Art. 16 DORA: was gilt und wie Sie es nachweisen

Diese Seite beschreibt, was der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA verlangt und wie Sie die Umsetzung belegen. Sie gilt für alle Gruppen, die diesen Rahmen anwenden, und ist von DORA her gedacht. Wer von seinen BAIT-Unterlagen ausgeht, findet die Gegenüberstellung Textziffer für Textziffer im BAIT-DORA-Mapping. Ob Ihr Institut überhaupt unter Art. 16 fällt, klären Sie mit der Einstufung nach DORA. Die Fragen von Factoring- und Finanzierungsleasinginstituten beantwortet mit Musterfall die Seite DORA für Factoring- und Leasinginstitute.

Grundlagen sind Art. 16 der Verordnung (EU) 2022/2554 (DORA), Titel III der Delegierten Verordnung (EU) 2024/1774 (RTS zum IKT-Risikomanagement, im Folgenden „RTS“) mit den Artikeln 28 bis 41 und die Aufsichtsmitteilung der BaFin vom 21.08.2025 zu Art. 16 (im Folgenden „Aufsichtsmitteilung“). Die Aufsichtsmitteilung ist nach eigener Aussage keine verbindliche Auslegung. Sie stellt in einem Abschnitt den Anwendungsbereich dar und in acht weiteren die BAIT/VAIT den neuen Anforderungen gegenüber.

Wer wendet den vereinfachten Rahmen an?

In Deutschland nur wenige, klar benannte Gruppen. Unmittelbar nach DORA sind das kleine und nicht verflochtene Wertpapierinstitute und kleine Einrichtungen der betrieblichen Altersversorgung. Über das FinmadiG kommen Versicherungsholdings und alle Institute nach dem KWG hinzu, die nicht schon nach Art. 2 DORA erfasst sind. Diese Institute nach § 1a Abs. 2a KWG nennen wir hier kurz KWG-Gruppe. Art. 16 ist damit keine allgemeine Erleichterung für kleine Unternehmen: Zahlungs- und E-Geld-Institute fallen in Deutschland nicht darunter, weil Deutschland die Ausnahmen der Zahlungsdienste- und der E-Geld-Richtlinie nicht genutzt hat. Auch frühere KAIT- und ZAIT-Adressaten sind ausdrücklich nicht erfasst.

Die Tabelle folgt Tabelle 1 der Aufsichtsmitteilung und ergänzt die Schwellen und Daten aus DORA und KWG. Die EbAV-Staffel unter 15, 15-99 und ab 100 Versorgungsanwärtern ergibt sich aus dem Zusammenspiel von Art. 2 Abs. 3 lit. c, Art. 3 Nr. 53 und Art. 16 Abs. 1 DORA. Bei genau 15 Versorgungsanwärtern weichen die Sprachfassungen ab: Der deutsche Text von lit. c nimmt EbAV mit „weniger als 15“ aus, der englische mit „not more than 15“. Diesen Grenzfall und die Einstufung im Einzelfall, etwa bei Drittstaatenzweigstellen oder Gruppenstrukturen, behandelt die Seite DORA-Betroffenheit.

Was verlangt Art. 16 selbst?

Art. 16 Abs. 1 Unterabsatz 2 nennt acht Pflichten in Buchstaben a bis h. Der RTS füllt sie in Titel III aus.

• a) einen soliden und dokumentierten IKT-Risikomanagementrahmen errichten und aufrechterhalten, einschließlich Schutz der physischen Komponenten und Infrastrukturen,
• b) Sicherheit und Funktionieren aller IKT-Systeme fortlaufend überwachen,
• c) resiliente, aktualisierte Systeme, Protokolle und Tools einsetzen und Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten schützen,
• d) Ursachen von IKT-Risiken und Anomalien rasch erkennen und Vorfälle rasch behandeln,
• e) die wesentlichen Abhängigkeiten von IKT-Drittdienstleistern ermitteln,
• f) die Kontinuität kritischer oder wichtiger Funktionen durch Geschäftsfortführungspläne und Wiederherstellungsmaßnahmen sichern, mindestens mit Sicherung und Wiedergewinnung,
• g) diese Pläne und die Wirksamkeit der Kontrollen regelmäßig testen,
• h) Erkenntnisse aus Tests und Vorfällen in die Risikobewertung einbeziehen und nach Bedarf Sensibilisierung und Schulung für Personal und Management entwickeln.

Nach Art. 16 Abs. 2 wird der Rahmen regelmäßig und nach schwerwiegenden IKT-bezogenen Vorfällen dokumentiert und überprüft und kontinuierlich verbessert. Auf Anfrage geht ein Überprüfungsbericht an die Aufsicht. Einen festen Jahresturnus wie im Vollrahmen (Art. 6 Abs. 5) nennt Art. 16 nicht.

Nachweismatrix: RTS Titel III Artikel für Artikel

Titel III des RTS hat 14 Artikel in vier Kapiteln: Kapitel I mit Governance, Leitlinie, Klassifizierung, Risikomanagement und physischer Sicherheit (Art. 28 bis 32), Kapitel II mit den übrigen Schutzmaßnahmen von der Zugangskontrolle bis zum Änderungsmanagement (Art. 33 bis 38), Kapitel III mit Geschäftsfortführungsplan und Tests (Art. 39, 40) und Kapitel IV mit dem Überprüfungsbericht (Art. 41). Spalte zwei fasst den Wortlaut zusammen, Spalte drei nennt Unterlagen, mit denen sich die Umsetzung belegen lässt, Spalte vier die Lücke, die wir beim Umstieg aus BAIT-Strukturen am häufigsten erwarten. Die Spalten drei und vier sind unsere fachliche Einordnung, kein Wortlaut.

Zwei Punkte aus der Matrix werden oft unterschätzt. Erstens braucht auch der vereinfachte Rahmen eine BIA, die das Leitungsorgan genehmigt (RTS Art. 28 Abs. 2 lit. d), und geplante Wiederherstellungsniveaus und Zeitrahmen je Funktion (RTS Art. 39 Abs. 2 lit. d). Nach unserer Einordnung entspricht das in der Sache den Wiederherstellungszielen des Vollrahmens. Zweitens gehört die Datensicherung mit Umfang und Mindesthäufigkeit in den Geschäftsfortführungsplan, weil das Datensicherungskonzept als eigenes Dokument entfällt.

Protokollierung im vereinfachten Rahmen

Die Aufsichtsmitteilung nennt in Abschnitt 8.2 keine eigenen Detailvorgaben zum Logging wie Art. 12 RTS für den Vollrahmen. RTS Art. 33 und 34 lit. f verlangen im vereinfachten Rahmen dennoch Protokollierung. Art. 33 verlangt, privilegierte, Notfall- und Administratorzugänge in einer Log-Datei zu protokollieren. Art. 34 lit. f verlangt die Protokollierung von „Vorfällen“ (englische Fassung: „events“, also Ereignissen) im Zusammenhang mit Zugangskontrolle, IKT-Betrieb einschließlich System- und Netzwerkverkehr und Änderungsmanagement, mit einem Detaillierungsgrad passend zum Zweck. Die Aufsichtsmitteilung nennt Art. 34 lit. f in Abschnitt 9 selbst. Aufbewahrungsfristen und weitere Einzelheiten legen Sie selbst begründet fest.

Beispiel: Nachweismappe zu RTS Art. 33

Fiktives Beispiel, kein Kunde. Ein Institut mit 35 Beschäftigten lässt Arbeitsplätze, Server und Benutzerverwaltung von einem Managed Service Provider betreiben, das Kernsystem läuft als Software-as-a-Service. So sieht die Mappe zu Art. 33 nach dem Umbau aus:

Wie sich privilegierte Zugänge von Dienstleistern technisch steuern und aufzeichnen lassen, beschreibt Blackfort Technology auf der Seite Privilegierte Zugriffe unter DORA.

Welche Vollrahmen-Vorgaben gelten im Art.-16-Rahmen nicht, und was bleibt?

„Entfällt“ heißt hier immer: Der vereinfachte Rahmen enthält keine ausdrückliche Vorgabe mehr. Es heißt nicht, dass Sie eine Rolle, ein Dokument oder eine Schutzmaßnahme abschaffen sollten. Die Tabelle nennt zuerst die Vorgaben des Vollrahmens, danach die BAIT-Anforderungen ohne Entsprechung. Die BaFin fasst zusammen, dass die Anforderungen des vereinfachten Rahmens geringer ausfallen als die der BAIT/VAIT, beim Drittparteienrisiko aber nur wenig.

Bis zum 31.12.2026 gelten die BAIT für die KWG-Gruppe vollständig, einschließlich ISB und Notfallmanagement. Wer jetzt umbaut, baut deshalb parallel auf und schaltet am 01.01.2027 um. Für die Frage, welches BAIT-Dokument wohin wandert, nutzen Sie das BAIT-DORA-Mapping.

Was gilt zusätzlich zum vereinfachten Rahmen?

Art. 16 ersetzt nur die Artikel 5 bis 15. Die übrigen Kapitel von DORA gelten weiter, mit wenigen Ausnahmen.

Meldewesen: Schwerwiegende IKT-bezogene Vorfälle gehen in drei Stufen an die BaFin, die Verantwortung bleibt auch bei einer ausgelagerten Meldung beim Institut. Ob die Wochenenderleichterung für Erst- und Zwischenmeldungen der KWG-Gruppe gilt, ist offen, wir planen ohne sie. Fristen, Klassifizierung, Begründung und Übung beschreibt die Seite Fristen und Ablauf der DORA-Meldepflicht.

Drittparteien: Für Art.-16-Unternehmen gelten Art. 28 bis 30 im Grundsatz vollständig, von der Einstufung vor Vertragsschluss über Ausstiegsstrategien und Konzentrationsrisiko bis zu den Pflichtinhalten nach Art. 30 für alle IKT-Verträge. Laut BaFin müssen deshalb in vielen Fällen Verträge nachverhandelt werden, verlängerte Übergangsfristen gibt es nicht. Was als kritische oder wichtige Funktion gilt, entscheiden Sie mit einer begründeten Funktionsliste, siehe kritische oder wichtige Funktionen einstufen.

Kleinstunternehmen der KWG-Gruppe: Nach § 1a Abs. 2a Satz 2 Nr. 3 KWG gelten Art. 28 bis 30 für sie nicht, also auch kein Register, keine Ausstiegsstrategien und keine Pflichtvertragsinhalte. Diese Regel steht im KWG und gilt nicht für alle DORA-Kleinstunternehmen. Abhängigkeiten von Dienstleistern ermitteln und in der Geschäftsfortführung abfedern müssen auch Kleinstunternehmen, und für ihren IKT-Fremdbezug bleibt AT 9 MaRisk anwendbar, weil AT 9 nur Dienste ausnimmt, die Art. 28 bis 30 unterliegen (unsere Ableitung aus dem Wortlaut). Wann ein Unternehmen Kleinstunternehmen ist und warum Sie den Status nie unterstellen sollten, steht auf der Seite DORA-Betroffenheit.

Informationsregister: Eingereicht wird jährlich über die Melde- und Veröffentlichungsplattform (MVP) der BaFin. Ab wann die KWG-Gruppe erstmals einreicht, regelt keine von uns gelesene Quelle. Wir empfehlen, das Register ab Januar 2027 einreichungsfähig zu führen.

Tests: Art. 24 und 25 DORA enthalten keine Ausnahme für Art.-16-Unternehmen, und die BaFin nennt sie für den vereinfachten Rahmen zusammen mit RTS Art. 36. Nach unserer Lesart gelten sie deshalb auch hier, für die KWG-Gruppe ab 01.01.2027. Dagegen lässt sich anführen, dass Art. 24 Abs. 1 das Testprogramm als Bestandteil des Rahmens nach Art. 6 beschreibt, den Art.-16-Unternehmen gerade nicht anwenden. Ob zusätzlich Art. 24 Abs. 6 greift, also jährliche Tests aller Systeme kritischer oder wichtiger Funktionen, sagt keine gelesene Quelle ausdrücklich, der Wortlaut nimmt nur Kleinstunternehmen aus. Unsere Empfehlung: das Testprogramm einschließlich der jährlichen Tests vorsorglich einplanen, bis eine Klarstellung vorliegt.

Sektorale Vorgaben: Allgemeine, nicht IKT-spezifische Governance-Anforderungen aus dem Aufsichtsrecht bleiben bestehen. Für Institute der KWG-Gruppe gilt daneben die MaRisk (RS 06/2026 (BA)), für Finanzdienstleistungsinstitute nur, soweit nach Größe und Geschäft geboten, insbesondere AT 3, AT 5, AT 7 und AT 9. Die Schnittstellen behandeln wir gesondert.

Welche Dokumente verlangt der RTS?

Der RTS verlangt weniger Dokumente als die BAIT, aber er nennt sie genau. Das Leitungsorgan legt nach RTS Art. 28 Abs. 2 lit. f die Richtlinien und Maßnahmen der Kapitel I bis III fest. Dokumentiert sein müssen nach dem Wortlaut die folgenden Unterlagen. Welche BAIT-Unterlage in welches Dokument übergeht, zeigt die Umbauliste auf der Seite BAIT und DORA.

Was Sie zusätzlich behalten, etwa Richtlinien, die sich im Alltag bewährt haben, entscheiden Sie selbst. Der RTS verbietet keine zusätzliche Dokumentation, er verlangt sie nur nicht.

Wer hat welche Rolle?

Leitungsorgan

Die Aufsichtsmitteilung hebt hervor, dass der vereinfachte Rahmen die Aufgaben des Leitungsorgans stärker betont als die BAIT. Nach RTS Art. 28 Abs. 2 stellt das Institut sicher, dass das Leitungsorgan

• die Gesamtverantwortung dafür hat, dass der Rahmen im Einklang mit der Risikobereitschaft die Geschäftsstrategie ermöglicht (lit. a),
• für alle IKT-bezogenen Funktionen klare Aufgaben und Zuständigkeiten festlegt (lit. b),
• Informationssicherheitsziele und IKT-Anforderungen festlegt (lit. c),
• Klassifizierung, Liste der Hauptrisiken, BIA und Geschäftsfortführungspläne genehmigt, überwacht und regelmäßig überprüft (lit. d),
• Budgetmittel zuweist und mindestens jährlich überprüft, auch für Sensibilisierung und Schulung (lit. e),
• die Richtlinien und Maßnahmen festlegt und umsetzt sowie Verfahren, Protokolle und Tools zum Schutz der Assets bestimmt (lit. f, g),
• für ausreichende Kenntnisse der Mitarbeiter sorgt (lit. h) und
• das Berichtswesen an sich selbst nach Häufigkeit, Form und Inhalt festlegt (lit. i).

Die Pflicht zu regelmäßigen speziellen Schulungen der Mitglieder des Leitungsorgans aus Art. 5 Abs. 4 gilt im vereinfachten Rahmen nicht. Wegen der Gesamtverantwortung braucht das Leitungsorgan laut BaFin trotzdem angemessene IKT-Kompetenz, und Art. 16 Abs. 1 lit. h nennt Schulungen für das Management ausdrücklich.

Kontrolle und Revision

Eine eigene IKT-Risikokontrollfunktion wie im Vollrahmen ist nicht vorgeschrieben. RTS Art. 28 Abs. 4 verlangt aber eine angemessene Trennung und Unabhängigkeit von Kontrollfunktionen und internen Revisionsfunktionen. Abs. 5 verlangt eine interne Revision des Rahmens nach dem Revisionsplan durch unabhängige Revisoren mit ausreichenden Kenntnissen im Bereich IKT-Risiken, Abs. 6 die zeitnahe Auswertung kritischer Feststellungen. Die Überprüfung der Einhaltung dürfen Sie nach Abs. 3 an gruppeninterne IKT-Unternehmen oder an Dienstleister auslagern. Die Verantwortung bleibt beim Institut.

Was aus dem ISB wird

Der Informationssicherheitsbeauftragte der BAIT hat im vereinfachten Rahmen laut Aufsichtsmitteilung keine Entsprechung. Seine Aufgaben bleiben: jemand muss die Leitlinie pflegen, die Maßnahmen nach Art. 30 bis 38 steuern, Vorfälle bewerten, die Tests planen und dem Leitungsorgan berichten. Unsere Empfehlung ist, die Rolle unter diesem oder einem neuen Namen zu behalten, ihre Aufgaben nach RTS Art. 28 Abs. 2 lit. b neu zu beschreiben und sie von der internen Revision getrennt zu halten. Ob Sie die Rolle intern oder extern besetzen, entscheiden Sie selbst, die Verantwortung bleibt beim Leitungsorgan. Wie eine externe Besetzung aussieht, beschreibt Blackfort Technology auf der Seite Externer Informationssicherheitsbeauftragter.

Häufige Fehlannahmen

Drei typische Lücken beim Umstieg

Lücken und Abhilfe sind unsere fachliche Einordnung. Ob eine Pflicht im Einzelfall gilt, bleibt eine Rechtsfrage.

Fahrplan bis zum 01.01.2027

Für die KWG-Gruppe gelten der vereinfachte Rahmen und Art. 28 bis 30 ab dem 01.01.2027 ohne weitere Übergangsfrist. Wer im November 2026 beginnt, sollte in dieser Reihenfolge vorgehen (unser Vorschlag):

Ein Maßnahmenplan ersetzt keine Pflicht, die ab 01.01.2027 gilt. Er zeigt aber, dass Lücken erkannt und mit Termin geschlossen werden, und er ist die Grundlage für den ersten Überprüfungsbericht.

Jahreskalender für das erste Betriebsjahr

Feste Mindestturnusse nennt der RTS nur für die Budgetüberprüfung (jährlich) und den Test der Geschäftsfortführungspläne (jährlich oder bei größeren Änderungen). Das Register wird jährlich eingereicht. Alle anderen Monate sind unser Vorschlag für ein Institut, dessen Geschäftsjahr dem Kalenderjahr entspricht.

Wie wir unterstützen

Für Institute im vereinfachten Rahmen bieten wir zwei Wege an. Die DORA-Gap-Analyse legt die Nachweismatrix über Ihren Bestand und liefert einen Maßnahmenplan. Das Umstiegspaket von der BAIT auf Art. 16 setzt den Umbau mit festem Grundumfang um, bis zur Übergabe der Nachweise. Die Art.-16-Gap-Analyse wird darauf angerechnet, Einzelheiten im Angebot. Verantwortlicher Berater ist Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology. Die Einordnung auf dieser Seite ist allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.