Factoring und Leasing unter DORA: sieben Fragen bis 2027

Die Pflichten, die für alle Gruppen im vereinfachten Rahmen gelten, stehen mit einer Nachweismatrix zu jedem Artikel auf der Seite Art. 16 DORA. Hier geht es um das, was Factoring- und Finanzierungsleasinginstitute als Teil der Institute nach § 1a Abs. 2a KWG (hier: KWG-Gruppe) konkret entscheiden müssen. Alle Beispiele beziehen sich auf die erfundene „Muster-Factoring GmbH“, deren Einstufungsvermerk auf der Seite DORA-Betroffenheit steht. Für ein Leasinginstitut gilt dasselbe Schema mit Funktionen wie Vertragsabschluss, Vertragsverwaltung und Einzug der Leasingraten.

1. Warum betrifft DORA Factoring- und Leasinginstitute, und welcher Rahmen gilt?

Weil das FinmadiG den Anwendungsbereich national erweitert hat: Nach § 1a Abs. 2a KWG gelten DORA und die Level-2-Rechtsakte für alle Institute, die nicht schon nach Art. 2 DORA erfasst sind, so, als wären sie CRR-Kreditinstitute. Die BaFin nennt Factoring- und Finanzierungsleasinginstitute ausdrücklich. Die Rechtslage der Gruppe im Einzelnen beschreibt die Seite Art. 16 DORA.

Das Testprogramm nach Art. 24 und 25 ordnen wir als unsere Lesart ein und empfehlen, es vorsorglich einzuplanen. Begründung und Gegenargument stehen auf der Seite Art. 16 DORA. Daneben gilt die MaRisk, für Finanzdienstleistungsinstitute nur, soweit nach Größe und Geschäft geboten, insbesondere AT 3, AT 5, AT 7 (mit dem Notfallmanagement nach AT 7.3) und AT 9. Wer zusätzlich Einlagen- und Kreditgeschäft betreibt, ist CRR-Kreditinstitut und seit 2025 im Vollrahmen.

2. Sind wir ein Kleinstunternehmen, und gelten dann Art. 28 bis 30?

Für die meisten Factoring- und Leasinginstitute nein, und dann gelten Art. 28 bis 30 im Grundsatz vollständig. Nach § 1a Abs. 2a Satz 2 Nr. 3 KWG gelten sie nur für Kleinstunternehmen der Gruppe nicht. Kleinstunternehmen ist, wer weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanzsumme 2 Mio. EUR nicht überschreitet. Ein Institut mit nennenswertem Forderungs- oder Leasingbestand liegt mit der Bilanzsumme nach unserer Einschätzung in aller Regel deutlich darüber. Unterstellen sollten Sie den Status nie: Wie Sie ihn mit Zahlen prüfen und was beim Grenzfall „bzw.“/„and/or“ offen ist, zeigt die Seite DORA-Betroffenheit.

Wenn Sie Kleinstunternehmen sind, entfallen aus DORA Register, Vorab-Prüfung, Ausstiegsstrategien, Konzentrationsrisiko und Pflichtvertragsinhalte. Abhängigkeiten von Dienstleistern ermitteln und in der Geschäftsfortführung abfedern müssen Sie trotzdem (Art. 16 Abs. 1 lit. e, RTS Art. 30 Abs. 2, Art. 39 Abs. 2), und für den IKT-Fremdbezug bleibt nach unserer Ableitung aus dem Wortlaut AT 9 MaRisk anwendbar.

Wenn Sie kein Kleinstunternehmen sind, gelten Art. 28 bis 30 ohne die Strategie nach Art. 28 Abs. 2 und ohne die Leitlinie nach RTS 2024/1773. Dass die Zusammenfassung wiederholter Vorfälle nach RTS 2024/1772 Art. 8 Abs. 2 für Sie entfällt, sollten Sie nicht einplanen. Ob die nur national erfasste KWG-Gruppe unter die dortige Ausnahme fällt, regelt keine von uns gelesene Quelle.

Musterfall: von der Funktion bis zum Nachweis

Frei erfundenes Beispiel, keine Kundendaten. Die Muster-Factoring GmbH kauft Forderungen mittelständischer Kunden an, bevorschusst sie und übernimmt das Debitorenmanagement. Sie hat 23 Beschäftigte und eine Bilanzsumme von 61 Mio. EUR, ist also kein Kleinstunternehmen. Das Kernsystem bezieht sie als Software-as-a-Service von einem Softwareanbieter, der es im Rechenzentrum eines Unterauftragnehmers betreibt. Den Zahlungsverkehr wickelt sie über eine Banking-Software ab. Arbeitsplätze, Benutzerverwaltung und Dateiserver betreut ein Managed Service Provider (MSP). Die Geschäftsleitung hat im Oktober 2026 fünf Funktionen als kritisch oder wichtig eingestuft. Die vollständige Funktionsliste mit Begründung steht auf der Seite kritische oder wichtige Funktionen einstufen. Die Tabelle zeigt für zwei dieser Funktionen und für die Bausteine, die alle Funktionen stützen, die ganze Kette, die der vereinfachte Rahmen verlangt.

Die Einstufung „kritisch oder wichtig“ folgt Art. 3 Nr. 22 DORA und ist nicht dasselbe wie die Wesentlichkeit einer Auslagerung. Die Methode zeigt die Seite kritische oder wichtige Funktionen einstufen. Die Wiederherstellungsziele sind Beispielwerte: Der RTS verlangt festgelegte Wiederherstellungsniveaus und Zeitrahmen und eine vom Leitungsorgan genehmigte BIA, gibt aber keine Zahlen vor.

3. Was wird aus unseren BAIT-Unterlagen?

Kaum eine Unterlage fällt ersatzlos weg: Die meisten Inhalte wandern in die Gliederung des RTS. Ersetzt werden vor allem Schutzbedarfsfeststellung und Datensicherungskonzept, ihre Inhalte gehen in Klassifizierung und Geschäftsfortführungsplan über. Das Berechtigungskonzept wird zum Zugangskontrollverfahren umgebaut, das IT-Notfallkonzept zum Geschäftsfortführungsplan, und die MaRisk verlangt in AT 7.3 weiter ein Notfallkonzept. Unterlage für Unterlage zeigt das die Umbauliste der BAIT-Unterlagen, Textziffer für Textziffer das Mapping auf derselben Seite. Bis zum 31.12.2026 gelten die BAIT weiter, setzen Sie keine BAIT-Regelung vorzeitig außer Kraft.

4. Wer übernimmt Sicherheits-, Kontroll- und Revisionsaufgaben?

Die Geschäftsleitung hat die Gesamtverantwortung und verteilt die übrigen Aufgaben selbst, Kontrolle und Revision müssen aber getrennt und unabhängig sein. Einen ISB oder eine IKT-Risikokontrollfunktion schreibt der vereinfachte Rahmen nicht vor, die Aufgaben bleiben. Die Regeln im Einzelnen stehen auf der Seite Art. 16 DORA. Im Musterfall sieht die Verteilung so aus:

5. Was müssen Softwareanbieter, MSP und Rechenzentrum liefern?

Verträge mit den Pflichtinhalten nach Art. 30 DORA und im laufenden Betrieb die Nachweise, die Sie selbst nicht erzeugen können. Die Dienstleister trifft DORA dabei nur mittelbar über diese Verträge. Nach DORA sind sie nicht meldepflichtig (eigene Meldepflichten etwa nach NIS2 oder TKG können bestehen), und unmittelbar beaufsichtigt werden nur die von den europäischen Aufsichtsbehörden als kritisch eingestuften IKT-Drittdienstleister. Löst ein Vorfall beim Dienstleister bei Ihnen einen schwerwiegenden Vorfall aus, melden Sie.

Standardvertragsklauseln der europäischen Aufsichtsbehörden gibt es bislang nicht, eine verlängerte Übergangsfrist für bestehende Verträge auch nicht. Planen Sie die Nachverhandlungen deshalb früh. Kleinstunternehmen der Gruppe brauchen die Lieferungen „Im Betrieb“ auch ohne Art. 30, weil die Maßnahmen nach RTS Art. 29 Abs. 2 die vom Dienstleister umgesetzten umfassen.

6. Was ist bis zum 01.01.2027 umzusetzen und nachzuweisen?

Alles, was der vereinfachte Rahmen und Art. 28 bis 30 verlangen, gilt ab diesem Tag ohne weitere Übergangsfrist, das Meldewesen gilt bereits. Die folgende Liste zeigt, welche Nachweise am Stichtag vorliegen sollten:

Ob die Wochenenderleichterung für Erst- und Zwischenmeldungen von Factoring- und Leasinginstituten gilt, ist offen, wir planen ohne sie. Fristen und Begründung stehen auf der Seite Fristen und Ablauf der DORA-Meldepflicht. Ab wann die Gruppe erstmals ein Informationsregister einreicht, regelt keine von uns gelesene Quelle. Führen Sie es ab Januar 2027 einreichungsfähig.

Kurzprotokoll einer Wiederherstellungsübung (Beispiel)

Erfundenes Beispiel zur Muster-Factoring GmbH. Das Institut hat den neuen Plan im Oktober 2026 getestet, noch unter der BAIT, damit Mängel vor dem Umstieg behoben sind.

Ergebnis einer Meldeübung (Beispiel)

Erfundenes Beispiel zur Muster-Factoring GmbH. Planspiel am Freitag, 30.10.2026: Das Kernsystem fällt beim Anbieter aus, Kenntnis um 15:10 Uhr, Einstufung als schwerwiegend um 17:40 Uhr, Erstmeldung also bis 21:40 Uhr fällig (die Schwellen zeigt der Klassifizierungsbogen zur Meldepflicht). Der Hauptbefund lag beim Anbieter des Kernsystems: Er meldete den Ausfall als Störung ohne Angaben zu Ursache, erwarteter Dauer und betroffenen Kunden und lieferte sie erst auf zweite Nachfrage um 20:15 Uhr. Erst dann ließen sich die Angaben zu den betroffenen Anschlusskunden im Formular ergänzen. Das Formular war um 21:05 Uhr fertig, die Frist wäre knapp gehalten worden. Die Maßnahmen:

• Vertragsanlage mit Meldeinhalten und Lieferfristen für den Anbieter, etwa Ursache, erwartete Dauer und betroffene Kunden binnen einer Stunde (Leitung Operations, bis 31.12.2026),
• Ansprechpartner beim Anbieter mit Vertretung im Notfallhandbuch, zweite Person für die MVP (Geschäftsleitung, bis 30.11.2026),
• Klassifizierungsbogen um die Kundenzahl je Dienstleistung ergänzen (Informationssicherheitsbeauftragter, bis 15.11.2026).

7. Wie hoch ist der Aufwand, und wie viel Zeit brauchen wir selbst?

Das hängt weniger von der Größe des Instituts ab als vom Zustand der BAIT-Unterlagen und von der Zahl der IKT-Dienstleister. Wer viele Verträge nachverhandeln muss, braucht vor allem Zeit, die er nicht selbst in der Hand hat. Unsere Einschätzung:

Die meiste Zeit der Geschäftsleitung binden die Beschlüsse nach RTS Art. 28 Abs. 2, diese Termine sollten jetzt im Kalender stehen. Ein belastbares Bild Ihres Aufwands liefert die DORA-Gap-Analyse mit Maßnahmenplan. Das Umstiegspaket von der BAIT auf Art. 16 setzt den Umbau mit festem Grundumfang um, die Art.-16-Gap-Analyse wird darauf angerechnet, Einzelheiten im Angebot. Umfang und Preise stehen auf diesen beiden Seiten.

Drei typische Lücken bei Factoring- und Leasinginstituten

Lücken und Abhilfe sind unsere fachliche Einordnung aus dem Wortlaut von DORA, RTS und Aufsichtsmitteilung. Der Musterfall auf dieser Seite ist frei erfunden. Die Einordnung ist allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall. Ob Sie Kleinstunternehmen sind, prüfen Sie mit den Zahlen auf der Seite DORA-Betroffenheit.