Kleine Wertpapierinstitute unter DORA: Einstufung und Pflichten

Was im vereinfachten Rahmen für alle Gruppen gilt, steht mit Nachweismatrix und Fahrplan auf der Seite Art. 16 DORA. Hier geht es um das, was Wertpapierinstitute anders betrifft: die Einstufung nach der Verordnung über Aufsichtsanforderungen an Wertpapierfirmen (IFR), die Überwachung der Schwellen und die Unterschiede zu Factoring, Leasing und den übrigen Instituten, die erst über das KWG zu DORA kommen.

Wann ist ein Wertpapierinstitut „klein und nicht verflochten“?

Wenn es alle neun Bedingungen des Art. 12 Abs. 1 IFR erfüllt. DORA übernimmt diese Abgrenzung wörtlich: Art. 3 Nr. 34 DORA verweist auf Art. 12 Abs. 1 der Verordnung (EU) 2019/2033, und § 2 Abs. 16 WpIG definiert das „kleine Wertpapierinstitut“ mit demselben Verweis. Die BaFin ordnet diese Institute in der Aufsichtsmitteilung vom 21.08.2025 dem Art. 16 nach DORA selbst zu, nicht über das FinmadiG. Mittlere und große Wertpapierinstitute (§ 2 Abs. 17 und 18 WpIG) erfüllen die Bedingungen nicht und wenden den Vollrahmen nach Art. 5 bis 15 an.

Vier Regeln aus Art. 12 IFR sind für die DORA-Einstufung besonders wichtig. Gehört das Institut zu einer Gruppe, gelten die Bedingungen lit. a, b, h und i auf kombinierter Basis für alle Wertpapierfirmen der Gruppe, lit. c bis g dagegen für jedes Institut einzeln (Abs. 2). Für lit. h und i zählen die Werte am Ende des letzten Geschäftsjahres, dessen Abschluss erstellt und vom Leitungsorgan gebilligt wurde. Fehlt er sechs Monate nach Geschäftsjahresende noch, gilt ein vorläufiger Abschluss. Bei lit. b verbindet der Wortlaut die Werte für Kassageschäfte und Derivate mit „oder“, auch in der englischen Fassung („or“). Wir lesen das so, dass ein Institut, das beide Geschäftsarten betreibt, beide Werte unterschreiten muss. Dafür spricht Erwägungsgrund 17 IFR, der die Werte mit „bzw.“ je Geschäftsart nennt. Im Grenzfall ist das rechtlich zu klären. Verlust und Wiedererlangung des Status folgen eigenen Fristen, dazu die Fragen unten. Kein Wertpapierinstitut im Sinn von DORA ist, wer nach Art. 2 und 3 MiFID II ausgenommen ist (Art. 2 Abs. 3 lit. d DORA). Das betrifft die Erlaubnisfrage, nicht die Größe.

Was heißt Art. 16 für ein kleines Wertpapierinstitut?

Dasselbe wie für jede andere Art.-16-Gruppe: statt Art. 5 bis 15 der vereinfachte Rahmen nach Art. 16 mit Titel III (Art. 28 bis 41) des RTS (EU) 2024/1774. Leitlinie, Funktionsliste mit Analyse der Auswirkungen auf den Geschäftsbetrieb, Wiederherstellungsziele, Protokollierung und Geschäftsfortführungsplan verlangt der RTS auch hier. Was im Einzelnen gilt, was als ausdrückliche Vorgabe entfällt und welche Rolle wer übernimmt, steht in der Nachweismatrix auf der Seite Art. 16 DORA. Für Wertpapierinstitute kommen fünf Punkte hinzu, die sich aus ihrer Rechtsgrundlage ergeben:

• Seit 17.01.2025 vollständig. Art. 16 gilt für sie unmittelbar nach DORA. Eine Übergangsfrist wie § 65a Abs. 3 KWG für die KWG-Gruppe gibt es nicht.
• Drittparteien ohne Kleinstunternehmen-Ausnahme. Art. 28 bis 30 gelten auch dann, wenn das Institut ein Kleinstunternehmen nach Art. 3 Nr. 60 DORA ist. Die Ausnahme in § 1a Abs. 2a Satz 2 Nr. 3 KWG gilt nur für die KWG-Gruppe, die BaFin betont, dass es für Art. 28 bis 30 sonst keine vergleichbare Ausnahme gibt. Damit gilt auch das Informationsregister.
• Keine Zusammenfassung wiederholter Vorfälle. Die Regel aus Art. 8 Abs. 2 der Delegierten VO 2024/1772, wiederholte kleinere Vorfälle monatlich zusammen zu bewerten, gilt ausdrücklich nicht für die in Art. 16 Abs. 1 DORA genannten Unternehmen. Kleine Wertpapierinstitute sind dort genannt, für die KWG-Gruppe ist die Frage offen (IKT-Vorfälle melden).
• Kein TLPT. Art. 26 Abs. 1 DORA nimmt die in Art. 16 Abs. 1 Unterabsatz 1 genannten Unternehmen von den bedrohungsorientierten Penetrationstests aus. Ob das Testprogramm nach Art. 24 und 25 gilt, beantworten wir auf der Seite Art. 16 DORA als unsere Lesart, dort mit Gegenargument.
• Keine MaRisk als Brücke. Die MaRisk nennen in AT 2.1 Tz. 2 nur große Wertpapierinstitute nach § 2 Abs. 18 WpIG. Für kleine Wertpapierinstitute verlangt § 41 WpIG solide Regelungen zur Unternehmensführung mit wirksamen Verfahren zur Steuerung der Risiken. Anders als bei Factoring und Leasing gibt es für kleine Wertpapierinstitute damit kein MaRisk-Gegenstück wie das Notfallkonzept nach AT 7.3, mit dem die DORA-Dokumente zu verzahnen wären (unsere Ableitung aus dem Anwendungsbereich).

Was ist anders als bei der KWG-Gruppe?

Die Rechtsgrundlage und damit der Zeitplan und zwei Ausnahmen. Factoring- und Leasinginstitute, Bürgschaftsbanken und die übrigen Institute nach § 1a Abs. 2a KWG wenden DORA so an, „als wären“ sie CRR-Kreditinstitute, und zwar erst ab 01.01.2027. Wertpapierinstitute sind Finanzunternehmen nach Art. 2 Abs. 1 lit. e DORA.

Wer als Wertpapierinstitut Texte zur KWG-Gruppe liest, sollte deshalb drei Aussagen nicht übernehmen: die Frist bis 2027, die Kleinstunternehmen-Ausnahme bei Art. 28 bis 30 und den offenen Punkt zu wiederholten Vorfällen.

Beispiel: Einstufungsvermerk eines Wertpapierinstituts

Fiktives Beispiel, kein Kunde. Die Muster-Portfolio GmbH erbringt Finanzportfolioverwaltung und Anlagevermittlung, hält keine Kundengelder und verwahrt keine Wertpapiere. Sie hat 19 Beschäftigte und gehört mit einer zweiten Wertpapierfirma, der Muster-Fondsberatung GmbH, zu einer Holding. Die Geschäftsleitung hält die DORA-Einstufung für den Abschlussprüfer und die eigene Akte fest:

Der Vermerk macht den Grenzfall sichtbar: Mit 1,11 Mrd. EUR liegt die Gruppe knapp unter der AUM-Schwelle. Steigen die verwalteten Vermögen der Schwester, kann die Muster-Portfolio GmbH ihren Status verlieren, obwohl sich bei ihr selbst nichts ändert. Für diesen Fall sollte der Wechsel in den Vollrahmen vorbereitet sein, etwa mit einer Liste der Vollrahmen-Dokumente, die dann fehlen würden (IKT-Risikomanagement im Vollrahmen). Die Werte und der Rhythmus im Vermerk sind erfunden, die Warnschwelle ist unsere Empfehlung.

Drei typische Lücken bei kleinen Wertpapierinstituten

Lücken und Abhilfe sind unsere fachliche Einordnung aus dem Wortlaut von DORA, IFR und RTS. Das Beispielinstitut ist frei erfunden. Die Einordnung ist allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.

Wie wir unterstützen

Kleine Wertpapierinstitute kommen nicht von der BAIT, für sie ist die Art.-16-Gap-Analyse der passende Einstieg: Sie prüft Einstufungsvermerk, Dokumente und Nachweise gegen die Nachweismatrix und liefert einen Maßnahmenplan. Umfang und Preis stehen auf der Seite DORA-Gap-Analyse. Wie DORA und NIS2 zusammenspielen, falls ein Institut über eine andere Tätigkeit auch unter das BSI-Gesetz fällt, beschreibt die Seite DORA und NIS2.