DORA-Betroffenheit prüfen: Vollrahmen, Art. 16 oder keiner

Die Einstufung beantwortet zwei Fragen: Gilt DORA für Ihr Unternehmen, und wenn ja, in welchem Rahmen? DORA ist die Verordnung (EU) 2022/2554, sie gilt seit dem 17.01.2025 unmittelbar. Was im vereinfachten Rahmen im Einzelnen zu tun ist, beschreibt die Seite Art. 16 DORA: vereinfachter Rahmen.

Anwendungsbereich nach Art. 2 DORA: wen nennt die Verordnung?

Art. 2 Abs. 1 DORA zählt 21 Arten von Unternehmen auf. Die ersten 20 (lit. a bis t) heißen zusammen „Finanzunternehmen“ (Art. 2 Abs. 2). Nur sie trifft der Pflichtenkatalog der Verordnung.

Der 21. Eintrag (lit. u) sind IKT-Drittdienstleister, die keine Finanzunternehmen sind (siehe unten). „Kreditinstitut“ in lit. a meint das CRR-Kreditinstitut: Wer Einlagen- und Kreditgeschäft betreibt, fällt laut BaFin seit dem 17.01.2025 direkt unter DORA. Ein Institut nach KWG ohne diese Kombination, etwa eine Bürgschaftsbank, ist über die nationale Erweiterung erfasst.

Welche Ausnahmen gibt es nach Art. 2 Abs. 3?

Für sechs Gruppen gilt DORA trotz ihrer Art nicht:

Versicherungsvermittler sind damit nur oberhalb der Größenklassen aus Art. 3 Nr. 60, 63 und 64 erfasst.

Achtung bei lit. c: Der deutsche Artikeltext sagt „weniger als 15 Versorgungsanwärtern“, die englische Fassung „not more than 15 members“, und auch Erwägungsgrund 39 spricht in der deutschen Fassung von „nicht mehr als 15“. Bei genau 15 Versorgungsanwärtern ist deshalb offen, ob DORA gilt. Alle Sprachfassungen sind gleich verbindlich. Diesen Grenzfall sollten Sie rechtlich klären lassen.

Auch wer nicht unter DORA fällt, ist nicht frei von IT-Anforderungen: Beaufsichtigte Unternehmen außerhalb von DORA müssen IKT- und Cyberrisiken laut BaFin im Rahmen der ordnungsgemäßen Geschäftsorganisation angemessen behandeln.

Wen bezieht das FinmadiG zusätzlich ein?

Das deutsche Finanzmarktdigitalisierungsgesetz (FinmadiG) erweitert den Kreis über das KWG, die KfW-Verordnung und das VAG. Diese Unternehmen stehen nicht in Art. 2 DORA, wenden die Verordnung aber an:

Die Institute nach § 1a Abs. 2a KWG nennen wir hier kurz KWG-Gruppe. Für sie läuft der Wechsel in zwei Stufen: Vorfälle melden sie schon seit Januar 2025 nach DORA (siehe IKT-Vorfälle melden), den Risikomanagementrahmen stellen sie zum 01.01.2027 von der BAIT auf Art. 16 um. Mit Ablauf des 31.12.2026 hebt die BaFin die BAIT vollständig auf. Folgefragen für Factoring- und Leasinginstitute beantwortet die Seite DORA für Factoring und Leasing.

Offen ist die Lage der Finanzholdings. Sie fallen laut BaFin weder heute unter DORA noch in die KWG-Gruppe, für sie gelten die BAIT. Was ab dem 01.01.2027 gilt, ergibt sich aus den von uns geprüften Quellen nicht. Klären Sie das mit der Aufsicht.

Welcher Rahmen gilt: voll, Art. 16 oder keiner?

Nach DORA selbst fallen in Deutschland nur zwei Gruppen unter Art. 16: kleine und nicht verflochtene Wertpapierinstitute (Art. 3 Nr. 34) und kleine EbAV (Art. 3 Nr. 53). Die übrigen Gruppen aus Art. 16 Abs. 1 laufen in Deutschland leer. Deutschland hat die Ausnahmen der Zahlungsdienste- und der E-Geld-Richtlinie nicht genutzt, und KfW und Landesförderbanken, die nach der CRD ausgenommen sind, unterwirft das FinmadiG dem Vollrahmen. Zahlungs- und E-Geld-Institute wenden deshalb auch als kleine Institute den Vollrahmen an. Frühere Adressaten der ZAIT und der KAIT fallen laut BaFin nicht unter Art. 16.

Die EbAV-Staffel

Für EbAV ergibt sich aus Art. 2 Abs. 3 lit. c, Art. 3 Nr. 53 und Art. 16 Abs. 1 eine Staffel nach der Zahl der Versorgungsanwärter aller Altersversorgungssysteme zusammen. Nach dem deutschen Artikeltext gilt DORA unter 15 nicht, von 15-99 gilt Art. 16, ab 100 der Vollrahmen. Nach der englischen Fassung begänne Art. 16 erst bei 16 (siehe Hinweis zu lit. c).

Entscheidungsbaum

Gehen Sie die Fragen der Reihe nach durch:

Hat ein Unternehmen mehrere Erlaubnisse, etwa Factoring und Zahlungsdienste, ordnen Sie jede Erlaubnis zu. Fällt eine davon unter Art. 2 Abs. 1, ist das Unternehmen als Ganzes direkt erfasst, bei einem Zahlungsinstitut im Vollrahmen, auch mit seinem Factoringgeschäft. § 1a Abs. 2a KWG greift dann nach seinem Wortlaut nicht, weil Satz 1 nur Institute erfasst, die nicht schon nach Art. 2 DORA im Anwendungsbereich liegen. Das ist unsere Lesart des Wortlauts. Lassen Sie sie im Einzelfall rechtlich bestätigen.

Wann ist ein Unternehmen Kleinstunternehmen, und warum darf man es nicht unterstellen?

Kleinstunternehmen ist nach Art. 3 Nr. 60 ein Finanzunternehmen, das weniger als zehn Personen beschäftigt und dessen „Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR nicht überschreitet“. Handelsplätze, zentrale Gegenparteien, Transaktionsregister und Zentralverwahrer sind nie Kleinstunternehmen.

DORA knüpft an den Status einzelne Erleichterungen, etwa beim Überprüfungsturnus im Vollrahmen (Art. 6 Abs. 5). Für die KWG-Gruppe gelten Art. 28 bis 30 bei Kleinstunternehmen gar nicht, damit auch nicht das Informationsregister (§ 1a Abs. 2a Satz 2 Nr. 3 KWG). Diese Sonderregel gilt nur für diese Gruppe. Prüfen Sie den Status deshalb mit Belegen, aus drei Gründen:

• Zwei Bedingungen: Weniger als zehn Beschäftigte reichen nicht, auch das Finanzkriterium muss erfüllt sein.
• Unklarer Wortlaut: Deutsch heißt es „Jahresumsatz bzw. -bilanzsumme“, englisch „and/or“. Ob ein Wert unter 2 Mio. EUR genügt oder beide darunter liegen müssen, ist sprachlich offen.
• Bilanzsumme: Institute mit nennenswertem Forderungs- oder Leasingbestand liegen nach unserer Einschätzung typischerweise über 2 Mio. EUR (Branchenzahlen nicht ausgewertet).

Unsere Empfehlung: Halten Sie Beschäftigtenzahl, Jahresumsatz und Bilanzsumme mit Stichtag und Quelle fest. Gut begründet ist der Status, wenn weniger als zehn Personen beschäftigt sind und keiner der beiden Finanzwerte 2 Mio. EUR überschreitet. Überschreitet einer die Grenze, planen Sie vorsorglich ohne die Erleichterung und lassen Sie die Frage rechtlich klären.

Sind IKT-Dienstleister von DORA betroffen?

IKT-Drittdienstleister stehen zwar in Art. 2 Abs. 1 lit. u, sind nach Art. 2 Abs. 2 aber keine Finanzunternehmen. Laut BaFin betrifft DORA sie indirekt, weil ihre Finanzkunden bei der Vertragsgestaltung bestimmte Anforderungen berücksichtigen müssen. Nach DORA sind sie nicht meldepflichtig, eigene Meldepflichten etwa nach NIS2 oder TKG können bestehen. Unmittelbar gilt der Überwachungsrahmen nach Kapitel V Abschnitt II nur für Dienstleister, die die Europäischen Aufsichtsbehörden nach Art. 31 DORA als kritisch eingestuft haben.

Gilt NIS2 zusätzlich?

Ob ein Finanzunternehmen zugleich NIS2-Einrichtung ist, prüfen Sie gesondert nach § 28 BSIG (siehe NIS2-Readiness: NIS2-Betroffenheit prüfen). Ist es das, nimmt § 28 Abs. 6 BSIG es von den §§ 30 bis 32, 35, 36, 38 und 39 BSIG aus, die Registrierung nach § 33 kann bleiben. Für die KWG-Gruppe ergibt sich diese Ausnahme ab dem 01.01.2027 aus dem Wortlaut, für die Zeit davor ist sie nicht belegt.

DORA-Check: zehn Fragen zur ersten Einordnung

Die Fragen folgen dem Entscheidungsbaum. Das Ergebnis ist eine erste Einordnung, keine Prüfung und keine Rechtsberatung.

1. Welche Erlaubnisse hat das Unternehmen, und welcher Art aus Art. 2 Abs. 1 DORA entspricht jede davon?
2. Betreibt es das Einlagen- und das Kreditgeschäft (dann CRR-Kreditinstitut)?
3. Greift eine der Ausnahmen nach Art. 2 Abs. 3 lit. a, b, d oder f?
4. Ist es Versicherungsvermittler, und wenn ja: Kleinstunternehmen, kleines oder mittleres Unternehmen nach Art. 3 Nr. 60, 63, 64?
5. Ist es eine EbAV, und wie viele Versorgungsanwärter haben alle Systeme zusammen?
6. Ist es eine Wertpapierfirma, die die Bedingungen von Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 erfüllt?
7. Ist es die KfW oder eine Landesförderbank?
8. Ist es ein Institut nach § 1 Abs. 1b KWG, das nicht schon unter Art. 2 DORA fällt, zum Beispiel Factoring, Finanzierungsleasing oder Bürgschaftsbank?
9. Ist es eine Versicherungs-Holdinggesellschaft oder ein Unternehmen nach § 293 Abs. 4 VAG?
10. Wie hoch waren Beschäftigtenzahl, Jahresumsatz und Bilanzsumme zum letzten Stichtag?

Ergibt sich aus Frage 1 bis 9 kein eindeutiges Ergebnis, etwa bei mehreren Erlaubnissen oder einer EbAV mit genau 15 Versorgungsanwärtern, ist das ein Fall für die rechtliche Prüfung.

Beispiel: Einstufungsvermerk eines Factoringinstituts

Fiktives Beispiel, kein Kunde. Die Muster-Factoring GmbH kauft Forderungen mittelständischer Kunden an. Sie hat 23 Beschäftigte, eine Bilanzsumme von 61 Mio. EUR und Umsatzerlöse von 9,6 Mio. EUR. Einlagen nimmt sie nicht an, Zahlungsdienste erbringt sie nicht. Bisher wendet sie die BAIT an. Die Einstufung hält sie im September 2026 fest:

Bei einem kleineren Institut müsste der Vermerk beide Finanzwerte und die offene Lesart von „bzw.“ ausdrücklich behandeln, denn an der Kleinstunternehmen-Zeile hängt das Informationsregister.

Drei typische Lücken bei der Einstufung

Lücken und Abhilfe sind unsere fachliche Einordnung. Die Einstufung im Einzelfall bleibt eine Rechtsfrage. Bei Zweifeln, etwa bei mehreren Erlaubnissen oder Grenzfällen beim Kleinstunternehmen, lassen Sie sie rechtlich prüfen.

Wie es nach der Einstufung weitergeht

Steht fest, dass Art. 16 gilt, zeigt die Seite zum vereinfachten Rahmen nach Art. 16, welche Pflichten aus Art. 16 und den RTS Art. 28 bis 41 folgen. Was davon in Ihren BAIT-Unterlagen schon steckt, zeigt das BAIT-DORA-Mapping. Wo Ihr Institut steht, klärt die DORA-Gap-Analyse, auch im Vollrahmen. Den Umstieg zum 01.01.2027 mit festem Grundumfang bietet das Umstiegspaket von der BAIT auf Art. 16.