entwürfe technischer Regulierungsstandards bis zum 17. Juli 2024 vor.
Der Kommission wird die Befugnis übertragen, die vorliegende Verordnung durch Annahme technischer Regulierungsstandards nach Absatz 1 entsprechend dem Verfahren nach den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 42
Artikel 42
Folgemaßnahmen zuständiger Behörden
DORA (EU 2022/2554)
(1)
Kritische IKT-Drittdienstleister teilen entweder der federführenden Überwachungsbehörde innerhalb von 60 Kalendertagen nach Eingang der Empfehlungen, die von der federführenden Überwachungsbehörde gemäß Artikel 35 Absatz 1 Buchstabe d abgegeben werden, ihre Absicht mit, diesen Empfehlungen Folge zu leisten, oder legen eine begründete Erklärung für die Nichtbefolgung der Empfehlungen vor. Die federführende Überwachungsbehörde übermittelt diese Informationen unverzüglich den für das betreffende Finanzunternehmen zuständigen Behörden.
(2)
Die federführende Überwachungsbehörde informiert öffentlich darüber, wenn ein kritischer IKT-Drittdienstleister es versäumt, die federführende Überwachungsbehörde gemäß Absatz 1 zu unterrichten, oder wenn die Erklärung des kritischen IKT-Drittdienstleisters als nicht ausreichend erachtet wird. Die veröffentlichten Informationen enthalten die Identität des kritischen IKT-Drittdienstleisters sowie Angaben über Art und Wesen der Nichtkonformität. Diese Informationen werden auf den zum Zweck der Gewährleistung der Sensibilisierung der Öffentlichkeit relevanten und angemessenen Umfang beschränkt, es sei denn eine solche Veröffentlichung würde den Beteiligten einen unverhältnismäßigen Schaden zufügen oder das ordnungsgemäße Funktionieren und die Integrität von Finanzmärkten oder die Stabilität des Finanzsystems der Union als Ganzes oder in Teilen gefährden.
Die federführende Überwachungsbehörde unterrichtet den IKT-Drittdienstleister über diese Veröffentlichung.
(3)
Die zuständigen Behörden unterrichten die betreffenden Finanzunternehmen über die Risiken, die in den Empfehlungen an kritische IKT-Drittdienstleister gemäß Artikel 35 Absatz 1 Buchstabe d festgestellt wurden.
Beim Management des IKT-Drittparteienrisikos berücksichtigen die Finanzunternehmen die in Unterabsatz 1 genannten Risiken.
DORA-Sollmaßnahmen
D23.091Integration des IKT-Drittparteienrisikos in das IKT-RisikomanagementS
(4)
Ist eine zuständige Behörde der Ansicht, dass ein Finanzunternehmen die in den Empfehlungen festgestellten spezifischen Risiken bei seinem Management der IKT-Drittparteienrisiken nicht oder nicht ausreichend berücksichtigt, teilt sie dem Finanzunternehmen mit, dass innerhalb von 60 Kalendertagen nach Eingang einer solchen Mitteilung eine Entscheidung gemäß Absatz 6 getroffen werden kann, falls keine geeigneten vertraglichen Vereinbarungen zur Beseitigung dieser Risiken bestehen.
(5)
Nach Eingang der in Artikel 35 Absatz 1 Buchstabe c genannten Berichte und vor einer Entscheidung gemäß Absatz 6 können die zuständigen Behörden auf freiwilliger Basis die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden konsultieren, die für die Beaufsichtigung eines wesentlichen oder wichtigen, von der genannten Richtlinie erfassten Unternehmens, das als kritischer IKT-Drittdienstleister eingestuft wurde, zuständig sind.
(6)
Im Einklang mit Artikel 50 können zuständige Behörden als letztes Mittel nach der Mitteilung und gegebenenfalls der Abstimmung gemäß den Absätzen 4 und 5 eine Entscheidung treffen, mit der sie von Finanzunternehmen verlangen, die Nutzung oder den Einsatz einer Dienstleistung, die von einem kritischen IKT-Drittdienstleister bereitgestellt wird, vorübergehend teilweise oder vollständig auszusetzen, bis die Risiken beseitigt sind, die in den an den kritischen IKT-Drittdienstleister gerichteten Empfehlungen festgestellt wurden. Die Behörden können von Finanzunternehmen erforderlichenfalls verlangen, die einschlägigen vertraglichen Vereinbarungen, die mit kritischen IKT-Drittdienstleistern geschlossen wurden, ganz oder teilweise zu kündigen.
(7)
Verweigert ein kritischer IKT-Drittdienstleister die Befolgung der Empfehlungen, indem er einen anderen als den von der federführenden Überwachungsbehörde empfohlenen Ansatz wählt, und wirkt sich ein solcher abweichender Ansatz möglicherweise auf eine große Zahl von Finanzunternehmen oder einen erheblichen Teil des Finanzsektors negativ aus und haben einzelne Warnungen der zuständigen Behörden nicht zu kohärenten Ansätzen geführt, die das potenzielle Risiko für die Finanzstabilität mindern, kann die federführende Überwachungsbehörde nach Konsultation des Überwachungsforums den zuständigen Behörden gegebenenfalls unverbindliche und nicht für die Öffentlichkeit bestimmte Stellungnahmen übermitteln, um kohärente und konvergente aufsichtliche Folgemaßnahmen zu fördern.
(8)
Nach Eingang der in Artikel 35 Absatz 1 Buchstabe c genannten Berichte berücksichtigen die zuständigen Behörden bei der in Absatz 6 genannten Entscheidung die Art und das Ausmaß des Risikos, das vom kritischen IKT-Drittdienstleister nicht angegangen wird, sowie die Schwere des Verstoßes unter Berücksichtigung der folgenden Kriterien:
a)
der Schwere und Dauer des Verstoßes;
b)
ob durch den Verstoß schwerwiegende Mängel in Bezug auf Verfahren, Managementsysteme, Risikomanagement und interne Kontrollen des kritischen IKT-Drittdienstleisters offengelegt wurden;
c)
ob Wirtschaftskriminalität erleichtert oder herbeigeführt wurde oder auf andere Weise mit dem Verstoß in Verbindung steht;
d)
ob der Verstoß vorsätzlich oder fahrlässig begangen wurde;
e)
ob die Aussetzung oder Kündigung der vertraglichen Vereinbarungen ungeachtet der Bemühungen des Finanzunternehmens um Vermeidung von Störungen bei der Erbringung seiner Dienstleistungen ein Risiko für die Fortführung der Geschäftstätigkeit des Finanzunternehmens mit sich bringt;
f)
gegebenenfalls der gemäß Absatz 5 auf freiwilliger Basis ersuchten Stellungnahme der gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden, die für die Beaufsichtigung eines wesentlichen oder wichtigen, von der genannten Richtlinie erfassten Unternehmens, das als kritischer IKT-Drittdienstleister eingestuft wurde, zuständig sind.
Die zuständigen Behörden gewähren Finanzunternehmen den erforderlichen Zeitraum, damit sie die vertraglichen Vereinbarungen mit kritischen IKT-Drittdienstleistern anpassen können, um nachteilige Auswirkungen auf ihre digitale operationale Resilienz zu vermeiden und ihnen die Anwendung der in Artikel 28 genannten Ausstiegsstrategien und Übergangspläne zu ermöglichen.
(9)
Die Entscheidung gemäß Absatz 6 wird den in Artikel 32 Absatz 4 Buchstaben a, b und c genannten Mitgliedern des Überwachungsforums und dem JON mitgeteilt.
Die von den Entscheidungen gemäß Absatz 6 betroffenen kritischen IKT-Drittdienstleister arbeiten uneingeschränkt mit den betroffenen Finanzunternehmen zusammen, insbesondere im Zusammenhang mit dem Verfahren zur Aussetzung oder Kündigung ihrer vertraglichen Vereinbarungen.
(10)
Die zuständigen Behörden unterrichten die federführende Überwachungsbehörde regelmäßig über die Herangehensweisen und Maßnahmen, die sie bei ihren Aufsichtsaufgaben in Bezug auf Finanzunternehmen gewählt haben, sowie über die von den Finanzunternehmen geschlossenen vertraglichen Vereinbarungen, wenn kritische IKT-Drittdienstleister Empfehlungen, die von der federführenden Überwachungsbehörde an sie gerichtet wurden, teilweise oder vollständig nicht befolgt haben.
(11)
Die federführende Überwachungsbehörde kann auf Verlangen die zur Anleitung der zuständigen Behörden abgegebenen Empfehlungen näher erläutern.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 43
Artikel 43
Überwachungsgebühren
DORA (EU 2022/2554)
(1)
Die federführende Überwachungsbehörde erhebt gemäß dem in Absatz 2 genannten delegierten Rechtsakt von kritischen IKT-Drittdienstleistern Gebühren, die die notwendigen Ausgaben der federführenden Überwachungsbehörde für die Durchführung von Überwachungsaufgaben gemäß dieser Verordnung vollständig decken, einschließlich der Erstattung aller Kosten, die durch die Arbeit des in Artikel 40 genannten gemeinsamen Untersuchungsteams entstehen können, sowie der Kosten für die Beratung durch die in Artikel 32 Absatz 4 Unterabsatz 2 genannten unabhängigen Sachverständigen in Angelegenheiten, die in den Aufgabenbereich der direkten Überwachungstätigkeiten fallen.
Die Höhe einer Gebühr, die einem kritischen IKT-Drittdienstleister in Rechnung gestellt wird, deckt alle Kosten ab, die aufgrund der Erfüllung der in diesem Abschnitt festgelegten Aufgaben anfallen, und steht in einem angemessenen Verhältnis zu dessen Umsatz.
(2)
Der Kommission wird die Befugnis übertragen, gemäß Artikel 57 einen delegierten Rechtsakt zur Ergänzung dieser Verordnung durch Festlegung der Höhe der Gebühren und der Art und Weise ihrer Entrichtung bis zum 17. Juli 2024 zu erlassen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 44
Artikel 44
Internationale Zusammenarbeit
DORA (EU 2022/2554)
(1)
Unbeschadet des Artikels 36 können die EBA, die ESMA und die EIOPA im Einklang mit Artikel 33 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1095/2010 bzw. (EU) Nr. 1094/2010 Verwaltungsvereinbarungen mit Regulierungs- und Überwachungsbehörden von Drittländern schließen, um die internationale Zusammenarbeit in Bezug auf das IKT-Drittparteienrisiko in verschiedenen Finanzsektoren zu fördern, insbesondere durch die Entwicklung bewährter Verfahren für die Überprüfung von IKT-Risikomanagementverfahren und -kontrollen, Abmilderungsmaßnahmen und Reaktionsmaßnahmen bei Vorfällen.
(2)
Die ESA legen dem Europäischen Parlament, dem Rat und der Kommission über den Gemeinsamen Ausschuss alle fünf Jahre einen gemeinsamen vertraulichen Bericht vor, in dem die Ergebnisse einschlägiger Gespräche mit den in Absatz 1 genannten Behörden von Drittländern zusammengefasst werden, wobei der Schwerpunkt auf der Entwicklung des IKT-Drittparteienrisikos und den Auswirkungen auf die Finanzstabilität, die Marktintegrität, den Anlegerschutz und das Funktionieren des Binnenmarkts liegt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 45
Artikel 45
Vereinbarungen über den Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen
DORA (EU 2022/2554)
(1)
Finanzunternehmen können Informationen und Erkenntnisse über Cyberbedrohungen untereinander austauschen, einschließlich Indikatoren für Beeinträchtigungen, Taktiken, Techniken und Verfahren, Cybersicherheitswarnungen und Konfigurationstools, soweit dieser Austausch von Informationen und Erkenntnissen
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.025Gegenstand des Informationsaustauschs zu CyberbedrohungenS
Information Sharing nach DORA (1/2): Grundlagen
Information Sharing nach DORA (2/2): Rahmenbedingungen für den Austausch
a)
darauf abzielt, die digitale operationale Resilienz von Finanzunternehmen zu stärken, insbesondere indem für Cyberbedrohungen sensibilisiert, die Verbreitung von Cyberbedrohungen eingeschränkt oder verhindert wird und die Verteidigungsfähigkeiten, Techniken zur Erkennung von Bedrohungen, Abmilderungsstrategien oder Phasen der Reaktion und Wiederherstellung unterstützt werden;
DORA-Sollmaßnahmen
D02.026Zielsetzung des InformationsaustauschsS
b)
innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen erfolgt;
DORA-Sollmaßnahmen
D02.027Vertrauenswürdigkeit der AustauschgemeinschaftenS
c)
durch Vereinbarungen über den Austausch von Informationen umgesetzt wird, die den potenziell sensiblen Charakter der ausgetauschten Informationen schützen und Verhaltensregeln unterliegen, in deren Rahmen die Wahrung des Geschäftsgeheimnisses, der Schutz personenbezogener Daten im Einklang mit der Verordnung (EU) 2016/679 und Leitlinien für die Wettbewerbspolitik vollumfänglich befolgt werden.
DORA-Sollmaßnahmen
D02.028Schutz sensibler Informationen beim AustauschS
(2)
Für die Zwecke von Absatz 1 Buchstabe c werden in den Vereinbarungen über den Austausch von Informationen die Voraussetzungen für die Teilnahme und gegebenenfalls die Einzelheiten zur Einbindung staatlicher Behörden und der Eigenschaft, in der diese in die Vereinbarungen über den Austausch von Informationen eingebunden werden können, zur Einbindung von IKT-Drittdienstleistern sowie zu operativen Aspekten, einschließlich der Nutzung spezieller IT-Plattformen, festgelegt.
DORA-Sollmaßnahmen
D02.029Rahmenbedingungen des InformationsaustauschsS
(3)
Finanzunternehmen teilen zuständigen Behörden ihre Einbindung in die in Absatz 1 genannten Vereinbarungen über den Austausch von Informationen mit, sobald ihre Mitwirkung bestätigt wurde bzw. endet und diese Beendigung in Kraft ist.
DORA-Sollmaßnahmen
D02.030Meldung der Teilnahme am InformationsaustauschS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 46
Artikel 46
Zuständige Behörden
DORA (EU 2022/2554)
Unbeschadet der Bestimmungen über den Überwachungsrahmen für kritische IKT-Drittdienstleister gemäß Kapitel V Abschnitt II dieser Verordnung wird die Einhaltung dieser Verordnung durch die folgenden zuständigen Behörden im Einklang mit den durch die jeweiligen Rechtsakte übertragenen Befugnissen sichergestellt:
a)
bei Kreditinstituten sowie bei nach der Richtlinie 2013/36/EU ausgenommenen Instituten durch die gemäß Artikel 4 der genannten Richtlinie benannte zuständige Behörde und bei gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuften Kreditinstituten durch die EZB im Einklang mit den mittels der genannten Verordnung übertragenen Befugnissen und Aufgaben;
b)
bei Zahlungsinstituten, einschließlich der nach der Richtlinie (EU) 2015/2366 ausgenommenen Zahlungsinstitute, bei E-Geld-Instituten, einschließlich der nach der Richtlinie 2009/110/EG ausgenommenen Institute, und bei den in Artikel 33 Absatz 1 der Richtlinie (EU) 2015/2366 genannten Kontoinformationsdienstleistern durch die gemäß Artikel 22 der Richtlinie (EU) 2015/2366 benannte zuständige Behörde;
c)
bei Wertpapierfirmen durch die gemäß Artikel 4 der Richtlinie (EU) 2019/2034 des Europäischen Parlaments und des Rates (38) benannte zuständige Behörde;
d)
bei gemäß der Verordnung über Märkte von Krypto-Werten zugelassenen Anbietern von Krypto-Dienstleistungen und Emittenten von an Vermögenswerte geknüpften Tokens durch die gemäß der entsprechenden Bestimmung der genannten Verordnung benannte zuständige Behörde;
e)
bei Zentralverwahrern durch die gemäß Artikel 11 der Verordnung (EU) Nr. 909/2014 benannte zuständige Behörde;
f)
bei zentralen Gegenparteien durch die gemäß Artikel 22 der Verordnung (EU) Nr. 648/2012 benannte zuständige Behörde;
g)
bei Handelsplätzen und Datenbereitstellungsdiensten durch die gemäß Artikel 67 der Richtlinie 2014/65/EU benannte zuständige Behörde und die zuständige Behörde im Sinne von Artikel 2 Absatz 1 Nummer 18 der Verordnung (EU) Nr. 600/2014;
h)
bei Transaktionsregistern durch die gemäß Artikel 22 der Verordnung (EU) Nr. 648/2012 benannte zuständige Behörde;
i)
bei Verwaltern alternativer Investmentfonds durch die gemäß Artikel 44 der Richtlinie 2011/61/EU benannte zuständige Behörde;
j)
bei Verwaltungsgesellschaften durch die gemäß Artikel 97 der Richtlinie 2009/65/EG benannte zuständige Behörde;
k)
bei Versicherungs- und Rückversicherungsunternehmen durch die gemäß Artikel 30 der Richtlinie 2009/138/EG benannte zuständige Behörde;
l)
bei Versicherungsvermittlern, Rückversicherungsvermittlern und Versicherungsvermittlern in Nebentätigkeit durch die gemäß Artikel 12 der Richtlinie (EU) 2016/97 benannte zuständige Behörde;
m)
bei Einrichtungen der betrieblichen Altersversorgung durch die gemäß Artikel 47 der Richtlinie (EU) 2016/2341 benannte zuständige Behörde;
n)
bei Ratingagenturen durch die gemäß Artikel 21 der Verordnung (EG) Nr. 1060/2009 benannte zuständige Behörde;
o)
bei Administratoren kritischer Referenzwerte durch die gemäß den Artikeln 40 und 41 der Verordnung (EU) 2016/1011 benannte zuständige Behörde;
p)
bei Schwarmfinanzierungsdienstleistern durch die gemäß Artikel 29 der Verordnung (EU) 2020/1503 benannte zuständige Behörde;
q)
bei Verbriefungsregistern durch die gemäß Artikel 10 und Artikel 14 Absatz 1 der Verordnung (EU) 2017/2402 benannte zuständige Behörde.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 47
Artikel 47
Zusammenarbeit mit den durch die Richtlinie (EU) 2022/2555 geschaffenen Strukturen und Behörden
DORA (EU 2022/2554)
(1)
Um die Zusammenarbeit zu fördern und den aufsichtlichen Austausch zwischen den gemäß dieser Verordnung benannten zuständigen Behörden und der durch Artikel 14 der Richtlinie (EU) 2022/2555 eingesetzten Kooperationsgruppe zu ermöglichen, können sich die ESA und die zuständigen Behörden bei Angelegenheiten, die ihre Aufsichtstätigkeiten in Bezug auf Finanzunternehmen betreffen, an den Tätigkeiten der Kooperationsgruppe beteiligen. Die ESA und die zuständigen Behörden können verlangen, zur Teilnahme an den Tätigkeiten der Kooperationsgruppe in Angelegenheiten im Zusammenhang mit den wesentlichen oder wichtigen, von der Richtlinie (EU) 2022/2555 erfassten Unternehmen, die ebenfalls gemäß Artikel 31 der vorliegenden Verordnung als kritische IKT-Drittdienstleister eingestuft wurden, eingeladen zu werden.
(2)
Die zuständigen Behörden können sich gegebenenfalls an die zentralen Anlaufstellen und die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten CSIRT wenden und mit ihnen Informationen austauschen.
(3)
Die zuständigen Behörden können gegebenenfalls die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden um einschlägige fachliche Beratung und Unterstützung ersuchen und Kooperationsvereinbarungen schließen, um die Einrichtung wirksamer und schneller Koordinierungsmechanismen zu ermöglichen.
(4)
In den in Absatz 3 genannten Vereinbarungen können unter anderem Verfahren für die Koordinierung der Aufsichts- bzw. Überwachungstätigkeiten in Bezug auf wesentliche oder wichtige, von der Richtlinie (EU) 2022/2555 erfasste Unternehmen, die gemäß Artikel 31 der vorliegenden Verordnung als kritische IKT-Drittdienstleister eingestuft wurden, festgelegt werden, wozu die Durchführung von Untersuchungen und Vor-Ort-Inspektionen im Einklang mit dem nationalen Recht sowie Mechanismen für den Informationsaustausch zwischen den gemäß der vorliegenden Verordnung zuständigen Behörden und den gemäß der genannten Richtlinie benannten oder eingerichteten Behörden, einschließlich des Zugangs zu den von den letztgenannten Behörden angeforderten Informationen, gehören.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 48
Artikel 48
Zusammenarbeit der Behörden
DORA (EU 2022/2554)
(1)
Die zuständigen Behörden arbeiten untereinander und gegebenenfalls mit der federführenden Überwachungsbehörde eng zusammen.
(2)
Die zuständigen Behörden und die federführende Überwachungsbehörde tauschen zeitnah alle relevanten Informationen über kritische IKT-Drittdienstleister aus, die sie benötigen, um ihre jeweiligen Aufgaben gemäß dieser Verordnung wahrnehmen zu können, insbesondere in Bezug auf die ermittelten Risiken, die Herangehensweisen und die Maßnahmen, die im Rahmen der Überwachungsaufgaben der federführenden Überwachungsbehörde ergriffen wurden.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 49
Artikel 49
Sektorübergreifende Übungen, Kommunikation und Zusammenarbeit im Finanzbereich
DORA (EU 2022/2554)
(1)
Die ESA können über den Gemeinsamen Ausschuss und in Zusammenarbeit mit — je nach Sachlage — den zuständigen Behörden, den in Artikel 3 der Richtlinie 2014/59/EU genannten nationalen Abwicklungsbehörden, der EZB, dem Einheitlichen Abwicklungsausschuss (bei Informationen über Unternehmen, die in den Geltungsbereich der Verordnung (EU) Nr. 806/2014 fallen), dem ESRB und der ENISA Mechanismen für den Austausch wirksamer Verfahren zwischen Finanzsektoren einrichten, um die Lageerfassung zu verbessern und sektorübergreifend gemeinsame Cyberanfälligkeiten und -risiken zu ermitteln.
Ebenso können sie Krisenmanagement- und Notfallübungen mit Szenarien für Cyberangriffe konzipieren, um Kommunikationskanäle zu entwickeln und schrittweise eine wirksame koordinierte Reaktion auf Unionsebene zu ermöglichen, sofern es zu einem schwerwiegenden grenzüberschreitenden IKT-bezogenen Vorfall oder einer vergleichbaren Bedrohung kommt, die systemische Auswirkungen auf den gesamten Finanzsektor der Union mit sich bringen.
Mit diesen Übungen können gegebenenfalls auch Abhängigkeiten des Finanzsektors von anderen Wirtschaftssektoren untersucht werden.
(2)
Die zuständigen Behörden, die ESA und die EZB arbeiten eng zusammen und tauschen Informationen aus, um ihren Aufgaben gemäß den Artikeln 47 bis 54 nachzukommen. Dabei stimmen sie ihre Beaufsichtigungstätigkeit eng untereinander ab, um Verstöße gegen diese Verordnung festzustellen und ihnen entgegenzuwirken, bewährte Verfahren zu entwickeln und zu fördern, die Zusammenarbeit zu erleichtern, eine kohärente Auslegung zu fördern und bei Uneinigkeit eine Bewertung vorzunehmen, die sich nicht nur auf eine einzelne Rechtsordnung stützt.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 50
Artikel 50
Verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen
DORA (EU 2022/2554)
(1)
Die zuständigen Behörden verfügen über alle Aufsichts-, Untersuchungs- und Sanktionsbefugnisse, die zur Erfüllung ihrer Aufgaben im Rahmen dieser Verordnung erforderlich sind.
(2)
Die Befugnisse gemäß Absatz 1 umfassen zumindest folgende Befugnisse:
a)
den Zugriff auf Unterlagen oder Daten jeglicher Form, die nach Ansicht der zuständigen Behörde für die Ausführung ihrer Aufgaben von Belang sind, sowie den Erhalt oder Anfertigung von Kopien von ihnen;
b)
Durchführung von Vor-Ort-Inspektionen oder Untersuchungen, einschließlich unter anderem
i)
der Vorladung von Vertretern der Finanzunternehmen, damit diese mündliche oder schriftliche Erklärungen zu Sachverhalten oder Unterlagen abgeben, die mit Gegenstand und Zweck der Untersuchung in Zusammenhang stehen, sowie der Aufzeichnung der Antworten,
ii)
der Befragung jeder anderen natürlichen oder juristischen Person, die dieser Befragung zum Zweck der Einholung von Informationen über den Gegenstand einer Untersuchung zustimmt;
c)
das Verlangen von Korrektur- und Abhilfemaßnahmen bei Verstößen gegen die Anforderungen dieser Verordnung.
(3)
Unbeschadet des Rechts der Mitgliedstaaten, strafrechtliche Sanktionen im Einklang mit Artikel 52 zu verhängen, legen die Mitgliedstaaten angemessene verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen für Verstöße gegen diese Verordnung fest und sorgen für deren wirksame Umsetzung.
Diese Sanktionen und Maßnahmen müssen wirksam, verhältnismäßig und abschreckend sein.
(4)
Die Mitgliedstaaten übertragen den zuständigen Behörden die Befugnis, bei Verstößen gegen diese Verordnung mindestens die folgenden verwaltungsrechtlichen Sanktionen bzw. Abhilfemaßnahmen anzuwenden:
a)
die Erteilung einer Anweisung, wonach die natürliche oder juristische Person gegen diese Verordnung verstoßendes Verhalten zu unterlassen und von einer Wiederholung abzusehen hat;
b)
das Verlangen, dass Praktiken oder Verhaltensweisen, die nach Ansicht der zuständigen Behörde den Bestimmungen dieser Verordnung zuwiderlaufen, vorübergehend oder dauerhaft eingestellt und nicht wiederholt werden;
c)
das Ergreifen jeder Art von Maßnahme, auch finanzieller Art, um sicherzustellen, dass Finanzunternehmen weiterhin die rechtlichen Anforderungen erfüllen;
d)
das Verlangen — soweit gemäß nationalem Recht zulässig — bereits existierender Aufzeichnungen von Datenübermittlungen im Besitz einer Telekommunikationsgesellschaft, wenn der begründete Verdacht auf einen Verstoß gegen die Verordnung besteht und diese Aufzeichnungen für eine Untersuchung von Verstößen gegen diese Verordnung relevant sein könnten; und
e)
die Abgabe öffentlicher Bekanntmachungen, einschließlich öffentlicher Bekanntgaben, in denen die Identität der natürlichen oder juristischen Person und die Art des Verstoßes angegeben sind.
(5)
Gelten Absatz 2 Buchstabe c und Absatz 4 für juristische Personen, so statten die Mitgliedstaaten die zuständigen Behörden mit der Befugnis aus, Mitgliedern des Leitungsorgans sowie anderen natürlichen Personen, die nach nationalem Recht für den Verstoß verantwortlich sind, vorbehaltlich der nach nationalem Recht geltenden Bedingungen verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen aufzuerlegen.
(6)
Die Mitgliedstaaten stellen sicher, dass alle Entscheidungen zur Auferlegung der in Absatz 2 Buchstabe c festgelegten verwaltungsrechtlichen Sanktionen oder Abhilfemaßnahmen ordnungsgemäß begründet werden und dass gegen sie ein Rechtsbehelf eingelegt werden kann.
DORA-Schulungsfolien
Sanktionen bei Non-Compliance
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 51
Artikel 51
Ausübung der Befugnis zur Auferlegung von verwaltungsrechtlichen Sanktionen und Abhilfemaßnahmen
DORA (EU 2022/2554)
(1)
Die zuständigen Behörden üben die Befugnisse zur Auferlegung der in Artikel 50 genannten verwaltungsrechtlichen Sanktionen und Abhilfemaßnahmen innerhalb ihres nationalen Rechtsrahmens je nach Sachlage in folgender Weise aus:
a)
direkt;
b)
in Zusammenarbeit mit anderen Behörden;
c)
unter ihrer Verantwortung durch Übertragung an andere Behörden oder
d)
durch Antragstellung bei den zuständigen Justizbehörden.
(2)
Bei der Festlegung von Art und Umfang einer nach Artikel 50 auferlegten verwaltungsrechtlichen Sanktion oder Abhilfemaßnahme berücksichtigen die zuständigen Behörden, inwieweit der Verstoß vorsätzlich erfolgte oder das Ergebnis von Fahrlässigkeit ist, sowie alle anderen relevanten Umstände, darunter auch je nach Sachlage:
a)
die Wesentlichkeit, Schwere und Dauer des Verstoßes;
b)
der Grad an Verantwortung der für den Verstoß verantwortlichen natürlichen oder juristischen Person;
c)
die Finanzkraft der verantwortlichen natürlichen oder juristischen Person;
d)
die Höhe der von der verantwortlichen natürlichen oder juristischen Person erzielten Gewinne oder verhinderten Verluste, sofern sich diese beziffern lassen;
e)
die Verluste, die Dritten durch den Verstoß entstanden sind, sofern sich diese beziffern lassen;
f)
die Bereitschaft der verantwortlichen natürlichen oder juristischen Person zur Zusammenarbeit mit der zuständigen Behörde, unbeschadet des Erfordernisses, die von dieser natürlichen oder juristischen Person erzielten Gewinne oder verhinderten Verluste einzuziehen;
g)
frühere Verstöße der verantwortlichen natürlichen oder juristischen Person.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 52
Artikel 52
Strafrechtliche Sanktionen
DORA (EU 2022/2554)
(1)
Mitgliedstaaten können beschließen, für Verstöße, die nach ihrem nationalen Recht strafrechtlichen Sanktionen unterliegen, keine Vorschriften für verwaltungsrechtliche Sanktionen oder Abhilfemaßnahmen festzulegen.
(2)
Mitgliedstaaten, die strafrechtliche Sanktionen für die in dieser Verordnung genannten Verstöße festgelegt haben, stellen durch angemessene Maßnahmen sicher, dass die zuständigen Behörden über alle notwendigen Befugnisse verfügen, um sich mit den Justiz-, Strafverfolgungs- oder Strafjustizbehörden in ihrem Hoheitsgebiet ins Benehmen zu setzen, um spezifische Informationen im Zusammenhang mit strafrechtlichen Ermittlungen oder Verfahren, die wegen der Verstöße gegen diese Verordnung eingeleitet wurden, zu erhalten und diese anderen zuständigen Behörden sowie der EBA, der ESMA oder der EIOPA zur Verfügung zu stellen, um ihre Pflichten zur Zusammenarbeit für die Zwecke dieser Verordnung zu erfüllen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 53
Artikel 53
Mitteilungspflichten
DORA (EU 2022/2554)
Die Mitgliedstaaten teilen der Kommission, der ESMA, der EBA und der EIOPA bis zum 17. Januar 2025 die Gesetze, sonstige Vorschriften sowie Verwaltungsvorschriften, einschließlich der einschlägigen strafrechtlichen Vorschriften, zur Umsetzung dieses Kapitels mit. Die Mitgliedstaaten teilen der Kommission, der ESMA, der EBA und der EIOPA spätere Änderungen dieser Vorschriften unverzüglich mit.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 54
Artikel 54
Öffentliche Bekanntmachung verwaltungsrechtlicher Sanktionen
DORA (EU 2022/2554)
(1)
Die zuständigen Behörden veröffentlichen auf ihren amtlichen Websites unverzüglich jede Entscheidung zur Verhängung einer verwaltungsrechtlichen Sanktion, gegen die nach Mitteilung dieser Entscheidung an die Person, gegen die die Sanktion verhängt wurde, kein Rechtsbehelf eingelegt werden kann.
(2)
Die in Absatz 1 genannte Bekanntmachung umfasst Informationen zu Art und Natur des Verstoßes, der Identität der verantwortlichen Personen und der verhängten Sanktionen.
(3)
Gelangt die zuständige Behörde nach einer Einzelfallprüfung zu der Auffassung, dass die Bekanntmachung der Identität im Falle juristischer Personen oder der Identität und der personenbezogenen Daten im Falle natürlicher Personen unverhältnismäßig wäre, was auch Risiken für den Schutz personenbezogener Daten einschließt, die Stabilität der Finanzmärkte oder die Durchführung laufender strafrechtlicher Ermittlungen gefährden oder der betroffenen Person einen unverhältnismäßigen Schaden zufügen würde — soweit dieser ermittelt werden kann —, so beschließt sie in Bezug auf die Entscheidung, mit der eine verwaltungsrechtliche Sanktion verhängt wird, eine der folgenden Lösungen:
a)
Aufschub der Veröffentlichung bis alle Gründe für die Nichtveröffentlichung wegfallen;
b)
anonyme Veröffentlichung im Einklang mit dem nationalen Recht; oder
c)
Unterlassung der Veröffentlichung, wenn die unter den Buchstaben a und b genannten Optionen entweder nicht ausreichen, um zu gewährleisten, dass keine Gefahr für die Stabilität der Finanzmärkte besteht, oder wenn eine solche Veröffentlichung nicht mit der bei der Verhängung der Sanktion angewandten Nachsicht vereinbar wäre.
(4)
Wird entschieden, eine verwaltungsrechtliche Sanktion gemäß Absatz 3 Buchstabe b in anonymisierter Form bekannt zu machen, so kann die Bekanntmachung der einschlägigen Angaben aufgeschoben werden.
(5)
Macht eine zuständige Behörde eine Entscheidung zur Verhängung einer verwaltungsrechtlichen Sanktion, gegen die ein Rechtsbehelf bei den einschlägigen Justizbehörden eingelegt worden ist, bekannt, so fügen die zuständigen Behörden diese Information ihrer amtlichen Website unverzüglich und etwaige nachfolgende Informationen über den Ausgang des Rechtsbehelfsverfahrens zu einem späteren Zeitpunkt hinzu. Gerichtliche Entscheidungen, mit denen eine Entscheidung zur Verhängung einer verwaltungsrechtlichen Sanktion für nichtig erklärt wird, werden ebenfalls bekannt gemacht.
(6)
Die zuständigen Behörden stellen sicher, dass die in den Absätzen 1 bis 4 genannten Bekanntmachungen nur so lange auf ihrer amtlichen Website verbleiben, wie es zum Zwecke dieses Artikels erforderlich ist. Dieser Zeitraum darf fünf Jahre ab dem Zeitpunkt der Veröffentlichung nicht überschreiten.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 55
Artikel 55
Wahrung des Berufsgeheimnisses
DORA (EU 2022/2554)
(1)
Vertrauliche Informationen, die gemäß dieser Verordnung empfangen, ausgetauscht oder übermittelt werden, unterliegen den in Absatz 2 festgelegten Bestimmungen zum Berufsgeheimnis.
(2)
Zur Wahrung des Berufsgeheimnisses verpflichtet sind alle Personen, die bei den gemäß dieser Verordnung zuständigen Behörden oder bei einer Behörde, einem Marktteilnehmer oder einer natürlichen oder juristischen Person beschäftigt sind oder waren, an die bzw. den diese zuständigen Behörden ihre Befugnisse delegiert haben, einschließlich unter Vertrag genommener Revisoren und Sachverständigen.
(3)
Unter das Berufsgeheimnis fallende Informationen, einschließlich der zwischen den gemäß der vorliegenden Verordnung zuständigen Behörden und den gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden ausgetauschten Informationen, dürfen keiner anderen Person oder Behörde gegenüber offengelegt werden, es sei denn, dies geschieht aufgrund von Unionsrecht oder nationalem Recht.
(4)
Alle gemäß dieser Verordnung zwischen den zuständigen Behörden ausgetauschten Informationen, die Geschäfts- oder Betriebsbedingungen und andere wirtschaftliche oder persönliche Angelegenheiten betreffen, werden als vertraulich betrachtet und unterliegen den Anforderungen an das Berufsgeheimnis, es sein denn, ihre Weitergabe wird von der zuständigen Behörde zum Zeitpunkt der Mitteilung für zulässig erklärt oder ist für Gerichtsverfahren erforderlich.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 56
Artikel 56
Datenschutz
DORA (EU 2022/2554)
(1)
Die ESA und die zuständigen Behörden dürfen personenbezogene Daten nur verarbeiten, wenn dies zur Erfüllung ihrer jeweiligen Pflichten und Aufgaben gemäß dieser Verordnung erforderlich ist, insbesondere für Untersuchungen, Inspektionen, Auskunftsersuchen, Kommunikationszwecke, Veröffentlichungen, Evaluierungen, Verifizierungen, Bewertungen und die Erstellung von Überwachungsplänen. Die personenbezogenen Daten müssen im Einklang mit der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 verarbeitet werden, je nachdem, welche der beiden anwendbar ist.
(2)
Sofern in anderen sektorspezifischen Rechtsakten nichts anderes vorgesehen ist, werden die in Absatz 1 genannten personenbezogenen Daten bis zur Erfüllung der geltenden Aufsichtspflichten, in jedem Fall aber für höchstens 15 Jahre aufbewahrt, außer bei anhängigen Gerichtsverfahren, die eine weitere Speicherung dieser Daten erfordern.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 57
Artikel 57
Ausübung der Befugnisübertragung
DORA (EU 2022/2554)
(1)
Die Befugnis zum Erlass delegierter Rechtsakte wird der Kommission unter den in diesem Artikel festgelegten Bedingungen übertragen.
(2)
Die Befugnis zum Erlass delegierter Rechtsakte gemäß Artikel 31 Absatz 6 und Artikel 43 Absatz 2 wird der Kommission für einen Zeitraum von fünf Jahren ab dem 17. Januar 2024 übertragen. Die Kommission erstellt spätestens neun Monate vor Ablauf des Zeitraums von fünf Jahren einen Bericht über die Befugnisübertragung. Die Befugnisübertragung verlängert sich stillschweigend um Zeiträume gleicher Länge, es sei denn, das Europäische Parlament oder der Rat widersprechen einer solchen Verlängerung spätestens drei Monate vor Ablauf des jeweiligen Zeitraums.
(3)
Die Befugnisübertragung gemäß Artikel 31 Absatz 6 und Artikel 43 Absatz 2 kann vom Europäischen Parlament oder vom Rat jederzeit widerrufen werden. Der Beschluss über den Widerruf beendet die Übertragung der in diesem Beschluss angegebenen Befugnis. Er wird am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union oder zu einem im Beschluss über den Widerruf angegebenen späteren Zeitpunkt wirksam. Die Gültigkeit von delegierten Rechtsakten, die bereits in Kraft sind, wird von dem Beschluss über den Widerruf nicht berührt.
(4)
Vor dem Erlass eines delegierten Rechtsakts konsultiert die Kommission die von den einzelnen Mitgliedstaaten benannten Sachverständigen, im Einklang mit den in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung enthaltenen Grundsätzen.
(5)
Sobald die Kommission einen delegierten Rechtsakt erlässt, übermittelt sie ihn gleichzeitig dem Europäischen Parlament und dem Rat.
(6)
Ein delegierter Rechtsakt, der gemäß Artikel 31 Absatz 6 und Artikel 43 Absatz 2 erlassen wurde, tritt nur in Kraft, wenn weder das Europäische Parlament noch der Rat innerhalb einer Frist von drei Monaten nach Übermittlung dieses Rechtsakts an das Europäische Parlament und den Rat Einwände erhoben haben oder wenn vor Ablauf dieser Frist sowohl das Europäische Parlament als auch der Rat der Kommission mitgeteilt haben, dass sie keine Einwände erheben werden. Auf Initiative des Europäischen Parlaments oder des Rates wird diese Frist um drei Monate verlängert.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 58
Artikel 58
Überprüfungsklausel
DORA (EU 2022/2554)
(1)
Bis zum 17. Januar 2028 führt die Kommission nach Konsultation der ESA und des ESRB, je nach Sachlage, eine Überprüfung durch und legt dem Europäischen Parlament und dem Rat einen Bericht vor, gegebenenfalls zusammen mit einem Gesetzgebungsvorschlag. Die Überprüfung muss sich mindestens auf Folgendes erstrecken:
a)
die Kriterien für die Benennung kritischer IKT-Drittdienstleister gemäß Artikel 31 Absatz 2;
b)
die Freiwilligkeit der Meldung erheblicher Cyberbedrohungen gemäß Artikel 19;
c)
die Regelung gemäß Artikel 31 Absatz 12 und die Befugnisse der federführenden Überwachungsbehörde gemäß Artikel 35 Absatz 1 Buchstabe d Ziffer iv erster Gedankenstrich, um die Wirksamkeit dieser Bestimmungen im Hinblick auf die Gewährleistung einer wirksamen Überwachung kritischer IKT-Drittdienstleister mit Sitz in einem Drittland und die Notwendigkeit der Gründung eines Tochterunternehmens in der Union zu bewerten.
Für die Zwecke von Unterabsatz 1 dieses Buchstabens umfasst die Überprüfung eine Analyse der Regelung gemäß Artikel 31 Absatz 12, einschließlich hinsichtlich der Bedingungen für den Zugang von Finanzunternehmen der Union zu Dienstleistungen aus Drittländern und der Verfügbarkeit dieser Dienstleistungen auf dem Unionsmarkt, und berücksichtigt weitere Entwicklungen auf den Märkten für die unter diese Verordnung fallenden Dienstleistungen, die von Finanzunternehmen und Finanzaufsichtsbehörden bei der Anwendung dieser Regelung bzw. der damit verbundenen Beaufsichtigung gewonnenen praktischen Erfahrungen sowie alle einschlägigen regulatorischen und aufsichtlichen Entwicklungen auf internationaler Ebene.
d)
die Angemessenheit der Einbeziehung derjenigen in Artikel 2 Absatz 3 Buchstabe e genannten Finanzunternehmen in den Geltungsbereich dieser Verordnung, die automatisierte Vertriebssysteme nutzen, unter Berücksichtigung künftiger Marktentwicklungen im Zusammenhang mit der Nutzung solcher Systeme;
e)
die Funktionsweise und Wirksamkeit des JON bei der Förderung der Kohärenz der Überwachung und der Effizienz des Informationsaustauschs innerhalb des Überwachungsrahmens.
(2)
Im Zusammenhang mit der Überprüfung der Richtlinie (EU) 2015/2366 bewertet die Kommission, ob die Resilienz von Zahlungssystemen und Zahlungsabwicklungstätigkeiten gegenüber Cyberangriffen erhöht werden muss und ob es angemessen ist, den Geltungsbereich dieser Verordnung auf Betreiber von Zahlungssystemen und an Zahlungsabwicklungstätigkeiten beteiligte Stellen auszuweiten. Die Kommission legt unter Berücksichtigung des Ergebnisses dieser Bewertung dem Europäischen Parlament und dem Rat im Rahmen der Überprüfung der Richtlinie (EU) 2015/2366 bis spätestens 17. Juli 2023 einen Bericht vor.
Auf der Grundlage dieses Überprüfungsberichts und nach Konsultation der ESA, der EZB und des ESRB kann die Kommission gegebenenfalls als Teil des Gesetzgebungsvorschlags, den sie gemäß Artikel 108 Unterabsatz 2 der Richtlinie (EU) 2015/2366 annehmen kann, einen Vorschlag unterbreiten, mit dem sichergestellt wird, dass alle Betreiber von Zahlungssystemen und alle an Zahlungsabwicklungstätigkeiten beteiligte Stellen einer angemessenen Überwachung unterliegen, wobei der bestehenden Überwachung durch die Zentralbank Rechnung zu tragen ist.
(3)
Bis zum 17. Januar 2026 führt die Kommission nach Konsultation der ESA und des Ausschusses der Europäischen Aufsichtsstellen für Abschlussprüfer eine Überprüfung durch und legt — gegebenenfalls zusammen mit einem Gesetzgebungsvorschlag — dem Europäischen Parlament und dem Rat einen Bericht darüber vor, ob strengere Anforderungen an Abschlussprüfer und Prüfungsgesellschaften in Bezug auf die digitale operationale Resilienz angemessen sind, indem Abschlussprüfer und Prüfungsgesellschaften in den Geltungsbereich der vorliegenden Verordnung aufgenommen werden oder die Richtlinie 2006/43/EG des Europäischen Parlaments und des Rates (39) geändert wird.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 59
Artikel 59
Änderungen der Verordnung (EG) Nr. 1060/2009
DORA (EU 2022/2554)
Die Verordnung (EG) Nr. 1060/2009 wird wie folgt geändert:
1.
Anhang I Abschnitt A Nummer 4 Unterabsatz 1 erhält folgende Fassung:
„Eine Ratingagentur verfügt über eine solide Verwaltung und Rechnungslegung, interne Kontrollmechanismen, effiziente Verfahren für die Risikobewertung sowie wirksame Kontroll- und Sicherheitsmechanismen für den Betrieb von IKT-Systemen gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*1).
(*1) Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1).“ "
2.
Anhang III Nummer 12 erhält folgende Fassung:
„12.
Die Ratingagentur verstößt gegen Artikel 6 Absatz 2 in Verbindung mit Anhang I Abschnitt A Nummer 4, wenn sie über keine solide Verwaltung und Rechnungslegung, keine internen Kontrollmechanismen, keine effizienten Verfahren für die Risikobewertung oder keine wirksamen Kontroll- und Sicherheitsmechanismen für den Betrieb von IKT-Systemen gemäß der Verordnung (EU) 2022/2554 verfügt oder wenn sie keine Entscheidungsprozesse oder keine Organisationsstruktur nach Maßgabe jener Nummer schafft oder unterhält.“
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 60
Artikel 60
Änderungen der Verordnung (EU) Nr. 648/2012
DORA (EU 2022/2554)
Änderungsartikel (EMIR) — Rahmensätze und zitierte Neufassung von Anhang I EMIR im Korpus unvollständig erfasst
(3)
„(3) Eine CCP muss dauerhaft über eine Organisationsstruktur verfügen, die Kontinuität und ein ordnungsgemäßes Funktionieren im Hinblick auf die Erbringung ihrer Dienstleistungen und Ausübung ihrer Tätigkeiten gewährleistet. Sie muss angemessene und verhältnismäßige Systeme, Ressourcen und Verfahren einsetzen, einschließlich IKT-Systemen, die gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*2) betrieben werden.
(1)
„(1) Eine CCP hat eine angemessene Geschäftsfortführungsleitlinie sowie einen Notfallwiederherstellungsplan — der eine IKT-Geschäftsfortführungsleitlinie und IKT- Reaktions- und Wiederherstellungspläne umfasst, die nach der Verordnung (EU) 2022/2554 aufgestellt und umgesetzt werden — festzulegen, umzusetzen und zu befolgen, mit dem Ziel eine Aufrechterhaltung der Funktionen der CCP, eine rechtzeitige Wiederherstellung des Geschäftsbetriebs sowie eine Erfüllung der Pflichten der CCP zu gewährleisten.“
(3)
„(3) Um die einheitliche Anwendung dieses Artikels zu gewährleisten, erarbeitet die ESMA nach Anhörung der Mitglieder des ESZB Entwürfe für technische Regulierungsstandards, in denen der Mindestinhalt und die Anforderungen an die Geschäftsfortführungsleitlinie und an den Notfallwiederherstellungsplan, unter Ausschluss der IKT-Geschäftsfortführungsleitlinie und der Pläne für Notfallwiederherstellung, festgelegt werden.“
(3)
„(3) Um die einheitliche Anwendung dieses Artikels zu gewährleisten, erarbeitet die ESMA Entwürfe für technische Regulierungsstandards, in denen die Einzelheiten des in Absatz 1 genannten Antrags auf Registrierung festgelegt werden, mit Ausnahme der Anforderungen im Zusammenhang mit dem IKT-Risikomanagement.“
(1)
„(1) Ein Transaktionsregister ermittelt Quellen operationeller Risiken und minimiert diese Risiken durch die Entwicklung angemessener Systeme, Kontrollen und Verfahren, einschließlich IKT-Systemen, die gemäß der Verordnung (EU) 2022/2554 betrieben werden.
(2)
Ein Transaktionsregister hat eine angemessene Geschäftsfortführungsleitlinie und einen Notfallwiederherstellungsplan — einschließlich einer IKT-Geschäftsfortführungsleitlinie und IKT-Reaktions- und Wiederherstellungsplänen, die nach der Verordnung (EU) 2022/2554 eingerichtet werden — festzulegen, umzusetzen und zu befolgen, mit dem Ziel, die Aufrechterhaltung der Funktionen des Transaktionsregisters, die rechtzeitige Wiederherstellung des Geschäftsbetriebs sowie die Erfüllung der Pflichten des Transaktionsregisters zu gewährleisten.“
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 61
Artikel 61
Änderungen der Verordnung (EU) Nr. 909/2014
DORA (EU 2022/2554)
Änderungsartikel (CSDR) — Rahmensätze im Korpus unvollständig erfasst
(1)
„(1) Ein Zentralverwahrer ermittelt Quellen des internen und externen operationellen Risikos und hält deren Auswirkungen durch den Einsatz angemessener IKT-Tools, Verfahren und Strategien, die gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*3) eingerichtet und verwaltet werden, sowie durch alle anderen relevanten angemessenen Instrumente, Kontrollen und Verfahren für andere Arten operationeller Risiken, auch für alle von ihm betriebenen Wertpapierliefer- und -abrechnungssysteme, so gering wie möglich.
(3)
„(3) Für die von ihm erbrachten Dienstleistungen und jedes von ihm betriebene Wertpapierliefer- und -abrechnungssystem legt ein Zentralverwahrer eine angemessene Geschäftsfortführungsleitlinie sowie einen Notfallwiederherstellungsplan, einschließlich einer IKT-Geschäftsfortführungsleitlinie und IKT-Reaktions- und Wiederherstellungspläne, die gemäß der Verordnung (EU) 2022/2554 eingerichtet werden, fest, die er anwendet und befolgt, um bei Ereignissen, die ein beträchtliches Risiko einer Beeinträchtigung des Geschäftsbetriebs bergen, das Aufrechterhalten der Dienstleistungen, die rasche Wiederherstellung des Geschäftsbetriebs und die Erfüllung seiner Pflichten zu gewährleisten.
(4)
Der Plan nach Absatz 3 muss eine Wiederherstellung aller Geschäfte und Positionen der Teilnehmer zum Zeitpunkt der Störung ermöglichen, damit die Teilnehmer eines Zentralverwahrers ihre Tätigkeiten in sicherer Weise fortsetzen und Lieferungen und Abrechnungen zum geplanten Termin vornehmen können; hierzu gehört auch die Vorsorge, dass kritische IT-Systeme nach der Störung wieder in Betrieb genommen werden können, so wie in Artikel 12 Absätze 5 und 7 der Verordnung (EU) 2022/2554 vorgesehen.“
(6)
„(6) Ein Zentralverwahrer ermittelt, überwacht und managt die Risiken, die von wichtigen Teilnehmern an den von ihm betriebenen Wertpapierliefer- und -abrechnungssystemen sowie von Dienstleistern und Versorgungsbetrieben, anderen Zentralverwahrern oder anderen Marktinfrastrukturen für seinen Geschäftsbetrieb ausgehen könnten. Er unterrichtet die zuständige Behörde sowie die betreffenden Behörden auf Verlangen über alle solchermaßen ermittelten Risiken. Er unterrichtet die zuständige Behörde sowie die betreffenden Behörden ferner unverzüglich über alle Störfälle infolge dieser Risiken, die nicht im Zusammenhang mit dem IKT-Risiko auftreten.“
(7)
„(7) Die ESMA arbeitet in enger Abstimmung mit den Mitgliedern des ESZB Entwürfe technischer Regulierungsstandards aus, in denen die operationellen Risiken nach den Absätzen 1 und 6 — mit Ausnahme von IKT-Risiken — sowie die Verfahren zur Prüfung, Bewältigung oder Minimierung dieser Risiken einschließlich der Geschäftsfortführungsleitlinien und der Notfallsanierungspläne nach den Absätzen 3 und 4 sowie der Verfahren zu ihrer Beurteilung präzisiert werden.“
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 62
Artikel 62
Änderungen der Verordnung (EU) Nr. 600/2014
DORA (EU 2022/2554)
Die Verordnung (EU) Nr. 600/2014 wird wie folgt geändert:
1.
Artikel 27g wird wie folgt geändert:
a)
Absatz 4 erhält folgende Fassung:
„(4)
Ein APA muss die in der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*4) festgelegten Anforderungen in Bezug auf die Sicherheit von Netzwerk- und Informationssystemen erfüllen.“
(*4) Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1).“ "
b)
Absatz 8 Buchstabe c erhält folgende Fassung:
„c)
die konkreten organisatorischen Anforderungen nach den Absätzen 3 und 5.“
2.
Artikel 27h wird wie folgt geändert:
a)
Absatz 5 erhält folgende Fassung:
„(5) Ein CTP muss die in der Verordnung (EU) 2022/2554 festgelegten Anforderungen in Bezug auf die Sicherheit von Netzwerk- und Informationssystemen erfüllen.“
b)
in Absatz 8 erhält Buchstabe e folgende Fassung:
„e)
die konkreten organisatorischen Anforderungen nach Absatz 4.“
3.
Artikel 27i wird wie folgt geändert:
a)
Absatz 3 erhält folgende Fassung:
„(3) Ein ARM muss die in der Verordnung (EU) 2022/2554 festgelegten Anforderungen in Bezug auf die Sicherheit von Netzwerk- und Informationssystemen erfüllen.“
b)
Absatz 5 Buchstabe b erhält folgende Fassung:
„b)
die konkreten organisatorischen Anforderungen nach den Absätzen 2 und 4.“
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 63
Artikel 63
Änderungen der Verordnung (EU) 2016/1011
DORA (EU 2022/2554)
In Artikel 6 der Verordnung (EU) 2016/1011 wird folgender Absatz angefügt:
„(6)
Für kritische Referenzwerte verfügt ein Administrator über eine solide Verwaltung und Rechnungslegung, interne Kontrollmechanismen, effiziente Verfahren für die Risikobewertung sowie wirksame Kontroll- und Sicherheitsmechanismen für den Betrieb von IKT-Systemen gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (*5).
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
DORA (EU 2022/2554)›Art. 64
Artikel 64
Inkrafttreten und Anwendung
DORA (EU 2022/2554)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Sie gilt ab dem 17. Januar 2025.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 1
Artikel 1
Gesamtrisikoprofil und -komplexität
RTS IKT-Risikomanagement (2024/1774)
Bei der Entwicklung und Implementierung der Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit nach Titel II und des vereinfachten IKT-Risikomanagementrahmens nach Titel III werden Größe und Gesamtrisikoprofil des Finanzunternehmens sowie die Art und der Umfang seiner Dienstleistungen, Tätigkeiten und Geschäfte und die Elemente berücksichtigt, die deren Komplexität erhöhen oder verringern, darunter:
a)
Verschlüsselung und Kryptografie;
b)
IKT-Betriebssicherheit;
c)
Netzwerksicherheit;
d)
IKT-Projekt- und -Änderungsmanagement;
e)
die potenziellen Auswirkungen des IKT-Risikos auf die Vertraulichkeit, Integrität und Verfügbarkeit von Daten sowie von Störungen, die die Kontinuität und Verfügbarkeit der Tätigkeiten des Finanzunternehmens beeinträchtigen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.006ProportionalitätsprinzipS
Proportionalitätsprinzip
Das Finanzunternehmen soll die DORA-Anforderungen verhältnismäßig umsetzen und bei der Entwicklung und Implementierung von IKT-Sicherheitsrichtlinien, -verfahren, -protokollen und -tools die Größe des Finanzunternehmens, das Gesamtrisikoprofil sowie die Komplexität der Dienstleistungen, Aktivitäten und Geschäftsprozesse berücksichtigen.
Die Überlegungen, die zur verhältnismäßigen Ausgestaltung geführt haben, sollten dokumentiert werden, zum Beispiel als Begründung in der jeweiligen Richtlinie oder im Bericht zur Überprüfung des IKT-Risikomanagementrahmens, damit das Finanzunternehmen in Prüfungsgesprächen auskunftsfähig ist.
zuletzt geändert am 22.09.2026
IKT-Risikomanagementrahmen: Proportionalität und VerhältnismäßigkeitF
Das Verhältnismäßigkeitsprofil: vier Parameter, zwölf KenngrößenF
Die Stufung (1): Größe und GesamtrisikoprofilF
Die Stufung (2): Art, Umfang und KomplexitätF
Die Kreuzung: Art × UmfangF
Zehn Stellschrauben der AusgestaltungF
Automatisierungsgrad und WerkzeugunterstützungF
Musterbank eG: BeispielprofilF
DORA-Schulungsfolien
Gesamtrisikoprofil, IKT-Risikoprofil und Gesamtrisikoprofil von IKT-Assets: Drei Risikoprofile und woher jedes kommtF
Gesamtrisikoprofil, IKT-Risikoprofil und Gesamtrisikoprofil von IKT-Assets: Wo DORA die drei Risikoprofile verwendetF
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 2
Artikel 2
Allgemeine Elemente der Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen stellen sicher, dass ihre IKT-Sicherheitsrichtlinien, die Informationssicherheit und die damit verbundenen Verfahren, Protokolle und Tools nach Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 in ihren IKT-Risikomanagementrahmen eingebettet sind. Die Finanzunternehmen legen Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit nach diesem Kapitel fest, die
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Informationssicherheitsleitlinie
D06.003Themenspezifische IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -ToolsS
Themenspezifische IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools
Das Finanzunternehmen soll themenspezifische IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools erstellen und umsetzen; der Fokus soll dabei auf kritischen und wichtigen Funktionen (kwF) liegen.
Um die Umsetzung sicherzustellen, sollte die Anforderung in die schriftlich fixierte Ordnung aufgenommen werden, zum Beispiel in die Informationssicherheitsleitlinie (siehe ).
zuletzt geändert am 22.09.2026
Informationssicherheitsleitlinie: die IKT-SicherheitsrichtlinienF
Informationssicherheitsleitlinie: die IKT-SicherheitsverfahrenF
D06.006Verhältnismäßigkeit der IKT-Sicherheitsrichtlinien nach Größe und RisikoprofilS
Verhältnismäßigkeit der IKT-Sicherheitsrichtlinien nach Größe und Risikoprofil
Das Finanzunternehmen soll bei der Erstellung und Implementierung von IKT-Sicherheitsrichtlinien sowie zugehörigen Verfahren und IKT-Sicherheitstools seine Größe, sein Risikoprofil und die Komplexität seiner Dienstleistungen, Aktivitäten und Geschäftstätigkeiten berücksichtigen.
Um die Umsetzung sicherzustellen, sollte die Anforderung in die schriftlich fixierte Ordnung aufgenommen werden, zum Beispiel in die Informationssicherheitsleitlinie (siehe ).
zuletzt geändert am 22.09.2026
a)
die Netzwerksicherheit gewährleisten;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D09.001Erstellung einer Richtlinie für das Management der NetzwerksicherheitS
Erstellung einer Richtlinie für das Management der Netzwerksicherheit
Das Finanzunternehmen soll eine Richtlinie für das Management der Netzwerksicherheit entwickeln, dokumentieren und implementieren.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Netzwerksicherheitsrichtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
b)
Schutzvorkehrungen gegen Eindringen und Missbrauch von Daten umfassen;
DORA-Sollmaßnahmen
D14.002Verfahren zur Daten- und Systemsicherheit: Angriffserkennung und -präventionS
Verfahren zur Daten- und Systemsicherheit: Angriffserkennung und -prävention
Das Verfahren zur Daten- und Systemsicherheit soll Maßnahmen festlegen, mit denen unbefugtes Eindringen in IKT-Systeme erkannt und verhindert werden soll. Dazu gehören beispielsweise Vorgaben zum Einsatz von Intrusion-Detection- und Intrusion-Prevention-Systemen (IDS/IPS), wirksame Netzwerkfilter (beispielsweise Firewalls) sowie Monitoring-Kontrollen und Maßnahmen zur Erkennung unautorisierter Datenabflüsse (Data Leakage). Das Finanzunternehmen soll diese Maßnahmen umsetzen, zum Beispiel auch durch den Einsatz von SIEM-Systemen.
zuletzt geändert am 22.09.2026
c)
die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten wahren, einschließlich durch den Einsatz kryptografischer Techniken;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D08.001Erstellung einer Richtlinie für Verschlüsselung und kryptografische KontrollenS
Erstellung einer Richtlinie für Verschlüsselung und kryptografische Kontrollen
Das Finanzunternehmen soll eine Richtlinie für Verschlüsselung und kryptografische Kontrollen entwickeln, dokumentieren und implementieren.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Kryptografie-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
Kryptografie-Richtlinie (1/4): die drei DatenzuständeF
Kryptografie-Richtlinie (2/4): Standards und AusnahmenF
Kryptografie-Richtlinie (3/4): die Schlüssel selbstF
Kryptografie-Richtlinie (4/4): Ersatz und LebenszyklusF
D08.014Kryptografische Kontrollen gemäß Schutzbedarf/ RisikoS
Kryptografische Kontrollen gemäß Schutzbedarf/ Risiko
Das Finanzunternehmen soll kryptografische Techniken implementieren, um die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten entsprechend ihrem Schutzbedarf und dem bestehenden IKT-Risiko sicherzustellen.
zuletzt geändert am 22.09.2026
d)
eine präzise und rasche Datenübermittlung ohne wesentliche Störungen und unangemessene Verzögerungen gewährleisten.
DORA-Sollmaßnahmen
D09.002Richtlinie für das Management der Netzwerksicherheit: zuverlässige und zeitnahe DatenübermittlungS
Richtlinie für das Management der Netzwerksicherheit: zuverlässige und zeitnahe Datenübermittlung
Die Richtlinie für das Management der Netzwerksicherheit soll vorgeben, dass der Netzwerkbetrieb eine zuverlässige und zeitnahe Datenübermittlung gewährleistet und wesentliche Störungen oder unangemessene Verzögerungen vermeidet. Der Netzwerkbetrieb wird danach ausgelegt und überwacht.
zuletzt geändert am 22.09.2026
(2)
Die Finanzunternehmen stellen sicher, dass die in Absatz 1 genannten IKT-Sicherheitsrichtlinien
a)
auf die Ziele für die Informationssicherheit des Finanzunternehmens abgestimmt sind, die in der in Artikel 6 Absatz 8 der Verordnung (EU) 2022/2554 genannten Strategie für die digitale operationale Resilienz enthalten sind;
— keine Sollmaßnahme im Katalog zugeordnet
b)
das Datum der förmlichen Genehmigung der IKT-Sicherheitsrichtlinien durch das Leitungsorgan enthalten;
— keine Sollmaßnahme im Katalog zugeordnet
c)
Indikatoren und Maßnahmen für Folgendes umfassen:
i)
Überwachung der Implementierung der Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit,
ii)
Erfassung von Ausnahmen von dieser Implementierung,
iii)
Gewährleistung, dass bei Ausnahmen im Sinne von Ziffer ii die digitale operationale Resilienz des Finanzunternehmens sichergestellt ist;
— keine Sollmaßnahme im Katalog zugeordnet
d)
die Verantwortlichkeiten der Mitarbeiter auf allen Ebenen festlegen, um die IKT-Sicherheit des Finanzunternehmens zu gewährleisten;
— keine Sollmaßnahme im Katalog zugeordnet
e)
die Folgen einer Nichteinhaltung der IKT-Sicherheitsrichtlinien durch Mitarbeiter des Finanzunternehmens spezifizieren, sofern einschlägige Bestimmungen nicht in anderen Richtlinien des Finanzunternehmens enthalten sind;
DORA-Sollmaßnahmen
D06.025Maßregelung bei Verstößen gegen IKT-SicherheitsrichtlinienS
Maßregelung bei Verstößen gegen IKT-Sicherheitsrichtlinien
Das Finanzunternehmen soll sicherstellen, dass die Nichteinhaltung von IKT-Sicherheitsrichtlinien nach den in den IKT-Sicherheitsrichtlinien festgelegten Folgen und dem dort vorgesehenen Maßregelungsprozess gehandhabt wird.
Die Folgen der Nichteinhaltung sollten entweder in jeder IKT-Sicherheitsrichtlinie stehen oder alternativ an einer zentralen Stelle geregelt sein, zum Beispiel in der Personalsicherheitsrichtlinie oder in arbeitsrechtlichen Regelwerken, auf die die Richtlinien verweisen.
zuletzt geändert am 22.09.2026
f)
ein Verzeichnis der erforderlichen Dokumentation umfassen;
— keine Sollmaßnahme im Katalog zugeordnet
g)
die Regelungen für die Aufgabentrennung nach dem Modell der drei Verteidigungslinien oder gegebenenfalls einem anderen internen Modell für Risikomanagement und Kontrolle spezifizieren, um Interessenkonflikte zu vermeiden;
— keine Sollmaßnahme im Katalog zugeordnet
h)
führende Praktiken und gegebenenfalls Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 berücksichtigen;
— keine Sollmaßnahme im Katalog zugeordnet
i)
die Aufgaben und Verantwortlichkeiten für die Entwicklung, Implementierung und Aufrechterhaltung von Richtlinien, Verfahren, Protokollen und Tools für IKT-Sicherheit festlegen;
— keine Sollmaßnahme im Katalog zugeordnet
j)
im Einklang mit Artikel 6 Absatz 5 der Verordnung (EU) 2022/2554 überprüft werden;
— keine Sollmaßnahme im Katalog zugeordnet
k)
wesentliche Änderungen in Bezug auf das Finanzunternehmen, einschließlich wesentlicher Änderungen der Tätigkeiten oder Prozesse des Finanzunternehmens, der Cyberbedrohungslage oder der geltenden rechtlichen Verpflichtungen, berücksichtigen.
— keine Sollmaßnahme im Katalog zugeordnet
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.031Formale Anforderungen an IKT-SicherheitsrichtlinienS
Formale Anforderungen an IKT-Sicherheitsrichtlinien
Die IKT-Sicherheitsrichtlinien sollen einheitlichen formalen Mindestanforderungen genügen. Sie sollen enthalten:
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- das Datum der förmlichen Genehmigung durch das Leitungsorgan
- Indikatoren und Maßnahmen zur Überwachung der Umsetzung von IKT-Sicherheitsrichtlinien, -verfahren, -protokollen und -tools, zur Erfassung von Ausnahmen sowie zur Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden auf allen Ebenen für die IKT-Sicherheit
- Ausführungen zu den Folgen einer Nichteinhaltung durch Mitarbeitende, einschließlich des vorgesehenen Maßregelungsprozesses
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Regelungen zur Aufgabentrennung nach dem Drei-Linien-Modell oder einem anderen internen Modell für Risikomanagement und Kontrolle, um Interessenkonflikte zu vermeiden
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen
- Ausführungen zu den Zuständigkeiten für Entwicklung, Implementierung und Pflege
- Ausführungen zu einem jährlichen sowie anlassbezogenen Überprüfungsturnus nach
- Ausführungen dazu, dass wesentliche Änderungen im Finanzunternehmen, an der Cyberbedrohungslage oder an den geltenden rechtlichen Verpflichtungen zu berücksichtigen sind
zuletzt geändert am 22.09.2026
Die IKT-Sicherheitsrichtlinien: eine Analogie zum StraßenverkehrF
Anforderungen an IKT-SicherheitsrichtlinienF
Anforderungen an IKT-Sicherheitsrichtlinien: Three-Lines-of-Defense-ModellF
Anforderungen an IKT-Sicherheitsrichtlinien: Rahmengebende und themenspezifische RichtlinienF
Die IKT-Sicherheitsrichtlinien: Wie viele IKT-Sicherheitsrichtlinien fordert DORA?F
Anforderungen an IKT-Sicherheitsrichtlinien: Wer schreibt die IKT-Sicherheitsrichtlinien?F
D17.001Erstellung einer IAM-RichtlinieS
Erstellung einer IAM-Richtlinie
Das Finanzunternehmen soll eine IAM-Richtlinie (Richtlinie für das Identitäts- und Berechtigungsmanagement, Identity and Access Management) entwickeln, dokumentieren und implementieren.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie zum Identitäts- und Berechtigungsmanagement: Die IAM-Richtlinie im DORA-TempelF
D20.001Erstellung einer IDV-RichtlinieS
Erstellung einer IDV-Richtlinie
Das Finanzunternehmen soll eine IDV-Richtlinie entwickeln, dokumentieren und implementieren, die nach einem risikobasierten Ansatz festlegt, wie die Anforderungen an die Beschaffung, Entwicklung und Wartung auf IKT-Systeme angewendet werden, die von Nutzern außerhalb der IKT-Funktion entwickelt oder betrieben werden (individuelle Datenverarbeitung, IDV), und die dabei einzuhaltenden internen Vorgaben konkretisiert.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
IDV-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D26.001Erstellung einer IKT-GeschäftsfortführungsleitlinieS
Erstellung einer IKT-Geschäftsfortführungsleitlinie
Das Finanzunternehmen soll eine IKT-Geschäftsfortführungsleitlinie entwickeln, dokumentieren und implementieren, die die organisatorischen und technischen Vorgaben zur Aufrechterhaltung und Wiederherstellung der IKT-gestützten Geschäftsprozesse und zugehörigen IKT-Assets umfasst. Die Leitlinie soll die Fortführung der IKT-gestützten Geschäftsprozesse als Bestandteil des übergreifenden BCM verankern. Sie kann als eigenständige spezielle Leitlinie verabschiedet werden, die fester Bestandteil der allgemeinen Geschäftsfortführungsleitlinie ist.
Die Leitlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Leitlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Leitlinie
zuletzt geändert am 22.09.2026
IKT-Geschäftsfortführungsleitlinie: Analogie zum NotfallmanagementF
IKT-Geschäftsfortführungsleitlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D06.001Erstellung einer InformationssicherheitsleitlinieS
Erstellung einer Informationssicherheitsleitlinie
Das Finanzunternehmen soll eine Informationssicherheitsleitlinie entwickeln und dokumentieren, die Vorgaben zum Schutz der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten, Informationswerten und IKT-Assets, einschließlich der Kundendaten, festlegt.
zuletzt geändert am 12.09.2026
Informationssicherheit: Eine Analogie zum VerkehrswesenF
Informationssicherheitsleitlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
Informationssicherheitsleitlinie: FormalesF
D06.002Informationssicherheitsleitlinie: Inhaltliche MindestanforderungenS
Informationssicherheitsleitlinie: Inhaltliche Mindestanforderungen
Die Informationssicherheitsleitlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Informationssicherheitsleitlinie: von der BAIT- zur DORA-FassungF
D21.024Erstellung einer KommunikationsleitlinieS
Erstellung einer Kommunikationsleitlinie
Das Finanzunternehmen soll eine Kommunikationsleitlinie (englisch „communication policies“) für IKT-bezogene Vorfälle entwickeln und implementieren.
Die Leitlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Kommunikationsleitlinie: Die Kommunikationsleitlinie im DORA-TempelF
D23.004Erstellung einer Leitlinie zur Nutzung von IKT-DienstleistungenS
Erstellung einer Leitlinie zur Nutzung von IKT-Dienstleistungen
Das Finanzunternehmen soll eine allgemeine Leitlinie zur Nutzung von IKT-Dienstleistungen entwickeln, dokumentieren und implementieren, die für alle IKT-Dienstleistungen gilt.
Die Leitlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Leitlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Leitlinie
zuletzt geändert am 22.09.2026
Leitlinie für die Nutzung von IKT-Dienstleistungen: eine oder zwei?F
Leitlinie zur Nutzung von IKT-Dienstleistungen: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D23.007Erstellung einer Leitlinie zur Nutzung von kwF-relevanten IKT-DienstleistungenS
Erstellung einer Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
Das Finanzunternehmen soll eine Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen entwickeln, dokumentieren und implementieren, die vom Leitungsorgan zu genehmigen und mindestens jährlich zu überprüfen und anzupassen ist.
Die Leitlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Leitlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Leitlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Leitlinie
zuletzt geändert am 22.09.2026
Leitlinie für die Nutzung von IKT-Dienstleistungen: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D16.001Erstellung einer Patch-Management-RichtlinieS
Erstellung einer Patch-Management-Richtlinie
Das Finanzunternehmen soll als Teil des IKT-Risikomanagementrahmens eine angemessene und umfassende Patch-Management-Richtlinie (Richtlinie für Patches und Updates) entwickeln, dokumentieren und implementieren.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Schwachstellen- und Patch-Management: Zwei Seiten einer MedailleF
Patch-Management-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D06.009Erstellung einer Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie)S
Erstellung einer Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie)
Das Finanzunternehmen soll die Aspekte der Personalsicherheit nach in einer Richtlinie regeln, entweder in einer eigenen Personalsicherheitsrichtlinie oder in anderen einschlägigen Richtlinien.
Führt das Finanzunternehmen eine eigene Personalsicherheitsrichtlinie, soll diese die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Personalsicherheitsrichtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D19.001Erstellung einer Richtlinie für das IKT-ProjektmanagementS
Erstellung einer Richtlinie für das IKT-Projektmanagement
Das Finanzunternehmen soll eine Richtlinie für das IKT-Projektmanagement entwickeln, dokumentieren und implementieren.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie zum IKT-Projektmanagement: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D18.001Erstellung einer Richtlinie für das IKT-ÄnderungsmanagementS
Erstellung einer Richtlinie für das IKT-Änderungsmanagement
Das Finanzunternehmen soll eine Richtlinie für das IKT-Änderungsmanagement entwickeln, dokumentieren und implementieren.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie zum IKT-Änderungsmanagement: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D22.001Erstellung einer Richtlinie für den sicheren IKT-BetriebS
Erstellung einer Richtlinie für den sicheren IKT-Betrieb
Das Finanzunternehmen soll eine Richtlinie für den sicheren IKT-Betrieb entwickeln, dokumentieren und implementieren, um darin die Anforderungen an Betrieb, Dokumentation, Überwachung, Kontrolle und Wiederherstellung von IKT-Systemen und IKT-Assets festzulegen.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie für den sicheren IKT-Betrieb: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
Verfahren für den IKT-Betrieb: Einordnung in die DokumentenhierarchieF
D21.001Erstellung einer Richtlinie für die Behandlung IKT-bezogener VorfälleS
Erstellung einer Richtlinie für die Behandlung IKT-bezogener Vorfälle
Das Finanzunternehmen soll eine Richtlinie für die Behandlung IKT-bezogener Vorfälle entwickeln, dokumentieren und implementieren.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie für IKT-bezogene Vorfälle: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D20.003Erstellung einer Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-SystemenS
Erstellung einer Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen
Das Finanzunternehmen soll eine Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen entwickeln, dokumentieren und implementieren.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: Eine Analogie zum VerkehrswesenF
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: Die Richtlinie für BeschaffungF
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen (1/2): Inhaltsübersicht (1)F
D15.001Erstellung einer Richtlinie für die physische SicherheitS
Erstellung einer Richtlinie für die physische Sicherheit
Das Finanzunternehmen soll eine Richtlinie für die physische Sicherheit entwickeln, dokumentieren und implementieren. Die Vorgaben der Richtlinie sollen die Bedrohungslage, die Schutzbedarfsklassifizierung der IKT-Assets und das Gesamtrisikoprofil der zugänglichen IKT- und Informationsassets berücksichtigen.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie zur physischen Sicherheit: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D04.001Erstellung einer Richtlinie zum IKT-AssetmanagementS
Erstellung einer Richtlinie zum IKT-Assetmanagement
Das Finanzunternehmen soll eine Richtlinie zum IKT-Assetmanagement entwickeln, dokumentieren und implementieren, die die Grundsätze für den Umgang mit IKT-Assets verbindlich festlegt.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Kontext des IKT-Assetmanagements
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben zum IKT-Assetmanagement zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Kontext des IKT-Assetmanagements
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus der Richtlinie zum IKT-Assetmanagement
zuletzt geändert am 22.09.2026
Richtlinie zum IKT-Assetmanagement: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
Richtlinie zum IKT-Assetmanagement: Was in die Assetmanagement-Richtlinie gehörtF
Richtlinie zum IKT-Assetmanagement (1/3): Rollen und Verantwortlichkeiten im AssetmanagementF
Richtlinie zum IKT-Assetmanagement (2/3): Rollen und Verantwortlichkeiten im AssetmanagementF
Richtlinie zum IKT-Assetmanagement (3/3): Rollen und Verantwortlichkeiten im AssetmanagementF
D05.001Erstellung einer Richtlinie zum IKT-RisikomanagementS
Erstellung einer Richtlinie zum IKT-Risikomanagement
Das Finanzunternehmen soll eine Richtlinie zum IKT-Risikomanagement entwickeln, dokumentieren und implementieren, die Vorgaben zur Überwachung von IKT-Risiken enthält und eine zeitnahe Erkennung von Änderungen des IKT-Risikoprofils ermöglicht.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
IKT-Risikomanagementrichtlinie: die Analogie zum VerkehrswesenF
IKT-Risikomanagementrichtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
IKT-Risikomanagementrichtlinie: FormalesF
IKT-Risikomanagementrichtlinie: Was in die IKT-Risikomanagementrichtlinie gehörtF
D06.014Erstellung einer Richtlinie zum Schutz von Informationen bei der ÜbermittlungS
Erstellung einer Richtlinie zum Schutz von Informationen bei der Übermittlung
Das Finanzunternehmen soll eine Richtlinie zum Schutz von Informationen bei der Übermittlung entwickeln, dokumentieren und implementieren, um die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der übermittelten Informationen sicherzustellen. Die Richtlinie sollte verschiedene Übertragungswege (darunter elektronische, physische und mündliche) berücksichtigen.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie zum Schutz von Informationen bei der Übermittlung: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
D11.001Erstellung einer Richtlinie zum Testen der digitalen operationalen ResilienzS
Erstellung einer Richtlinie zum Testen der digitalen operationalen Resilienz
Das Finanzunternehmen sollte eine Richtlinie zum Testen der digitalen operationalen Resilienz entwickeln, dokumentieren und implementieren, die das Programm zum Testen der digitalen operationalen Resilienz beschreibt.
Die Richtlinie sollte die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie zum Testen der digitalen operationalen Resilienz für Sicherheitstests: Die Sicherheitstest-Richtlinie im DORA-TempelF
D10.001Erstellung einer Richtlinie zur DatensicherungS
Erstellung einer Richtlinie zur Datensicherung
Das Finanzunternehmen soll eine IKT-Sicherheitsrichtlinie zur Datensicherung entwickeln, dokumentieren und implementieren, die verbindliche Vorgaben zur Sicherung und Wiederherstellung von IKT-Systemen und Daten festlegt.
Die Richtlinie soll die inhaltlichen Mindestanforderungen an IKT-Sicherheitsrichtlinien erfüllen. Das bedeutet, sie soll enthalten:
- das Datum der Genehmigung durch das Leitungsorgan
- einen Bezug zu den Zielen der Informationssicherheit nach der DOR-Strategie
- Regelungen zur Überwachung der Umsetzung sowie entsprechende Umsetzungsindikatoren
- Regelungen zum Umgang mit Ausnahmen und Abweichungen, einschließlich der Sicherstellung, dass die digitale operationale Resilienz auch bei Ausnahmen gewahrt bleibt
- Festlegungen zu den Verantwortlichkeiten der Mitarbeitenden im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Folgen einer Nichteinhaltung der Vorgaben (Sanktionierung)
- ein Verzeichnis der erforderlichen Dokumentation und Nachweise
- Ausführungen dazu, welche Funktionen im Sinne des Drei-Linien-Modells für die Umsetzung, Überwachung und Prüfung der Vorgaben dieser Richtlinie zuständig sind
- Ausführungen zu gegebenenfalls anwendbaren führenden Praktiken und anerkannten Normen im Regelungsbereich dieser Richtlinie
- Ausführungen zu den Zuständigkeiten für Entwicklung, Umsetzung und Pflege der IKT-Sicherheitsrichtlinie
- Ausführungen zu einem regelmäßigen jährlichen sowie anlassbezogenen Überprüfungsturnus dieser Richtlinie
zuletzt geändert am 22.09.2026
Richtlinie zur Datensicherung: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“F
↓ Die zugeordneten Sollmaßnahmen stehen unten in der Gesamtliste dieses Absatzes.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 3
Artikel 3
IKT-Risikomanagement
RTS IKT-Risikomanagement (2024/1774)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren Richtlinien und Verfahren für das IKT-Risikomanagement, die alle folgenden Elemente umfassen:
a)
einen Verweis auf die Genehmigung der nach Artikel 6 Absatz 8 Buchstabe b der Verordnung (EU) 2022/2554 festgelegten Risikotoleranzschwelle für IKT-Risiken;
DORA-Sollmaßnahmen
D05.002Richtlinie zum IKT-Risikomanagement: Verweis auf die RisikotoleranzschwelleS
b)
ein Verfahren und eine Methodik für die Durchführung der IKT-Risikobewertung, um Folgendes zu ermitteln:
i)
Schwachstellen und Bedrohungen, die die unterstützten Unternehmensfunktionen, die IKT-Systeme und die IKT-Assets, die diese Funktionen unterstützen, beeinträchtigen oder beeinträchtigen könnten,
ii)
die quantitativen oder qualitativen Indikatoren zur Messung der Auswirkungen und der Wahrscheinlichkeit eines Auftretens der unter Ziffer i genannten Schwachstellen und Bedrohungen;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Verfahren zur IKT-Risikobewertung
D05.006Erstellung eines Verfahrens zur IKT-RisikobewertungS
Verfahren zur IKT-Risikobewertung: Das Verfahren zur IKT-Risikobewertung in der Dokumentenhierarchie
Verfahren zur IKT-Risikobewertung: Wichtige Begriffe und Konzepte
Verfahren zur IKT-Risikobewertung: Zwölf IKT-Risikoanalysen, die DORA verlangt
Verfahren zur IKT-Risikobewertung: Drei Vorgaben über allen Risikoanalysen
D05.007Verfahren zur IKT-Risikobewertung: Identifikation von Schwachstellen und BedrohungenS
D05.008Verfahren zur IKT-Risikobewertung: Indikatoren für Auswirkung und EintrittswahrscheinlichkeitS
c)
das Verfahren zur Ermittlung, Implementierung und Dokumentation von Maßnahmen für die Behandlung von IKT-Risiken mit Blick auf die ermittelten und bewerteten IKT-Risiken, einschließlich der Festlegung von Maßnahmen für die Behandlung von IKT-Risiken, die erforderlich sind, um diese unter die Risikotoleranzschwelle nach Buchstabe a zu senken;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Verfahren zur IKT-Risikobehandlung
D05.009Erstellung eines Verfahrens zur IKT-RisikobehandlungS
IKT-Risikomanagementrichtlinie: der Risiko-Tacho
IKT-Risikomanagementrichtlinie: in der Risikomatrix verankern
Verfahren zur IKT-Risikobehandlung: unter die Toleranzschwelle
Verfahren zur IKT-Risikobehandlung: Was in das IKT-Risikobehandlungsverfahren gehört
Verfahren zur IKT-Risikobehandlung: Einordnung in die Dokumentenhierarchie
D14.020Verfahren zur IKT-Risikobehandlung: Katalog der IKT-SicherheitsmaßnahmenS
Das Gesamtrisikoprofil von IKT-Assets: Methodischer Ansatz auf Basis von Soll-Ist-Vergleichen
D05.015Wirksamkeitsüberwachung und interne Abgleiche durch die KontrollfunktionS
D14.021Umsetzung der IKT-SicherheitsmaßnahmenS
d)
für IKT-Restrisiken, die nach der Implementierung der Maßnahmen für die Behandlung von IKT-Risiken gemäß Buchstabe c weiter bestehen:
i)
Bestimmungen über die Ermittlung dieser IKT-Restrisiken,
ii)
die Zuweisung von Aufgaben und Verantwortlichkeiten mit Blick auf
1.
das Eingehen von IKT-Restrisiken, die die Risikotoleranzschwelle nach Buchstabe a des Finanzunternehmens überschreiten,
2.
das Überprüfungsverfahren gemäß Buchstabe d Ziffer iv,
iii)
die Erstellung eines Inventars der eingegangenen IKT-Restrisiken, einschließlich einer Begründung, weshalb sie eingegangen wurden,
iv)
Bestimmungen über die Überprüfung der eingegangenen IKT-Restrisiken, die mindestens einmal jährlich vorgenommen wird, einschließlich zur
1.
Ermittlung etwaiger Änderungen der IKT-Restrisiken,
2.
Bewertung der verfügbaren Abhilfemaßnahmen,
3.
Bewertung, ob die Gründe für das Eingehen der IKT-Restrisiken zum Zeitpunkt der Überprüfung noch gültig und anwendbar sind;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Verfahren zur IKT-Risikobehandlung
D05.010Verfahren zur IKT-Risikobehandlung: Identifizierung von IKT-RestrisikenS
Verfahren zur IKT-Risikobehandlung: Akzeptanz von IKT-Restrisiken
D05.011Verfahren zur IKT-Risikobehandlung: Rollen für das Eingehen von RestrisikenS
D05.012Verfahren zur IKT-Risikobehandlung: Überprüfungsverfahren eingegangener RestrisikenS
D05.013Verfahren zur IKT-Risikobehandlung: Führung des IKT-RisikoinventarsS
D05.014Verfahren zur IKT-Risikobehandlung: jährliche Überprüfung akzeptierter RestrisikenS
e)
Bestimmungen über die Überwachung
i)
jeglicher Änderungen der IKT-Risiken und der Cyberbedrohungslage,
ii)
interner und externer Schwachstellen und Bedrohungen,
iii)
des IKT-Risikos des Finanzunternehmens, damit Änderungen, die sich auf sein IKT-Risikoprofil auswirken könnten, rasch erkannt werden können;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie zum IKT-Risikomanagement
D05.001Erstellung einer Richtlinie zum IKT-RisikomanagementS
IKT-Risikomanagementrichtlinie: die Analogie zum Verkehrswesen
IKT-Risikomanagementrichtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
IKT-Risikomanagementrichtlinie: Formales
IKT-Risikomanagementrichtlinie: Was in die IKT-Risikomanagementrichtlinie gehört
Vorgabedokument: Verfahren für das Schwachstellenmanagement
D16.004Verfahren für das Schwachstellenmanagement: Überwachung der Bedrohungslage (Threat Intelligence)S
D16.005Verfahren für das Schwachstellenmanagement: Identifikation interner und externer SchwachstellenS
f)
Bestimmungen über ein Verfahren, mit dem sichergestellt wird, dass alle Änderungen der Geschäftsstrategie und der Strategie für die digitale operationale Resilienz des Finanzunternehmens berücksichtigt werden.
DORA-Sollmaßnahmen
D05.003Richtlinie zum IKT-Risikomanagement: Berücksichtigung von StrategieänderungenS
Für die Zwecke von Absatz 1 Buchstabe c stellt das dort genannte Verfahren sicher, dass
a)
die Wirksamkeit der implementierten Maßnahmen für die Behandlung von IKT-Risiken überwacht wird;
b)
bewertet wird, ob die festgelegten Risikotoleranzschwellen des Finanzunternehmens erreicht wurden;
c)
bewertet wird, ob das Finanzunternehmen tätig geworden ist, um diese Maßnahmen erforderlichenfalls zu korrigieren oder zu verbessern.
DORA-Schulungsfolien
Das IKT-Risikoprofil: Methodischer Ansatz auf Basis der EBA-Leitlinien
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 4
Artikel 4
Richtlinie für das Management von IKT-Assets
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools eine Richtlinie für das Management von IKT-Assets.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D04.001Erstellung einer Richtlinie zum IKT-AssetmanagementS
Richtlinie zum IKT-Assetmanagement: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Richtlinie zum IKT-Assetmanagement: Was in die Assetmanagement-Richtlinie gehört
Richtlinie zum IKT-Assetmanagement (1/3): Rollen und Verantwortlichkeiten im Assetmanagement
Richtlinie zum IKT-Assetmanagement (2/3): Rollen und Verantwortlichkeiten im Assetmanagement
Richtlinie zum IKT-Assetmanagement (3/3): Rollen und Verantwortlichkeiten im Assetmanagement
(2)
Die in Absatz 1 genannte Richtlinie für das Management von IKT-Assets enthält
DORA-Schulungsfolien
Richtlinie zum IKT-Assetmanagement: Was ins Inventar der IKT-Assets gehört
IT-Konfigurationsmanagement: die sieben Grundanforderungen
IT-Konfigurationsmanagement: die zwei neuen Angaben im Asset-Inventar
a)
Vorschriften für die Überwachung und das Management des Lebenszyklus von IKT-Assets, die gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 ermittelt und klassifiziert werden;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D04.004Richtlinie zum IKT-Assetmanagement: Lebenszyklussteuerung nach KritikalitätS
Lebenszyklusmanagement von IKT-Assets (1/7)
Lebenszyklusmanagement von IKT-Assets (2/7)
Lebenszyklusmanagement von IKT-Assets (3/7)
Lebenszyklusmanagement von IKT-Assets (4/7): Indikative Regelungsbereiche für die Phase „Inbetriebnahme“
Lebenszyklusmanagement von IKT-Assets (5/7)
Lebenszyklusmanagement von IKT-Assets (6/7): Indikative Regelungsbereiche für die Phase „Weiterentwicklung“
Lebenszyklusmanagement von IKT-Assets (7/7)
b)
Vorschriften, wonach das Finanzunternehmen in seinen Aufzeichnungen Folgendes erfasst:
i)
die eindeutige Kennung jedes IKT-Assets,
ii)
Informationen über den physischen oder logischen Standort aller IKT-Assets,
iii)
die Klassifizierung aller IKT-Assets gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2254,
iv)
die Identität der Eigentümer von IKT-Assets,
v)
die Unternehmensfunktionen oder -dienstleistungen, die durch das IKT-Asset unterstützt werden,
vi)
die für die IKT-Geschäftsfortführung geltenden Anforderungen, einschließlich der Vorgaben für die Wiederherstellungszeit und die Wiederherstellungspunkte,
vii)
die Möglichkeit eines Zugriffs auf das IKT-Asset über externe Netzwerke, einschließlich des Internets,
viii)
die Verbindungen und Interdependenzen zwischen IKT-Assets und den Unternehmensfunktionen, die die einzelnen IKT-Assets nutzen,
ix)
für alle IKT-Assets gegebenenfalls die Fristen bis zum Ende des Zeitraums, in dem die regelmäßigen, erweiterten und kundenspezifischen Unterstützungsdienstleistungen des IKT-Drittdienstleisters bereitgestellt werden und nach dem diese IKT-Assets nicht mehr von ihrem Anbieter oder einem IKT-Drittdienstleister unterstützt werden;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie zum IKT-Assetmanagement
D04.003Führung der Asset-Inventare (Pflichtelemente)S
Richtlinie zum IKT-Assetmanagement: Asset-Arten und Asset-Inventare
D04.005Richtlinie zum IKT-Assetmanagement: Dokumentation der eindeutigen Kennung je Asset im InventarS
D04.006Richtlinie zum IKT-Assetmanagement: Dokumentation des Standorts der Assets im InventarS
D04.007Richtlinie zum IKT-Assetmanagement: Dokumentation der Klassifizierung der Assets im InventarS
D04.008Richtlinie zum IKT-Assetmanagement: Dokumentation der Asset-Eigentümer im InventarS
D04.009Richtlinie zum IKT-Assetmanagement: Dokumentation der Wiederherstellungszeiten und -punkte im InventarS
D04.010Richtlinie zum IKT-Assetmanagement: Dokumentation der Erreichbarkeit über externe NetzeS
D04.011Richtlinie zum IKT-Assetmanagement: Interdependenzen Asset zu UnternehmensfunktionS
D04.012Richtlinie zum IKT-Assetmanagement: Enddaten der HerstellerunterstützungS
Vorgabedokument: Inventar der IKT-Assets
D04.030Inventar der IKT-Assets: Mindestinhalte je IKT-AssetS
c)
Vorschriften für Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, wonach diese Finanzunternehmen Aufzeichnungen über die Informationen führen, die für die Durchführung einer spezifischen IKT-Risikobewertung aller IKT-Altsysteme nach Artikel 8 Absatz 7 der Verordnung (EU) 2022/2554 erforderlich sind.
DORA-Sollmaßnahmen
D04.013Richtlinie zum IKT-Assetmanagement: Informationsbasis für Altsystem-RisikobewertungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 5
Artikel 5
Verfahren für das Management von IKT-Assets
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren ein Verfahren für das Management von IKT-Assets.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Verfahren zum IKT-Assetmanagement
D04.023Erstellung eines Verfahrens zum IKT-AssetmanagementS
Verfahrensanweisung zum (IKT-) Assetmanagement
Verfahren zum IKT-Assetmanagement: Einordnung in die Dokumentenhierarchie
D04.024Verfahren zum IKT-Assetmanagement: Methodik zur kwF-ErmittlungS
(2)
In dem in Absatz 1 genannten Verfahren für das Management von IKT-Assets werden die Kriterien festgelegt, nach denen die Bewertung der Kritikalität von Informationsassets und IKT-Assets, die Unternehmensfunktionen unterstützen, vorgenommen wird. Bei dieser Bewertung wird Folgendes berücksichtigt:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D04.025Verfahren zum IKT-Assetmanagement: Bewertung der Asset-KritikalitätS
Kritikalität von Assets: die Analogie zum Straßenverkehr
Kritikalität von Assets: Pflicht und Methodenrahmen
Kritikalität von (IKT-) Assets: Asset-Kritikalität aus Sicht der Aufsicht
Kritikalität von (IKT) Assets: Kritische und Nicht-kritische Assets
Kritikalität von (IKT-) Assets: Vererbung über den Verbund
Kritikalität von Assets: Kritische IKT-Systeme nach EBA/GL/2017/05
D04.035Klassifizierung von Geschäftsprozessen als kwFS
a)
das IKT-Risiko im Zusammenhang mit diesen Unternehmensfunktionen und deren Abhängigkeit von den Informationsassets oder IKT-Assets;
DORA-Sollmaßnahmen
D04.026Verfahren zum IKT-Assetmanagement: Berücksichtigung des IKT-Risikos bei der SchutzbedarfsklassifizierungS
b)
mögliche Auswirkungen des Verlusts der Vertraulichkeit, Integrität und Verfügbarkeit solcher Informationsassets und IKT-Assets auf die Geschäftsprozesse und -tätigkeiten der Finanzunternehmen.
DORA-Sollmaßnahmen
D04.027Verfahren zum IKT-Assetmanagement: Klassifizierung der Schutzbedarfe nach SchutzzielenS
DORA-Schulungsfolien
Ein Bild sagt mehr als 1000 Worte: eine Analogie zum Straßenverkehr
IKT-Konfigurationsmanagement: die Analogie zum Verkehrswesen
IT-Konfigurationsmanagement: die sieben Grundanforderungen
IT-Konfigurationsmanagement: die zwei neuen Angaben im Asset-Inventar
IKT-Konfigurationsmanagement: was die Aufsicht bisher erwartet hat
Erste Erkenntnisse aus DORA-Sonderprüfungen (1/3): Feststellungen im Zusammenhang mit dem IKT-Assetmanagement
Erste Erkenntnisse aus DORA-Sonderprüfungen (2/3): Feststellungen im Zusammenhang mit dem IKT-Assetmanagement
Erste Erkenntnisse aus DORA-Sonderprüfungen (3/3): Feststellungen im Zusammenhang mit dem IKT-Assetmanagement
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 6
Artikel 6
Verschlüsselung und kryptografische Kontrollen
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools eine Richtlinie für Verschlüsselung und kryptografische Kontrollen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D08.001Erstellung einer Richtlinie für Verschlüsselung und kryptografische KontrollenS
Kryptografie-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Kryptografie-Richtlinie (1/4): die drei Datenzustände
Kryptografie-Richtlinie (2/4): Standards und Ausnahmen
Kryptografie-Richtlinie (3/4): die Schlüssel selbst
Kryptografie-Richtlinie (4/4): Ersatz und Lebenszyklus
Kryptografie: die Analogie zum Verkehrswesen
Kryptografie: das Delta zur BAIT aus Sicht der BaFin
(2)
Die Finanzunternehmen konzipieren die in Absatz 1 genannte Richtlinie für Verschlüsselung und kryptografische Kontrollen auf der Grundlage der Ergebnisse einer genehmigten Datenklassifizierung sowie der IKT-Risikobewertung. Diese Richtlinie enthält Vorschriften zu allen folgenden Aspekten:
DORA-Sollmaßnahmen
D08.002Richtlinie für Verschlüsselung und kryptografische Kontrollen: differenzierte Verschlüsselungsvorgaben nach SchutzbedarfS
D08.014Kryptografische Kontrollen gemäß Schutzbedarf/ RisikoS
a)
Verschlüsselung von Daten, die gespeichert sind oder gerade übermittelt werden;
DORA-Sollmaßnahmen
D08.003Richtlinie für Verschlüsselung und kryptografische Kontrollen: Verschlüsselung von data at rest und in transitS
b)
Verschlüsselung von Daten, die gerade verwendet werden, soweit erforderlich;
DORA-Sollmaßnahmen
D08.004Richtlinie für Verschlüsselung und kryptografische Kontrollen: Verschlüsselung von data in useS
c)
Verschlüsselung der internen Netzwerkverbindungen und der Datenübermittlungen mit externen Parteien;
DORA-Sollmaßnahmen
D08.005Richtlinie für Verschlüsselung und kryptografische Kontrollen: Verschlüsselung interner und externer VerbindungenS
d)
Management kryptografischer Schlüssel nach Artikel 7, um die Regeln für die korrekte Verwendung, den Schutz und den Lebenszyklus kryptografischer Schlüssel festzulegen.
DORA-Sollmaßnahmen
D08.006Richtlinie für Verschlüsselung und kryptografische Kontrollen: Management kryptografischer SchlüsselS
Ist eine Verschlüsselung gerade verwendeter Daten nicht möglich, verarbeiten die Finanzunternehmen für die Zwecke von Buchstabe b gerade verwendete Daten in einer getrennten und geschützten Umgebung oder ergreifen gleichwertige Maßnahmen, um die Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit der Daten zu gewährleisten.
(3)
Die Finanzunternehmen nehmen in die in Absatz 1 genannte Richtlinie für Verschlüsselung und kryptografische Kontrollen Kriterien für die Auswahl kryptografischer Techniken und Nutzungspraktiken auf, wobei führende Praktiken und Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 sowie die Klassifizierung einschlägiger IKT-Assets gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 zu berücksichtigen sind. Finanzunternehmen, die nicht in der Lage sind, die führenden Praktiken oder Normen einzuhalten oder die zuverlässigsten Techniken anzuwenden, ergreifen Abhilfe- und Überwachungsmaßnahmen, die die Resilienz gegenüber Cyberbedrohungen gewährleisten.
DORA-Sollmaßnahmen
D08.007Richtlinie für Verschlüsselung und kryptografische Kontrollen: Auswahl kryptografischer TechnikenS
(4)
Die Finanzunternehmen nehmen in die in Absatz 1 genannte Richtlinie für Verschlüsselung und kryptografische Kontrollen Bestimmungen auf, in denen geregelt ist, wie die kryptografische Technologie aufgrund von Entwicklungen im Bereich der Kryptoanalyse gegebenenfalls zu aktualisieren oder zu ändern ist. Mit solchen Aktualisierungen oder Änderungen wird sichergestellt, dass die kryptografische Technologie nach Maßgabe von Artikel 10 Absatz 2 Buchstabe a gegen Cyberbedrohungen resilient bleibt. Finanzunternehmen, die nicht in der Lage sind, die kryptografische Technologie zu aktualisieren oder zu ändern, ergreifen Abhilfe- und Überwachungsmaßnahmen, die die Resilienz gegenüber Cyberbedrohungen sicherstellen.
DORA-Sollmaßnahmen
D08.008Richtlinie für Verschlüsselung und kryptografische Kontrollen: Aktualisierung an Kryptoanalyse und Post-QuantumS
(5)
Die Finanzunternehmen nehmen in die in Absatz 1 genannte Richtlinie für Verschlüsselung und kryptografische Kontrollen eine Anforderung auf, nach der die Annahme von Abhilfe- und Überwachungsmaßnahmen im Einklang mit den Absätzen 3 und 4 aufzuzeichnen und zu begründen ist.
DORA-Sollmaßnahmen
D08.009Richtlinie für Verschlüsselung und kryptografische Kontrollen: Dokumentation von AbweichungenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 7
Artikel 7
Management kryptografischer Schlüssel
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen nehmen in die in Artikel 6 Absatz 2 Buchstabe d genannte Richtlinie für das Management kryptografischer Schlüssel Anforderungen auf, die für das Management kryptografischer Schlüssel über ihren gesamten Lebenszyklus hinweg gelten, einschließlich mit Blick auf die Generierung, Erneuerung, Speicherung, Sicherung, Archivierung, den Abruf, die Übermittlung, Rücknahme, den Widerruf und die Vernichtung dieser kryptografischen Schlüssel.
DORA-Sollmaßnahmen
D08.010Richtlinie für Verschlüsselung und kryptografische Kontrollen: Lebenszyklus kryptografischer SchlüsselS
(2)
Die Finanzunternehmen ermitteln und implementieren Kontrollen, um kryptografische Schlüssel während ihres gesamten Lebenszyklus vor Verlust, unbefugtem Zugriff, Offenlegung und Änderung zu schützen. Die Finanzunternehmen konzipieren diese Kontrollen auf der Grundlage der Ergebnisse der genehmigten Datenklassifizierung und der IKT-Risikobewertung.
DORA-Sollmaßnahmen
D08.011Schutz kryptografischer SchlüsselS
(3)
Die Finanzunternehmen entwickeln und implementieren Methoden, um die kryptografischen Schlüssel im Verlustfall oder bei Beeinträchtigungen oder Beschädigungen dieser Schlüssel auszutauschen.
DORA-Sollmaßnahmen
D08.015Austausch kompromittierter kryptografischer SchlüsselS
(4)
Die Finanzunternehmen erstellen und führen für mindestens diejenigen IKT-Assets, die kritische oder wichtige Funktionen unterstützen, ein Register aller Zertifikate und Zertifikatspeicher. Die Finanzunternehmen halten dieses Register auf dem neuesten Stand.
DORA-Sollmaßnahmen
D08.012Zertifikatsregister für kwF-AssetsS
(5)
Die Finanzunternehmen stellen sicher, dass die Zertifikate vor Ablauf unverzüglich erneuert werden.
DORA-Sollmaßnahmen
D08.013Rechtzeitige Erneuerung von ZertifikatenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 8
Artikel 8
Richtlinien und Verfahren für IKT-Vorgänge
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools Richtlinien und Verfahren für das Management der IKT-Vorgänge. In diesen Richtlinien und Verfahren wird festgelegt, wie Finanzunternehmen ihre IKT-Assets betreiben, überwachen, kontrollieren und wiederherstellen, einschließlich der Dokumentation der IKT-Vorgänge.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D22.001Erstellung einer Richtlinie für den sicheren IKT-BetriebS
Richtlinie für den sicheren IKT-Betrieb: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Verfahren für den IKT-Betrieb: Einordnung in die Dokumentenhierarchie
D22.025Erstellung von Verfahren für den IKT-BetriebS
Sicherer IKT-Betrieb: Eine Analogie zum Verkehrswesen
Richtlinie IKT-Betriebssicherheit (1/2): Indikative Inhalte
Richtlinie IKT-Betriebssicherheit (2/2): Indikative Inhalte
Richtlinie für den sicheren IKT-Betrieb: die Handlungsbereiche
(2)
Die in Absatz 1 genannten Richtlinien und Verfahren für IKT-Vorgänge enthalten alle folgenden Elemente:
a)
eine Beschreibung der IKT-Assets, einschließlich aller folgenden Elemente:
i)
Anforderungen an die sichere Installation, Wartung, Konfiguration und Deinstallation eines IKT-Systems,
ii)
Anforderungen an das Management von Informationsassets, die von IKT-Assets genutzt werden, einschließlich ihrer automatisierten und manuellen Verarbeitung und Behandlung,
iii)
Anforderungen an die Ermittlung und Kontrolle von IKT-Altsystemen;
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie zum IKT-Assetmanagement
D04.014Richtlinie zum IKT-Assetmanagement: Beschreibung der Assets in betrieblichen AufzeichnungenS
Vorgabedokument: Richtlinie für den sicheren IKT-Betrieb
D06.020Richtlinie für den sicheren IKT-Betrieb: Umgang mit InformationswertenS
D22.002Richtlinie für den sicheren IKT-Betrieb: Installation, Härtung und DeinstallationS
D22.003Richtlinie für den sicheren IKT-Betrieb: Umgang mit DatenverarbeitungS
D22.004Richtlinie für den sicheren IKT-Betrieb: Steuerung von IKT-AltsystemenS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D04.032Identifikation und Kontrolle von IKT-AltsystemenS
b)
Kontrollen und Überwachung für IKT-Systeme, einschließlich aller folgenden Elemente:
i)
Anforderungen an die Sicherung und Wiederherstellung von IKT-Systemen,
ii)
Anforderungen an zeitliche Abläufe unter Berücksichtigung der Interdependenzen zwischen den IKT-Systemen,
iii)
Protokolle für Prüfpfad- und Systemprotokollinformationen,
iv)
Anforderungen, mit denen sichergestellt wird, dass bei der Durchführung einer internen Prüfung und anderer Tests Störungen des Geschäftsbetriebs minimiert werden,
v)
Anforderungen an die Trennung von IKT-Produktionsumgebungen von Entwicklungs-, Test- und anderen Nicht-Produktionsumgebungen,
vi)
Anforderungen hinsichtlich der Durchführung von Entwicklungs- und Testtätigkeiten in Umgebungen, die von der Produktionsumgebung getrennt sind,
vii)
Anforderungen im Zusammenhang mit Situationen, in denen die Entwicklungs- und Testtätigkeiten in Produktionsumgebungen durchgeführt werden;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie für den sicheren IKT-Betrieb
D22.007Richtlinie für den sicheren IKT-Betrieb: Wartung und DatensicherungS
D22.010Richtlinie für den sicheren IKT-Betrieb: Trennung von Produktions- und NichtproduktionsumgebungenS
D22.005Richtlinie für den sicheren IKT-Betrieb: Entwicklung und Test außerhalb der ProduktionS
D22.006Richtlinie für den sicheren IKT-Betrieb: Tests in Produktion nur ausnahmsweiseS
D22.008Richtlinie für den sicheren IKT-Betrieb: Audit-Trails und System-LogsS
D22.009Richtlinie für den sicheren IKT-Betrieb: Resilienztests im BetriebS
Vorgabedokument: Richtlinie zur Datensicherung
D10.001Erstellung einer Richtlinie zur DatensicherungS
Richtlinie zur Datensicherung: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D10.003Richtlinie zur Datensicherung: zeitliche Abläufe und AbhängigkeitenS
D10.004Richtlinie zur Datensicherung: Ermittlung der SicherungsanforderungenS
Vorgabedokument: Verfahren zur Datensicherung (Backup-Verfahren)
D10.009Verfahren zur Datensicherung: Backup-Art, Intervalle und AufbewahrungS
D10.010Verfahren zur Datensicherung: Zeitplan und Job-Reihenfolge unter AbhängigkeitenS
Vorgabedokument: Protokollierungsverfahren
D13.002Protokollierungsverfahren: Audit-Trails und System-LogsS
Vorgabedokument: Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen
D20.004Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Trennung von Produktions- und NichtproduktionsumgebungenS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D03.011Prüfung von IKT-SystemenS
D13.017Protokollierung von Audit-Trails und System LogsS
c)
Fehlerbehandlung bei IKT-Systemen, einschließlich aller folgenden Elemente:
i)
Verfahren und Protokolle für die Fehlerbehandlung,
ii)
Unterstützung und Ansprechpartner im Eskalationsfall, einschließlich externer Ansprechpartner für die Unterstützung im Falle unerwarteter operationaler oder technischer Probleme,
iii)
Verfahren für den Neustart, das Zurücksetzen und die Wiederherstellung von IKT-Systemen im Falle einer Störung des IKT-Systems.
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für den sicheren IKT-Betrieb
D22.011Richtlinie für den sicheren IKT-Betrieb: Fehlerbehandlung bei IKT-SystemenS
D22.012Richtlinie für den sicheren IKT-Betrieb: Support- und EskalationskontakteS
D22.013Richtlinie für den sicheren IKT-Betrieb: Neustart-, Reset- und WiederherstellungsverfahrenS
Für die Zwecke von Buchstabe b Ziffer v werden bei der Trennung alle Komponenten der Umgebung berücksichtigt, einschließlich Konten, Daten oder Verbindungen, wie in Artikel 13 Absatz 1 Buchstabe a festgelegt.
Für die Zwecke von Buchstabe b Ziffer vii ist in den in Absatz 1 genannten Richtlinien und Verfahren vorzusehen, dass die Fälle, in denen Tests in einer Produktionsumgebung durchgeführt werden, eindeutig zu identifizieren, zu begründen und zeitlich zu begrenzen sind und von der betreffenden Funktion im Einklang mit Artikel 16 Absatz 6 genehmigt werden. Die Finanzunternehmen stellen während der Entwicklungs- und Testtätigkeiten in der Produktionsumgebung die Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität von IKT-Systemen und -Produktionsdaten sicher.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D22.026Erstellung und Mindestinhalte der BetriebskonzepteS
Dokumentationen im Kontext „sicherer IKT-Betrieb“ (1/2): Was in ein Betriebskonzept gehört
Dokumentationen im Kontext „sicherer IKT-Betrieb“ (2/2): Was in ein Betriebskonzept gehört
Betriebskonzepte: zwei Arten von Protokollen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 9
Artikel 9
Kapazitäts- und Leistungsmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools Verfahren für das Kapazitäts- und Leistungsmanagement, die Folgendes betreffen:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D22.019Erstellung eines Verfahrens für das Kapazitäts- und LeistungsmanagementS
VAW Kapazitäts- & Leistungsmanagement
Verfahren für das Kapazitäts- und Leistungsmanagement: Einordnung in die Dokumentenhierarchie
Monitoring, Verfügbarkeits-, Kapazitäts- & Leistungsmanagement: Eine Analogie zum Verkehrswesen
Kapazitäts- und Leistungsmanagement: Die bisherige Erwartungshaltung der Aufsicht
a)
die Ermittlung der Anforderungen an die Kapazität ihrer IKT-Systeme,
DORA-Sollmaßnahmen
D22.020Verfahren für das Kapazitäts- und Leistungsmanagement: Ermittlung des KapazitätsbedarfsS
b)
die Anwendung von Methoden zur Ressourcenoptimierung,
DORA-Sollmaßnahmen
D22.021Verfahren für das Kapazitäts- und Leistungsmanagement: Methoden zur RessourcenoptimierungS
c)
Überwachungsverfahren, um Folgendes aufrechtzuerhalten und zu verbessern:
i)
die Verfügbarkeit von Daten und IKT-Systemen,
ii)
die Effizienz der IKT-Systeme,
iii)
die Verhinderung von IKT-Kapazitätsengpässen.
DORA-Sollmaßnahmen
D22.022Verfahren für das Kapazitäts- und Leistungsmanagement: Kontrollen gegen KapazitätsengpässeS
(2)
Durch die in Absatz 1 genannten Verfahren für das Kapazitäts- und Leistungsmanagement wird sichergestellt, dass die Finanzunternehmen geeignete Maßnahmen ergreifen, um den Besonderheiten von IKT-Systemen mit langen oder komplexen Beschaffungs- oder Genehmigungsverfahren oder von ressourcenintensiven IKT-Systemen Rechnung zu tragen.
DORA-Sollmaßnahmen
D22.023Verfahren für das Kapazitäts- und Leistungsmanagement: Vorsorge bei langen BeschaffungsprozessenS
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D22.026Erstellung und Mindestinhalte der BetriebskonzepteS
Dokumentationen im Kontext „sicherer IKT-Betrieb“ (1/2): Was in ein Betriebskonzept gehört
Dokumentationen im Kontext „sicherer IKT-Betrieb“ (2/2): Was in ein Betriebskonzept gehört
Betriebskonzepte: zwei Arten von Protokollen
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 10
Artikel 10
Schwachstellen- und Patch-Management
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools Verfahren für das Schwachstellen-Management.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D16.003Erstellung eines Verfahrens für das SchwachstellenmanagementS
Schwachstellen- und Patch Management: die Analogie zum Verkehrswesen
Schwachstellen- und Patch Management: Einordnung in die Dokumentenhierarchie
Schwachstellen- und Patch Management: was DORA neu verlangt
(2)
Die in Absatz 1 genannten Verfahren für das Schwachstellen-Management sorgen dafür, dass
DORA-Schulungsfolien
Verfahren zum Schwachstellen-Management (1/3): überwachen und scannen
Verfahren zum Schwachstellen-Management (2/3): Dienstleister, Bibliotheken
Verfahren zum Schwachstellen-Management (3/3): offenlegen und beheben
a)
relevante und vertrauenswürdige Informationsressourcen ermittelt und aktualisiert werden, um für Schwachstellen zu sensibilisieren und das Bewusstsein dafür aufrechtzuerhalten,
DORA-Sollmaßnahmen
D16.006Verfahren für das Schwachstellenmanagement: Genutzte InformationsquellenS
b)
die Durchführung automatisierter Schwachstellenbewertungen und -scans bei IKT-Assets gewährleistet und dabei sichergestellt wird, dass deren Häufigkeit und Umfang der im Einklang mit Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegten Klassifizierung und dem Gesamtrisikoprofil des IKT-Assets entsprechen,
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D16.007Verfahren für das Schwachstellenmanagement: Automatisierte Scans (kwF mindestens wöchentlich)S
Verfahren zum Schwachstellen-Management: Die Aufsichtsperspektive
D23.063kwF-relevante Vertragsinhalte: Wöchentliche automatisierte SchwachstellenscansS
c)
überprüft wird, ob
i)
IKT-Drittdienstleister Schwachstellen angehen, die im Zusammenhang mit den IKT-Dienstleistungen für das Finanzunternehmen stehen,
ii)
diese Dienstleister dem Finanzunternehmen zumindest die kritischen Schwachstellen und Statistiken und Trends zeitnah melden;
DORA-Sollmaßnahmen
D16.008Verfahren für das Schwachstellenmanagement: Steuerung der Schwachstellen bei IKT-DrittdienstleisternS
D23.052Allgemeine Vertragsinhalte: Schwachstellenbehandlung und -meldungS
D25.012Schwachstellenmeldungen und Ursachenanalyse beim IKT-DrittdienstleisterS
d)
nachverfolgt wird, wie Folgendes verwendet wird:
i)
Bibliotheken Dritter, einschließlich Open-Source-Bibliotheken, die für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen genutzt werden,
ii)
IKT-Dienstleistungen, die das Finanzunternehmen selbst entwickelt hat oder von einem IKT-Drittdienstleister speziell für das Finanzunternehmen angepasst oder entwickelt wurden;
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie zum IKT-Assetmanagement
D04.015Richtlinie zum IKT-Assetmanagement: Nachverfolgung von Drittanbieter- und Open-Source-BibliothekenS
D04.020Inventar der IKT-Assets und physischen InfrastrukturenS
Vorgabedokument: Verfahren für das Schwachstellenmanagement
D16.009Verfahren für das Schwachstellenmanagement: Nachverfolgung von Drittanbieter-BibliothekenS
Vorgabedokument: Allgemeine Vertragsinhalte
D23.053Allgemeine Vertragsinhalte: Umgang mit Drittanbieter-BibliothekenS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D25.019Verzeichnis und Überwachung von Drittbibliotheken beim IKT-DrittdienstleisterS
e)
Verfahren für die verantwortungsvolle Offenlegung von Schwachstellen gegenüber Kunden, Gegenparteien und der Öffentlichkeit festgelegt werden,
DORA-Sollmaßnahmen
D16.010Verfahren für das Schwachstellenmanagement: Verantwortungsvolle OffenlegungS
f)
die Einführung von Patches und anderen Abhilfemaßnahmen priorisiert wird, um die ermittelten Schwachstellen zu beheben,
DORA-Sollmaßnahmen
D16.011Verfahren für das Schwachstellenmanagement: Priorisierte Patch-AusbringungS
g)
die Behebung von Schwachstellen überwacht und geprüft wird,
DORA-Sollmaßnahmen
D16.012Verfahren für das Schwachstellenmanagement: Überwachung und Prüfung der BehebungS
h)
eine Aufzeichnung aller festgestellten Schwachstellen, die IKT-Systeme betreffen, und die Überwachung der Behebung dieser Schwachstellen verlangt werden.
DORA-Sollmaßnahmen
D16.013Verfahren für das Schwachstellenmanagement: Protokollierung festgestellter SchwachstellenS
Für die Zwecke von Buchstabe b führen die Finanzunternehmen die automatisierten Schwachstellenbewertungen und -scans für IKT-Assets bei IKT-Assets, die kritische oder wichtige Funktionen unterstützen, mindestens einmal wöchentlich durch.
Für die Zwecke von Buchstabe c fordern die Finanzunternehmen IKT-Drittdienstleister auf, die einschlägigen Schwachstellen zu untersuchen, die Ursachen zu ermitteln und geeignete Abhilfemaßnahmen zu ergreifen.
Für die Zwecke von Buchstabe d überwachen die Finanzunternehmen, gegebenenfalls in Zusammenarbeit mit dem IKT-Drittdienstleister, die aktuelle Version der Bibliotheken Dritter sowie mögliche Aktualisierungen. Was gebrauchsfertige (Standard-)IKT-Assets oder Komponenten von IKT-Assets betrifft, die für die Ausführung von IKT-Dienstleistungen erworben und verwendet werden, die keine kritischen oder wichtigen Funktionen unterstützen, wird die Nutzung von Bibliotheken Dritter, einschließlich Open-Source-Bibliotheken, von den Finanzunternehmen soweit wie möglich nachverfolgt.
Für die Zwecke von Buchstabe f berücksichtigen die Finanzunternehmen die Kritikalität der Schwachstelle, die im Einklang mit Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegte Klassifizierung sowie das Risikoprofil der IKT-Assets, die von den ermittelten Schwachstellen betroffen sind.
(3)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools Verfahren für das Patch-Management.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D16.014Erstellung eines Verfahrens für das Patch-ManagementS
Verfahren zum Patch-Management
(4)
Die in Absatz 3 genannten Verfahren für das Patch-Management dienen dazu,
a)
soweit möglich verfügbare Software- und Hardware-Patches und -Aktualisierungen mithilfe automatisierter Tools zu ermitteln und zu bewerten;
DORA-Sollmaßnahmen
D16.015Verfahren für das Patch-Management: Automatisierte Ermittlung und Bewertung von PatchesS
b)
Notfallverfahren für das Patching und die Aktualisierung von IKT-Assets zu ermitteln;
DORA-Sollmaßnahmen
D16.016Verfahren für das Patch-Management: Notfallverfahren für kritisches PatchingS
c)
Software- und Hardware-Patches und die Aktualisierungen gemäß Artikel 8 Absatz 2 Buchstabe b Ziffern v, vi und vii zu testen und einzuführen;
DORA-Sollmaßnahmen
D16.017Verfahren für das Patch-Management: Test vor Einführung in getrennter UmgebungS
d)
Fristen für die Installation von Software- und Hardware-Patches und von Aktualisierungen zu setzen sowie Eskalationsverfahren für den Fall festzulegen, dass diese Fristen nicht eingehalten werden können.
DORA-Sollmaßnahmen
D16.018Verfahren für das Patch-Management: Installationsfristen und EskalationS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 11
Artikel 11
Daten- und Systemsicherheit
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der in Artikel 9 Absatz 2 der Verordnung (EU) 2022/2554 genannten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools ein Verfahren für die Daten- und Systemsicherheit.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D14.001Erstellung eines Verfahrens zur Daten- und SystemsicherheitS
Verfahren zur Daten- und Systemsicherheit: Eine Analogie zum Verkehrswesen
Verfahren zur Daten- und Systemsicherheit: Einordnung in die Dokumentenhierarchie
Anforderungen an Daten- und Systemsicherheit: Vergleich zur ISO 27001
(2)
Das in Absatz 1 genannte Verfahren für die Daten- und Systemsicherheit umfasst alle folgenden Elemente im Zusammenhang mit der Daten- und IKT-Systemsicherheit im Einklang mit der gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegten Klassifizierung:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D14.003Verfahren zur Daten- und Systemsicherheit: SchutzbedarfsdifferenzierungS
Verfahren zur Daten- und Systemsicherheit (1/3)
Verfahren zur Daten- und Systemsicherheit (2/3)
Verfahren zur Daten- und Systemsicherheit (3/3)
a)
die in Artikel 21 dieser Verordnung genannten Zugangsbeschränkungen zur Unterstützung der Anforderungen im Zusammenhang mit dem Schutz für jede Klassifizierungsstufe;
DORA-Sollmaßnahmen
D14.004Verfahren zur Daten- und Systemsicherheit: ZugangsbeschränkungenS
b)
die Ermittlung von Mindestanforderungen an eine sichere Konfigurationsbasis für IKT-Assets, durch die die Exposition dieser IKT-Assets gegenüber Cyberbedrohungen minimiert wird, sowie Maßnahmen zur regelmäßigen Überprüfung, ob diese Mindestanforderungen wirksam verwendet werden;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Verfahren zur Daten- und Systemsicherheit
D07.001Verfahren zur Daten- und Systemsicherheit: Sichere KonfigurationS
D07.002Verfahren zur Daten- und Systemsicherheit: HärtungsvalidierungS
Erste Erkenntnisse aus DORA-Sonderprüfungen: Was DORA-Sonderprüfungen am Sollmaßnahmenkatalog beanstanden
c)
die Ermittlung von Sicherheitsmaßnahmen, um zu gewährleisten, dass ausschließlich zugelassene Software in IKT-Systemen und Endgeräten installiert wird;
DORA-Sollmaßnahmen
D14.005Verfahren zur Daten- und Systemsicherheit: SoftwarefreigabeS
d)
die Ermittlung von Sicherheitsmaßnahmen gegen Schadprogramme;
DORA-Sollmaßnahmen
D14.006Verfahren zur Daten- und Systemsicherheit: Schutz vor SchadsoftwareS
e)
die Ermittlung von Sicherheitsmaßnahmen, um zu gewährleisten, dass ausschließlich zugelassene Datenträger, Systeme und Endgeräte für die Übermittlung und Speicherung von Daten des Finanzunternehmens verwendet werden;
DORA-Sollmaßnahmen
D14.007Verfahren zur Daten- und Systemsicherheit: Zugelassene DatenträgerS
f)
die folgenden Anforderungen, um die sichere Nutzung tragbarer Endgeräte und privater nicht tragbarer Endgeräte zu gewährleisten:
i)
die Anforderung einer Lösung für das Management der Endgeräte und die Löschung von Daten des Finanzunternehmens durch Fernzugriff,
ii)
die Anforderung, Sicherheitsmechanismen zu verwenden, die von den Mitarbeitern oder IKT-Drittdienstleistern nicht auf unbefugte Weise geändert, entfernt oder umgangen werden können,
iii)
die Anforderung, mobile Datenspeicher nur dann zu verwenden, wenn das IKT-Restrisiko unter der in Artikel 3 Absatz 1 Buchstabe a genannten Risikotoleranzschwelle des Finanzunternehmens liegt;
DORA-Sollmaßnahmen
Vorgabedokument: Verfahren zur Daten- und Systemsicherheit
D14.008Verfahren zur Daten- und Systemsicherheit: Mobile DatenspeicherS
D14.009Verfahren zur Daten- und Systemsicherheit: Endgeräte-AnforderungenS
D14.010Verfahren zur Daten- und Systemsicherheit: Endgeräte-ManagementS
D14.011Verfahren zur Daten- und Systemsicherheit: Endgeräte-SicherheitsmechanismenS
D05.016IKT-Risikobewertung bei DatenspeichergerätenS
g)
das Verfahren zur sicheren Löschung von Daten in den Räumlichkeiten des Finanzunternehmens oder von extern gespeicherten Daten, die das Finanzunternehmen nicht mehr erheben oder speichern muss;
DORA-Sollmaßnahmen
D14.012Verfahren zur Daten- und Systemsicherheit: Sichere DatenlöschungS
h)
das Verfahren zur sicheren Entsorgung oder Außerbetriebnahme von Datenspeichern in den Räumlichkeiten des Finanzunternehmens oder von extern aufbewahrten Datenspeichern, die vertrauliche Informationen enthalten;
DORA-Sollmaßnahmen
D14.013Verfahren zur Daten- und Systemsicherheit: Sichere EntsorgungS
i)
die Ermittlung und Implementierung von Sicherheitsmaßnahmen zur Verhinderung von Datenverlust und Datenlecks bei Systemen und Endgeräten;
DORA-Sollmaßnahmen
D14.014Verfahren zur Daten- und Systemsicherheit: DatenleckpräventionS
j)
die Implementierung von Sicherheitsmaßnahmen, um zu gewährleisten, dass Telearbeit und die Nutzung privater Endgeräte nicht die IKT-Sicherheit des Finanzunternehmens beeinträchtigen;
DORA-Sollmaßnahmen
Vorgabedokument: Verfahren zur Daten- und Systemsicherheit
D06.021Telearbeit und private Endgeräte: Durchsetzung bei den MitarbeitendenS
D14.015Verfahren zur Daten- und Systemsicherheit: TelearbeitS
k)
für IKT-Assets oder -Dienstleistungen, die von einem IKT- Drittdienstleister betrieben werden, die Ermittlung und Umsetzung von Anforderungen an die Aufrechterhaltung der digitalen operationalen Resilienz im Einklang mit den Ergebnissen der Datenklassifizierung und der IKT-Risikobewertung.
DORA-Sollmaßnahmen
Vorgabedokument: Verfahren zur Daten- und Systemsicherheit
D07.003Verfahren zur Daten- und Systemsicherheit: Anbietervorgaben bei bezogenen DienstleistungenS
D14.016Verfahren zur Daten- und Systemsicherheit: IS-Rollen und -VerantwortlichkeitenS
D14.017Verfahren zur Daten- und Systemsicherheit: Katalog der IKT-Sicherheitsmaßnahmen für DienstleisterS
D14.018Verfahren zur Daten- und Systemsicherheit: Interne KompetenzS
D14.019IKT-Sicherheit in LieferantenvereinbarungenS
D23.044Kompetenzerhalt für IKT-DienstleistungsmanagementS
D25.006Umsetzung von IS-Rollen und -Verantwortlichkeiten beim IKT-DrittdienstleisterS
Vorgabedokument: Allgemeine Vertragsinhalte
D23.054Allgemeine Vertragsinhalte: verbindliche IKT-SicherheitsmaßnahmenS
D23.055Allgemeine Vertragsinhalte: sichere Konfiguration beim IKT-DrittdienstleisterS
D23.056Allgemeine Vertragsinhalte: Rollen und Verantwortlichkeiten InformationssicherheitS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D25.007Schutzbedarf, Sicherheitsmaßnahmen und Nachweisprüfung bei IKT-Dienstleistungen (Soll-Ist-Abgleich extern)S
D25.020Überprüfung der sicheren Konfiguration beim IKT-DrittdienstleisterS
Für die Zwecke von Buchstabe b werden im Rahmen der dort genannten sicheren Konfigurationsbasis die führenden Praktiken und geeigneten Techniken berücksichtigt, die in den Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 festgelegt sind.
Für die Zwecke von Buchstabe k berücksichtigen Finanzunternehmen Folgendes:
a)
die Implementierung der vom Anbieter empfohlenen Einstellungen für Komponenten, die vom Finanzunternehmen betrieben werden;
— keine Sollmaßnahme im Katalog zugeordnet
b)
eine klare Aufteilung der die Informationssicherheit betreffenden Aufgaben und Verantwortlichkeiten zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister im Einklang mit dem in Artikel 28 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten Grundsatz der vollen Verantwortlichkeit des Finanzunternehmens für seinen IKT-Drittdienstleister und für Finanzunternehmen nach Artikel 28 Absatz 2 der genannten Verordnung sowie im Einklang mit der Richtlinie des Finanzunternehmens für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
c)
die Notwendigkeit, innerhalb des Finanzunternehmens angemessene Kompetenzen für das Management und die Sicherheit der in Anspruch genommenen Dienstleistungen sicherzustellen und aufrechtzuerhalten;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
d)
technische und organisatorische Maßnahmen zur Minimierung der Risiken im Zusammenhang mit der Infrastruktur, die der IKT-Drittdienstleister für seine IKT-Dienstleistungen nutzt, unter Berücksichtigung führender Praktiken und Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012.
— keine Sollmaßnahme im Katalog zugeordnet
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 12
Artikel 12
Datenaufzeichnung
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der Schutzvorkehrungen gegen Eindringen und Missbrauch von Daten Verfahren, Protokolle und Tools für die Datenaufzeichnung.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D13.001Erstellung eines ProtokollierungsverfahrensS
Verfahren zur Protokollierung: Einordnung in die Dokumentenhierarchie
Protokollierung: die Analogie zum Verkehrswesen
Protokollierung: die Erwartungshaltung der Aufsicht
(2)
Die in Absatz 1 genannten Verfahren, Protokolle und Tools für die Datenaufzeichnung umfassen alle folgenden Elemente:
DORA-Schulungsfolien
Verfahren zur Protokollierung (1/3): die Mindestprotokollierung
Verfahren zur Protokollierung (2/3): Frist, Sicherung, Detailgrad
Verfahren zur Protokollierung (3/3): Schutz und Ausfälle
a)
die Ermittlung der aufzuzeichnenden Ereignisse, die Speicherfrist für die Datenaufzeichnungen und die Maßnahmen zur Sicherung und Verarbeitung der Aufzeichnungsdaten unter Berücksichtigung des Zwecks, für den die Datenaufzeichnungen erstellt werden;
DORA-Sollmaßnahmen
Vorgabedokument: Protokollierungsverfahren
D13.003Protokollierungsverfahren: Umfang, Aufbewahrung und SicherungS
D13.004Protokollierungsverfahren: AufbewahrungsfristenS
D17.015Schutz von AufzeichnungenS
b)
die Abstimmung des Detaillierungsgrads der Datenaufzeichnungen auf deren Zweck und Verwendung, um die wirksame Erkennung anomaler Aktivitäten nach Artikel 24 zu ermöglichen;
DORA-Sollmaßnahmen
D13.005Protokollierungsverfahren: verwendungszweckgerechter DetaillierungsgradS
c)
die Anforderung, Ereignisse aufzuzeichnen, die sämtliche der folgenden Aspekte betreffen:
i)
logische und physische Zugangskontrolle nach Artikel 21 und Identitätsmanagement,
ii)
Kapazitätsmanagement,
iii)
Änderungsmanagement,
iv)
IKT-Vorgänge, einschließlich IKT-Systemaktivitäten,
v)
Netzwerkverkehrsaktivitäten, einschließlich der Leistung der IKT-Netzwerke;
DORA-Sollmaßnahmen
Vorgabedokument: Protokollierungsverfahren
D13.006Protokollierungsverfahren: physische ZugangskontrolleS
D13.007Protokollierungsverfahren: Benutzerverwaltung und ZugriffeS
D13.008Protokollierungsverfahren: KapazitätsmanagementS
D13.009Protokollierungsverfahren: IKT-ÄnderungsmanagementS
D13.010Protokollierungsverfahren: betriebsrelevante EreignisseS
D13.011Protokollierungsverfahren: NetzwerkverkehrS
D18.015Verfahren für das IKT-Änderungsmanagement: Protokollierung änderungsrelevanter EreignisseS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D13.018Protokollierung von ZutrittsereignissenS
D18.016Nachvollziehbarkeit von IKT-ÄnderungenS
d)
Maßnahmen zum Schutz von Datenaufzeichnungssystemen und -informationen vor Manipulation, Löschung und unbefugtem Zugriff mit Blick auf gespeicherte, übermittelte oder gegebenenfalls gerade verwendete Daten;
DORA-Sollmaßnahmen
D13.012Protokollierungsverfahren: Schutz der ProtokolldatenS
e)
Maßnahmen zur Erkennung eines Ausfalls von Datenaufzeichnungssystemen;
DORA-Sollmaßnahmen
D13.013Protokollierungsverfahren: Erkennung von ProtokollierungsausfällenS
f)
unbeschadet etwaiger im Unionsrecht oder nationalen Recht festgelegter anwendbarer rechtlicher Anforderungen die Synchronisierung der Uhren jedes IKT-Systems des Finanzunternehmens auf der Grundlage einer dokumentierten zuverlässigen Referenzzeitquelle.
DORA-Sollmaßnahmen
D09.003Richtlinie für das Management der Netzwerksicherheit: Uhrensynchronisation der IKT-SystemeS
D13.014Protokollierungsverfahren: Zeitsynchronisation (NTP)S
Für die Zwecke von Buchstabe a legen die Finanzunternehmen die Speicherfrist fest und tragen dabei den Geschäftszielen und den Zielen für die Informationssicherheit, dem Grund, weshalb das Ereignis aufgezeichnet wurde, und den Ergebnissen der IKT-Risikobewertung Rechnung.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 13
Artikel 13
Management der Netzwerksicherheit
RTS IKT-Risikomanagement (2024/1774)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der Schutzvorkehrungen, die die Sicherheit der Netzwerke gegen Eindringen und Missbrauch von Daten gewährleisten, Richtlinien, Verfahren, Protokolle und Tools für das Management der Netzwerksicherheit, in denen alle folgenden Aspekte behandelt werden:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D09.001Erstellung einer Richtlinie für das Management der NetzwerksicherheitS
Netzwerksicherheitsrichtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D09.028Erstellung eines Verfahrens für das Management der NetzwerksicherheitS
a)
die Trennung und Segmentierung von IKT-Systemen und -Netzwerken unter Berücksichtigung
i)
der Kritikalität oder Bedeutung der Funktion, die von diesen IKT-Systemen und -Netzwerken unterstützt wird,
ii)
der im Einklang mit Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegten Klassifizierung,
iii)
des Gesamtrisikoprofils der IKT-Assets, die diese IKT-Systeme und -Netzwerke nutzen;
DORA-Sollmaßnahmen
D09.004Richtlinie für das Management der Netzwerksicherheit: Netzwerktrennung und -segmentierungS
b)
die Dokumentation aller Netzwerkverbindungen und Datenflüsse des Finanzunternehmens;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D09.005Richtlinie für das Management der Netzwerksicherheit: Dokumentation der DatenflüsseS
Datenflussmodellierung
D09.032Dokumentation von NetzwerkverbindungenS
Netzwerkdokumentation: Dokumentation der Netzwerkverbindungen
c)
die Nutzung eines gesonderten und speziellen Netzwerks für die Verwaltung von IKT-Assets;
DORA-Sollmaßnahmen
D09.006Richtlinie für das Management der Netzwerksicherheit: dediziertes AdministrationsnetzwerkS
d)
die Ermittlung und Implementierung von Kontrollen für den Netzwerkzugang, um Verbindungen zum Netzwerk des Finanzunternehmens durch ein nicht zugelassenes Gerät oder System oder einen Endpunkt, der die Sicherheitsanforderungen des Finanzunternehmens nicht erfüllt, zu verhindern und zu erkennen;
DORA-Sollmaßnahmen
D09.007Richtlinie für das Management der Netzwerksicherheit: Netzwerkzugangskontrollen (NAC)S
e)
die Verschlüsselung von Netzwerkverbindungen über Unternehmensnetzwerke, öffentliche Netzwerke, inländische Netzwerke, Netzwerke Dritter und drahtlose Netzwerke für die verwendeten Kommunikationsprotokolle unter Berücksichtigung der Ergebnisse der genehmigten Datenklassifizierung, der Ergebnisse der IKT-Risikobewertung und der Verschlüsselung von Netzwerkverbindungen gemäß Artikel 6 Absatz 2;
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für das Management der Netzwerksicherheit
D09.008Richtlinie für das Management der Netzwerksicherheit: Verschlüsselung der NetzwerkverbindungenS
D09.019NetzwerkverschlüsselungS
D25.004Verschlüsselung von Netzwerkverbindungen beim IKT-DrittdienstleisterS
Vorgabedokument: Allgemeine Vertragsinhalte
D23.051Allgemeine Vertragsinhalte: Verschlüsselung von NetzwerkverbindungenS
f)
die Konzeption der Netzwerke im Einklang mit den vom Finanzunternehmen festgelegten IKT-Sicherheitsanforderungen unter Berücksichtigung führender Praktiken zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit des Netzwerks;
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für das Management der Netzwerksicherheit
D09.009Richtlinie für das Management der Netzwerksicherheit: Netzwerkkonzeption nach führenden PraktikenS
D09.020Sicherheitsgerechte NetzwerkkonzeptionS
g)
die Sicherung des Netzwerkverkehrs zwischen den internen Netzwerken und dem Internet und anderen externen Verbindungen;
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für das Management der Netzwerksicherheit
D09.010Richtlinie für das Management der Netzwerksicherheit: Absicherung des InternetübergangsS
D09.021Absicherung des Netzwerkverkehrs zwischen intern/externS
h)
die Ermittlung der Aufgaben und Verantwortlichkeiten sowie der Etappen für die Spezifikation, Implementierung, Genehmigung, Änderung und Überprüfung der Firewall-Regeln und Verbindungsfilter;
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für das Management der Netzwerksicherheit
D09.011Richtlinie für das Management der Netzwerksicherheit: Firewall-Regeln und VerbindungsfilterS
D09.022Regelmäßige Überprüfung von Firewall-RegelnS
i)
die Überprüfung der Netzwerkarchitektur und des Konzepts für die Netzwerksicherheit einmal jährlich und für Kleinstunternehmen in regelmäßigen Abständen, um potenzielle Schwachstellen zu ermitteln;
DORA-Sollmaßnahmen
D09.012Richtlinie für das Management der Netzwerksicherheit: jährliche Überprüfung der NetzwerkarchitekturS
j)
die Maßnahmen zur vorübergehenden Isolierung von Teilnetzwerken sowie von Netzwerkkomponenten und -geräten, soweit erforderlich;
DORA-Sollmaßnahmen
D09.013Richtlinie für das Management der Netzwerksicherheit: Isolierung von TeilnetzwerkenS
k)
die Implementierung einer sicheren Konfigurationsbasis für alle Netzwerkkomponenten und die Absicherung des Netzwerks und der Netzwerkgeräte im Einklang mit etwaigen Anweisungen des Anbieters und gegebenenfalls mit Normen im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 sowie führenden Praktiken;
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für das Management der Netzwerksicherheit
D09.014Richtlinie für das Management der Netzwerksicherheit: Härtungsvorgaben für NetzwerkkomponentenS
D09.023Konfiguration von NetzwerkenS
l)
die Verfahren zur Begrenzung, Sperrung und Beendigung von System- und Fernsitzungen nach einer bestimmten Inaktivitätszeit;
DORA-Sollmaßnahmen
D09.015Richtlinie für das Management der Netzwerksicherheit: Beenden inaktiver SitzungenS
m)
für Vereinbarungen über Netzwerkdienstleistungen:
i)
die Ermittlung und Spezifikation von IKT- und Informationssicherheitsmaßnahmen, der Dienstleistungsgüte und von Managementanforderungen für alle Netzwerkdienste;
ii)
die Feststellung, ob diese Dienstleistungen von einem gruppeninternen IKT-Dienstleister oder von IKT-Drittdienstleistern erbracht werden.
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für das Management der Netzwerksicherheit
D09.016Richtlinie für das Management der Netzwerksicherheit: bezogene Netzwerkdienstleistungen, VertragsvorgabenS
D09.017Richtlinie für das Management der Netzwerksicherheit: bezogene Netzwerkdienstleistungen, gruppenintern oder externS
Vorgabedokument: Allgemeine Vertragsinhalte
D23.057Allgemeine Vertragsinhalte: NetzwerkdienstleistungenS
Für die Zwecke von Buchstabe h überprüfen die Finanzunternehmen regelmäßig die Firewall-Regeln und die Verbindungsfilter im Einklang mit der gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 festgelegten Klassifizierung und dem Gesamtrisikoprofil der beteiligten IKT-Systeme. Bei IKT-Systemen, die kritische oder wichtige Funktionen unterstützen, überprüfen Finanzunternehmen mindestens alle sechs Monate, ob die bestehenden Firewall-Regeln und Verbindungsfilter angemessen sind.
DORA-Schulungsfolien
Sicheres Netzwerk- und Infrastrukturmanagement: Eine Analogie zum Verkehrswesen
Netzwerksicherheitsrichtlinie (1/3): Was in die Netzwerksicherheitsrichtlinie gehört
Netzwerksicherheitsrichtlinie (2/3): Was in die Netzwerksicherheitsrichtlinie gehört
Netzwerksicherheitsrichtlinie (3/3): Was in die Netzwerksicherheitsrichtlinie gehört
Verfahren für das Management der Netzwerksicherheit: Einordnung in die Dokumentenhierarchie
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 14
Artikel 14
Sicherung von Informationen bei der Übermittlung
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten Richtlinien, Verfahren, Protokolle und Tools zum Schutz von Informationen, die übermittelt werden. Die Finanzunternehmen gewährleisten insbesondere Folgendes:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie zum Schutz von Informationen bei der Übermittlung
D06.014Erstellung einer Richtlinie zum Schutz von Informationen bei der ÜbermittlungS
Richtlinie zum Schutz von Informationen bei der Übermittlung: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D06.015Richtlinie zum Schutz von Informationen bei der Übermittlung: Schutzziele bei der NetzwerkübertragungS
Verfahren zum Schutz von Informationen bei der Übermittlung: Einordnung in die Dokumentenhierarchie
Vorgabedokument: Verfahren zum Schutz von Informationen bei der Übermittlung
D06.022Erstellung eines Verfahrens zum Schutz von Informationen bei der ÜbermittlungS
a)
die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten während der Übermittlung über das Netzwerk und die Festlegung von Verfahren, um zu bewerten, ob diese Anforderungen eingehalten werden;
DORA-Sollmaßnahmen
D06.016Richtlinie zum Schutz von Informationen bei der Übermittlung: regelmäßige Überprüfung der EinhaltungS
b)
die Verhinderung und Erkennung von Datenlecks und die sichere Übertragung von Informationen zwischen dem Finanzunternehmen und externen Parteien;
DORA-Sollmaßnahmen
D06.017Richtlinie zum Schutz von Informationen bei der Übermittlung: Data-Leakage-Schutz und externe ÜbertragungS
c)
die Implementierung, Dokumentation und regelmäßige Überprüfung der Anforderungen an Vertraulichkeits- oder Geheimhaltungsvereinbarungen, die dem Bedarf des Finanzunternehmens hinsichtlich des Schutzes von Informationen im Zusammenhang mit den Mitarbeitern des Finanzunternehmens und Dritten Rechnung tragen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie zum Schutz von Informationen bei der Übermittlung
D06.018Richtlinie zum Schutz von Informationen bei der Übermittlung: Vertraulichkeits- und GeheimhaltungsvereinbarungenS
D25.005Vertraulichkeits- und Geheimhaltungsanforderungen an IKT-DrittdienstleisterS
Vorgabedokument: Allgemeine Vertragsinhalte
D23.058Allgemeine Vertragsinhalte: Vertraulichkeit und GeheimhaltungS
Vorgabedokument: Personalsicherheitsrichtlinie
D06.009Erstellung einer Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie)S
Personalsicherheitsrichtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
(2)
Die Finanzunternehmen konzipieren die Richtlinien, Protokolle und Tools zum Schutz von Informationen bei der Übermittlung nach Absatz 1 auf der Grundlage der Ergebnisse einer genehmigten Datenklassifizierung und der IKT-Risikobewertung.
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie zum Schutz von Informationen bei der Übermittlung
D06.019Richtlinie zum Schutz von Informationen bei der Übermittlung: Grundlage der SchutzmaßnahmenS
D09.027Netzwerkschutzmaßnahmen nach Risiko/SchutzbedarfS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 15
Artikel 15
IKT-Projektmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten entwickeln, dokumentieren und implementieren die Finanzunternehmen Richtlinien für das IKT-Projektmanagement.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D19.001Erstellung einer Richtlinie für das IKT-ProjektmanagementS
Richtlinie zum IKT-Projektmanagement: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Richtlinie zum IKT-Projektmanagement: Eine Analogie zum Verkehrswesen
Richtlinie zum IKT-Projektmanagement (1/2)
Richtlinie zum IKT-Projektmanagement (2/2)
IKT-Projektmanagement: was DORA gegenüber der BAIT erleichtert
IKT-Projektmanagement: Die bisherige Erwartungshaltung der Aufsicht
(2)
In den in Absatz 1 genannten Richtlinien für das IKT-Projektmanagement werden die Elemente festgelegt, die ein wirksames Management der IKT-Projekte in Bezug auf die Beschaffung, die Wartung sowie gegebenenfalls die Entwicklung der IKT-Systeme des Finanzunternehmens gewährleisten.
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für das IKT-Projektmanagement
D19.002Richtlinie für das IKT-Projektmanagement: Beschaffung und Einführung von IKT-SystemenS
D19.003Richtlinie für das IKT-Projektmanagement: EntwicklungsprojekteS
D19.004Richtlinie für das IKT-Projektmanagement: Wartungs- und ÄnderungsprojekteS
D19.005Richtlinie für das IKT-Projektmanagement: Verzahnung mit der Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-SystemenS
(3)
Die in Absatz 1 genannten Richtlinien für das IKT-Projektmanagement müssen alles Folgende beinhalten:
a)
die Ziele des IKT-Projekts,
DORA-Sollmaßnahmen
D19.006Richtlinie für das IKT-Projektmanagement: ProjektzieleS
b)
die Governance des IKT-Projekts, samt Aufgaben und Zuständigkeiten,
DORA-Sollmaßnahmen
D19.007Richtlinie für das IKT-Projektmanagement: Governance und ZuständigkeitenS
c)
die Planung, den zeitlichen Rahmen und die Etappen des IKT-Projekts,
DORA-Sollmaßnahmen
D19.008Richtlinie für das IKT-Projektmanagement: ProjektplanungS
d)
eine IKT-Projektrisikobewertung,
DORA-Sollmaßnahmen
D19.009Richtlinie für das IKT-Projektmanagement: ProjektrisikobewertungS
e)
die relevanten Etappenziele,
DORA-Sollmaßnahmen
D19.010Richtlinie für das IKT-Projektmanagement: MeilensteineS
f)
die Anforderungen an das Änderungsmanagement,
DORA-Sollmaßnahmen
D19.011Richtlinie für das IKT-Projektmanagement: Schnittstelle zum IKT-ÄnderungsmanagementS
g)
das Testen aller Anforderungen, einschließlich der Sicherheitsanforderungen, und das zugehörige Genehmigungsverfahren bei der Einführung eines IKT-Systems in der Produktionsumgebung.
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für das IKT-Projektmanagement
D19.012Richtlinie für das IKT-Projektmanagement: Testen der AnforderungenS
D19.013Richtlinie für das IKT-Projektmanagement: Genehmigung der ProduktivsetzungS
(4)
Durch Bereitstellung der erforderlichen Informationen und Fachkenntnisse aus dem Geschäftsbereich oder den geschäftlichen Funktionen, auf die sich das IKT-Projekt auswirkt, gewährleisten die in Absatz 1 genannten Richtlinien für das IKT-Projektmanagement die sichere Durchführung des Projekts.
DORA-Sollmaßnahmen
D19.014Richtlinie für das IKT-Projektmanagement: Einbindung betroffener GeschäftsbereicheS
(5)
Der in Absatz 3 Buchstabe d genannten IKT-Projektrisikobewertung entsprechend müssen die in Absatz 1 genannten Richtlinien für das IKT-Projektmanagement vorsehen, dass das Leitungsorgan wie folgt über die Einleitung von IKT-Projekten, die sich auf kritische oder wichtige Funktionen des Finanzunternehmens auswirken, deren Fortschritte und die damit verbundenen Risiken unterrichtet wird:
DORA-Sollmaßnahmen
D19.015Richtlinie für das IKT-Projektmanagement: Information des Leitungsorgans zu kwF-ProjektenS
a)
einzeln oder zusammengefasst, je nach Bedeutung und Umfang der IKT-Projekte,
DORA-Sollmaßnahmen
D19.016Richtlinie für das IKT-Projektmanagement: Unterrichtung des Leitungsorgans (Form)S
b)
in regelmäßigen Abständen sowie erforderlichenfalls bei einzelnen Ereignissen.
DORA-Sollmaßnahmen
D19.017Richtlinie für das IKT-Projektmanagement: Unterrichtung des Leitungsorgans (Turnus)S
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 16
Artikel 16
Beschaffung, Entwicklung und Wartung von IKT-Systemen
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten entwickeln, dokumentieren und implementieren die Finanzunternehmen Richtlinien für die Beschaffung, die Entwicklung und die Wartung von IKT-Systemen. Diese Richtlinien müssen
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D20.003Erstellung einer Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-SystemenS
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: Eine Analogie zum Verkehrswesen
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: Die Richtlinie für Beschaffung
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen (1/2): Inhaltsübersicht (1)
D19.005Richtlinie für das IKT-Projektmanagement: Verzahnung mit der Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-SystemenS
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: Die Schnittstelle zum IKT-Assetmanagement
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen (2/2): Inhaltsübersicht (2/2)
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: was DORA offen lässt
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: Hilfestellungen aus ISO/IEC 27002 und NIST
Richtlinie zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: Die Schnittstelle zum IKT-Drittparteienrisikomanagement
Beschaffung, Entwicklung und Wartung von IKT-Systemen: Die bisherige Erwartungshaltung der Aufsicht
Beschaffung, Entwicklung und Wartung von IKT-Systemen: eigenes Prüffeld, bekannte Mängel
a)
Sicherheitskonzepte und Methoden für die Beschaffung, Entwicklung und Wartung von IKT-Systemen enthalten,
DORA-Sollmaßnahmen
D20.005Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Sichere Vorgehensweisen und MethodenS
D20.027SicherheitskonzepteS
b)
verlangen, dass Folgendes angegeben wird:
i)
die technischen Spezifikationen und technischen IKT-Spezifikationen im Sinne von Artikel 2 Nummern 4 und 5 der Verordnung (EU) Nr. 1025/2012,
ii)
die Anforderungen für die Beschaffung, die Entwicklung und die Wartung von IKT-Systemen mit besonderem Schwerpunkt auf den Anforderungen an die IKT-Sicherheit und auf deren Genehmigung durch die betreffende Geschäftsfunktion und den IKT-Asset-Eigentümer gemäß den internen Governance-Regelungen des Finanzunternehmens;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen
D20.006Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Technische (IKT-)SpezifikationenS
D20.007Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Identifikation und Genehmigung der SicherheitsanforderungenS
D20.009IKT-technische SpezifikationenS
Dokumentationen im Kontext „sicherer IKT-Betrieb“: Was in ein IKT-technisches Spezifikationsdokument gehört
c)
Maßnahmen vorsehen, mit denen das Risiko einer unbeabsichtigten Veränderung oder einer vorsätzlichen Manipulation der IKT-Systeme während der Entwicklung, Wartung und Einführung dieser IKT-Systeme in der Produktionsumgebung gemindert wird.
DORA-Sollmaßnahmen
D20.008Richtlinie für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Schutz vor unbeabsichtigten Änderungen und ManipulationS
(2)
Die Finanzunternehmen entwickeln, dokumentieren und implementieren für die Tests und die Genehmigung aller IKT-Systeme vor ihrer Nutzung und nach ihrer Wartung gemäß Artikel 8 Absatz 2 Buchstabe b Ziffern v, vi und vii ein Verfahren für die Beschaffung, die Entwicklung und die Wartung von IKT-Systemen. Der Testumfang muss der Kritikalität der betreffenden Geschäftsprozesse und IKT-Assets angemessen sein. Die Tests müssen so ausgelegt sein, dass überprüft werden kann, ob neue IKT-Systeme ihrer geplanten Bestimmung angemessen sind, was auch die Qualität der intern entwickelten Software einschließt.
Zentrale Gegenparteien beziehen in die Ausgestaltung und Durchführung der in Unterabsatz 1 genannten Tests neben den in Unterabsatz 1 genannten Anforderungen soweit relevant die folgenden Parteien ein:
DORA-Schulungsfolien
Verfahren zur Beschaffung, Entwicklung und Wartung von IKT-Systemen (1/3): Testen und Freigeben
Verfahren zur Beschaffung, Entwicklung und Wartung von IKT-Systemen (2/3): die Testvorgaben
Verfahren zur Beschaffung, Entwicklung und Wartung von IKT-Systemen (3/3): Inhaltsübersicht
Verfahren zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: keine Erleichterung gegenüber der BAIT
a)
Clearingmitglieder und Kunden,
b)
interoperable zentrale Gegenparteien,
c)
andere interessierte Parteien.
Zentralverwahrer beziehen in die Ausgestaltung und Durchführung der in Unterabsatz 1 genannten Tests neben den in Unterabsatz 1 genannten Anforderungen soweit relevant die folgenden Parteien ein:
a)
Nutzer,
b)
kritische Versorgungsbetriebe und kritische Dienstleister,
c)
andere Zentralverwahrer,
d)
andere Marktinfrastrukturen,
e)
alle sonstigen Institute, mit denen die Zentralverwahrer laut ihrer Geschäftsfortführungsleitlinie wechselseitige Abhängigkeiten verbinden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen
D20.011Erstellung eines Verfahrens für die Beschaffung, Entwicklung und Wartung von IKT-SystemenS
Verfahren zur Beschaffung, Entwicklung und Wartung von IKT-Systemen: Einordnung in die Dokumentenhierarchie
D20.012Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Programm zum Testen der digitalen operationalen ResilienzS
D20.013Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: TestumgebungstrennungS
D20.014Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Rollen bei ProduktionstestsS
D20.015Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Risikobasierte TesttiefeS
D20.016Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Tests vor ProduktivnahmeS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D20.010Einbeziehung von Nutzern in Testausgestaltung (CSD)S
D20.026Einbeziehung von Clearingmitgliedern in Tests (CCP)S
(3)
Im Rahmen des in Absatz 2 genannten Verfahrens sind Quellcodeprüfungen durchzuführen, die sowohl statische als auch dynamische Tests umfassen. Bei diesen Tests muss die Sicherheit internetexponierter Systeme und Anwendungen gemäß Artikel 8 Absatz 2 Buchstabe b Ziffern v, vi und vii getestet werden. Finanzunternehmen müssen
a)
Schwachstellen und Anomalien im Quellcode ermitteln und analysieren,
b)
einen Aktionsplan festlegen, um diese Schwachstellen und Anomalien zu beheben,
c)
die Umsetzung dieses Aktionsplans überwachen.
DORA-Sollmaßnahmen
Vorgabedokument: Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen
D20.017Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: QuellcodeprüfungenS
D20.018Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: QuellcodeprüfungS
D16.019Quellcodeprüfungen mit statischen und dynamischen TestsS
D20.025QuellcodeprüfungS
(4)
Im Rahmen des in Absatz 2 genannten Verfahrens muss spätestens zur Integrationsphase die Sicherheit von Softwarepaketen gemäß Artikel 8 Absatz 2 Buchstabe b Ziffern v, vi und vii getestet werden.
DORA-Sollmaßnahmen
Vorgabedokument: Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen
D20.019Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: IntegrationstestsS
D11.024Sicherheitstests von SoftwarepaketenS
(5)
Das in Absatz 2 genannte Verfahren muss Folgendes vorsehen:
a)
in Nichtproduktionsumgebungen dürfen nur anonymisierte, pseudonymisierte oder randomisierte Produktionsdaten gespeichert werden,
DORA-Sollmaßnahmen
D20.020Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Testdaten-AnonymisierungS
b)
Finanzunternehmen müssen die Integrität und Vertraulichkeit von Daten in Nichtproduktionsumgebungen schützen.
DORA-Sollmaßnahmen
D20.021Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Datenschutz in TestumgebungenS
(6)
Abweichend von Absatz 5 kann das in Absatz 2 genannte Verfahren vorsehen, dass Produktionsdaten nur für bestimmte Testanlässe, für begrenzte Zeiträume und nach Genehmigung durch die betreffende Funktion sowie nach Meldung solcher Anlässe an die IKT-Risikomanagement-Funktion gespeichert werden.
DORA-Sollmaßnahmen
D20.022Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Ausnahmen für ProduktionsdatenS
(7)
Das in Absatz 2 genannte Verfahren muss Kontrollen zum Schutz der Integrität des Quellcodes von IKT-Systemen vorsehen, die intern oder von einem IKT-Drittdienstleister entwickelt und dem Finanzunternehmen von einem IKT-Drittdienstleister geliefert werden.
DORA-Sollmaßnahmen
D20.023Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Quellcode-SchutzS
D23.059Allgemeine Vertragsinhalte: Schutz der Quellcode-IntegritätS
D25.008Quellcode-Integrität bei FremdentwicklungS
(8)
Das in Absatz 2 genannte Verfahren muss vorsehen, dass proprietäre Software und nach Möglichkeit der Quellcode, der von IKT-Drittdienstleistern bereitgestellt wird oder aus Open-Source-Projekten stammt, vor ihrer Einführung in der Produktionsumgebung gemäß Absatz 3 analysiert und getestet werden.
DORA-Sollmaßnahmen
D20.024Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen: Quellcode-ReviewS
(9)
Die Absätze 1 bis 8 gelten auch für IKT-Systeme, die von nicht bei der IKT-Funktion angesiedelten Nutzern nach einem risikobasierten Ansatz entwickelt oder betrieben werden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: IDV-Richtlinie
D20.001Erstellung einer IDV-RichtlinieS
IDV-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D20.002Lebenszyklus einer sicheren Entwicklung bei IDVS
Beschaffung, Entwicklung und Wartung von IKT-Systemen: der Begriff fehlt, die Pflichten bleiben
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 17
Artikel 17
IKT-Änderungsmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten sehen die Finanzunternehmen in den in Artikel 9 Absatz 4 Buchstabe e der Verordnung (EU) 2022/2554 genannten IKT-Änderungsmanagementverfahren für alle Änderungen an Software, Hardware, Firmware-Komponenten, Systemen oder Sicherheitsparametern alles Folgende vor:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D18.006Verfahren für das IKT-Änderungsmanagement: Geltungsbereich und kontrollierter AblaufS
Verfahren zum IKT-Änderungsmanagement: Eine Analogie zum Verkehrswesen
Verfahren zum IKT-Änderungsmanagement (1/2)
Verfahren zum IKT-Änderungsmanagement (2/2)
a)
eine Überprüfung, ob die IKT-Sicherheitsanforderungen erfüllt sind,
DORA-Sollmaßnahmen
D18.007Verfahren für das IKT-Änderungsmanagement: Sicherheitsprüfung je ÄnderungS
b)
Mechanismen, die gewährleisten, dass die Funktionen, die Änderungen genehmigen, und die Funktionen, die für die Beantragung und Umsetzung dieser Änderungen zuständig sind, unabhängig sind,
DORA-Sollmaßnahmen
D18.008Verfahren für das IKT-Änderungsmanagement: Funktionstrennung bei der GenehmigungS
c)
eine klare Beschreibung der Aufgaben und Zuständigkeiten, um zu gewährleisten, dass
i)
Änderungen angegeben und geplant werden,
ii)
ein angemessener Übergang vorgesehen ist,
iii)
die Änderungen kontrolliert getestet und finalisiert werden,
iv)
eine wirksame Qualitätssicherung gewährleistet ist,
DORA-Sollmaßnahmen
D18.009Verfahren für das IKT-Änderungsmanagement: Rollen und VerantwortlichkeitenS
d)
die Dokumentation und Kommunikation der Änderungen im Detail, wozu u. a. Folgendes zählt:
i)
Zweck und Umfang der Änderung,
ii)
Zeitplan für die Umsetzung der Änderung,
iii)
die erwarteten Ergebnisse;
DORA-Sollmaßnahmen
D18.010Verfahren für das IKT-Änderungsmanagement: Dokumentation und KommunikationS
e)
die Angabe von Ausweichverfahren und -zuständigkeiten, einschließlich Verfahren und Zuständigkeiten für den Abbruch von Änderungen oder die Wiederherstellung, wenn Änderungen nicht erfolgreich implementiert wurden,
DORA-Sollmaßnahmen
D18.011Verfahren für das IKT-Änderungsmanagement: Fallback- und Rollback-VerfahrenS
f)
Verfahren, Protokolle und Tools für den Umgang mit Notfalländerungen, die angemessene Schutzvorkehrungen vorsehen,
DORA-Sollmaßnahmen
D18.012Verfahren für das IKT-Änderungsmanagement: Notfalländerungen (Verfahren und Tools)S
g)
Verfahren zur Dokumentation, Neubewertung, Bewertung und Genehmigung von Notfalländerungen, nachdem diese vorgenommen wurden, einschließlich Ausweichlösungen und Patches,
DORA-Sollmaßnahmen
D18.013Verfahren für das IKT-Änderungsmanagement: Notfalländerungen (nachträgliche Genehmigung)S
h)
Angabe der potenziellen Auswirkungen einer Änderung auf bestehende IKT-Sicherheitsmaßnahmen und Bewertung, ob eine solche Änderung zusätzliche IKT-Sicherheitsmaßnahmen erfordert.
DORA-Sollmaßnahmen
D18.014Verfahren für das IKT-Änderungsmanagement: Auswirkungen auf SicherheitsmaßnahmenS
(2)
Wenn zentrale Gegenparteien und Zentralverwahrer an ihren IKT-Systemen erhebliche Änderungen vorgenommen haben, unterziehen sie diese strengen Tests unter Simulation von Stressbedingungen.
Zentrale Gegenparteien beziehen in die Ausgestaltung und Durchführung der in Unterabsatz 1 genannten Tests soweit relevant die folgenden Parteien ein:
a)
Clearingmitglieder und Kunden,
b)
interoperable zentrale Gegenparteien,
c)
andere interessierte Parteien.
Zentralverwahrer beziehen in die Ausgestaltung und Durchführung der in Unterabsatz 1 genannten Tests soweit relevant die folgende Parteien ein:
a)
Nutzer,
b)
kritische Versorgungsbetriebe und kritische Dienstleister,
c)
andere Zentralverwahrer,
d)
andere Marktinfrastrukturen,
e)
alle sonstigen Institute, mit denen die Zentralverwahrer laut ihrer IKT-Geschäftsfortführungsleitlinie wechselseitige Abhängigkeiten verbinden.
DORA-Sollmaßnahmen
D18.004Einbeziehung externer Stakeholder in Stresstests (CCP/CSD)S
D18.017Stresstests nach erheblichen IKT-Änderungen (CCP/CSD)S
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 18
Artikel 18
Physische Sicherheit und Sicherheit vor Umweltereignissen
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten verfassen, dokumentieren und implementieren die Finanzunternehmen Richtlinien für die physische Sicherheit und die Sicherheit vor Umweltereignissen. Die Finanzunternehmen gestalten diese Richtlinien unter Berücksichtigung der Cyberbedrohungslage gemäß der nach Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 vorgenommenen Klassifizierung und unter Berücksichtigung des Gesamtrisikoprofils der IKT-Assets und der zugänglichen Informationsassets.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D15.001Erstellung einer Richtlinie für die physische SicherheitS
Richtlinie zur physischen Sicherheit: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
Physische Sicherheit: Eine Analogie zum Verkehrswesen
(2)
Die in Absatz 1 genannten Richtlinien für die physische Sicherheit und die Sicherheit vor Umweltereignissen müssen alles Folgende beinhalten:
DORA-Schulungsfolien
Richtlinie zur Physischen Sicherheit (1/2)
Richtlinie zur Physischen Sicherheit (2/2)
a)
einen Verweis auf den Abschnitt der Richtlinien, in dem es um die in Artikel 21 Absatz 1 Buchstabe g genannte Kontrolle der Zugangs- und Zugriffsrechte geht,
DORA-Sollmaßnahmen
D15.002Richtlinie für die physische Sicherheit: Verweis auf die IAM-ZugangskontrollenS
b)
die Maßnahmen, mit denen die Räumlichkeiten und Rechenzentren des Finanzunternehmens und die vom Finanzunternehmen designierten sensiblen Bereiche, in denen IKT- und Informationsassets untergebracht sind, vor Angriffen, Unfällen und Umweltbedrohungen und -gefahren geschützt werden,
DORA-Sollmaßnahmen
D15.003Richtlinie für die physische Sicherheit: Schutz von Räumlichkeiten und RechenzentrenS
D15.010Schutz vor physischen und umweltbedingten BedrohungenS
c)
die Maßnahmen, mit denen die IKT-Assets inner- und außerhalb der Räumlichkeiten des Finanzunternehmens unter Berücksichtigung der Ergebnisse der IKT-Risikobewertung für diese IKT-Assets gesichert werden,
DORA-Sollmaßnahmen
D15.004Richtlinie für die physische Sicherheit: Sicherung von IKT-Assets (auch außerhalb)S
d)
Maßnahmen, mit denen die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von IKT-Assets, Informationsassets und Einrichtungen für die physische Zugangskontrolle des Finanzunternehmens durch angemessene Wartung sichergestellt werden soll,
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für die physische Sicherheit
D15.005Richtlinie für die physische Sicherheit: Regelmäßige Wartung der IKT-SystemeS
D15.006Richtlinie für die physische Sicherheit: Wartung der ZugangskontrolleinrichtungenS
e)
Maßnahmen, mit denen die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten gewahrt werden sollen, einschließlich
i)
der Vorgabe eines „leeren Schreibtischs“,
ii)
der Vorgabe eines „leeren Bildschirms“ bei Datenverarbeitungsanlagen.
DORA-Sollmaßnahmen
D15.007Richtlinie für die physische Sicherheit: Clean-Desk- und Clear-Screen-VorgabeS
Für die Zwecke des Buchstabens b müssen die Maßnahmen zum Schutz vor Umweltbedrohungen und -gefahren der Bedeutung der Räumlichkeiten, der Rechenzentren und der designierten sensiblen Bereiche und der Kritikalität der dort untergebrachten Geschäftstätigkeiten oder IKT-Systeme angemessen sein.
Für die Zwecke des Buchstabens c müssen die in Absatz 1 genannten Richtlinien für die physische Sicherheit und die Sicherheit vor Umweltereignissen angemessene Schutzmaßnahmen für unbeaufsichtigte IKT-Assets enthalten.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 19
Artikel 19
Richtlinien für Personalpolitik
RTS IKT-Risikomanagement (2024/1774)
Die Finanzunternehmen nehmen in ihre Richtlinien für Personalpolitik oder in ihre anderen einschlägigen Richtlinien alle nachstehend genannten IKT-sicherheitsbezogenen Elemente auf:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D06.009Erstellung einer Richtlinie zur Personalpolitik (Personalsicherheitsrichtlinie)S
Personalsicherheitsrichtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
a)
die Angabe und Zuweisung etwaiger spezifischer Zuständigkeiten im Bereich der IKT-Sicherheit,
DORA-Sollmaßnahmen
D06.010Personalsicherheitsrichtlinie: Zuweisung von IKT-SicherheitsverantwortlichkeitenS
b)
die Vorgabe für die Mitarbeiter des Finanzunternehmens und des IKT-Drittdienstleisters, die IKT-Assets des Finanzunternehmens nutzen oder auf diese zugreifen,
i)
sich über die Richtlinien, Verfahren und Protokolle des Finanzunternehmens zur IKT-Sicherheit zu informieren und diese einzuhalten,
ii)
auf dem Laufenden darüber zu sein, welche Kanäle das Finanzunternehmen für die Meldung anomaler Verhaltensweisen geschaffen hat, wozu — soweit relevant — die gemäß der Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates (11) eingerichteten Meldekanäle zählen,
iii)
dem Finanzunternehmen nach Beendigung des Beschäftigungsverhältnisses alle in ihrem Besitz befindlichen IKT-Assets und materiellen Informationsassets, die Eigentum des Finanzunternehmens sind, auszuhändigen.
DORA-Sollmaßnahmen
Vorgabedokument: Personalsicherheitsrichtlinie
D06.011Personalsicherheitsrichtlinie: Kenntnis und Einhaltung der IKT-VorgabenS
D06.012Personalsicherheitsrichtlinie: Meldekanäle für anomales Verhalten (Whistleblowing)S
D06.013Personalsicherheitsrichtlinie: Rückgabe von Assets bei AustrittS
Vorgabedokument: Allgemeine Vertragsinhalte
D23.050Allgemeine Vertragsinhalte: Pflichten der Mitarbeitenden des IKT-DrittdienstleistersS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D25.021Sicherheitsunterweisung und Asset-Rückgabe bei IKT-DrittdienstleisternS
DORA-Schulungsfolien
Personalsicherheit: Was in die Personalsicherheitsrichtlinie gehört
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 20
Artikel 20
Identitätsmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Um die Zuweisung der Nutzerzugriffsrechte gemäß Artikel 21 zu ermöglichen, entwickeln, dokumentieren und implementieren die Finanzunternehmen im Rahmen der Kontrolle der Zugangs- und Zugriffsrechte Richtlinien und Verfahren für das Identitätsmanagement, die die eindeutige Identifizierung und Authentifizierung der natürlichen Personen und Systeme, die auf Informationen der Finanzunternehmen zugreifen, gewährleisten.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D17.001Erstellung einer IAM-RichtlinieS
Richtlinie zum Identitäts- und Berechtigungsmanagement: Die IAM-Richtlinie im DORA-Tempel
D17.016Erstellung eines Verfahrens zum IdentitätsmanagementS
Verfahren zum Identitätsmanagement: Einordnung in die Dokumentenhierarchie
D17.019Eindeutige Identifizierung und Verwaltung der ZugriffsrechteS
Identitäts- und Berechtigungsmanagement (Identity & Access Management, kurz: IAM)
(2)
Die in Absatz 1 genannten Richtlinien für das Identitätsmanagement müssen alles Folgende vorsehen:
a)
unbeschadet des Artikels 21 Absatz 1 Buchstabe c ist jedem Mitarbeiter des Finanzunternehmens oder Mitarbeitern der IKT-Drittdienstleister, die auf die Informationsassets und IKT-Assets des Finanzunternehmens zugreifen, eine eindeutige Identität zuzuweisen, die einem eindeutigen Nutzerkonto zugeordnet werden kann,
DORA-Sollmaßnahmen
D17.017Verfahren zum Identitätsmanagement: eindeutige Identität je PersonS
D17.029Schutz von Aufzeichnungen im IdentitätsmanagementS
b)
einen Lebenszyklusmanagementprozess für Identitäten und Konten, der die Erstellung, Änderung, Überprüfung und Aktualisierung, die vorübergehende Deaktivierung und die Beendigung aller Konten umfasst.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D17.018Verfahren zum Identitätsmanagement: Identitäts-LebenszyklusS
VAW zum Identitätsmanagement: Was ins Verfahren zum Identitätsmanagement gehört
Für die Zwecke des Buchstabens a führen die Finanzunternehmen Aufzeichnungen über alle zugeordneten Identitäten. Diese Aufzeichnungen werden unbeschadet der im geltenden Unionsrecht und im nationalen Recht festgelegten Speicherpflichten nach einer Umstrukturierung des Finanzunternehmens oder nach Ablauf der Vertragsbeziehung aufbewahrt.
Für die Zwecke des Buchstabens b greifen die Finanzunternehmen beim Lebenszyklusmanagementprozess für Identitäten soweit möglich und angemessen auf automatisierte Lösungen zurück.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 21
Artikel 21
Zugangskontrolle
RTS IKT-Risikomanagement (2024/1774)
Im Rahmen der Kontrolle der Zugangs- und Zugriffsrechte entwickeln, dokumentieren und implementieren die Finanzunternehmen Richtlinien, die alles Folgende vorsehen:
a)
die Zuweisung der Rechte auf Zugang zu IKT-Assets nach dem Grundsatz „Kenntnis nur, wenn nötig“ („Need-to-know“), nach dem Grundsatz der Nutzungsnotwendigkeit („Need-to-use“) und nach dem Grundsatz der minimalen Berechtigung („Least privileges“), auch für den Fern- und Notfallzugang,
DORA-Sollmaßnahmen
D17.004IAM-Richtlinie: Need-to-know, Need-to-use und Least PrivilegeS
D17.028BerechtigungskonzepteS
b)
die Abtrennung der Aufgaben, einen ungerechtfertigten Zugang zu kritischen Daten zu verhindern oder die Zuweisung einer Kombination von Zugriffsrechten zu verhindern, die zur Umgehung von Kontrollen genutzt werden können,
DORA-Sollmaßnahmen
Vorgabedokument: IAM-Richtlinie
D17.005IAM-Richtlinie: Funktionstrennung (Segregation of Duties)S
D17.013Aufgabentrennung bei der BerechtigungsvergabeS
D17.014Erkennung und Behebung von SoD-KonfliktenS
c)
eine Bestimmung zur Zurechenbarkeit, die die Nutzung generischer und gemeinsam genutzter Nutzerkonten so weit wie möglich einschränkt und die sicherstellt, dass die in den IKT-Systemen vorgenommenen Handlungen jederzeit einem Nutzer zugeordnet werden können,
DORA-Sollmaßnahmen
D13.015Protokollierungsverfahren: generische und gemeinsame KontenS
D17.006IAM-Richtlinie: generische und gemeinsame NutzerkontenS
d)
eine Bestimmung zur Beschränkung des Zugangs zu IKT-Assets, die Kontrollen und Tools zur Verhinderung eines unbefugten Zugangs vorsieht,
DORA-Sollmaßnahmen
D17.007IAM-Richtlinie: technische Durchsetzung der ZugriffsbegrenzungS
e)
Kontoverwaltungsverfahren für die Gewährung, Änderung oder Entziehung von Zugangsrechten für Nutzerkonten und generische Konten, insbesondere auch für generische Administratorkonten, die alles Folgende beinhalten:
i)
die Zuweisung der Aufgaben und Zuständigkeiten für die Gewährung, Überprüfung und Entziehung von Zugangsrechten,
ii)
die Zuweisung eines bevorrechtigten Zugangs, eines Notfallzugangs und eines Administratorzugangs nach dem Grundsatz der Nutzungsnotwendigkeit oder ad hoc bei allen IKT-Systemen,
iii)
den umgehenden Entzug der Zugangsrechte bei Beendigung des Beschäftigungsverhältnisses oder wenn der Zugang nicht länger erforderlich ist,
iv)
die Aktualisierung der Zugangsrechte, wenn Änderungen notwendig sind, mindestens aber einmal jährlich bei allen IKT-Systemen mit Ausnahme derjenigen, die kritische oder wichtige Funktionen unterstützen, und mindestens alle sechs Monate bei IKT-Systemen, die kritische oder wichtige Funktionen unterstützen;
DORA-Sollmaßnahmen
Vorgabedokument: Verfahren zum Berechtigungsmanagement
D17.020Erstellung eines Verfahrens zum BerechtigungsmanagementS
D17.021Verfahren zum Berechtigungsmanagement: Gewährung, Änderung und EntziehungS
D17.022Verfahren zum Berechtigungsmanagement: Aufbewahrung zugriffsrelevanter ProtokolleS
D17.023Verfahren zum Berechtigungsmanagement: unverzüglicher Entzug bei AustrittS
D17.024Verfahren zum Berechtigungsmanagement: Rezertifizierung (Turnus)S
D17.025Verfahren zum Berechtigungsmanagement: privilegierte Zugänge, separate AdministratorkontenS
D17.026Verfahren zum Berechtigungsmanagement: Vergabe und Entzug privilegierter ZugängeS
D17.027Mindestens jährliche Überprüfung der ZugriffsrechteS
Vorgabedokument: Protokollierungsverfahren
D13.004Protokollierungsverfahren: AufbewahrungsfristenS
f)
Authentifizierungsmethoden, die alles Folgende vorsehen:
i)
die Nutzung von Authentifizierungsmethoden ist der gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 vorgenommenen Klassifizierung und dem Gesamtrisikoprofil der IKT-Assets angemessen und trägt führenden Praktiken Rechnung,
ii)
die Nutzung starker Authentifizierungsmethoden entspricht den führenden Praktiken und Techniken für den Fernzugang zum Netz des Finanzunternehmens, für den bevorrechtigten Zugang, für den Zugang zu IKT-Assets, die kritische oder wichtige Funktionen unterstützen oder IKT-Assets, die öffentlich zugänglich sind,
DORA-Sollmaßnahmen
Vorgabedokument: IAM-Richtlinie
D17.003IAM-Richtlinie: starke Authentifizierung (MFA)S
D17.008IAM-Richtlinie: Authentifizierungsmethoden nach SchutzbedarfS
g)
physische Zugangskontrollen, die Folgendes einschließen:
i)
die Identifizierung und Protokollierung natürlicher Personen mit Zugangsberechtigung für Räumlichkeiten, Rechenzentren und die vom Finanzunternehmen designierten sensiblen Bereiche, in denen IKT- und Informationsassets untergebracht sind,
ii)
die Gewährung der Rechte auf physischen Zugang zu kritischen IKT-Assets nur für befugte Personen nach dem Grundsatz „Kenntnis nur, wenn nötig“ und dem Grundsatz der minimalen Berechtigung sowie ad hoc,
iii)
die Überwachung des physischen Zugangs zu Räumlichkeiten, Rechenzentren und die vom Finanzunternehmen designierten sensiblen Bereiche, in denen IKT- und/oder Informationsassets untergebracht sind,
iv)
die Überprüfung der physischen Zugangsrechte, um zu gewährleisten, dass unnötige Zugangsrechte umgehend entzogen werden.
DORA-Sollmaßnahmen
Vorgabedokument: Protokollierungsverfahren
D13.016Protokollierungsverfahren: Zugangsberechtigte zu sensiblen BereichenS
Vorgabedokument: IAM-Richtlinie
D17.009IAM-Richtlinie: physische ZugangskontrollenS
D17.010IAM-Richtlinie: physische Zutrittsrechte zu kritischen AssetsS
D17.011IAM-Richtlinie: Überwachung physischer ZutritteS
D17.012IAM-Richtlinie: Überprüfung physischer ZutrittsrechteS
Für die Zwecke von Buchstabe e Ziffer i legen die Finanzunternehmen die Speicherfrist fest und tragen dabei den Geschäftszielen und den Zielen für die Informationssicherheit, den Gründen für die Protokollierung des Ereignisses und den Ergebnissen der IKT-Risikobewertung Rechnung.
Für die Zwecke von Buchstabe e Ziffer ii verwenden die Finanzunternehmen für die Ausführung administrativer Aufgaben in IKT-Systemen nach Möglichkeit spezielle Konten. Für das Management des bevorrechtigten Zugangs greifen die Finanzunternehmen soweit möglich und angemessen auf automatisierte Lösungen zurück.
Für die Zwecke von Buchstabe g Ziffer i müssen die Identifizierung und Protokollierung der Bedeutung der Räumlichkeiten, der Rechenzentren und der designierten sensiblen Bereiche und der Kritikalität der dort untergebrachten Geschäftstätigkeiten oder IKT-Systeme angemessen sein.
Für die Zwecke von Buchstabe g Ziffer iii muss die Überwachung der gemäß Artikel 8 Absatz 1 der Verordnung (EU) 2022/2554 vorgenommenen Klassifizierung und der Kritikalität des Zugangsbereichs angemessen sein.
DORA-Schulungsfolien
Identitäts- und Berechtigungsmanagement: die Analogie zum Verkehrswesen
Identitäts- und Berechtigungsmanagement: die Erwartungshaltung der Aufsicht
Richtlinie zum Identitäts- und Berechtigungsmanagement: die IAM-Grundbegriffe
Richtlinie zum Identitäts- und Berechtigungsmanagement (2/4): Grundsätze und Konten
Richtlinie zum Identitäts- und Berechtigungsmanagement (3/4): Konten und Authentifizierung
Richtlinie zum Identitäts- und Berechtigungsmanagement (4/4): der physische Zutritt
Verfahren zum Berechtigungsmanagement: Einordnung in die Dokumentenhierarchie
VAW zum Berechtigungsmanagement (1/2): das Berechtigungsverfahren
VAW zum Berechtigungsmanagement (2/2): das Berechtigungsverfahren
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 22
Artikel 22
Richtlinien für die Behandlung IKT-bezogener Vorfälle
RTS IKT-Risikomanagement (2024/1774)
Im Rahmen des Mechanismus zur Erkennung anomaler Aktivitäten, worunter auch Probleme bei der Leistung von IKT-Netzwerken und IKT-bezogene Vorfälle fallen, entwickeln, dokumentieren und implementieren die Finanzunternehmen Richtlinien für IKT-bezogene Vorfälle, in deren Rahmen sie
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.001Erstellung einer Richtlinie für die Behandlung IKT-bezogener VorfälleS
Richtlinie für IKT-bezogene Vorfälle: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D09.029Bewertung von Netzwerkleistungsproblemen im IKT-VorfallmanagementS
a)
den in Artikel 17 der Verordnung (EU) 2022/2554 genannten Prozess für die Behandlung IKT-bezogener Vorfälle dokumentieren,
DORA-Sollmaßnahmen
D21.002Richtlinie für die Behandlung IKT-bezogener Vorfälle: Einrichtung und Dokumentation des IKT-VorfallmanagementprozessesS
b)
eine Liste der relevanten Kontakte erstellen, die mit internen Funktionen und externen Interessenträgern, die direkt an der IKT-Betriebssicherheit beteiligt sind, unter anderem in Bezug auf Folgendes unterhalten werden:
i)
die Erkennung und Überwachung von Cyberbedrohungen,
ii)
die Erkennung anomaler Aktivitäten,
iii)
das Schwachstellenmanagement;
DORA-Sollmaßnahmen
D21.003Richtlinie für die Behandlung IKT-bezogener Vorfälle: Kontaktliste zuständiger FunktionenS
c)
technische, organisatorische und operative Mechanismen zur Unterstützung des Prozesses für die Behandlung IKT-bezogener Vorfälle einrichten, implementieren und betreiben, darunter auch Mechanismen, die eine rasche Erkennung anomaler Tätigkeiten und Verhaltensweisen gemäß Artikel 23 ermöglichen,
DORA-Sollmaßnahmen
D21.004Richtlinie für die Behandlung IKT-bezogener Vorfälle: Mechanismen zur ProzessunterstützungS
d)
gemäß Artikel 8 Absatz 2 der Delegierten Verordnung (EU) 2024/1772 der Kommission (12) und gemäß allen nach Unionsrecht geltenden Speichervorschriften alle Nachweise im Zusammenhang mit IKT-bezogenen Vorfällen so lange aufbewahren, wie es für die Zwecke der Datenerhebung unbedingt erforderlich und der Kritikalität der betreffenden Unternehmensfunktionen, unterstützenden Prozesse sowie IKT- und Informationsassets angemessen ist,
DORA-Sollmaßnahmen
D21.005Richtlinie für die Behandlung IKT-bezogener Vorfälle: Sichere Aufbewahrung von BeweismittelnS
e)
Mechanismen zur Analyse bedeutender oder wiederkehrender IKT-bezogener Vorfälle und -Muster in Bezug auf Anzahl und Auftreten IKT-bezogener Vorfälle einrichten und implementieren.
DORA-Sollmaßnahmen
D21.006Richtlinie für die Behandlung IKT-bezogener Vorfälle: Analyse wiederkehrender Vorfälle und MusterS
Für die Zwecke des Buchstabens d bewahren die Finanzunternehmen die dort genannten Nachweise auf sichere Weise auf.
DORA-Schulungsfolien
VAW für IKT-bezogene Vorfälle: Einordnung in die Dokumentenhierarchie
Richtlinie für IKT-bezogene Vorfälle (1/2)
Richtlinie für IKT-bezogene Vorfälle (2/2)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 23
Artikel 23
Erkennung anormaler Aktivitäten und Kriterien für die Erkennung IKT-bezogener Vorfälle und die Reaktion auf solche Vorfälle
RTS IKT-Risikomanagement (2024/1774)
(1)
Um IKT-bezogene Vorfälle und anormale Aktivitäten wirkungsvoll zu erkennen und wirkungsvoll darauf reagieren zu können. legen die Finanzunternehmen klare Aufgaben und Zuständigkeiten fest.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.010Mechanismen zur Anomalieerkennung: Aufgaben und ZuständigkeitenS
Anomalie- und Vorfallerkennung im Rahmen des IKT-Incident Managements (1/3): Übersicht
Anomalie- und Vorfallerkennung im Rahmen des IKT-Incident Managements (2/3): Übersicht
Anomalie- und Vorfallerkennung im Rahmen des IKT-Incident Managements (3/3): Übersicht
(2)
Der in Artikel 10 Absatz 1 der Verordnung (EU) 2022/2554 genannte Mechanismus zur umgehenden Erkennung anomaler Aktivitäten, darunter auch Probleme bei der Leistung von IKT-Netzwerken und IKT-bezogene Vorfälle, muss es den Finanzunternehmen ermöglichen,
DORA-Sollmaßnahmen
D09.029Bewertung von Netzwerkleistungsproblemen im IKT-VorfallmanagementS
a)
alles Folgende zu sammeln, zu überwachen und zu analysieren:
i)
interne und externe Faktoren, darunter zumindest die gemäß Artikel 12 gesammelten Protokolle, die Informationen von Unternehmens- und IKT-Funktionen sowie alle etwaigen, von Nutzern des Finanzunternehmens gemeldeten Probleme,
ii)
potenzielle interne und externe Cyberbedrohungen unter Berücksichtigung der üblicherweise von Angreifern verwendeten Szenarien und der auf Bedrohungsanalysen beruhenden Szenarien,
iii)
Meldungen IKT-bezogener Vorfälle durch einen IKT-Drittdienstleister des Finanzunternehmens, die in den Systemen und Netzwerken des IKT-Drittdienstleisters entdeckt wurden und Auswirkungen auf das Finanzunternehmen haben könnten,
DORA-Sollmaßnahmen
D09.018Richtlinie für das Management der Netzwerksicherheit: Erstellung und Auswertung von NetzwerkprotokollenS
D09.031Protokollierung und Auswertung von NetzwerkereignissenS
D13.011Protokollierungsverfahren: NetzwerkverkehrS
D21.011Mechanismen zur Anomalieerkennung: Datenquellen der ErkennungsmechanismenS
D25.022Zuführung von Vorfallmeldungen der IKT-Drittdienstleister zum internen IKT-VorfallmanagementS
b)
anomale Aktivitäten und Verhaltensweisen festzustellen und Tools einzusetzen, die zumindest für IKT- und Informationsassets, die kritische oder wichtige Funktionen unterstützen, Warnmeldungen generieren, die auf anomale Aktivitäten und Verhaltensweisen aufmerksam machen,
DORA-Sollmaßnahmen
Vorgabedokument: Richtlinie für die Behandlung IKT-bezogener Vorfälle
D21.012Mechanismen zur Anomalieerkennung: Tools mit automatisierten Warnmeldungen für kwFS
D21.013Mechanismen zur Anomalieerkennung: Regelbasis der ErkennungstoolsS
c)
die unter Buchstabe b genannten Warnmeldungen zu priorisieren, damit die festgestellten IKT-bezogenen Vorfälle innerhalb der von den Finanzunternehmen festgelegten erwarteten Abwicklungszeit sowohl während als auch außerhalb der Arbeitszeiten gelöst werden können,
DORA-Sollmaßnahmen
D21.014Mechanismen zur Anomalieerkennung: Priorisierung der WarnmeldungenS
d)
sämtliche relevanten Informationen über alle anomalen Aktivitäten und Verhaltensweisen automatisch oder manuell aufzuzeichnen, zu analysieren und auszuwerten.
DORA-Sollmaßnahmen
D21.015Mechanismen zur Anomalieerkennung: Erfassung und Bewertung anomaler AktivitätenS
Für die Zwecke des Buchstabens b beinhalten die dort genannten Tools auch solche, die nach vorab definierten Regeln automatische Warnmeldungen zur Feststellung von Anomalien generieren, die die Vollständigkeit und Integrität der Datenquellen oder gesammelten Protokolle beeinträchtigen.
(3)
Die Finanzunternehmen schützen jede Aufzeichnung anomaler Aktivitäten vor Manipulation und unbefugtem Zugriff und zwar unabhängig davon, ob diese Daten gespeichert sind oder gerade übermittelt oder verwendet werden.
DORA-Sollmaßnahmen
D13.012Protokollierungsverfahren: Schutz der ProtokolldatenS
D21.016Mechanismen zur Anomalieerkennung: Manipulationsschutz der AufzeichnungenS
(4)
Für jede festgestellte anomale Aktivität protokollieren die Finanzunternehmen alle relevanten Informationen, die
a)
die Feststellung von Datum und Uhrzeit der anomalen Aktivität ermöglichen,
b)
die Feststellung von Datum und Uhrzeit der Erkennung der anomalen Aktivität ermöglichen,
c)
die Feststellung der Art der anomalen Aktivität ermöglichen.
DORA-Sollmaßnahmen
D21.017Mechanismen zur Anomalieerkennung: Protokollierung je AnomalieS
(5)
Wenn die Finanzunternehmen die in Artikel 10 Absatz 2 der Verordnung (EU) 2022/2554 genannten Erkennungs- und Reaktionsprozesse für IKT-bezogene Vorfälle auslösen, tragen sie dabei allen folgenden Kriterien Rechnung:
a)
Hinweisen darauf, dass in einem IKT-System oder -Netzwerk möglicherweise eine böswillige Aktivität stattgefunden hat oder dieses IKT-System oder -Netzwerk korrumpiert sein könnte,
b)
Datenverlusten, die im Hinblick auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten festgestellt wurden,
c)
festgestellten schädlichen Auswirkungen auf die Transaktionen und Operationen des Finanzunternehmens,
d)
der Nichtverfügbarkeit von IKT-Systemen und -Netzwerken.
(6)
Für die Zwecke des Absatzes 5 tragen die Finanzunternehmen auch der Kritikalität der betroffenen Dienstleistung Rechnung.
DORA-Sollmaßnahmen
D21.018Mechanismen zur Anomalieerkennung: Auslösekriterien für Erkennung und ReaktionS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 24
Artikel 24
Komponenten der IKT-Geschäftsfortführungsleitlinie
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen nehmen in die in Artikel 11 Absatz 1 der Verordnung (EU) 2022/2554 genannte IKT-Geschäftsfortführungsleitlinie Folgendes auf:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D26.001Erstellung einer IKT-GeschäftsfortführungsleitlinieS
IKT-Geschäftsfortführungsleitlinie: Analogie zum Notfallmanagement
IKT-Geschäftsfortführungsleitlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
IKT-Geschäftsfortführungsleitlinie (1/2): Was in die IKT-Geschäftsfortführungsleitlinie gehört
IKT-Geschäftsfortführungsleitlinie (2/2): Was in die IKT-Geschäftsfortführungsleitlinie gehört
a)
eine Beschreibung
i)
der Ziele der IKT-Geschäftsfortführungsleitlinie, darunter auch der Wechselwirkungen zwischen der IKT- und der allgemeinen Geschäftsfortführung, unter Berücksichtigung der Ergebnisse der in Artikel 11 Absatz 5 der Verordnung (EU) 2022/2554 genannten Business-Impact-Analyse,
ii)
des Umfangs der Geschäftsfortführungsvorkehrungen, -pläne, -verfahren und -mechanismen samt etwaiger Beschränkungen und Ausschlüsse,
iii)
des von den Geschäftsfortführungsvorkehrungen, -plänen, -verfahren und -mechanismen abzudeckenden Zeitraums,
iv)
der Kriterien für die Aktivierung und Deaktivierung von IKT-Geschäftsfortführungsplänen, IKT-Reaktions- und Wiederherstellungsplänen und Krisenkommunikationsplänen;
DORA-Sollmaßnahmen
Vorgabedokument: IKT-Geschäftsfortführungsleitlinie
D26.004IKT-Geschäftsfortführungsleitlinie: Ziele und Abgrenzung zum BCMS
D26.005IKT-Geschäftsfortführungsleitlinie: GeltungsbereichS
D26.006IKT-Geschäftsfortführungsleitlinie: Abzudeckender ZeitraumS
D26.007IKT-Geschäftsfortführungsleitlinie: Aktivierung und Deaktivierung der PläneS
Vorgabedokument: IKT-Geschäftsfortführungspläne (IKT-GFP)
D26.041IKT-Geschäftsfortführungspläne: Pflichtinhalte der PläneS
Vorgabedokument: Krisenkommunikationspläne
D26.048Krisenkommunikationspläne: Pflichtinhalte der PläneS
b)
Bestimmungen zu:
i)
Governance und Organisation zur Umsetzung der IKT-Geschäftsfortführungsleitlinie, einschließlich Aufgaben, Zuständigkeiten und Eskalationsverfahren, wobei zu gewährleisten ist, dass ausreichende Ressourcen zur Verfügung stehen,
ii)
der Abstimmung zwischen den IKT-Geschäftsfortführungsplänen und den allgemeinen Geschäftsfortführungsplänen, was zumindest alles Folgende angeht:
1.
die potenziellen Ausfallszenarien, einschließlich der in Artikel 26 Absatz 2 genannten Szenarien,
2.
die Ziele für die Wiederherstellung des Geschäftsbetriebs, wobei festzulegen ist, dass das Finanzunternehmen den Betrieb seiner kritischen oder wichtigen Funktionen nach einer Störung entsprechend den Vorgaben für die Wiederherstellungszeit und den Wiederherstellungspunkt wiederherstellen können muss;
iii)
der Entwicklung von IKT-Geschäftsfortführungsplänen für schwerwiegende Betriebsstörungen als Teil dieser Pläne und der Priorisierung der IKT-Geschäftsfortführungsmaßnahmen nach einem risikobasierten Ansatz,
iv)
Entwicklung, Tests und Überprüfung der IKT-Reaktions- und Wiederherstellungspläne gemäß den Artikeln 25 und 26,
v)
der Überprüfung der Wirksamkeit umgesetzter Geschäftsfortführungsvorkehrungen, -pläne, -verfahren und -mechanismen gemäß Artikel 26,
vi)
der Abstimmung der IKT-Geschäftsfortführungsleitlinie mit:
1.
der in Artikel 14 Absatz 2 der Verordnung (EU) 2022/2554 genannten Kommunikationsstrategie,
2.
den in Artikel 11 Absatz 2 Buchstabe e der Verordnung (EU) 2022/2554 genannten Kommunikations- und Krisenmanagementmaßnahmen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: IKT-Geschäftsfortführungsleitlinie
D26.002IKT-Geschäftsfortführungsleitlinie: Verweis auf die IKT-Reaktions- und WiederherstellungspläneS
D26.003IKT-Geschäftsfortführungsleitlinie: Governance und OrganisationS
D26.008IKT-Geschäftsfortführungsleitlinie: Abstimmung mit allgemeinen GeschäftsfortführungsplänenS
D26.009IKT-Geschäftsfortführungsleitlinie: IKT-Geschäftsfortführungspläne (Pflicht)S
Verfahren zum IKT-BCM: Was in einen IKT-Geschäftsfortführungsplan gehört
D26.010IKT-Geschäftsfortführungsleitlinie: Wirksamkeit und Überprüfung der PläneS
D26.011IKT-Geschäftsfortführungsleitlinie: Abstimmung mit der KommunikationsleitlinieS
Vorgabedokument: IKT-Geschäftsfortführungspläne (IKT-GFP)
D26.039Erstellung der IKT-Geschäftsfortführungspläne, der IKT-Reaktions- und Wiederherstellungspläne und der KrisenkommunikationspläneS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D26.049Test und Wirksamkeitsbewertung der IKT-Geschäftsfortführungspläne, der IKT-Reaktions- und Wiederherstellungspläne und der KrisenkommunikationspläneS
(2)
Zentrale Gegenparteien stellen zusätzlich zu den Anforderungen in Absatz 1 sicher, dass ihre IKT-Geschäftsfortführungsleitlinie
a)
für ihre kritischen Funktionen eine Wiederherstellungszeit von maximal 2 Stunden vorsieht,
DORA-Sollmaßnahmen
D26.012IKT-Geschäftsfortführungsleitlinie: Zentrale Gegenparteien, Wiederherstellungszeit (2 h)S
b)
externen Verbindungen und wechselseitigen Abhängigkeiten innerhalb der Finanzinfrastrukturen Rechnung trägt, darunter Handelsplätzen, die von der zentralen Gegenpartei gecleart werden, Wertpapierliefer- und -abrechnungssystemen sowie Zahlungssystemen und Kreditinstituten, die von der zentralen Gegenpartei oder einer verbundenen zentralen Gegenpartei genutzt werden;
DORA-Sollmaßnahmen
D26.013IKT-Geschäftsfortführungsleitlinie: Zentrale Gegenparteien, externe AbhängigkeitenS
c)
Vorkehrungen im Hinblick darauf verlangt,
i)
die Fortführung kritischer oder wichtiger Funktionen der zentralen Gegenpartei ausgehend von Katastrophenszenarien sicherzustellen,
ii)
einen sekundären Verarbeitungsstandort zu unterhalten, der die Fortführung kritischer oder wichtiger Funktionen der zentralen Gegenpartei in gleicher Weise wie am Primärstandort gewährleisten kann,
iii)
einen sekundären Geschäftsstandort zu unterhalten oder zur sofortigen Verfügung zu haben, damit die Mitarbeiter die Dienstleistung weiter erbringen können, wenn der Primärstandort nicht verfügbar ist,
iv)
die Einrichtung zusätzlicher Verarbeitungsstandorte zu erwägen, insbesondere falls die unterschiedlichen Risikoprofile des primären und des sekundären Standorts keine hinreichende Gewähr dafür bieten, dass die Ziele der zentralen Gegenpartei hinsichtlich der Geschäftsfortführung in allen Szenarien erreicht werden können.
DORA-Sollmaßnahmen
D26.014IKT-Geschäftsfortführungsleitlinie: Zentrale Gegenparteien, KatastrophenszenarienS
Für die Zwecke von Buchstabe a führen die zentralen Gegenparteien Tagesabschlussprozesse und Zahlungen unter allen Umständen fristgerecht durch.
Für die Zwecke von Buchstabe c Ziffer i müssen die dort genannten Vorkehrungen die Verfügbarkeit angemessener Humanressourcen, die Höchstdauer eines Ausfalls der kritischen Funktionen, den Failover zu einem sekundären Standort und die Wiederherstellung an diesem sekundären Standort regeln.
Für die Zwecke von Buchstabe c Ziffer ii muss der dort genannte sekundäre Verarbeitungsstandort ein anderes geografisches Risikoprofil aufweisen als der Primärstandort.
(3)
Zentralverwahrer stellen zusätzlich zu den Anforderungen in Absatz 1 sicher, dass ihre IKT-Geschäftsfortführungsleitlinie
a)
etwaigen Verbindungen und wechselseitigen Abhängigkeiten gegenüber Nutzern, kritischen Versorgungsbetrieben und kritischen Dienstleistern, anderen Zentralverwahrern und anderen Marktinfrastrukturen Rechnung trägt,
DORA-Sollmaßnahmen
D26.015IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer, externe AbhängigkeitenS
b)
verlangt, dass die Vorkehrungen für die Geschäftsfortführung vorsehen, dass die Vorgabe für die Wiederherstellungszeit für ihre kritischen oder wichtigen Funktionen maximal zwei Stunden beträgt.
DORA-Sollmaßnahmen
D26.016IKT-Geschäftsfortführungsleitlinie: Zentralverwahrer, Wiederherstellungszeit (2 h)S
(4)
Handelsplätze stellen zusätzlich zu den Anforderungen in Absatz 1 sicher, dass ihre IKT-Geschäftsfortführungsleitlinie gewährleistet, dass
a)
der Handel nach einer Störung innerhalb von zwei Stunden oder einer geringfügig längeren Frist wieder aufgenommen werden kann,
DORA-Sollmaßnahmen
D26.017IKT-Geschäftsfortführungsleitlinie: Handelsplätze, Wiederaufnahme des Handels (2 h)S
b)
der Datenverlust bei allen IT-Diensten des Handelsplatzes nach einer Störung nahezu null beträgt.
DORA-Sollmaßnahmen
D26.018IKT-Geschäftsfortführungsleitlinie: Handelsplätze, Datenverlust nahezu nullS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 25
Artikel 25
Test des IKT-Geschäftsfortführungsplans
RTS IKT-Risikomanagement (2024/1774)
(1)
Beim Test der IKT-Geschäftsfortführungspläne gemäß Artikel 11 Absatz 6 der Verordnung (EU) 2022/2554 berücksichtigen die Finanzunternehmen ihre Business-Impact-Analyse (BIA) und die in Artikel 3 Absatz 1 Buchstabe b der vorliegenden Verordnung genannte IKT-Risikobewertung.
DORA-Sollmaßnahmen
D26.035Berücksichtigung von BIA und IKT-Risikobewertung beim PlantestS
(2)
Durch den in Absatz 1 genannten Test ihrer IKT-Geschäftsfortführungspläne beurteilen die Finanzunternehmen, ob sie die Fortführung ihrer kritischen oder wichtigen Funktionen gewährleisten können. Diese Tests müssen
a)
ausgehend von Testszenarien durchgeführt werden, bei denen potenzielle Störungen simuliert werden und die eine angemessene Zahl von schwerwiegenden, aber plausiblen Szenarien umfassen,
— keine Sollmaßnahme im Katalog zugeordnet
b)
gegebenenfalls Tests der von IKT-Drittanbietern erbrachten IKT-Dienstleistungen umfassen,
DORA-Sollmaßnahmen
D25.010Einbeziehung von IKT-Drittdienstleistern in BC-TestsS
c)
bei den in Artikel 11 Absatz 6 Unterabsatz 2 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, Szenarien für Umstellungen von der primären IKT-Infrastruktur auf die redundanten Kapazitäten, Backups und Systeme enthalten,
DORA-Sollmaßnahmen
D26.050Testszenarien Cyberangriff und Rechenzentrumsumschaltung für die IKT-Geschäftsfortführungspläne und die IKT-Reaktions- und WiederherstellungspläneS
d)
darauf ausgelegt sein, die Annahmen, auf denen die Geschäftsfortführungspläne beruhen, einschließlich der Governance-Regelungen und Krisenkommunikationspläne, infrage zu stellen,
— keine Sollmaßnahme im Katalog zugeordnet
e)
Verfahren enthalten, mit denen überprüft wird, ob die Mitarbeiter der Finanzunternehmen, die IKT-Drittdienstleister, die IKT-Systeme und die IKT-Dienste angemessen auf die gemäß Artikel 26 Absatz 2 gebührend berücksichtigten Szenarien reagieren.
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
Für die Zwecke des Buchstabens a nehmen die Finanzunternehmen in ihre Tests stets die bei Ausarbeitung der Geschäftsfortführungspläne berücksichtigten Szenarien auf.
Für die Zwecke des Buchstabens b berücksichtigen die Finanzunternehmen in gebührendem Umfang gegebenenfalls Szenarien, in denen die Insolvenz oder der Ausfall der IKT-Drittdienstleister oder politische Risiken im Sitzland der IKT-Drittdienstleister unterstellt werden.
Für die Zwecke des Buchstabens c wird bei den Tests überprüft, ob zumindest kritische oder wichtige Funktionen für ausreichend lange Zeit angemessen aufrechterhalten werden können und ob der normale Betrieb wiederhergestellt werden kann.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D26.043IKT-Geschäftsfortführungspläne: Testkonzeption und -umfangS
Verfahren zum IKT-BCM: sechs Anforderungen an einen Test
(3)
Zentrale Gegenparteien beziehen in die in Absatz 1 genannten Tests ihrer IKT-Geschäftsfortführungspläne neben den Anforderungen in Absatz 2 folgende Parteien ein:
a)
Clearingmitglieder,
b)
externe Dienstleister,
c)
relevante Institute in der Finanzinfrastruktur, mit denen zentrale Gegenparteien laut ihrer Geschäftsfortführungsleitlinie wechselseitige Abhängigkeiten verbinden.
DORA-Sollmaßnahmen
D26.027Zentrale Gegenparteien: Beteiligte an Tests der IKT-GeschäftsfortführungspläneS
(4)
Zentralverwahrer beziehen in die in Absatz 1 genannten Tests ihrer IKT-Geschäftsfortführungspläne neben den Anforderungen in Absatz 2 gegebenenfalls folgende Parteien ein:
a)
die Nutzer der Zentralverwahrer,
b)
kritische Versorgungsbetriebe und kritische Dienstleister,
c)
andere Zentralverwahrer,
d)
andere Marktinfrastrukturen,
e)
alle sonstigen Institute, mit denen die Zentralverwahrer laut ihrer Geschäftsfortführungsleitlinie wechselseitige Abhängigkeiten verbinden.
DORA-Sollmaßnahmen
D26.028Zentralverwahrer: Beteiligte an Tests der IKT-GeschäftsfortführungspläneS
(5)
Die Finanzunternehmen dokumentieren die Ergebnisse der in Absatz 1 genannten Tests. Alle bei diesen Tests festgestellten Schwachstellen werden analysiert, angegangen und dem Leitungsorgan zur Kenntnis gebracht.
DORA-Sollmaßnahmen
D26.042Tests der Pläne: Dokumentation und Bericht der ErgebnisseS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 26
Artikel 26
IKT-Reaktions- und Wiederherstellungspläne
RTS IKT-Risikomanagement (2024/1774)
(1)
Bei der Ausarbeitung der in Artikel 11 Absatz 3 der Verordnung (EU) 2022/2554 genannten IKT-Reaktions- und Wiederherstellungspläne berücksichtigen die Finanzunternehmen die Ergebnisse der Business-Impact-Analyse (BIA) des Finanzunternehmens. Diese IKT-Reaktions- und Wiederherstellungspläne müssen
DORA-Schulungsfolien
IKT-Reaktion und Wiederherstellung: IKT-Reaktions- und Wiederherstellungspläne (1/2)
IKT-Reaktion und Wiederherstellung: IKT-Reaktions- und Wiederherstellungspläne (2/2)
IKT-Reaktions- und Wiederherstellungspläne (1/2)
IKT-Reaktions- und Wiederherstellungspläne (2/2)
a)
die Bedingungen für die Aktivierung oder Deaktivierung der Pläne sowie etwaige für deren Aktivierung oder Deaktivierung geltenden Ausnahmen festlegen;
b)
beschreiben, welche Maßnahmen zu ergreifen sind, um die Verfügbarkeit, Integrität, Kontinuität und Wiederherstellung zumindest der IKT-Systeme und -Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen des Finanzunternehmens sicherzustellen;
c)
so konzipiert sein, dass sie den Zielen für die Wiederherstellung des Geschäftsbetriebs der Finanzunternehmen gerecht werden;
d)
dokumentiert und den an der Ausführung der IKT-Reaktions- und Wiederherstellungspläne beteiligten Mitarbeitern zur Verfügung gestellt werden und im Notfall leicht zugänglich sein;
e)
sowohl kurz- als auch langfristige Wiederherstellungsoptionen vorsehen, insbesondere auch die teilweise Systemwiederherstellung;
f)
die Ziele der IKT-Reaktions- und Wiederherstellungspläne sowie die Bedingungen festlegen, unter denen die Durchführung dieser Pläne für erfolgreich erklärt werden kann.
Für die Zwecke von Buchstabe d legen die Finanzunternehmen die Aufgaben und Zuständigkeiten klar fest.
DORA-Sollmaßnahmen
D26.045IKT-Reaktions- und Wiederherstellungspläne: Wiederherstellungsziele und RollenS
(2)
In den in Absatz 1 genannten IKT-Reaktions- und Wiederherstellungsplänen werden relevante Szenarien genannt, insbesondere auch Szenarien mit schwerwiegenden Betriebsstörungen und erhöhter Wahrscheinlichkeit, dass Störungen auftreten. In diesen Plänen werden Szenarien ausgearbeitet, die sich auf aktuelle Informationen über Bedrohungen und auf die Lehren aus früheren Betriebsstörungen stützen. Von den Finanzunternehmen werden alle folgenden Szenarien gebührend berücksichtigt:
DORA-Schulungsfolien
IKT-Reaktion und Wiederherstellung: Die neun Pflichtszenarien der IKT-Reaktions- und Wiederherstellungspläne
a)
Cyberangriffe und Umstellungen von der primären IKT-Infrastruktur auf die redundanten Kapazitäten, Backups und redundanten Systeme;
b)
Szenarien, in denen die Qualität der Bereitstellung einer kritischen oder wichtigen Funktion auf ein inakzeptables Niveau absinkt oder diese Funktion ganz ausfällt und in denen die potenziellen Auswirkungen der Insolvenz oder sonstiger Ausfälle eines relevanten IKT-Drittdienstleisters gebührend berücksichtigt werden;
c)
teilweiser oder vollständiger Ausfall von Räumlichkeiten, insbesondere auch von Büro- und Geschäftsräumen, sowie von Rechenzentren;
d)
erheblicher Ausfall von IKT-Assets oder der Kommunikationsinfrastruktur;
e)
Nichtverfügbarkeit einer kritischen Anzahl von Mitarbeitern oder von Mitarbeitern, die für die Gewährleistung der Betriebskontinuität zuständig sind;
f)
Auswirkungen von Ereignissen im Zusammenhang mit Klimawandel und Umweltzerstörung, Naturkatastrophen, Pandemien und physischen Angriffen, insbesondere auch durch Eindringen und Terroranschläge;
g)
Angriffe durch Insider;
h)
politische und soziale Instabilität, sofern relevant auch im Sitzland des IKT-Drittdienstleisters und am Standort der Datenspeicherung und -verarbeitung;
i)
weitverbreitete Stromausfälle.
DORA-Sollmaßnahmen
Vorgabedokument: IKT-Reaktions- und Wiederherstellungspläne
D25.013IKT-Reaktions- und Wiederherstellungspläne für IKT-DienstleistungenS
D26.046IKT-Reaktions- und Wiederherstellungspläne: Szenarienkatalog der PläneS
(3)
Sind die primären Wiederherstellungsmaßnahmen möglicherweise wegen Kosten, Risiken, Logistik oder unvorhergesehener Umstände kurzfristig nicht durchführbar, so werden in den in Absatz 1 genannten IKT-Reaktions- und Wiederherstellungsplänen auch Alternativen erwogen.
(4)
Im Rahmen der in Absatz 1 genannten IKT-Reaktions- und Wiederherstellungspläne werden von den Finanzunternehmen Kontinuitätsmaßnahmen geprüft und durchgeführt, um Ausfälle von IKT-Drittdienstleistern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen des Finanzunternehmens bereitstellen, zu mindern.
DORA-Sollmaßnahmen
D25.014Geschäftsfortführungsmaßnahmen bei IKT-DrittdienstleisternS
DORA-Sollmaßnahmen
D26.047IKT-Reaktions- und Wiederherstellungspläne: alternative Wiederherstellungsoptionen und Ausfall von IKT-DrittdienstleisternS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 27
Artikel 27
Format und Inhalt des Berichts über die Überprüfung des IKT-Risikomanagementrahmens
RTS IKT-Risikomanagement (2024/1774)
(1)
Die Finanzunternehmen legen den in Artikel 6 Absatz 5 der Verordnung (EU) 2022/2554 genannten Bericht über die Überprüfung des IKT-Risikomanagementrahmens in einem durchsuchbaren elektronischen Format vor.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.008Bericht zur Überprüfung des IKT-Risikomanagementrahmens: durchsuchbares elektronisches FormatS
Mindestinhalte des Berichts zum IKT-Risikomanagementrahmen (1/3)
(2)
Die Finanzunternehmen nehmen in den in Absatz 1 genannten Bericht alle folgenden Informationen auf:
a)
einen einleitenden Abschnitt, der Folgendes enthält:
i)
eine eindeutige Angabe des Finanzunternehmens, das Gegenstand des Berichts ist, und, sofern relevant, eine Beschreibung seiner Gruppenstruktur;
ii)
eine Beschreibung des Kontexts des Berichts mit Blick auf Art, Umfang und Komplexität der Dienstleistungen, Tätigkeiten und Geschäfte des Finanzunternehmens, seine Organisation, die ermittelten kritischen Funktionen, die Strategie, die wichtigsten laufenden Projekte oder Tätigkeiten, die Beziehungen und seine Abhängigkeit von internen und per Vertrag vergebenen IKT-Dienstleistungen und -Systemen oder die Auswirkungen, die ein Totalverlust oder eine schwerwiegende Verschlechterung derartiger Systeme hinsichtlich kritischer oder wichtiger Funktionen und der Markteffizienz hätte;
iii)
eine Zusammenfassung der wichtigsten Veränderungen des IKT-Risikomanagementrahmens seit dem letzten vorgelegten Bericht;
iv)
eine Kurzzusammenfassung des aktuellen und auf kurze Sicht bestehenden IKT-Risikoprofils, der Bedrohungslage, der erachteten Wirksamkeit seiner Kontrollen und der Sicherheitslage des Finanzunternehmens;
DORA-Sollmaßnahmen
D02.003Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Einleitung und EckdatenS
b)
das Datum der Genehmigung des Berichts durch das Leitungsorgan des Finanzunternehmens;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
c)
eine Beschreibung des Grunds für die Überprüfung des IKT-Risikomanagementrahmens nach Artikel 6 Absatz 5 der Verordnung (EU) 2022/2554;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
d)
das Anfangs- und Enddatum des Überprüfungszeitraums;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
e)
eine Angabe der für die Überprüfung verantwortlichen Funktion;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
f)
eine Beschreibung der wichtigsten Veränderungen und Verbesserungen des IKT-Risikomanagementrahmens seit der letzten Überprüfung;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.004Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Änderungen, Weiterentwicklung und InformationsquellenS
Mindestinhalte des Berichts zum IKT-Risikomanagementrahmen (2/3)
g)
eine Zusammenfassung der Ergebnisse der Überprüfung und eine detaillierte Analyse und Bewertung der Schwere der Schwächen, Mängel und Lücken des IKT-Risikomanagementrahmens im Überprüfungszeitraum;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D02.005Bericht zur Überprüfung des IKT-Risikomanagementrahmens: Ergebnisse, Maßnahmen und SchlussfolgerungenS
Mindestinhalte des Berichts zum IKT-Risikomanagementrahmen (3/3)
h)
eine Beschreibung der Maßnahmen zur Behebung festgestellter Schwächen, Mängel und Lücken, die alles Folgende enthält:
i)
eine Zusammenfassung der Maßnahmen, die zur Behebung festgestellter Schwächen, Mängel und Lücken ergriffen wurden;
ii)
ein voraussichtliches Datum für die Durchführung der Maßnahmen und Daten für die interne Kontrolle der Durchführung, einschließlich Informationen über den Stand der Durchführung dieser Maßnahmen zum Zeitpunkt der Ausarbeitung des Berichts, gegebenenfalls mit einer Erläuterung, ob die Gefahr besteht, dass Fristen nicht eingehalten werden;
iii)
die zu verwendenden Tools und die Nennung der für die Durchführung der Maßnahmen verantwortlichen Funktion, wobei anzugeben ist, ob es sich um interne oder externe Tools/Instrumente und Funktionen handelt;
iv)
eine Beschreibung der Auswirkungen der im Rahmen der Maßnahmen geplanten Veränderungen auf die finanziellen, personellen und materiellen Ressourcen des Finanzunternehmens, insbesondere auch auf die für die Durchführung etwaiger Korrekturmaßnahmen vorgesehenen Ressourcen;
v)
gegebenenfalls Informationen über das Verfahren zur Unterrichtung der zuständigen Behörde;
vi)
falls die festgestellten Schwächen, Mängel oder Lücken nicht Gegenstand von Korrekturmaßnahmen sind, eine ausführliche Erläuterung der Kriterien, die zur Analyse der Auswirkungen dieser Schwächen, Mängel oder Lücken herangezogen wurden, um das damit verbundene IKT-Restrisiko zu bewerten, sowie der Kriterien für das Eingehen des damit verbundenen Restrisikos;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
i)
Informationen über geplante Weiterentwicklungen des IKT-Risikomanagementrahmens;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
j)
Schlussfolgerungen aus der Überprüfung des IKT-Risikomanagementrahmens;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
k)
Informationen über frühere Überprüfungen, insbesondere auch
i)
eine Liste aller bisherigen Überprüfungen;
ii)
gegebenenfalls den Stand der Umsetzung der im letzten Bericht genannten Korrekturmaßnahmen;
iii)
falls sich die in früheren Überprüfungen vorgeschlagenen Korrekturmaßnahmen als unwirksam erwiesen oder zu unerwarteten Herausforderungen geführt haben, eine Beschreibung der Möglichkeiten für eine Verbesserung dieser Korrekturmaßnahmen oder der unerwarteten Herausforderungen;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
l)
die zur Ausarbeitung des Berichts herangezogenen Informationsquellen, die insbesondere auch alles Folgende beinhalten müssen:
i)
bei den in Artikel 6 Absatz 6 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, die Ergebnisse der internen Revisionen;
ii)
die Ergebnisse der Compliance-Bewertungen;
iii)
die Ergebnisse der Tests der digitalen operationalen Resilienz und gegebenenfalls die Ergebnisse der erweiterten Tests von IKT-Tools, -Systemen und -Prozessen auf Basis bedrohungsorientierter Penetrationstests (TLPT — Threat-Led Penetration Testing);
iv)
externe Quellen.
DORA-Sollmaßnahmen
D03.005Prüfung des IKT-RisikomanagementrahmensS
Wurde die Überprüfung nach aufsichtsrechtlichen Anweisungen oder Feststellungen, die sich aus einschlägigen Tests der digitalen operationalen Resilienz oder Auditverfahren ergeben, eingeleitet, so muss der Bericht für die Zwecke des Buchstabens c ausdrückliche Verweise auf diese Anweisungen oder Feststellungen enthalten, die Aufschluss über den Grund für die Einleitung der Überprüfung geben. Wurde die Überprüfung nach IKT-bezogenen Vorfällen eingeleitet, so muss der Bericht eine Liste aller IKT-bezogenen Vorfälle mit einer Analyse der Ursachen dieser Vorfälle enthalten.
Für die Zwecke von Buchstabe f enthält die Beschreibung eine Analyse der Auswirkungen der Veränderungen auf die Strategie für die digitale operationale Resilienz des Finanzunternehmens, auf den internen IKT-Kontrollrahmen des Finanzunternehmens und auf die IKT-Risikomanagement-Governance des Finanzunternehmens.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 28
Artikel 28
Governance und Organisation
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen müssen über einen internen Governance- und Kontrollrahmen verfügen, der ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen stellen im Zuge ihres vereinfachten IKT-Risikomanagementrahmens sicher, dass ihr Leitungsorgan
a)
die Gesamtverantwortung dafür trägt, dass der vereinfachte IKT-Risikomanagementrahmen im Einklang mit der Risikobereitschaft des Finanzunternehmens die Verwirklichung der Geschäftsstrategie des Finanzunternehmens ermöglicht, und sicherstellt, dass IKT-Risiken in diesem Zusammenhang berücksichtigt werden;
b)
für alle IKT-bezogenen Funktionen klare Aufgaben und Zuständigkeiten festlegt;
c)
die Ziele für die Informationssicherheit und die IKT-Anforderungen festlegt;
d)
Folgendes genehmigt, überwacht und regelmäßig überprüft:
i)
die in Artikel 30 Absatz 1 dieser Verordnung genannte Klassifizierung der Informations-Assets des Finanzunternehmens, die Liste der ermittelten Hauptrisiken sowie die Business-Impact-Analyse und die zugehörigen Richtlinien;
ii)
die in Artikel 16 Absatz 1 Buchstabe f der Verordnung (EU) 2022/2554 genannten Geschäftsfortführungspläne des Finanzunternehmens sowie Gegen- und Wiederherstellungsmaßnahmen;
e)
die nötigen Budgetmittel zuweist und mindestens einmal jährlich überprüft, um den Anforderungen des Finanzunternehmens an die digitale operationale Resilienz in Bezug auf alle Arten von Ressourcen gerecht werden zu können, einschließlich einschlägiger Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz sowie Vermittlung von IKT-Kompetenzen für alle Mitarbeiter;
f)
die in den Kapiteln I, II und III dieses Titels enthaltenen Richtlinien und Maßnahmen festlegt und umsetzt, um das IKT-Risiko, dem das Finanzunternehmen ausgesetzt ist, zu ermitteln, zu bewerten und zu managen;
g)
die notwendigen Verfahren, IKT-Protokolle und Tools ermittelt und implementiert, um sämtliche Informations- und IKT-Assets zu schützen;
h)
sicherstellt, dass die Mitarbeiter des Finanzunternehmens über ausreichende Kenntnisse und Fähigkeiten entsprechend den zu managenden IKT-Risiken verfügen und diesbezüglich stets auf dem neuesten Stand gehalten werden, um die IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Finanzunternehmens verstehen und bewerten zu können;
i)
die Modalitäten des Meldewesens festlegt, die insbesondere auch die Häufigkeit, die Form und den Inhalt der Meldungen an das Leitungsorgan über die Informationssicherheit und die digitale operationale Resilienz regeln.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Die in Absatz 1 genannten Finanzunternehmen können die Überprüfung der Einhaltung der Anforderungen für das IKT-Risikomanagement im Einklang mit den sektorspezifischen Rechtsvorschriften der Union und der Mitgliedstaaten an gruppeninterne IKT-Unternehmen oder an IKT-Drittdienstleister auslagern. Im Falle einer solchen Auslagerung bleiben die Finanzunternehmen weiterhin uneingeschränkt für die Überprüfung der Einhaltung der IKT-Risikomanagementanforderungen verantwortlich.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(4)
Die in Absatz 1 genannten Finanzunternehmen sorgen für eine angemessene Trennung und die Unabhängigkeit von Kontrollfunktionen und internen Revisionsfunktionen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(5)
Die in Absatz 1 genannten Finanzunternehmen stellen sicher, dass ihr vereinfachter IKT-Risikomanagementrahmen im Einklang mit dem Revisionsplan des betreffenden Finanzunternehmens einer internen Revision durch Revisoren unterzogen wird. Die Revisoren müssen über ausreichendes Wissen und ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken verfügen und unabhängig sein. Häufigkeit und Schwerpunkt der IKT-Revisionen müssen den IKT-Risiken des Finanzunternehmens angemessen sein.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(6)
Auf der Grundlage der Ergebnisse der in Absatz 5 genannten Revision stellen die in Absatz 1 genannten Finanzunternehmen die rechtzeitige Überprüfung und Auswertung kritischer Erkenntnisse der IKT-Revision sicher.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 29
Artikel 29
Informationssicherheitsleitlinien und -maßnahmen
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erarbeiten, dokumentieren und implementieren im Zusammenhang mit dem vereinfachten IKT-Risikomanagementrahmen eine Informationssicherheitsleitlinie. Diese Informationssicherheitsleitlinie enthält die übergeordneten Grundsätze und Regeln zum Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität von Daten und der von diesen Finanzunternehmen erbrachten Dienstleistungen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Auf der Grundlage ihrer in Absatz 1 genannten Informationssicherheitsleitlinie legen die in Absatz 1 genannten Finanzunternehmen IKT-Sicherheitsmaßnahmen zur Minderung ihres IKT-Risikos fest und setzen diese um, einschließlich Risikominderungsmaßnahmen, die von IKT-Drittdienstleistern umgesetzt werden.
Die IKT-Sicherheitsmaßnahmen müssen alle in den Artikeln 30 bis 38 genannten Maßnahmen umfassen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 30
Artikel 30
Klassifizierung von Informations- und IKT-Assets
RTS IKT-Risikomanagement (2024/1774)
(1)
Im Zuge des in Artikel 16 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten vereinfachten IKT-Risikomanagementrahmens ermitteln, klassifizieren und dokumentieren die in Absatz 1 jenes Artikels genannten Finanzunternehmen alle kritischen oder wichtigen Funktionen, die Informations- und IKT-Assets, die diese Funktionen unterstützen, und deren wechselseitige Abhängigkeiten. Die Finanzunternehmen überprüfen diese Ermittlung und Klassifizierung bei Bedarf.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen ermitteln alle kritischen oder wichtigen Funktionen, die von IKT-Drittdienstleistern unterstützt werden.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 31
Artikel 31
IKT-Risikomanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen nehmen in ihren vereinfachten IKT-Risikomanagementrahmen alles Folgende auf:
a)
eine Bestimmung der Risikotoleranzschwellen für das IKT-Risiko im Einklang mit der Risikobereitschaft des Finanzunternehmens;
b)
die Ermittlung und Bewertung der IKT-Risiken, denen das Finanzunternehmen ausgesetzt ist;
c)
die Festlegung von Abmilderungsstrategien zumindest für die IKT-Risiken, die jenseits der Risikotoleranzschwellen des Finanzunternehmens liegen;
d)
die Überwachung der Wirksamkeit der unter Buchstabe c genannten Abmilderungsstrategien;
e)
die Ermittlung und Bewertung etwaiger IKT- und Informationssicherheitsrisiken, die sich aus größeren Veränderungen des IKT-Systems oder der IKT-Dienstleistungen, -Prozesse oder -Verfahren sowie aus den Testergebnissen in Bezug auf die IKT-Sicherheit und nach schwerwiegenden IKT-bezogenen Vorfällen ergeben.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen führen die IKT-Risikobewertung dem IKT-Risikoprofil der Finanzunternehmen entsprechend regelmäßig durch und dokumentieren sie.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Die in Absatz 1 genannten Finanzunternehmen überwachen fortlaufend Bedrohungen und Schwachstellen, die für ihre kritischen oder wichtigen Funktionen sowie für Informations- und IKT-Assets relevant sind und überprüfen regelmäßig die Risikoszenarien, die sich auf diese kritischen oder wichtigen Funktionen auswirken.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(4)
Die in Absatz 1 genannten Finanzunternehmen legen Alarmschwellen und -kriterien für die Auslösung und Einleitung von Reaktionsprozessen bei IKT-bezogenen Vorfällen fest.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 32
Artikel 32
Physische Sicherheit und Sicherheit vor Umweltereignissen
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen ermitteln und implementieren physische Sicherheitsmaßnahmen, die ausgehend von der Bedrohungslage und entsprechend der in Artikel 30 Absatz 1 der vorliegenden Verordnung genannten Klassifizierung sowie auf Basis des Gesamtrisikoprofils der IKT-Assets und der zugänglichen Informationsassets konzipiert werden.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Maßnahmen schützen die Räumlichkeiten der Finanzunternehmen und, sofern anwendbar, die Rechenzentren von Finanzunternehmen, in denen IKT- und Informationsassets untergebracht sind, vor unbefugtem Zugriff, Angriffen und Unfällen sowie vor Umweltbedrohungen und -gefahren.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Der Schutz vor Umweltbedrohungen und -gefahren muss der Bedeutung der betreffenden Räumlichkeiten und, sofern anwendbar, der Rechenzentren und der Kritikalität der dort untergebrachten Geschäftstätigkeiten oder IKT-Systeme angemessen sein.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 33
Artikel 33
Zugangskontrolle
RTS IKT-Risikomanagement (2024/1774)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erarbeiten, dokumentieren und implementieren Verfahren für die Kontrolle des logischen und physischen Zugangs und setzen diese Verfahren durch, überwachen sie und überprüfen sie regelmäßig. Diese Verfahren umfassen die folgenden Elemente der Kontrolle des logischen und physischen Zugangs:
a)
Verwaltung der Rechte auf Zugang zu Informationsassets, IKT-Assets und den durch sie unterstützten Funktionen sowie zu kritischen Betriebsstandorten des Finanzunternehmens nach dem Grundsatz „Kenntnis nur, wenn nötig“ („Need-to-know“), nach dem Grundsatz der Nutzungsnotwendigkeit („Need-to-use“) und nach dem Grundsatz der minimalen Berechtigung („Least privileges“), auch für den Fern- und Notfallzugang;
b)
Zurechenbarkeit der Nutzer, die sicherstellt, dass die Nutzer, die Handlungen in den IKT-Systemen vorgenommen haben, identifiziert werden können;
c)
Kontoverwaltungsverfahren für die Gewährung, Veränderung oder Entziehung von Zugangsrechten für Nutzerkonten und generische Konten, insbesondere auch für generische Administratorkonten;
d)
Authentifizierungsmethoden, die der in Artikel 30 Absatz 1 genannten Klassifizierung und dem Gesamtrisikoprofil der IKT-Assets angemessen sind und auf führenden Praktiken beruhen;
e)
regelmäßige Überprüfung der Zugangsrechte und Entziehung nicht mehr benötigter Zugangsrechte.
Für die Zwecke von Buchstabe c weist das Finanzunternehmen den privilegierten Zugang, den Notfallzugang und den Administratorzugang bei allen IKT-Systemen nach dem Grundsatz der Nutzungsnotwendigkeit oder ad hoc zu und protokolliert den Zugang nach Maßgabe von Artikel 34 Absatz 1 Buchstabe f in einer Log-Datei.
Für die Zwecke von Buchstabe d wenden die Finanzunternehmen starke Authentifizierungsmethoden an, die sich auf führende Praktiken für den Fernzugriff auf das Netz der Finanzunternehmen, für den privilegierten Zugang und für den Zugang zu IKT-Assets zur Unterstützung kritischer oder wichtiger Funktionen stützen, die öffentlich verfügbar sind.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 34
Artikel 34
IKT-Betriebssicherheit
RTS IKT-Risikomanagement (2024/1774)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen müssen im Rahmen ihrer Systeme, Protokolle und Tools sowie bei allen IKT-Assets
a)
den Lebenszyklus aller IKT-Assets überwachen und managen;
b)
überwachen, ob die IKT-Assets von IKT-Drittdienstleistern der Finanzunternehmen unterstützt werden, sofern anwendbar;
c)
die Kapazitätsanforderungen ihrer IKT-Assets und Maßnahmen ermitteln, um die Verfügbarkeit und Effizienz der IKT-Systeme zu wahren und zu verbessern und IKT-Kapazitätsengpässen vorzubeugen, bevor sie auftreten;
d)
eine automatisierte Schwachstellensuche sowie Bewertungen der IKT-Assets durchführen, die der in Artikel 30 Absatz 1 genannten Klassifizierung und dem Gesamtrisikoprofil des betreffenden IKT-Assets angemessen sind, und Patches zur Behebung ermittelter Schwachstellen installieren;
e)
die mit veralteten oder nicht unterstützten IKT-Assets oder mit IKT-Altsystemen verbundenen Risiken managen;
f)
Vorfälle im Zusammenhang mit der logischen und physischen Zugangskontrolle, dem IKT-Betrieb, einschließlich System- und Netzwerkverkehr, sowie dem IKT-Änderungsmanagement protokollieren;
g)
Maßnahmen ermitteln und umsetzen, um Informationen über anomale Aktivitäten und anomales Verhalten bei kritischen oder wichtigen IKT-Vorgängen zu überwachen und zu analysieren;
h)
Maßnahmen zur Überwachung relevanter und aktueller Informationen über Cyberbedrohungen umsetzen;
i)
Maßnahmen zur Erkennung etwaiger Informationslecks, Schadcodes und anderer Sicherheitsbedrohungen sowie öffentlich bekannter Schwachstellen in Software und Hardware umsetzen und die Verfügbarkeit entsprechender neuer Sicherheitsupdates prüfen.
Für die Zwecke von Buchstabe f stimmen die Finanzunternehmen den Detaillierungsgrad der Protokolle auf deren Zweck und auf die Nutzung des IKT-Assets ab, der diese Protokolle produziert.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 35
Artikel 35
Daten-, System- und Netzwerksicherheit
RTS IKT-Risikomanagement (2024/1774)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen entwickeln und implementieren im Rahmen ihrer Systeme, Protokolle und Tools Schutzvorrichtungen, die die Sicherheit der Netzwerke gegen Eindringen und den Missbrauch von Daten gewährleisten und die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten wahren. Insbesondere tragen die Finanzunternehmen unter Berücksichtigung der in Artikel 30 Absatz 1 genannten Klassifizierung für alles Folgende Sorge:
a)
Ermittlung und Umsetzung von Maßnahmen zum Schutz von Daten, die gerade verwendet oder übermittelt werden, sowie von Daten, die gespeichert sind;
b)
Ermittlung und Umsetzung von Sicherheitsmaßnahmen für die Nutzung von Software, Datenträgern, Systemen und Endgeräten, die Daten des Finanzunternehmens übertragen und speichern;
c)
Ermittlung und Umsetzung von Maßnahmen zur Verhinderung und Aufdeckung unbefugter Verbindungen mit dem Netz des Finanzunternehmens und zur Sicherung des Netzverkehrs zwischen den internen Netzwerken des Finanzunternehmens und dem Internet und anderen externen Verbindungen;
d)
Ermittlung und Umsetzung von Maßnahmen zur Gewährleistung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten bei Netzwerkübertragungen;
e)
ein Verfahren zur sicheren Löschung von Daten in den Räumlichkeiten oder von extern gespeicherten Daten, die das Finanzunternehmen nicht mehr erheben oder speichern muss;
f)
ein Verfahren zur sicheren Entsorgung oder Außerbetriebnahme von Datenspeichern in den Räumlichkeiten oder von extern gelagerten Datenspeichern, die vertrauliche Informationen enthalten;
g)
Ermittlung und Umsetzung von Maßnahmen, mit denen sichergestellt wird, dass Telearbeit und die Nutzung privater Endgeräte die Fähigkeit des Finanzunternehmens, seine kritischen Tätigkeiten angemessen, rechtzeitig und sicher auszuführen, nicht beeinträchtigen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 36
Artikel 36
IKT-Sicherheitstests
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erstellen und implementieren einen Plan für IKT-Sicherheitstests, um die Wirksamkeit ihrer gemäß den Artikeln 33, 34 und 35 sowie 37 und 38 der vorliegenden Verordnung entwickelten IKT-Sicherheitsmaßnahmen zu bestätigen. Die Finanzunternehmen stellen sicher, dass in diesem Plan Bedrohungen und Schwachstellen berücksichtigt werden, die im Zuge des in Artikel 31 genannten vereinfachten IKT-Risikomanagementrahmens ermittelt wurden.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen überprüfen, bewerten und testen IKT-Sicherheitsmaßnahmen unter Berücksichtigung des Gesamtrisikoprofils der IKT-Assets des Finanzunternehmens.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Die in Absatz 1 genannten Finanzunternehmen überwachen und evaluieren die Ergebnisse der Sicherheitstests und bringen ihre Sicherheitsmaßnahmen im Falle von IKT-Systemen zur Unterstützung kritischer oder wichtiger Funktionen unverzüglich entsprechend auf Stand.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 37
Artikel 37
Beschaffung, Entwicklung und Wartung von IKT-Systemen
RTS IKT-Risikomanagement (2024/1774)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen konzipieren und implementieren, sofern angemessen, ein Verfahren für die Beschaffung, Entwicklung und Wartung von IKT-Systemen entsprechend einem risikobasierten Ansatz. Dieses Verfahren muss
a)
sicherstellen, dass die funktionalen und nichtfunktionalen Anforderungen, insbesondere auch die Anforderungen an die Informationssicherheit, von der betreffenden Unternehmensfunktion klar spezifiziert und genehmigt werden, bevor IKT-Systeme beschafft oder entwickelt werden;
b)
sicherstellen, dass IKT-Systeme vor ihrer erstmaligen Nutzung und vor der Einführung von Änderungen an der Produktionsumgebung getestet und genehmigt werden;
c)
Maßnahmen zur Minderung des Risikos einer unbeabsichtigten Veränderung oder einer vorsätzlichen Manipulation der IKT-Systeme während der Entwicklung und Implementierung in der Produktionsumgebung vorsehen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 38
Artikel 38
IKT-Projekt- und -Änderungsmanagement
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erarbeiten, dokumentieren und implementieren ein IKT-Projektmanagementverfahren und legen die Aufgaben und Zuständigkeiten für dessen Umsetzung fest. Dieses Verfahren erstreckt sich auf alle Phasen der IKT-Projekte von ihrer Einleitung bis zu ihrem Abschluss.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Finanzunternehmen entwickeln, dokumentieren und implementieren ein Verfahren für das IKT-Änderungsmanagement, um sicherzustellen, dass alle Änderungen an IKT-Systemen auf kontrollierte Weise und mit angemessenen Schutzvorkehrungen aufgezeichnet, getestet, bewertet, genehmigt, implementiert und verifiziert werden, um die digitale operationale Resilienz des Finanzunternehmens zu wahren.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 39
Artikel 39
Komponenten des IKT-Geschäftsfortführungsplans
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen erarbeiten ihre IKT-Geschäftsfortführungspläne unter Berücksichtigung der Ergebnisse der Analyse des Risikos und der potenziellen Auswirkungen von schwerwiegenden Betriebsstörungen und von Szenarien, denen ihre IKT-Assets zur Unterstützung kritischer oder wichtiger Funktionen ausgesetzt sein könnten, insbesondere auch dem Szenario eines Cyberangriffs.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten IKT-Geschäftsfortführungspläne müssen
a)
vom Leitungsorgan des Finanzunternehmens genehmigt sein;
b)
dokumentiert und im Not- oder Krisenfall leicht zugänglich sein;
c)
genügend Mittel für ihre Ausführung vorsehen;
d)
die geplanten Wiederherstellungsniveaus und Zeitrahmen für die Wiederherstellung und Wiederaufnahme von Funktionen sowie die wichtigsten internen und externen Abhängigkeiten, insbesondere auch IKT-Drittdienstleister, nennen;
e)
festlegen, welche Bedingungen zur Aktivierung der IKT-Geschäftsfortführungspläne führen können und welche Maßnahmen zu ergreifen sind, um die Verfügbarkeit, Kontinuität und Wiederherstellung der IKT-Assets der Finanzunternehmen zur Unterstützung kritischer oder wichtiger Funktionen sicherzustellen;
f)
die Wiedergewinnungs- und Wiederherstellungsmaßnahmen für kritische oder wichtige Geschäftsfunktionen, unterstützende Prozesse, Informationsassets und deren Interdependenzen ermitteln, um nachteilige Auswirkungen auf das Funktionieren der Finanzunternehmen zu vermeiden;
g)
Verfahren und Maßnahmen für die Datensicherung vorsehen, die den Umfang der Daten, die der Sicherung unterliegen, und die Mindesthäufigkeit der Sicherung auf der Grundlage der Kritikalität der diese Daten nutzenden Funktionen festlegen;
h)
Alternativen für den Fall erwägen, dass eine Wiederherstellung wegen Kosten, Risiken, Logistik oder unvorhergesehener Umstände kurzfristig nicht durchführbar sein könnte;
i)
die Regelungen für die interne und externe Kommunikation, insbesondere auch Eskalationspläne, festlegen;
j)
aktualisiert werden, um den Lehren aus Vorfällen, Tests, neuen Risiken und ermittelten Bedrohungen, veränderten Wiederherstellungszielen sowie größeren Veränderungen der Organisation des Finanzunternehmens und der IKT-Assets zur Unterstützung kritischer oder geschäftlicher Funktionen Rechnung zu tragen.
Für die Zwecke von Buchstabe f sehen die dort genannten Maßnahmen die Minderung von Ausfällen kritischer Drittdienstleister vor.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 40
Artikel 40
Testen der Geschäftsfortführungspläne
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen testen ihre in Artikel 39 der vorliegenden Verordnung genannten Geschäftsfortführungspläne, insbesondere auch die dort genannten Szenarien, mindestens einmal jährlich im Hinblick auf die Sicherungs- und Wiedergewinnungsverfahren oder bei jeder größeren Veränderung des Geschäftsfortführungsplans.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Die in Absatz 1 genannten Tests der Geschäftsfortführungspläne müssen zeigen, dass die in jenem Absatz genannten Finanzunternehmen in der Lage sind, die Funktionsfähigkeit ihrer Geschäftstätigkeit aufrechtzuerhalten, bis kritische Vorgänge wiederhergestellt sind, und etwaige Mängel in diesen Plänen zu erkennen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(3)
Die in Absatz 1 genannten Finanzunternehmen müssen die Ergebnisse der Tests der Geschäftsfortführungspläne dokumentieren, und etwaige bei diesen Tests festgestellte Mängel müssen analysiert, behoben und dem Leitungsorgan gemeldet werden.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 41
Artikel 41
Format und Inhalt des Berichts über die Überprüfung des vereinfachten IKT-Risikomanagementrahmens
RTS IKT-Risikomanagement (2024/1774)
(1)
Die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen legen den in Absatz 2 jenes Artikels genannten Bericht über die Überprüfung des IKT-Risikomanagementrahmens in einem durchsuchbaren elektronischen Format vor.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
(2)
Der in Absatz 1 genannte Bericht muss alle folgenden Informationen enthalten:
a)
einen einleitenden Abschnitt, der Folgendes enthält:
i)
eine Beschreibung des Kontexts des Berichts mit Blick auf Art, Umfang und Komplexität der Dienstleistungen, Tätigkeiten und Geschäfte des Finanzunternehmens, die Organisation, die ermittelten kritischen Funktionen, die Strategie, die wichtigsten laufenden Projekte oder Tätigkeiten und die Beziehungen des Finanzunternehmens sowie die Abhängigkeit des Finanzunternehmens von internen und ausgelagerten IKT-Dienstleistungen und -Systemen oder die Auswirkungen, die ein Totalverlust oder eine schwerwiegende Verschlechterung derartiger Systeme hinsichtlich kritischer oder wichtiger Funktionen und der Markteffizienz hätte;
ii)
eine Kurzzusammenfassung des ermittelten aktuellen und auf kurze Sicht bestehenden IKT-Risikoprofils, der Bedrohungslage, der erachteten Wirksamkeit seiner Kontrollen und der Sicherheitslage des Finanzunternehmens;
iii)
Informationen über das Gebiet, über das Bericht erstattet wird;
iv)
eine Zusammenfassung der wichtigsten Veränderungen des IKT-Risikomanagementrahmens seit dem letzten Bericht;
v)
eine Zusammenfassung und eine Beschreibung der Auswirkungen der wichtigsten Veränderungen des IKT-Risikomanagementrahmens seit dem letzten Bericht;
b)
das Datum der Genehmigung des Berichts durch das Leitungsorgan des Finanzunternehmens, sofern anwendbar;
c)
eine Beschreibung der Gründe für die Überprüfung, insbesondere auch,
i)
falls die Überprüfung nach aufsichtsrechtlichen Anweisungen eingeleitet wurde: Belege für diese Anweisungen;
ii)
falls die Überprüfung nach Auftreten von IKT-bezogenen Vorfällen eingeleitet wurde: die Liste aller IKT-bezogenen Vorfälle mit zugehöriger Ursachenanalyse;
d)
das Anfangs- und Enddatum des Überprüfungszeitraums;
e)
die für die Überprüfung zuständige Person;
f)
eine Zusammenfassung der Ergebnisse und eine Eigenbewertung der Schwere der Schwächen, Mängel und Lücken, die im IKT-Risikomanagementrahmen für den Überprüfungszeitraum festgestellt wurden, einschließlich einer detaillierten Analyse derselben;
g)
ermittelte Abhilfemaßnahmen zur Behebung von Schwächen, Mängeln und Lücken im vereinfachten IKT-Risikomanagementrahmen und voraussichtliches Datum für die Implementierung dieser Maßnahmen, einschließlich Folgemaßnahmen für in früheren Berichten festgestellte Schwächen, Mängel und Lücken, sofern diese Schwächen, Mängel und Lücken noch nicht behoben sind;
h)
allgemeine Schlussfolgerungen zur Überprüfung des vereinfachten IKT-Risikomanagementrahmens, einschließlich weiterer geplanter Entwicklungen.
Lücke nur im vereinfachten Rahmen (Art. 16) — außerhalb des Katalog-Scopes
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Risikomanagement (2024/1774)›Art. 42
Artikel 42
Inkrafttreten
RTS IKT-Risikomanagement (2024/1774)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 1
Artikel 1
Kunden, finanzielle Gegenparteien und Transaktionen
RTS Incident-Klassifizierung (2024/1772)
(1)
Die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Anzahl der von dem Vorfall betroffenen Kunden spiegelt die Anzahl aller betroffenen Kunden unabhängig davon, ob es sich um natürliche oder juristische Personen handelt, wider, die den vom Finanzunternehmen bereitgestellten Dienst während des Vorfalls nicht nutzen können bzw. konnten oder die durch den Vorfall beeinträchtigt wurden. Diese Anzahl umfasst auch Dritte, die als Nutznießer der betroffenen Dienste ausdrücklich unter die vertragliche Vereinbarung zwischen dem Finanzunternehmen und dem Kunden fallen.
(2)
Die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Anzahl der von dem Vorfall betroffenen finanziellen Gegenparteien spiegelt die Anzahl aller betroffenen finanziellen Gegenparteien wider, die eine vertragliche Vereinbarung mit dem Finanzunternehmen geschlossen haben.
(3)
In Bezug auf die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Relevanz der von dem Vorfall betroffenen Kunden und finanziellen Gegenparteien berücksichtigt das Finanzunternehmen, in welchem Maße sich die Auswirkungen auf einen Kunden oder eine finanzielle Gegenpartei auf die Verwirklichung der Geschäftsziele des Finanzunternehmens auswirken werden und wie sich der Vorfall auf die Markteffizienz auswirken könnte.
(4)
In Bezug auf den Wert oder die Anzahl der von dem Vorfall betroffenen Transaktionen im Sinne von Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 berücksichtigt das Finanzunternehmen alle betroffenen Transaktionen über einen Geldbetrag, sofern mindestens ein Teil der Transaktion in der Union durchgeführt wird.
(5)
Lässt sich die tatsächliche Anzahl der betroffenen Kunden oder finanziellen Gegenparteien oder die tatsächliche Anzahl oder der tatsächliche Wert der betroffenen Transaktionen nicht bestimmen, so schätzt das Finanzunternehmen diese Zahlen oder Werte auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen.
DORA-Sollmaßnahmen
D21.029IKT-Vorfallklassifikation: Kunden, Gegenparteien und TransaktionenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 2
Artikel 2
Reputationsschaden
RTS Incident-Klassifizierung (2024/1772)
(1)
Zur Bestimmung des in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten Reputationsschadens betrachten die Finanzunternehmen einen Reputationsschaden als eingetreten, wenn mindestens eines der folgenden Kriterien erfüllt ist:
a)
über den Vorfall wurde in den Medien berichtet;
b)
der Vorfall hat zu wiederholten Beschwerden verschiedener Kunden oder finanzieller Gegenparteien über kundenorientierte Dienstleistungen oder kritische Geschäftsbeziehungen geführt;
c)
das Finanzunternehmen wird aufgrund des Vorfalls nicht oder wahrscheinlich nicht in der Lage sein, regulatorische Anforderungen zu erfüllen;
d)
das Finanzunternehmen wird infolge des Vorfalls Kunden oder finanzielle Gegenparteien verlieren oder wahrscheinlich verlieren, was wesentliche Auswirkungen auf seine Geschäftstätigkeit haben wird.
(2)
Bei der Bewertung der Reputationswirkung des Vorfalls berücksichtigen die Finanzunternehmen die Sichtbarkeit, die der Vorfall in Bezug auf jedes in Absatz 1 aufgeführte Kriterium erlangt hat oder wahrscheinlich erlangen wird.
DORA-Sollmaßnahmen
D21.030IKT-Vorfallklassifikation: ReputationsschadenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 3
Artikel 3
Dauer und Ausfallzeiten
RTS Incident-Klassifizierung (2024/1772)
(1)
Die Finanzunternehmen messen die in Artikel 18 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554 genannte Dauer eines Vorfalls ab dem Zeitpunkt des Eintritts des Vorfalls bis zum Zeitpunkt der Behebung des Vorfalls.
Können die Finanzunternehmen den Eintrittszeitpunkt des Vorfalls nicht bestimmen, messen sie die Dauer des Vorfalls ab dem Zeitpunkt seiner Feststellung. Wissen Finanzunternehmen schon um den Vorfall, bevor er festgestellt wurde, messen sie die Dauer ab dem Zeitpunkt, zu dem der Vorfall in den Netzwerk- oder Systemprotokollen oder anderen Datenquellen aufgezeichnet wurde.
Wissen Finanzunternehmen noch nicht, wann der Vorfall behoben sein wird, oder können sie Aufzeichnungen in Protokollen oder anderen Datenquellen nicht verifizieren, so ziehen sie Schätzungen heran.
(2)
Finanzunternehmen messen die in Artikel 18 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554 genannten Ausfallzeiten bei einem Vorfall ab dem Zeitpunkt, zu dem der Dienst für Kunden, finanzielle Gegenparteien oder andere interne oder externe Nutzer ganz oder teilweise nicht mehr verfügbar ist, bis zu dem Zeitpunkt, zu dem die regulären Tätigkeiten oder Vorgänge in dem vor dem Vorfall herrschenden Umfang wiederhergestellt sind. Führen die Ausfallzeiten nach der Wiederherstellung der regulären Tätigkeiten oder Vorgänge zu einer Verzögerung bei der Bereitstellung von Dienstleistungen, so werden die Ausfallzeiten vom Beginn des Vorfalls bis zu dem Zeitpunkt gemessen, zu dem die verzögerte Dienstleistung in vollem Umfang erbracht ist.
Können die Finanzunternehmen den Beginn der Ausfallzeiten nicht bestimmen, messen sie die Dauer der Ausfallzeiten ab dem Zeitpunkt ihrer Feststellung.
DORA-Sollmaßnahmen
D21.031IKT-Vorfallklassifikation: Dauer und AusfallzeitenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 4
Artikel 4
Geografische Ausbreitung
RTS Incident-Klassifizierung (2024/1772)
Um die in Artikel 18 Absatz 1 Buchstabe c der Verordnung (EU) 2022/2554 genannte geografische Ausbreitung im Hinblick auf die von dem Vorfall betroffenen Gebiete zu bestimmen, bewerten Finanzunternehmen, ob der Vorfall Auswirkungen in anderen Mitgliedstaaten hat oder hatte, und insbesondere, wie erheblich die Auswirkungen in Bezug auf eines von Folgendem sind:
a)
Kunden und finanzielle Gegenparteien in anderen Mitgliedstaaten;
b)
Zweigniederlassungen oder andere Finanzunternehmen innerhalb der Gruppe, die in anderen Mitgliedstaaten tätig sind;
c)
Finanzmarktinfrastrukturen oder Drittdienstleister mit möglichen Auswirkungen auf Finanzunternehmen in anderen Mitgliedstaaten, für die sie Dienstleistungen erbringen, soweit diese Informationen verfügbar sind.
DORA-Sollmaßnahmen
D21.032IKT-Vorfallklassifikation: Geografische AusbreitungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 5
Artikel 5
Verluste von Daten
RTS Incident-Klassifizierung (2024/1772)
Um die in Artikel 18 Absatz 1 Buchstabe d der Verordnung (EU) 2022/2554 genannten Verluste von Daten, die durch den Vorfall verursacht werden, zu bestimmen, berücksichtigen die Finanzunternehmen Folgendes:
a)
in Bezug auf die Verfügbarkeit von Daten, ob der Vorfall die vom Finanzunternehmen, seinen Kunden oder seinen Gegenparteien nachgefragten Daten vorübergehend oder dauerhaft unzugänglich oder unbrauchbar gemacht hat;
b)
in Bezug auf die Authentizität der Daten, ob der Vorfall die Vertrauenswürdigkeit der Datenquelle kompromittiert hat;
c)
in Bezug auf die Integrität der Daten, ob der Vorfall zu einer nicht autorisierten Veränderung der Daten geführt hat, wodurch diese unrichtig oder unvollständig geworden sind;
d)
in Bezug auf die Vertraulichkeit der Daten, ob der Vorfall dazu geführt hat, dass eine unbefugte Partei oder ein unbefugtes System Zugang zu oder Kenntnis von den Daten erhalten hat.
DORA-Sollmaßnahmen
D21.033IKT-Vorfallklassifikation: DatenverlustS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 6
Artikel 6
Kritikalität der betroffenen Dienste
RTS Incident-Klassifizierung (2024/1772)
Um die in Artikel 18 Absatz 1 Buchstabe e der Verordnung (EU) 2022/2554 genannte Kritikalität der betroffenen Dienste zu bestimmen, bewerten die Finanzunternehmen, ob der Vorfall
a)
IKT-Dienste oder Netzwerk- und Informationssysteme zur Unterstützung kritischer oder wichtiger Funktionen des Finanzunternehmens beeinträchtigt oder beeinträchtigt hat;
b)
von dem Finanzunternehmen erbrachte Finanzdienstleistungen beeinträchtigt oder beeinträchtigt hat, die einer Zulassung oder Registrierung bedürfen oder von den zuständigen Behörden beaufsichtigt werden;
c)
einen erfolgreichen, böswilligen und unbefugten Zugriff auf die Netzwerk- und Informationssysteme des Finanzunternehmens darstellt oder dargestellt hat.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.034IKT-Vorfallklassifikation: Kritikalität der betroffenen DiensteS
Primär-Kriterium: Kritikalität der betroffenen Dienste (1)
Primär-Kriterium: Kritikalität der betroffenen Dienste (2)
Primär-Kriterium: Kritikalität der betroffenen Dienste (3)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 7
Artikel 7
Wirtschaftliche Auswirkungen
RTS Incident-Klassifizierung (2024/1772)
(1)
Zur Bestimmung der in Artikel 18 Absatz 1 Buchstabe f der Verordnung (EU) 2022/2554 genannten wirtschaftlichen Auswirkungen des Vorfalls berücksichtigen die Finanzunternehmen, ohne Einrechnung von finanziellen Wiedereinziehungen, die folgenden Arten von direkten und indirekten Kosten und Verlusten, die ihnen infolge des Vorfalls entstanden sind:
a)
enteignete Mittel oder finanzielle Vermögenswerte, für die sie haften, einschließlich gestohlener Vermögenswerte;
b)
Kosten für die Ersetzung oder Verlegung von Software, Hardware oder Infrastruktur;
c)
Personalkosten, einschließlich Kosten im Zusammenhang mit der Ersetzung oder Verlegung von Personal, der Einstellung zusätzlichen Personals, der Vergütung von Überstunden und der Wiederherstellung verloren gegangener oder beeinträchtigter Kompetenzen;
d)
Gebühren wegen Nichteinhaltung vertraglicher Verpflichtungen;
e)
Kosten für Ausgleichs- und Entschädigungszahlungen an Kunden;
f)
Verluste wegen entgangener Einnahmen;
g)
Kosten für die interne und externe Kommunikation;
h)
Beratungskosten, einschließlich Kosten für Rechtsberatung, forensische Dienstleistungen und Behebungsdienstleistungen.
(2)
Die in Absatz 1 genannten Kosten und Verluste schließen keine Kosten ein, die für den alltäglichen Geschäftsbetrieb notwendig sind, insbesondere
a)
keine Kosten für die allgemeine Instandhaltung von Infrastruktur, Ausrüstung, Hardware und Software und keine Kosten für die laufende Fortbildung des Personals, um dessen Kompetenzen auf Stand zu halten;
b)
keine internen oder externen Kosten für die Verstärkung des Geschäftsbetriebs nach dem Vorfall, insbesondere auch keine Kosten für Upgrades, Verbesserungen und Initiativen zur Risikobewertung;
c)
keine Versicherungsprämien.
(3)
Die Finanzunternehmen berechnen die Höhe der Kosten und Verluste auf der Grundlage der zum Meldezeitpunkt verfügbaren Daten. Kann die tatsächliche Höhe der Kosten und Verluste nicht bestimmt werden, so schätzen die Finanzunternehmen die entsprechenden Beträge.
(4)
Bei der Bewertung der wirtschaftlichen Auswirkungen des Vorfalls summieren die Finanzunternehmen die in Absatz 1 genannten Kosten und Verluste.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.035IKT-Vorfallklassifikation: Wirtschaftliche AuswirkungenS
Meldepflichten für schwerwiegende IKT-Vorfälle: was zählt, was nicht
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 8
Artikel 8
Schwerwiegende Vorfälle
RTS Incident-Klassifizierung (2024/1772)
(1)
Ein Vorfall wird für die Zwecke von Artikel 19 Absatz 1 der Verordnung (EU) 2022/2554 als schwerwiegender Vorfall angesehen, wenn die in Artikel 6 genannten kritischen Dienste beeinträchtigt und eine der folgenden beiden Bedingungen erfüllt ist:
a)
Die in Artikel 9 Absatz 5 Buchstabe b genannte Wesentlichkeitsschwelle ist erreicht;
b)
zwei oder mehr der in Artikel 9 Absätze 1 bis 6 genannten anderen Wesentlichkeitsschwellen sind erreicht.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.036IKT-Vorfallklassifikation: Bestimmung der Schwere eines VorfallsS
Die Bewertungskategorien
Klassifikation von IKT-bezogenen Vorfällen: Schema 2/2
(2)
Wiederholte Vorfälle, die nach Absatz 1 einzeln betrachtet keine schwerwiegenden Vorfälle sind, werden zusammengenommen als schwerwiegender Vorfall betrachtet, wenn sie alle folgenden Bedingungen erfüllen:
a)
Sie sind innerhalb von sechs Monaten mindestens zwei Mal aufgetreten;
b)
sie haben dieselbe offensichtliche Ursache im Sinne von Artikel 20 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554;
c)
sie erfüllen zusammengenommen die in Absatz 1 festgelegten Kriterien für die Betrachtung als schwerwiegender Vorfall.
Die Finanzunternehmen bewerten das Vorliegen wiederholter Vorfälle monatlich.
Dieser Absatz gilt nicht für Kleinstunternehmen und die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen.
DORA-Sollmaßnahmen
D21.037IKT-Vorfallklassifikation: Aggregation wiederholter VorfälleS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 9
Artikel 9
Wesentlichkeitsschwellen für die Bestimmung schwerwiegender Vorfälle
RTS Incident-Klassifizierung (2024/1772)
(1)
Die Wesentlichkeitsschwelle für das Kriterium „Kunden, finanzielle Gegenparteien und Transaktionen“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist:
a)
Die Zahl der betroffenen Kunden beläuft sich auf mehr als 10 % aller Kunden, die die betroffene Dienstleistung nutzen;
b)
die Zahl der betroffenen Kunden, die die betroffene Dienstleistung nutzen, liegt bei mehr als 100 000;
c)
die Zahl der betroffenen finanziellen Gegenparteien beläuft sich auf mehr als 30 % aller finanziellen Gegenparteien, die Tätigkeiten im Zusammenhang mit der Bereitstellung der betroffenen Dienstleistung ausüben;
d)
die Zahl der betroffenen Transaktionen beläuft sich auf mehr als 10 % der täglichen durchschnittlichen Zahl von Transaktionen, die das Finanzunternehmen im Zusammenhang mit der betroffenen Dienstleistung durchführt;
e)
der Wert der betroffenen Transaktionen beträgt mehr als 10 % des täglichen Durchschnittswerts der Transaktionen, die das Finanzunternehmen im Zusammenhang mit der betroffenen Dienstleistung durchführt;
f)
betroffen sind Kunden oder finanzielle Gegenparteien, die nach Artikel 1 Absatz 3 als relevant eingestuft wurden.
Lässt sich die tatsächliche Anzahl der betroffenen Kunden oder finanziellen Gegenparteien oder die tatsächliche Anzahl oder der tatsächliche Wert der betroffenen Transaktionen nicht bestimmen, so schätzt das Finanzunternehmen diese Zahlen oder Werte auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen.
DORA-Sollmaßnahmen
D21.029IKT-Vorfallklassifikation: Kunden, Gegenparteien und TransaktionenS
(2)
Die Wesentlichkeitsschwelle für das Kriterium „Reputationsschaden“ ist erreicht, wenn eine der in Artikel 2 Buchstaben a bis d genannten Bedingungen erfüllt ist.
DORA-Sollmaßnahmen
D21.030IKT-Vorfallklassifikation: ReputationsschadenS
(3)
Die Wesentlichkeitsschwelle für das Kriterium „Dauer und Ausfallzeiten“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist:
a)
Der Vorfall dauert mehr als 24 Stunden;
b)
die Ausfallzeiten bei IKT-Diensten zur Unterstützung kritischer oder wichtiger Funktionen betragen mehr als zwei Stunden.
DORA-Sollmaßnahmen
D21.031IKT-Vorfallklassifikation: Dauer und AusfallzeitenS
(4)
Die Wesentlichkeitsschwelle für das Kriterium „geografische Ausbreitung“ ist erreicht, wenn der Vorfall im Sinne von Artikel 4 Auswirkungen in zwei oder mehr Mitgliedstaaten hat.
DORA-Sollmaßnahmen
D21.032IKT-Vorfallklassifikation: Geografische AusbreitungS
(5)
Die Wesentlichkeitsschwelle für das Kriterium „Verluste von Daten“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist:
a)
Eine in Artikel 5 genannte Auswirkung auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten hat negative Auswirkungen auf die Verwirklichung der Geschäftsziele des Finanzunternehmens oder auf dessen Fähigkeit, regulatorische Anforderungen zu erfüllen, oder wird solche negativen Auswirkungen haben;
b)
es findet ein nicht unter Buchstabe a fallender erfolgreicher böswilliger und unbefugter Zugriff auf Netzwerk- und Informationssysteme statt, sofern dieser Zugriff zu Verlusten von Daten führen kann.
DORA-Sollmaßnahmen
D21.033IKT-Vorfallklassifikation: DatenverlustS
(6)
Die Wesentlichkeitsschwelle für das Kriterium „wirtschaftliche Auswirkungen“ ist erreicht, wenn die Kosten und Verluste, die dem Finanzunternehmen durch den Vorfall entstanden sind, 100 000 EUR übersteigen oder wahrscheinlich übersteigen werden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.035IKT-Vorfallklassifikation: Wirtschaftliche AuswirkungenS
Meldepflichten für schwerwiegende IKT-Vorfälle: was zählt, was nicht
DORA-Schulungsfolien
Klassifikation von IKT-bezogenen Vorfällen: Klassifikationskriterien (3/4)
Klassifikation von IKT-bezogenen Vorfällen: Klassifikationskriterien (4/4)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 10
Artikel 10
Hohe Wesentlichkeitsschwellen für die Bestimmung erheblicher Cyberbedrohungen
RTS Incident-Klassifizierung (2024/1772)
Für die Zwecke von Artikel 18 Absatz 2 der Verordnung (EU) 2022/2554 wird eine Cyberbedrohung als erheblich angesehen, wenn alle folgenden Bedingungen erfüllt sind:
a)
Die Cyberbedrohung könnte nach den verfügbaren Informationen des Finanzunternehmens bei Eintritt kritische oder wichtige Funktionen des Finanzunternehmens beeinträchtigen oder beeinträchtigt haben oder könnte andere Finanzunternehmen, Drittdienstleister, Kunden oder finanzielle Gegenparteien beeinträchtigen.
b)
Die Cyberbedrohung hat eine hohe Eintrittswahrscheinlichkeit bei dem Finanzunternehmen oder bei anderen Finanzunternehmen, wenn mindestens die folgenden Elemente berücksichtigt werden:
i)
die mit der unter Buchstabe a genannten Cyberbedrohung zusammenhängenden einschlägigen Risiken, insbesondere auch potenzielle Schwachstellen der Systeme des Finanzunternehmens, die ausgenutzt werden können;
ii)
die Fähigkeiten und Absichten der Angreifer, soweit dem Finanzunternehmen bekannt;
iii)
das Anhalten der Bedrohung und etwaige Kenntnisse über bisherige Vorfälle, die sich auf das Finanzunternehmen oder dessen Drittdienstleister, Kunden oder finanzielle Gegenparteien ausgewirkt haben.
c)
Die Cyberbedrohung könnte bei Eintritt das folgende Kriterium oder einen der folgenden Schwellenwerte erfüllen:
i)
das in Artikel 18 Absatz 1 Buchstabe e der Verordnung (EU) 2022/2554 genannte Kriterium der Kritikalität der Dienste, wie in Artikel 6 der vorliegenden Verordnung ausgeführt;
ii)
die in Artikel 9 Absatz 1 ausgeführte Wesentlichkeitsschwelle;
iii)
die in Artikel 9 Absatz 4 ausgeführte Wesentlichkeitsschwelle.
Kommt das Finanzunternehmen je nach Art der Cyberbedrohung und den verfügbaren Informationen zu dem Schluss, dass die in Artikel 9 Absätze 2, 3, 5 und 6 genannten Wesentlichkeitsschwellen erreicht werden könnten, so können diese Schwellenwerte ebenfalls berücksichtigt werden.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Methodik zur Klassifikation von IKT-bezogenen Vorfällen
D21.027Erstellung einer Methodik zur Klassifikation von IKT-bezogenen VorfällenS
Verfahren zur Klassifizierung IKT-bezogener Vorfälle: Einordnung in die Dokumentenhierarchie
D21.038Erhebliche Cyberbedrohungen: Methodik zur KlassifikationS
DORA-Schulungsfolien
Klassifikation und Meldung von Cyberbedrohungen: Wann eine Cyberbedrohung erheblich ist
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 11
Artikel 11
Relevanz schwerwiegender Vorfälle für die zuständigen Behörden in anderen Mitgliedstaaten
RTS Incident-Klassifizierung (2024/1772)
Die in Artikel 19 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bewertung, ob der schwerwiegende Vorfall für die zuständigen Behörden in anderen Mitgliedstaaten von Belang ist, stützt sich darauf, ob der Vorfall eine von einem anderen Mitgliedstaat ausgehende Ursache oder in einem anderen Mitgliedstaat erhebliche Auswirkungen in Bezug auf eines von Folgendem hat:
a)
Kunden oder finanzielle Gegenparteien;
b)
eine Zweigniederlassung des Finanzunternehmens oder ein anderes Finanzunternehmen innerhalb der Gruppe;
c)
eine Finanzmarktinfrastruktur oder einen Drittdienstleister mit potenziellen Auswirkungen auf die Finanzunternehmen, für die Dienstleistungen erbracht werden.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 12
Artikel 12
An andere zuständige Behörden zu übermittelnde Einzelheiten zu schwerwiegenden Vorfällen
RTS Incident-Klassifizierung (2024/1772)
Die Einzelheiten schwerwiegender Vorfälle, die von den zuständigen Behörden nach Artikel 19 Absatz 6 der Verordnung (EU) 2022/2554 an andere zuständige Behörden zu übermitteln sind, und die Benachrichtigungen, die die EBA, die ESMA oder die EIOPA und die EZB nach Artikel 19 Absatz 7 der genannten Verordnung an die jeweils zuständigen Behörden in anderen Mitgliedstaaten zu übermitteln haben, weisen denselben Umfang an Informationen — ohne Anonymisierung — auf wie die Meldungen schwerwiegender Vorfälle, die nach Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 von Finanzunternehmen vorzulegen sind.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Klassifizierung (2024/1772)›Art. 13
Artikel 13
Inkrafttreten
RTS Incident-Klassifizierung (2024/1772)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 1
Artikel 1
Gesamtrisikoprofil und -komplexität
RTS IKT-Drittparteien (2024/1773)
In der Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden (im Folgenden „Leitlinie“), werden die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art und der Umfang seiner Dienstleistungen, Tätigkeiten und Geschäfte und die Elemente berücksichtigt, durch die sich deren Komplexität erhöht oder verringert, einschließlich der Elemente, die Folgendes betreffen:
a)
die Art der IKT-Dienstleistungen, die Gegenstand der vertraglichen Vereinbarung zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden (im Folgenden „vertragliche Vereinbarung“), sind;
b)
den Standort des IKT-Drittdienstleisters oder den Standort seines Mutterunternehmens;
c)
ob die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen von einem IKT-Drittdienstleister in einem Mitgliedstaat oder einem Drittstaat bereitgestellt werden, auch unter Berücksichtigung des Standorts, von dem aus die IKT-Dienstleistungen bereitgestellt werden, und des Standorts, an dem die Daten verarbeitet und gespeichert werden;
d)
die Art der Daten, die mit dem IKT-Drittdienstleister ausgetauscht werden;
e)
ob der IKT-Drittdienstleister derselben Gruppe angehört wie das Finanzunternehmen, für das die Dienstleistungen erbracht werden;
f)
die Nutzung von IKT-Drittdienstleistern, die einer Zulassung, Registrierung oder der Beaufsichtigung oder Überwachung durch eine zuständige Behörde in einem Mitgliedstaat oder dem Überwachungsrahmen nach Kapitel V Abschnitt II der Verordnung (EU) 2022/2554 unterliegen, sowie die Nutzung von IKT-Drittdienstleistern, auf die dies nicht zutrifft;
g)
die Nutzung von IKT-Drittdienstleistern, die der Zulassung, Registrierung oder der Beaufsichtigung oder Überwachung durch eine Aufsichtsbehörde in einem Drittstaat unterliegen, sowie die Nutzung von IKT-Drittdienstleistern, auf die dies nicht zutrifft;
h)
ob die Bereitstellung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen sich auf einen einzigen IKT-Drittdienstleister oder eine kleine Anzahl solcher Dienstleister konzentriert;
i)
die Übertragbarkeit der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen auf einen anderen IKT-Drittdienstleister, auch aufgrund technologischer Besonderheiten;
j)
die potenziellen Auswirkungen von Störungen bei der Bereitstellung der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen auf die Kontinuität der Tätigkeiten des Finanzunternehmens und auf die Verfügbarkeit seiner Dienstleistungen.
DORA-Sollmaßnahmen
D23.015Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Unternehmensspezifische AusgestaltungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 2
Artikel 2
Anwendung auf eine Gruppe
RTS IKT-Drittparteien (2024/1773)
Findet diese Verordnung auf teilkonsolidierter oder konsolidierter Basis Anwendung, so gewährleistet das Mutterunternehmen, das für die Erstellung des konsolidierten oder teilkonsolidierten Abschlusses für die Gruppe verantwortlich zeichnet, dass die Leitlinie in allen Finanzunternehmen, die Teil der Gruppe sind, konsistent umgesetzt wird und für die wirksame Anwendung dieser Verordnung auf allen relevanten Ebenen der Gruppe angemessen ist.
DORA-Sollmaßnahmen
D24.001Einheitliche gruppenweite Umsetzung der Vorgaben zum IKT-DrittparteienrisikoS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 3
Artikel 3
Governance-Regelungen
RTS IKT-Drittparteien (2024/1773)
(1)
Das Leitungsorgan überprüft die Leitlinie mindestens einmal jährlich und aktualisiert sie erforderlichenfalls. Die an der Leitlinie vorgenommenen Änderungen werden zeitnah und sobald dies im Rahmen der einschlägigen vertraglichen Vereinbarungen möglich ist umgesetzt. Das Finanzunternehmen dokumentiert den geplanten zeitlichen Ablauf der Umsetzung.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.007Erstellung einer Leitlinie zur Nutzung von kwF-relevanten IKT-DienstleistungenS
Leitlinie für die Nutzung von IKT-Dienstleistungen: eine oder zwei?
Leitlinie für die Nutzung von IKT-Dienstleistungen: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
D23.095Anpassung von IKT-Verträgen und UmsetzungsplanS
Leitlinie für die Nutzung von IKT-Dienstleistungen: die formalen Anforderungen
(2)
In der Leitlinie wird eine Methode festgelegt, mit der bestimmt wird, welche IKT-Dienstleistungen kritische oder wichtige Funktionen unterstützen, oder es wird auf eine solche Methode verwiesen. In der Leitlinie ist auch anzugeben, wann eine solche Bewertung vorgenommen und überprüft werden soll.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.016Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ermittlung der kwF-RelevanzS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Was die Leitlinie zur kwF-Relevanz regeln muss
(3)
In der Leitlinie werden die internen Zuständigkeiten für die Genehmigung, das Management, die Kontrolle und die Dokumentation einschlägiger vertraglicher Vereinbarungen eindeutig zugewiesen, und es wird sichergestellt, dass innerhalb des Finanzunternehmens angemessene Fähigkeiten, Erfahrung und Kenntnisse aufrechterhalten werden, damit die einschlägigen vertraglichen Vereinbarungen, einschließlich der im Rahmen dieser Vereinbarungen erbrachten IKT-Dienstleistungen, wirksam überwacht werden können.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.017Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Interne ZuständigkeitenS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Regelwerksbezug und Verantwortlichkeiten
D23.018Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vorhalten interner KompetenzenS
(4)
Unbeschadet der letztlichen Verantwortung des Finanzunternehmens für die wirksame Beaufsichtigung der einschlägigen vertraglichen Vereinbarungen wird in der Leitlinie vorgeschrieben, dass der IKT-Drittdienstleister laut der Bewertung über ausreichende Ressourcen verfügen muss, um sicherzustellen, dass das Finanzunternehmen alle seine rechtlichen und regulatorischen Anforderungen hinsichtlich der zur Unterstützung kritischer oder wichtiger Funktionen bereitgestellten IKT-Dienstleistungen erfüllt.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.010Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auswahl- und BewertungsverfahrenS
D23.019Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due-Diligence-Prüfung, BewertungskriterienS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Due-Diligence-Kriterien
(5)
In der Leitlinie wird eindeutig angegeben, bei welcher Funktion oder bei welchem Mitglied der Geschäftsleitung die Zuständigkeit für die Überwachung der einschlägigen vertraglichen Vereinbarungen liegt. In der Leitlinie wird festgelegt, wie diese Funktion oder dieses Mitglied der Geschäftsleitung mit den Kontrollfunktionen zusammenarbeitet, es sei denn, die Funktion oder das Mitglied ist Teil der Kontrollfunktionen, und es werden die Berichtspflichten gegenüber dem Leitungsorgan festgelegt, einschließlich der Art der zu meldenden Informationen und der vorzulegenden Dokumentation. Darüber hinaus wird festgelegt, wie häufig diese Berichterstattung erfolgt.
DORA-Sollmaßnahmen
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.020Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Verantwortung der GeschäftsleitungS
D23.021Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Berichterstattung an das LeitungsorganS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D03.006Funktion zur Überwachung von IKT-VerträgenS
(6)
Die Leitlinie gewährleistet, dass die vertraglichen Vereinbarungen mit Folgendem im Einklang stehen:
a)
dem in Artikel 6 der Verordnung (EU) 2022/2554 genannten IKT-Risikomanagementrahmen;
b)
der in Artikel 9 Absatz 4 der Verordnung (EU) 2022/2554 genannten Informationssicherheitsleitlinie;
c)
der in Artikel 11 der Verordnung (EU) 2022/2554 genannten IKT-Geschäftsfortführungsleitlinie;
d)
den in Artikel 19 der Verordnung (EU) 2022/2554 festgelegten Anforderungen für die Meldung von Vorfällen.
DORA-Sollmaßnahmen
D23.064kwF-relevante Vertragsinhalte: Verzahnung mit internen VorgabenS
(7)
In der Leitlinie ist vorzusehen, dass IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden, einer unabhängigen Überprüfung unterzogen und in den Auditplan aufgenommen werden.
DORA-Sollmaßnahmen
D03.004(IKT-) Revisionspläne: Prüfung kwF-relevanter IKT-DienstleistungenS
D23.022Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Unabhängige ÜberprüfungS
(8)
In der Leitlinie ist ausdrücklich festzulegen, dass die vertraglichen Vereinbarungen
a)
das Finanzunternehmen und sein Leitungsorgan nicht von ihren aufsichtlichen Pflichten und Verantwortlichkeiten gegenüber ihren Kunden entbinden;
b)
die wirksame Beaufsichtigung eines Finanzunternehmens nicht verhindern und nicht gegen aufsichtliche Einschränkungen für Dienstleistungen und Tätigkeiten verstoßen dürfen;
c)
vorschreiben müssen, dass die IKT-Drittdienstleister mit den zuständigen Behörden zusammenarbeiten;
d)
vorschreiben müssen, dass das Finanzunternehmen, seine Revisoren und die zuständigen Behörden wirksam Zugang zu Daten und Räumlichkeiten haben müssen, die mit der Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen zusammenhängen.
DORA-Sollmaßnahmen
D23.065kwF-relevante Vertragsinhalte: Wahrung aufsichtlicher Pflichten und BehördenzugangS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 4
Artikel 4
Hauptphasen des Lebenszyklus mit Blick auf die Annahme und Nutzung vertraglicher Vereinbarungen
RTS IKT-Drittparteien (2024/1773)
In der Leitlinie werden für jede Hauptphase des Lebenszyklus der vertraglichen Vereinbarung die Anforderungen, einschließlich der Regelungen, Zuständigkeiten und Prozesse, festgelegt, die mindestens Folgendes abdecken:
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.023Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vertragslebenszyklus (Gesamtrahmen)S
Überblick über die Schritte im Beschaffungsprozess von IKT-Dienstleistungen: Der IKT-Beschaffungsprozess und seine Rechtsanker
a)
die Zuständigkeiten des Leitungsorgans, gegebenenfalls einschließlich seiner Beteiligung an der Entscheidungsfindung hinsichtlich der Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden;
DORA-Sollmaßnahmen
D23.024Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Beteiligung des Leitungsorgans an EntscheidungenS
b)
die Planung vertraglicher Vereinbarungen, einschließlich der Risikobewertung, des Verfahrens zur Erfüllung der Sorgfaltspflicht nach den Artikeln 5 und 6 und des Genehmigungsverfahrens für neue oder wesentliche Änderungen vertraglicher Vereinbarungen im Sinne von Artikel 8 Absatz 4;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.025Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: PlanungsphaseS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Phasen „Planung der Dienstleisterüberwachung“ sowie „Vertragsverhandlung“
Leitlinie für die Nutzung von IKT-Dienstleistungen: Phase Auswahl
c)
die Einbeziehung von Geschäftsbereichen, internen Kontrollen und anderen relevanten Organisationsbereichen in Bezug auf vertragliche Vereinbarungen;
DORA-Sollmaßnahmen
D23.026Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Einbindung interner FunktionenS
d)
die Umsetzung, die Überwachung und das Management vertraglicher Vereinbarungen nach den Artikeln 7, 8 und 9, gegebenenfalls auch auf konsolidierter und teilkonsolidierter Ebene;
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.003Geltungsbereich von Strategie für das IKT-Drittparteienrisiko und Leitlinie zur Nutzung von kwF-relevanten IKT-DienstleistungenS
D23.027Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Implementierung und laufender BetriebS
Leitlinie für die Nutzung von IKT-Dienstleistungen: der RTS schweigt
Leitlinie für die Nutzung von IKT-Dienstleistungen: Phase Durchführung und Überwachung
e)
die Dokumentation und die Erstellung von Aufzeichnungen unter Berücksichtigung der für das Informationsregister nach Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554 geltenden Anforderungen;
DORA-Sollmaßnahmen
D23.028Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: VertragsdokumentationS
f)
die Ausstiegsstrategien und Beendigungsverfahren nach Artikel 10.
DORA-Sollmaßnahmen
D23.013Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstiegsstrategien und BeendigungsverfahrenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 5
Artikel 5
Ex-ante-Risikobewertung
RTS IKT-Drittparteien (2024/1773)
(1)
Nach der Leitlinie muss vor Abschluss einer vertraglichen Vereinbarung der Geschäftsbedarf des Finanzunternehmens bestimmt werden.
DORA-Sollmaßnahmen
D23.029Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ermittlung des UnterstützungsbedarfsS
(2)
In der Leitlinie ist vorzusehen, dass auf Ebene des Finanzunternehmens und gegebenenfalls auf konsolidierter und teilkonsolidierter Ebene eine Risikobewertung durchzuführen ist, bevor eine vertragliche Vereinbarung geschlossen wird.
Bei der Risikobewertung werden alle einschlägigen Anforderungen der Verordnung (EU) 2022/2554 sowie die geltenden sektorspezifischen Rechtsvorschriften der Union berücksichtigt. In der Leitlinie werden insbesondere die Auswirkungen der Bereitstellung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen durch IKT-Drittdienstleister auf das Finanzunternehmen sowie alle Risiken berücksichtigt, die mit der Bereitstellung dieser IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen durch IKT-Drittdienstleister verbunden sind, darunter
DORA-Schulungsfolien
Leitlinie für die Nutzung von IKT-Dienstleistungen: was vor der Unterschrift erledigt sein muss
Leitlinie für die Nutzung von IKT-Dienstleistungen: Risikobewertung und Due Diligence gehen ineinander über
a)
operationelle Risiken,
b)
rechtliche Risiken,
c)
IKT-Risiken,
d)
Reputationsrisiken,
e)
Risiken im Zusammenhang mit dem Schutz vertraulicher oder personenbezogener Daten,
f)
Risiken im Zusammenhang mit der Verfügbarkeit von Daten,
g)
Risiken im Zusammenhang mit dem Standort, an dem die Daten verarbeitet und gespeichert werden,
h)
Risiken im Zusammenhang mit dem Standort des IKT-Drittdienstleisters,
i)
IKT-Konzentrationsrisiken auf Unternehmensebene.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.008Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: IKT-Risikobewertung vor VertragsabschlussS
D23.009Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ex-ante Risk Assessment, RisikoartenS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Der Risikokatalog des Ex-ante Risk Assessment
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 6
Artikel 6
Sorgfaltspflicht
RTS IKT-Drittparteien (2024/1773)
(1)
In der Leitlinie wird ein angemessenes und verhältnismäßiges Verfahren für die Auswahl und Bewertung der künftigen IKT-Drittdienstleister festgelegt, wobei zu berücksichtigen ist, ob es sich bei dem IKT-Drittdienstleister um einen gruppeninternen IKT-Dienstleister handelt, und verlangt wird, dass das Finanzunternehmen vor Abschluss einer vertraglichen Vereinbarung bewertet, ob der IKT-Drittdienstleister
DORA-Schulungsfolien
Leitlinie für die Nutzung von IKT-Dienstleistungen: vier Festlegungen in der Leitlinie
Leitlinie für die Nutzung von IKT-Dienstleistungen: Risikobewertung und Due Diligence gehen ineinander über
a)
über die geschäftliche Reputation, hinreichende Fähigkeiten, Fachkenntnisse und angemessene finanzielle, personelle und technische Ressourcen, Informationssicherheitsstandards, eine angemessene Organisationsstruktur, ein angemessenes Risikomanagement und angemessene interne Kontrollen sowie gegebenenfalls über die erforderlichen Zulassungen oder Registrierungen verfügt, um die IKT-Dienstleistungen zur Unterstützung der kritischen oder wichtigen Funktion zuverlässig und professionell erbringen zu können;
b)
in der Lage ist, einschlägige technologische Entwicklungen zu überwachen und führende Praktiken im Bereich der IKT-Sicherheit zu ermitteln und sie gegebenenfalls zu implementieren, damit er über einen wirksamen und soliden Rahmen für die digitale operationale Resilienz verfügt;
c)
IKT-Unterauftragnehmer nutzt oder zu nutzen gedenkt, um IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon zu erbringen;
d)
in einem Drittstaat lokalisiert ist oder die Daten in einem Drittstaat verarbeitet oder speichert und, falls dies der Fall ist, ob diese Praxis die operationellen Risiken, Reputationsrisiken oder das Risiko erhöht, von restriktiven Maßnahmen, einschließlich Embargos und Sanktionen, betroffen zu sein, die sich auf die Fähigkeit des IKT-Drittdienstleisters, die IKT-Dienstleistungen zu erbringen, oder die Fähigkeit des Finanzunternehmens, diese IKT-Dienstleistungen zu empfangen, auswirken können;
e)
vertraglichen Vereinbarungen zustimmt, mit denen effektiv die Möglichkeit sichergestellt wird, dass das Finanzunternehmen selbst, beauftragte Dritte und zuständige Behörden Audits beim IKT-Drittdienstleister, auch in dessen Räumlichkeiten, durchführen;
f)
in ethischer und sozial verantwortlicher Weise handelt, die Menschenrechte und die Rechte des Kindes achtet, einschließlich des Verbots der Kinderarbeit, die geltenden Grundsätze des Umweltschutzes einhält und angemessene Arbeitsbedingungen gewährleistet.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.010Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Auswahl- und BewertungsverfahrenS
D23.019Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due-Diligence-Prüfung, BewertungskriterienS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Due-Diligence-Kriterien
(2)
In der Leitlinie wird festgelegt, welches Maß an Sicherheit hinsichtlich der Wirksamkeit des Risikomanagementrahmens von IKT-Drittdienstleistern für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von einem IKT-Drittdienstleister bereitgestellt werden sollen, gegeben sein muss. In der Leitlinie ist vorzusehen, dass im Rahmen des Verfahrens zur Erfüllung der Sorgfaltspflicht bewertet wird, ob Maßnahmen zur Risikominderung und zur Geschäftsfortführung bestehen und wie deren Funktionsfähigkeit innerhalb des IKT-Drittdienstleisters sichergestellt wird.
DORA-Sollmaßnahmen
D23.011Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due-Diligence-Prüfung als VoraussetzungS
(3)
In der Leitlinie wird das Verfahren zur Erfüllung der Sorgfaltspflicht festgelegt, anhand dessen die künftigen IKT-Drittdienstleister ausgewählt und bewertet werden, und es wird angegeben, welche der folgenden Elemente mit Blick auf das erforderliche Maß an Sicherheit für die Leistungsfähigkeit des IKT-Drittdienstleisters zu berücksichtigen sind:
a)
Audits oder unabhängige Bewertungen, die vom Finanzunternehmen selbst oder in seinem Auftrag durchgeführt werden;
b)
Berichte über unabhängige Audits, die auf Verlangen des IKT-Drittdienstleisters erstellt werden;
c)
Auditberichte der internen Revisionsfunktion des IKT-Drittdienstleisters;
d)
geeignete Zertifizierungen Dritter;
e)
andere relevante Informationen, die dem Finanzunternehmen zur Verfügung stehen, oder andere vom IKT-Drittdienstleister bereitgestellte Informationen.
DORA-Sollmaßnahmen
D03.012Nachweise der internen Revision zur DL-ÜberwachungS
(4)
Die Finanzunternehmen gewährleisten unter Berücksichtigung der in Absatz 3 Buchstaben a bis e aufgeführten Elemente ein angemessenes Maß an Sicherheit für die Leistungsfähigkeit des IKT-Drittdienstleisters. Gegebenenfalls ist mehr als eines der unter diesen Buchstaben aufgeführten Elemente zu berücksichtigen.
DORA-Sollmaßnahmen
D23.030Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Due-Diligence-Prüfung, NachweiseS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 7
Artikel 7
Interessenkonflikte
RTS IKT-Drittparteien (2024/1773)
(1)
In der Leitlinie werden geeignete Maßnahmen festgelegt, die vor Abschluss einschlägiger vertraglicher Vereinbarungen zu ergreifen sind, um die sich aus der Nutzung von IKT-Drittdienstleistern ergebenden tatsächlichen oder potenziellen Interessenkonflikte zu ermitteln, zu vermeiden und zu managen, und es wird eine kontinuierliche Überwachung solcher Interessenkonflikte vorgesehen.
DORA-Sollmaßnahmen
D23.012Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Vermeidung von InteressenkonfliktenS
(2)
Werden IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen von gruppeninternen IKT-Dienstleistern bereitgestellt, so wird in der Leitlinie festgelegt, dass Entscheidungen über die Bedingungen für diese IKT-Dienstleistungen, einschließlich der finanziellen Bedingungen, objektiv getroffen werden müssen.
DORA-Sollmaßnahmen
D23.031Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Gruppeninterne IKT-DienstleisterS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 8
Artikel 8
Vertragsklauseln
RTS IKT-Drittparteien (2024/1773)
(1)
In der Leitlinie wird festgelegt, dass die einschlägige vertragliche Vereinbarung schriftlich abzufassen ist und alle in Artikel 30 Absätze 2 und 3 der Verordnung (EU) 2022/2554 genannten Elemente enthalten muss. Die Leitlinie umfasst auch Elemente mit Blick auf die in Artikel 1 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten Anforderungen sowie gegebenenfalls andere einschlägige Rechtsvorschriften der Union und der Mitgliedstaaten.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.032Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Schriftform der VerträgeS
Vorgabedokument: Allgemeine Vertragsinhalte
D23.049Allgemeine Vertragsinhalte: Mindestinhalte nach Art. 30 Abs. 2 DORAS
Mindestvertragsinhalte in IKT-Verträgen: die Vertragsspinne
Leitlinie für die Nutzung von IKT-Dienstleistungen: zwei Töpfe statt einer Matrix
Leitlinie für die Nutzung von IKT-Dienstleistungen: Die Arbeitshilfe der BaFin zu den Mindestvertragsinhalten
Vorgabedokument: kwF-relevante Vertragsinhalte
D23.061kwF-relevante Vertragsinhalte: Mindestvertragsinhalte (Art. 30 Abs. 3 DORA)S
D23.064kwF-relevante Vertragsinhalte: Verzahnung mit internen VorgabenS
Leitlinie für die Nutzung von IKT-Dienstleistungen: fünf Festlegungen zur Vertragsphase
(2)
In der Leitlinie ist festzulegen, dass die einschlägigen vertraglichen Vereinbarungen das Recht des Finanzunternehmens auf Zugang zu Informationen, auf die Durchführung von Inspektionen und Audits sowie auf die Durchführung von IKT-Tests vorsehen müssen. In der Leitlinie ist vorzusehen, dass das Finanzunternehmen zu diesen Zwecken — unbeschadet seiner letztlichen Verantwortung — auf folgende Methoden zurückgreifen muss:
a)
eigene interne Audits oder Audits eines beauftragten Dritten;
b)
gegebenenfalls Sammelaudits und gepoolte IKT-Tests, einschließlich bedrohungsorientierter Penetrationstests, die gemeinsam mit anderen als Auftraggeber auftretenden Finanzunternehmen oder Firmen, die IKT-Dienstleistungen desselben IKT-Drittdienstleisters nutzen, organisiert und von diesen Finanzunternehmen oder Firmen oder einem von ihnen beauftragten Dritten durchgeführt werden;
c)
gegebenenfalls Zertifizierungen Dritter;
d)
gegebenenfalls Berichte über interne oder von Dritten durchgeführte Audits, die vom IKT-Drittdienstleister zur Verfügung gestellt werden.
DORA-Sollmaßnahmen
D03.013Prüf- und Kontrollmaßnahmen zur DL-ÜberwachungS
D23.066kwF-relevante Vertragsinhalte: Zugangs-, Inspektions- und AuditrechteS
D25.023Risikobasierte laufende Überwachung von IKT-DrittdienstleisternS
(3)
Das Finanzunternehmen darf sich längerfristig nicht nur auf die in Absatz 2 Buchstabe c genannten Zertifizierungen oder die in Absatz 2 Buchstabe d genannten Auditberichte verlassen. Nach der Leitlinie ist die Anwendung der in Absatz 2 Buchstaben c und d genannten Methoden nur dann gestattet, wenn das Finanzunternehmen
a)
den Auditplan des IKT-Drittdienstleisters für die einschlägigen vertraglichen Vereinbarungen als zufriedenstellend erachtet;
b)
sicherstellt, dass der Umfang der Zertifizierungen oder Auditberichte die von ihm ermittelten Systeme und wesentlichen Kontrollen abdeckt und die Einhaltung der einschlägigen rechtlichen Anforderungen gewährleistet;
c)
den Inhalt der Zertifizierungen oder Auditberichte laufend gründlich bewertet und prüft, ob die Berichte oder Zertifizierungen nicht obsolet sind;
d)
sicherstellt, dass wesentliche Systeme und Kontrollen in künftigen Fassungen der Zertifizierung oder des Auditberichts berücksichtigt werden;
e)
die zertifizierende oder prüfende Partei in zufriedenstellendem Maße für geeignet hält;
f)
davon überzeugt ist, dass die Zertifizierungen ausgestellt werden und die Zertifizierungen und die Audits nach weithin anerkannten einschlägigen professionellen Standards durchgeführt werden und einen Test der operationalen Wirksamkeit der bestehenden wesentlichen Kontrollen umfassen;
g)
das vertragliche Recht hat, in einer aus der Perspektive des Risikomanagements vertretbaren und legitimen Häufigkeit Änderungen des Umfangs der Zertifizierungen oder Auditberichte mit Blick auf andere einschlägige Systeme und Kontrollen zu verlangen;
h)
das vertragliche Recht hat, nach eigenem Ermessen Einzel- und Sammelaudits im Zusammenhang mit den vertraglichen Vereinbarungen durchzuführen und diese Rechte in der vereinbarten Häufigkeit wahrzunehmen.
DORA-Sollmaßnahmen
D23.067kwF-relevante Vertragsinhalte: Rückgriff auf Zertifizierungen und AuditberichteS
D25.024Bewertung von Zertifizierungen und Auditberichten des IKT-DrittdienstleistersS
(4)
Die Leitlinie stellt sicher, dass wesentliche Änderungen der vertraglichen Vereinbarung in einem schriftlichen Dokument förmlich festgehalten werden, das von allen Parteien datiert und unterzeichnet wird und in dem das Verfahren zur Verlängerung der vertraglichen Vereinbarungen festgelegt ist.
DORA-Sollmaßnahmen
D23.068kwF-relevante Vertragsinhalte: Schriftform von Vertragsänderungen und VerlängerungS
D23.096Änderungen/Verlängerungen kwF-relevanter IKT-VerträgeS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 9
Artikel 9
Überwachung der vertraglichen Vereinbarungen
RTS IKT-Drittparteien (2024/1773)
(1)
In der Leitlinie ist vorzusehen, dass in den vertraglichen Vereinbarungen die Maßnahmen und Schlüsselindikatoren festgelegt werden, anhand deren die Leistungsfähigkeit der IKT-Drittdienstleister kontinuierlich überwacht wird, einschließlich Maßnahmen, die dazu dienen, die Einhaltung der Anforderungen für die Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität von Daten und Informationen und die Einhaltung der einschlägigen Strategien und Verfahren des Finanzunternehmens durch die IKT-Drittdienstleister zu überwachen. Darüber hinaus sind in der Leitlinie Maßnahmen zu spezifizieren, die Anwendung finden, wenn Dienstleistungsvereinbarungen nicht eingehalten werden, und gegebenenfalls Vertragsstrafen umfassen.
DORA-Sollmaßnahmen
Vorgabedokument: kwF-relevante Vertragsinhalte
D23.069kwF-relevante Vertragsinhalte: Service Level Agreements und EskalationS
D23.070kwF-relevante Vertragsinhalte: Schutzziele für Daten und InformationenS
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D25.025SLA-Überwachung und Eskalation bei AbweichungenS
D25.026Überprüfung der Informationssicherheitsanforderungen beim IKT-DrittdienstleisterS
(2)
In der Leitlinie wird festgelegt, wie das Finanzunternehmen bewertet, ob die IKT-Drittdienstleister, die für die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen in Anspruch genommen werden, angemessene Leistungs- und Qualitätsstandards im Einklang mit der vertraglichen Vereinbarung und den Strategien des Finanzunternehmens einhalten. Die Leitlinie muss insbesondere gewährleisten, dass
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.033Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Leistungs- und QualitätsstandardsS
Leitlinie für die Nutzung von IKT-Dienstleistungen: messen, bewerten, dokumentieren
Leitlinie für die Nutzung von IKT-Dienstleistungen: Dritte Linie, Mängel und Monitoringfunktion
Leitlinie für die Nutzung von IKT-Dienstleistungen: das Vorgehensmodell der Aufsicht
a)
die IKT-Drittdienstleister dem Finanzunternehmen angemessene Berichte über ihre Tätigkeiten und Dienstleistungen vorlegen, darunter regelmäßige Berichte, Berichte über Vorfälle, Berichte über die Erbringung von Dienstleistungen, Berichte über die IKT-Sicherheit und Berichte über Maßnahmen und Tests zur Geschäftsfortführung;
DORA-Sollmaßnahmen
D23.071kwF-relevante Vertragsinhalte: Berichtspflichten des IKT-DrittdienstleistersS
D25.027Überwachung der Berichtspflichten des IKT-DrittdienstleistersS
b)
die Leistungsfähigkeit von IKT-Drittdienstleistern anhand wesentlicher Leistungsindikatoren, wesentlicher Kontrollindikatoren, Audits, Selbstzertifizierungen und unabhängiger Überprüfungen im Einklang mit dem IKT-Risikomanagementrahmen des Finanzunternehmens bewertet wird;
DORA-Sollmaßnahmen
D23.072kwF-relevante Vertragsinhalte: Überwachungsmaßnahmen und InformationsbereitstellungS
D25.002Regelmäßige Bewertung der Leistungs- und QualitätsstandardsS
c)
das Finanzunternehmen andere relevante Informationen von den IKT-Drittdienstleistern erhält;
DORA-Sollmaßnahmen
D23.073kwF-relevante Vertragsinhalte: Nachforderung weiterer InformationenS
D25.015Anforderung zusätzlicher Bewertungsinformationen beim IKT-DrittdienstleisterS
d)
das Finanzunternehmen gegebenenfalls über IKT-bezogene Vorfälle und operationale oder sicherheitsbezogene Vorfälle im Zusammenhang mit Zahlungen unterrichtet wird;
DORA-Sollmaßnahmen
D23.074kwF-relevante Vertragsinhalte: Meldung von Vorfällen an das FinanzunternehmenS
D25.016Bearbeitung von Vorfallmeldungen des IKT-DrittdienstleistersS
e)
eine unabhängige Überprüfung und Audits vorgenommen werden, um die Einhaltung der rechtlichen und regulatorischen Anforderungen und Strategien zu prüfen.
DORA-Sollmaßnahmen
D23.062kwF-relevante Vertragsinhalte: Unabhängige Überprüfungen und AuditsS
D25.028Durchführung unabhängiger Audits und ÜberprüfungenS
(3)
In der Leitlinie wird festgelegt, dass die Bewertung nach Absatz 2 zu dokumentieren ist und ihre Ergebnisse verwendet werden müssen, um die Risikobewertung des Finanzunternehmens im Sinne von Artikel 6 zu aktualisieren.
DORA-Sollmaßnahmen
D23.034Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Dokumentation der DienstleisterüberwachungS
D25.029Ergebnisse der Dienstleistersteuerung und -überwachung: Dokumentation und RisikobewertungS
(4)
In der Leitlinie werden die geeigneten Maßnahmen festgelegt, die das Finanzunternehmen ergreifen muss, wenn es Mängel beim IKT-Drittdienstleister, einschließlich IKT-bezogener Vorfälle und operationaler oder sicherheitsbezogener Vorfälle im Zusammenhang mit Zahlungen, bei der Erbringung der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder bei der Einhaltung vertraglicher Vereinbarungen oder rechtlicher Anforderungen feststellt. Ferner wird darin festgelegt, wie die Umsetzung solcher Maßnahmen zu überwachen ist, um sicherzustellen, dass die Maßnahmen innerhalb eines festgelegten Zeitrahmens wirksam eingehalten werden, wobei zu berücksichtigen ist, wie wesentlich die Mängel sind.
DORA-Sollmaßnahmen
D23.035Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Umgang mit LeistungsmängelnS
D23.075kwF-relevante Vertragsinhalte: Abhilfe bei LeistungsmängelnS
D25.003Mängelmanagement und Maßnahmennachverfolgung beim IKT-DrittdienstleisterS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 10
Artikel 10
Ausstieg aus und Beendigung von vertraglichen Vereinbarungen
RTS IKT-Drittparteien (2024/1773)
Die Leitlinie enthält Anforderungen an einen dokumentierten Ausstiegsplan für jede vertragliche Vereinbarung sowie Anforderungen, die die regelmäßigen Überprüfungen und Tests des dokumentierten Ausstiegsplans betreffen. Bei der Festlegung des Ausstiegsplans ist Folgendes zu berücksichtigen:
a)
unvorhergesehene und anhaltende Unterbrechungen bei der Bereitstellung von Dienstleistungen;
b)
eine mangelhafte oder nicht erfolgte Erbringung von Dienstleistungen;
c)
eine unerwartete Beendigung vertraglicher Vereinbarungen.
Der Ausstiegsplan muss realistisch und durchführbar sein, auf plausiblen Szenarien und vernünftigen Annahmen beruhen und einen Durchführungszeitplan enthalten, der mit den in den vertraglichen Vereinbarungen festgelegten Ausstiegs- und Beendigungsbedingungen vereinbar ist.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen
D23.013Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstiegsstrategien und BeendigungsverfahrenS
D23.014Leitlinie zur Nutzung von kwF-relevanten IKT-Dienstleistungen: Ausstieg, Ausstiegsplan je VertragS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Strategie, Plan und fünf Szenarien
Leitlinie für die Nutzung von IKT-Dienstleistungen: drei Szenarien, sieben Anforderungen
Exkurs: Praxisprobleme mit den Ausstiegsplänen
Umsetzungsanforderungen ohne eigenes Vorgabedokument
D25.030Ausstiegsplanung und -tests für kwF-relevante IKT-VerträgeS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS IKT-Drittparteien (2024/1773)›Art. 11
Artikel 11
Inkrafttreten
RTS IKT-Drittparteien (2024/1773)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Informationsregister (2024/2956)›Art. 1
Artikel 1
Begriffsbestimmungen
ITS Informationsregister (2024/2956)
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck
1.
„direkter IKT-Drittdienstleister“ einen IKT-Drittdienstleister oder einen gruppeninternen IKT-Dienstleister, der eine vertragliche Vereinbarung unterzeichnet hat mit
a)
einem Finanzunternehmen, um seine IKT-Dienstleistungen direkt für dieses Finanzunternehmen zu erbringen,
b)
einem Finanzunternehmen oder Nichtfinanzunternehmen, um seine Dienstleistungen für andere Finanzunternehmen innerhalb derselben Gruppe zu erbringen,
2.
„IKT-Dienstleistungskette“ eine Abfolge von vertraglichen Vereinbarungen im Zusammenhang mit der IKT-Dienstleistung, die vom direkten IKT-Drittdienstleister für das Finanzunternehmen erbracht wird, beginnend mit dem direkten IKT-Drittdienstleister, der einen oder mehrere andere IKT-Drittdienstleister als Gegenpartei(en) (Unterauftragnehmer) hat,
3.
„Rang“ die Position eines IKT-Drittdienstleisters in der IKT-Dienstleistungskette.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Informationsregister (2024/2956)›Art. 2
Artikel 2
Erstellung einer Rangfolge von IKT-Drittdienstleistern in der Dienstleistungskette
ITS Informationsregister (2024/2956)
Finanzunternehmen weisen jedem IKT-Drittdienstleister einen Rang zu. Der Rang ist eine beliebige natürliche Zahl größer oder gleich „1“, wobei die Vereinbarung dem Finanzunternehmen umso näher steht, je niedriger die natürliche Zahl ist, die dem Rang zugeordnet ist.
Der Rang des direkten IKT-Drittdienstleisters in der IKT-Dienstleistungskette muss stets „1“ sein.
Der Rang des Unterauftragnehmers in der IKT-Dienstleistungskette muss stets größer als „1“ sein.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.078Informationsregister: Dokumentation der UnterauftragskettenS
Leitlinie für die Nutzung von IKT-Dienstleistungen: wer welchen Rang trägt
Leitlinie für die Nutzung von IKT-Dienstleistungen: Wie tief muss die Unterauftragskette dokumentiert werden?
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Informationsregister (2024/2956)›Art. 3
Artikel 3
Allgemeine Anforderungen an die Vorlagen des Informationsregisters
ITS Informationsregister (2024/2956)
(1)
Die Finanzunternehmen führen und aktualisieren das Informationsregister gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554 auf Unternehmensebene oder auf teilkonsolidierter und konsolidierter Ebene unter Verwendung der in den Anhängen I bis IV enthaltenen Vorlagen.
DORA-Sollmaßnahmen
D23.076Erstellung und Führung des InformationsregistersS
(2)
Die Finanzunternehmen stellen sicher, dass die in Absatz 1 genannten Vorlagen alle nachstehenden Angaben enthalten:
a)
die einschlägigen Informationen in Bezug auf sämtliche IKT-Dienstleistungen, die von direkten IKT-Drittdienstleistern erbracht werden,
b)
Informationen über alle Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Bereiche davon sicherstellen.
DORA-Sollmaßnahmen
D23.079Informationsregister: Erfassung direkter und indirekter IKT-DrittdienstleisterS
(3)
Die Finanzunternehmen stellen sicher, dass die Angaben in den in Absatz 1 genannten Vorlagen korrekt und kohärent sind. Die Finanzunternehmen überprüfen die in den Vorlagen enthaltenen Angaben regelmäßig und korrigieren unverzüglich festgestellte Fehler oder Unstimmigkeiten.
Im Falle von Gruppen stellen die Finanzunternehmen, die für die Führung und Aktualisierung des Informationsregisters auf teilkonsolidierter und konsolidierter Ebene zuständig sind, sicher, dass die Angaben in Bezug auf die Unternehmensebene in der Konsolidierung korrekt sind und mit den Angaben auf teilkonsolidierter und konsolidierter Ebene übereinstimmen.
DORA-Sollmaßnahmen
D23.080Informationsregister: Datenqualität und AktualisierungS
(4)
Die Finanzunternehmen stellen sicher, dass die Angaben in den in Absatz 1 genannten Vorlagen den folgenden Grundsätzen der Datenqualität entsprechen:
a)
Richtigkeit
b)
Vollständigkeit
c)
Kohärenz
d)
Integrität
e)
Einheitlichkeit
f)
Gültigkeit
DORA-Sollmaßnahmen
D23.081Informationsregister: Einhaltung der DatenqualitätsgrundsätzeS
(5)
Die Finanzunternehmen verwenden eine gültige und aktive Rechtsträgerkennung (Legal Entity Identifier, im Folgenden „LEI“) oder die in Artikel 16 der Richtlinie (EU) 2017/1132 genannte europäische einheitliche Kennung (European Unique Identifier, im Folgenden „EUID“) bzw., sofern vorhanden, beide Kennungen, um alle ihre IKT-Drittdienstleister, bei denen es sich um juristische Personen handelt, zu identifizieren, mit Ausnahme von natürlichen Personen, die als Unternehmer handeln.
DORA-Sollmaßnahmen
D23.082Informationsregister: Eindeutige Identifikation von IKT-DrittdienstleisternS
(6)
Wenn eine IKT-Dienstleistung, die von einem direkten IKT-Drittdienstleister erbracht wird, eine kritische oder wichtige Funktion der Finanzunternehmen unterstützt, stellen die Finanzunternehmen über den direkten IKT-Drittdienstleister sicher, dass alle Unterauftragnehmer des direkten IKT-Drittdienstleisters, die im Informationsregister gemäß Absatz 2 Buchstabe b aufgeführt sind und IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, sicherstellen/unterstützen, eine gültige und aktive LEI verwenden oder ihre EUID bzw., sofern vorhanden, beide Kennungen bereitstellen, es sei denn, bei diesen Unterauftragnehmern handelt es sich um natürliche Personen, die als Unternehmer handeln.
DORA-Sollmaßnahmen
D23.083Informationsregister: Dokumentation der kwF-UnterstützungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Informationsregister (2024/2956)›Art. 4
Artikel 4
Anforderung an das Datenformat
ITS Informationsregister (2024/2956)
(1)
Sofern in der Anleitung nichts anderes bestimmt ist, bestehen alle Vorlagen, aus denen sich das Informationsregister zusammensetzt, aus einer Tabelle mit einer vorgegebenen Anzahl von Spalten und einer unbestimmten Anzahl von Zeilen.
(2)
Die Finanzunternehmen müssen zu jedem Datenelement einen Einzelwert angeben. Sind bei einem bestimmten Datenelement mehrere Werte gültig, so fügen die Finanzunternehmen in der entsprechenden Vorlage für jeden gültigen Wert eine zusätzliche Zeile hinzu.
(3)
Die Finanzunternehmen geben alle Datenelemente im Informationsregister auf Unternehmensebene bzw. gegebenenfalls auf teilkonsolidierter und konsolidierter Ebene an.
DORA-Sollmaßnahmen
D23.084Informationsregister: Einhaltung der ITS-VorlagenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Informationsregister (2024/2956)›Art. 5
Artikel 5
Inhalt des Informationsregisters
ITS Informationsregister (2024/2956)
(1)
Finanzunternehmen nehmen in das Informationsregister gemäß der Anleitung in Anhang I folgende Angaben auf:
a)
allgemeine Informationen über das Finanzunternehmen, das das Informationsregister auf Unternehmensebene bzw. auf teilkonsolidierter oder konsolidierter Ebene führt und aktualisiert, gemäß Vorlage B_01.01 in Anhang I,
b)
allgemeine Informationen zu den in der Konsolidierung befindlichen Unternehmen gemäß Vorlage B_01.02 in Anhang I,
c)
gegebenenfalls Angabe der Zweigniederlassungen von Finanzunternehmen, die außerhalb des in der Vorlage B_01.02 aufgeführten Sitzlandes ansässig sind, gemäß Vorlage B_01.03 in Anhang I,
d)
allgemeine Informationen zu den vertraglichen Vereinbarungen gemäß Vorlage B_02.01 in Anhang I,
e)
spezifische Informationen zu den vertraglichen Vereinbarungen gemäß Vorlage B_02.02 in Anhang I,
f)
Angaben zu den Verbindungen zwischen gruppeninternen vertraglichen Vereinbarungen und vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, die nicht der Gruppe angehören, und zwar unter Verwendung der vertraglichen Kennnummern, wenn ein Teil der IKT-Dienstleistungskette gruppenintern ist (siehe Vorlage B_02.03 in Anhang I),
g)
Informationen über die Unternehmen, die die vertraglichen Vereinbarungen mit den direkten IKT-Drittdienstleistern für den Erhalt von IKT-Dienstleistungen oder im Namen der Unternehmen, die die IKT-Dienstleistungen in Anspruch nehmen, unterzeichnen (siehe Vorlage B_03.01 in Anhang I),
h)
Angabe der IKT-Drittdienstleister, die die vertraglichen Vereinbarungen für die Erbringung von IKT-Dienstleistungen unterzeichnen (siehe Vorlage B_03.02 in Anhang I),
i)
Angabe der Unternehmen, die die vertraglichen Vereinbarungen über die Erbringung von IKT-Dienstleistungen für andere zum Konsolidierungskreis gehörende Unternehmen unterzeichnen (siehe Vorlage B_03.03 in Anhang I),
j)
Angaben zu den Unternehmen, die die von den IKT-Drittdienstleistern bereitgestellten IKT-Dienstleistungen in Anspruch nehmen (siehe Vorlage B_04.01 in Anhang I),
k)
Angaben zu den direkten IKT-Drittdienstleistern und Unterauftragnehmern (siehe Vorlage B_05.01 in Anhang I),
l)
Angaben zur IKT-Dienstleistungskette (siehe Vorlage B_05.02 in Anhang I),
m)
Angaben zur Identifizierung der Funktionen (siehe Vorlage B_06.01 in Anhang I),
n)
Angaben zur Bewertung der von IKT-Drittdienstleistern erbrachten IKT-Dienstleistungen, die eine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützen (siehe Vorlage B_07.01 in Anhang I),
o)
Informationen über die von Finanzunternehmen beim Ausfüllen der Vorlagen verwendete Terminologie und die entsprechenden Begriffe, die in den erschöpfenden Listen und Klassifizierungssystemen enthalten sind (siehe Vorlage B_99.01 in Anhang I).
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.085Informationsregister: Vollständigkeit und KonsistenzS
Kategorisierung von IKT-Dienstleistern und IKT-Dienstleistungen: wonach einsortiert wird
Kategorisierung von IKT-Dienstleistern und IKT-Dienstleistungen: 19 unterschiedliche IKT-Dienstleistungen
(2)
Sofern dies für ihr Risikomanagement oder ihr Vertragsmanagement relevant ist, können die Finanzunternehmen zusätzliche Informationen in das Informationsregister aufnehmen, und zwar in dem Format, das für die Zwecke dieser zusätzlichen Informationen am besten geeignet ist.
DORA-Sollmaßnahmen
D23.086Informationsregister: Ergänzende Risikomanagement-InformationenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Informationsregister (2024/2956)›Art. 6
Artikel 6
Anwendungsbereich des Informationsregisters auf teilkonsolidierter und konsolidierter Ebene
ITS Informationsregister (2024/2956)
(1)
Bei Gruppen entscheiden die Mutterunternehmen unter Berücksichtigung der einschlägigen sektorspezifischen Rechtsvorschriften der Union, welche Unternehmen in das Informationsregister aufgenommen werden sollen.
DORA-Sollmaßnahmen
D23.087Informationsregister: Sektorspezifische KonsolidierungS
(2)
Das auf teilkonsolidierter und konsolidierter Ebene geführte und aktualisierte Informationsregister umfasst alle Finanzunternehmen und gruppeninternen IKT-Dienstleister, die zur Teilgruppe und zur Gruppe gehören.
DORA-Sollmaßnahmen
D23.088Informationsregister: Aggregation von EinzelunternehmensangabenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Informationsregister (2024/2956)›Art. 7
Artikel 7
Inkrafttreten
ITS Informationsregister (2024/2956)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Informationsregister (2024/2956)›Anhang I
Anhang I
Anleitung zum Ausfüllen des Informationsregisters
ITS Informationsregister (2024/2956)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
TEIL 1
ALLGEMEINE ANLEITUNGEN
Finanzunternehmen, die das Informationsregister auf Unternehmensebene, teilkonsolidierter und konsolidierter Ebene führen und aktualisieren, tragen die Daten in die Vorlagen des Informationsregisters ein und verwenden dabei die in Teil 2 der Anleitung genannten Formate.
Teil 2 enthält Anleitungen, die von den Finanzunternehmen beim Ausfüllen der einzelnen Spalten in den jeweiligen Vorlagen zu befolgen sind. Beim Ausfüllen bestimmter Spalten müssen die Finanzunternehmen auf die Anhänge II, III und IV oder andere externe Quellen zurückgreifen. In diesem Fall wird in den Anleitungen auf die entsprechenden Anhänge oder externen Quellen verwiesen.
Liste der Vorlagen
| Vorlagencode | Vorlagenbezeichnung | Kurzbeschreibung |
|---|---|---|
| B_01.01 | Unternehmen, das das Informationsregister führt | In dieser Vorlage wird das Unternehmen angegeben, das das Informationsregister auf Unternehmensebene bzw. auf teilkonsolidierter oder konsolidierter Ebene führt und aktualisiert. |
| B_01.02 | Liste der zum Konsolidierungskreis gehörenden Unternehmen | In dieser Vorlage werden alle zur Gruppe gehörenden Unternehmen aufgeführt. Gehört das für die Führung und Aktualisierung des Informationsregisters zuständige Finanzunternehmen keiner Gruppe an, ist in dieser Vorlage nur das betreffende Finanzunternehmen anzugeben. |
| B_01.03 | Liste der Zweigniederlassungen | In dieser Vorlage werden die Zweigniederlassungen der in der Vorlage B_01.02 genannten Finanzunternehmen aufgeführt. |
| B_02.01 | Vertragliche Vereinbarungen – allgemeine Informationen | In dieser Vorlage werden alle vertraglichen Vereinbarungen mit direkten IKT-Drittdienstleistern aufgeführt. Für jede vertragliche Vereinbarung mit einem direkten IKT-Drittdienstleister weist das Finanzunternehmen, das das Informationsregister führt, eine eindeutige „Kennnummer der vertraglichen Vereinbarung“ zu, mit der die vertragliche Vereinbarung selbst eindeutig identifiziert wird. |
| B_02.02 | Vertragliche Vereinbarungen – spezifische Informationen | Diese Vorlage enthält nähere Angaben zu jeder in der Vorlage B_02.01 aufgeführten vertraglichen Vereinbarung in Bezug auf: a) die IKT-Dienstleistungen, die in den Anwendungsbereich der vertraglichen Vereinbarung fallen, b) die Funktionen der Finanzunternehmen, die von diesen IKT-Dienstleistungen unterstützt werden, c) sonstige wichtige Informationen zu den spezifischen erbrachten IKT-Dienstleistungen (z. B. Kündigungsfrist, für die Vereinbarung geltendes Recht usw.). |
| B_02.03 | Liste der gruppeninternen vertraglichen Vereinbarungen | In dieser Vorlage werden unter Angabe der Vertragskennnummern die Verbindungen zwischen gruppeninternen vertraglichen Vereinbarungen und vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, die nicht der Gruppe angehören, erfasst, wenn sie Teil der IKT-Dienstleistungskette sind. |
| B_03.01 | Unternehmen, die die vertraglichen Vereinbarungen für den Erhalt der IKT-Dienstleistung(en) oder im Namen der Unternehmen, die die IKT-Dienstleistung(en) in Anspruch nehmen, unterzeichnen | Diese Vorlage enthält Informationen über das Unternehmen, das die vertraglichen Vereinbarungen mit dem direkten IKT-Drittdienstleister für das Unternehmen, das die IKT-Dienstleistungen in Anspruch nimmt, unterzeichnet. Wird das Informationsregister auf Unternehmensebene geführt und aktualisiert, ist das Unternehmen, das die vertragliche Vereinbarung unterzeichnet und die IKT-Dienstleistungen in Anspruch nimmt, das Finanzunternehmen, das das Informationsregister führt und aktualisiert. Im Falle der Teilkonsolidierung und Konsolidierung ist das Finanzunternehmen, das die erbrachten IKT-Dienstleistungen in Anspruch nimmt, nicht unbedingt das Unternehmen, das die vertragliche Vereinbarung mit den IKT-Drittdienstleistern unterzeichnet. |
| B_03.02 | IKT-Drittdienstleister, die die vertraglichen Vereinbarungen für die Erbringung der IKT-Dienstleistung(en) unterzeichnen | In dieser Vorlage sind alle in der Vorlage B_05.01 genannten IKT-Drittdienstleister aufgeführt, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen zur Erbringung der IKT-Dienstleistungen unterzeichnen. |
| B_03.03 | Unternehmen, die die vertraglichen Vereinbarungen über die Erbringung der IKT-Dienstleistung(en) für andere Unternehmen im Konsolidierungskreis unterzeichnen | In dieser Vorlage werden alle in der Vorlage B_01.02 genannten Unternehmen aufgeführt, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen über die Erbringung von IKT-Dienstleistungen für andere Unternehmen im Konsolidierungskreis unterzeichnen. |
| B_04.01 | Unternehmen, die IKT-Dienstleistungen in Anspruch nehmen | In dieser Vorlage sind alle Unternehmen aufgeführt, die IKT-Dienstleistungen nutzen, die von IKT-Drittdienstleistern erbracht werden und im Informationsregister registriert sind. Bei den Unternehmen, die IKT-Dienstleistungen in Anspruch nehmen, handelt es sich entweder um die in den Anwendungsbereich fallenden Finanzunternehmen oder um die gruppeninternen IKT-Dienstleister. Wird das Informationsregister auf Unternehmensebene geführt und aktualisiert, sind das Unternehmen, das die vertragliche Vereinbarung unterzeichnet, und das Unternehmen, das die IKT-Dienstleistungen in Anspruch nimmt, das Finanzunternehmen, das das Register führt. |
| B_05.01 | IKT-Drittdienstleister | Diese Vorlage enthält allgemeine Informationen zur Ermittlung a) der direkten IKT-Drittdienstleister, b) der gruppeninternen IKT-Dienstleister, c) aller Unterauftragnehmer, die in der Vorlage B_05.02 zur IKT-Dienstleistungskette aufgeführt sind, d) des obersten Mutterunternehmens der unter den Buchstaben a, b und c genannten IKT-Drittdienstleister. |
| B_05.02 | IKT-Dienstleistungskette | In dieser Vorlage werden die IKT-Drittdienstleister, die Teil derselben IKT-Dienstleistungskette sind, ausgewiesen und zueinander in Beziehung gesetzt. Die Finanzunternehmen müssen die IKT-Drittdienstleister für jede in jeder vertraglichen Vereinbarung enthaltene IKT-Dienstleistung benennen und einstufen. Beispiel: Ein Finanzunternehmen hat eine vertragliche Vereinbarung mit einem IKT-Drittdienstleister (im Folgenden „IKT-Drittdienstleister X“) getroffen, um zwei spezifische IKT-Dienstleistungen (im Folgenden „IKT-Dienstleistung A“ und „IKT-Dienstleistung B“) in Anspruch zu nehmen, und der Dienstleister nutzt einen Unterauftragnehmer („IKT-Drittdienstleister Y“), um eine dieser Dienstleistungen zu erbringen („IKT-Dienstleistung B“). — In Bezug auf die IKT-Dienstleistung A besteht die IKT-Dienstleistungskette aus einem IKT-Drittdienstleister (dem IKT-Drittdienstleister X), der in der Vorlage als Nummer 1 eingestuft wird. Der IKT-Drittdienstleister X ist der direkte IKT-Drittdienstleister. — In Bezug auf die IKT-Dienstleistung B setzt sich die IKT-Dienstleistungskette aus zwei IKT-Drittdienstleistern zusammen: a) dem IKT-Drittdienstleister X, der in der Vorlage an erster Stelle steht. Der IKT-Drittdienstleister X ist der direkte IKT-Drittdienstleister. b) dem IKT-Drittdienstleister Y, der in der Vorlage an zweiter Stelle steht. Der IKT-Drittdienstleister Y ist ein Unterauftragnehmer. Alle IKT-Drittdienstleister, die derselben IKT-Dienstleistungskette angehören, haben dieselbe „Kennnummer der vertraglichen Vereinbarung“ gemäß Vorlage B_02.01 und erbringen dieselbe Art von IKT-Dienstleistungen. |
| B_06.01 | Angabe der Funktionen | In dieser Vorlage werden die Funktionen des Finanzunternehmens, das die IKT-Dienstleistungen in Anspruch nimmt, genannt und näher beschrieben. In den in dieser Vorlage bereitzustellenden Informationen müssen Finanzunternehmen für jede Kombination aus LEI, genehmigter Tätigkeit und Funktion eines Finanzunternehmens eine eindeutige Kennung, die „Funktionskennung“, angeben. Beispiel: Ein Finanzunternehmen (LEI: 21USLEIC20231109J3Z8), das im Rahmen von zwei genehmigten Tätigkeiten („Tätigkeit A“ und „Tätigkeit B“) agiert, erhält zwei eindeutige „Funktionskennungen“ für dieselbe Funktion X (z. B. Vertrieb), die jeweils für Tätigkeit A bzw. Tätigkeit B ausgeführt wird. Funktionskennung: F1 für die Kombination aus „21USLEIC20231109J3Z8“, „Tätigkeit A“ und „Funktion X“ F2 für die Kombination aus „21USLEIC20231109J3Z8“, „Tätigkeit B“ und „Funktion X“ |
| B_07.01 | Bewertungen der IKT-Dienstleistungen | Diese Vorlage enthält Informationen im Zusammenhang mit der Risikobewertung der IKT-Dienstleistungen (z. B. Substituierbarkeit, Zeitpunkt des letzten Audits usw.), wenn die betreffenden IKT-Dienstleistungen eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützen. |
| B_99.01 | Begriffsbestimmungen seitens der Unternehmen, die IKT-Dienstleistungen in Anspruch nehmen | Diese Vorlage enthält unternehmensinterne Erläuterungen, Bedeutungen und Begriffsbestimmungen in Bezug auf den erschöpfenden Indikatorenkatalog, den das Finanzunternehmen im Informationsregister verwendet. Beispiel: In der Vorlage B_07.01 muss das Finanzunternehmen anhand einer erschöpfenden Liste von Optionen (gering, mittel, hoch) die Auswirkungen der Einstellung der IKT-Dienstleistungen angeben. In der Vorlage B_99.01 muss das Finanzunternehmen die Bedeutung dieser Optionen darlegen. |
TEIL 2
ANLEITUNGEN ZU DEN EINZELNEN VORLAGEN
Anleitung zum Ausfüllen der Vorlage B_01.01 – Finanzunternehmen, das das Informationsregister führt
Geben Sie das Finanzunternehmen an, das das Informationsregister führt und aktualisiert.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_01.01.0010 | LEI des Finanzunternehmens, das das Informationsregister führt | Alphanumerisch | Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an, das das Informationsregister führt und aktualisiert. | Obligatorisch |
| B_01.01.0020 | Name des Finanzunternehmens | Alphanumerisch | Offizielle Bezeichnung des Finanzunternehmens, das das Informationsregister führt und aktualisiert | Obligatorisch |
| B_01.01.0030 | Land des Finanzunternehmens | Land | Geben Sie nach ISO 3166-1 Alpha-2 den Ländercode des Landes an, in dem die Lizenz oder die Eintragung des im Informationsregister gemeldeten Unternehmens erteilt wurde. | Obligatorisch |
| B_01.01.0040 | Art des Finanzunternehmens | Erschöpfende Optionsliste | Benennen Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste die Art des Finanzunternehmens: 1. Kreditinstitute, 2. Zahlungsinstitute, einschließlich nach der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates ausgenommene Zahlungsinstitute (1), 3. Kontoinformationsdienstleister, 4. E-Geld-Institute, einschließlich nach der Richtlinie 2009/110/EG des Europäischen Parlaments und des Rates ausgenommene E-Geld-Institute (2), 5. Wertpapierfirmen, 6. Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates zugelassen sind (3), 7. Emittenten wertreferenzierter Token, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind, 8. Zentralverwahrer, 9. zentrale Gegenparteien, 10. Handelsplätze, 11. Transaktionsregister, 12. Verwalter alternativer Investmentfonds, 13. Verwaltungsgesellschaften, 14. Datenbereitstellungsdienste, 15. Versicherungs- und Rückversicherungsunternehmen, 16. Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, 17. Einrichtungen der betrieblichen Altersversorgung, 18. Ratingagenturen, 19. Administratoren kritischer Referenzwerte, 20. Schwarmfinanzierungsdienstleister, 21. Verbriefungsregister, 22. sonstige Finanzunternehmen. Wird das Informationsregister auf Gruppenebene vom Mutterunternehmen geführt, das selbst nicht der Pflicht zur Führung eines solchen Registers unterliegt, da es nicht unter die Definition der Finanzunternehmen gemäß Artikel 2 der Verordnung (EU) 2022/2554 fällt (z. B. Finanzholdinggesellschaft, gemischte Finanzholdinggesellschaft oder gemischte Holdinggesellschaft), ist die Option „Sonstiges Finanzunternehmen“ zu wählen. | Obligatorisch |
| B_01.01.0050 | Zuständige Behörde | Alphanumerisch | Geben Sie die in Artikel 46 der Verordnung (EU) 2022/2554 genannte zuständige Behörde an, der das Informationsregister gemeldet wird. | Obligatorisch im Falle der Meldung |
| B_01.01.0060 | Datum der Meldung | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ–MM–TT) des Meldedatums an. | Obligatorisch im Falle der Meldung |
Anleitung zum Ausfüllen der Vorlage B_01.02 – Liste der Finanzunternehmen, die in den Anwendungsbereich des Informationsregisters fallen
Wird das Informationsregister auf teilkonsolidierter und konsolidierter Ebene geführt und aktualisiert, so werden in dieser Vorlage alle Finanzunternehmen aufgeführt, die zur Teilgruppe und Gruppe gehören. Gehört das für die Führung und Aktualisierung des Informationsregisters zuständige Finanzunternehmen keiner Gruppe an, ist in dieser Vorlage nur das betreffende Finanzunternehmen auszuweisen, und der Eintrag in dieser Vorlage muss mit dem Eintrag in der Vorlage B_01.01 identisch sein.
Wenn ein Unternehmen für alle Tätigkeiten (einschließlich der IKT-Dienstleistungen) im Namen eines Finanzunternehmens handelt, sollten die direkten IKT-Drittdienstleister dieses Unternehmens in den einschlägigen Vorlagen des Informationsregisters des Finanzunternehmens erfasst werden. In diesem Fall wird das Unternehmen nur als Unternehmen registriert, das das Register führt, und nicht in dieser Vorlage angegeben.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_01.02.0010 | LEI des Finanzunternehmens | Alphanumerisch | Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an, das im Informationsregister gemeldet wird. | Obligatorisch |
| B_01.02.0020 | Name des Finanzunternehmens | Alphanumerisch | Offizielle Bezeichnung des Finanzunternehmens, das im Informationsregister gemeldet wird | Obligatorisch |
| B_01.02.0030 | Land des Finanzunternehmens | Land | Geben Sie nach ISO 3166-1 Alpha-2 den Ländercode des Landes an, in dem die Lizenz oder die Eintragung des im Informationsregister gemeldeten Finanzunternehmens erteilt wurde. | Obligatorisch |
| B_01.02.0040 | Art des Finanzunternehmens | Erschöpfende Optionsliste | Benennen Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste die Art des Finanzunternehmens: 1. Kreditinstitute, 2. Zahlungsinstitute, einschließlich nach der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute, 3. Kontoinformationsdienstleister, 4. E-Geld-Institute, einschließlich nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute, 5. Wertpapierfirmen, 6. Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind, 7. Emittenten wertreferenzierter Token, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind, 8. Zentralverwahrer, 9. zentrale Gegenparteien, 10. Handelsplätze, 11. Transaktionsregister, 12. Verwalter alternativer Investmentfonds, 13. Verwaltungsgesellschaften, 14. Datenbereitstellungsdienste, 15. Versicherungs- und Rückversicherungsunternehmen, 16. Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, 17. Einrichtungen der betrieblichen Altersversorgung, 18. Ratingagenturen, 19. Administratoren kritischer Referenzwerte, 20. Schwarmfinanzierungsdienstleister, 21. Verbriefungsregister, 22. sonstige Finanzunternehmen, 23. Nichtfinanzunternehmen: gruppeninterne IKT-Dienstleister, 24. Nichtfinanzunternehmen: Sonstiges. | Obligatorisch |
| B_01.02.0050 | Hierarchie des Finanzunternehmens innerhalb der Gruppe (falls zutreffend) | Erschöpfende Optionsliste | Benennen Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste die Hierarchie des Finanzunternehmens im Konsolidierungskreis: 1. Das Finanzunternehmen ist das oberste Mutterunternehmen in der Konsolidierung. 2. Das Finanzunternehmen ist das Mutterunternehmen eines teilkonsolidierten Bereichs der Konsolidierung. 3. Das Finanzunternehmen ist ein in der Konsolidierung befindliches Tochterunternehmen und kein Mutterunternehmen eines teilkonsolidierten Bereichs. 4. Das Finanzunternehmen gehört keiner Gruppe an. 5. Das Finanzunternehmen ist ein Dienstleister, an den das Finanzunternehmen (oder der in seinem Namen handelnde Drittdienstleister) alle seine operationellen Tätigkeiten auslagert. Trifft auf ein Unternehmen mehr als eine Option der oben angegebenen erschöpfenden Liste zu, so ist die auf das Unternehmen zutreffende höherrangige Option auszuwählen. | Obligatorisch |
| B_01.02.0060 | LEI des direkten Mutterunternehmens des Finanzunternehmens | Alphanumerisch | Geben Sie das im Informationsregister gemeldete direkte Mutterunternehmen des Finanzunternehmens unter Verwendung des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 an. | Obligatorisch |
| B_01.02.0070 | Datum der letzten Aktualisierung | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ–MM–TT) des Datums der letzten Aktualisierung oder Änderung des Informationsregisters in Bezug auf das Finanzunternehmen an. | Obligatorisch |
| B_01.02.0080 | Datum der Aufnahme in das Informationsregister | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ–MM–TT) des Datums der Aufnahme des Finanzunternehmens in das Informationsregister an. | Obligatorisch |
| B_01.02.0090 | Datum der Löschung im Informationsregister | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ–MM–TT) des Datums der Löschung des Finanzunternehmens aus dem Informationsregister an. Wurde das Finanzunternehmen nicht gelöscht, ist „9999-12-31“ anzugeben. | Obligatorisch |
| B_01.02.0100 | Währung | Währung | Geben Sie den alphabetischen ISO 4217-Code der Währung an, die für die Aufstellung des Jahresabschlusses des Finanzunternehmens verwendet wird. Die Beträge sind in der Währung auszuweisen, die das Finanzunternehmen bei der Aufstellung des Jahresabschlusses je nach Sachlage auf Unternehmensebene, teilkonsolidierter oder konsolidierter Ebene verwendet. | Nur obligatorisch, wenn B_01.02.0110 gemeldet wird |
| B_01.02.0110 | Gesamtwert der Aktiva des Finanzunternehmens | Monetär | Monetärer Gesamtwert der Aktiva des Finanzunternehmens; maßgeblich ist der im Jahresabschluss des Finanzunternehmens für das Jahr vor dem Datum der letzten Aktualisierung des Informationsregisters ausgewiesene Wert. Der monetäre Wert ist in Einheiten anzugeben. Für das Ausfüllen dieser Spalte wird auf Anhang IV verwiesen. | Obligatorisch, wenn es sich bei dem Unternehmen um ein Finanz-unternehmen handelt |
Anleitung zum Ausfüllen der Vorlage B_01.03 – Liste der Zweigniederlassungen
Hat ein Finanzunternehmen Zweigniederlassungen, die sich außerhalb seines Sitzlandes befinden, so sind diese Zweigniederlassungen in dieser Vorlage anzugeben.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_01.03.0010 | Identifikationscode der Zweigniederlassung | Alphanumerisch | Geben Sie für jede Zweigniederlassung eines Finanzunternehmens, die sich außerhalb seines Sitzlandes befindet, einen eindeutigen Code an. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: a) LEI der Zweigniederlassung, wenn sie nur für diese Zweigniederlassung gilt und sich von der Angabe in B_01.03.0020 unterscheidet, b) ein anderer Identifikationscode, der von dem Finanzunternehmen zur Identifizierung der Zweigniederlassung verwendet wird (wenn die LEI der Zweigniederlassung derjenigen in Vorlage B_01.03.0020 oder der LEI einer anderen Zweigniederlassung entspricht). | Obligatorisch |
| B_01.03.0020 | LEI des Hauptsitzes des Finanzunternehmens der Zweigniederlassung | Alphanumerisch | Wie in B_01.02.0010 angegeben Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 den Hauptsitz des Finanzunternehmens der Zweigniederlassung an. | Obligatorisch |
| B_01.03.0030 | Name der Zweigniederlassung | Alphanumerisch | Geben Sie den Namen der Zweigniederlassung an. | Obligatorisch |
| B_01.03.0040 | Land der Zweigniederlassung | Land | Geben Sie den Code des Landes, in dem die Zweigniederlassung ansässig ist, gemäß ISO 3166-1 Alpha-2 an. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_02.01 – Vertragliche Vereinbarungen – Allgemeine Informationen
Finanzunternehmen müssen für jede vertragliche Vereinbarung im Informationsregister eine „Kennnummer der vertraglichen Vereinbarung“ angeben. Nimmt der externe IKT-Drittdienstleister Unterauftragnehmer in Anspruch, erfassen die Finanzunternehmen im Informationsregister für Vereinbarungen zwischen den externen IKT-Drittdienstleistern und ihren Unterauftragnehmern keine „Kennnummer der vertraglichen Vereinbarung“. Im Falle eines gruppeninternen IKT-Dienstleisters erfassen die Finanzunternehmen in dieser Vorlage die „Kennnummer der vertraglichen Vereinbarung“ zwischen diesem gruppeninternen IKT-Dienstleister und seinen IKT-Drittdienstleistern und füllen die Vorlage B_02.03 (Liste der gruppeninternen vertraglichen Vereinbarungen) entsprechend aus.
Die „Kennnummer der vertraglichen Vereinbarung“ bezieht sich auf die folgenden Arten von vertraglichen Vereinbarungen:
a)
jede Art von eigenständigen Vereinbarungen,
b)
jede Art von „übergeordneten Vereinbarungen oder Rahmenübereinkünften“, einschließlich Globalvereinbarungen und Rahmenübereinkünften,
c)
jede Art von „Folge- oder Nebenvereinbarungen“, einschließlich Durchführungsvereinbarungen, Unterdienstleistungsvereinbarungen und Bestellscheinen.
Die Kennnummer der vertraglichen Vereinbarung bezieht sich nicht auf Dienstgütevereinbarungen, die einer der in den Buchstaben a, b und c oben genannten vertraglichen Vereinbarungen untergeordnet sind.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_02.01.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Führen Sie die vertragliche Vereinbarung zwischen dem Finanzunternehmen oder – im Falle einer Gruppe – dem Tochterunternehmen der Gruppe und dem direkten IKT-Drittdienstleister auf. Die Kennnummer der vertraglichen Vereinbarung ist die interne Kennnummer der vertraglichen Vereinbarung, die vom Finanzunternehmen zugewiesen wurde. Die Kennnummer der vertraglichen Vereinbarung muss auf Unternehmensebene bzw. auf teilkonsolidierter und auf konsolidierter Ebene eindeutig sein und ist im Zeitverlauf unverändert beizubehalten. Die Kennnummer der vertraglichen Vereinbarung ist in allen Vorlagen des Informationsregisters einheitlich zu verwenden, wenn auf dieselbe vertragliche Vereinbarung Bezug genommen wird. Wenn ein Unternehmen für alle Tätigkeiten (einschließlich der IKT-Dienstleistungen) im Namen eines Finanzunternehmens handelt (siehe Erwägungsgrund 7), kann die Kennnummer der vertraglichen Vereinbarung die vertragliche Vereinbarung zwischen dem Unternehmen und seinem direkten IKT-Drittdienstleister sein. | Obligatorisch |
| B_02.01.0020 | Art der vertraglichen Vereinbarung | Erschöpfende Liste von Optionen | Benennen Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste die Art der vertraglichen Vereinbarung: 1. eigenständige Vereinbarung, 2. übergeordnete Vereinbarung / Globalvereinbarung, 3. Folge- oder Nebenvereinbarung. | Obligatorisch |
| B_02.01.0030 | Kennnummer der übergeordneten vertraglichen Vereinbarung | Alphanumerisch | Entfällt, wenn es sich bei der vertraglichen Vereinbarung um die „übergeordnete vertragliche Vereinbarung“ oder um eine „eigenständige Vereinbarung“ handelt. In den anderen Fällen ist die Kennnummer der übergeordneten vertraglichen Vereinbarung anzugeben. Diese muss dem Wert entsprechen, der in Spalte B_02.01.0010 bei der Meldung der übergeordneten vertraglichen Vereinbarung angegeben wurde. | Obligatorisch |
| B_02.01.0040 | Währung des in B_02.01.0050 ausgewiesenen Betrags | Währung | Geben Sie den alphabetischen ISO 4217-Code der Währung an, in der der Betrag in B_02.01.0050 ausgewiesen ist. | Obligatorisch |
| B_02.01.0050 | Jährliche Ausgaben oder voraussichtliche Kosten der vertraglichen Vereinbarung für das zurückliegende Jahr | Monetär | Jährliche Ausgaben oder voraussichtliche Kosten (oder gruppeninterner Transfer) der vertraglichen Vereinbarung für IKT-Dienstleistungen für das zurückliegende Jahr. Der monetäre Wert ist in Einheiten anzugeben. Die jährlichen Ausgaben oder voraussichtlichen Kosten sind in der in B_01.02.0040 angegebenen Währung auszuweisen. Im Falle einer übergeordneten Vereinbarung mit Folge- oder Nebenvereinbarungen muss die Summe der jährlichen Ausgaben oder voraussichtlichen Kosten, die für die übergeordnete Vereinbarung und die Folge- oder Nebenvereinbarungen gemeldet werden, den Gesamtausgaben oder den gesamten voraussichtlichen Kosten für die vertragliche Gesamtvereinbarung entsprechen. Es darf keine Wiederholung oder Doppelerfassung der jährlichen Ausgaben oder voraussichtlichen Kosten geben. Die folgenden Fälle sind zu berücksichtigen: a) Werden die jährlichen Ausgaben oder voraussichtlichen Kosten nicht auf der Ebene der übergeordneten Vereinbarung bestimmt (also auf der Ebene 0), so sind die jährlichen Ausgaben oder voraussichtlichen Kosten auf der Ebene der einzelnen Folge- oder Nebenvereinbarungen anzugeben. b) Können die jährlichen Ausgaben oder voraussichtlichen Kosten nicht für die einzelnen Folge- oder Nebenvereinbarungen gemeldet werden, so werden die jährlichen Gesamtausgaben oder voraussichtlichen Kosten auf der Ebene der übergeordneten Vereinbarung gemeldet. c) Gibt es jährliche Ausgaben oder voraussichtliche Kosten für jede Ebene der Vereinbarung, d. h. für die übergeordnete Vereinbarung und die Folge- oder Nebenvereinbarung, und sind diese Informationen verfügbar, so sind die jährlichen Ausgaben oder voraussichtlichen Kosten ohne Doppelerfassung für jede Ebene der vertraglichen Vereinbarung anzugeben. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_02.02 – Vertragliche Vereinbarungen – Spezifische Informationen
Die Finanzunternehmen sind gehalten, diese Vorlage mit der größtmöglichen Granularität auszufüllen. Umfasst die vertragliche Vereinbarung mehrere IKT-Dienstleistungen, die mehrere Funktionen unterstützen, müssen die Finanzunternehmen entsprechend viele Zeilen für die Elemente in der Vorlage verwenden, wobei die von der vertraglichen Vereinbarung abgedeckten IKT-Dienstleistungen und die Funktionen des Finanzunternehmens kombiniert werden.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_02.02.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.01.0010 angegeben | Obligatorisch |
| B_02.02.0020 | LEI des Finanzunter-nehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt | Alphanumerisch | Wie in B_04.01.0020 angegeben Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an, das die IKT-Dienstleistung(en) in Anspruch nimmt. | Obligatorisch |
| B_02.02.0030 | Identifikationscode des IKT-Drittdienstleisters | Alphanumerisch | Wie in B_05.01.0010 angegeben Code zur Identifizierung des IKT-Drittdienstleisters gemäß den Angaben in B_05.01.0010 für diesen Dienstleister. | Obligatorisch |
| B_02.02.0040 | Art des Codes zur Identifizierung des IKT-Drittdienstleisters | Muster | Wie in B_05.01.0020 angegeben Art des Codes zur Identifizierung des IKT-Drittdienstleisters in B_02.02.0030 gemäß den Angaben in B_05.01.0020 für diesen Dienstleister. | Obligatorisch |
| B_02.02.0050 | Funktionskennung | Muster | Gemäß Definition durch das Finanzunternehmen in B_06.01.0010 | Obligatorisch |
| B_02.02.0060 | Art der IKT-Dienstleistungen | Erschöpfende Liste von Optionen | Eine der in Anhang III genannten Arten von IKT-Dienstleistungen | Obligatorisch |
| B_02.02.0070 | Startdatum der vertraglichen Vereinbarung | Datum | Geben Sie unter Verwendung des ISO 8601-Codes (JJJJ-MM-TT) das Datum des Inkrafttretens der vertraglichen Vereinbarung an, das in der vertraglichen Vereinbarung festgelegt ist. | Obligatorisch |
| B_02.02.0080 | Enddatum der vertraglichen Vereinbarung | Datum | Geben Sie unter Verwendung des ISO 8601-Codes (JJJJ-MM-TT) das in der vertraglichen Vereinbarung festgelegte Enddatum an. Ist die vertragliche Vereinbarung unbefristet, ist an dieser Stelle „9999-12-31“ anzugeben. Wurde die vertragliche Vereinbarung zu einem anderen Zeitpunkt als dem Enddatum gekündigt, so ist in diesem Fall das Kündigungsdatum anzugeben. Ist in der vertraglichen Vereinbarung eine Verlängerung vorgesehen, so ist diese mit dem in der vertraglichen Vereinbarung festgelegten Datum der Vertragsverlängerung anzugeben. | Obligatorisch |
| B_02.02.0090 | Grund für die Kündigung oder Beendigung der vertraglichen Vereinbarung | Erschöpfende Liste von Optionen | Wenn die vertragliche Vereinbarung gekündigt oder beendet wurde, geben Sie anhand einer der Optionen aus der folgenden erschöpfenden Liste den Grund für die Kündigung oder Beendigung der vertraglichen Vereinbarungen an: 1. Beendigung ohne besonderen Anlass: Die vertragliche Vereinbarung ist abgelaufen/beendet und wurde von keiner der Parteien verlängert. 2. Beendigung aus gegebenem Anlass: Die vertragliche Vereinbarung wurde gekündigt, da der IKT-Drittdienstleister gegen anwendbares Recht, Regelungen oder Vertragsbestimmungen verstoßen hat. 3. Beendigung aus gegebenem Anlass: Die vertragliche Vereinbarung wurde aufgrund der Tatsache gekündigt, dass beim IKT-Drittdienstleister Schwierigkeiten festgestellt wurden, die die unterstützte Funktion beeinträchtigen könnten. 4. Beendigung aus gegebenem Anlass: Die vertragliche Vereinbarung wurde aufgrund von Defiziten des IKT-Drittdienstleisters in Bezug auf die Verwaltung und Sicherheit sensibler Daten oder Informationen einer der Gegenparteien gekündigt. 5. Kündigung auf Ersuchen einer zuständigen Behörde: Die vertragliche Vereinbarung wurde auf Ersuchen einer zuständigen Behörde gekündigt. 6. Sonstige: Die vertragliche Vereinbarung wurde von einer der Parteien aus einem anderen als den unter den Nummern 1 bis 5 genannten Gründen gekündigt. | Obligatorisch bei Kündigung der vertraglichen Vereinbarung |
| B_02.02.0100 | Kündigungsfrist für das Finanzunternehmen, das die IKT-Dienstleistung(en) in Anspruch nimmt | Natürliche Zahl | Geben Sie die Kündigungsfrist für die Kündigung der vertraglichen Vereinbarung durch das Finanzunternehmen in einem Szenario mit unveränderten Rahmenbedingungen an. Die Kündigungsfrist wird als Anzahl von Kalendertagen ab dem Eingang des Antrags auf Kündigung der IKT-Dienstleistung bei der Gegenpartei ausgedrückt. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0110 | Kündigungsfrist für den IKT-Drittdienstleister | Natürliche Zahl | Geben Sie die Kündigungsfrist für die Kündigung der vertraglichen Vereinbarung durch den IKT-Drittdienstleister in einem Szenario mit unveränderten Rahmenbedingungen an. Die Kündigungsfrist wird als Anzahl von Kalendertagen ab dem Eingang des Antrags auf Kündigung der IKT-Dienstleistung bei der Gegenpartei ausgedrückt. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0120 | Land, dessen Recht für die vertragliche Vereinbarung maßgebend ist | Land | Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, dessen Recht für die vertragliche Vereinbarung maßgebend ist. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0130 | Land der Erbringung der IKT-Dienstleistungen | Land | Geben das Land, aus dem die IKT-Dienstleistungen erbracht werden, unter Verwendung des ISO 3166-1-Alpha-2-Codes an. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0140 | Datenspeicherung | [Ja/Nein] | Ist die IKT-Dienstleistung mit der (vorübergehenden) Speicherung von Daten verbunden (oder sieht sie diese vor)? Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Ja 2. Nein | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt |
| B_02.02.0150 | Aufbewahrungsort der gespeicherten Daten (Speicherung) | Land | Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, in dem sich der Aufbewahrungsort der gespeicherten Daten (Speicherung) befindet. Handelt es sich um mehrere Länder, so ist für jedes Land eine zusätzliche Zeile zu verwenden. | Obligatorisch, wenn in B_02.02.0140 „Ja“ angegeben wurde. |
| B_02.02.0160 | Ort der Datenverwaltung (Datenverarbeitung) | Land | Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, in dem die Datenverwaltung (Datenverarbeitung) stattfindet. Handelt es sich um mehrere Länder, so ist für jedes Land eine zusätzliche Zeile zu verwenden. | Obligatorisch, wenn die IKT-Dienstleistung sich auf die Datenver-arbeitung stützt oder diese vorsieht |
| B_02.02.0170 | Sensibilität der vom IKT-Drittdienstleister gespeicherten Daten | Erschöpfende Liste von Optionen | Geben Sie anhand einer der Optionen, die in der folgenden erschöpfenden Liste aufgeführt sind, den Grad der Sensibilität der vom IKT-Drittdienstleister gespeicherten oder verarbeiteten Daten an: 1. Gering 2. Mittel 3. Hoch Die sensibelsten Daten haben dabei Vorrang: Wenn z. B. sowohl „Mittel“ als auch „Hoch“ zutreffend sind, ist „Hoch“ zu wählen. | Obligatorisch, wenn der IKT-Drittdienstleister Daten speichert und die IKT-Dienstleistung eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützt |
| B_02.02.0180 | Grad der Abhängigkeit von der IKT-Dienstleistung, die die kritische oder wichtige Funktion unterstützt. | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Unerheblich 2. Geringe Abhängigkeit: Bei einer etwaigen Störung der Dienstleistungen werden die unterstützten Funktionen nicht wesentlich beeinträchtigt (keine Unterbrechung, kein erheblicher Schaden) oder die Störung kann schnell und mit minimalen Auswirkungen auf die unterstützten Funktionen behoben werden. 3. Wesentliche Abhängigkeit: Bei einer Störung der Dienstleistungen werden die unterstützten Funktionen erheblich beeinträchtigt, wenn die Störung länger als wenige Minuten/wenige Stunden dauert, und die Störung kann Schäden verursachen, ist aber noch beherrschbar. 4. Vollständige Abhängigkeit: Bei einer Störung der Dienstleistungen werden die unterstützten Funktionen sofort und über einen längeren Zeitraum hinweg massiv unterbrochen/geschädigt. | Obligatorisch, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützt |
Anleitung zum Ausfüllen der Vorlage B_02.03 – Liste der gruppeninternen vertraglichen Vereinbarungen
In der Vorlage B_02.03 werden vertragliche Vereinbarungen aus derselben IKT-Dienstleistungskette anhand der gruppeninternen Vertragskennnummern erfasst, wenn die IKT-Dienstleistungskette gruppeninterne IKT-Dienstleister enthält, d. h. wenn mindestens einer der IKT-Drittdienstleister in der IKT-Dienstleistungskette ein Unternehmen ist, das derselben Gruppe angehört wie das Unternehmen, das die IKT-Dienstleistungen in Anspruch nimmt.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_02.03.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Kennnummer der vertraglichen Vereinbarung zwischen dem Unternehmen, das die bereitgestellten IKT-Dienstleistung(en) in Anspruch nimmt, und dem gruppeninternen IKT-Dienstleister. Die Kennnummer der vertraglichen Vereinbarung muss eindeutig sein und ist im Zeitverlauf und über die gesamte Gruppe hinweg unverändert beizubehalten. | Obligatorisch |
| B_02.03.0020 | Vertragliche Vereinbarung im Zusammenhang mit der in B_02.03.0010 genannten vertraglichen Vereinbarung | Alphanumerisch | Kennnummer der vertraglichen Vereinbarung zwischen dem gruppeninternen IKT-Dienstleister der vertraglichen Vereinbarung in B_02.03.0010 und seinem direkten IKT-Drittdienstleister. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_03.01 – Unternehmen, die die vertraglichen Vereinbarungen für den Erhalt der IKT-Dienstleistung(en) im Namen der Finanzunternehmen, die die IKT-Dienstleistung(en) in Anspruch nehmen, unterzeichnen
Geben Sie alle in Vorlage B_01.02 genannten Finanzunternehmen an, die die in Vorlage B_02.01 genannten vertraglichen Vereinbarungen über den Erhalt von IKT-Dienstleistungen unterzeichnen. Wird das Informationsregister auf Unternehmensebene geführt und aktualisiert, so ist das Finanzunternehmen, das die vertraglichen Vereinbarungen unterzeichnet, das Finanzunternehmen selbst, das das Informationsregister führt und aktualisiert.
Das Unternehmen, das die vertragliche Vereinbarung unterzeichnet, ist weder notwendigerweise ein Finanzunternehmen noch das Finanzunternehmen, das die vom IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen in Anspruch nimmt.
Beispielsweise kann es sich bei dem Unternehmen, das die in Unterabsatz 2 genannte vertragliche Vereinbarung unterzeichnet, um einen gruppeninternen IKT-Dienstleister, um ein Finanzunternehmen oder um ein Nichtfinanzunternehmen handeln, das derselben Gruppe angehört wie die Finanzunternehmen, die die vom IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen in Anspruch nehmen.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_03.01.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.02.0010 angegeben Geben Sie die Kennnummer der vom Unternehmen unterzeichneten vertraglichen Vereinbarung an. | Obligatorisch |
| B_03.01.0020 | LEI des Unternehmens, das die vertragliche Vereinbarung unterzeichnet | Alphanumerisch | Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 oder anhand der EUID das Unternehmen an, das die vertragliche Vereinbarung unterzeichnet. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_03.02 – IKT-Drittdienstleister, die die vertraglichen Vereinbarungen für die Erbringung der IKTDienstleistung(en) unterzeichnen
Geben Sie in dieser Vorlage alle in der Vorlage B_05.01 genannten IKT-Drittdienstleister an, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen zur Erbringung der IKT-Dienstleistungen unterzeichnen.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_03.02.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.02.0010 angegeben Geben Sie die Kennnummer der vertraglichen Vereinbarung an, die vom IKT-Drittdienstleister unterzeichnet wurde. | Obligatorisch |
| B_03.02.0020 | Identifikationscode des IKT-Drittdienstleisters | Alphanumerisch | Wie in B_05.01.0010 angegeben Code zur Identifizierung des IKT-Drittdienstleisters gemäß den Angaben in B_05.01.0020 für diesen Dienstleister. | Obligatorisch |
| B_03.02.0030 | Art des Codes zur Identifizierung des IKT-Drittdienstleisters | Muster | Wie in B_05.01.0020 angegeben Art des Codes zur Identifizierung des IKT-Drittdienstleisters in B_03.02.0020 gemäß den Angaben in B_05.01.0020 für diesen Dienstleister. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_03.03 – Finanzunternehmen, die die vertraglichen Vereinbarungen über die Erbringung der IKTDienstleistung(en) für andere Finanzunternehmen im Konsolidierungskreis unterzeichnen
Geben Sie alle in der Vorlage B_01.02 genannten Finanzunternehmen an, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen über die Erbringung von IKT-Dienstleistungen für andere in der Vorlage B_01.02 genannte Unternehmen im Konsolidierungskreis unterzeichnet haben.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_03.03.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.02.0010 angegeben Geben Sie die Kennnummer der vertraglichen Vereinbarung an, die vom Unternehmen für die Erbringung der IKT-Dienstleistung(en) unterzeichnet wurde. | Obligatorisch |
| B_03.03.0020 | LEI des Finanzunternehmens, das IKT-Dienstleistungen erbringt | Alphanumerisch | Wie in B_01.02.0010 angegeben Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Unternehmen an, das die IKT-Dienstleistungen bereitstellt. | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_04.01 – Finanzunternehmen, die IKT-Dienstleistungen in Anspruch nehmen
In dieser Vorlage sind alle in Vorlage B_01.02 genannten Finanzunternehmen und die in Vorlage B_01.03 genannten Zweigniederlassungen von Finanzunternehmen zu melden, die IKT-Dienstleistungen eines IKT-Drittdienstleisters in Anspruch nehmen.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_04.01.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.01.0010 angegeben Geben Sie die Kennnummer der vertraglichen Vereinbarung in Bezug auf das Finanzunternehmen an, das die erbrachten IKT-Dienstleistungen in Anspruch nimmt. | Obligatorisch |
| B_04.01.0020 | LEI des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt | Alphanumerisch | Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an, das die IKT-Dienstleistung(en) in Anspruch nimmt. | Obligatorisch |
| B_04.01.0030 | Art des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Das Finanzunternehmen, das die IKT-Dienstleistung(en) in Anspruch nimmt, ist eine Zweigniederlassung eines Finanzunternehmens. 2. Das Finanzunternehmen, das die IKT-Dienstleistung(en) in Anspruch nimmt, ist keine Zweigniederlassung. | Obligatorisch |
| B_04.01.0040 | Identifikationscode der Zweigniederlassung | Alphanumerisch | Identifikationscode der in B_01.03.0010 gemeldeten Zweigniederlassung | Obligatorisch, wenn das Finanzunternehmen, das die IKT-Dienstleistung(en) in Anspruch nimmt, eine Zweigniederlassung eines Finanzunternehmens ist (B_04.01.0030) |
Anleitung zum Ausfüllen der Vorlage B_05.01 – IKT-Drittdienstleister
Finanzunternehmen führen alle relevanten IKT-Drittdienstleister auf, darunter:
a)
alle direkten IKT-Drittdienstleister,
b)
alle gruppeninternen IKT-Dienstleister,
c)
alle Unterauftragnehmer, die in der Vorlage B_05.02 zur IKT-Dienstleistungskette aufgeführt sind,
| d) | alle obersten Mutterunternehmen der unter den Buchstaben a, b und c oben genannten IKT-Drittdienstleister. Spaltencode Spaltenbezeichnung Art Hinweise zum Ausfüllen Ausfülloption B_05.01.0010 Identifikationscode des IKT-Drittdienstleisters Alphanumerisch Code zur Identifizierung des IKT-Drittdienstleisters. Wird die LEI verwendet, so ist diese als 20-stelliger alphanumerischer Code gemäß der Norm ISO 17442 anzugeben. Wird die EUID verwendet, so ist diese gemäß Artikel 9 der Durchführungsverordnung (EU) 2021/1042 der Kommission anzugeben. Obligatorisch B_05.01.0020 Art des Codes zur Identifizierung des IKT-Drittdienstleisters Muster Art des Codes zur Identifizierung des IKT-Drittdienstleisters gemäß B_05.01.0010. 1. „LEI“ für LEI, 2. „EUID“ für EUID, 3. CRN für die Handelsregisternummer, 4. VAT für die Umsatzsteuer-Identifikationsnummer, 5. PNR für die Reisepassnummer, 6. NIN für die Nummer des Personalausweises. Für juristische Personen gemäß den Angaben in B_05.01.0070 sind nur die LEI oder die EUID zu verwenden; ein alternativer Code darf nur für eine natürliche Person verwendet werden, die als Unternehmer handelt. Für nicht in der Union niedergelassene juristische Personen ist nur die LEI zu verwenden. Obligatorisch B_05.01.0030 Zusätzlicher Identifikationscode des IKT-Drittdienstleisters Alphanumerisch Zusätzlicher Code zur Identifizierung des IKT-Drittdienstleisters, wenn verfügbar. Optional B_05.01.0040 Art des zusätzlichen Codes zur Identifizierung des IKT-Drittdienstleisters Muster Art des zusätzlichen Codes zur Identifizierung des IKT-Drittdienstleisters gemäß den Angaben in B_05.01.0030: 1. „LEI“ für LEI, 2. „EUID“ für EUID, 3. CRN für die Handelsregisternummer, 4. VAT für die Umsatzsteuer-Identifikationsnummer, 5. PNR für die Reisepassnummer, 6. NIN für die Nummer des Personalausweises. Für juristische Personen gemäß den Angaben in B_05.01.0070 sind die LEI oder die EUID zu verwenden; ein alternativer Code darf nur für eine natürliche Person verwendet werden, die in als Unternehmer handelt. Für nicht in der Union niedergelassene juristische Personen ist nur die LEI zu verwenden. Obligatorisch, wenn B_05.01.0030 gemeldet wird B_05.01.0050 Offizielle Bezeichnung des IKT-Drittdienstleisters Alphanumerisch Offizielle Bezeichnung des IKT-Drittdienstleisters, wie im Unternehmensregister in lateinischer, kyrillischer oder griechischer Schrift angegeben. Obligatorisch B_05.01.0060 Name des IKT-Drittdienstleisters in lateinischer Schrift Alphanumerisch Name des IKT-Drittdienstleisters in lateinischer Schrift. Ist der Name des IKT-Drittanbieters gemäß B_05.01.0050 in lateinischer Schrift angegeben, so ist er in diesem Datenfeld zu wiederholen. Obligatorisch B_05.01.0070 Art der Person des IKT-Drittdienstleisters Erschöpfende Liste von Optionen Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Juristische Person, ausgenommen natürliche Personen, die als Unternehmer handeln 2. Natürliche Person, die als Unternehmer handelt Obligatorisch B_05.01.0080 Land, in dem der IKT-Drittdienstleister seinen Sitz hat Land Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, in dem sich die weltweite Hauptverwaltung des IKT-Drittdienstleisters befindet (in der Regel handelt es sich bei dem Land um das Land der steuerlichen Ansässigkeit). Obligatorisch B_05.01.0090 Währung des in B_05.01.0100 ausgewiesenen Betrags Währung Geben Sie den alphabetischen ISO 4217-Code der Währung an, in der der Betrag in B_05.01.0100 ausgewiesen ist. Die Beträge sind in der Währung auszuweisen, die das Finanzunternehmen bei der Aufstellung des Jahresabschlusses je nach Sachlage auf Unternehmensebene, teilkonsolidierter oder konsolidierter Ebene verwendet. Obligatorisch, wenn B_05.01.0100 gemeldet wird B_05.01.0100 Jährliche Gesamtausgaben oder voraussichtliche Kosten für den IKT-Drittdienstleister Monetär Jährliche Ausgaben oder voraussichtliche Kosten für die Nutzung der IKT-Dienstleistungen, die der IKT-Drittdienstleister für die Unternehmen erbringt, die die IKT-Dienstleistungen in Anspruch nehmen. Der monetäre Wert ist in Einheiten anzugeben. Obligatorisch, wenn es sich bei dem IKT-Drittdienstleister um einen direkten IKT-Drittdienstleister handelt B_05.01.0110 Identifikationscode des obersten Mutterunternehmens des IKT-Drittdienstleisters Alphanumerisch Code zur Identifizierung des obersten Mutterunternehmens des IKT-Drittdienstleisters. Der zur Identifizierung des obersten Mutterunternehmens in diesem Feld verwendete Code muss mit dem in B_05.01.0010 für dieses oberste Mutterunternehmen angegebenen Identifikationscode übereinstimmen. Ist der IKT-Drittdienstleister nicht Teil einer Gruppe, so ist der zur Identifizierung dieses IKT-Drittdienstleisters in B_05.01.0010 verwendete Identifikationscode in diesem Datenfeld zu wiederholen. Obligatorisch, wenn der IKT-Drittdienstleister nicht das oberste Mutterunternehmen ist B_05.01.0120 Art des Codes zur Identifizierung des Mutterunternehmens des IKT-Drittdienstleisters Muster Art des Codes zur Identifizierung obersten Mutterunternehmens des IKT-Drittdienstleisters gemäß B_05.01.0110. Die Art des Codes zur Identifizierung des obersten Mutterunternehmens in diesem Feld muss mit dem in B_05.01.0020 für dieses oberste Mutterunternehmen angegebenen Identifikationscode übereinstimmen. Ist der IKT-Drittdienstleister nicht Teil einer Gruppe, so ist die Art des Identifikationscodes, der in B_05.01.0020 zur Identifizierung dieses IKT-Drittdienstleisters verwendet wurde, in diesem Datenfeld zu wiederholen. Obligatorisch, wenn der IKT-Drittdienstleister nicht das oberste Mutterunternehmen ist |
|---|
Anleitung zum Ausfüllen der Vorlage B_05.02 – IKT-Dienstleistungsketten
In dieser Vorlage werden die IKT-Drittdienstleister, die Teil derselben IKT-Dienstleistungskette sind, gemeinsam ausgewiesen und zueinander in Beziehung gesetzt.
Die IKT-Dienstleistungskette umfasst gegebenenfalls Folgendes:
a)
alle direkten IKT-Drittdienstleister,
b)
alle gruppeninternen IKT-Dienstleister,
c)
bei IKT-Dienstleistungen, die eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützen, alle Unterauftragnehmer, die die Erbringung dieser IKT-Dienstleistungen sicherstellen (d. h. alle Unterauftragnehmer, die IKT-Dienstleistungen erbringen, deren Störung die Sicherheit oder Kontinuität des Dienstangebots beeinträchtigen würde),
d)
wenn ein gruppeninterner IKT-Dienstleister zur Erbringung seiner IKT-Dienstleistungen für das Finanzunternehmen Unterauftragnehmer einsetzt, zumindest den ersten Unterauftragnehmer außerhalb der Gruppe, auch wenn die erbrachten IKT-Dienstleistungen keine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützen.
Alle IKT-Drittdienstleister, die derselben IKT-Dienstleistungskette angehören, weisen die folgenden gemeinsamen Merkmale auf:
a)
dieselbe „Kennnummer der vertraglichen Vereinbarung“ gemäß Vorlage B_02.01,
b)
dieselbe „Art von IKT-Dienstleistungen“ gemäß Anhang III.
Jedem IKT-Drittdienstleister, der zu derselben IKT-Dienstleistungskette gehört, wird ein „Rang“ (Vorlage B_05.02.0050) zugewiesen, um seine Position innerhalb der IKT-Dienstleistungskette zu kennzeichnen. Haben mehrere IKT-Drittdienstleister dieselbe Position innerhalb derselben IKT-Dienstleistungskette, so wird diesen Anbietern derselbe „Rang“ zugewiesen. Gemäß Artikel 2 liegen die direkten IKT-Drittdienstleister somit an erster Stelle (Rang 1). Ist die Rangnummer größer als 1, so sind die IKT-Drittdienstleister Unterauftragnehmer.
Um die IKT-Drittdienstleister, die zu derselben IKT-Dienstleistungskette gehören, zueinander in Beziehung zu setzen, müssen die Finanzunternehmen für jeden IKT-Unterauftragnehmer (d. h. dessen „Rangnummer“ größer als 1 ist) den IKT-Drittdienstleister identifizieren, der die im Unterauftrag vergebenen Dienstleistungen erhält. Die Identifizierung des IKT-Drittdienstleisters, der die im Unterauftrag vergebenen Dienstleistungen erhält, erfolgt über die Spalten B_05.02.0060 und B_05.02.0070.
Für jede IKT-Dienstleistungskette (d. h. eine Kombination aus einer „Kennnummer der vertraglichen Vereinbarung“ und einer „Art von IKT-Dienstleistungen“), bei der es mehrere IKT-Drittdienstleister gibt, die die im Unterauftrag vergebenen Dienstleistungen erhalten, sind alle diese Dienstleister in separaten Zeilen in der Vorlage auszuweisen. Diese Logik gilt für jeden Rang der IKT-Dienstleistungskette.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_05.02.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.01.0010 angegeben | Obligatorisch |
| B_05.02.0020 | Art der IKT-Dienstleistungen | Erschöpfende Liste von Optionen | Eine der in Anhang III genannten Arten von IKT-Dienstleistungen | Obligatorisch |
| B_05.02.0030 | Identifikationscode des IKT-Drittdienstleisters | Alphanumerisch | Wie in B_05.01.0010 für diesen IKT-Drittdienstleister angegeben. Beispiele: — Identifikationscode des direkten IKT-Drittdienstleisters, der für das Finanzunternehmen IKT-Dienstleistungen erbringt; — Identifikationscode des Unterauftragnehmers mit Rangnummer 2, der für den direkten IKT-Drittanbieter Dienstleistungen erbringt. | Obligatorisch |
| B_05.02.0040 | Art des Codes zur Identifizierung des IKT-Drittdienstleisters | Muster | Wie in B_05.01.0020 für diesen IKT-Drittdienstleister angegeben. | Obligatorisch |
| B_05.02.0050 | Rang | Natürliche Zahl | Wenn der IKT-Drittdienstleister die vertragliche Vereinbarung mit dem Finanzunternehmen unterzeichnet, gilt er als direkter IKT-Drittdienstleister und ist mit der „Rangnummer“ 1 zu kennzeichnen. Wenn der IKT-Drittdienstleister den Vertrag mit dem direkten IKT-Drittdienstleister unterzeichnet, gilt er als Unterauftragnehmer und ist mit der „Rangnummer“ 2 zu kennzeichnen. Diese Logik gilt auch für alle folgenden Unterauftragnehmer, deren „Rangnummer“ entsprechend jeweils um eine Zahl erhöht werden muss. Haben mehrere IKT-Drittdienstleister denselben „Rang“ in der IKT-Dienstleistungskette, so ist von den Finanzunternehmen für alle diese IKT-Drittdienstleister derselbe „Rang“ einzutragen. | Obligatorisch |
| B_05.02.0060 | Identifikationscode des Empfängers von im Unterauftrag vergebenen IKT-Dienstleistungen | Alphanumerisch | Nicht auszufüllen, wenn der IKT-Drittdienstleister (Vorlage B_05.02.0030) ein direkter IKT-Drittdienstleister ist, d. h. den „Rang“ r = 1 hat (Vorlage B_05.02.0050). Wenn der IKT-Drittdienstleister den „Rang“ r = n hat (wobei n eine Zahl größer als 1 ist), ist der „Identifikationscode des Empfängers von im Unterauftrag vergebenen Dienstleistungen“ mit dem „Rang“ r=n-1 anzugeben, wenn eine (selbst nur teilweise) Untervergabe der IKT-Dienstleistung im Zusammenhang mit dem IKT-Drittdienstleister mit dem „Rang“ r=n erfolgt ist. Beispiele: — Identifikationscode des direkten IKT-Drittdienstleisters, der die Dienstleistung vom Unterauftragnehmer mit der Rangnummer 2 erhält. — Identifikationscode des Unterauftragnehmers mit der Rangnummer 2, der die Dienstleistung vom Unterauftragnehmer mit der Rangnummer 3 erhält. Der zur Identifizierung des Empfängers von im Unterauftrag vergebenen IKT-Dienstleistungen verwendete Code muss mit dem in B_05.01.0010 für diesen Dienstleister angegebenen Identifikationscode übereinstimmen. | Obligatorisch; nicht zutreffend bei Rang 1 |
| B_05.02.0070 | Art des Codes zur Identifizierung des Empfängers von im Unterauftrag vergebenen IKT-Dienstleistungen | Muster | Nicht auszufüllen, wenn der IKT-Drittdienstleister (Vorlage B_05.02.0030) den Rang r = 1 hat (Vorlage B_05.02.0050). Wenn der IKT-Drittdienstleister den „Rang“ r = n hat (wobei n eine Zahl größer als 1 ist), ist die „Art des Codes zur Identifizierung des Empfängers von im Unterauftrag vergebenen Dienstleistungen“ mit dem „Rang“ r=n-1 anzugeben, wenn eine (selbst nur teilweise) Untervergabe der IKT-Dienstleistung im Zusammenhang mit dem IKT-Drittdienstleister mit dem „Rang“ r=n erfolgt ist. 1. „LEI“ für LEI, 2. „EUID“ für EUID, 3. CRN für die Handelsregisternummer, 4. VAT für die Umsatzsteuer-Identifikationsnummer, 5. PNR für die Reisepassnummer, 6. NIN für die Nummer des Personalausweises. Die Art des Codes zur Identifizierung des Empfängers von im Unterauftrag vergebenen IKT-Dienstleistungen muss mit dem in B_05.01.0020 für diesen Dienstleister angegebenen Identifikationscode übereinstimmen. | Obligatorisch; nicht zutreffend bei Rang 1 |
Anleitung zum Ausfüllen der Vorlage B_06.01 – Angabe der Funktionen
Finanzunternehmen müssen entsprechend ihrer internen Organisation, die durch IKT-Dienste von IKT-Drittdienstleistern unterstützt wird, alle einschlägigen Funktionen angeben und Informationen hierüber bereitstellen.
Jeder Kombination der folgenden Elemente muss eine eindeutige Funktionskennung zugewiesen werden:
a)
„LEI des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt“, Spalte B_06.01.0040,
b)
„Genehmigte Tätigkeit“, Spalte B_06.01.0020,
c)
„Bezeichnung der Funktion“, Spalte B_06.01.0030.
Die Finanzunternehmen müssen zum Ausfüllen dieser Vorlage so viele Zeilen verwenden, wie Elemente in der Vorlage vorhanden sind, wenn sie die beiden obigen Punkte kombinieren.
| Spaltencode | Spaltenbezeichnung | Art | Anleitung | Ausfülloption |
|---|---|---|---|---|
| B_06.01.0010 | Funktionskennung | Muster | Die Funktionskennung besteht aus dem Buchstaben F (Hauptbuchstabe), gefolgt von einer natürlichen Zahl (z. B. „F1“ für die 1. Funktionskennung und „Fn“ für die n. Funktionskennung, wobei „n“ eine natürliche Zahl ist). Jede Kombination zwischen „LEI des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt“ (B_06.01.0040), „Bezeichnung der Funktion“ (B_06.01.0030) und „Genehmigte Tätigkeit“ (B_06.01.0020) muss eine eindeutige Funktionskennung aufweisen. Beispiel: Ein Finanzunternehmen, das im Rahmen von zwei genehmigten Tätigkeiten („Tätigkeit A“ und „Tätigkeit B“) agiert, erhält zwei eindeutige „Funktionskennungen“ für dieselbe Funktion X (z. B. Vertrieb), die jeweils für Tätigkeit A bzw. Tätigkeit B ausgeführt wird. | Obligatorisch |
| B_06.01.0020 | Genehmigte Tätigkeit | Erschöpfende Optionsliste | Eine der in den einschlägigen Rechtsakten in Anhang II genannten genehmigten Tätigkeiten für die verschiedenen Arten von Finanzunternehmen. Ist die Funktion nicht mit einer registrierten oder genehmigten Tätigkeit verbunden, so ist „Unterstützungsfunktionen“ anzugeben. | Obligatorisch |
| B_06.01.0030 | Bezeichnung der Funktion | Alphanumerisch | Funktionsbezeichnung entsprechend der internen Organisation des Finanzunternehmens. | Obligatorisch |
| B_06.01.0040 | LEI des Finanzunternehmens | Alphanumerisch | Wie in B_04.01.0020 angegeben Geben Sie anhand des 20-stelligen alphanumerischen LEI-Codes gemäß der Norm ISO 17442 das Finanzunternehmen an. | Obligatorisch |
| B_06.01.0050 | Bewertung der Kritikalität oder der Bedeutung | Erschöpfende Optionsliste | Geben Sie in dieser Spalte an, ob die Funktion nach Einschätzung des Finanzunternehmens kritisch oder wichtig ist. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Ja 2. Nein 3. Keine Bewertung durchgeführt | Obligatorisch |
| B_06.01.0060 | Gründe für Kritikalität oder Bedeutung | Alphanumerisch | Kurze Erläuterung der Gründe für die Einstufung der Funktion als kritisch oder wichtig (max. 300 Zeichen) | Optional |
| B_06.01.0070 | Datum der letzten Bewertung der Kritikalität oder Bedeutung | Datum | Geben Sie das Datum unter Verwendung des ISO 8601-Codes (JJJJ-MM-TT) des Datums der letzten Bewertung der Kritikalität oder Bedeutung an, falls die Funktion durch IKT-Dienstleistungen unterstützt wird, die von IKT-Drittdienstleistern bereitgestellt werden. Wird keine Bewertung der Kritikalität oder Bedeutung der Funktion vorgenommen, ist an dieser Stelle „9999-12-31“ anzugeben. | Obligatorisch |
| B_06.01.0080 | Vorgabe für die Wiederherstellungszeit der Funktion | Natürliche Zahl | Die Angabe erfolgt in Stunden. Beträgt die Vorgabe für die Wiederherstellungszeit weniger als 1 Stunde, ist „1“ anzugeben. Ist die Vorgabe für die Wiederherstellungszeit der Funktion nicht definiert, ist „0“ anzugeben. | Obligatorisch |
| B_06.01.0090 | Vorgabe für den Wiederherstellungspunkt der Funktion | Natürliche Zahl | Die Angabe erfolgt in Stunden. Beträgt die Vorgabe für den Wiederherstellungspunkt weniger als 1 Stunde, ist „1“ anzugeben. Ist die Vorgabe für den Wiederherstellungspunkt der Funktion nicht definiert, ist „0“ anzugeben. | Obligatorisch |
| B_06.01.0100 | Auswirkung der Einstellung der Funktion | Erschöpfende Optionsliste | Geben Sie in dieser Spalte die Auswirkung der Einstellung der Funktion nach Einschätzung des Finanzunternehmens an. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Gering 2. Mittel 3. Hoch 4. Keine Bewertung durchgeführt | Obligatorisch |
Anleitung zum Ausfüllen der Vorlage B_07.01 – Bewertung der IKT-Dienstleistungen
Wenn eine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützt werden, ermöglicht diese Vorlage weitere Bewertungen der IKT-Dienstleistungen, die von IKT-Drittdienstleistern (einschließlich des ersten gruppenfremden Unterauftragnehmers in der IKT-Dienstleistungskette, wenn es sich bei den vorherigen IKT-Drittdienstleistern um gruppeninterne Dienstleister handelt) für das Finanzunternehmen erbracht werden.
| Spaltencode | Spaltenbezeichnung | Art | Hinweise zum Ausfüllen | Ausfülloption |
|---|---|---|---|---|
| B_07.01.0010 | Kennnummer der vertraglichen Vereinbarung | Alphanumerisch | Wie in B_02.01.0010 angegeben | Obligatorisch |
| B_07.01.0020 | Identifikationscode des IKT-Drittdienstleisters | Alphanumerisch | Wie in B_05.01.0010 angegeben | Obligatorisch |
| B_07.01.0030 | Art des Codes zur Identifizierung des IKT-Drittdienstleisters | Muster | Wie in B_05.01.0020 angegeben | Obligatorisch |
| B_07.01.0040 | Art der IKT-Dienstleistungen | Erschöpfende Optionsliste | Eine der in Anhang III genannten Arten von IKT-Dienstleistungen | Obligatorisch |
| B_07.01.0050 | Substituierbarkeit des IKT-Drittdienstleisters | Erschöpfende Optionsliste | Geben Sie in dieser Spalte die Ergebnisse der Bewertung des Finanzunternehmens in Bezug auf den Grad der Substituierbarkeit des IKT-Drittdienstleisters für die Erbringung der spezifischen IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion an. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Nicht substituierbar 2. Äußerst komplizierte Substituierbarkeit 3. Mittelschwere Substituierbarkeit 4. Problemlos substituierbar | Obligatorisch |
| B_07.01.0060 | Grund, warum der IKT-Drittdienstleister als nicht substituierbar oder schwer substituierbar angesehen wird | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Mangel an echten, auch teilweisen Alternativen aufgrund der begrenzten Zahl von IKT-Drittdienstleistern, die auf einem bestimmten Markt tätig sind, oder des Marktanteils des betreffenden IKT-Drittdienstleisters oder der damit verbundenen technischen Komplexität oder Differenziertheit, auch in Bezug auf proprietäre Technologien, oder der besonderen Merkmale der Organisation oder Tätigkeit des IKT-Drittdienstleisters, 2. Schwierigkeiten bei der teilweisen oder vollständigen Migration der einschlägigen Daten und Arbeitslasten vom jeweiligen IKT-Drittdienstleister zu einem anderen IKT-Drittdienstleister oder bei deren Wiedereingliederung in den Betrieb des Finanzunternehmens, die entweder auf erhebliche finanzielle Kosten, zeitliche oder sonstige Ressourcen, die der Migrationsprozess mit sich bringen kann, oder auf erhöhte IKT-Risiken oder sonstige operationelle Risiken zurückzuführen sind, denen das Finanzunternehmen ausgesetzt sein könnte, 3. Beide unter Punkt 1 und 2 genannten Gründe. | Obligatorisch, wenn in B_07.01.0041 „Nicht substituierbar“ oder „Äußerst komplizierte Substituierbarkeit“ ausgewählt wurde. |
| B_07.01.0070 | Datum des letzten Audits über den IKT-Drittdienstleister | Datum | Geben Sie in dieser Spalte das Datum des letzten Audits über die spezifischen IKT-Dienstleistungen an, die vom IKT-Drittdienstleister erbracht werden. Diese Spalte bezieht sich auf Audits, die von einer der folgenden Stellen durchgeführt werden: a) der Innenrevision oder sonstigem zusätzlichen qualifizierten Personal des Finanzunternehmens, b) einem gemeinsamen Team mit anderen Kunden desselben IKT-Drittdienstleisters („Sammelaudit“), c) einem Dritten, der vom beaufsichtigten Unternehmen mit dem Audit über den Dienstleister beauftragt wird. Diese Spalte bezieht sich nicht auf den Eingang oder den Stichtag von Zertifizierungen durch Dritte oder von Innenrevisionsberichten des IKT-Drittdienstleisters, den Zeitpunkt der jährlichen Überwachung der Vereinbarung durch das Finanzunternehmen oder den Zeitpunkt der Überprüfung der Risikobewertung durch das Finanzunternehmen. In dieser Spalte sind alle Arten von Audits anzugeben, die von einer der unter den Buchstaben a, b und c genannten Stellen durchgeführt wurden und sich ganz oder teilweise auf die vom IKT-Drittdienstleister erbrachten IKT-Dienstleistungen beziehen. Für die Angabe des Datums ist der ISO 8601-Code (JJJJ-MM-TT) zu verwenden. Wurde kein Audit durchgeführt, ist an dieser Stelle „9999-12-31“ anzugeben. | Obligatorisch |
| B_07.01.0080 | Vorliegen eines Ausstiegsplans | [Ja/Nein] | Geben Sie in dieser Spalte an, ob ein Ausstiegsplan für den IKT-Drittdienstleister in Bezug auf die spezielle erbrachte IKT-Dienstleistung vorliegt. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Ja 2. Nein | Obligatorisch |
| B_07.01.0090 | Möglichkeit der Wiedereingliederung der vertraglich vereinbarten IKT-Dienstleistung | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Problemlos 2. Schwierig 3. Äußerst kompliziert Verwenden Sie diese Spalte, wenn die IKT-Dienstleistung von einem IKT-Drittdienstleister erbracht wird, der kein gruppeninterner IKT-Dienstleister ist. | Obligatorisch |
| B_07.01.0100 | Auswirkung der Einstellung der IKT-Dienstleistungen | Erschöpfende Optionsliste | In dieser Spalte ist das Ausmaß der Auswirkungen anzugeben, die die Einstellung der vom IKT-Drittdienstleister erbrachten IKT-Dienstleistungen nach Einschätzung des Finanzunternehmens für das Finanzunternehmen hätte. Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Gering 2. Mittel 3. Hoch 4. Keine Bewertung durchgeführt | Obligatorisch |
| B_07.01.0110 | Gibt es alternative IKT-Drittdienstleister? | Erschöpfende Optionsliste | Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: 1. Ja 2. Nein 3. Keine Bewertung durchgeführt Für jeden IKT-Drittdienstleister, der eine kritische oder wichtige Funktion unterstützt, muss eine Bewertung zur Ermittlung eines alternativen Dienstleisters durchgeführt werden. | Obligatorisch |
| B_07.01.0120 | Angabe alternativer IKT-Drittdienstleister | Alphanumerisch | Wenn in B_07.01.0110„Ja“ angegeben ist, können in dieser Spalte zusätzliche Angaben gemacht werden. | Optional |
Anleitung zum Ausfüllen der Vorlage B_99.01 – Terminologie der Finanzunternehmen, die die IKT-Dienstleistungen nutzen
Die Finanzunternehmen stellen unternehmensinterne Erläuterungen, Bedeutungen und Begriffsbestimmungen in Bezug auf den erschöpfenden Indikatorenkatalog und Optionen, die im Informationsregisters verwendet werden, bereit.
| B_99.01.C0010 | B_99.01.C0020 | B_99.01.C0030 | B_99.01.C0040 | |
|---|---|---|---|---|
| Spaltencode | Spaltenbezeichnung | Option | Beschreibung/Interne Definition der Option | |
| B_99.01.R0010 | B_02.01.0020 | Art der vertraglichen Vereinbarung | 1. Eigenständige Vereinbarung | |
| B_99.01.R0020 | 2. Übergeordnete Vereinbarung | |||
| B_99.01.R0030 | 3. Folge- oder Nebenvereinbarung. | |||
| B_99.01.R0040 | B_02.02.0170 | Sensibilität der vom IKT-Drittdienstleister gespeicherten Daten | 1. Gering | |
| B_99.01.R0050 | 2. Mittel | |||
| B_99.01.R0060 | 3. Hoch | |||
| B_99.01.R0070 | B_06.01.0110 | Auswirkung der Einstellung der Funktion | 1. Gering | |
| B_99.01.R0080 | 2. Mittel | |||
| B_99.01.R0090 | 3. Hoch | |||
| B_99.01.R0100 | B_07.01.0050 | Substituierbarkeit des IKT-Drittdienstleisters | 1. Nicht substituierbar | |
| B_99.01.R0110 | 2. Äußerst komplizierte Substituierbarkeit | |||
| B_99.01.R0120 | 3. Mittelschwere Substituierbarkeit | |||
| B_99.01.R0130 | 4. Problemlos substituierbar | |||
| B_99.01.R0140 | B_07.01.0090 | Möglichkeit der Wiedereingliederung der vertraglich vereinbarten IKT-Dienstleistung | 1. Problemlos | |
| B_99.01.R0150 | 2. Schwierig | |||
| B_99.01.R0160 | 3. Äußerst kompliziert | |||
| B_99.01.R0170 | B_07.01.0100 | Auswirkung der Einstellung der IKT-Dienstleistungen | 1. Gering | |
| B_99.01.R0180 | 2. Mittel | |||
| B_99.01.R0190 | 3. Hoch |
(1) Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 2002/65/EG, 2009/110/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010 sowie zur Aufhebung der Richtlinie 2007/64/EG (ABl. L 337 vom 23.12.2015, S. 35, ELI: http://data.europa.eu/eli/dir/2015/2366/oj).
(2) Richtlinie 2009/110/EG des Europäischen Parlaments und des Rates vom 16. September 2009 über die Aufnahme, Ausübung und Beaufsichtigung der Tätigkeit von E-Geld-Instituten, zur Änderung der Richtlinien 2005/60/EG und 2006/48/EG sowie zur Aufhebung der Richtlinie 2000/46/EG (ABl. L 267 vom 10.10.2009, S. 7, ELI: http://data.europa.eu/eli/dir/2009/110/oj).
(3) Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates vom 31. Mai 2023 über Märkte für Kryptowerte und zur Änderung der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 1095/2010 sowie der Richtlinien 2013/36/EU und (EU) 2019/1937 (ABl. L 150 vom 9.6.2023, S. 40, ELI: http://data.europa.eu/eli/reg/2023/1114/oj).
ITS Informationsregister (2024/2956)›Anhang II
Anhang II
Liste der Tätigkeiten nach Art des Unternehmens
ITS Informationsregister (2024/2956)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Art des Unternehmens | Liste der Tätigkeiten und Dienstleistungen |
|---|---|
| a) Kreditinstitute | Tätigkeiten, die in Anhang I der Richtlinie 2013/36/EU aufgeführt sind, und Tätigkeiten, die in Abschnitt A und B von Anhang I der Richtlinie 2014/65/EU aufgeführt sind |
| b) Zahlungsinstitute, einschließlich nach der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute | Tätigkeiten, die in Anhang I der Richtlinie (EU) 2015/2366 aufgeführt sind |
| c) Kontoinformationsdienstleister | Kontoinformationsdienste gemäß Anhang I Nummer 8 der Richtlinie (EU) 2015/2366 |
| d) E-Geld-Institute, einschließlich nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute | Ausgabe von E-Geld gemäß der Richtlinie 2009/110/EG und Tätigkeiten, die in Anhang I der Richtlinie (EU) 2015/2366 aufgeführt sind |
| e) Wertpapierfirmen | Wertpapierdienstleistungen und Tätigkeiten, die in Abschnitt A und B des Anhangs I der Richtlinie 2014/65/EU aufgeführt sind |
| f) Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind | Dienstleistungen und Tätigkeiten, die in Artikel 3 Nummer 16 der Verordnung (EU) 2023/1114 aufgeführt sind |
| g) Emittenten wertreferenzierter Token, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind | Tätigkeiten gemäß Artikel 16 Absatz 1 der Verordnung (EU) 2023/1114 |
| h) Zentralverwahrer | Tätigkeiten, die im Anhang der Verordnung (EU) Nr. 909/2014 des Europäischen Parlaments und des Rates aufgeführt sind (1) |
| i) zentrale Gegenparteien | Tätigkeit zentraler Gegenparteien im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 648/2012 |
| j) Handelsplätze | Tätigkeit von Handelsplätzen im Sinne des Artikels 4 Nummern 21 bis 24 der Richtlinie 2014/65/EU |
| k) Transaktionsregister | Tätigkeiten von Transaktionsregistern im Sinne des Artikels 2 Nummer 2 der Verordnung (EU) Nr. 648/2012 und des Artikels 3 Nummer 1 der Verordnung (EU) 2015/2365 des Europäischen Parlaments und des Rates (2) |
| l) Verwalter alternativer Investmentfonds | Tätigkeiten, die in Artikel 6 Absatz 4 und in Anhang I der Richtlinie 2011/61/EU des Europäischen Parlaments und des Rates aufgeführt sind (3) |
| m) Verwaltungsgesellschaften | Tätigkeiten, die in Artikel 6 Absatz 3 und in Anhang II der Richtlinie 2009/65/EG des Europäischen Parlaments und des Rates aufgeführt sind (4) |
| n) Datenbereitstellungsdienste | Dienstleistungen gemäß Artikel 2 Absatz 1 Nummer 34, 35 und 36 der Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates (5) |
| o) Versicherungs- und Rückversicherungsunternehmen | Zugelassene Tätigkeiten für i) die in Anhang I Abschnitt B der Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates (6) genannten Versicherungszweige der Nichtlebensversicherung; ii) Lebensversicherungszweige gemäß Anhang II der Richtlinie; iii) Tätigkeiten der Nichtlebensrückversicherung und iv) Tätigkeiten der Lebensrückversicherung gemäß Artikel 15 Absatz 5 jener Richtlinie. |
| p) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit | Tätigkeiten des Versicherungs- und Rückversicherungsvertriebs im Sinne des Artikels 2 Absatz 1 Nummer 1 und 2 der Richtlinie (EU) 2016/97 des Europäischen Parlaments und des Rates (7) |
| q) Einrichtungen der betrieblichen Altersversorgung | Tätigkeiten von Einrichtungen der betrieblichen Altersversorgung gemäß Artikel 7 der Richtlinie (EU) 2016/2341 des Europäischen Parlaments und des Rates (8) |
| r) Ratingagenturen | Tätigkeiten von Ratingagenturen gemäß Artikel 3 Absatz 1 Buchstaben a und b der Verordnung (EG) Nr. 1060/2009 des Europäischen Parlaments und des Rates (9) |
| s) Administratoren kritischer Referenzwerte | Bereitstellung von Referenzwerten durch Administratoren im Sinne des Artikels 3 Absatz 1 Nummern 5 und 6 der Verordnung (EU) 2016/1011 des Europäischen Parlaments und des Rates in Bezug auf kritische Referenzwerte im Sinne des Artikels 3 Absatz 1 Nummer 25 jener Verordnung |
| t) Schwarmfinanzierungsdienstleister | Erbringung von Schwarmfinanzierungsdienstleistungen gemäß Artikel 3 der Verordnung (EU) 2020/1503 des Europäischen Parlaments und des Rates (10) |
| u) Verbriefungsregister | Tätigkeit von Verbriefungsregistern im Sinne des Artikels 2 Nummer 23 der Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates (11) und Artikel 1 Nummern 4 und 5 der Delegierten Verordnung (EU) 2020/1230 der Kommission (12) |
| Nichtfinanzunternehmen: gruppeninterner IKT-Dienstleister | Nicht zutreffend |
| Nichtfinanzunternehmen: sonstiges gruppeninternes Unternehmen | Nicht zutreffend |
| Nichtfinanzunternehmen: IKT-Drittdienstleister | Nicht zutreffend |
(1) Verordnung (EU) Nr. 909/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 zur Verbesserung der Wertpapierlieferungen und -abrechnungen in der Europäischen Union und über Zentralverwahrer sowie zur Änderung der Richtlinien 98/26/EG und 2014/65/EU und der Verordnung (EU) Nr. 236/2012 (ABl. L 257 vom 28.8.2014, S. 1, ELI: http://data.europa.eu/eli/reg/2014/909/oj).
(2) Verordnung (EU) 2015/2365 des Europäischen Parlaments und des Rates vom 25. November 2015 über die Transparenz von Wertpapierfinanzierungsgeschäften und der Weiterverwendung sowie zur Änderung der Verordnung (EU) Nr. 648/2012 (ABl. L 337 vom 23.12.2015, S. 1, ELI: http://data.europa.eu/eli/reg/2015/2365/oj).
(3) Richtlinie 2011/61/EU des Europäischen Parlaments und des Rates vom 8. Juni 2011 über die Verwalter alternativer Investmentfonds und zur Änderung der Richtlinien 2003/41/EG und 2009/65/EG und der Verordnungen (EG) Nr. 1060/2009 und (EU) Nr. 1095/2010 (ABl. L 174 vom 1.7.2011, S. 1, ELI: http://data.europa.eu/eli/dir/2011/61/oj).
(4) Richtlinie 2009/65/EG des Europäischen Parlaments und des Rates vom 13. Juli 2009 zur Koordinierung der Rechts- und Verwaltungsvorschriften betreffend bestimmte Organismen für gemeinsame Anlagen in Wertpapieren (OGAW) (ABl. L 302 vom 17.11.2009, S. 32, ELI: http://data.europa.eu/eli/dir/2009/65/oj).
(5) Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates vom 15. Mai 2014 über Märkte für Finanzinstrumente und zur Änderung der Verordnung (EU) Nr. 648/2012 (ABl. L 173 vom 12.6.2014, S. 84, ELI: http://data.europa.eu/eli/reg/2014/600/oj).
(6) Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates vom 25. November 2009 betreffend die Aufnahme und Ausübung der Versicherungs- und der Rückversicherungstätigkeit (Solvabilität II) (ABl. L 335 vom 17.12.2009, S. 1, ELI: http://data.europa.eu/eli/dir/2009/138/oj).
(7) Richtlinie (EU) 2016/97 des Europäischen Parlaments und des Rates vom 20. Januar 2016 über Versicherungsvertrieb (ABl. L 26 vom 2.2.2016, S. 19, ELI: http://data.europa.eu/eli/dir/2016/97/oj).
(8) Richtlinie (EU) 2016/2341 des Europäischen Parlaments und des Rates vom 14. Dezember 2016 über die Tätigkeiten und die Beaufsichtigung von Einrichtungen der betrieblichen Altersversorgung (EbAV) (ABl. L 354 vom 23.12.2016, S. 37, ELI: http://data.europa.eu/eli/dir/2016/2341/oj).
(9) Verordnung (EG) Nr. 1060/2009 des Europäischen Parlaments und des Rates vom 16. September 2009 über Ratingagenturen (ABl. L 302 vom 17.11.2009, S. 1, ELI: http://data.europa.eu/eli/reg/2009/1060/oj).
(10) Verordnung (EU) 2020/1503 des Europäischen Parlaments und des Rates vom 7. Oktober 2020 über Europäische Schwarmfinanzierungsdienstleister für Unternehmen und zur Änderung der Verordnung (EU) 2017/1129 und der Richtlinie (EU) 2019/1937 (ABl. L 347 vom 20.10.2020, S. 1, ELI: http://data.europa.eu/eli/reg/2020/1503/oj).
(11) Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates vom 12. Dezember 2017 zur Festlegung eines allgemeinen Rahmens für Verbriefungen und zur Schaffung eines spezifischen Rahmens für einfache, transparente und standardisierte Verbriefung und zur Änderung der Richtlinien 2009/65/EG, 2009/138/EG, 2011/61/EU und der Verordnungen (EG) Nr. 1060/2009 und (EU) Nr. 648/2012 (ABl. L 347 vom 28.12.2017, S. 35, ELI: http://data.europa.eu/eli/reg/2017/2402/oj).
(12) Delegierte Verordnung (EU) 2020/1230 der Kommission vom 29. November 2019 zur Ergänzung der Verordnung (EU) 2017/2402 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Einzelheiten des Antrags auf Registrierung als Verbriefungsregister und der Einzelheiten des vereinfachten Antrags auf Ausweitung der Registrierung als Transaktionsregister (ABl. L 289 vom 3.9.2020, S. 345, ELI: http://data.europa.eu/eli/reg/2020/1230/oj).
ITS Informationsregister (2024/2956)›Anhang III
Anhang III
Art der IKT-Dienstleistungen
ITS Informationsregister (2024/2956)
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D23.089Informationsregister: Klassifizierung von IKT-DienstleistungenS
Kategorisierung von IKT-Dienstleistern und IKT-Dienstleistungen: 19 unterschiedliche IKT-Dienstleistungen
Wird auf eine Art von IKT-Dienstleistungen in den Vorlagen des Informationsregisters Bezug genommen, ist nur die Kennung (von S01 bis S19) der betreffenden Art von IKT-Dienstleistungen anzugeben.
| Kennung | Art der IKT-Dienstleistungen | Beschreibung |
|---|---|---|
| S01 | 1. IKT-Projektmanagement | Erbringung von Dienstleistungen im Zusammenhang mit dem Projektmanagement. |
| S02 | 2. IKT-Entwicklung | Erbringung von Dienstleistungen im Zusammenhang mit: Unternehmensanalyse, Softwaredesign und -entwicklung, Tests. |
| S03 | 3. IKT-Helpdesk und First-Level-Support | Erbringung von Dienstleistungen im Zusammenhang mit: Helpdesk-Support und First-Level-Support bei IKT-Vorfällen |
| S04 | 4. IKT-Sicherheitsmanagementdienste | Erbringung von Dienstleistungen im Zusammenhang mit: IKT-Sicherheit (Schutz, Erkennung, Reaktion und Wiederherstellung), einschließlich Umgang mit Sicherheitsvorfällen und Forensik. |
| S05 | 5. Bereitstellung von Daten | Abonnement der Dienste von Datenanbietern. (digitaler Datendienst) |
| S06 | 6. Datenanalyse | Erbringung von Dienstleistungen im Zusammenhang mit der Unterstützung der Datenanalyse. (digitaler Datendienst) |
| S07 | 7. IKT, Betriebsmittel und Hostingdienste (ohne Cloud-Dienste) | Bereitstellung von IKT-Infrastruktur, Betriebsmitteln und Hostingdiensten, einschließlich Versorgungsleistungen (Energie, Wärmemanagement usw.), Telekommunikationszugang und physischer Sicherheit (ohne Cloud-Dienste), Zahlungsabwicklungstätigkeiten oder Bereitstellung von Zahlungsinfrastrukturen |
| S08 | 8. Rechenleistung | Bereitstellung digitaler Verarbeitungskapazitäten (einschließlich Datenrechenleistung), mit Ausnahme der im Rahmen einer Cloud-Umgebung erbrachten Rechendienste. |
| S09 | 9. Datenspeicherung außerhalb der Cloud | Bereitstellung von Datenspeicherplattformen (ohne Cloud-Dienste). |
| S10 | 10. Telekommunikationsanbieter | Betrieb von Telekommunikationssystemen und Ablaufmanagement. Traditionelle analoge Telefondienste sind gemäß Artikel 3 Nummer 21 der Verordnung (EU) 2022/2554 ausdrücklich ausgeschlossen. |
| S11 | 11. Netzwerkinfrastruktur | Bereitstellung von Netzwerkinfrastruktur |
| S12 | 12. Hardware und physische Geräte | Bereitstellung von Arbeitsplätzen, Telefonen, Servern, Datenspeichergeräten, Vorrichtungen usw. in Form einer Dienstleistung |
| S13 | 13. Softwarelizenzierung (ohne SaaS) | Bereitstellung von lokal ausgeführter Software. |
| S14 | 14. IKT-Betriebsmanagement (einschließlich Wartung) | Erbringung von Dienstleistungen im Zusammenhang mit: Infrastrukturkonfiguration (Systeme und Hardware mit Ausnahme des Netzwerks), Wartung, Installation, Kapazitätsmanagement, betriebliches Kontinuitätsmanagement usw. Einschließlich Anbieter von verwalteten Dienstleistungen (Managed Service Providers, MSPs) |
| S15 | 15. IKT-Beratung | Erbringung von auf Know-how/IKT-Fachwissen beruhenden Dienstleistungen. |
| S16 | 16. IKT-Risikomanagement | Überprüfung der Einhaltung der Anforderungen für das IKT-Risikomanagement gemäß Artikel 6 Absatz 10 der Verordnung (EU) 2022/2554 |
| S17 | 17. Cloud-Dienste: IaaS | Infrastructure-as-a-Service |
| S18 | 18. Cloud-Dienste: PaaS | Platform-as-a-Service |
| S19 | 19. Cloud-Dienste: SaaS | Software-as-a-Service |
ITS Informationsregister (2024/2956)›Anhang IV
Anhang IV
Anleitung zur Meldung des „Gesamtwerts der Aktiva“
ITS Informationsregister (2024/2956)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Art des Unternehmens | Anleitung zur Meldung des Gesamtwerts der Aktiva in Spalte B_01.02.0110 |
|---|---|
| a) Kreditinstitute | Angaben gemäß Meldebogen C40.00 Zeile 0410 Spalte 0010 in Anhang X der Durchführungsverordnung (EU) 2021/451 der Kommission (1) |
| b) Zahlungsinstitute, einschließlich nach der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| c) Kontoinformationsdienstleister | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| d) E-Geld-Institute, einschließlich nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| e) Wertpapierfirmen | Angaben gemäß Meldebogen Z01.00 Spalte 0090 in Anhang I der Durchführungsverordnung (EU) 2018/1624 der Kommission (2) |
| f) Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| g) Emittenten wertreferenzierter Token, die gemäß der Verordnung (EU) 2023/1114 zugelassen sind | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| h) Zentralverwahrer | Gesamtwert der Aktiva in den geprüften Jahresabschlüssen, die den zuständigen Behörden gemäß Artikel 41 Buchstabe a der Delegierten Verordnung (EU) 2017/392 der Kommission gemeldet wurden (3) |
| i) zentrale Gegenparteien | Angaben gemäß Feld 15.2 der „Veröffentlichten quantitativen Offenlegungsstandards für zentrale Gegenparteien“ der BIZ/IOSCO. |
| j) Handelsplätze | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| k) Transaktionsregister | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| l) Verwalter alternativer Investmentfonds | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| m) Verwaltungsgesellschaften | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| n) Datenbereitstellungsdienste | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| o) Versicherungs- und Rückversicherungsunternehmen | Angaben gemäß Anhang II und Meldebogen S02.01 Zeile 0500 Spalte 0010 in Anhang III der Durchführungsverordnung (EU) 2023/894 der Kommission (4) |
| p) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| q) Einrichtungen der betrieblichen Altersversorgung | Das Gesamtvermögen muss der Summe aller getrennt auf der Aktivseite der Bilanz ausgewiesenen Positionen sowie auch der Passiva insgesamt entsprechen |
| r) Ratingagenturen | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| s) Administratoren kritischer Referenzwerte | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| t) Schwarmfinanzierungsdienstleister | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| u) Verbriefungsregister | Gesamtwert der Aktiva in den Rechnungslegungsdaten |
| Nichtfinanzunternehmen: gruppeninterner IKT-Dienstleister | Nicht zutreffend |
| Nichtfinanzunternehmen: sonstiges gruppeninternes Unternehmen | Nicht zutreffend |
| Nichtfinanzunternehmen: IKT-Drittdienstleister | Nicht zutreffend |
(1) Durchführungsverordnung (EU) 2021/451 der Kommission vom 17. Dezember 2020 zur Festlegung technischer Durchführungsstandards für die Anwendung der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates auf die aufsichtlichen Meldungen der Institute und zur Aufhebung der Durchführungsverordnung (EU) Nr. 680/2014 (ABl. L 97 vom 19.3.2021, S. 1, ELI: http://data.europa.eu/eli/reg_impl/2021/451/oj).
(2) Durchführungsverordnung (EU) 2018/1624 der Kommission vom 23. Oktober 2018 zur Festlegung technischer Durchführungsstandards in Bezug auf Verfahren, Standardformulare und Meldebögen für die Bereitstellung von Informationen für die Erstellung von Abwicklungsplänen für Kreditinstitute und Wertpapierfirmen gemäß der Richtlinie 2014/59/EU des Europäischen Parlaments und des Rates und zur Aufhebung der Durchführungsverordnung (EU) 2016/1066 der Kommission (ABl. L 277 vom 7.11.2018, S. 1, ELI: http://data.europa.eu/eli/reg_impl/2018/1624/oj).
(3) Delegierte Verordnung (EU) 2017/392 der Kommission vom 11. November 2016 zur Ergänzung der Verordnung (EU) Nr. 909/2014 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für die Zulassung von und für aufsichtliche und operationelle Anforderungen an Zentralverwahrer (ABl. L 65 vom 10.3.2017, S. 48, ELI: http://data.europa.eu/eli/reg_del/2017/392/oj).
(4) Durchführungsverordnung (EU) 2023/894 der Kommission vom 4. April 2023 zur Festlegung technischer Durchführungsstandards für die Anwendung der Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates im Hinblick auf die Meldebögen zur Übermittlung für die Aufsicht erforderlicher Informationen durch Versicherungs- und Rückversicherungsunternehmen an ihre Aufsichtsbehörde und zur Aufhebung der Durchführungsverordnung (EU) 2015/2450 (ABl. L 120, 5.5.2023, S. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/894/oj).
RTS Incident-Meldung (2025/301)›Art. 1
Artikel 1
Allgemeine Informationen, die in Erstmeldungen sowie in Zwischen- und Abschlussmeldungen schwerwiegender IKT-bezogener Vorfälle enthalten sein müssen
RTS Incident-Meldung (2025/301)
Finanzunternehmen nehmen in die Erstmeldung, die Zwischenmeldung und die Abschlussmeldung gemäß Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 die folgenden allgemeinen Informationen auf:
a)
Art der Übermittlung (Erstmeldung, Zwischenmeldung oder Abschlussmeldung),
b)
Name des Finanzunternehmens, seinen LEI-Code und Art des Finanzunternehmens gemäß Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554,
c)
Name und Identifikationscode des Unternehmens, das die Erst-, Zwischen- oder Abschlussmeldung für das Finanzunternehmen übermittelt,
d)
gegebenenfalls Namen und LEI-Codes aller Finanzunternehmen, die in der aggregierten Erst-, Zwischen- oder Abschlussmeldung erfasst sind,
e)
Kontaktdaten der Personen, die für die Kommunikation mit der zuständigen Behörde über den schwerwiegenden IKT-bezogenen Vorfall verantwortlich sind,
f)
gegebenenfalls Angabe des Mutterunternehmens der Gruppe, der das Finanzunternehmen angehört,
g)
bei monetären Auswirkungen die Währung, in der die Beträge angegeben werden.
DORA-Sollmaßnahmen
D21.059Meldung schwerwiegender IKT-bezogener Vorfälle: Pflichtinformationen jeder Meldung (Identifikation)S
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Meldung (2025/301)›Art. 2
Artikel 2
Spezifische Informationen, die in Erstmeldungen enthalten sein müssen
RTS Incident-Meldung (2025/301)
Erstmeldungen gemäß Artikel 19 Absatz 4 Buchstabe a der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen:
a)
vom Finanzunternehmen zugewiesener Referenzcode des Vorfalls,
b)
Datum und Uhrzeit der Erkennung des Vorfalls sowie dessen Einstufung gemäß Artikel 8 der Delegierten Verordnung (EU) 2024/1772 der Kommission (7),
c)
Beschreibung des IKT-bezogenen Vorfalls,
d)
in den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 festgelegte Kriterien, auf deren Grundlage das Finanzunternehmen den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat,
e)
Mitgliedstaaten, die von dem IKT-bezogenen Vorfall betroffen sind,
f)
Angaben dazu, wie der IKT-bezogene Vorfall erkannt wurde,
g)
soweit verfügbar, Angaben zum Ursprung des IKT-bezogenen Vorfalls,
h)
Angaben dazu, ob das Finanzunternehmen einen Geschäftsfortführungsplan aktiviert hat,
i)
gegebenenfalls Angaben zur Neueinstufung des schwerwiegenden IKT-bezogenen Vorfalls als nicht schwerwiegend,
j)
soweit verfügbar, sonstige zweckdienliche Informationen.
DORA-Sollmaßnahmen
D21.060Meldung schwerwiegender IKT-bezogener Vorfälle: Inhalt der ErstmeldungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Meldung (2025/301)›Art. 3
Artikel 3
Spezifische Informationen, die in Zwischenmeldungen enthalten sein müssen
RTS Incident-Meldung (2025/301)
Zwischenmeldungen gemäß Artikel 19 Absatz 4 Buchstabe b der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen:
a)
gegebenenfalls den von der zuständigen Behörde für den Vorfall mitgeteilten Referenzcode,
b)
Datum und Uhrzeit des Eintretens des IKT-bezogenen Vorfalls,
c)
gegebenenfalls Datum und Uhrzeit der Wiederaufnahme des regulären Geschäftsbetriebs des Finanzunternehmens,
d)
Angaben dazu, inwieweit die in den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 festgelegten Kriterien, auf deren Grundlage das Finanzunternehmen den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat, erfüllt sind,
e)
Art des IKT-bezogenen Vorfalls,
f)
gegebenenfalls vom Angreifer artikulierte Bedrohungen und eingesetzte Techniken,
g)
betroffene Funktionsbereiche und Geschäftsprozesse,
h)
betroffene Infrastrukturkomponenten, die Geschäftsprozesse unterstützen,
i)
Auswirkungen auf die finanziellen Interessen von Kunden,
j)
Angaben zur Meldung des IKT-bezogenen Vorfalls an andere Behörden,
k)
befristete Maßnahmen, die das Finanzunternehmen ergriffen hat oder zu ergreifen beabsichtigt, um sich von dem IKT-bezogenen Vorfall zu erholen,
l)
gegebenenfalls Angaben zu Kompromittierungsindikatoren.
DORA-Sollmaßnahmen
D21.061Meldung schwerwiegender IKT-bezogener Vorfälle: Inhalt der ZwischenmeldungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Meldung (2025/301)›Art. 4
Artikel 4
Spezifische Informationen, die in Abschlussmeldungen enthalten sein müssen
RTS Incident-Meldung (2025/301)
Abschlussmeldungen gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen:
a)
Angaben zu den Ursachen des IKT-bezogenen Vorfalls,
b)
Datum und Uhrzeit der Behebung des IKT-bezogenen Vorfalls sowie der Beseitigung der zugrunde liegenden Ursache(n),
c)
Angaben dazu, wie dem IKT-bezogenen Vorfall entgegengewirkt wurde,
d)
gegebenenfalls Informationen, die für die Abwicklungsbehörden relevant sind,
e)
Angaben zu direkten und indirekten Kosten und Verlusten, die infolge des IKT-bezogenen Vorfalls entstanden sind, und Angaben zu finanziellen Wiedereinziehungen,
f)
gegebenenfalls Angaben zu wiederholten IKT-bezogenen Vorfällen.
DORA-Sollmaßnahmen
D21.062Meldung schwerwiegender IKT-bezogener Vorfälle: Inhalt der AbschlussmeldungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Meldung (2025/301)›Art. 5
Artikel 5
Fristen für die Erst-, Zwischen- und Abschlussmeldung
RTS Incident-Meldung (2025/301)
(1)
Finanzunternehmen übermitteln die Erst-, Zwischen- und Abschlussmeldung gemäß Artikel 19 Absatz 4 Buchstaben a, b und c der Verordnung (EU) 2022/2554 innerhalb der folgenden Fristen:
DORA-Schulungsfolien
Meldepflichten für schwerwiegende IKT-Vorfälle: Betriebszustände und Meldefristen
Meldepflichten für schwerwiegende IKT-Vorfälle: Standardanforderungen (1/2)
Meldepflichten für schwerwiegende IKT-Vorfälle: Standardanforderungen (2/2)
a)
bei der Erstmeldung: so früh wie möglich, in jedem Fall aber innerhalb von vier Stunden nach Einstufung des IKT-bezogenen Vorfalls als schwerwiegend und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat,
DORA-Sollmaßnahmen
D21.055Meldung schwerwiegender IKT-bezogener Vorfälle: Frist der Erstmeldung (4 h / 24 h)S
b)
bei der Zwischenmeldung: spätestens 72 Stunden nach Übermittlung der Erstmeldung, auch wenn sich gemäß Artikel 19 Absatz 4 Buchstabe b der Verordnung (EU) 2022/2554 der Status oder die Handhabung des Vorfalls nicht geändert hat. Die Finanzunternehmen übermitteln unverzüglich etwaige aktualisierte Zwischenmeldungen, in jedem Fall aber, sobald der reguläre Geschäftsbetrieb wiederaufgenommen wurde,
DORA-Sollmaßnahmen
D21.056Meldung schwerwiegender IKT-bezogener Vorfälle: Auslöser und Frist der ZwischenmeldungS
c)
bei der Abschlussmeldung: spätestens einen Monat nach Übermittlung der Zwischenmeldung oder gegebenenfalls nach der letzten aktualisierten Zwischenmeldung.
DORA-Sollmaßnahmen
D21.057Meldung schwerwiegender IKT-bezogener Vorfälle: Auslöser und Frist der AbschlussmeldungS
↕ Bindet mit Abs. 5 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Hat das Finanzunternehmen einen IKT-bezogenen Vorfall nicht innerhalb von 24 Stunden nach dem Zeitpunkt, zu dem es Kenntnis von dem IKT-bezogenen Vorfall erlangt hat, sondern erst zu einem späteren Zeitpunkt als schwerwiegend eingestuft, übermittelt es die Erstmeldung innerhalb von vier Stunden, nachdem es den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat.
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
(3)
Finanzunternehmen, die nicht in der Lage sind, die Erstmeldung, die Zwischenmeldung oder die Abschlussmeldung innerhalb der in Absatz 1 genannten Fristen zu übermitteln, teilen dies der zuständigen Behörde unverzüglich, spätestens jedoch innerhalb der jeweiligen Fristen für die Übermittlung der Meldung mit und geben die Gründe für die Verzögerung an.
DORA-Sollmaßnahmen
D21.063Meldung schwerwiegender IKT-bezogener Vorfälle: Information über FristüberschreitungS
(4)
Fällt die Frist für die Übermittlung der Erstmeldung, der Zwischenmeldung oder der Abschlussmeldung auf ein Wochenende oder einen Feiertag im Mitgliedstaat des meldenden Finanzunternehmens, so kann das Finanzunternehmen die Erstmeldung, die Zwischenmeldung oder die Abschlussmeldung bis 12.00 Uhr des darauffolgenden Arbeitstages übermitteln.
↕ Bindet mit Abs. 5 zusammen — die gemeinsame Sollmaßnahme steht dort.
(5)
Absatz 4 gilt nicht für die Übermittlung einer Erstmeldung oder einer Zwischenmeldung durch Kreditinstitute, zentrale Gegenparteien, Betreiber von Handelsplätzen und andere Finanzunternehmen, die gemäß Artikel 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Einrichtungen eingestuft sind.
DORA-Sollmaßnahmen
D21.072Meldung schwerwiegender IKT-bezogener Vorfälle: Fristwahrung bei Wochenende oder FeiertagS
(6)
Die zuständigen Behörden können beschließen, dass Absatz 4 nicht für die Übermittlung einer Erstmeldung oder einer Zwischenmeldung durch andere Finanzinstitute als die in Absatz 5 genannten gilt, die bedeutend oder für den Finanzsektor auf nationaler oder Unionsebene systemrelevant sind. Die zuständigen Behörden teilen den betreffenden Finanzunternehmen ihren Beschluss mit. Der Beschluss der zuständigen Behörde gilt nur für Vorfälle, die sich ereignet haben, nachdem die zuständige Behörde den betreffenden Finanzunternehmen ihre Entscheidung mitgeteilt hat.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Meldung (2025/301)›Art. 6
Artikel 6
Inhalt der freiwilligen Meldung erheblicher Cyberbedrohungen
RTS Incident-Meldung (2025/301)
Eine freiwillige Meldung in Bezug auf erhebliche Cyberbedrohungen gemäß Artikel 19 Absatz 2 der Verordnung (EU) 2022/2554 umfasst Folgendes:
a)
allgemeine Angaben zu dem meldenden Finanzunternehmen gemäß Artikel 1,
b)
Datum und Uhrzeit der Erkennung einer erheblichen Cyberbedrohung und sonstige relevante Zeitstempel im Zusammenhang mit der erheblichen Cyberbedrohung,
c)
Beschreibung der erheblichen Cyberbedrohung,
d)
Angaben zu den möglichen Auswirkungen der erheblichen Cyberbedrohung auf das Finanzunternehmen, seine Kunden oder Gegenparteien im Finanzbereich,
e)
Einstufungskriterien, die die Meldung eines schwerwiegenden Vorfalls gemäß den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 ausgelöst hätten, wenn die Cyberbedrohung eingetreten wäre,
f)
Angaben zum Status der erheblichen Cyberbedrohung und dazu, ob sich die Bedrohungsaktivität verändert hat,
g)
gegebenenfalls Beschreibung der Maßnahmen, die das Finanzunternehmen ergriffen hat, um das Eintreten erheblicher Cyberbedrohungen zu verhindern,
h)
Angabe dazu, ob andere Finanzunternehmen oder Behörden über die erhebliche Cyberbedrohung benachrichtigt wurden,
i)
gegebenenfalls Angaben zu Kompromittierungsindikatoren,
j)
soweit verfügbar, sonstige zweckdienliche Informationen.
DORA-Sollmaßnahmen
D21.019Erhebliche Cyberbedrohungen: Mindestinhalte der MeldungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Incident-Meldung (2025/301)›Art. 7
Artikel 7
Inkrafttreten
RTS Incident-Meldung (2025/301)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 1
Artikel 1
Vorlage für die Meldung schwerwiegender IKT-bezogener Vorfälle
ITS Incident-Reporting (2025/302)
(1)
Finanzunternehmen verwenden für die Übermittlung der in Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 genannten Erstmeldung, Zwischenmeldung und Abschlussmeldung die Vorlage in Anhang I wie folgt:
a)
Finanzunternehmen, die eine Erstmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 2 der Delegierten Verordnung (EU) 2025/301 der Kommission (7) geforderten Informationen entsprechen, und können, wenn sie bereits über diese Informationen verfügen, diejenigen Datenfelder ausfüllen, die nicht für eine Erstmeldung, sondern für eine Zwischen- oder Abschlussmeldung ausgefüllt werden müssen.
b)
Finanzunternehmen, die eine Zwischenmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 3 der Delegierten Verordnung (EU) 2025/301 geforderten Informationen entsprechen, und können, wenn sie bereits über diese Informationen verfügen, diejenigen Datenfelder ausfüllen, die nicht für eine Zwischenmeldung, sondern für eine Abschlussmeldung ausgefüllt werden müssen.
c)
Finanzunternehmen, die eine Abschlussmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 4 der Delegierten Verordnung (EU) 2025/301 geforderten Informationen entsprechen.
(2)
Die Finanzunternehmen stellen sicher, dass die in der Erstmeldung sowie in der Zwischenmeldung und der Abschlussmeldung enthaltenen Informationen vollständig und korrekt sind.
(3)
Finanzunternehmen geben, soweit möglich, Schätzwerte auf der Grundlage anderer verfügbarer Daten und Informationen an, wenn zum Zeitpunkt der Erstmeldung oder der Zwischenmeldung keine genauen Daten verfügbar sind.
(4)
Bei der Übermittlung einer Zwischen- oder Abschlussmeldung verwenden Finanzunternehmen die Vorlage in Anhang I, um alle erforderlichen Informationen zu übermitteln und gegebenenfalls die Informationen zu aktualisieren, die zuvor in der Erstmeldung oder in der Zwischenmeldung übermittelt wurden.
(5)
Beim Ausfüllen der Vorlage in Anhang I beachten die Finanzunternehmen das Datenglossar und die Anleitung in Anhang II.
DORA-Sollmaßnahmen
D21.052Meldung schwerwiegender IKT-bezogener Vorfälle: Verwendung des vorgeschriebenen TemplatesS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 2
Artikel 2
Gleichzeitige Übermittlung der Erst-, Zwischen- und Abschlussmeldung
ITS Incident-Reporting (2025/302)
Finanzunternehmen können die Erstmeldung, die Zwischenmeldung und die Abschlussmeldung zusammenlegen und zwei oder alle Meldungen gleichzeitig übermitteln, wenn der reguläre Geschäftsbetrieb wiederhergestellt ist oder die Ursachenanalyse abgeschlossen wurde und die Fristen gemäß Artikel 5 der Delegierten Verordnung (EU) 2025/301 eingehalten werden.
DORA-Sollmaßnahmen
D21.075Meldung schwerwiegender IKT-bezogener Vorfälle: Zusammenlegung der MeldungenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 3
Artikel 3
Wiederholte IKT-bezogene Vorfälle
ITS Incident-Reporting (2025/302)
Finanzunternehmen, die Informationen über wiederholte nicht schwerwiegende IKT-bezogene Vorfälle bereitstellen, die zusammen die Voraussetzungen für einen schwerwiegenden IKT-bezogenen Vorfall gemäß Artikel 8 Absatz 2 der Delegierten Verordnung (EU) 2024/1772 erfüllen, übermitteln diese Informationen in aggregierter Form.
DORA-Sollmaßnahmen
D21.064Meldung schwerwiegender IKT-bezogener Vorfälle: Aggregierte Meldung wiederholter VorfälleS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 4
Artikel 4
Nutzung sicherer elektronischer Kanäle
ITS Incident-Reporting (2025/302)
(1)
Finanzunternehmen nutzen sichere elektronische Kanäle, die von ihrer zuständigen Behörde für die Übermittlung der Erst-, Zwischen- und Abschlussmeldung bereitgestellt werden.
(2)
Finanzunternehmen, die nicht in der Lage sind, die von ihrer zuständigen Behörde bereitgestellten sicheren elektronischen Kanäle zu nutzen, unterrichten ihre zuständige Behörde im Einvernehmen mit der zuständigen Behörde auf andere sichere Weise über einen schwerwiegenden IKT-bezogenen Vorfall. Auf Verlangen der zuständigen Behörde übermitteln Finanzunternehmen die Erst-, Zwischen- oder Abschlussmeldung erneut über den von ihrer zuständigen Behörde bereitgestellten sicheren elektronischen Kanal, sobald sie dazu in der Lage sind.
DORA-Sollmaßnahmen
D21.065Meldung schwerwiegender IKT-bezogener Vorfälle: Nutzung der behördlichen Meldekanäle (Ausfall)S
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 5
Artikel 5
Rückstufung schwerwiegender IKT-bezogener Vorfälle
ITS Incident-Reporting (2025/302)
Kommt das Finanzunternehmen nach eingehender Prüfung zu dem Schluss, dass der zuvor als „schwerwiegend“ gemeldete IKT-bezogene Vorfall zu keinem Zeitpunkt die in Artikel 8 der Delegierten Verordnung (EU) 2024/1772 festgelegten Einstufungskriterien und Schwellenwerte erfüllte, so teilt es der zuständigen Behörde mit, dass es den IKT-bezogenen Vorfall von „schwerwiegend“ auf „nicht schwerwiegend“ zurückgestuft hat, und macht in der Vorlage in Anhang II dieser Verordnung in den Feldern „Art der Meldung“ und „Sonstige Informationen“ entsprechende Angaben zu dieser Rückstufung.
DORA-Sollmaßnahmen
D21.066Meldung schwerwiegender IKT-bezogener Vorfälle: Herabstufung bei FehlklassifikationS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 6
Artikel 6
Unterrichtung über die Auslagerung der Berichtspflichten
ITS Incident-Reporting (2025/302)
(1)
Finanzunternehmen, die die Verpflichtung zur Meldung schwerwiegender IKT-bezogener Vorfälle gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 ausgelagert haben, unterrichten ihre zuständige Behörde über die Vereinbarung zur Auslagerung, sobald diese abgeschlossen wurde, spätestens jedoch vor der ersten Meldung.
(2)
Finanzunternehmen teilen der zuständigen Behörde den Namen, die Kontaktdaten und den Identifikationscode des Dritten mit, der die Meldungen schwerwiegender IKT-bezogener Vorfälle für sie übermitteln wird.
(3)
Finanzunternehmen unterrichten ihre zuständige Behörde, sobald sie ihre Meldepflichten gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 nicht mehr auslagern.
DORA-Sollmaßnahmen
D21.067Meldung schwerwiegender IKT-bezogener Vorfälle: Anzeige der AuslagerungsvereinbarungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 7
Artikel 7
Aggregierte Meldung
ITS Incident-Reporting (2025/302)
(1)
Ein Drittdienstleister, an den Meldepflichten gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 ausgelagert wurden, kann die Vorlage in Anhang I dieser Verordnung verwenden, um aggregierte Informationen über einen schwerwiegenden IKT-bezogenen Vorfall, der sich auf mehrere Finanzunternehmen auswirkt, in einer einzigen Meldung bereitzustellen und diese Meldung im Namen aller betroffenen Finanzunternehmen der zuständigen Behörde zu übermitteln, sofern alle folgenden Voraussetzungen erfüllt sind:
a)
Der zu meldende schwerwiegende IKT-bezogene Vorfall hat bei einem IKT- Drittdienstleister seinen Ursprung oder wird von diesem verursacht.
b)
Dieser Drittdienstleister erbringt die betreffende IKT-Dienstleistung für mehr als ein Finanzunternehmen oder für eine Gruppe.
c)
Der IKT-bezogene Vorfall wird von jedem in der aggregierten Meldung erfassten Finanzunternehmen als schwerwiegend eingestuft.
d)
Der schwerwiegende IKT-bezogene Vorfall betrifft Finanzunternehmen im selben Mitgliedstaat und die aggregierte Meldung bezieht sich auf Finanzunternehmen, die von derselben zuständigen Behörde beaufsichtigt werden.
e)
Die zuständigen Behörden haben dieser Art von Finanzunternehmen ausdrücklich gestattet, aggregierte Meldungen zu übermitteln.
(2)
Absatz 1 gilt nicht für Kreditinstitute, die gemäß Artikel 2 Nummer 16 der Verordnung (EU) Nr. 468/2014 der Europäischen Zentralbank (8) als von erheblicher Bedeutung angesehen werden, Betreiber von Handelsplätzen und zentrale Gegenparteien, die nur die Vorlage in Anhang I verwenden, um Meldungen schwerwiegender IKT-bezogener Vorfälle einzeln an ihre zuständige Behörde zu übermitteln.
DORA-Sollmaßnahmen
D21.076Meldung schwerwiegender IKT-bezogener Vorfälle: Aggregierte Meldung durch den DrittdienstleisterS
(3)
Verlangen die zuständigen Behörden Informationen über die individuellen Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf ein einzelnes Finanzunternehmen, so übermittelt das Finanzunternehmen auf Ersuchen der zuständigen Behörde eine Einzelmeldung über den schwerwiegenden IKT-bezogenen Vorfall.
DORA-Sollmaßnahmen
D21.068Meldung schwerwiegender IKT-bezogener Vorfälle: Separate Einzelmeldung auf BehördenanfrageS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 8
Artikel 8
Meldung erheblicher Cyberbedrohungen
ITS Incident-Reporting (2025/302)
(1)
Finanzunternehmen, die den zuständigen Behörden gemäß Artikel 19 Absatz 2 der Verordnung (EU) 2022/2554 erhebliche Cyberbedrohungen melden, verwenden die Vorlage in Anhang III dieser Verordnung und befolgen das Datenglossar und die Anleitung in Anhang IV dieser Verordnung.
DORA-Sollmaßnahmen
D21.020Erhebliche Cyberbedrohungen: Meldetemplate und DatenglossarS
(2)
Finanzunternehmen stellen sicher, dass die in der Meldung erheblicher Cyberbedrohungen enthaltenen Informationen vollständig und korrekt sind.
DORA-Sollmaßnahmen
D21.021Erhebliche Cyberbedrohungen: Vollständigkeit und Richtigkeit der AngabenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Art. 9
Artikel 9
Inkrafttreten
ITS Incident-Reporting (2025/302)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
ITS Incident-Reporting (2025/302)›Anhang I
Anhang I
VORLAGEN FÜR DIE MELDUNG SCHWERWIEGENDER SICHERHEITSVORFÄLLE
ITS Incident-Reporting (2025/302)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Feld-nummer | Datenfeld | |
|---|---|---|
| Allgemeine Angaben zum Finanzunternehmen | ||
| 1.1 | Art der Übermittlung | |
| 1.2 | Name des Unternehmens, das die Meldung übermittelt | |
| 1.3 | Identifikationscode des Unternehmens, das die Meldung übermittelt | |
| 1.4 | Art des betroffenen Finanzunternehmens | |
| 1.5 | Name des betroffenen Finanzunternehmens | |
| 1.6 | LEI-Code des betroffenen Finanzunternehmens | |
| 1.7 | Name des Hauptansprechpartners | |
| 1.8 | E-Mail-Adresse des Hauptansprechpartners | |
| 1.9 | Telefonnummer des Hauptansprechpartners | |
| 1.10 | Name des zweiten Ansprechpartners | |
| 1.11 | E-Mail-Adresse des zweiten Ansprechpartners | |
| 1.12 | Telefonnummer des zweiten Ansprechpartners | |
| 1.13 | Name des obersten Mutterunternehmens | |
| 1.14 | LEI-Code des obersten Mutterunternehmens | |
| 1.15 | Meldewährung | |
| Inhalt der Erstmeldung | ||
| 2.1 | Vom Finanzunternehmen zugewiesener Referenzcode für den Vorfall | |
| 2.2 | Datum und Uhrzeit der Feststellung des schwerwiegenden IKT-bezogenen Vorfalls | |
| 2.3 | Datum und Uhrzeit der Einstufung des IKT-bezogenen Vorfalls als schwerwiegend | |
| 2.4 | Beschreibung des schwerwiegenden IKT-bezogenen Vorfalls | |
| 2.5 | Einstufungskriterien, die die Meldung des Vorfalls ausgelöst haben | |
| 2.6 | Wesentlichkeitsschwellen für das Einstufungskriterium „Geografische Ausbreitung“ | |
| 2.7 | Feststellung des schwerwiegenden IKT-bezogenen Vorfalls | |
| 2.8 | Angabe, ob der schwerwiegende IKT-bezogene Vorfall bei einem Drittdienstleister oder einem anderen Finanzunternehmen seinen Ursprung hat | |
| 2.9 | Aktivierung des Plans zur Aufrechterhaltung des Geschäftsbetriebs, falls aktiviert | |
| 2.10 | Sonstige zweckdienliche Angaben | |
| Inhalt der Zwischenmeldung | ||
| 3.1 | Von der zuständigen Behörde bereitgestellter Referenzcode für den Vorfall | |
| 3.2 | Datum und Uhrzeit des Eintretens des schwerwiegenden IKT-bezogenen Vorfalls | |
| 3.3 | Datum und Uhrzeit der Wiederherstellung der Dienste, Tätigkeiten oder Vorgänge | |
| 3.4 | Anzahl der betroffenen Kunden | |
| 3.5 | Prozentsatz der betroffenen Kunden | |
| 3.6 | Anzahl der betroffenen Gegenparteien im Finanzbereich | |
| 3.7 | Prozentsatz der betroffenen Gegenparteien im Finanzbereich | |
| 3.8 | Auswirkungen auf einschlägige Kunden oder Gegenparteien im Finanzbereich | |
| 3.9 | Anzahl der betroffenen Transaktionen | |
| 3.10 | Prozentsatz der betroffenen Transaktionen | |
| 3.11 | Wert der betroffenen Transaktionen | |
| 3.12 | Angaben dazu, ob es sich um tatsächliche Zahlen oder Schätzungen handelt oder ob es keine Auswirkungen gegeben hat | |
| 3.13 | Reputationsschaden | |
| 3.14 | Kontextbezogene Angaben zum Reputationsschaden | |
| 3.15 | Dauer des schwerwiegenden IKT-bezogenen Vorfalls | |
| 3.16 | Ausfallzeiten | |
| 3.17 | Angaben dazu, ob es sich bei der Dauer und den Ausfallzeiten um tatsächliche Zahlen oder Schätzungen handelt | |
| 3.18 | Arten von Auswirkungen in den Mitgliedstaaten | |
| 3.19 | Beschreibung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls in anderen Mitgliedstaaten | |
| 3.20 | Wesentlichkeitsschwellen für das Einstufungskriterium „Datenverluste“ | |
| 3.21 | Beschreibung der Datenverluste | |
| 3.22 | Einstufungskriterium „Betroffene kritische Dienstleistungen“ | |
| 3.23 | Art des schwerwiegenden IKT-bezogenen Vorfalls | |
| 3.24 | Andere Arten von Vorfällen | |
| 3.25 | Bedrohungen und Techniken des Angreifers | |
| 3.26 | Andere Arten von Techniken | |
| 3.27 | Angaben zu betroffenen Funktionsbereichen und Geschäftsprozessen | |
| 3.28 | Betroffene Infrastrukturkomponenten, die Geschäftsprozesse unterstützen | |
| 3.29 | Angaben zu betroffenen Infrastrukturkomponenten, die Geschäftsprozesse unterstützen | |
| 3.30 | Auswirkungen auf die finanziellen Interessen von Kunden | |
| 3.31 | Meldung an andere Behörden | |
| 3.32 | Angabe der „anderen“ Behörden | |
| 3.33 | Ergriffene oder geplante befristete Maßnahmen zur Wiederherstellung nach dem Vorfall | |
| 3.34 | Beschreibung etwaiger ergriffener oder geplanter befristeter Maßnahmen zur Wiederherstellung nach dem Vorfall | |
| 3.35 | Kompromittierungsindikatoren | |
| Inhalt der Abschlussmeldung | ||
| 4.1 | Übergeordnete Einstufung der Ursachen des Vorfalls | |
| 4.2 | Detaillierte Einstufung der Ursachen des Vorfalls | |
| 4.3 | Weitergehende Einstufung der Ursachen des Vorfalls | |
| 4.4 | Andere Arten von Ursachen | |
| 4.5 | Angaben zu den Ursachen des Vorfalls | |
| 4.6 | Zusammenfassung der Behebung des Vorfalls | |
| 4.7 | Datum und Uhrzeit der Behebung der Ursache des Vorfalls | |
| 4.8 | Datum und Uhrzeit der Behebung des Vorfalls | |
| 4.9 | Angabe, falls das Datum der dauerhaften Behebung des Vorfalls von dem ursprünglich geplanten Umsetzungsdatum abweicht | |
| 4.10 | Bewertung des Risikos für kritische Funktionen für Abwicklungszwecke | |
| 4.11 | Für Abwicklungsbehörden relevante Angaben | |
| 4.12 | Wesentlichkeitsschwelle für das Einstufungskriterium „Wirtschaftliche Auswirkungen“ | |
| 4.13 | Betrag der direkten und indirekten Bruttokosten und Verluste | |
| 4.14 | Betrag der finanziellen Rückflüsse | |
| 4.15 | Angaben dazu, ob sich die nicht schwerwiegenden Vorfälle wiederholt haben | |
| 4.16 | Datum und Uhrzeit des Eintretens wiederholter Vorfälle | |
ITS Incident-Reporting (2025/302)›Anhang II
Anhang II
DATENGLOSSAR UND ANLEITUNG FÜR DIE MELDUNG SCHWERWIEGENDER SICHERHEITSVORFÄLLE
ITS Incident-Reporting (2025/302)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Datenfeld | Beschreibung | Verpflichtend für die Erstmeldung | Verpflich-tend für die Zwischen-meldung | Verpflich-tend für die Abschluss-meldung | Feldtyp |
|---|---|---|---|---|---|
| Allgemeine Angaben zum Finanzunternehmen | |||||
| 1.1. Art der Übermittlung | Geben Sie die Art der Meldung des Vorfalls an, die der zuständigen Behörde übermittelt wird. | Ja | Ja | Ja | Auswahl: — Erstmeldung; — Zwischenmeldung; — Abschlussmeldung; — Schwerwiegender Vorfall, der in nicht schwerwiegend zurückgestuft wurde. |
| 1.2. Name des Unternehmens, das die Meldung übermittelt | Vollständige juristische Bezeichnung des Unternehmens, das die Meldung übermittelt. | Ja | Ja | Ja | Alphanumerisch |
| 1.3. Identifikations- code des Unternehmens, das die Meldung übermittelt | Identifikationscode des Unternehmens, das die Meldung übermittelt. Übermitteln Finanzunternehmen die Meldung, ist die Rechtsträgerkennung (Legal Entity Identifier; LEI-Code), ein eindeutiger alphanumerischer 20-stelliger Code nach ISO 17442-1:2020. Ein Drittdienstleister, der eine Meldung für ein Finanzunternehmen übermittelt, kann eine Rechtsträgerkennung verwenden, die in den gemäß Artikel 28 Absatz 9 der Verordnung (EU) 2022/2554 angenommenen technischen Durchführungsstandards festgelegt ist. | Ja | Ja | Ja | Alphanumerisch |
| 1.4. Art des betroffenen Finanz-unternehmens | Art des Unternehmens gemäß Artikel 2 Absatz 1 Buchstaben a bis t der Verordnung (EU) 2022/2554, für das die Meldung übermittelt wird. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung sind die verschiedenen Arten von Finanzunternehmen auszuwählen, die in der aggregierten Meldung erfasst sind. | Ja | Ja | Ja | Auswahl (Mehrfach-auswahl): — Kreditinstitut; — Zahlungs-institut; — Ausge-nommenes Zahlungs-institut; — Kontoinfor-mationsdienst-leister; — E-Geld-Institut; — Ausge-nommenes E-Geld-Institut; — Wertpapier-firma; — Anbieter von Kryptowerte-Dienstleis-tungen; — Emittent wertreferen-zierter Token; — Zentral-verwahrer; — Zentrale Gegenpartei; — Handelsplatz; — Transak-tionsregister; — Verwalter alternativer Investment-fonds; — Verwaltungs-gesellschaft; — Datenbereit-stellungsdienst; — Versicherungs- und Rückversiche-rungsunter-nehmen; — Versicherungs-vermittler, Rückversiche-rungsvermittler und Versicherungs-vermittler in Nebentätigkeit; — Einrichtung der betrieblichen Altersversor-gung; — Ratingagentur; — Administrator kritischer Referenzwerte; — Schwarm-finanzierungs-dienstleister; — Verbriefungs-register. |
| 1.5. Name des betroffenen Finanzunter-nehmens | Vollständige juristische Bezeichnung des von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunternehmens, das gemäß Artikel 19 der Verordnung (EU) 2022/2554 seiner zuständigen Behörde den schwerwiegenden Vorfall melden muss. Bei aggregierter Meldung: a) Auflistung aller Namen der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunternehmen, getrennt durch ein Semikolon. b) Der Drittdienstleister, der eine Meldung eines schwerwiegenden Vorfalls oder in aggregierter Form gemäß Artikel 7 dieser Verordnung übermittelt, führt die Namen aller von dem Vorfall betroffenen Finanzunternehmen auf, getrennt durch ein Semikolon. | Ja, wenn es sich bei dem von dem Vorfall betroffenen Finanzunter-nehmen nicht um das Unternehmen handelt, das die Meldung übermittelt, und im Falle einer aggregierten Meldung | Ja, wenn es sich bei dem von dem Vorfall betroffe-nen Finanz-unter-nehmen nicht um das Unter-nehmen handelt, das die Meldung übermit-telt, und im Falle einer aggre-gierten Meldung | Ja, wenn es sich bei dem von dem Vorfall betroffenen Finanzun-ternehmen nicht um das Unterneh-men handelt, das die Meldung übermittelt, und im Falle einer aggregierten Meldung | Alphanumerisch |
| 1.6. LEI-Code des betroffenen Finanzunterneh-mens | Der nach der Internationalen Organisation für Normung zugewiesene LEI-Code des von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunternehmens. Bei aggregierter Meldung: a) Auflistung aller LEI-Codes der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunternehmen, getrennt durch ein Semikolon; b) der Drittdienstleister, der eine Meldung eines schwerwiegenden Vorfalls in aggregierter Form gemäß Artikel 7 dieser Verordnung übermittelt, führt die LEI-Codes aller von dem Vorfall betroffenen Finanzunternehmen auf, getrennt durch ein Semikolon. Die Reihenfolge der Auflistung der LEI-Codes muss mit derjenigen der Namen der Finanzunternehmen identisch sein. | Ja, wenn es sich bei dem von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Finanzunter-nehmen nicht um das Unternehmen handelt, das die Meldung übermittelt, und bei einer aggregierten Meldung | Ja, wenn es sich bei dem von dem schwer-wiegenden IKT-bezogenen Vorfall betroffe-nen Finanz-unterneh-men nicht um das Unterneh-men handelt, das die Meldung übermittelt, und bei einer aggre-gierten Meldung | Ja, wenn es sich bei dem von dem schwer-wiegenden IKT-bezogenen Vorfall betroffenen Finanzun-ternehmen nicht um das Unterneh-men handelt, das die Meldung übermittelt, und bei einer aggregierten Meldung | Eindeutiger alphanumerischer Code mit 20 Zeichen nach ISO 17442-1:2020 |
| 1.7. Name des Hauptansprech-partners | Vor- und Nachname des Hauptansprechpartners des Finanzunternehmens. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung der Name des Hauptansprechpartners in dem Unternehmen, das die aggregierte Meldung übermittelt. | Ja | Ja | Ja | Alphanumerisch |
| 1.8. E-Mail-Adresse des Hauptansprech-partners | E-Mail-Adresse des Hauptansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die E-Mail-Adresse des Hauptansprechpartners in dem Unternehmen, das die aggregierte Meldung übermittelt. | Ja | Ja | Ja | Alphanumerisch |
| 1.9. Telefonnummer des Hauptansprech-partners | Telefonnummer des Hauptansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Telefonnummer des Hauptansprechpartners in dem Unternehmen, das die aggregierte Meldung übermittelt. Die Telefonnummer ist mit allen internationalen Vorwahlen anzugeben (z. B. +33 XXXXXXXXX). | Ja | Ja | Ja | Alphanumerisch |
| 1.10. Name des zweiten Ansprech-partners | Vor- und Nachname des zweiten Ansprechpartners oder Name des verantwortlichen Teams des Finanzunternehmens oder des Unternehmens, das die Meldung im Namen des Finanzunternehmens übermittelt | Ja | Ja | Ja | Alphanumerisch |
| 1.11. E-Mail-Adresse des zweiten Ansprech-partners | E-Mail-Adresse des zweiten Ansprechpartners oder die funktionale E-Mail-Adresse des Teams, an die bzw. das sich die zuständige Behörde in der Folgemitteilung wenden kann. | Ja | Ja | Ja | Alphanumerisch |
| 1.12. Telefonnummer des zweiten Ansprech-partners | Telefonnummer des zweiten Ansprechpartners oder eines Teams, an den bzw. das sich die zuständige Behörde in der Folgemitteilung wenden kann. Die Telefonnummer ist mit allen internationalen Vorwahlen anzugeben (z. B. +33 XXXXXXXXX). | Ja | Ja | Ja | Alphanumerisch |
| 1.13. Name des obersten Mutterunter-nehmens | Gegebenenfalls Name des obersten Mutterunternehmens der Gruppe, der das betroffene Finanzunternehmen angehört. | Ja, wenn das Finanzunter-nehmen einer Gruppe angehört | Ja, wenn das Finanz-unterneh-men einer Gruppe angehört | Ja, wenn das Finanzun-ternehmen einer Gruppe angehört | Alphanumerisch |
| 1.14. LEI-Code des obersten Mutterunter-nehmens | Gegebenenfalls LEI-Code des obersten Mutterunternehmens der Gruppe, der das betroffene Finanzunternehmen angehört. Zugewiesen gemäß der Internationalen Organisation für Normung. | Ja, wenn das Finanzunter-nehmen einer Gruppe angehört | Ja, wenn das Finanz-unter-nehmen einer Gruppe angehört | Ja, wenn das Finanzun-ternehmen einer Gruppe angehört | Eindeutiger alphanumerischer Code mit 20 Zeichen nach ISO 17442-1:2020 |
| 1.15. Meldewährung | Währung, die für die Meldung des Vorfalls verwendet wird. | Ja | Ja | Ja | Auswahl ist anhand der ISO 4217 Währungscodes zu treffen |
| Inhalt der Erstmeldung | |||||
| 2.1. Vom Finanzunter-nehmen zugewiesener Referenzcode für den Vorfall | Vom Finanzunternehmen vergebener eindeutiger Referenzcode zur eindeutigen Identifizierung des schwerwiegenden IKT-bezogenen Vorfalls. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung der vom Drittdienstleister zugewiesene Referenzcode für den Vorfall. | Ja | Ja | Ja | Alphanumerisch |
| 2.2. Datum und Uhrzeit der Feststellung des IKT-bezogenen Vorfalls | Datum und Uhrzeit der Kenntnisnahme des IKT-bezogenen Vorfalls durch das Finanzunternehmen. Bei wiederholten Vorfällen das Datum und die Uhrzeit der Feststellung des letzten IKT-bezogenen Vorfalls. | Ja | Ja | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 2.3. Datum und Uhrzeit der Einstufung des Vorfalls als schwerwiegend | Datum und Uhrzeit der Einstufung des IKT-bezogenen Vorfall als schwerwiegend gemäß den in der Delegierten Verordnung (EU) 2024/1772 festgelegten Einstufungskriterien. | Ja | Ja | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 2.4. Beschreibung des IKT-bezogenen Vorfalls | Beschreibung der relevantesten Aspekte des schwerwiegenden IKT-bezogenen Vorfalls. Finanzunternehmen geben einen allgemeinen Überblick über die folgenden Informationen, z. B. mögliche Ursachen, unmittelbare Auswirkungen, betroffene Systeme usw. Finanzunternehmen geben an, sofern bekannt oder nach vernünftigem Ermessen zu erwarten, ob sich der Vorfall auf Drittdienstleister oder andere Finanzunternehmen auswirkt, die Art des Dienstleisters oder Finanzunternehmens, ihren Namen, ihre jeweiligen Identifikationscodes und die Art des Identifikationscodes (z. B. LEI-Code oder EUID). In nachfolgenden Meldungen kann sich der Feldinhalt im Zeitverlauf ändern, um dem jeweils aktuellen Verständnis des IKT-bezogenen Vorfalls Rechnung zu tragen und andere relevante Informationen über den IKT-bezogenen Vorfall zu beschreiben, die nicht von den Datenfeldern erfasst werden, einschließlich der internen Bewertung der Schwere des IKT-bezogenen Vorfalls durch das Finanzunternehmen (z. B. sehr niedrig, niedrig, mittel, hoch, sehr hoch) und eines Hinweises auf Ebene und Name der höchsten Entscheidungsstrukturen, die an der Reaktion auf den IKT-bezogenen Vorfall beteiligt waren. | Ja | Ja | Ja | Alphanumerisch |
| 2.5. Einstufungs- kriterien, die die Meldung des Vorfalls ausgelöst haben | Einstufungskriterien gemäß der Delegierten Verordnung (EU) 2024/1772, die dazu geführt haben, dass der IKT-bezogene Vorfall als schwerwiegender Vorfall eingestuft und gemeldet wurde. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung die Einstufungskriterien, die dazu geführt haben, dass der IKT-bezogene Vorfall für mindestens ein oder mehrere Finanzunternehmen als schwerwiegend eingestuft wurde. | Ja | Ja | Ja | Auswahl (Mehrfachauswahl): — Betroffene Kunden, Gegenparteien im Finanzbereich und Transaktionen; — Reputations-schaden; — Dauer und Ausfallzeiten; — Geografische Ausbreitung; — Datenverluste; — Betroffene kritische Dienstleistun-gen; — Wirtschaftliche Auswirkungen. |
| 2.6. Wesentlichkeits- schwellen für das Einstufungs-kriterium „Geografische Ausbreitung“ | EWR-Mitgliedstaaten, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind. Bei der Bewertung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls in anderen Mitgliedstaaten berücksichtigen Finanzunternehmen die Artikel 4 und 12 der Delegierten Verordnung (EU) 2024/1772. | Ja, wenn der Schwellenwert für „Geografische Ausbreitung“ erreicht ist | Ja, wenn der Schwel-lenwert für „Geogra-fische Ausbrei-tung“ erreicht ist | Ja, wenn der Schwellen-wert für „Geografi-sche Ausbrei-tung“ erreicht ist | Die Auswahl (Mehrfachauswahl) wird mithilfe von ISO 3166 ALPHA-2 der betroffenen Länder ausgefüllt |
| 2.7. Feststellung des schwerwie-genden IKT-bezogenen Vorfalls | Angaben dazu, wie der schwerwiegende IKT-bezogene Vorfall festgestellt wurde. | Ja | Ja | Ja | Auswahl: — IT-Sicherheit; — Personal; — Interne Revision; — Externe Prüfung; — Kunden; — Gegenparteien im Finanzbereich; — Drittdienst-leister; — Angreifer; — Überwa-chungssysteme; — Staatliches Organ/Agentur/Strafverfol-gungsbehörde; — Sonstiges. |
| 2.8. Angaben dazu, ob der Vorfall bei einem Drittdienst-leister oder einem anderen Finanzunter-nehmen seinen Ursprung hat | Angaben dazu, ob der schwerwiegende IKT-bezogene Vorfall bei einem Drittdienstleister oder einem anderen Finanzunternehmen seinen Ursprung hat. Finanzunternehmen geben an, ob der schwerwiegende IKT-bezogene Vorfall bei einem Drittdienstleister oder einem anderen Finanzunternehmen (einschließlich Finanzunternehmen, die derselben Gruppe wie das meldende Unternehmen angehören) seinen Ursprung hat, und nennen den Namen, den Identifikationscode des Drittdienstleisters oder des Finanzunternehmens und die Art des Identifikationscodes (z. B. LEI-Code oder EUID). | Ja, wenn der Vorfall seinen Ursprung bei einem Drittdienst-leister oder einem anderen Finanzunter-nehmen hat | Ja, wenn der Vorfall seinen Ursprung bei einem Dritt-dienst-leister oder einem anderen Finanz-unterneh-men hat | Ja, wenn der Vorfall seinen Ursprung bei einem Drittdienst-leister oder einem anderen Finanzun-ternehmen hat | Alphanumerisch |
| 2.9. Aktivierung des Plans zur Aufrechter-haltung des Geschäfts-betriebs, falls aktiviert | Angabe, ob die Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs des Finanzunternehmens formal aktiviert wurden. | Ja | Ja | Ja | Boolesch (Ja oder Nein) |
| 2.10. Sonstige zweckdienliche Angaben | Alle weiteren Informationen, die nicht in der Vorlage erfasst sind. Finanzunternehmen, die einen schwerwiegenden IKT-bezogenen Vorfall in nicht schwerwiegend zurückgestuft haben, beschreiben die Gründe, aus denen der IKT-bezogene Vorfall die Kriterien für die Einstufung als schwerwiegend nicht erfüllt und voraussichtlich nicht erfüllen wird. | Ja, wenn es andere Informationen gibt, die nicht in der Vorlage erfasst sind, oder wenn der schwerwiegende IKT-bezogene Vorfall in nicht schwerwie-gend zurückgestuft wurde | Ja, wenn es andere Informationen gibt, die nicht in der Vorlage erfasst sind, oder wenn der schwer-wiegende IKT-bezogene Vorfall in nicht schwer-wiegend zurück-gestuft wurde | Ja, wenn es andere Informationen gibt, die nicht in der Vorlage erfasst sind, oder wenn der schwer-wiegende IKT-bezogene Vorfall in nicht schwer-wiegend zurück-gestuft wurde | Alphanumerisch |
| Inhalt der Zwischenmeldung | |||||
| 3.1. Von der zuständigen Behörde bereitgestellter Referenzcode für den Vorfall | Von der zuständigen Behörde zum Zeitpunkt des Eingangs der Erstmeldung zugewiesener eindeutiger Referenzcode zur eindeutigen Identifizierung des schwerwiegenden IKT-bezogenen Vorfalls. | Nein | Ja, falls zutreffend | Ja, falls zutreffend | Alphanumerisch |
| 3.2. Datum und Uhrzeit des Eintretens des Vorfalls | Datum und Uhrzeit des Eintretens des schwerwiegenden IKT-bezogenen Vorfalls, falls abweichend von dem Zeitpunkt, zu dem das Finanzunternehmen von dem schwerwiegenden IKT-bezogenen Vorfall Kenntnis erlangt hat. Bei wiederholten schwerwiegenden IKT-bezogenen Vorfällen Datum und Uhrzeit des Eintretens des letzten schwerwiegenden IKT-bezogenen Vorfalls. | Nein | Ja | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 3.3. Datum und Uhrzeit der Wiederher-stellung der Dienste, Tätigkeiten oder Vorgänge | Angaben zu Datum und Uhrzeit der Wiederherstellung der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Dienste, Tätigkeiten oder Vorgänge. | Nein | Ja, wenn Datenfeld 3.16 „Ausfall-zeiten“ ausgefüllt wurde | Ja, wenn Datenfeld 3.16 „Ausfall-zeiten“ ausgefüllt wurde | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 3.4. Anzahl der betroffenen Kunden | Anzahl der Kunden, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind und die Dienste des Finanzunternehmens in Anspruch nehmen. Bei der Ermittlung der Anzahl der betroffenen Kunden berücksichtigen Finanzunternehmen Artikel 1 Absatz 1 und Artikel 9 Absatz 1 Buchstabe b der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das die tatsächliche Anzahl der betroffenen Kunden nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Gesamtzahl der betroffenen Kunden in allen Finanzunternehmen. | Nein | Ja | Ja | Numerische ganze Zahl |
| 3.5. Prozentsatz der betroffenen Kunden | Prozentsatz der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Kunden im Verhältnis zur Gesamtzahl der Kunden, die die betroffenen Dienste des Finanzunternehmens in Anspruch nehmen. Bei mehr als einer betroffenen Dienstleistung werden die Dienstleistungen aggregiert. Finanzunternehmen berücksichtigen bei der Ermittlung der Zahlen die Artikel 1 Absatz 1 und Artikel 9 Absatz 1 Buchstabe a der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das den tatsächlichen Prozentsatz der betroffenen Kunden nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung teilt das Finanzunternehmen die Summe aller betroffenen Kunden durch die Gesamtzahl der Kunden aller betroffenen Finanzunternehmen. | Nein | Ja | Ja | Wird als Prozentwert mitgeteilt — ein Wert mit bis zu fünf numerischen Zeichen, die bis zu eine Dezimalstelle umfassen, ausgedrückt als Prozentsatz (z. B. 2,4, nicht 2,4 %). Hat der Wert mehr als eine Stelle nach dem Dezimaltrenn-zeichen, wenden die meldenden Gegenparteien die kaufmännische Rundung an. |
| 3.6. Anzahl der betroffenen Gegenparteien im Finanzbereich | Anzahl der Gegenparteien im Finanzbereich, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind und einen Vertrag mit dem Finanzunternehmen geschlossen haben. Bei der Ermittlung der Anzahl der betroffenen Gegenparteien im Finanzbereich berücksichtigen die Finanzunternehmen Artikel 1 Absatz 2 der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das die tatsächliche Anzahl der betroffenen Gegenparteien im Finanzbereich nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung die Gesamtzahl der betroffenen Gegenparteien im Finanzbereich in allen Finanzunternehmen. | Nein | Ja | Ja | Numerische ganze Zahl |
| 3.7. Prozentsatz der betroffenen Gegenparteien im Finanzbereich | Prozentsatz der Gegenparteien im Finanzbereich, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind und einen Vertrag mit dem Finanzunternehmen geschlossen haben, im Verhältnis zur Gesamtzahl der Gegenparteien im Finanzbereich. Bei der Ermittlung des Prozentsatzes der betroffenen Gegenparteien im Finanzbereich berücksichtigen die Finanzunternehmen die Artikel 1 Absatz 1 und Artikel 9 Absatz 1 Buchstabe c der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das den tatsächlichen Prozentsatz der betroffenen Gegenparteien im Finanzbereich nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung ist die Summe aller betroffenen Gegenparteien im Finanzbereich geteilt durch die Gesamtzahl der Gegenparteien im Finanzbereich aller betroffenen Finanzunternehmen anzugeben. | Nein | Ja | Ja | Wird als Prozentwert mitgeteilt — ein Wert mit bis zu fünf numerischen Zeichen, die bis zu eine Dezimalstelle umfassen, ausgedrückt als Prozentsatz (z. B. 2,4, nicht 2,4 %). Hat der Wert mehr als eine Stelle nach dem Dezimaltrenn-zeichen, wenden die meldenden Gegenparteien die kaufmännische Rundung an. |
| 3.8. Auswirkungen auf einschlägige Kunden oder Gegenparteien im Finanzbereich | Festgestellte Auswirkungen auf relevante Kunden oder Gegenparteien im Finanzbereich gemäß Artikel 1 Absatz 3 und Artikel 9 Absatz 1 Buchstabe f der Delegierten Verordnung (EU) 2024/1772. | Nein | Ja, wenn der Schwel-lenwert für „Relevanz der Kunden und der Gegen-parteien im Finanz-bereich“ erreicht ist | Ja, wenn der Schwellen-wert für „Relevanz der Kunden und der Gegenparteien im Finanz-bereich“ erreicht ist | Boolesch (Ja oder Nein) |
| 3.9. Anzahl der betroffenen Transaktionen | Anzahl der Transaktionen, die von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind. Bei der Bewertung der Auswirkungen auf Transaktionen berücksichtigen die Finanzunternehmen Artikel 1 Absatz 4 der Delegierten Verordnung (EU) 2024/1772; dies schließt alle betroffenen inländischen und grenzüberschreitenden Transaktionen ein, die einen Geldbetrag beinhalten, der mindestens teilweise mit einer in der Union ausgeführten Transaktion in Zusammenhang steht. Ein Finanzunternehmen, das die tatsächliche Anzahl der betroffenen Transaktionen nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung ist die Gesamtzahl der betroffenen Transaktionen in allen Finanzunternehmen anzugeben. | Nein | Ja, wenn eine Transak-tion von dem Vorfall betroffen war | Ja, wenn eine Transaktion von dem Vorfall betroffen war | Numerische ganze Zahl |
| 3.10. Prozentsatz der betroffenen Transaktionen | Prozentsatz der betroffenen Transaktionen im Verhältnis zur durchschnittlichen Anzahl inländischer und grenzüberschreitender Transaktionen des Finanzunternehmens im Zusammenhang mit der betroffenen Dienstleistung. Finanzunternehmen berücksichtigen die Artikel 1 Absatz 4 und Artikel 9 Absatz 1 Buchstabe d der Delegierten Verordnung (EU) 2024/1772. Ein Finanzunternehmen, das den tatsächlichen Prozentsatz der betroffenen Transaktionen nicht bestimmen kann, verwendet Schätzungen. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung teilt das Finanzunternehmen die Summe aller betroffenen Transaktionen durch die Gesamtzahl der Transaktionen aller betroffenen Finanzunternehmen. | Nein | Ja, wenn eine Transak-tion von dem Vorfall betroffen war | Ja, wenn eine Transaktion von dem Vorfall betroffen war | Wird als Prozentwert mitgeteilt — ein Wert mit bis zu fünf numerischen Zeichen, die bis zu eine Dezimalstelle umfassen, ausgedrückt als Prozentsatz (z. B. 2,4, nicht 2,4 %). Hat der Wert mehr als eine Stelle nach dem Dezimaltrenn-zeichen, wenden die meldenden Gegenparteien die kaufmännische Rundung an. |
| 3.11. Wert der betroffenen Transaktionen | Der Gesamtwert der von dem schwerwiegenden IKT-bezogenen Vorfall betroffenen Transaktionen wird gemäß Artikel 1 Absatz 4 und Artikel 9 Absatz 1 Buchstabe e der Delegierten Verordnung (EU) 2024/1772 ermittelt. Ein Finanzunternehmen, das den tatsächlichen Wert der betroffenen Transaktionen nicht bestimmen kann, verwendet Schätzungen auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. Ein Finanzunternehmen hat den Geldbetrag als positiven Wert auszuweisen. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung der Gesamtwert der betroffenen Transaktionen in allen Finanzunternehmen. | Nein | Ja, wenn Transaktionen von dem Vorfall betroffen waren | Ja, wenn eine Transaktion von dem Vorfall betroffen war | Monetär Finanzunternehmen weisen den Datenpunkt mit einer Mindestpräzision aus, die tausend Einheiten entspricht (z. B. 2,5, nicht 2 500 EUR). |
| 3.12. Angaben dazu, ob es sich um tatsächliche Zahlen oder Schätzungen handelt oder ob es keine Auswirkungen gegeben hat | Angaben dazu, ob es sich bei den in den Datenfeldern 3.4 bis 3.11 ausgewiesenen Werten um tatsächliche Werte oder Schätzungen handelt oder ob es keine Auswirkungen gegeben hat. | Nein | Ja | Ja | Auswahl (Mehrfachauswahl): — Tatsächliche Zahlen zu den betroffenen Kunden; — tatsächliche Zahlen zu den betroffenen Gegenparteien im Finanzbereich; — tatsächliche Zahlen zu den betroffenen Transaktionen; — Schätzungen zu den betroffenen Kunden; — Schätzungen zu den betroffenen Gegenparteien im Finanzbereich; — Schätzungen zu den betroffenen Transaktionen; — keine Auswirkungen auf Kunden; — keine Auswirkungen auf Gegenparteien im Finanzbereich; — keine Auswirkungen auf Transaktionen. |
| 3.13. Reputations- schaden | Angaben zum Reputationsschaden infolge des schwerwiegenden IKT-bezogenen Vorfalls im Sinne der Artikel 2 und 10 der Delegierten Verordnung (EU) 2024/1772. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Kategorien von Reputationsschaden, die auf mindestens ein Finanzunternehmen zutreffen. | Nein | Ja, wenn das Kriterium „Reputa-tions-schaden“ erfüllt ist | Ja, wenn das Kriterium „Reputa-tions-schaden“ erfüllt ist | Auswahl (Mehrfachauswahl): — Über den schwerwie-genden IKT-bezogenen Vorfall wurde in den Medien berichtet; — der schwerwie-gende IKT-bezogene Vorfall hat zu wiederholten Beschwerden verschiedener Kunden oder Gegenparteien im Finanzbereich über kunden-orientierte Dienstleistun-gen oder kritische Geschäfts-beziehungen geführt; — das Finanzunter-nehmen wird aufgrund des schwerwie-genden IKT-bezogenen Vorfalls nicht oder wahrscheinlich nicht in der Lage sein, regulatorische Anforderungen zu erfüllen; — das Finanzunter-nehmen wird infolge des schwerwiegenden IKT-bezogenen Vorfalls Kunden oder Gegenparteien im Finanzbereich verlieren oder wahrscheinlich verlieren, was wesentliche Auswirkungen auf seine Geschäfts-tätigkeit haben wird. |
| 3.14. Kontextbezo-gene Angaben zum Reputations-schaden | Angaben dazu, wie der schwerwiegende IKT-bezogene Vorfall die Reputation des Finanzunternehmens beeinträchtigt hat oder beeinträchtigen könnte, einschließlich Verstößen gegen Rechtsvorschriften, nicht erfüllter regulatorischer Anforderungen, Anzahl der Kundenbeschwerden usw. Die kontextbezogenen Angaben umfassen die Art der Medien (z. B. traditionelle und digitale Medien, Blogs, Streaming-Plattformen) und die Medienberichterstattung, einschließlich der Reichweite der Medien (lokal, national, international). Die Medienberichterstattung bezieht sich in diesem Zusammenhang nicht auf vereinzelte negative Kommentare von Followern oder Nutzern sozialer Netzwerke. Das Finanzunternehmen gibt auch an, ob die Medienberichterstattung erhebliche Risiken für seine Kunden im Zusammenhang mit dem schwerwiegenden IKT-bezogenen Vorfall aufgezeigt hat, einschließlich des Risikos der Insolvenz des Finanzunternehmens oder des Risikos, Mittel zu verlieren. Die Finanzunternehmen geben auch an, ob sie den Medien Informationen zur Verfügung gestellt haben, die dazu dienten, die Öffentlichkeit zuverlässig über den schwerwiegenden IKT-bezogenen Vorfall und seine Folgen zu informieren. Die Finanzunternehmen können auch angeben, ob in den Medien im Zusammenhang mit dem IKT-bezogenen Vorfall Falschinformationen verbreitet wurden, worunter auch solche fallen, die sich auf vorsätzlich vom Angreifer verbreitete Falschinformationen stützen, oder die mutwillige Veränderung der Website des Finanzunternehmens betreffen oder zum Ausdruck bringen. | Nein | Ja, wenn das Kriterium „Reputa-tions-schaden“ erfüllt ist | Ja, wenn das Kriterium „Reputa-tions-schaden“ erfüllt ist | Alphanumerisch |
| 3.15. Dauer des Vorfalls | Finanzunternehmen bestimmen die Dauer des schwerwiegenden IKT-bezogenen Vorfalls vom Zeitpunkt des Eintretens des schwerwiegenden IKT-bezogenen Vorfalls bis zu dem Zeitpunkt, zu dem der Vorfall behoben wurde. Finanzunternehmen, die nicht in der Lage sind, den Zeitpunkt zu bestimmen, zu dem der schwerwiegende IKT-bezogene Vorfall eingetreten ist, bestimmen die Dauer des schwerwiegenden IKT-bezogenen Vorfalls ab dem Zeitpunkt, zu dem das Finanzunternehmen den Vorfall festgestellt hat, bis zu dem Zeitpunkt, zu dem das Finanzunternehmen den Vorfall in Netzwerk- oder Systemprotokollen oder anderen Datenquellen aufgezeichnet hat, je nachdem, welcher Zeitpunkt zuerst eintritt. Finanzunternehmen, die den Zeitpunkt der Behebung des schwerwiegenden IKT-bezogenen Vorfalls noch nicht kennen, verwenden Schätzungen. Der Wert ist in Tagen, Stunden und Minuten anzugeben. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung bestimmen Finanzunternehmen bei Unterschieden zwischen den Finanzunternehmen die längste Dauer des schwerwiegenden IKT-bezogenen Vorfalls. | Nein | Ja | Ja | TT:HH:MM |
| 3.16. Ausfallzeiten | Ausfallzeiten, gemessen ab dem Zeitpunkt, zu dem der Dienst für Kunden, Gegenparteien im Finanzbereich oder andere interne oder externe Nutzer vollständig oder teilweise nicht mehr verfügbar ist, bis zu dem Zeitpunkt, zu dem die regulären Tätigkeiten oder Vorgänge in dem vor dem schwerwiegenden IKT-bezogenen Vorfall herrschenden Umfang wiederhergestellt sind. Führen die Ausfallzeiten nach der Wiederherstellung der regulären Tätigkeiten oder Vorgänge zu einer Verzögerung bei der Bereitstellung von Dienstleistungen, so messen die Finanzunternehmen die Ausfallzeiten vom Beginn des schwerwiegenden IKT-bezogenen Vorfalls bis zu dem Zeitpunkt, zu dem die verzögerte Dienstleistung erbracht ist. Finanzunternehmen, die den Beginn der Ausfallzeiten nicht bestimmen können, messen die Dauer der Ausfallzeiten ab dem Zeitpunkt der Feststellung des Vorfalls bis zu dem Zeitpunkt, zu dem sie aufgezeichnet wurde, je nachdem, welcher Zeitpunkt zuerst eintritt. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung bestimmen Finanzunternehmen bei Unterschieden zwischen den Finanzunternehmen die längste Dauer der Ausfallzeiten. | Nein | Ja, wenn der Vorfall zu Ausfall-zeiten geführt hat | Ja, wenn der Vorfall zu Ausfall-zeiten geführt hat | TT:HH:MM |
| 3.17. Angaben dazu, ob es sich bei der Dauer und den Ausfallzeiten um tatsächliche Zahlen oder Schätzungen handelt | Angaben dazu, ob es sich bei den in den Datenfeldern 3.15 und 3.16 ausgewiesenen Werten um tatsächliche Werte oder Schätzungen handelt. | Nein | Ja, wenn das Kriterium „Dauer und Ausfall-zeiten“ erfüllt ist | Ja, wenn das Kriterium „Dauer und Ausfall-zeiten“ erfüllt ist | Auswahl: — Tatsächliche Zahlen; — Schätzungen; — tatsächliche Zahlen und Schätzungen; — keine Informationen verfügbar. |
| 3.18. Arten von Auswirkungen in den Mitgliedstaaten | Art der Auswirkung in den jeweiligen EWR-Mitgliedstaaten. Angabe, ob der schwerwiegende IKT-bezogene Vorfall Auswirkungen in anderen EWR-Mitgliedstaaten (ausgenommen der Mitgliedstaat der zuständigen Behörde, der der Vorfall direkt gemeldet wird) gemäß Artikel 4 der Delegierten Verordnung (EU) 2024/1772 hat und insbesondere im Hinblick auf die Bedeutung der Auswirkungen in Bezug auf: a) betroffene Kunden und Gegenparteien im Finanzbereich in anderen Mitgliedstaaten oder b) Zweigniederlassungen oder andere Finanzunternehmen innerhalb der Gruppe, die in anderen Mitgliedstaaten tätig sind, oder c) Finanzmarktinfrastrukturen oder Drittdienstleister mit möglichen Auswirkungen auf Finanzunternehmen in anderen Mitgliedstaaten, für die sie Dienstleistungen erbringen, soweit diese Informationen verfügbar sind. | Nein | Ja, wenn der Schwel-lenwert für „Geogra-fische Ausbrei-tung“ erreicht ist | Ja, wenn der Schwellen-wert für „Geogra-fische Ausbreitung“ erreicht ist | Auswahl (Mehrfachauswahl): — Kunden; — Gegenparteien im Finanzbereich; — Zweigniederlassung des Finanzunternehmens; — Finanzunternehmen innerhalb der Gruppe, die in dem betreffenden Mitgliedstaat tätig sind; — Finanzmarktinfra-struktur; — Drittdienstleister, die möglicherweise auch von anderen Finanzunternehmen in Anspruch genommen werden. |
| 3.19. Beschreibung der Auswirkungen des Vorfalls in anderen Mitgliedstaaten | Beschreibung der Auswirkungen und Schwere des schwerwiegenden IKT-bezogenen Vorfalls in jedem betroffenen Mitgliedstaat, einschließlich einer Bewertung der Auswirkungen und Schwere in Bezug auf: a) Kunden; b) Gegenparteien im Finanzbereich; c) Zweigniederlassungen des Finanzunternehmens; d) Andere Finanzunternehmen innerhalb der Gruppe, die in anderen Mitgliedstaaten tätig sind; e) Finanzmarktinfrastrukturen; f) Drittdienstleister, die möglicherweise auch von anderen Finanzunternehmen in anderen Mitgliedstaaten in Anspruch genommen werden. | Nein | Ja, wenn der Schwel-lenwert für „Geogra-fische Ausbrei-tung“ erreicht ist | Ja, wenn der Schwellen-wert für „Geogra-fische Ausbrei-tung“ erreicht ist | Alphanumerisch |
| 3.20. Wesentlich- keitsschwellen für das Einstufungs-kriterium „Datenverluste“ | Art der mit dem schwerwiegenden IKT-bezogenen Vorfall verbundenen Verfügbarkeits-, Authentizitäts-, Integritäts- und Vertraulichkeitsverluste von Daten. Finanzunternehmen berücksichtigen bei ihrer Bewertung die Artikel 5 und 13 der Delegierten Verordnung (EU) 2024/1772. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Datenverluste, die mindestens ein Finanzunternehmen betreffen. | Nein | Ja, wenn das Kriterium „Daten-verluste“ erfüllt ist | Ja, wenn das Kriterium „Daten-verluste“ erfüllt ist | Auswahl (Mehrfachauswahl): — Verfügbarkeit; — Authentizität; — Integrität; — Vertraulichkeit. |
| 3.21. Beschreibung der Datenverluste | Beschreibung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit kritischer Daten gemäß den Artikeln 5 und 13 der Delegierten Verordnung (EU) 2024/1772. Angaben zu den Auswirkungen auf die Umsetzung der Geschäftsziele des Finanzunternehmens oder auf die Erfüllung regulatorischer Anforderungen. Als Teil der bereitgestellten Informationen geben Finanzunternehmen an, ob es sich bei den betroffenen Daten um Kundendaten, Daten anderer Unternehmen (z. B. Gegenparteien im Finanzbereich) oder um Daten des Finanzunternehmens selbst handelt. Das Finanzunternehmen kann auch die Art der von dem Vorfall betroffenen Daten angeben, insbesondere, ob die Daten vertraulich sind und um welche Art von Vertraulichkeit es sich handelt (z. B. Geschäftsgeheimnisse, personenbezogene Daten, Berufsgeheimnis wie etwa Bankgeheimnis, Versicherungsgeheimnis, Zahlungsdienstegeheimnis usw.). Die Informationen können auch mögliche Risiken im Zusammenhang mit den Datenverlusten umfassen, z. B. ob die von dem Vorfall betroffenen Daten zur Identifizierung einzelner Personen verwendet werden können und von dem Angreifer genutzt werden könnten, um Kredite oder Darlehen ohne die Zustimmung dieser Personen zu erhalten, Spear-Phishing-Angriffe durchzuführen oder Informationen öffentlich preiszugeben. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung eine allgemeine Beschreibung der Auswirkungen des Vorfalls auf die betroffenen Finanzunternehmen. Gibt es Unterschiede bei den Auswirkungen, so sind in der Beschreibung der Auswirkungen die spezifischen Auswirkungen auf die verschiedenen Finanzunternehmen eindeutig anzugeben. | Nein | Ja, wenn das Kriterium „Daten-verluste“ erfüllt ist | Ja, wenn das Kriterium „Daten-verluste“ erfüllt ist | Alphanumerisch |
| 3.22. Einstufungs- kriterium „Betroffene kritische Dienstleistun-gen“ | Angaben beim Kriterium „Betroffene kritische Dienstleistungen“. Finanzunternehmen berücksichtigen bei ihrer Bewertung Artikel 6 der Delegierten Verordnung (EU) 2024/1772, einschließlich Informationen über — die betroffenen Dienstleistungen oder Tätigkeiten, die einer Zulassung oder Registrierung bedürfen oder von den zuständigen Behörden beaufsichtigt werden, oder — die IKT-Dienste oder Netzwerk- und Informationssysteme, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen, und — die Art des böswilligen und unbefugten Zugriffs auf die Netzwerk- und Informationssysteme des Finanzunternehmens. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung die Auswirkungen auf kritische Dienstleistungen, die auf mindestens ein Finanzunternehmen zutreffen. | Nein | Ja | Ja | Alphanumerisch |
| 3.23. Art des Vorfalls | Einstufung der Vorfälle nach Art. | Nein | Ja | Ja | Auswahl (Mehrfachauswahl): — Cybersicherheits-bezogen; — Prozessversagen; — Systemversagen; — Externes Ereignis; — Zahlungsbezogen; — Sonstiges (bitte angeben). |
| 3.24. Andere Arten von Vorfällen | Andere Arten von IKT-bezogenen Vorfällen: Finanzunternehmen, die im Datenfeld 3.23 „Sonstiges“ als Art des Vorfalls ausgewählt haben, geben die Art des IKT-bezogenen Vorfalls an. | Nein | Ja, wenn in Datenfeld 3.23 „Sonsti-ges“ als Art des Vorfalls ausge-wählt wurde | Ja, wenn in Datenfeld 3.23 „Sonstiges“ als Art des Vorfalls ausgewählt wurde | Alphanumerisch |
| 3.25. Bedrohungen und Techniken des Angreifers | Geben Sie die Bedrohungen und Techniken an, die der Angreifer einsetzt, wie zum Beispiel: a) Social Engineering, einschließlich Phishing; b) (D)DoS; c) Identitätsdiebstahl; d) Datenverschlüsselung mit weitergehenden Folgen, einschließlich Ransomware; e) Kaperung von Ressourcen; f) Datenexfiltration und -manipulation, ausgenommen Identitätsdiebstahl; g) Datenvernichtung; h) mutwillige Veränderung (Defacement); i) Lieferkettenangriff; j) Sonstiges (bitte angeben). | Nein | Ja, wenn als Art des IKT-bezogenen Vorfalls in Feld 3.23 „Cyber-sicher-heitsbezo-gen“ ausge-wählt wurde | Ja, wenn als Art des IKT-bezogenen Vorfalls in Feld 3.23 „Cyber-sicherheits-bezogen“ ausgewählt wurde | Auswahl (Mehrfachauswahl): — Social Engineering (einschließlich Phishing); — (D)DoS; — Identitätsdiebstahl; — Datenverschlüsse-lung mit weitergehenden Folgen, einschließlich Ransomware; — Kaperung von Ressourcen; — Datenexfiltration und -manipulation, einschließlich Identitätsdiebstahl; — Datenvernichtung; — mutwillige Veränderung (Defacement); — Lieferkettenangriff; — Sonstiges (bitte angeben). |
| 3.26. Andere Arten von Techniken | Andere Arten von Techniken Finanzunternehmen, die im Datenfeld 3.25 „Sonstiges“ als Art der Technik ausgewählt haben, geben die Art der Technik an. | Nein | Ja, wenn in Datenfeld 3.25 „Sonstiges“ als Art der Technik ausge-wählt wurde | Ja, wenn in Datenfeld 3.25 „Sonstiges“ als Art der Technik ausgewählt wurde | Alphanumerisch |
| 3.27. Angaben zu betroffenen Funktions-bereichen und Geschäfts-prozessen | Angabe der Funktionsbereiche und Geschäftsprozesse, die von dem Vorfall betroffen sind, einschließlich Produkten und Dienstleistungen. Die Funktionsbereiche umfassen unter anderem: a) Marketing und Geschäftsentwicklung; b) Kundenservice; c) Produktmanagement; d) Rechtskonformität; e) Risikomanagement; f) Finanz- und Rechnungswesen; g) Personal und allgemeine Dienstleistungen; h) Informationstechnologie. Die Geschäftsprozesse umfassen unter anderem: — Kontoinformationen; — Dienstleistungen im Bereich Versicherungsmathematik; — Annahme und Abrechnung („Acquiring“) von Zahlungsvorgängen; — Authentifizierung/Autorisierung; — Verfasser; — Kunden-Onboarding; — Benefit-Management; — Management von Benefit-Zahlungen; — Kauf und Verkauf von Pauschalversicherungen zwischen Versicherungen; — Kartenzahlungen; — Liquiditätsmanagement; — Platzierung oder Entnahme von Bargeld; — Management von Versicherungsansprüchen; — Schadenregulierung; — Clearing; — Unternehmenskreditkonglomerate; — Kollektivversicherungen; — Überweisungen; — Verwahrung von Vermögenswerten; — Kunden-Onboarding; — Datenaufnahme; — Datenverarbeitung; — Lastschriften; — Ausfuhrversicherungen; — Finalisierung von Geschäften/Abschlüssen; — Platzierung von Finanzinstrumenten; — Fondsbuchhaltung; — Devisen; — Anlageberatung; — Anlageverwaltung; — Emission von Zahlungsinstrumenten; — Kreditmanagement; — Zahlungsverfahren für Lebensversicherungen; — Finanztransfer; — Berechnung des Nettovermögens; — Order; — Zahlungsauslösung; — Abschluss von Versicherungen; — Portfolioverwaltung; — Prämieneinzug; — Empfang/Übermittlung/Ausführung; — Rückversicherung; — Abwicklung; — Transaktionsüberwachung. Bei einer aggregierten Meldung gemäß Artikel 7 der vorliegenden Verordnung die betroffenen Funktionsbereiche und Geschäftsprozesse bei mindestens einem Finanzunternehmen. | Nein | Ja | Ja | Alphanumerisch |
| 3.28. Betroffene Infrastruktur-komponenten, die Geschäftspro-zesse unterstützen | Angaben dazu, ob Infrastrukturkomponenten (Server, Betriebssysteme, Software, Anwendungsserver, Middleware, Netzwerkkomponenten usw.), die Geschäftsprozesse unterstützen, von dem schwerwiegenden IKT-bezogenen Vorfall betroffen sind. | Nein | Ja | Ja | Auswahl: — Ja; — Nein; — keine Informationen verfügbar. |
| 3.29. Angaben zu betroffenen Infrastruktur-komponenten, die Geschäfts-prozesse unterstützen | Beschreibung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf Infrastrukturkomponenten, die Geschäftsprozesse unterstützen, einschließlich Hardware und Software. Hardware umfasst Server, Computer, Rechenzentren, Switches, Router und Hubs. Software umfasst Betriebssysteme, Anwendungen, Datenbanken, Sicherheitstools und Netzwerkkomponenten. Bei „Sonstiges“ bitte Angaben machen. In den Beschreibungen sind die betroffenen Infrastrukturkomponenten oder -systeme zu beschreiben oder zu benennen und, soweit verfügbar, folgende Angaben zu machen: a) Versionsinformationen; b) Interne Infrastruktur/Teilweise ausgelagert/Vollständig ausgelagert — Name des Drittdienstleisters; c) Ob die Infrastruktur von mehreren Geschäftsfunktionen separat/gemeinsam genutzt wird; d) Ob einschlägige Regelungen zur Resilienz/Kontinuität/Wiederherstellung/Substituierbarkeit getroffen wurden. | Nein | Ja, wenn der Vorfall Infra-struktur-komponenten beein-trächtigt hat, die Geschäfts-prozesse unter-stützen | Ja, wenn der Vorfall Infra-struktur-kompo-nenten beeinträch-tigt hat, die Geschäfts-prozesse unterstützen | Alphanumerisch |
| 3.30. Auswirkungen auf die finanziellen Interessen von Kunden | Angaben dazu, ob sich der schwerwiegende IKT-bezogene Vorfall auf die finanziellen Interessen der Kunden ausgewirkt hat. | Nein | Ja | Ja | Auswahl: — Ja; — Nein; — keine Informationen verfügbar. |
| 3.31. Meldung an andere Behörden | Angabe, welche Behörden über den schwerwiegenden IKT-bezogenen Vorfall informiert wurden. Unter Berücksichtigung der Unterschiede, die sich aus den nationalen Rechtsvorschriften der Mitgliedstaaten ergeben, ist der Begriff der Strafverfolgungsbehörde von den Finanzunternehmen im weitesten Sinne so zu verstehen, dass er Behörden umfasst, die zur Verfolgung von Cyberkriminalität befugt sind, einschließlich Polizei, Organe zur Aufrechterhaltung der öffentlichen Ordnung und Staatsanwaltschaften. | Nein | Ja | Ja | Auswahl (Mehrfachauswahl): — Polizei/Straf-verfolgung; — CSIRT; — Datenschutz-behörde; — nationale Agentur für Cyber-sicherheit; — keine; — andere (bitte angeben). |
| 3.32. Angabe der „anderen“ Behörden | Angabe, welche „anderen“ Behörden über den schwerwiegenden IKT-bezogenen Vorfall informiert wurden. Falls in Datenfeld 3.31 „Andere“ ausgewählt wurde: In die Beschreibung sind nähere Informationen über die Behörde, der das Finanzunternehmen Informationen über den schwerwiegenden IKT-bezogenen Vorfall übermittelt hat, aufzunehmen. | Nein | Ja, wenn das Finanz-unterneh-men „andere“ Behörden über den schwer-wiegenden IKT-bezogenen Vorfall informiert hat | Ja, wenn das Finanzun-ternehmen „andere“ Behörden über den schwer-wiegenden IKT-bezogenen Vorfall informiert hat | Alphanumerisch |
| 3.33. Ergriffene oder geplante befristete Maßnahmen zur Wiederher-stellung nach dem Vorfall | Angabe, ob das Finanzunternehmen befristete Maßnahmen umgesetzt hat (oder dies plant), die ergriffen wurden (oder geplant sind), um den normalen Geschäftsbetrieb nach dem schwerwiegenden IKT-bezogenen Vorfall wiederherzustellen. | Nein | Ja | Ja | Boolesch (Ja oder Nein) |
| 3.34. Beschreibung etwaiger ergriffener oder geplanter befristeter Maßnahmen zur Wiederher-stellung nach dem Vorfall | Es ist zu beschreiben, welche Sofortmaßnahmen ergriffen wurden, einschließlich der Isolierung des Vorfalls auf Netzwerkebene, der Aktivierung von Workaround-Verfahren, der Sperrung von USB-Ports, der Aktivierung der Site für die Wiederherstellung im Notfall und anderer vorübergehend eingerichteter zusätzlicher Sicherheitsmechanismen. Finanzunternehmen geben das Datum und die Uhrzeit der Umsetzung der befristeten Maßnahmen sowie den voraussichtlichen Zeitpunkt der Rückkehr zur primären Site an. Bei befristeten Maßnahmen, die nicht umgesetzt wurden, aber noch geplant sind, ist das Datum anzugeben, bis zu dem sie voraussichtlich umgesetzt werden. Falls keine befristeten Maßnahmen ergriffen wurden, bitte den Grund angeben. | Nein | Ja, wenn befristete Maß-nahmen ergriffen wurden oder geplant sind (Daten-feld 3.33) | Ja, wenn befristete Maßnahmen ergriffen wurden oder geplant sind (Daten-feld 3.33) | Alphanumerisch |
| 3.35. Kompromittie- rungsindika-toren | Gegebenenfalls Informationen im Zusammenhang mit dem schwerwiegenden IKT-bezogenen Vorfall, die dazu beitragen können, böswillige Aktivitäten innerhalb eines Netzwerks oder Informationssystems zu erkennen (Kompromittierungsindikatoren). Das Feld betrifft nur Finanzunternehmen, die in den Anwendungsbereich der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates (1) fallen, und Finanzunternehmen, die gegebenenfalls gemäß den nationalen Vorschriften zur Umsetzung des Artikels 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Unternehmen ermittelt wurden. Die von dem Finanzunternehmen bereitgestellten Kompromittierungsindikatoren enthalten die folgenden Datenkategorien: a) IP-Adressen; b) URL-Adressen; c) Domains; d) Datei-Hashes; e) Daten zu Schadsoftware (Name der Schadsoftware, Dateinamen und ihre Speicherorte, spezifische Registrierungsschlüssel im Zusammenhang mit Schadsoftware-Aktivitäten); f) Daten zu Netzaktivitäten (Ports, Protokolle, Adressen, Referrer, User Agents, Header, spezifische Protokolle oder auffällige Muster im Netzwerkverkehr); g) Daten zu E-Mail-Nachrichten (Absender, Empfänger, Betreff, Header, Inhalt); h) DNS-Anfragen und Registrierungskonfigurationen; i) Nutzerkontoaktivitäten (Anmeldungen, Kontoaktivitäten privilegierter Nutzer, Rechteausweitung); j) Datenbankverkehr (Lesen/Schreiben), Anfragen für dieselbe Datei. Diese Art von Informationen kann in der Praxis Daten umfassen, die sich unter anderem auf Indikatoren, die Muster im Netzwerkverkehr im Zusammenhang mit bekannten Angriffen/Botnetkommunikation beschreiben, IP-Adressen von mit Schadsoftware infizierten Rechnern (Bots), Daten über von Schadsoftware genutzte „Command and Control“-Server (in der Regel Domains oder IP-Adressen) und URLs in Bezug auf Phishing-Websites oder Websites, bei denen beobachtet wurde, dass sie für das Hosting von Schadsoftware oder Exploit Kits genutzt werden, beziehen. | Nein | Ja, wenn „Cyber-sicher-heitsbe-zogen“ als Art des Vorfalls in Datenfeld 3.23 ausge-wählt wurde | Ja, wenn „Cyber-sicherheits-bezogen“ als Art des Vorfalls in Daten-feld 3.23 ausgewählt wurde | Alphanumerisch |
| Inhalt der Abschlussmeldung | |||||
| 4.1. Übergeordnete Einstufung der Ursachen des Vorfalls | Übergeordnete Einstufung der Ursache des schwerwiegenden IKT-bezogenen Vorfalls bei den Arten von Vorfällen, einschließlich der folgenden übergeordneten Kategorien: a) Böswillige Handlungen; b) Prozessversagen; c) Systemversagen/-störung; d) menschliches Versagen; e) externes Ereignis. | Nein | Nein | Ja | Auswahl (Mehrfachauswahl): — Böswillige Handlungen; — Prozess-versagen; — System-versagen/-störung; — menschliches Versagen; — externes Ereignis. |
| 4.2. Detaillierte Einstufung der Ursachen des Vorfalls | Detaillierte Einstufung der Ursachen des schwerwiegenden IKT-bezogenen Vorfalls bei den Arten von Vorfällen, einschließlich der folgenden detaillierten Kategorien im Zusammenhang mit den in Datenfeld 4.1 ausgewiesenen übergeordneten Kategorien: 1. Böswillige Handlungen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Vorsätzliche interne Handlungen; b) vorsätzliche physische Schäden/Manipulation/Diebstahl; c) betrügerische Handlungen. 2. Prozessversagen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Unzureichende Überwachung oder mangelhafte Überwachung und Kontrolle; b) unzureichende/unklare Rollen und Zuständigkeiten; c) Versagen des IKT-Risikomanagementprozesses; d) unzureichende oder nicht funktionierende IKT-Abläufe und IKT-Sicherheitsabläufe; e) unzureichendes oder nicht funktionierendes IKT-Projektmanagement; f) unzureichende interne Richtlinien, Verfahren und Dokumentation; g) unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; h) Sonstiges (bitte angeben). 3. Systemversagen/-störung (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Hardwarekapazität und -leistung: schwerwiegende IKT-bezogene Vorfälle, die durch Hardwareressourcen verursacht werden, die sich in Bezug auf Kapazität oder Leistung als unzureichend erweisen, um die geltenden rechtlichen Anforderungen zu erfüllen; b) Wartung der Hardware: schwerwiegende IKT-bezogene Vorfälle infolge unangemessener oder unzureichender Wartung von Hardwarekomponenten (ausgenommen „Veralterung/Alterung der Hardware“); c) Veralterung/Alterung der Hardware: Diese Ursache betrifft schwerwiegende IKT-bezogene Vorfälle aufgrund veralteter oder alternder Hardwarekomponenten; d) Softwarekompatibilität/-konfiguration: schwerwiegende IKT-bezogene Vorfälle, die durch Softwarekomponenten verursacht werden, die mit anderen Software- oder Systemkonfigurationen nicht kompatibel sind, einschließlich schwerwiegender IKT-bezogener Vorfälle aufgrund von Softwarekonflikten, fehlerhaften Einstellungen oder falsch konfigurierten Parametern, die sich auf die Gesamtfunktionalität des Systems auswirken; e) Softwareleistung: schwerwiegende IKT-bezogene Vorfälle infolge von Softwarekomponenten, die aus anderen als den unter „Softwarekompatibilität/-konfiguration“ genannten Gründen eine schlechte Leistung oder Ineffizienz aufweisen, einschließlich schwerwiegender IKT-bezogener Vorfälle, die durch langsame Reaktionszeiten, übermäßigen Ressourcenverbrauch oder ineffiziente Abfragen, die sich auf die Leistung der Software oder des Systems auswirken, verursacht werden; f) Netzwerkkonfiguration: schwerwiegende IKT-bezogene Vorfälle, die auf fehlerhafte oder falsch konfigurierte Netzwerkeinstellungen oder -infrastruktur zurückzuführen sind, einschließlich schwerwiegender IKT-bezogener Vorfälle aufgrund von Netzwerkkonfigurationsfehlern, Routingproblemen, Fehlkonfigurationen der Firewall oder anderen netzwerkbezogenen Problemen, die die Konnektivität oder die Kommunikation beeinträchtigen; g) physische Schäden: schwerwiegende IKT-bezogene Vorfälle, die durch physische Schäden an der IKT-Infrastruktur verursacht werden, die zu Systemversagen führen; h) Sonstiges (bitte angeben). 4. Menschliches Versagen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Unterlassung (unbeabsichtigt); b) Irrtum; c) Fähigkeiten und Kenntnisse: schwerwiegende IKT-bezogene Vorfälle, die durch mangelndes Fachwissen oder mangelnde Kompetenz im Umgang mit IKT-Systemen oder -Prozessen verursacht werden, was auf unzureichende Ausbildung, unzureichendes Wissen oder Qualifikationsdefizite im Hinblick auf die durchzuführenden Aufgaben oder die Bewältigung technischer Herausforderungen zurückzuführen sein kann; d) unzureichende personelle Ausstattung: schwerwiegende IKT-bezogene Vorfälle, die durch einen Mangel an erforderlichen Ressourcen, einschließlich Hardware, Software, Infrastruktur oder Personal, verursacht werden, einschließlich Situationen, in denen unzureichende Ressourcen zu operativen Ineffizienzen, Systemversagen oder der Unfähigkeit der Unternehmen, die geschäftlichen Anforderungen zu erfüllen, führen; e) Fehlkommunikation; f) Sonstiges (bitte angeben). 5. Externes Ereignis (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Naturkatastrophen/höhere Gewalt; b) Ausfälle bei Dritten; c) Sonstiges (bitte angeben). Finanzunternehmen achten darauf, dass bei wiederholten schwerwiegenden IKT-bezogenen Vorfällen die spezifische offensichtliche Ursache des Sicherheitsvorfalls und nicht die in diesem Feld enthaltenen allgemeinen Kategorien berücksichtigt werden. | Nein | Nein | Ja | Auswahl (Mehrfachauswahl): — Böswillige Handlungen: Vorsätzliche interne Handlungen; — böswillige Handlungen: Vorsätzliche physische Schäden/Manipulation/ Diebstahl; — böswillige Handlungen: Betrügerische Handlungen; — Prozess-versagen: Unzureichende Überwachung oder mangelhafte Überwachung und Kontrolle; — Prozess-versagen: Unzureichende/unklare Rollen und Zuständig-keiten; — Prozess-versagen: Versagen des IKT-Risiko-management-prozesses; — Prozess-versagen: Unzureichende oder nicht funktionie-rende IKT-Abläufe und IKT-Sicherheits-abläufe; — Prozess-versagen: Unzureichen-des oder nicht funktionie-rendes IKT-Projekt-management; — Prozess-versagen: Unzureichende interne Richtlinien, Verfahren und Dokumentation; — Prozess-versagen: Unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; — Prozess-versagen: Sonstiges (bitte angeben); — System-versagen: Hardware-kapazität und -leistung; — System-versagen: Wartung der Hardware; — System-versagen: Veralterung/ Alterung der Hardware; — System-versagen: Software-kompatibilität/-konfiguration; — System-versagen: Software-leistung; — System-versagen: Netzwerk-konfiguration; — System-versagen: Physische Schäden; — System-versagen: Sonstiges (bitte angeben); — menschliches Versagen: Unterlassung; — menschliches Versagen: Irrtum; — menschliches Versagen: Fähigkeiten und Kenntnisse; — menschliches Versagen: Unzureichende personelle Ausstattung; — menschliches Versagen: Fehlkommu-nikation; — menschliches Versagen: Sonstiges (bitte angeben); — externes Ereignis: Naturkatastro-phen/höhere Gewalt; — externes Ereignis: Ausfälle bei Dritten; — externes Ereignis: Sonstiges (bitte angeben). |
| 4.3. Weitergehende Einstufung der Ursachen des Vorfalls | Weitergehende Einstufung der Ursachen des schwerwiegenden IKT-bezogenen Vorfalls bei der Art des Vorfalls, einschließlich der folgenden weitergehenden Einstufungskategorien im Zusammenhang mit den in Datenfeld 4.2 ausgewiesenen detaillierten Kategorien Das Feld ist bei der Abschlussmeldung ein Pflichtfeld, wenn bestimmte Kategorien, die weiter ausgeführt werden müssen, in Datenfeld 4.2 angegeben werden. 2(a) Unzureichende oder mangelhafte Überwachung und Kontrolle: a) Überwachung der Einhaltung von Richtlinien; b) Überwachung von Drittdienstleistern; c) Überwachung und Überprüfung der Behebung von Schwachstellen; d) Identitäts- und Zugangsmanagement; e) Verschlüsselung und Kryptografie; f) Protokollierung. 2(c) Versagen des IKT-Risikomanagementprozesses: a) Versäumnis, genaue Risikotoleranzen festzulegen; b) unzureichende Bewertungen von Bedrohungen und Schwachstellen; c) unzureichende Maßnahmen für die Risikobehandlung; d) Unzureichendes Management der IKT-Restrisiken. 2(d) Unzureichende oder nicht funktionierende IKT-Abläufe und IKT-Sicherheitsabläufe: a) Schwachstellen- und Patch-Management; b) Änderungsmanagement; c) Kapazitäts- und Leistungsmanagement; d) Management von IKT-Assets und Informationsklassifizierung; e) Sicherung und Wiederherstellung; f) Fehlerbehandlung. 2(g) Unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen: a) Unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; b) unzureichende Software-Tests oder Versagen von Software-Tests. | Nein | Nein | Ja | Auswahl (Mehrfachauswahl): — Überwachung der Einhaltung von Richtlinien; — Überwachung von Drittdienst-leistern; — Überwachung und Überprüfung der Behebung von Schwachstellen; — Identitäts- und Zugangs-management; — Verschlüsselung und Kryptografie; — Protokollierung; — Versäumnis, genaue Risikotole-ranzen festzulegen; — unzureichende Bewertungen von Bedrohungen und Schwachstellen; — unzureichende Maßnahmen für die Risiko-behandlung; — unzureichendes Management der IKT-Restrisiken; — Schwachstellen- und Patch-Management; — Änderungs-management; — Kapazitäts- und Leistungs-management; — Management von IKT-Assets und Informations-klassifizierung; — Sicherung und Wiederher-stellung; — Fehler-behandlung; — unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; — unzureichende Software-Tests oder Versagen von Software-Tests. |
| 4.4. Andere Arten von Ursachen | Finanzunternehmen, die in Datenfeld 4.2 „Sonstiges“ als Art der Ursache ausgewählt haben, geben die anderen Arten von Ursachen an. | Nein | Nein | Ja, wenn in Datenfeld 4.2 „Sonstiges“ als Art der Ursache ausgewählt wurde. | Alphanumerisch |
| 4.5. Angaben zu den Ursachen des Vorfalls | Beschreibung der Abfolge der Ereignisse, die zu dem schwerwiegenden IKT-bezogenen Vorfall geführt haben, und Beschreibung, wie der schwerwiegende IKT-bezogene Vorfall eine offensichtlich ähnliche Ursache hat, wenn dieser Sicherheitsvorfall als wiederholter Vorfall eingestuft wird, einschließlich einer kurzen Beschreibung aller zugrunde liegenden Gründe und Hauptfaktoren, die zum Eintreten des schwerwiegenden IKT-bezogenen Vorfalls beigetragen haben. Bei böswilligen Handlungen Beschreibung des Mechanismus der böswilligen Handlung, einschließlich der verwendeten Taktiken, Techniken und Verfahren, sowie des Eintrittsvektors des schwerwiegenden IKT-bezogenen Vorfalls, gegebenenfalls einschließlich einer Beschreibung der Untersuchungen und Analysen, die zur Ermittlung der Ursachen geführt haben. | Nein | Nein | Ja | Alphanumerisch |
| 4.6. Behebung des Vorfalls | Zusätzliche Angaben zu den Maßnahmen, die ergriffen wurden/geplant sind, um den schwerwiegenden IKT-bezogenen Vorfall dauerhaft zu beheben und zu verhindern, dass sich dieser Vorfall erneut ereignet. Aus dem schwerwiegenden IKT-bezogenen Vorfall gewonnene Erkenntnisse. Die Beschreibung muss folgende Punkte enthalten: 1. Beschreibung der Maßnahmen zur Behebung a) Maßnahmen zur dauerhaften Behebung des schwerwiegenden IKT-bezogenen Vorfalls (ausgenommen befristete Maßnahmen); b) bei jeder ergriffenen Maßnahme Angabe der potenziellen Beteiligung eines Drittdienstleisters und des Finanzunternehmens; c) Angabe, ob die Verfahren nach dem schwerwiegenden IKT-bezogenen Vorfall angepasst wurden; d) Angabe etwaiger zusätzlicher Kontrollen, die eingeführt wurden oder geplant sind (mit Zeitplan für die Umsetzung). Mögliche Probleme in Bezug auf die Robustheit der betroffenen IT-Systeme bzw. gegebenenfalls in Bezug auf die bestehenden Verfahren oder Kontrollen. Finanzunternehmen geben eindeutig an, wie mit den geplanten Abhilfemaßnahmen die ermittelten Ursachen behoben werden sollen und wann der schwerwiegende IKT-bezogene Vorfall voraussichtlich dauerhaft behoben sein wird. 2. Gewonnene Erkenntnisse Finanzunternehmen beschreiben die Ergebnisse der Überprüfung nach dem Vorfall. | Nein | Nein | Ja | Alphanumerisch |
| 4.7. Datum und Uhrzeit der Behebung der Ursache des Vorfalls | Datum und Uhrzeit der Behebung der Ursache des Vorfalls. | Nein | Nein | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 4.8. Datum und Uhrzeit der Behebung des Vorfalls | Datum und Uhrzeit der Behebung des Vorfalls. | Nein | Nein | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 4.9. Angabe, ob das Datum der dauerhaften Behebung der Vorfälle von dem ursprünglich geplanten Umsetzungs-datum abweicht | Gegebenenfalls eine Beschreibung des Grundes, warum das Datum der dauerhaften Behebung der schwerwiegenden IKT-bezogenen Vorfälle von dem ursprünglich geplanten Umsetzungsdatum abweicht. | Nein | Nein | Ja | Alphanumerisch |
| 4.10. Bewertung des Risikos für kritische Funktionen für Abwicklungs-zwecke | Bewertung, ob der schwerwiegende IKT-bezogene Vorfall ein Risiko für kritische Funktionen im Sinne des Artikels 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU des Europäischen Parlaments und des Rates (2) darstellt. Die in Artikel 1 Absatz 1 der Richtlinie 2014/59/EU genannten Unternehmen geben an, ob der in der Vorlage Z07.01 der Durchführungsverordnung (EU) 2018/1624 der Kommission (3) gemeldete und dem betreffenden Unternehmen in der Vorlage Z07.02 zugeordnete Vorfall ein Risiko für kritische Funktionen im Sinne des Artikels 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU darstellt. | Nein | Nein | Ja, wenn der Vorfall ein Risiko für kritische Funktionen von Finanz-unterneh-men im Sinne des Artikels 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU darstellt | Alphanumerisch |
| 4.11. Für Abwicklungs-behörden relevante Angaben | Beschreibung, ob und, wenn ja, wie sich der schwerwiegende IKT-bezogene Vorfall auf die Abwicklungsfähigkeit des Unternehmens oder der Gruppe ausgewirkt hat. Die in Artikel 1 Absatz 1 der Richtlinie 2014/59/EU genannten Unternehmen stellen Informationen darüber bereit, ob und, wenn ja, wie sich der schwerwiegende IKT-bezogene Vorfall auf die Abwicklungsfähigkeit des Unternehmens oder der Gruppe ausgewirkt hat. Diese Unternehmen geben auch an, ob sich der schwerwiegende IKT-bezogene Vorfall auf die Solvenz oder Liquidität des Finanzunternehmens auswirkt, und geben die potenzielle Quantifizierung der Auswirkungen an. Diese Unternehmen machen auch Angaben zu den Auswirkungen auf die Aufrechterhaltung des Geschäftsbetriebs, den Auswirkungen auf die Abwicklungsfähigkeit des Unternehmens, etwaigen weitergehenden Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf die Kosten und Verluste, einschließlich der Kapitalposition des Finanzunternehmens, und geben an, ob die vertraglichen Vereinbarungen über die Nutzung von IKT-Diensten im Falle einer Abwicklung des Unternehmens nach wie vor robust und uneingeschränkt durchsetzbar sind. | Nein | Nein | Ja, wenn der Vorfall die Abwick-lungsfähig-keit des Unterneh-mens oder der Gruppe beeinträch-tigt hat | Alphanumerisch |
| 4.12. Wesentlichkeits- schwelle für das Einstufungs-kriterium „Wirtschaftliche Auswirkungen“ | Detaillierte Informationen über Schwellenwerte, die der schwerwiegende IKT-bezogene Vorfall am Ende erreicht hat, in Bezug auf das in den Artikeln 7 und 14 der Delegierten Verordnung (EU) 2024/1772 genannte Kriterium „Wirtschaftliche Auswirkungen“. | Nein | Nein | Ja | Alphanumerisch |
| 4.13. Betrag der direkten und indirekten Bruttokosten und Verluste | Gesamtbetrag der direkten und indirekten Bruttokosten und Verluste, die dem Finanzunternehmen aufgrund des schwerwiegenden IKT-bezogenen Vorfalls entstanden sind, einschließlich a) der Höhe der enteigneten Mittel oder finanziellen Vermögenswerte, für die das Finanzunternehmen haftet, b) der Höhe der Kosten für die Ersetzung oder Verlegung von Software, Hardware oder Infrastruktur, c) der Höhe der Personalkosten, einschließlich der Kosten im Zusammenhang mit der Ersetzung oder Verlegung von Personal, der Einstellung von zusätzlichem Personal, der Vergütung von Überstunden und der Wiederherstellung verloren gegangener oder beeinträchtigter Kompetenzen des Personals, d) der Höhe der Gebühren wegen Nichteinhaltung vertraglicher Verpflichtungen, e) der Höhe der Entschädigungs- und Wiedergutmachungskosten für Kunden, f) der Höhe der Verluste wegen entgangener Einnahmen, g) der Höhe der Kosten für die interne und externe Kommunikation, h) der Höhe der Beratungskosten, einschließlich Kosten für Rechtsberatung, forensische Dienstleistungen und Behebungsdienstleistungen, i) der Höhe der sonstigen Kosten und Verluste, einschließlich: i) der in der Gewinn- und Verlustrechnung erfassten direkten Belastungen einschließlich Wertminderungen und Vergleichszahlungen sowie Abwertungen aufgrund des schwerwiegenden IKT-bezogenen Vorfalls, ii) der in der Gewinn- und Verlustrechnung erfassten Rückstellungen oder Rücklagen für wahrscheinliche Verluste im Zusammenhang mit dem schwerwiegenden IKT-bezogenen Vorfall, iii) der drohenden Verluste in Form von Verlusten aufgrund des schwerwiegenden IKT-bezogenen Vorfalls, die vorübergehend auf Übergangs- oder Zwischenkonten gebucht werden und noch nicht in der Gewinn- und Verlustrechnung erfasst sind und die nach einem gewissen Zeitraum, der der Größe und dem Alter des drohenden Verlusts entspricht, erfasst werden sollen, iv) der wesentlichen nicht realisierten Einnahmen im Zusammenhang mit vertraglichen Verpflichtungen gegenüber Dritten, darunter die Entscheidung, einen Kunden nach dem schwerwiegenden IKT-bezogenen Vorfall durch eine Anpassung der Erlöse, bei der die vertraglichen Kosten für einen bestimmten Zeitraum ausgesetzt oder verringert werden, zu entschädigen (anstelle einer Rückerstattung oder einer direkten Zahlung), v) Timing Losses, die über ein Geschäftsjahr hinausgehen und ein Rechtsrisiko nach sich ziehen. Finanzunternehmen berücksichtigen bei ihrer Bewertung Artikel 7 Absätze 1 und 2 der Delegierten Verordnung (EU) 2024/1772. Finanzunternehmen dürfen in diesen Wert keine wie auch immer gearteten Rückflüsse einbeziehen. Finanzunternehmen weisen den Geldbetrag als positiven Wert aus. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung berücksichtigen Finanzunternehmen den Gesamtbetrag der Kosten und Verluste in allen Finanzunternehmen. Finanzunternehmen weisen den Datenpunkt mit einer Mindestpräzision aus, die tausend Einheiten entspricht. | Nein | Nein | Ja | Monetär |
| 4.14. Betrag der finanziellen Rückflüsse | Gesamtbetrag der finanziellen Rückflüsse. Finanzielle Rückflüsse müssen sich auf den ursprünglichen Verlust beziehen, der durch das Ereignis verursacht wurde, unabhängig davon, wann sie in Form von Geldern oder Zuflüssen wirtschaftlichen Nutzens vereinnahmt werden. Finanzunternehmen weisen den Geldbetrag als positiven Wert aus. Bei einer aggregierten Meldung gemäß Artikel 7 dieser Verordnung berücksichtigen Finanzunternehmen den Gesamtbetrag der finanziellen Rückflüsse in allen Finanzunternehmen. | Nein | Nein | Ja | Monetär Finanzunternehmen weisen den Datenpunkt mit einer Mindestpräzision aus, die tausend Einheiten entspricht. |
| 4.15. Angaben dazu, ob sich die nicht schwerwie-genden Vorfälle wiederholt haben | Angaben dazu, ob ein nicht schwerwiegender IKT-bezogener Vorfall wiederholt eingetreten ist und diese Vorfälle zusammen als schwerwiegender Vorfall im Sinne des Artikels 8 Absatz 2 der Delegierten Verordnung (EU) 2024/1772 zu betrachten sind. Finanzunternehmen geben an, ob sich die nicht schwerwiegenden IKT-bezogenen Vorfälle wiederholt haben und zusammen als ein schwerwiegender IKT-bezogener Vorfall zu betrachten sind. Finanzunternehmen geben auch an, wie oft diese nicht schwerwiegenden IKT-bezogenen Vorfälle eingetreten sind. | Nein | Nein | Ja, wenn der schwer-wiegende Vorfall mehr als einen nicht schwer-wiegenden wieder-holten Vorfall umfasst | Alphanumerisch |
| 4.16. Datum und Uhrzeit des Eintretens wiederholter Vorfälle | Wenn Finanzunternehmen wiederholte IKT-bezogene Vorfälle melden, Datum und Uhrzeit des ersten IKT-bezogenen Vorfalls. | Nein | Nein | Ja, bei wieder-holten Vorfällen | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
(1) Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) (ABl. L 333 vom 27.12.2022, S. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).
(2) Richtlinie 2014/59/EU des Europäischen Parlaments und des Rates vom 15. Mai 2014 zur Festlegung eines Rahmens für die Sanierung und Abwicklung von Kreditinstituten und Wertpapierfirmen und zur Änderung der Richtlinie 82/891/EWG des Rates, der Richtlinien 2001/24/EG, 2002/47/EG, 2004/25/EG, 2005/56/EG, 2007/36/EG, 2011/35/EU, 2012/30/EU und 2013/36/EU sowie der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 648/2012 des Europäischen Parlaments und des Rates (ABl. L 173 vom 12.6.2014, S. 190, ELI: http://data.europa.eu/eli/dir/2014/59/oj).
(3) Durchführungsverordnung (EU) 2018/1624 der Kommission vom 23. Oktober 2018 zur Festlegung technischer Durchführungsstandards in Bezug auf Verfahren, Standardformulare und Meldebögen für die Bereitstellung von Informationen für die Erstellung von Abwicklungsplänen für Kreditinstitute und Wertpapierfirmen gemäß der Richtlinie 2014/59/EU des Europäischen Parlaments und des Rates und zur Aufhebung der Durchführungsverordnung (EU) 2016/1066 der Kommission (ABl. L 277 vom 7.11.2018, S. 1, ELI: http://data.europa.eu/eli/reg_impl/2018/1624/oj).
ITS Incident-Reporting (2025/302)›Anhang III
Anhang III
VORLAGEN FÜR DIE MELDUNG ERHEBLICHER CYBERBEDROHUNGEN
ITS Incident-Reporting (2025/302)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Feldnummer | Datenfeld | |
|---|---|---|
| 1 | Name des Unternehmens, das die Meldung übermittelt | |
| 2 | Identifikationscode des Unternehmens, das die Meldung übermittelt | |
| 3 | Art des Finanzunternehmens, das die Meldung übermittelt | |
| 4 | Name des Finanzunternehmens | |
| 5 | LEI-Code des Finanzunternehmens | |
| 6 | Name des Hauptansprechpartners | |
| 7 | E-Mail-Adresse des Hauptansprechpartners | |
| 8 | Telefonnummer des Hauptansprechpartners | |
| 9 | Name des zweiten Ansprechpartners | |
| 10 | E-Mail-Adresse des zweiten Ansprechpartners | |
| 11 | Telefonnummer des zweiten Ansprechpartners | |
| 12 | Datum und Uhrzeit der Feststellung der Cyberbedrohung | |
| 13 | Beschreibung der erheblichen Cyberbedrohung | |
| 14 | Angaben zu möglichen Auswirkungen | |
| 15 | Kriterien für die Einstufung potenzieller Vorfälle | |
| 16 | Status der Cyberbedrohung | |
| 17 | Zur Verhinderung des Eintretens ergriffene Maßnahmen | |
| 18 | Benachrichtigung anderer Beteiligter | |
| 19 | Kompromittierungsindikatoren | |
| 20 | Sonstige zweckdienliche Angaben |
ITS Incident-Reporting (2025/302)›Anhang IV
Anhang IV
DATENGLOSSAR UND ANLEITUNG FÜR DIE MELDUNG ERHEBLICHER CYBERBEDROHUNGEN
ITS Incident-Reporting (2025/302)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Datenfeld | Beschreibung | Pflichtfeld | Feldtyp |
|---|---|---|---|
| 1. Name des Unternehmens, das die Meldung übermittelt | Vollständige juristische Bezeichnung des Unternehmens, das die Meldung übermittelt. | Ja | Alphanumerisch |
| 2. Identifika tionscode des Unternehmens, das die Meldung übermittelt | Identifikationscode des Unternehmens, das die Meldung übermittelt. Übermitteln Finanzunternehmen die Meldung, ist die Rechtsträgerkennung (Legal Entity Identifier; LEI-Code), ein eindeutiger alphanumerischer 20-stelliger Code nach ISO 17442-1:2020. Übermittelt ein Drittdienstleister eine Meldung für ein Finanzunternehmen, kann er einen Identifikationscode verwenden, der in den gemäß Artikel 28 Absatz 9 der Verordnung (EU) 2022/2554 angenommenen technischen Durchführungsstandards festgelegt ist. | Ja | Alphanumerisch |
| 3. Art des Finanzunter-nehmens, das die Meldung übermittelt | Art des Unternehmens gemäß Artikel 2 Absatz 1 Buchstaben a bis t der Verordnung (EU) 2022/2554, das die Meldung übermittelt. | Ja, wenn die Meldung nicht direkt von dem betroffenen Finanzunternehmen übermittelt wird | Auswahl (Mehrfachauswahl): — Kreditinstitut; — Zahlungsinstitut; — Ausgenommenes Zahlungsinstitut; — Kontoinformations-dienstleister; — E-Geld-Institut; — Ausgenommenes E-Geld-Institut; — Wertpapierfirma; — Anbieter von Kryptowerte-Dienstleistungen; — Emittent wertreferenzierter Token; — Zentralverwahrer; — Zentrale Gegenpartei; — Handelsplatz; — Transaktionsregister; — Verwalter alternativer Investmentfonds; — Verwaltungsgesellschaft; — Datenbereitstellungs-dienst; — Versicherungs- und Rückversicherungsunter-nehmen; — Versicherungsvermittler, Rückversicherungs-vermittler und Versicherungsvermittler in Nebentätigkeit; — Einrichtung der betrieblichen Altersversorgung; — Ratingagentur; — Administrator kritischer Referenzwerte; — Schwarmfinanzie-rungsdienstleister; — Verbriefungsregister. |
| 4. Name des Finanzunter-nehmens | Vollständige juristische Bezeichnung des Finanzunternehmens, das die erhebliche Cyberbedrohung meldet. | Ja, wenn es sich bei dem Finanzunternehmen nicht um das Unternehmen handelt, das die Meldung übermittelt | Alphanumerisch |
| 5. LEI-Code des Finanzunter-nehmens | Die nach der Internationalen Organisation für Normung zugewiesene Rechtsträgerkennung (LEI-Code) des Finanzunternehmens, das die erhebliche Cyberbedrohung meldet. | Ja, wenn das Finanzunternehmen, das die erhebliche Cyberbedrohung meldet, nicht mit dem meldenden Unternehmen identisch ist | Eindeutiger alphanumerischer Code mit 20 Zeichen nach ISO 17442-1:2020 |
| 6. Name des Hauptan-sprechpartners | Vor- und Nachname des Hauptansprechpartners des Finanzunternehmens. | Ja | Alphanumerisch |
| 7. E-Mail- Adresse des Hauptan-sprechpartners | E-Mail-Adresse des Hauptansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. | Ja | Alphanumerisch |
| 8. Telefon- nummer des Hauptan-sprechpartners | Telefonnummer des Hauptansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. Die Telefonnummer ist mit allen internationalen Vorwahlen anzugeben (z. B. +33 XXXXXXXXX). | Ja | Alphanumerisch |
| 9. Name des zweiten Ansprech-partners | Vor- und Nachname des zweiten Ansprechpartners des Finanzunternehmens oder des Unternehmens, das die Meldung im Namen des Finanzunternehmens übermittelt. | Ja, wenn Vor- und Nachname des zweiten Ansprechpartners des Finanzunternehmens oder eines Unternehmens, das die Meldung für das Finanzunternehmen übermittelt, vorliegen | Alphanumerisch |
| 10. E-Mail- Adresse des zweiten Ansprech-partners | Gegebenenfalls E-Mail-Adresse des zweiten Ansprechpartners oder die funktionale E-Mail-Adresse des Teams, an den bzw. das sich die zuständige Behörde in der Folgemitteilung wenden kann. | Ja, wenn die E-Mail-Adresse des zweiten Ansprechpartners oder die funktionale E-Mail-Adresse des Teams, an den bzw. das sich die zuständige Behörde in der Folgemitteilung wenden kann, vorliegen | Alphanumerisch |
| 11. Telefon- nummer des zweiten Ansprech-partners | Gegebenenfalls Telefonnummer des zweiten Ansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann. Die Telefonnummer ist mit allen internationalen Vorwahlen anzugeben (z. B. +33 XXXXXXXXX). | Ja, wenn die Telefonnummer des zweiten Ansprechpartners, an den sich die zuständige Behörde in der Folgemitteilung wenden kann, vorliegt | Alphanumerisch |
| 12. Datum und Uhrzeit der Feststellung der Cyber-bedrohung | Datum und Uhrzeit der Kenntnisnahme der erheblichen Cyberbedrohung durch das Finanzunternehmen. | Ja | ISO 8601 UTC-Format (JJJJ-MM-TT hh: mm:ss) |
| 13. Beschreibung der erheblichen Cyber-bedrohung | Beschreibung der wichtigsten Aspekte der erheblichen Cyberbedrohung. Finanzunternehmen übermitteln folgende Informationen: a) Allgemeine Darstellung der relevantesten Aspekte der erheblichen Cyberbedrohung; b) Die damit verbundenen Risiken, einschließlich potenzieller Schwachstellen der Systeme des Finanzunternehmens, die ausgenutzt werden könnten; c) Angaben zur Eintrittswahrscheinlichkeit der erheblichen Cyberbedrohung und d) Angaben zur Informationsquelle über die Cyberbedrohung. | Ja | Alphanumerisch |
| 14. Angaben zu möglichen Auswirkungen | Angaben zu den möglichen Auswirkungen der Cyberbedrohung auf das Finanzunternehmen, seine Kunden oder Gegenparteien im Finanzbereich, wenn die Cyberbedrohung eingetreten ist | Ja | Alphanumerisch |
| 15. Kriterien für die Einstufung potenzieller Vorfälle | Die Einstufungskriterien, die eine Meldung über einen schwerwiegenden Vorfall hätten auslösen können, wenn die Cyberbedrohung eingetreten wäre. | Ja | Auswahl (Mehrfachauswahl): — Betroffene Kunden, Gegenparteien im Finanzbereich und Transaktionen — Reputationsschaden — Dauer und Ausfallzeiten — Geografische Ausbreitung — Datenverluste — Betroffene kritische Dienstleistungen — Wirtschaftliche Auswirkungen |
| 16. Status der Cyber-bedrohung | Angaben zum Status der Cyberbedrohung für das Finanzunternehmen und dazu, ob sich die Bedrohungsaktivität verändert hat. Wenn die Cyberbedrohung nicht mehr mit den Informationssystemen des Finanzunternehmens kommuniziert, kann der Status auf inaktiv gesetzt werden. Liegen dem Finanzunternehmen Informationen darüber vor, dass die Bedrohung gegen andere Parteien oder das Finanzsystem insgesamt aktiv bleibt, ist der Status als aktiv zu kennzeichnen. | Ja | Auswahl: — Aktiv — Inaktiv |
| 17. Zur Verhinderung des Eintretens ergriffene Maßnahmen | Gegebenenfalls detaillierte Informationen über die Maßnahmen, die das Finanzunternehmen ergriffen hat, um das Eintreten der erheblichen Cyberbedrohungen zu verhindern. | Ja | Alphanumerisch |
| 18. Benachrichti- gung anderer Beteiligter | Angaben zur Benachrichtigung anderer Finanzunternehmen oder Behörden über die Cyberbedrohung. | Ja, wenn andere Finanzunternehmen oder Behörden über die Cyberbedrohung informiert wurden | Alphanumerisch |
| 19. Kompro- mittierungs-indikatoren | Gegebenenfalls Informationen im Zusammenhang mit der erheblichen Cyberbedrohung, die dazu beitragen können, böswillige Aktivitäten innerhalb eines Netzwerks oder Informationssystems zu erkennen (Kompromittierungsindikatoren). Die von dem Finanzunternehmen bereitgestellten Kompromittierungsindikatoren können unter anderem die folgenden Datenkategorien enthalten: a) IP-Adressen; b) URL-Adressen; c) Domains; d) Datei-Hashes; e) Daten zu Schadsoftware (Name der Schadsoftware, Dateinamen und ihre Speicherorte, spezifische Registrierungsschlüssel im Zusammenhang mit Schadsoftware-Aktivitäten); f) Daten zu Netzaktivitäten (Ports, Protokolle, Adressen, Referrer, User Agents, Header, spezifische Protokolle oder auffällige Muster im Netzwerkverkehr); g) Daten zu E-Mail-Nachrichten (Absender, Empfänger, Betreff, Header, Inhalt); h) DNS-Anfragen und Registrierungskonfigurationen; i) Nutzerkontoaktivitäten (Anmeldungen, Kontoaktivitäten privilegierter Nutzer, Rechteausweitung); j) Datenbankverkehr (Lesen/Schreiben), Anfragen für dieselbe Datei. Diese Art von Informationen kann Daten umfassen, die sich unter anderem auf Indikatoren, die Muster im Netzwerkverkehr im Zusammenhang mit bekannten Angriffen/Botnetkommunikation beschreiben, IP-Adressen von mit Schadsoftware infizierten Rechnern (Bots), Daten über von Schadsoftware genutzte „Command and Control“-Server (in der Regel Domains oder IP-Adressen) und URLs in Bezug auf Phishing-Websites oder Websites, bei denen beobachtet wurde, dass sie für das Hosting von Schadsoftware oder Exploit Kits genutzt wird, beziehen. | Ja, wenn Informationen über Kompromittierungs-indikatoren im Zusammenhang mit der Cyberbedrohung verfügbar sind | Alphanumerisch |
| 20. Sonstige zweckdien-liche Angaben | Sonstige zweckdienliche Angaben zu der erheblichen Cyberbedrohung. | Ja, falls zutreffend und wenn andere Informationen verfügbar sind, die nicht in der Vorlage ausgewiesen sind. | Alphanumerisch |
RTS Untervergabe (2025/532)›Art. 1
Artikel 1
Gesamtrisikoprofil und Komplexität
RTS Untervergabe (2025/532)
Finanzunternehmen berücksichtigen ihre Größe und ihr Gesamtrisikoprofil sowie die Art, den Umfang und die Aspekte erhöhter oder verringerter Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte, einschließlich der Aspekte, die sich auf Folgendes beziehen:
a)
die Art der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die unter die vertragliche Vereinbarung zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister fallen;
b)
die Art der IKT-Dienstleistungen, die unter die vertragliche Vereinbarung zwischen dem IKT-Drittdienstleister und seinen Unterauftragnehmern fallen;
c)
den Standort des IKT-Unterauftragnehmers, der IKT-Dienstleistungen erbringt, die kritische oder wichtige Funktionen oder einen wesentlichen Teil davon unterstützen, oder den Standort seines Mutterunternehmens;
d)
die Länge und Komplexität der vom IKT-Drittdienstleister genutzten Kette von Unterauftragnehmern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen;
e)
die Art der Daten, die an IKT-Unterauftragnehmer weitergegeben werden, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen;
f)
die Frage, ob die IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, von Unterauftragnehmern erbracht werden, die ihren Sitz in einem Mitgliedstaat oder in einem Drittland haben, einschließlich des Standorts, von dem aus die IKT-Dienstleistungen tatsächlich erbracht werden, und des Standorts, an dem die Daten tatsächlich verarbeitet und gespeichert werden;
g)
die Frage, ob die IKT-Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, derselben Gruppe angehören wie das Finanzunternehmen, für das diese Dienstleistungen erbracht werden;
h)
die Frage, ob die IKT-Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, einer Zulassung, einer Registrierung oder der Beaufsichtigung oder Überwachung durch eine zuständige Behörde in einem Mitgliedstaat oder dem Überwachungsrahmen nach Kapitel V Abschnitt II der Verordnung (EU) 2022/2554 unterliegen;
i)
die Frage, ob die IKT-Drittdienstleister, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, einer Zulassung, einer Registrierung oder der Beaufsichtigung oder Überwachung durch eine Aufsichtsbehörde in einem Drittstaat unterliegen;
j)
die Frage, ob sich die Erbringung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon auf einen einzigen Unterauftragnehmer eines IKT-Drittdienstleisters oder eine kleine Zahl solcher Unterauftragnehmer konzentriert;
k)
die Frage, ob sich die Vergabe von Unteraufträgen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile unterstützen, auf die Übertragbarkeit dieser IKT-Dienstleistungen auf einen anderen IKT-Drittdienstleister auswirken würde;
l)
die potenzielle Auswirkung von Störungen auf die Kontinuität und Verfügbarkeit der IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen und vom IKT-Drittdienstleister erbracht werden, wenn ein Unterauftragnehmer eingesetzt wird, der IKT-Dienstleistungen erbringt, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen.
DORA-Sollmaßnahmen
D24.002Verhältnismäßigkeit bei der UnterauftragsvergabeS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Untervergabe (2025/532)›Art. 2
Artikel 2
Anwendung auf eine Gruppe
RTS Untervergabe (2025/532)
Findet diese Verordnung auf teilkonsolidierter oder konsolidierter Basis Anwendung, so trägt das Mutterunternehmen, das für die Erstellung des konsolidierten oder teilkonsolidierten Abschlusses für die Gruppe verantwortlich zeichnet, dafür Sorge, dass die Bedingungen für die Vergabe von Unteraufträgen für die Nutzung von IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen — sofern eine solche Unterauftragsvergabe nach den vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zulässig ist — in allen Finanzunternehmen, die Teil der Gruppe sind, konsistent umgesetzt werden und für die wirksame Anwendung dieser Verordnung auf allen relevanten Ebenen angemessen sind.
DORA-Sollmaßnahmen
D24.001Einheitliche gruppenweite Umsetzung der Vorgaben zum IKT-DrittparteienrisikoS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Untervergabe (2025/532)›Art. 3
Artikel 3
Sorgfaltspflicht und Risikobewertung in Bezug auf den Einsatz von Unterauftragnehmern, die kritische oder wichtige Funktionen unterstützen
RTS Untervergabe (2025/532)
(1)
Bevor ein Finanzunternehmen eine vertragliche Vereinbarung mit einem IKT-Drittdienstleister schließt, muss es entscheiden, ob dieser IKT-Drittdienstleister eine IKT-Dienstleistung, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützt, an Unterauftragnehmer vergeben darf. Das Finanzunternehmen darf eine solche vertragliche Vereinbarung nur dann schließen, wenn es festgestellt hat, dass alle folgenden Bedingungen erfüllt sind:
DORA-Schulungsfolien
Leitlinie für die Nutzung von IKT-Dienstleistungen: Phasen „Bedarfsanalyse und Planung“ sowie „Markterkundung und Angebote“ (Unterauftragnehmer)
Leitlinie für die Nutzung von IKT-Dienstleistungen: warum eine Bewertung nicht reicht
Leitlinie für die Nutzung von IKT-Dienstleistungen: Wer die Risikobewertung macht und wer sie verantwortet
Leitlinie für die Nutzung von IKT-Dienstleistungen: Exkurs operative Dienstleistersteuerung bei Unterauftragnehmern (1/3)
a)
Durch die im Rahmen der Sorgfaltspflicht durchgeführten Verfahren in Bezug auf den IKT-Drittdienstleister wird sichergestellt, dass dieser in der Lage ist, potenzielle IKT-Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen sollen, auszuwählen und deren operative und finanzielle Fähigkeiten zu beurteilen, auch indem er auf Verlangen des Finanzunternehmens an Tests der digitalen operationalen Resilienz gemäß Kapitel IV der Verordnung (EU) 2022/2554 teilnimmt;
DORA-Sollmaßnahmen
D24.004Risikoanalyse zur Unterauftragsvergabe: Prüfpunkte zum IKT-DrittdienstleisterS
b)
der IKT-Drittdienstleister ist in der Lage, alle Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, zu ermitteln, um das Finanzunternehmen über diese Unterauftragnehmer zu benachrichtigen und zu informieren, und ist in der Lage, dem Finanzunternehmen alle Informationen zur Verfügung zu stellen, die für die Bewertung der Bedingungen nach diesem Artikel erforderlich sein könnten;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
c)
der IKT-Drittdienstleister stellt sicher, dass die vertraglichen Vereinbarungen mit den Unterauftragnehmern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, es dem Finanzunternehmen ermöglichen, seine eigenen Verpflichtungen aus der Verordnung (EU) 2022/2554 und den geltenden Rechtsvorschriften der Union und der Mitgliedstaaten zu erfüllen;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
d)
der Unterauftragnehmer räumt dem Finanzunternehmen und den zuständigen Behörden und Abwicklungsbehörden die gleichen vertraglichen Zugangs- und Inspektionsrechte wie der IKT-Drittdienstleister ein;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
e)
unbeschadet der letztendlichen Verantwortung des Finanzunternehmens für die Einhaltung seiner rechtlichen und regulatorischen Pflichten verfügt der IKT-Drittdienstleister selbst über ausreichende Fähigkeiten, Fachkenntnisse und angemessene finanzielle, personelle und technische Ressourcen, um die IKT-Risiken auf der Ebene der Unterauftragnehmer zu überwachen, unter anderem durch die Anwendung geeigneter Informationssicherheitsstandards und durch die Einrichtung einer angemessenen Organisationsstruktur, eines entsprechenden Risikomanagements und interner Kontrollen sowie durch die Meldung von Vorfällen und die Reaktion darauf;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
f)
das Finanzunternehmen verfügt über ausreichende Fähigkeiten, Fachkenntnisse und angemessene finanzielle, personelle und technische Ressourcen, um die IKT-Risiken im Zusammenhang mit der Dienstleistung zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon, die an Unterauftragnehmer vergeben wurde, zu überwachen, unter anderem durch die Anwendung geeigneter Informationssicherheitsstandards und durch die Einrichtung einer angemessenen Organisationsstruktur und eines angemessenen Risikomanagements sowie durch Reaktionsmaßnahmen bei Vorfällen, ein Geschäftsfortführungsmanagement und interne Kontrollen;
DORA-Sollmaßnahmen
D24.005Risikoanalyse zur Unterauftragsvergabe: Prüfpunkte zu eigenen Fähigkeiten und RisikenS
g)
das Finanzunternehmen hat die Auswirkungen eines möglichen Ausfalls eines Unterauftragnehmers, der IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder eines wesentlichen Teils davon erbringt, auf die digitale operationale Resilienz und die finanzielle Solidität des Finanzunternehmens bewertet;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
h)
das Finanzunternehmen hat die Risiken bewertet, die mit dem Standort der potenziellen Unterauftragnehmer in Bezug auf die vom IKT-Drittdienstleister erbrachten IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder eines wesentlichen Teils davon verbunden sind;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
i)
das Finanzunternehmen hat die IKT-Konzentrationsrisiken auf Unternehmensebene gemäß Artikel 29 der Verordnung (EU) 2022/2554 bewertet;
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
j)
das Finanzunternehmen hat geprüft, ob es Hindernisse für die Ausübung der Prüfungs-, Inspektions- und Zugangsrechte durch die zuständigen Behörden, die Abwicklungsbehörden oder das Finanzunternehmen, einschließlich der von ihnen benannten Personen, gibt.
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
(2)
Finanzunternehmen, die IKT-Drittdienstleister nutzen, welche IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon an Unterauftragnehmer vergeben, führen regelmäßig die in Absatz 1 Buchstaben f bis j genannte Risikobewertung in Bezug auf mögliche Veränderungen in ihrem Geschäftsumfeld durch, auch mit Blick auf Veränderungen bei den unterstützten Geschäftsfunktionen, einschließlich Risikobewertungen der IKT-Bedrohungen, IKT-Konzentrationsrisiken und geopolitischen Risiken.
(3)
Der Rückgriff auf die Ergebnisse der Risikobewertung, die ihre IKT-Drittdienstleister für ihre Unterauftragnehmer im Hinblick auf die Erfüllung der in diesem Artikel festgelegten Pflichten durchgeführt haben, entbindet die Finanzunternehmen nicht von ihrer letztendlichen Verantwortung für die Erfüllung ihrer rechtlichen und regulatorischen Pflichten gemäß der Verordnung (EU) 2022/2554.
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Untervergabe (2025/532)›Art. 4
Artikel 4
Bedingungen, unter denen IKT-Dienstleistungen, die kritische oder wichtige Funktionen einen wesentlichen Teil davon unterstützen, an Unterauftragnehmer vergeben werden können
RTS Untervergabe (2025/532)
(1)
In der vertraglichen Vereinbarung zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister wird festgelegt, welche IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, für eine Unterauftragsvergabe infrage kommen und unter welchen Bedingungen. In diesem Vertrag wird festgelegt,
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D24.009kwF-relevante Vertragsinhalte: Bedingungen und Mindestinhalte der UnterauftragsvergabeS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Vertragsverhandlung bei Unterauftragnehmern (1/2)
Leitlinie für die Nutzung von IKT-Dienstleistungen: Vertragsverhandlung bei Unterauftragnehmern (2/2)
Leitlinie für die Nutzung von IKT-Dienstleistungen: Exkurs operative Dienstleistersteuerung bei Unterauftragnehmern (2/3)
a)
dass der IKT-Drittdienstleister für die Erbringung der von den Unterauftragnehmern erbrachten Dienstleistungen verantwortlich ist;
— keine Sollmaßnahme im Katalog zugeordnet
b)
dass der IKT-Drittdienstleister verpflichtet ist, alle an Unterauftragnehmer vergebenen IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, zu überwachen, um sicherzustellen, dass seine vertraglichen Verpflichtungen gegenüber dem Finanzunternehmen jederzeit erfüllt werden;
— keine Sollmaßnahme im Katalog zugeordnet
c)
welche Überwachungs- und Berichtspflichten der IKT-Drittdienstleister gegenüber dem Finanzunternehmen in Bezug auf Unterauftragnehmer hat, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen;
— keine Sollmaßnahme im Katalog zugeordnet
d)
dass der IKT-Drittdienstleister alle Risiken zu bewerten hat, die mit dem Standort der derzeitigen oder potenziellen Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, und ihres Mutterunternehmens sowie mit dem Standort, von dem aus die betreffende IKT-Dienstleistung erbracht wird, verbunden sind;
— keine Sollmaßnahme im Katalog zugeordnet
e)
an welchem Ort die Daten vom Unterauftragnehmer gegebenenfalls verarbeitet oder gespeichert werden;
— keine Sollmaßnahme im Katalog zugeordnet
f)
dass der IKT-Drittdienstleister in seinem Vertrag mit seinen Unterauftragnehmern die Überwachungs- und Berichterstattungspflichten dieses Unterauftragnehmers gegenüber dem IKT-Drittdienstleister und, sofern vereinbart, gegenüber dem Finanzunternehmen festzulegen hat;
— keine Sollmaßnahme im Katalog zugeordnet
g)
dass der IKT-Drittdienstleister die Kontinuität der IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, entlang der gesamten Kette von Unterauftragnehmern sicherstellen muss, wenn ein IKT-Unterauftragnehmer seinen vertraglichen Verpflichtungen nicht nachkommt;
— keine Sollmaßnahme im Katalog zugeordnet
h)
dass die vertragliche Vereinbarung zwischen dem IKT-Drittdienstleister und seinen Unterauftragnehmern die in Artikel 30 Absatz 3 Buchstabe c der Verordnung (EU) 2022/2554 genannten Anforderungen an Geschäftsfortführungspläne enthält und die von den IKT-Unterauftragnehmern in Bezug auf diese Pläne zu erfüllende Dienstleistungsgüte vorschreibt;
— keine Sollmaßnahme im Katalog zugeordnet
i)
dass die vertragliche Vereinbarung zwischen dem IKT-Drittdienstleister und seinen Unterauftragnehmern die IKT-Sicherheitsstandards und alle zusätzlichen Sicherheitsanforderungen nach Artikel 30 Absatz 3 Buchstabe c der Verordnung (EU) 2022/2554 vorschreibt;
— keine Sollmaßnahme im Katalog zugeordnet
j)
dass der Unterauftragnehmer dem Finanzunternehmen und den relevanten zuständigen Behörden und Abwicklungsbehörden dieselben Zugangs-, Inspektions- und Auditrechte wie die in Artikel 30 Absatz 3 Buchstabe e der Verordnung (EU) 2022/2554 genannten gewähren muss;
— keine Sollmaßnahme im Katalog zugeordnet
k)
dass der IKT-Drittdienstleister dem Finanzunternehmen jede wesentliche Änderung der Unterauftragsvereinbarungen zu melden hat;
— keine Sollmaßnahme im Katalog zugeordnet
l)
dass das Finanzunternehmen das Recht hat, den Vertrag mit dem IKT-Drittdienstleister zu kündigen, wenn die in Artikel 6 der vorliegenden Verordnung oder die in Artikel 28 Absatz 7 der Verordnung (EU) 2022/2554 beschriebenen Bedingungen erfüllt sind.
DORA-Sollmaßnahmen
D24.010kwF-relevante Vertragsinhalte: Kündigungsrecht bei unzulässiger UnterauftragsvergabeS
(2)
Änderungen, die aufgrund der vorliegenden Verordnung an vertraglichen Vereinbarungen zwischen dem Finanzunternehmen und IKT-Drittdienstleistern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon erbringen, vorgenommen werden müssen, werden zeitnah und so bald wie möglich umgesetzt. Das Finanzunternehmen dokumentiert den geplanten zeitlichen Ablauf der Umsetzung.
DORA-Sollmaßnahmen
D24.013Anpassung bestehender kwF-relevanter IKT-Verträge an die Bedingungen der UnterauftragsvergabeS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Untervergabe (2025/532)›Art. 5
Artikel 5
Wesentliche Änderungen an Unterauftragsvereinbarungen über IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen
RTS Untervergabe (2025/532)
(1)
Die vertragliche Vereinbarung sieht vor, dass der IKT-Drittdienstleister das Finanzunternehmen rechtzeitig über alle beabsichtigten wesentlichen Änderungen seiner Unterauftragsvereinbarungen informiert, damit das Finanzunternehmen Folgendes bewerten kann:
a)
die Auswirkung auf die Risiken, denen er ausgesetzt ist oder ausgesetzt sein könnte;
b)
ob solche wesentlichen Änderungen die Fähigkeit des IKT-Drittdienstleisters beeinträchtigen könnten, seinen vertraglichen Verpflichtungen gegenüber dem Finanzunternehmen nachzukommen.
DORA-Sollmaßnahmen
D24.006Mitteilungspflicht bei Änderung der UnterauftragsvergabeS
D24.011kwF-relevante Vertragsinhalte: Anzeige von UnterauftragsänderungenS
↕ Bindet mit Abs. 4 zusammen — die gemeinsame Sollmaßnahme steht dort.
(2)
Die vertragliche Vereinbarung muss eine angemessene Mitteilungsfrist enthalten, in der das Finanzunternehmen den Änderungen zustimmen oder sie ablehnen kann.
(3)
Der IKT-Drittdienstleister setzt die wesentlichen Änderungen seiner Unterauftragsvereinbarungen erst dann um, wenn das Finanzunternehmen die Änderungen bis zum Ablauf der Mitteilungsfrist entweder genehmigt oder sie nicht abgelehnt hat.
↕ Bindet mit Abs. 4 zusammen — die gemeinsame Sollmaßnahme steht dort.
(4)
Ist das Finanzunternehmen der Auffassung, dass die in Absatz 1 genannten wesentlichen Änderungen die Risikotoleranz des Finanzunternehmens überschreiten, so muss es vor Ablauf der Mitteilungsfrist
a)
den IKT-Drittdienstleister davon in Kenntnis setzen;
b)
die Änderungen ablehnen und vor deren Umsetzung Anpassungen verlangen.
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D24.012kwF-relevante Vertragsinhalte: Mitteilungsfrist, Zustimmung und Ablehnung bei UnterauftragsänderungenS
Leitlinie für die Nutzung von IKT-Dienstleistungen: Anzeige, Frist, Kündigung
DORA-Sollmaßnahmen
D24.007Umsetzung von Vertragsanpassungen bei UnterauftragsvergabeS
DORA-Sollmaßnahmen
D24.008IKT-Risikobewertung bei UnterauftragsänderungenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Untervergabe (2025/532)›Art. 6
Artikel 6
Kündigung des Vertrags zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister
RTS Untervergabe (2025/532)
Das Finanzunternehmen hat das Recht, in der vertraglichen Vereinbarung mit dem IKT-Drittdienstleister vorzusehen, dass die vertragliche Vereinbarung in jedem der folgenden Fälle beendet wird:
a)
Das Finanzunternehmen hat wesentliche Änderungen der Unterauftragsvereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen abgelehnt und um Anpassungen dieser Änderungen gebeten, doch der IKT-Drittdienstleister hat diese wesentlichen Änderungen dennoch umgesetzt;
b)
der IKT-Drittdienstleister hat vor Ablauf der Mitteilungsfrist ohne Genehmigung des Finanzunternehmens wesentliche Änderungen an den Unterauftragsvereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon vorgenommen;
c)
der IKT-Drittdienstleister hat eine IKT-Dienstleistung, die eine kritische oder wichtige Funktion oder einen wesentlichen Teil davon unterstützt, als Unterauftrag vergeben, obwohl eine derartige Unterauftragsvergabe im Vertrag zwischen dem Finanzunternehmen und dem IKT-Drittdienstleister nicht ausdrücklich genehmigt wurde.
DORA-Sollmaßnahmen
D24.010kwF-relevante Vertragsinhalte: Kündigungsrecht bei unzulässiger UnterauftragsvergabeS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS Untervergabe (2025/532)›Art. 7
Artikel 7
Inkrafttreten
RTS Untervergabe (2025/532)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 1
Artikel 1
Begriffsbestimmungen
RTS TLPT (2025/1190)
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:
1.
„Kontrollteam“ das Team, das sich aus Mitarbeitern des getesteten Finanzunternehmens und, entsprechend dem Umfang des TLPT, gegebenenfalls aus Mitarbeitern seiner Drittdienstleister und jeder anderen Partei, die den Test leitet, zusammensetzt;
2.
„Leiter des Kontrollteams“ den Mitarbeiter des Finanzunternehmens, der für die Durchführung aller TLPT-bezogenen Aktivitäten des Finanzunternehmens im Rahmen eines bestimmten Tests verantwortlich ist;
3.
„Blue Team“ die Mitarbeiter des Finanzunternehmens und gegebenenfalls die Mitarbeiter der Drittdienstleister des Finanzunternehmens und alle anderen entsprechend dem Umfang des TLPT als relevant erachteten Parteien bei den Drittdienstleitern des Finanzunternehmens, die die Nutzung von Netzwerk- und Informationssystemen des Finanzunternehmens absichern, indem sie seine Fähigkeit zur Abwehr simulierter oder realer Angriffe aufrechterhalten, und die keine Kenntnis vom TLPT haben;
4.
„Blue-Team-Aufgaben“ Aufgaben, die in der Regel vom Blue Team wahrgenommen werden, wie z. B. Security Operation Centre (SOC), IKT-Infrastrukturdienstleistungen, Helpdesk-Dienstleistungen und Vorfallmanagement-Dienstleistungen auf operativer Ebene;
5.
„Red Team“ die internen oder externen Tester, die mit einem TLPT beauftragt oder betraut wurden;
6.
„Purple-Teaming“ gemeinsam durchgeführte Tests, an denen sowohl die Tester als auch das Blue Team beteiligt sind;
7.
„TLPT-Behörde“ eine der folgenden Behörden:
a)
die gemäß Artikel 26 Absatz 9 der Verordnung (EU) 2022/2554 benannte einzige staatliche Behörde im Finanzsektor,
b)
die für den Finanzsektor zuständige Behörde, der die Wahrnehmung einiger oder aller Aufgaben im Zusammenhang mit TLPT gemäß Artikel 26 Absatz 10 der Verordnung (EU) 2022/2554 übertragen wird,
c)
eine der in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörden;
8.
„TLPT-Cyberteam“ oder „TCT“ die Mitarbeiter der TLPT-Behörden, die für mit TLPT verbundene Angelegenheiten zuständig sind;
9.
„Testmanager“ die Mitarbeiter, die benannt wurden, um die Aktivitäten der TLPT-Behörde für einen bestimmten TLPT zu leiten und die Einhaltung dieser Verordnung zu überwachen;
10.
„Anbieter von Bedrohungsanalysen“ die Sachverständigen, die vom Finanzunternehmen für den jeweiligen TLPT beauftragt wurden und nicht dem Finanzunternehmen oder etwaigen gruppeninternen IKT-Dienstleistern angehören und die gezielte Bedrohungsinformationen sammeln und analysieren, welche für die Finanzunternehmen, die in den Anwendungsbereich eines spezifischen TLPT fallen, relevant sind, und entsprechende relevante und realistische Bedrohungsszenarien entwickeln;
11.
„TLPT-Anbieter“ Tester und Anbieter von Bedrohungsanalysen;
12.
„Hilfestellung“ oder „Leg-up“ die Unterstützung oder Informationen, die das Kontrollteam den Testern zur Verfügung stellt, um es ihnen zu ermöglichen, einen Angriffspfad fortzusetzen, wenn sie allein nicht weiterkommen, und wenn es keine andere vernünftige Alternative gibt, z. B. wenn für einen TLPT nicht genug Zeit oder Ressourcen zur Verfügung stehen;
13.
„Angriffspfad“ den Pfad, dem die Tester während des aktiven Red-Team-Tests folgen, um die für diesen TLPT vordefinierten Ziele zu erreichen;
14.
„Flags“ oder „vordefinierte Ziele“ Kernziele der IKT-Systeme zur Unterstützung kritischer oder wichtiger Funktionen eines Finanzunternehmens, die die Tester mit dem Test zu erreichen versuchen;
15.
„sensible Informationen“ Informationen, die leicht für Angriffe auf die IKT-Systeme des Finanzunternehmens genutzt werden können, geistiges Eigentum, vertrauliche Geschäftsdaten oder personenbezogene Daten, die dem Finanzunternehmen und seinem Ökosystem direkt oder indirekt schaden könnten, wenn sie in die Hände böswilliger Akteure fallen würden;
16.
„Pool“ alle Finanzunternehmen, die an einem gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 teilnehmen;
17.
„Aufnahmemitgliedstaat“ den Aufnahmemitgliedstaat gemäß den sektorspezifischen Rechtsvorschriften der Union, die für das betreffende Finanzunternehmen gelten;
18.
„gemeinsamer TLPT“ einen TLPT, bei dem es sich nicht um einen gebündelten TLPT im Sinne des Artikels 26 Absatz 4 der Verordnung (EU) 2022/2554 handelt und an dem mehrere Finanzunternehmen beteiligt sind, die denselben gruppeninternen IKT-Dienstleister in Anspruch nehmen oder derselben Gruppe angehören und IKT-Systeme gemeinsam nutzen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 2
Artikel 2
Bestimmung der Finanzunternehmen, die zur Durchführung eines TLPT verpflichtet sind
RTS TLPT (2025/1190)
(1)
Die TLPT-Behörden prüfen, ob ein Finanzunternehmen zur Durchführung eines TLPT verpflichtet ist, und berücksichtigen dabei die Auswirkungen dieses Finanzunternehmens, seinen systemischen Charakter und sein IKT-Risikoprofil auf der Grundlage aller folgenden Kriterien:
a)
Faktoren in Verbindung mit Auswirkungen und systemischem Charakter:
i)
Größe des Finanzunternehmens, die sich danach richtet, ob das Finanzunternehmen Finanzdienstleistungen in einem oder mehreren Mitgliedstaaten erbringt, und die durch Vergleich der Tätigkeiten des Finanzunternehmens mit denen anderer Finanzunternehmen, die ähnliche Dienstleistungen erbringen, ermittelt wird,
ii)
Ausmaß und Art der Verflechtung des Finanzunternehmens mit anderen Finanzunternehmen des Finanzsektors in einem oder mehreren Mitgliedstaaten,
iii)
Kritikalität oder Bedeutung der Dienstleistungen, die das Finanzunternehmen für den Finanzsektor erbringt,
iv)
Substituierbarkeit der von dem betreffenden Finanzunternehmen erbrachten Dienstleistungen,
v)
Komplexität des Geschäftsmodells des Finanzunternehmens und der damit verbundenen Dienstleistungen und Prozesse,
vi)
Frage, ob das Finanzunternehmen Teil einer Gruppe systemischen Charakters auf Unionsebene oder auf nationaler Ebene im Finanzsektor ist und IKT-Systeme gemeinsam nutzt;
b)
Faktoren in Verbindung mit dem IKT-Risiko:
i)
Risikoprofil des Finanzunternehmens,
ii)
Bedrohungslage des Finanzunternehmens,
iii)
Grad der Abhängigkeit kritischer oder wichtiger Funktionen des Finanzunternehmens oder seiner unterstützenden Funktionen von IKT-Systemen und -Prozessen,
iv)
Komplexität der IKT-Architektur des Finanzunternehmens,
v)
Von IKT-Drittdienstleistern unterstützte IKT-Dienstleistungen und -Funktionen sowie Anzahl und Art der vertraglichen Vereinbarungen mit IKT-Drittdienstleistern oder gruppeninternen IKT-Dienstleistern,
vi)
Ergebnisse etwaiger aufsichtlicher Überprüfungen, die für die Bewertung der IKT-Reife des Finanzunternehmens relevant sind,
vii)
Reifegrad der IKT-Geschäftsfortführungspläne und IKT-Reaktions- und Wiederherstellungspläne,
viii)
Reifegrad der operativen IKT-Sicherheitskontrollen und Risikominderungsmaßnahmen, einschließlich der Fähigkeit,
1.
die IKT-Infrastruktur des Finanzunternehmens dauerhaft zu überwachen,
2.
IKT-bezogene Ereignisse in Echtzeit zu erkennen,
3.
die unter Ziffer 2 genannten Ereignisse zu analysieren,
4.
auf die unter Ziffer 2 genannten Ereignisse schnell und wirksam zu reagieren,
ix)
Frage, ob das Finanzunternehmen Teil einer Gruppe ist, die auf Unionsebene oder auf nationaler Ebene im Finanzsektor tätig ist und IKT-Systeme gemeinsam nutzt.
Für die Zwecke des Buchstabens a Ziffer i berücksichtigt die TLPT-Behörde nach Möglichkeit
a)
den Marktanteil des Finanzunternehmens auf Unions- und nationaler Ebene,
b)
das Spektrum der vom Finanzunternehmen angebotenen Tätigkeiten,
c)
den Marktanteil der vom Finanzunternehmen erbrachten Dienstleistungen oder der auf Unions- und nationaler Ebene durchgeführten Tätigkeiten.
Für die Zwecke des Buchstabens a Ziffer v berücksichtigt die TLPT-Behörde, soweit möglich,
a)
ob das Finanzunternehmen über mehr als ein Geschäftsmodell verfügt,
b)
die Verflechtung der verschiedenen Geschäftsprozesse und der damit verbundenen Dienstleistungen.
DORA-Sollmaßnahmen
TLPT-012TLPT-Anforderungen: Feststellung der TLPT-PflichtS
(2)
Die TLPT-Behörden verlangen von allen folgenden Finanzunternehmen die Durchführung von TLPT, es sei denn, die Bewertung eines Finanzunternehmens gemäß Absatz 1 hat ergeben, dass seine Auswirkungen, Bedenken hinsichtlich der Finanzstabilität in Bezug auf das betreffende Finanzunternehmen oder sein IKT-Risikoprofil die Durchführung eines TLPT nicht rechtfertigen:
a)
Kreditinstitute, die eine der folgenden Bedingungen erfüllen:
i)
Sie wurden gemäß Artikel 131 der Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates (7) als global systemrelevante Institute (G-SRI) eingestuft.
ii)
Sie wurden gemäß Artikel 131 der Richtlinie 2013/36/EU als andere systemrelevante Institute („A-SRI“) ermittelt.
iii)
Sie sind Teil eines G-SRI oder A-SRI.
b)
Zahlungsinstitute, die in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, einen Gesamtbetrag der Zahlungsvorgänge im Sinne von Artikel 4 Ziffer 5 der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates (8) von 150 Mrd. EUR überschritten haben,
c)
E-Geld-Institute, die in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, entweder einen Gesamtbetrag der Zahlungsvorgänge im Sinne von Artikel 4 Ziffer 5 der Richtlinie (EU) 2015/2366 von 150 Mrd. EUR oder einen Gesamtbetrag des E-Geld-Umlaufs von 40 Mrd. EUR überschritten haben,
d)
Zentralverwahrer,
e)
zentrale Gegenparteien,
f)
Handelsplätze mit einem elektronischen Handelssystem, die eines der folgenden Kriterien erfüllen:
i)
Der Handelsplatz hat in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, in Bezug auf den Umsatz auf nationaler Ebene den höchsten Marktanteil in einem der folgenden Bereiche:
1.
übertragbare Wertpapiere im Sinne des Artikels 4 Absatz 1 Nummer 44 Buchstabe a der Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates (9),
2.
übertragbare Wertpapiere im Sinne des Artikels 4 Absatz 1 Nummer 44 Buchstabe b der Richtlinie 2014/65/EU,
3.
Derivate im Sinne des Artikels 2 Absatz 1 Nummer 29 der Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates (10),
4.
strukturierte Finanzprodukte im Sinne des Artikels 2 Absatz 1 Nummer 28 der Verordnung (EU) Nr. 600/2014,
5.
Emissionszertifikate im Sinne des Anhangs I Abschnitt C Nummer 11 der Richtlinie 2014/65/EU,
ii)
Der Handelsplatz hat in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, in Bezug auf den Umsatz auf Unionsebene einen Marktanteil von über 5 % in einem der folgenden Bereiche:
1.
Aktien und andere, Aktien oder Anteilen an Gesellschaften, Personengesellschaften oder anderen Rechtspersönlichkeiten gleichzustellende Wertpapiere sowie Aktienzertifikate,
2.
Schuldverschreibungen oder andere verbriefte Schuldtitel, einschließlich Zertifikaten (Hinterlegungsscheinen) für solche Wertpapiere,
3.
Derivate, die in Artikel 2 Absatz 1 Nummer 29 der Verordnung (EU) Nr. 600/2014 definiert sind,
4.
strukturierte Finanzprodukte im Sinne des Artikels 2 Absatz 1 Nummer 28 der Verordnung (EU) Nr. 600/2014,
5.
Emissionszertifikate im Sinne des Anhangs I Abschnitt C Nummer 11 der Richtlinie 2014/65/EU.
g)
Versicherungs- und Rückversicherungsunternehmen, die alle folgenden Kriterien erfüllen:
i)
Die verbuchten Bruttoprämieneinnahmen betragen mehr als 1 500 000 000 EUR.
ii)
Die versicherungstechnischen Rückstellungen betragen mehr als 10 000 000 000 EUR.
iii)
Versicherungsunternehmen, die nur in der Lebensversicherung oder die sowohl in der Lebensversicherung als auch in der Nichtlebensversicherung tätig sind und deren Vermögenswerte insgesamt 3,5 % der Summe der gemäß Artikel 75 der Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates bewerteten gesamten Vermögenswerte (11) der in dem Mitgliedstaat niedergelassenen Versicherungs- und Rückversicherungsunternehmen übersteigen.
Für die Zwecke des Buchstabens f Ziffer ii wird für den Fall, dass der Handelsplatz Teil eines gruppenübergreifenden IKT-Systems oder desselben gruppeninternen IKT-Dienstleisters ist, der Umsatz mit den Wertpapieren und Derivatkontrakten an allen Handelsplätzen berücksichtigt, die derselben Gruppe angehören und in der Union niedergelassen sind.
Für die Zwecke des Buchstabens g ermitteln die TLPT-Behörden eine Untergruppe aller Versicherungs- und Rückversicherungsunternehmen und wenden die unter Buchstabe g Ziffern i, ii und iii festgelegten Kriterien an. Zu dieser Untergruppe gehörende Versicherungs- und Rückversicherungsunternehmen sind zur Durchführung von TLPT verpflichtet, wenn sie eines der folgenden Kriterien erfüllen:
a)
verbuchte Bruttoprämieneinnahmen von mehr als 3 000 000 000 EUR,
b)
versicherungstechnische Rückstellungen von mehr als 30 000 000 000 EUR,
c)
Summe der Vermögenswerte übersteigt 10 % der Summe der gemäß Artikel 75 der Richtlinie 2009/138/EG bewerteten gesamten Vermögenswerte der in dem Mitgliedstaat niedergelassenen Versicherungs- und Rückversicherungsunternehmen.
(3)
Erfüllen mehrere Finanzunternehmen, die derselben Gruppe angehören und IKT-Systeme gemeinsam nutzen, oder mehrere Finanzunternehmen, die denselben gruppeninternen IKT-Dienstleister in Anspruch nehmen, die in Absatz 2 genannten Kriterien, so entscheiden die für diese Finanzunternehmen zuständigen TLPT-Behörden gemäß Artikel 16 Absatz 2, ob die Pflicht zur Durchführung von TLPT auf Einzelbasis für diese Finanzunternehmen relevant ist.
Unterscheidet sich die für das Mutterunternehmen einer in Unterabsatz 1 genannten Gruppe von Finanzunternehmen zuständige TLPT-Behörde von den für die Finanzunternehmen der Gruppe zuständigen TLPT-Behörden, so wird diese Behörde von den TLPT-Behörden, die für die zu dieser Gruppe gehörenden Finanzunternehmen zuständig sind, zu der Frage konsultiert, ob TLPT auf Einzelbasis durchgeführt werden sollten.
DORA-Schulungsfolien
Erweiterte Tests zur Sicherstellung der digitalen operationalen Resilienz: Bedrohungsorientierte Penetrationstests (TLPT)
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 3
Artikel 3
TCT- und TLPT-Testmanager
RTS TLPT (2025/1190)
(1)
Eine TLPT-Behörde überträgt die Zuständigkeit für die Koordinierung der mit TLPT verbundenen Aktivitäten einem Test-Cyberteam (im Folgenden „TCT“). Ein TCT setzt sich aus Testmanagern zusammen, die mit der Beaufsichtigung eines einzelnen TLPT betraut sind.
(2)
Für jeden Test benennt die TLPT-Behörde einen Testmanager und mindestens einen Stellvertreter.
(3)
Die Testmanager überwachen, ob die in dieser Verordnung festgelegten Anforderungen eingehalten werden, und stellen deren Einhaltung sicher.
(4)
Der Testmanager teilt dem Finanzunternehmen die Kontaktdaten des TCT im Wege der in Artikel 9 Absatz 1 genannten Aufforderung mit.
(5)
Die TLPT-Behörde nimmt an allen Phasen des TLPT teil.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 4
Artikel 4
Von den Finanzunternehmen zu treffende organisatorische Vorkehrungen
RTS TLPT (2025/1190)
(1)
Die Finanzunternehmen benennen ein Kontrollteam, das für die laufende Umsetzung des TLPT sowie die Entscheidungen und Maßnahmen des Kontrollteams zuständig ist.
DORA-Sollmaßnahmen
TLPT-017TLPT-Organisation: Benennung des Kontrollteam-LeitersS
(2)
Finanzunternehmen legen organisatorische und verfahrenstechnische Maßnahmen fest, um sicherzustellen, dass
DORA-Sollmaßnahmen und DORA-Schulungsfolien
Vorgabedokument: TLPT-Richtlinie
TLPT-001Erstellung einer TLPT-RichtlinieS
TLPT-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
TLPT-018TLPT-Organisation: Organisatorische RahmenbedingungenS
a)
der Zugang zu Informationen über geplante oder laufende TLPT dem Kontrollteam, dem Leitungsorgan, den Testern, dem Anbieter von Bedrohungsanalysen und der TLPT-Behörde nur in dem Maße gewährt wird, in dem die Kenntnis der Informationen notwendig ist,
DORA-Sollmaßnahmen
TLPT-019TLPT-Organisation: Zugriffsbeschränkung auf TLPT-InformationenS
b)
das Kontrollteam die Testmanager konsultiert, bevor es ein Mitglied des Blue Teams in einen TLPT einbindet,
DORA-Sollmaßnahmen
TLPT-020TLPT-Steuerung: Konsultation vor Blue-Team-EinbeziehungS
c)
das Kontrollteam informiert wird, wenn ein Mitarbeiter des Finanzunternehmens oder seiner Drittdienstleister den TLPT aufdeckt, im Falle einer Eskalation der sich daraus ergebenden Reaktion auf Vorfälle das Kontrollteam erforderlichenfalls eine solche Eskalation eindämmt,
DORA-Sollmaßnahmen
TLPT-021TLPT-Steuerung: Reaktion bei TestaufdeckungS
d)
Vereinbarungen über die Geheimhaltung des TLPT bestehen, die für die Mitarbeiter des Finanzunternehmens, die Mitarbeiter der betreffenden IKT-Drittdienstleister, Tester und den Anbieter von Bedrohungsanalysen gelten,
DORA-Sollmaßnahmen
TLPT-022TLPT-Organisation: GeheimhaltungsvereinbarungenS
e)
das Kontrollteam den Testmanagern auf Anfrage alle Informationen über den TLPT zur Verfügung stellt,
DORA-Sollmaßnahmen
TLPT-023TLPT-Steuerung: Informationsbereitstellung an TestmanagerS
f)
sich die am TLPT beteiligten Parteien nach Möglichkeit nur mit Codenamen darauf beziehen.
DORA-Sollmaßnahmen
TLPT-024TLPT-Steuerung: Vertraulichkeit durch CodenamenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 5
Artikel 5
Risikomanagement bei TLPT
RTS TLPT (2025/1190)
(1)
Während der Vorbereitungsphase gemäß Artikel 9 bewertet das Kontrollteam die Risiken im Zusammenhang mit Tests der Live-Produktionssysteme kritischer oder wichtiger Funktionen des Finanzunternehmens, einschließlich möglicher Auswirkungen auf
a)
den Finanzsektor,
b)
die Finanzstabilität auf Unions- oder nationaler Ebene.
Das Kontrollteam überprüft diese Auswirkungen während des gesamten Tests.
DORA-Sollmaßnahmen
TLPT-025TLPT-Testerauswahl: Risikomanagement bei TesterbeauftragungS
(2)
Für die Zwecke der Risikobewertung und des Risikomanagements berücksichtigt das Kontrollteam mindestens die folgenden Arten von Risiken in Verbindung mit
a)
der Gewährung des Zugangs zu sensiblen Informationen über das Finanzunternehmen für die Anbieter von Bedrohungsanalysen und gegebenenfalls externe Tester,
b)
der unzureichenden Einhaltung der Verordnung (EU) 2022/2554 und der vorliegenden Verordnung bei der Durchführung des TLPT, wenn diese unzureichende Einhaltung dazu führt, dass die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung nicht ausgestellt wird, auch wenn diese unzureichende Einhaltung auf Verletzungen der Vertraulichkeit des TLPT oder mangelndes ethisches Verhalten zurückzuführen ist,
c)
einer Eskalation in eine Krise oder einen Vorfall,
d)
der aktiven Red-Team-Phase, einschließlich der Risiken in Verbindung mit der Unterbrechung kritischer Tätigkeiten und der Datenkorruption aufgrund der Aktivitäten der Tester, und ihrer potenziellen Auswirkungen auf Dritte,
e)
der Aktivität des Blue Teams, einschließlich der Risiken in Verbindung mit der Unterbrechung kritischer Tätigkeiten und der Datenkorruption aufgrund der Aktivitäten des Blue Teams, und ihrer potenziellen Auswirkungen auf Dritte,
f)
der unvollständigen Wiederherstellung der vom TLPT betroffenen Systeme.
DORA-Sollmaßnahmen
TLPT-026TLPT-Steuerung: Risikoarten der TLPT-RisikobewertungS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 6
Artikel 6
Risikomanagement bei gebündelten oder gemeinsamen TLPT
RTS TLPT (2025/1190)
(1)
Im Falle eines gemeinsamen TLPT oder eines gebündelten TLPT führt das Kontrollteam jedes Finanzunternehmens eine eigene Risikobewertung durch und legt seine eigenen Risikomanagementmaßnahmen fest.
(2)
Das Kontrollteam des gemäß Artikel 16 Absatz 3 Buchstabe b dieser Verordnung benannten Finanzunternehmens oder das gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 benannte Finanzunternehmen bewertet die Risiken in Verbindung mit der Beteiligung mehrerer Finanzunternehmen an dem TLPT. Die Kontrollteams der beteiligten Finanzunternehmen arbeiten mit dem Kontrollteam des benannten Finanzunternehmens zusammen, um potenzielle gemeinsame Risiken zu ermitteln.
DORA-Sollmaßnahmen
TLPT-027TLPT-Steuerung: Individuelle Risikobewertung bei gemeinsamen TLPTsS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 7
Artikel 7
Auswahl der TLPT-Anbieter
RTS TLPT (2025/1190)
(1)
Das Kontrollteam ergreift Maßnahmen zur Steuerung der mit dem TLPT verbundenen Risiken und stellt insbesondere sicher, dass bei jedem TLPT
DORA-Sollmaßnahmen
TLPT-028TLPT-Steuerung: Risikosteuerung durch das KontrollteamS
a)
der Anbieter von Bedrohungsanalysen und externe Tester dem Kontrollteam einen ausführlichen Lebenslauf und Kopien von Bescheinigungen vorlegen, die nach anerkannten Marktstandards eine geeignete Grundlage für die Durchführung ihrer Tätigkeiten sind,
DORA-Sollmaßnahmen
TLPT-029TLPT-Testerauswahl: Lebenslauf und BescheinigungenS
b)
der Anbieter von Bedrohungsanalysen und externe Tester ordnungsgemäß und vollständig durch einschlägige Berufshaftpflichtversicherungen abgesichert sind, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit,
DORA-Sollmaßnahmen
TLPT-030TLPT-Testerauswahl: VersicherungsnachweisS
c)
der Anbieter von Bedrohungsanalyen mindestens drei Referenzen aus früheren Aufträgen im Zusammenhang mit Penetrationstests und Red-Team-Testing vorlegt,
DORA-Sollmaßnahmen
TLPT-031TLPT-Testerauswahl: Referenznachweise Bedrohungsanalyse-AnbieterS
d)
die externen Tester mindestens fünf Referenzen aus früheren Aufträgen im Zusammenhang mit Penetrationstests und Red-Team-Testing vorlegen,
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
e)
die dem TLPT zugewiesenen Mitarbeiter des Anbieters von Bedrohungsanalysen
i)
aus mindestens einer Führungskraft mit mindestens fünf Jahren Erfahrung im Bereich der Bedrohungsanalyse und mindestens einem weiteren Mitglied mit mindestens zwei Jahren Erfahrung im Bereich der Bedrohungsanalyse besteht,
ii)
ein breites und angemessenes Niveau an Fachkenntnissen und beruflichen Qualifikationen aufweist, darunter
1.
Kenntnis der Taktiken, Techniken und Verfahren zur Informationsgewinnung,
2.
geopolitisches, technisches und sektorbezogenes Wissen,
3.
angemessene Kommunikationsfähigkeiten, um das Ergebnis des Arbeitsauftrags klar darzulegen und darüber Bericht zu erstatten,
iii)
in der Vergangenheit an insgesamt mindestens drei Arbeitsaufträgen im Bereich der Bedrohungsanalyse im Zusammenhang mit Penetrationstests und Red-Team-Tests beteiligt war,
iv)
nicht gleichzeitig Blue-Team-Aufgaben oder andere Dienstleistungen ausführt, die einen Interessenkonflikt hinsichtlich des an dem TLPT, dem sie zugewiesen sind, beteiligten Finanzunternehmens, IKT-Drittdienstleisters oder gruppeninternen IKT-Dienstleisters darstellen könnten,
v)
von Mitarbeitern desselben TLPT-Anbieters, der externe Tester für denselben TLPT bereitstellt, getrennt ist und diesen nicht Bericht erstattet,
DORA-Sollmaßnahmen
Vorgabedokument: TLPT-Richtlinie
TLPT-032TLPT-Testerauswahl: Qualifikation Bedrohungsanalyse-PersonalS
TLPT-033TLPT-Testerauswahl: Personelle TrennungS
f)
bei externen Testern das dem TLPT zugewiesene Red Team
i)
aus mindestens einer Führungskraft mit mindestens fünf Jahren Erfahrung mit Penetrationstests und Red-Team-Tests sowie mindestens zwei weiteren Testern, die jeweils mindestens zwei Jahre Erfahrung mit Penetrationstests und Red-Team-Tests haben, besteht,
ii)
ein breites und angemessenes Niveau an Fachkenntnissen und beruflichen Qualifikationen aufweist, darunter Kenntnisse über die Geschäftstätigkeit des Finanzunternehmens, Auskundschaftung, Risikomanagement, Exploit-Entwicklung, physische Penetration, Social Engineering und Schwachstellenanalyse, und angemessene Kommunikationsfähigkeiten besitzt, um das Ergebnis des Arbeitsauftrags klar darzulegen und darüber Bericht zu erstatten,
iii)
in der Vergangenheit an insgesamt mindestens fünf Arbeitsaufträgen im Zusammenhang mit Penetrationstests und Red-Team-Tests beteiligt war,
iv)
weder bei einem Anbieter von Bedrohungsanalysen, der gleichzeitig Blue-Team-Aufgaben für ein an dem TLPT beteiligtes Finanzunternehmen, einen IKT-Drittdienstleister oder einen gruppeninternen IKT-Dienstleister wahrnimmt, beschäftigt ist noch Dienstleistungen für einen solchen Anbieter erbringt,
v)
von Mitarbeitern desselben TLPT-Anbieters getrennt ist, der gleichzeitig Bedrohungsanalyse-Dienstleistungen für denselben TLPT erbringt,
DORA-Sollmaßnahmen
Vorgabedokument: TLPT-Richtlinie
TLPT-034TLPT-Testerauswahl: Qualifikation Red-Team-PersonalS
TLPT-035TLPT-Testerauswahl: Unabhängigkeit des Red TeamsS
g)
die Tester und der Anbieter von Bedrohungsanalysen am Ende der Tests Wiederherstellungsverfahren durchführen, einschließlich der sicheren Löschung von Informationen im Zusammenhang mit Passwörtern, Zugangsdaten und anderen geheimen Schlüsseln, die während des TLPT kompromittiert wurden, der sicheren Kommunikation mit den Finanzunternehmen über die kompromittierten Konten, der sicheren Erfassung, Speicherung, Verwaltung und Vernichtung anderer während der Tests erhobener Daten,
DORA-Sollmaßnahmen
TLPT-036TLPT-Steuerung: Wiederherstellung nach TestendeS
h)
die Tester zusätzlich zu den Wiederherstellungsverfahren am Ende der Tests gemäß Buchstabe g die folgenden Wiederherstellungsverfahren durchführen:
i)
Deaktivierung von Command-and-Control-Diensten,
ii)
Kill Switches für Umfang und Datum,
iii)
Entfernung von Hintertüren und anderer Schadsoftware,
iv)
Meldung möglicher Sicherheitsverletzungen,
v)
Verfahren für die künftige Backup-Wiederherstellung, die während des Tests installierte Schadsoftware oder Tools betreffen können,
vi)
Überwachung der Aktivitäten des Blue Teams und Unterrichtung des Kontrollteams, wenn der Test aufgedeckt wird,
↑ Die zugeordnete Sollmaßnahme steht oben in diesem Artikel.
i)
die Tester und der Anbieter von Bedrohungsanalysen keine der folgenden Aktivitäten durchführen oder sich daran beteiligen:
i)
unbefugte Zerstörung von Ausrüstung des Finanzunternehmens und gegebenenfalls seiner IKT-Drittdienstleister,
ii)
unkontrollierte Veränderung der Informationen und IKT-Ressourcen des Finanzunternehmens und gegebenenfalls seiner IKT-Drittdienstleister,
iii)
vorsätzliche Gefährdung der Kontinuität kritischer oder wichtiger Funktionen des Finanzunternehmens,
iv)
unbefugte Einbeziehung von Systemen, die nicht in den Anwendungsbereich fallen,
v)
unbefugte Offenlegung der Testergebnisse.
DORA-Sollmaßnahmen
TLPT-037TLPT-Steuerung: Schutz vor DatenzerstörungS
(2)
Das Kontrollteam führt Aufzeichnungen über die von den Testern und den Anbietern von Bedrohungsanalysen zum Nachweis der Einhaltung von Absatz 1 Buchstaben a bis f bereitgestellten Dokumente.
In Ausnahmefällen können Finanzunternehmen externe Tester und Anbieter von Bedrohungsanalysen beauftragen, die eine oder mehrere der in Absatz 1 Buchstaben a bis f genannten Anforderungen nicht erfüllen, sofern diese Finanzunternehmen geeignete Maßnahmen ergreifen, um die Risiken in Verbindung mit der Nichteinhaltung dieser Buchstaben zu mindern, und über diese Maßnahmen Aufzeichnungen führen.
DORA-Sollmaßnahmen
TLPT-038TLPT-Testerauswahl: Compliance-Prüfung durch KontrollteamS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 8
Artikel 8
Besondere Anforderungen bei gebündelten oder gemeinsamen TLPT
RTS TLPT (2025/1190)
(1)
Sofern die federführende TLPT-Behörde nichts anderes beschließt, führt jedes Finanzunternehmen für den Fall, dass mehrere gemäß Artikel 16 Absätze 2 oder 4 ermittelte Finanzunternehmen an einem gebündelten oder gemeinsamen TLPT beteiligt sind, jeden der in den Artikeln 9 bis 15 genannten Schritte aus.
DORA-Sollmaßnahmen
TLPT-027TLPT-Steuerung: Individuelle Risikobewertung bei gemeinsamen TLPTsS
(2)
Sofern in dieser Verordnung nichts anderes bestimmt ist, sind für den Fall, dass mehrere TLPT-Behörden an einem gemeinsamen TLPT oder einem gebündelten TLPT gemäß Artikel 16 Absatz 3 oder Artikel 16 Absatz 5 beteiligt sind, Bezugnahmen auf „TLPT-Behörde“ in den Artikeln 9 bis 15 als Bezugnahme auf die federführende TLPT-Behörde für einen solchen gebündelten oder gemeinsamen TLPT zu verstehen.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 9
Artikel 9
Vorbereitungsphase
RTS TLPT (2025/1190)
(1)
Ein nach Artikel 26 Absatz 8 Unterabsatz 3 der Verordnung (EU) 2022/2554 bestimmtes Finanzunternehmen leitet einen TLPT ein, nachdem es von der TLPT-Behörde eine Aufforderung zur Durchführung eines TLPT erhalten hat.
(2)
Das Finanzunternehmen übermittelt den Testmanagern innerhalb von drei Monaten nach Erhalt der in Absatz 1 genannten Aufforderung alle folgenden Informationen über die Einleitung des TLPT:
a)
Projektcharta mit einem übergeordneten Projektplan, der die in Anhang I aufgeführten Angaben enthält,
b)
Kontaktdaten des Leiters des Kontrollteams,
c)
Informationen über den beabsichtigten Einsatz interner oder externer Tester oder beidem, wie in Artikel 15 dargelegt,
d)
Angaben zu den Kommunikationskanälen, die während des TLPT genutzt werden sollen,
e)
Codename für den TLPT.
(3)
Sind die in Absatz 2 Buchstaben a bis e genannten Informationen vollständig und stellen die Angemessenheit und wirksame Durchführung des TLPT sicher, so validiert die TLPT-Behörde die vom Finanzunternehmen vorgelegten Informationen, die die Einleitung des TLPT betreffen, und unterrichtet das Finanzunternehmen über die Validierung.
DORA-Sollmaßnahmen
TLPT-039TLPT-Organisation: Information der Testmanager zum TestbeginnS
(4)
Nach der Validierung der Informationen über die Einleitung des TLPT durch die TLPT-Behörde richtet das Finanzunternehmen ein Kontrollteam ein, das den Leiter des Kontrollteams bei seinen folgenden Aufgaben unterstützt:
a)
Festlegung von Kommunikationskanälen und -prozessen innerhalb des Kontrollteams, mit den Testern und den Anbietern von Bedrohungsanalysen in allen mit dem TLPT verbundenen Belangen,
b)
Unterrichtung des Leitungsorgans des Finanzunternehmens über den Fortgang des TLPT und die damit verbundenen Risiken,
c)
Entscheidungsfindung auf der Grundlage von Fachkompetenz während des gesamten TLPT,
d)
Durchführung des TLPT im Einklang mit dieser Verordnung,
e)
Auswahl des Anbieters von Bedrohungsanalysen für den TLPT,
f)
Auswahl der externen Tester, der internen Tester oder beidem,
g)
Ausarbeitung des Scoping-Dokuments zur Festlegung des Testumfangs.
DORA-Sollmaßnahmen
TLPT-040TLPT-Organisation: Aufgaben des KontrollteamsS
(5)
Ist die TLPT-Behörde der Auffassung, dass die anfängliche Zusammensetzung des Kontrollteams und etwaige spätere Änderungen der Zusammensetzung für die Erfüllung der in Absatz 4 genannten Aufgaben angemessen sind, so validiert die TLPT-Behörde das Kontrollteam und unterrichtet den Leiter des Kontrollteams über diese Validierung.
DORA-Sollmaßnahmen
TLPT-041TLPT-Organisation: Einrichtung des KontrollteamsS
(6)
Das Finanzunternehmen legt den Testmanagern innerhalb von sechs Monaten nach Eingang der Unterrichtung der TLPT-Behörde gemäß Absatz 1 ein Dokument zur Beschreibung des Testumfangs mit allen in Anhang II aufgeführten Informationen vor. Das Leitungsorgan des Finanzunternehmens genehmigt das Scoping-Dokument.
↕ Bindet mit Abs. 12 zusammen — die gemeinsame Sollmaßnahme steht dort.
(7)
Die Finanzunternehmen berücksichtigen bei der Einbeziehung kritischer oder wichtiger Funktionen in den Anwendungsbereich des TLPT die folgenden Kriterien:
a)
Kritikalität oder Bedeutung der Funktion und ihre möglichen Auswirkungen auf den Finanzsektor und die Finanzstabilität auf Unions- und nationaler Ebene,
b)
Bedeutung der Funktion für den laufenden Geschäftsbetrieb des Finanzunternehmens,
c)
Austauschbarkeit der Funktion,
d)
Verflechtung mit anderen Funktionen,
e)
geografischer Standort der Funktion,
f)
sektorale Abhängigkeit anderer Unternehmen von der Funktion,
g)
Bedrohungsanalysen in Bezug auf die Funktion, soweit vorhanden.
DORA-Sollmaßnahmen
TLPT-042TLPT-Scoping: AuswahlkriterienS
(8)
Das Kontrollteam legt die Informationen über die Einleitung des TLPT und das Scoping-Dokument den Testern und Anbietern von Bedrohungsanalysen vor, sobald diese beauftragt wurden. Das Kontrollteam informiert die Tester und Anbieter von Bedrohungsanalysen über das anzuwendende Testverfahren.
DORA-Sollmaßnahmen
TLPT-043TLPT-Testplanung: Informationsbereitstellung an TesterS
(9)
Das Finanzunternehmen stellt sicher, dass die Beauftragung oder Zuweisung von Testern und Anbietern von Bedrohungsanalysen vor Beginn der Testphase abgeschlossen ist.
DORA-Sollmaßnahmen
TLPT-044TLPT-Testplanung: Beauftragung von Testern und AnbieternS
(10)
Vor Einleitung der Testphase konsultiert das Kontrollteam die Testmanager zur TLPT-bezogenen Risikobewertung und zu den Risikomanagementmaßnahmen. Das Kontrollteam überprüft die Risikobewertung bzw. die Risikomanagementmaßnahmen, wenn die TLPT-Behörde der Auffassung ist, dass sie den mit dem TLPT verbundenen Risiken nicht angemessen Rechnung tragen.
DORA-Sollmaßnahmen
TLPT-045TLPT-Testerauswahl: Behördenkonsultation zur RisikobewertungS
(11)
Das Kontrollteam bewertet die Einhaltung der Anforderungen des Artikels 27 der Verordnung (EU) 2022/2554 und des Artikels 7 Absatz 1 der vorliegenden Verordnung durch die Anbieter von Bedrohungsanalysen und Tester, die es in den TLPT einbeziehen möchte, und dokumentiert das Ergebnis dieser Bewertung. Das Kontrollteam wählt die Anbieter von Bedrohungsanalysen nach Maßgabe dieser Bewertung und seiner Risikomanagementpraktiken aus. Vor der Beauftragung der ausgewählten Anbieter von Bedrohungsanalysen und externen Tester legt das Kontrollteam den Testmanagern Nachweise vor, dass diese Anbieter und Tester die Anforderungen des Artikels 27 der Verordnung (EU) 2022/2554 und des Artikels 7 Absatz 1 der vorliegenden Verordnung erfüllen. Das Kontrollteam darf die ausgewählten Anbieter von Bedrohungsanalysen und externen Tester nicht beauftragen, wenn die TLPT-Behörde der Auffassung ist, dass die ausgewählten Anbieter von Bedrohungsanalysen und externen Tester die Anforderungen des Artikels 27 der Verordnung (EU) 2022/2554 oder die in Artikel 7 Absatz 1 der vorliegenden Verordnung festgelegten Anforderungen oder zusätzliche Anforderungen, die sich aus einzelstaatlichen Rechtsvorschriften über die Sicherheit im Einklang mit dem Unionsrecht ergeben, nicht erfüllen, oder wenn das Finanzunternehmen die Anforderungen des Artikels 7 Absatz 2 Unterabsatz 1 der vorliegenden Verordnung nicht erfüllt oder wenn die in Artikel 7 Absatz 2 Unterabsatz 2 der vorliegenden Verordnung genannten Voraussetzungen nicht gegeben sind.
DORA-Sollmaßnahmen
Vorgabedokument: TLPT-Richtlinie
TLPT-046TLPT-Testerauswahl: Regulatorische Compliance-PrüfungS
TLPT-047TLPT-Testerauswahl: Compliance-basierte AuswahlS
TLPT-048TLPT-Testerauswahl: Ausschluss bei InteressenkonfliktenS
(12)
Ist das Scoping-Dokument vollständig und gewährleistet die Durchführung eines angemessenen und wirksamen TLPT, so genehmigt die TLPT-Behörde dieses Dokument und unterrichtet den Leiter des Kontrollteams darüber.
DORA-Sollmaßnahmen
TLPT-049TLPT-Organisation: Erstellung des Scoping-DokumentsS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 10
Artikel 10
Testphase: Bedrohungsanalyse
RTS TLPT (2025/1190)
(1)
Nach Genehmigung des Scoping-Dokuments durch die TLPT-Behörde analysiert der Anbieter von Bedrohungsanalysen allgemeine und sektorspezifische Informationen über Bedrohungen, die für das Finanzunternehmen relevant sind. Hat die TLPT-Behörde für den Finanzsektor eines Mitgliedstaats Informationen über die allgemeine Bedrohungslage bereitgestellt, so kann der Anbieter von Bedrohungsanalysen diese Informationen als Grundlage für die nationale Bedrohungslage verwenden. Der Anbieter von Bedrohungsanalysen ermittelt Cyberbedrohungen sowie bestehende oder potenzielle Schwachstellen in Bezug auf das Finanzunternehmen. Darüber hinaus sammelt der Anbieter von Bedrohungsanalysen Informationen über das Finanzunternehmen und analysiert konkrete, verwertbare und kontextbezogene Informationen zu möglichen Angriffszielen und Bedrohungen betreffend das Finanzunternehmen, unter anderem durch Konsultation des Kontrollteams und der Testmanager.
(2)
Der Anbieter von Bedrohungsanalysen legt dem Kontrollteam, den Testern und den Testmanagern die relevanten Bedrohungen und spezifische Bedrohungsinformationen dar und schlägt die erforderlichen Szenarien vor. Die vorgeschlagenen Szenarien sollen sich abhängig von den ermittelten Angreifern und den entsprechenden Taktiken, Techniken und Verfahren unterscheiden und auf jede kritische oder wichtige Funktion im Anwendungsbereich des TLPT abzielen.
DORA-Sollmaßnahmen
TLPT-050TLPT-Durchführung: BedrohungsanalyseS
(3)
Der Leiter des Kontrollteams wählt mindestens drei Szenarien für die Durchführung des TLPT aus und berücksichtigt dabei alle folgenden Elemente:
a)
Empfehlung des Anbieters von Bedrohungsanalysen und bedrohungsorientierter Charakter jedes Szenarios,
b)
Beiträge der Testmanager,
c)
Durchführbarkeit der vorgeschlagenen Szenarien auf der Grundlage der Experteneinschätzung der Tester,
d)
Größe, Komplexität und Gesamtrisikoprofil des Finanzunternehmens sowie Art, Umfang und Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäftsprozesse.
(4)
Höchstens eines der ausgewählten Szenarien darf nicht bedrohungsorientiert sein und kann auf einer zukunftsorientierten und potenziell fiktiven Bedrohung mit hohem prädiktivem, antizipativem, opportunistischem oder prospektivem Wert angesichts der erwarteten Entwicklungen der Bedrohungslage für das Finanzunternehmen beruhen.
Bei gebündelten TLPT umfasst unbeschadet der Szenarien, die direkt auf die kritischen oder wichtigen Funktionen der an dem Test beteiligten Finanzunternehmen ausgerichtet sind, mindestens ein Szenario die einschlägigen zugrunde liegenden IKT-Systeme, -Prozesse und -Technologien des IKT-Drittdienstleisters, die die kritischen oder wichtigen Funktionen der in den Anwendungsbereich fallenden Finanzunternehmen unterstützen.
Handelt es sich bei dem Test um einen gemeinsamen TLPT, an dem ein gruppeninterner IKT-Dienstleister beteiligt ist, umfasst unbeschadet der Szenarien, die direkt auf die kritischen oder wichtigen Funktionen der an dem Test beteiligten Finanzunternehmen ausgerichtet sind, mindestens ein Szenario die einschlägigen zugrunde liegenden IKT-Systeme, -Prozesse und -Technologien des gruppeninternen IKT-Dienstleiters, die die kritischen oder wichtigen Funktionen der in den Anwendungsbereich fallenden Finanzunternehmen unterstützen.
DORA-Sollmaßnahmen
TLPT-051TLPT-Testplanung: Bewertung von TestszenarienS
(5)
Bedrohungsanalysebericht, in dem die gemäß den Absätzen 3 und 4 ausgewählten Szenarien berücksichtigt sind. Der Bedrohungsanalysebericht enthält die in Anhang III aufgeführten Informationen.
(6)
Das Kontrollteam legt dem Testmanager den spezifischen Bedrohungsanalysebericht zur Genehmigung vor. Ist der spezifische Bedrohungsanalysebericht vollständig und gewährleistet die Durchführung eines wirksamen TLPT, so genehmigt die TLPT-Behörde diesen Bericht und unterrichtet den Leiter des Kontrollteams darüber.
DORA-Sollmaßnahmen
TLPT-052TLPT-Durchführung: Genehmigung des BedrohungsanalyseberichtsS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 11
Artikel 11
Testphase: Red-Team-Test
RTS TLPT (2025/1190)
(1)
Nach Genehmigung des spezifischen Bedrohungsanalyseberichts durch die TLPT-Behörde arbeiten die Tester den Red-Team-Testplan aus, der die in Anhang IV aufgeführten Informationen enthält. Die Tester verwenden als Grundlage für die Entwicklung der Angriffsszenarien das Scoping-Dokument und den spezifischen Bedrohungsanalysebericht.
DORA-Sollmaßnahmen
TLPT-053TLPT-Testplanung: Erstellung des Red-Team-TestplansS
(2)
Die Tester konsultieren das Kontrollteam, den Anbieter von Bedrohungsanalysen und die Testmanager zu dem Red-Team-Testplan, einschließlich der Kommunikations-, Verfahrens- und Projektmanagementmodalitäten, der vorbereitenden Maßnahmen und Anwendungsfälle für die Aktivierung der Hilfestellungen sowie der Modalitäten für die Berichterstattung an das Kontrollteam und die Testmanager.
(3)
Ist der Red-Team-Testplan vollständig und gewährleistet die Durchführung eines wirksamen TLPT, so genehmigen das Kontrollteam und die TLPT-Behörde den Plan und die TLPT-Behörde unterrichtet den Leiter des Kontrollteams darüber.
DORA-Sollmaßnahmen
TLPT-054TLPT-Durchführung: Abstimmung zwischen Testern und KontrollteamS
(4)
Nach Genehmigung des Red-Team-Testplans gemäß Absatz 3 führen die Tester den TLPT während der aktiven Red-Team-Testphase durch.
(5)
Die Dauer der aktiven Red-Team-Testphase steht in einem angemessenen Verhältnis zum Umfang des TLPT sowie zur Größe, Tätigkeit, Komplexität und Anzahl der am TLPT beteiligten Finanzunternehmen und IKT-Drittdienstleister oder gruppeninternen IKT-Dienstleister und beträgt in jedem Fall mindestens zwölf Wochen. Angriffsszenarien können nacheinander oder gleichzeitig durchgeführt werden. Das Kontrollteam, der Anbieter von Bedrohungsanalysen, die Tester und die Testmanager einigen sich auf das Ende der aktiven Red-Team-Testphase.
(6)
Sofern die Vollständigkeit des Red-Team-Testplans weiterhin gewährleistet ist und die Durchführung eines wirksamen TLPT möglich ist, genehmigen der Leiter des Kontrollteams und die Testmanager etwaige Änderungen des Red-Team-Testplans nach dessen Genehmigung, die sich auf den Zeitplan, den Umfang, die anzugreifenden Ziele oder die Flags beziehen können.
(7)
Während der gesamten aktiven Red-Team-Testphase erstatten die Tester dem Kontrollteam und den Testmanagern mindestens wöchentlich über den Fortgang des TLPT Bericht, und der Anbieter von Bedrohungsanalysen steht dem Kontrollteam auf Anfrage für Konsultationen und zusätzliche Bedrohungsanalysen zur Verfügung.
(8)
Das Kontrollteam leistet rechtzeitig die auf der Grundlage des Red-Team-Testplans ausgearbeiteten Hilfestellungen. Nach Genehmigung durch das Kontrollteam und die Testmanager können Hilfestellungen hinzugefügt oder angepasst werden.
(9)
Werden die Testaktivitäten von einem Mitarbeiter des Finanzunternehmens oder gegebenenfalls seines IKT-Drittdienstleisters oder eines gruppeninternen IKT-Dienstleisters aufgedeckt, so schlägt das Kontrollteam den Testmanagern in Absprache mit den Testern und unbeschadet des Absatzes 10 Maßnahmen vor, die es ermöglichen, den TLPT fortzusetzen und gleichzeitig die Geheimhaltung zu wahren; diese Vorschläge werden von den Testmanagern validiert.
(10)
Unter außergewöhnlichen Umständen, die das Risiko von Auswirkungen auf Daten, Schäden an Vermögenswerten und Störungen kritischer oder wichtiger Funktionen, Dienste oder Tätigkeiten des Finanzunternehmens selbst, seiner IKT-Drittdienstleister oder gruppeninternen IKT-Dienstleister oder Störungen bei seinen Gegenparteien oder im Finanzsektor hervorrufen, kann der Leiter des Kontrollteams den TLPT aussetzen oder als letztes Mittel, wenn die Fortsetzung des TLPT nicht anderweitig möglich ist und vorbehaltlich der vorherigen Validierung durch die TLPT-Behörde, den TLPT mit einer begrenzten Purple-Teaming-Übung fortführen. Die Dauer der begrenzten Purple-Teaming-Übung wird auf die Mindestdauer der aktiven Red-Team-Testphase von zwölf Wochen gemäß Absatz 5 angerechnet.
DORA-Sollmaßnahmen
TLPT-055TLPT-Durchführung: Einhaltung des Red-Team-TestplansS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 12
Artikel 12
Abschlussphase
RTS TLPT (2025/1190)
(1)
Nach dem Ende der aktiven Red-Team-Testphase teilt der Leiter des Kontrollteams dem Blue Team mit, dass ein TLPT stattgefunden hat.
(2)
Innerhalb von vier Wochen nach dem Ende der aktiven Red-Team-Testphase legen die Tester dem Kontrollteam einen Red-Team-Testbericht vor, der die in Anhang V aufgeführten Informationen enthält.
(3)
Das Kontrollteam legt den Red-Team-Testbericht umgehend dem Blue Team und den Testmanagern vor.
Sofern von den Testmanagern verlangt, darf der in Unterabsatz 1 genannte Bericht keine sensiblen Informationen enthalten.
(4)
Nach Eingang des Red-Team-Testberichts, spätestens jedoch zehn Wochen nach dem Ende der aktiven Red-Team-Testphase, legt das Blue Team dem Kontrollteam einen Blue-Team- Testbericht vor, der die in Anhang VI aufgeführten Informationen enthält. Das Kontrollteam legt den Blue-Team-Testbericht umgehend den Testern und den Testmanagern vor.
Sofern von den Testmanagern verlangt, darf der in Unterabsatz 1 genannte Bericht keine sensiblen Informationen enthalten.
(5)
Spätestens zehn Wochen nach dem Ende der aktiven Red-Team-Testphase wiederholen das Blue Team und die Tester die während des TLPT vorgenommenen offensiven und defensiven Handlungen. Das Kontrollteam führt zudem Purple-Teaming-Übungen zu Themen durch, die vom Blue Team und den Testern gemeinsam auf der Grundlage der während des Tests festgestellten Schwachstellen ermittelt wurden, und gegebenenfalls zu Fragen, die während der aktiven Red-Team-Testphase nicht getestet werden konnten.
(6)
Nach Abschluss der Wiederholungsaktivitäten und der Purple-Teaming-Übungen geben das Kontrollteam, das Blue Team, die Tester und die Anbieter von Bedrohungsanalysen einander Rückmeldungen zu dem TLPT-Verfahren. Die Testmanager können Rückmeldungen geben.
(7)
Sobald die TLPT-Behörde den Leiter des Kontrollteams darüber unterrichtet hat, dass der Blue-Team-Testbericht und der Red-Team-Testbericht ihrer Bewertung zufolge die in den Anhängen V und VI aufgeführten Informationen enthalten, legt das Finanzunternehmen der TLPT-Behörde gemäß Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554 innerhalb von acht Wochen den Bericht mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT, der die in Anhang VII aufgeführten Angaben enthält, zur Genehmigung vor.
Sofern von der TLPT-Behörde verlangt, darf der in Unterabsatz 1 genannte Bericht keine sensiblen Informationen enthalten.
DORA-Sollmaßnahmen
TLPT-056TLPT-Abschluss: Übermittlung des MaßnahmenplansS
DORA-Sollmaßnahmen
TLPT-057TLPT-Abschluss: Strukturiertes AbschlussverfahrenS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 13
Artikel 13
Plan mit Abhilfemaßnahmen
RTS TLPT (2025/1190)
(1)
Innerhalb von acht Wochen nach der in Artikel 12 Absatz 7 der vorliegenden Verordnung genannten Unterrichtung legt das Finanzunternehmen der TLPT-Behörde und — sofern es sich nicht um dieselbe Behörde handelt — der für das Finanzunternehmen zuständigen Behörde die in Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554 genannten Pläne mit Abhilfemaßnahmen und Dokumente vor.
DORA-Sollmaßnahmen
TLPT-056TLPT-Abschluss: Übermittlung des MaßnahmenplansS
(2)
Der in Absatz 1 genannte Plan mit Abhilfemaßnahmen enthält für jedes Ergebnis im Rahmen des TLPT Folgendes:
a)
Beschreibung der festgestellten Mängel,
b)
Beschreibung der vorgeschlagenen Abhilfemaßnahmen, ihrer Priorisierung und ihres voraussichtlichen Abschlusses, gegebenenfalls einschließlich Maßnahmen zur Verbesserung der Identifizierungs-, Schutz-, Erkennungs- und Reaktionsfähigkeiten,
c)
Ursachenanalyse,
d)
Mitarbeiter oder Funktionen des Finanzunternehmens, die für die Umsetzung der vorgeschlagenen Abhilfemaßnahmen oder Verbesserungen verantwortlich sind,
e)
Risiken in Verbindung mit einer ausbleibenden Umsetzung der unter Buchstabe b genannten Maßnahmen und gegebenenfalls die mit der Umsetzung dieser Maßnahmen verbundenen Risiken.
DORA-Sollmaßnahmen
TLPT-058TLPT-Abschluss: Inhalte des MaßnahmenplansS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 14
Artikel 14
Bescheinigung
RTS TLPT (2025/1190)
(1)
Die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung muss die in Anhang VIII aufgeführten Angaben enthalten.
(2)
Wenn mehrere TLPT-Behörden an einem TLPT beteiligt waren, stellt die federführende TLPT-Behörde den getesteten Finanzunternehmen die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung aus.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 15
Artikel 15
Einsatz interner Tester
RTS TLPT (2025/1190)
(1)
Die Finanzunternehmen treffen alle folgenden Vorkehrungen für den Einsatz interner Tester:
DORA-Sollmaßnahmen
TLPT-059TLPT-Richtlinie: Management interner TesterS
a)
Festlegung und Umsetzung einer Strategie für das Management interner Tester bei einem TLPT,
DORA-Sollmaßnahmen und DORA-Schulungsfolien
TLPT-001Erstellung einer TLPT-RichtlinieS
TLPT-Richtlinie: Eine IKT-Sicherheitsrichtlinie im „DORA-Tempel“
b)
Maßnahmen, mit denen sichergestellt wird, dass sich der Einsatz interner Tester für die Durchführung eines TLPT nicht nachteilig auf die allgemeinen Verteidigungs- oder Resilienzfähigkeiten des Finanzunternehmens in Bezug auf IKT-bezogene Vorfälle auswirkt oder sich erheblich auf die Verfügbarkeit von Ressourcen auswirkt, die während eines TLPT für IKT-bezogene Aufgaben eingesetzt werden,
DORA-Sollmaßnahmen
TLPT-060TLPT-Tester: Keine Beeinträchtigung der ResilienzfähigkeitS
c)
Maßnahmen, mit denen sichergestellt wird, dass interne Tester über ausreichende Ressourcen und Fähigkeiten verfügen, um einen TLPT durchzuführen.
DORA-Sollmaßnahmen
TLPT-061TLPT-Tester: Ressourcen und Fähigkeiten interner TesterS
Die unter Buchstabe a genannte Strategie muss
a)
Kriterien für die Beurteilung von Eignung, Kompetenz und potenziellen Interessenkonflikten der internen Tester enthalten und die Zuständigkeiten der Geschäftsleitung in dem Testverfahren enthalten,
b)
dokumentiert und regelmäßig überprüft werden,
c)
vorsehen, dass dem internen Testteam ein Testmanager und mindestens zwei zusätzliche Mitglieder angehören,
d)
verlangen, dass alle Mitglieder des Testteams in den vorangegangenen zwölf Monaten bei dem Finanzunternehmen oder einem gruppeninternen IKT-Dienstleister beschäftigt waren,
e)
Schulungen zur Durchführung von Penetrationstests und Red-Team-Tests für die internen Tester vorsehen.
(2)
Wenn eine TLPT-Behörde den Einsatz interner Tester gemäß Artikel 27 Absatz 2 Buchstabe a der Verordnung (EU) 2022/2554 genehmigt, berücksichtigt die TLPT-Behörde die in Artikel 7 Absatz 1 der vorliegenden Verordnung festgelegten Anforderungen.
— diesem Absatz ist im Katalog keine Sollmaßnahme zugeordnet
(3)
Beim Einsatz interner Tester stellt das Finanzunternehmen sicher, dass in den folgenden Dokumenten darauf verwiesen wird:
a)
Informationen über die Einleitung des Tests gemäß Artikel 9,
b)
Red-Team-Testbericht gemäß Artikel 12 Absatz 2,
c)
Bericht mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT gemäß den Artikeln 26 Absatz 6 der Verordnung (EU) 2022/2554.
DORA-Sollmaßnahmen
TLPT-062TLPT-Tester: Verweis auf interne Tester in TestdokumentenS
(4)
Tester, die bei einem gruppeninternen IKT-Dienstleister beschäftigt sind, gelten als interne Tester des Finanzunternehmens.
DORA-Sollmaßnahmen
TLPT-063TLPT-Tester: Einstufung gruppeninterner TesterS
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 16
Artikel 16
Zusammenarbeit und gegenseitige Anerkennung
RTS TLPT (2025/1190)
(1)
Für die Durchführung eines TLPT bei einem Finanzunternehmen, das Dienstleistungen in mehr als einem Mitgliedstaat, auch über eine Zweigniederlassung, erbringt, muss die jeweils zuständige TLPT-Behörde
a)
bestimmen, welche TLPT-Behörden in den Aufnahmemitgliedstaaten beteiligt werden sollen; dabei ist zu berücksichtigen, ob eine oder mehrere kritische oder wichtige Funktionen in den Aufnahmemitgliedstaaten ausgeübt oder von diesen gemeinsam genutzt werden,
b)
die gemäß Buchstabe a bestimmten TLPT-Behörden über die Entscheidung, einen TLPT bei dem Finanzunternehmen durchzuführen, unterrichten,
c)
die Leitung des TLPT übernehmen, sofern die TLPT-Behörden nichts anderes vereinbaren.
Die TLPT-Behörden der Aufnahmemitgliedstaaten können innerhalb von zwanzig Arbeitstagen nach Erhalt der Informationen über die künftige Durchführung eines TLPT entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager benennen, der an dem TLPT teilnimmt. Die federführende TLPT-Behörde übermittelt allen TLPT-Behörden, die als Beobachter an dem TLPT teilnehmen, das Scoping-Dokument, den zusammenfassenden Testbericht, den Plan mit Abhilfemaßnahmen und die Bescheinigung.
Die federführende TLPT-Behörde koordiniert alle teilnehmenden TLPT-Behörden während des gesamten Tests und trifft alle Entscheidungen, die für eine angemessene und wirksame Durchführung des TLPT erforderlich sind. Die federführende TLPT-Behörde kann festlegen, dass die Zahl der teilnehmenden TLPT-Behörden eine bestimmte Schwelle nicht übersteigen darf, wenn andernfalls die wirksame Durchführung des TLPT gefährdet werden könnte.
(2)
Nimmt ein Finanzunternehmen denselben gruppeninternen IKT-Dienstleister in Anspruch wie Finanzunternehmen mit Sitz in anderen Mitgliedstaaten oder gehört es einer Gruppe an und nutzt IKT-Systeme gemeinsam mit Finanzunternehmen derselben Gruppe, die in anderen Mitgliedstaaten niedergelassen sind, so wendet sich die für das Finanzunternehmen zuständige TLPT-Behörde an die für die anderen Finanzunternehmen zuständigen TLPT-Behörden, die dieselben gruppeninternen IKT-Dienstleister in Anspruch nehmen oder IKT-Systeme als Teil der Gruppe gemeinsam nutzen, und bewertet gemeinsam mit diesen die Durchführbarkeit und Eignung eines gemeinsamen TLPT. Ein gemeinsamer TLPT ist einem Einzel-TLPT vorzuziehen, wenn dadurch bei den Finanzunternehmen und den TLPT-Behörden Kosten gesenkt und Ressourcen eingespart werden können, sofern die Belastbarkeit und Wirksamkeit der Tests nicht beeinträchtigt werden.
(3)
Für die Durchführung eines gemeinsamen TLPT gilt Folgendes:
a)
Die für die Finanzunternehmen zuständigen TLPT-Behörden vereinbaren unter Berücksichtigung der Gruppenstruktur und der Wirksamkeit des Tests, welches Finanzunternehmen für die Durchführung des TLPT benannt wird.
b)
Die für das gemäß Buchstabe a benannte Finanzunternehmen zuständige TLPT-Behörde leitet den TLPT, sofern die für die am gemeinsamen TLPT beteiligten Finanzunternehmen zuständigen TLPT-Behörden nichts anderes vereinbaren.
c)
Die für die Finanzunternehmen, bei denen es sich nicht um das benannte Finanzunternehmen handelt, das den gemeinsamen TLPT leitet, zuständigen TLPT-Behörden können entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager für den betreffenden TLPT benennen.
Die federführende TLPT-Behörde koordiniert alle am gemeinsamen TLPT beteiligten TLPT-Behörden und trifft alle Entscheidungen, die für eine belastbare und wirksame Durchführung des gemeinsamen TLPT erforderlich sind.
(4)
Beabsichtigt ein Finanzunternehmen, einen gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 durchzuführen, an dem möglicherweise in anderen Mitgliedstaaten niedergelassene Finanzunternehmen beteiligt sind, so setzt sich seine TLPT-Behörde mit den für die anderen Finanzunternehmen zuständigen TLPT-Behörden in Verbindung und bewertet mit ihnen die Durchführbarkeit und Eignung eines gebündelten TLPT bei diesen Unternehmen gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554.
(5)
Für die Durchführung eines gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554
a)
vereinbaren die für die Finanzunternehmen zuständigen TLPT-Behörden, welches Finanzunternehmen unter Berücksichtigung der IKT-Dienstleistungen, die der IKT-Drittdienstleister für die Finanzunternehmen erbringt, und der Wirksamkeit des Tests benannt wird, um den gebündelten TLPT durchzuführen,
b)
übernimmt die für das gemäß Buchstabe a benannte Finanzunternehmen zuständige TLPT-Behörde die Leitung für den TLPT, sofern die für die am gebündelten TLPT beteiligten Finanzunternehmen zuständigen TLPT-Behörden nichts anderes vereinbaren,
c)
können die für die Finanzunternehmen, bei denen es sich nicht um das benannte Finanzunternehmen handelt, das den gemeinsamen TLPT leitet, zuständigen TLPT-Behörden entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager für den betreffenden TLPT benennen.
Die federführende TLPT-Behörde koordiniert alle am gebündelten TLPT beteiligten TLPT-Behörden und trifft alle Entscheidungen, die für eine belastbare und wirksame Durchführung des gebündelten TLPT erforderlich sind.
(6)
Unterscheidet sich die für ein Finanzunternehmen, das einen TLPT durchführen muss, zuständige TLPT-Behörde von der in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörde, so teilen diese Behörden alle relevanten Informationen über alle mit dem TLPT verbundenen Angelegenheiten für die Zwecke der Durchführung des TLPT oder zur Wahrnehmung ihrer Aufgaben gemäß der genannten Verordnung mit.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Art. 17
Artikel 17
Inkrafttreten
RTS TLPT (2025/1190)
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich ist der Volltext bei EUR-Lex.
RTS TLPT (2025/1190)›Anhang I
Anhang I
Inhalt der Projektcharta (Artikel 9 Absatz 2 Buchstabe a)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Information | Erforderliche Angaben |
|---|---|
| Für den Projektplan verantwortliche Person, d. h. Leiter des Kontrollteams | Name Kontaktdaten |
| Tester | ☐ intern ☐ extern ☐ beides |
| Gemäß Artikel 9 Absatz 2 Buchstabe d und Artikel 9 Absatz 4 Buchstabe a gewählte Kommunikationskanäle, einschließlich: a) Verwendung von E-Mail-Verschlüsselung b) Verwendung von Online-Datenräumen c) Verwendung von Instant Messaging | |
| Codename des TLPT | |
| Etwaige kritische oder wichtige Funktionen, die das Finanzunternehmen in anderen Mitgliedstaaten ausübt | 1. Auflistung kritischer oder wichtiger Funktionen, die in einem anderen Mitgliedstaat ausgeübt werden 2. für jede kritische oder wichtige Funktion Angabe des Mitgliedstaats bzw. der Mitgliedstaaten, in dem (denen) sie ausgeübt werden |
| Etwaige kritische oder wichtige Funktionen, die von IKT-Drittdienstleistern unterstützt werden | 3. Auflistung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern unterstützt werden 4. für jede Funktion Angabe des IKT-Drittdienstleisters |
| Voraussichtliche Fristen für den Abschluss | |
| 1. der Vorbereitungsphase gemäß Artikel 9 | JJJJ-MM-TT |
| 2. der Testphase gemäß den Artikeln 10 und 11 | JJJJ-MM-TT |
| 3. der Abschlussphase gemäß Artikel 12 | JJJJ-MM-TT |
| 4. der Erstellung des Plans mit Abhilfemaßnahmen gemäß Artikel 13 | JJJJ-MM-TT |
RTS TLPT (2025/1190)›Anhang II
Anhang II
Inhalt des Scoping-Dokuments (Artikel 9 Absatz 6)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
1.
Das Scoping-Dokument enthält eine Auflistung aller kritischen oder wichtigen Funktionen, die das Finanzunternehmen ermittelt hat.
2.
Für jede ermittelte kritische oder wichtige Funktion sind folgende Angaben zu machen:
a)
Wenn die kritische oder wichtige Funktion nicht in den Anwendungsbereich des TLPT fällt, Erläuterung der Gründe, aus denen sie nicht einbezogen wurde.
b)
Wenn die kritische oder wichtige Funktion in den Anwendungsbereich des TLPT fällt:
i)
Angabe der Gründe für die Einbeziehung,
ii)
das (die) identifizierte(n) IKT-System(e) zur Unterstützung dieser kritischen oder wichtigen Funktion,
iii)
für jedes ermittelte IKT-System:
1.
Angabe, ob es ausgelagert ist, und falls ja, Name des IKT-Drittdienstleisters,
2.
Rechtsräume, in denen das IKT-System verwendet wird,
3.
übergeordnete Beschreibung der vorläufigen Flags, aus der hervorgeht, welcher Sicherheitsaspekt (Vertraulichkeit, Integrität, Authentizität oder Verfügbarkeit) von dem einzelnen Flag erfasst ist.
RTS TLPT (2025/1190)›Anhang III
Anhang III
Inhalt des spezifischen Bedrohungsanalyseberichts (Artikel 10 Absatz 5)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der spezifische Bedrohungsanalysebericht enthält Informationen zu allen folgenden Punkten:
1.
Gesamtumfang der Bedrohungsuntersuchungen, die mindestens Folgendes einbeziehen:
a)
kritische oder wichtige Funktionen, die in den Anwendungsbereich fallen,
b)
ihr geografischer Standort,
c)
verwendete EU-Amtssprache,
d)
relevante IKT-Drittdienstleister,
e)
Zeitraum, in dem die Untersuchungen durchgeführt wurden.
2.
Gesamtbewertung, welche konkreten verwertbaren Informationen über das Finanzunternehmen zu finden sind, unter anderem:
a)
Benutzernamen und Passwörter der Mitarbeiter,
b)
Look-Alike-Domains, die mit offiziellen Domains des Finanzunternehmens verwechselt werden können,
c)
technische Auskundschaftung: (für Exploits) anfällige Software, Systeme und Technologien,
d)
von Mitarbeitern im Internet veröffentlichte Informationen über das Finanzunternehmen, die für die Zwecke eines Angriffs verwendet werden könnten,
e)
Informationen, die im Dark Web verkauft werden,
f)
sonstige einschlägige Informationen, die im Internet oder in öffentlichen Netzwerken verfügbar sind,
g)
gegebenenfalls Informationen über Möglichkeiten des physischen Zugangs, z. B. zu den Räumlichkeiten des Finanzunternehmens.
3.
Bedrohungsanalysen unter Berücksichtigung der allgemeinen Bedrohungslage und der besonderen Situation des Finanzunternehmens, darunter mindestens:
a)
das geopolitische Umfeld,
b)
das wirtschaftliche Umfeld,
c)
technologische und sonstige Trends im Zusammenhang mit den Tätigkeiten im Finanzdienstleistungssektor.
4.
Bedrohungsprofile der böswilligen Akteure (bestimmte Einzelperson/Gruppe oder allgemeine Gruppe), die das Finanzunternehmen angreifen könnten, einschließlich der Systeme des Finanzunternehmens, die von böswilligen Akteuren am wahrscheinlichsten kompromittiert oder angegriffen werden, der möglichen Motivation, Absicht und Gründe für den möglichen zielgerichteten Angriff und der möglichen Vorgehensweise der Angreifer.
5.
Bedrohungsszenarien: mindestens drei End-to-End-Bedrohungsszenarien für die gemäß Nummer 4 ermittelten Bedrohungsprofile, die die höchsten Werte für die Schwere der Bedrohung aufweisen. Die Bedrohungsszenarien beschreiben den End-to-End-Angriffspfad und umfassen mindestens:
a)
ein Szenario, das u. a. eine Kompromittierung der Dienstverfügbarkeit umfasst,
b)
ein Szenario, das u. a. eine Kompromittierung der Datenintegrität umfasst,
c)
ein Szenario, das u. a. die Kompromittierung der Vertraulichkeit von Informationen umfasst.
6.
Gegebenenfalls eine Beschreibung des in Artikel 10 Absatz 4 genannten nicht bedrohungsorientierten Szenarios.
RTS TLPT (2025/1190)›Anhang IV
Anhang IV
Inhalt des Red-Team-Testplans (Artikel 11 Absatz 1)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der Red-Team-Testplan enthält Informationen zu allen folgenden Punkten:
a)
Kommunikationskanäle und -verfahren,
b)
für den Angriff zulässige und nicht zulässige Taktiken, Techniken und Verfahren, einschließlich ethischer Grenzen für Social Engineering,
c)
von den Testern zu ergreifende Risikomanagementmaßnahmen,
d)
Beschreibung jedes Szenarios, einschließlich
i)
des simulierten Angreifers,
ii)
seiner Absicht, Motivation und Ziele,
iii)
der Funktionen und der unterstützenden IKT-Systeme, gegen die sich der Angriff richtet,
iv)
der Aspekte der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität, auf die der Angriff ausgerichtet ist,
v)
Flags,
e)
detaillierte Beschreibung jedes voraussichtlichen Angriffspfads, einschließlich der Voraussetzungen und etwaigen Hilfestellungen durch das Kontrollteam, mit Angabe der zeitlichen Vorgaben für deren Aktivierung und potenziellen Verwendung,
f)
Planung der Red-Teaming-Aktivitäten, einschließlich der Zeitplanung für die Durchführung jedes Szenarios, mindestens aufgeschlüsselt nach den drei Phasen, die ein Tester während der Testphase absolviert, d. h. Eindringen in die IKT-Systeme des Finanzunternehmens, Bewegung durch die IKT-Systeme und letztlich Erreichen des Angriffsziels und Rückzug aus den IKT-Systemen (In-, Through- und Out-Phase),
g)
Besonderheiten der Infrastruktur der Finanzunternehmen, die bei den Tests zu berücksichtigen sind,
h)
gegebenenfalls zusätzliche Informationen oder sonstige Ressourcen, die die Tester für die Ausführung der Szenarien benötigen.
RTS TLPT (2025/1190)›Anhang V
Anhang V
Inhalt des Red-Team-Testberichts (Artikel 12 Absatz 2)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der Red-Team-Testbericht enthält mindestens Informationen zu allen folgenden Punkten:
a)
Informationen über den durchgeführten Angriff, einschließlich Angaben zu
i)
den angegriffenen kritischen oder wichtigen Funktionen und ermittelten IKT-Systemen, -Prozessen und -Technologien, die die kritische oder wichtige Funktion unterstützen, wie im Red-Team-Testplan festgelegt,
ii)
Zusammenfassung jedes Szenarios,
iii)
erreichte und nicht erreichte Flags,
iv)
erfolgreich und nicht erfolgreich verfolgte Angriffspfade,
v)
erfolgreich und nicht erfolgreich angewandte Taktiken, Techniken und Verfahren,
vi)
etwaige Abweichungen vom Red-Team-Testplan,
vii)
etwaige Hilfestellungen,
b)
alle Aktivitäten, von denen die Tester wissen, dass sie vom Blue Team durchgeführt wurden, um den Angriff zu rekonstruieren und seine Auswirkungen abzumildern,
c)
festgestellte Schwachstellen und andere Probleme, einschließlich:
i)
Beschreibung der Schwachstelle und anderer Probleme, einschließlich ihrer Kritikalität,
ii)
Ursachenanalyse erfolgreicher Angriffe,
iii)
Empfehlungen für Abhilfemaßnahmen mit Priorisierung.
RTS TLPT (2025/1190)›Anhang VI
Anhang VI
Inhalt des Blue-Team-Testberichts (Artikel 12 Absatz 4)
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der Blue-Team-Testbericht enthält mindestens Informationen zu allen folgenden Punkten:
1.
Für jeden von den Testern im Red-Team-Testbericht beschriebenen Angriffsschritt:
a)
Auflistung der entdeckten Angriffshandlungen,
b)
Protokolleinträge für diese entdeckten Handlungen,
2.
Bewertung der Ergebnisse und Empfehlungen der Tester,
3.
vom Blue Team gesammelte Beweise für den Angriff durch die Tester,
4.
Blue-Team-Ursachenanalyse erfolgreicher Angriffe durch die Tester,
5.
Auflistung der gewonnenen Erkenntnisse und ermittelten Verbesserungspotenziale,
6.
Auflistung der Themen, die beim Purple-Teaming behandelt werden sollen.
RTS TLPT (2025/1190)›Anhang VII
Anhang VII
Inhalt des Berichts mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT gemäß Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Der zusammenfassende Testbericht muss mindestens Angaben zu allen folgenden Punkten enthalten:
a)
beteiligte Parteien,
b)
Projektplan,
c)
validierter Umfang, einschließlich der Gründe für die Einbeziehung oder den Ausschluss kritischer oder wichtiger Funktionen und ermittelter IKT-Systeme, -Prozesse und -Technologien, die die vom TLPT erfassten kritischen oder wichtigen Funktionen unterstützen,
d)
gewählte Szenarien und etwaige erhebliche Abweichungen vom spezifischen Bedrohungsanalysebericht,
e)
verfolgte Angriffspfade und angewandte Taktiken, Techniken und Verfahren,
f)
erreichte und nicht erreichte Flags,
g)
etwaige Abweichungen vom Red-Team-Testplan,
h)
etwaige vom Blue Team aufgedeckte Handlungen,
i)
Purple-Teaming in der Testphase, sofern durchgeführt, und zugrunde liegende Voraussetzungen,
j)
etwaige Hilfestellungen,
k)
ergriffene Risikomanagementmaßnahmen,
l)
festgestellte Schwachstellen und andere Probleme, einschließlich ihrer Kritikalität,
m)
Ursachenanalyse erfolgreicher Angriffe,
n)
umfassender Plan mit Abhilfemaßnahmen, in dem Schwachstellen und andere festgestellte Probleme, ihre Ursachen und die Priorität der Behebung zueinander in Beziehung gesetzt werden,
o)
Erkenntnisgewinn aus den Rückmeldungen.
RTS TLPT (2025/1190)›Anhang VIII
Anhang VIII
Inhalt der Bescheinigung über den TLPT gemäß Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554
RTS TLPT (2025/1190)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
Die Bescheinigung enthält mindestens alle folgenden Angaben:
a)
Zum durchgeführten TLPT:
i)
Beginn und Ende des TLPT,
ii)
die kritischen oder wichtigen Funktionen, die Gegenstand des Tests waren,
iii)
gegebenenfalls Informationen über kritische oder wichtige Funktionen, die Gegenstand des Tests waren und für die der TLPT nicht durchgeführt wurde,
iv)
etwaige andere Finanzunternehmen, die an dem TLPT beteiligt waren,
v)
etwaige IKT-Drittdienstleister, die an dem TLPT beteiligt waren,
vi)
zu den Testern:
1.
Angabe, ob interne Tester eingesetzt wurden,
2.
Angabe, ob das Finanzunternehmen von Artikel 5 Absatz 3 Unterabsatz 2 Gebrauch gemacht hat,
vii)
Dauer der aktiven Red-Team-Testphase in Kalendertagen,
b)
wenn mehrere TLPT-Behörden an dem TLPT beteiligt waren: Nennung der anderen TLPT-Behörden und Angabe, in welcher Eigenschaft sie daran beteiligt waren,
c)
Aufstellung der Dokumente, die von der TLPT-Behörde für die Ausstellung der Bescheinigung geprüft wurden.
GL Kosten & Verluste (JC 2024 34)›Leitlinie
JC 2024 34
Gemeinsame Leitlinien für die Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste gemäß der Verordnung (EU) 2022/2554
GL Kosten & Verluste (JC 2024 34)
DORA-Sollmaßnahmen und DORA-Schulungsfolien
D21.028IKT-Vorfallklassifikation: Aggregierte jährliche Kosten- und VerlustschätzungS
Meldepflichten für schwerwiegende IKT-Vorfälle: Die Schätzung der jährlichen Kosten und Verluste
Diese Leitlinien enthalten Verweise auf delegierte Verordnungen und Durchführungsverordnungen der Europäischen Kommission, die noch nicht im Amtsblatt der EU veröffentlicht wurden. Sobald diese Verordnungen im Amtsblatt veröffentlicht sind, werden diese Verweise in diese Leitlinien aufgenommen und die Leitlinien fertiggestellt. Die Verweise werden in die gelb markierten Abschnitte eingefügt. Der Zeitpunkt der Anwendung dieser Leitlinien kann erst festgelegt werden, wenn diese Leitlinien fertiggestellt sind. Der voraussichtliche Zeitpunkt für die Anwendung dieser Leitlinien ist der 17. Januar 2025. Sollte es zu Verzögerungen bei der Fertigstellung dieser Leitlinien kommen, gelten diese Leitlinien spätestens zwei Monate nach dem Datum der Veröffentlichung der Übersetzungen dieser Leitlinien in allen Amtssprachen der EU.
Status dieser gemeinsamen Leitlinien
Dieses Dokument enthält gemeinsame Leitlinien, die gemäß Artikel 16 der Verordnung (EU) Nr. 1093/20101, Artikel 16 der Verordnung (EU) Nr. 1094/20102 und Artikel 16 der Verordnung (EU) Nr. 1095/20103 („die ESA-Verordnungen“) herausgegeben wurden. Gemäß Artikel 16 Absatz 3 der ESA-Verordnungen unternehmen die zuständigen Behörden und Finanzinstitute alle erforderlichen Anstrengungen, um diesen Leitlinien nachzukommen. In den gemeinsamen Leitlinien wird dargelegt, welche Aufsichtspraktiken nach Ansicht der ESA im Rahmen des Europäischen Finanzaufsichtssystems angemessen sind oder wie das Unionsrecht in einem bestimmten Bereich angewendet werden sollte. Zuständige Behörden, an die sich die gemeinsamen Leitlinien richten, sollten diese in geeigneter Weise in ihre Aufsichtspraktiken aufnehmen (z. B. durch Änderung ihres Rechtsrahmens oder ihrer Aufsichtsverfahren), auch dann, wenn die gemeinsamen Leitlinien in erster Linie an Institute gerichtet sind.
Meldepflichten
Nach Artikel 16 Absatz 3 der ESA-Verordnungen müssen die zuständigen Behörden der jeweiligen ESA bis zum 19.05.2025 (zwei Monate nach der Herausgabe der Leitlinien) mitteilen, ob sie diesen gemeinsamen Leitlinien/Empfehlungen nachkommen oder nachzukommen beabsichtigen, oder die Gründe nennen, warum sie dies nicht tun. Geht innerhalb der genannten Frist keine Meldung ein, geht die jeweilige ESA davon aus, dass die zuständige Behörde den Leitlinien nicht nachkommt. Meldungen sind unter Angabe der Referenz „JC/GL/2024/34“ an compliance@eba.europa.eu, compliance@eiopa.europa.eu und DORA@esma.europa.eu zu richten. Eine entsprechende Meldevorlage steht auf den Websites der ESA zur Verfügung. Die Meldungen sollten durch Personen erfolgen, die befugt sind, entsprechende Meldungen im Auftrag ihrer zuständigen Behörde zu übermitteln. Die Meldungen werden gemäß Artikel 16 Absatz 3 auf den ESA-Websites veröffentlicht.
Titel I – Gegenstand, Anwendungsbereich, Adressaten und Begriffsbestimmungen
Gegenstand und Anwendungsbereich
1.Mit diesen Leitlinien soll das den Europäischen Aufsichtsbehörden gemäß Artikel 11 Absatz 11 der Verordnung (EU) 2022/2554 4 erteilte Mandat erfüllt werden, gemeinsame Leitlinien für die Schätzung der durch schwerwiegende IKT-bezogene Vorfälle verursachten aggregierten jährlichen Kosten gemäß Artikel 11 Absatz 10 dieser Verordnung auszuarbeiten. Diese Leitlinien enthalten auch eine gemeinsame Vorlage für die Meldung der aggregierten jährlichen Kosten und Verluste.
Adressaten
2.Diese Leitlinien richten sich an zuständige Behörden im Sinne von Artikel 46 der Verordnung (EU) 2022/2554 sowie an Finanzinstitute im Sinne von Artikel 4 Absatz 1 der Verordnung (EU) Nr. 1093/2010, Artikel 4 Absatz 1 der Verordnung (EU) Nr. 1094/2010 und Artikel 4 Absatz 1 der Verordnung (EU) Nr. 1095/2010.
Begriffsbestimmungen
3.Die in der Verordnung (EU) 2022/2554 verwendeten und definierten Begriffe haben in diesen Leitlinien dieselbe Bedeutung.
Titel II - Durchführung
Geltungsbeginn
4.Diese Leitlinien gelten ab dem 19.05.2025.
Titel III – Bestimmungen über die Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste
5.Finanzunternehmen sollten die von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste schätzen, indem sie die Kosten und Verluste für schwerwiegende IKT-bezogene Vorfälle aggregieren, die in das Referenzjahr fallen, für das die zuständige Behörde die Schätzung angefordert hat. Finanzunternehmen können als Referenzjahr entweder das abgeschlossene Kalenderjahr oder das abgeschlossene Geschäftsjahr des Finanzunternehmens, für welches das Finanzunternehmen seinen Jahresabschluss erstellt hat, wählen. Die Entscheidung eines Finanzunternehmens, ob die Schätzung auf der Grundlage des Kalenderjahres oder des Geschäftsjahres vorgelegt wird, sollte auch bei künftigen Schätzungen der aggregierten jährlichen Kosten und Verluste gelten. Finanzunternehmen können diese Entscheidung ändern, indem sie dies der zuständigen Behörde mitteilen, und unter der Voraussetzung, dass die zuständige Behörde innerhalb von zwei Monaten nach Eingang der Mitteilung keine Einwände dagegen erhebt. Finanzunternehmen sollten Kosten und Verluste im Zusammenhang mit Vorfällen, die vor oder nach diesem Referenzjahr liegen, nicht berücksichtigen.
6.Finanzunternehmen sollten in die Schätzung alle IKT-bezogenen Vorfälle einbeziehen, die unabhängig von den Gründen gemäß der Delegierten Verordnung der Kommission [OJ L, 2024/1772, 25.6.2024]5 zur Klassifizierung von Vorfällen als schwerwiegend eingestuft wurden, und
(a)für die das Finanzunternehmen in dem betreffenden Referenzjahr gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 eine Abschlussmeldung vorgelegt hat, oder
(b)Vorfälle, zu denen das Finanzunternehmen in früheren Referenzjahren gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 eine Abschlussmeldung vorgelegt hat und die im betreffenden Referenzjahr quantifizierbare finanzielle Auswirkungen auf das Finanzunternehmen hatten.
7.Finanzunternehmen sollten die aggregierten jährlichen Kosten und Verluste schätzen, indem sie wie folgt vorgehen:
(a)Sie sollten die Kosten und Verluste für jeden einzelnen schwerwiegenden IKT-bezogenen Vorfall schätzen. Bei diesen Schätzungen sollten die Bruttokosten und -verluste unter Berücksichtigung der Arten von Kosten und Verlusten gemäß Artikel 7 Absätze 1 und 2 der Delegierten Verordnung der Kommission [OJ L, 2024/1772, 25.6.2024] ermittelt werden;
(b)für jeden schwerwiegenden IKT-bezogenen Vorfall sollten Finanzunternehmen auch die finanziellen Wiedereinziehungen schätzen, wie in Anhang II der Durchführungsverordnung der Kommission [OJ L, 2025/302, 20.2.2025]6 festgelegt;
(c)Finanzunternehmen sollten die Bruttokosten und -verluste sowie die finanziellen Wiedereinziehungen für alle schwerwiegenden IKT-bezogenen Vorfälle aggregieren.
8.Als Grundlage für die Schätzungen sollten Finanzunternehmen die Kosten, Verluste und finanziellen Wiedereinziehungen heranziehen, die in ihren Jahresabschlüssen wie der Gewinn- und Verlustrechnung oder gegebenenfalls in ihren Meldungen des betreffenden Referenzjahres an die Aufsicht ausgewiesen sind. Bei ihrer Schätzung sollten Finanzunternehmen auch buchhalterische Rückstellungen einbeziehen, die in ihren Jahresabschlüssen wie der Gewinn- und Verlustrechnung des betreffenden Referenzjahres ausgewiesen sind. Sind keine genauen Daten verfügbar, sollten Finanzunternehmen ihre Schätzung so weit wie möglich auf andere verfügbare Daten und Informationen stützen.
9.Finanzunternehmen sollten Anpassungen der Kosten und Verluste einer Schätzung, die sie für ein Vorjahr vorgelegt haben, in die Schätzung des betreffenden Referenzjahres aufnehmen, in dem die Anpassungen vorgenommen wurden.
10.Finanzunternehmen sollten in der Meldung ihrer Schätzung der aggregierten jährlichen Kosten und Verluste auch die Aufschlüsselung der in die Aggregation einbezogenen Bruttokosten und -verluste und der finanziellen Wiedereinziehungen für jeden schwerwiegenden IKT-bezogenen Vorfall aufnehmen.
11.Finanzunternehmen sollten für die Übermittlung der Schätzung ihrer aggregierten jährlichen Kosten und Verluste für das Referenzjahr die im Anhang beigefügte Vorlage verwenden. Für jeden der in die Schätzung des Referenzjahres einbezogenen Posten gemäß den Absätzen 6 und 9 sollten Finanzunternehmen dieselben vom Finanzunternehmen bereitgestellten Referenzcodes für Vorfälle verwenden, die auch in der Abschlussmeldung gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 verwendet werden.
1 Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Bankenaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/78/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 12).
2 Verordnung (EU) Nr. 1094/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/79/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 48-83).
3 Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Wertpapier- und Marktaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/77/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 84-119).
4 Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die Betriebsstabilität digitaler Systeme im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1-79).
5 Delegierte Verordnung (EU) 2024/1772 der Kommission vom 13. März 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, der Wesentlichkeitsschwellen und der Einzelheiten von Meldungen schwerwiegender Vorfälle. [OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj]
6 Durchführungsverordnung (EU) 2025/302 der Kommission vom 23. Oktober 2024 zur Festlegung technischer Durchführungsstandards für die Anwendung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates im Hinblick auf Standardformulare, Vorlagen und Verfahren für Finanzunternehmen zur Meldung eines schwerwiegenden IKT- bezogenen Vorfalls oder einer erheblichen Cyberbedrohung. [OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj]
GL Kosten & Verluste (JC 2024 34)›Anhang I
Anhang I
Meldevorlage für Bruttokosten und -verluste und finanzielle Wiedereinziehungen in einem Referenzjahr
GL Kosten & Verluste (JC 2024 34)
— diesem Anhang ist im Katalog keine Sollmaßnahme direkt zugeordnet (Vorlagen-/Listencharakter; die Pflichten hängen am Rechtstext selbst)
| Name des Finanzunternehmens | |
|---|---|
| Legal Entity Identifier (LEI-Code) | |
| Anfangs- und Enddatum des Referenzjahres des Finanzunternehmens | |
| Währung |
| Nummer des Vorfalls | Datum der Einreichung der Abschlussmeldung des Vorfalls | Referenznummer des Vorfalls | Durch den Vorfall entstandene Bruttokosten und -verluste im Referenzjahr (Angaben in 1000) | Wiedereinziehungen in Bezug auf den Vorfall im Referenzjahr (Angaben in 1000) |
|---|---|---|---|---|
| 1 | ||||
| 2 | ||||
| … | ||||
| Gesamtbetrag für das Referenzjahr | ----------- | ----------- |
DORA-Navigator›Fachbeiträge und Material
Fachbeiträge und Aufsichtsmaterial
marlen-hofmann.de
Auf meiner Website stelle ich meine Fachbeiträge aus LinkedIn zur Verfügung und pflege dort die Hinweise der Aufsichtsbehörden zu den Rechtsakten mit Bezug zur digitalen operationalen Resilienz: DORA, NIS2, CRA, CER und die KI-Verordnung. Beide Links öffnen in einem neuen Tab.
Fachbeiträge und CheatsheetsMeine Beiträge, nach Themen geordnet und durchsuchbar. Dazu Cheatsheets und Arbeitsmaterialien zum Herunterladen.marlen-hofmann.de/doraHinweise der AufsichtKuratierte Sammlung der Veröffentlichungen von BaFin, Bundesbank und den europäischen Aufsichtsbehörden, nach Thema geordnet, mit Abrufdatum je Eintrag.marlen-hofmann.de/dora/hinweise-der-aufsicht
Das DORA-Intro
22 Schulungsfolien
Die nachstehenden Folien stammen aus den Schulungen der DORA-Werkstatt der Jahre 2024 bis 2026 und legen die DORA-Grundlagen: Hintergrund, Herkunft und Allgemeines zum Rechtsakt. Manche Folien zeigen Bilder aus Aufsichtspräsentationen oder KI-generierte Bilder. Beides ist in der Fußzeile der Folie gekennzeichnet. Einordnungen und Merksätze sind Auslegung der Autorin, keine Aufsichtsposition. Verbindlich ist allein der Normtext.
Warum es DORA gibt3 Folien
Bedrohungslage, Zielsetzung und der Praxisstand nach einem Jahr.
Die Lage der IT-Sicherheit in Deutschland 2024: warum es DORA gibt
Digital Operational Resilience Act (DORA)
Ein Jahr DORA: IKT-Drittparteienrisikomanagement – die größte Herausforderung des ersten Jahres
Das Regelwerks-Puzzle7 Folien
Die tragende Metapher: warum Sicherheit nie an einem Regelwerk hängt — und was das für DORA bedeutet.
Das DORA-Puzzle: der Einstieg in die Metapher
Sicherheit im Straßenverkehr: ein Puzzle
Sicherheit im Cyberraum: ein Puzzle
Sicherheit im Cyberraum: 26 Domänen
Wie das DORA-Puzzle entstand
Die DORA-Werkstatt: Mapping der DORA-Domänen auf die BAIT
Die DORA-Werkstatt: Der „kleine Haken“ am BAIT-Mapping
Aufbau und Werkebene5 Folien
Verordnung, delegierte Rechtsakte, technische Standards — wie das Regal sortiert ist und wie es entstand.
Bestandteile von DORA (1/3): Ein Dokumentenüberblick
Bestandteile von DORA (2/3): Die DORA-Verordnung als Buch
Bestandteile von DORA (3/3): Detaillierter Dokumentenüberblick
Die Ebenen der EU-Gesetzgebung und die Rolle der ESAs
Die DORA-Chronologie: Alle Veröffentlichungen im Überblick
Prüfung und Aufsicht7 Folien
Wer prüft, wie geprüft wird und was Feststellungen nach sich ziehen.
Aufsichtsrechtliche Grundlagen: Die Überprüfung der DORA-Compliance
Prüfungsvorgehen und neue Prüfungsschwerpunkte
Wie die Aufsicht vorgeht: Der typische Ablauf einer DORA-Sonderprüfung (§ 44 KWG)
Kategorisierung der Prüfungsfeststellungen
Sanktionen bei Non-Compliance
DORA-Prüfungen durch den Abschlussprüfer (1/2): Entwurf des IDW EPS 528 als Prüfungsgrundlage
DORA-Prüfungen durch den Abschlussprüfer (2/2): Angepasste Berichtspflichten und –inhalte
Alle weiteren Folien stehen an dem Artikel, dem Absatz oder der Sollmaßnahme, die sie erklären. In der Navigation trägt jeder Artikel mit Folien die F-Marke.
Benutzerhandbuch
1 · Was Sie vor sich haben
Der DORA-Navigator ist ein interaktives Handbuch zur DORA-Verordnung: Rechtstexte, Sollmaßnahmen, Aufsichts-FAQ und Schulungsfolien in einer einzigen Datei, jede Vorschrift mit allem, was dazugehört. Er besteht aus einer einzigen HTML-Datei, die Sie per Doppelklick im Browser öffnen können. Eine Installation, eine Internetverbindung oder eine Anmeldung ist dafür nicht erforderlich. Handbuch und Sollmaßnahmenkatalog tragen dieselbe Versionsnummer (2.0).
Der Navigator enthält:
- Rechtstexte: Die DORA-Verordnung und die zugehörigen RTS und ITS mit Artikeln und Anhängen, einschließlich der amtlichen Berichtigungen; die Querverweise zwischen den Rechtstexten sind verlinkt. Das Cockpit führt die enthaltenen Rechtstexte auf und verlinkt auf die jeweilige amtliche Quelle.¹
- DORA-Sollmaßnahmenkatalog: 744 eindeutige, konsolidierte Sollmaßnahmen. Soweit ein thematisches Pendant besteht, trägt jede ihr primäres Control der ISO/IEC 27001:2022; die Sollmaßnahmen zum bedrohungsgeleiteten Penetrationstest (TLPT) haben bewusst keines, die Karte und die Übersicht sagen das ausdrücklich. Sie erscheinen als aufklappbare Karten unter der DORA-Anforderung, aus der sie abgeleitet wurden; zusammengehörige Sollmaßnahmen sind untereinander verlinkt.
- FAQ der Aufsichtsbehörden: 69 Fragen und Antworten der europäischen Aufsichtsbehörden (ESAs) und 46 der BaFin. Sie finden diese in der Kontextspalte beim jeweiligen Artikel bzw. bei der zugehörigen Textziffer, mit Fundstelle und Link zum Original.
- Schulungsfolien: 395 Schulungsfolien aus der DORA-Werkstatt. Sie sind als aufklappbare Karten bei dem Artikel, Absatz oder der Sollmaßnahme hinterlegt, die sie erklären.
Wichtige Hinweise
Der DORA-Navigator ist ein Arbeits- und Orientierungswerkzeug ohne rechtliche Wirkung. Die Rechtstexte wurden maschinell ausgelesen und aufbereitet. Verbindlich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut, der über EUR-Lex abrufbar ist.
Die Inhalte dieses Werks stellen keine Rechtsberatung dar und können diese nicht ersetzen. Für die Umsetzung regulatorischer Anforderungen im Einzelfall sollten Sie bei Bedarf qualifizierte rechtliche oder fachliche Beratung in Anspruch nehmen.
Mit dem DORA-Navigator erwerben Sie ein interaktives Handbuch mit dem angegebenen Bearbeitungsstand. Eine laufende Aktualisierung der Inhalte ist nicht Bestandteil des Angebots. Bitte prüfen Sie daher vor der Anwendung, ob sich die einschlägigen Rechtsvorschriften, regulatorischen Vorgaben oder technischen Standards geändert haben. Es liegt in Ihrer Verantwortung, solche Änderungen bei der Umsetzung zu berücksichtigen.
2 · Aufbau
Links finden Sie die Navigation. Unter Verstehen stehen die Einstiege: das Cockpit mit den enthaltenen Rechtstexten und dem Rechtsstand, der Sollmaßnahmen-Überblick mit dem ganzen Katalog als filterbare Tabelle und der Verweis auf Fachbeiträge und Material der Herausgeberin. Darunter folgen die Rechtsakte mit aufklappbaren Artikellisten, zuletzt die Compliance-Hinweise, dieses Benutzerhandbuch und die Seite „Über den DORA-Navigator“. Die Zahl im bronzefarbenen Kreissymbol neben einem Artikel gibt an, wie viele Sollmaßnahmen daraus abgeleitet wurden. Ein helles Kreissymbol mit einem „F“ kennzeichnet Artikel, zu denen Schulungsfolien hinterlegt sind. Einträge in grauer Schrift stehen für Artikel, denen keine Sollmaßnahmen zugeordnet sind.
In der Mitte befindet sich die Lesefläche. Sie zeigt den Wortlaut des ausgewählten Artikels; darunter stehen, soweit vorhanden, die Sollmaßnahmen-Karten und die Schulungsfolien zu diesem Artikel.
Rechts finden Sie die Kontextspalte. Sie erläutert kurz, worum es im Artikel geht und welche Relevanz er für Finanzunternehmen hat. Soweit vorhanden, werden dort auch die zugehörigen FAQ der Aufsichtsbehörden und die Verweise auf RTS, ITS und Leitlinien angezeigt.
Der Sollmaßnahmen-Überblick zeigt den ganzen Katalog als eine Tabelle in der Ordnung der ISO-Controls: ISO-Einordnung, DORA-Puzzle-Domäne, Kennung, Titel, Anforderungstext, Rechtsgrundlage und Dokumentklasse. In den Spaltenköpfen stehen Filterfelder, mit denen Sie zum Beispiel alle Sollmaßnahmen zu einem ISO-Control oder zu einer Puzzle-Domäne herausziehen; Kennung, Titel und Anforderungstext bleiben beim seitlichen Scrollen stehen. Der Verweis „alle … im Überblick“ am Vorgabedokument-Kopf einer Karte öffnet die Übersicht bereits auf dieses Dokument gefiltert. Ein Klick auf die Kennung springt zur Karte im Rechtstext, jede Rechtsgrundlage führt an ihre Stelle im Rechtstext. Alle weiteren Merkmale einer Sollmaßnahme führt die Excel-Arbeitsmappe.
3 · Suchen
Das Suchfeld befindet sich oben in der Kopfzeile. Die Suche startet, sobald Sie mindestens zwei Zeichen eingeben, und erfasst den gesamten Navigator zugleich: Rechtstext, Sollmaßnahmen, Aufsichts-FAQ und Schulungsfolien. Die Treffer erscheinen nach Fundort gruppiert; ein Klick öffnet die Fundstelle.
4 · Drucken
Mit Strg+P unter Windows bzw. Cmd+P auf dem Mac können Sie den geöffneten Artikel in voller Breite drucken. Navigation und Kopfzeile werden im Ausdruck ausgeblendet.
5 · Beilage: die Excel-Arbeitsmappe
Dem DORA-Navigator liegt eine Excel-Arbeitsmappe bei. Sie enthält denselben Sollmaßnahmenkatalog in derselben Version, ergänzt um Arbeitsspalten zum Zuweisen und Dokumentieren des Umsetzungsstands und ein Auswertungsblatt. Nachschlagen im Handbuch, arbeiten in der Tabelle.
Die Kennung der Sollmaßnahme verbindet den Navigator mit der Arbeitsmappe. Sie finden sie sowohl auf der jeweiligen Karte im Navigator als auch in der zugehörigen Zeile der Excel-Arbeitsmappe.
6 · Technische Hinweise
Die Datei besteht aus HTML, CSS und JavaScript. JavaScript ermöglicht die Volltextsuche und die Filter im Sollmaßnahmen-Überblick. Damit Sie alle Funktionen nutzen können, muss JavaScript im Browser aktiviert sein. Ist es deaktiviert, bleiben die statischen Inhalte vollständig lesbar; Suche und Filter stehen jedoch nicht zur Verfügung.
Die Datei speichert keine Daten, stellt selbstständig keine Verbindungen her und funktioniert ohne Internetzugang. Links zu amtlichen Quellen führen ins Internet und werden erst geöffnet, wenn Sie darauf klicken.
Der Navigator wurde mit den zum Zeitpunkt der Prüfung aktuellen Desktop-Versionen von Edge, Chrome, Firefox und Safari getestet.
7 · Fragen und Fehlermeldungen
Bei Rückfragen, Fehlermeldungen oder Fragen zu neuen Ausgaben erreichen Sie die Herausgeberin über www.marlen-hofmann.de. Dort finden Sie die Kontaktmöglichkeiten und eine Übersicht der aktuellen Ausgaben.
¹ Rechtsstand: Juli 2026 · Zuletzt bearbeitet: 22.09.2026 · Erwägungsgründe sind nicht enthalten.