Kritische oder wichtige Funktionen: Einstufung mit Begründung

Diese Seite gilt für beide Rahmen: für Finanzunternehmen im Vollrahmen nach Art. 5 bis 15 DORA und im vereinfachten Rahmen nach Art. 16, also auch für Factoring- und Leasinginstitute, Bürgschaftsbanken und die übrigen Institute nach § 1a Abs. 2a KWG (hier: KWG-Gruppe), die ab 01.01.2027 auf DORA wechseln. Welcher Rahmen für Sie gilt, klärt die Seite DORA-Anwendungsbereich. Hier geht es um die Frage, an der viele Pflichten hängen: welche Ihrer Funktionen kritisch oder wichtig sind und wie Sie das begründen.

Was ist eine kritische oder wichtige Funktion?

Art. 3 Nr. 22 DORA beschreibt eine Funktion mit zwei Alternativen. Ist eine davon erfüllt, ist die Funktion kritisch oder wichtig:

Drei Punkte ergeben sich direkt aus dem Wortlaut und werden oft übersehen:

• Ja oder nein: Die Verordnung definiert „kritische oder wichtige Funktion“ als einen Begriff ohne Stufen, an dem dieselben Pflichten hängen. Eine Skala wie „hoch, mittel, niedrig“ aus einer Schutzbedarfsfeststellung oder BIA ersetzt die Einstufung deshalb nicht (eigene Lesart des Wortlauts). Interne Abstufungen, etwa für Wiederherstellungsziele, können Sie zusätzlich führen.
• Funktion, nicht System: Eingestuft wird eine Tätigkeit oder ein Prozess. Die IKT-Dienste, Anwendungen und Dienstleister, die sie unterstützen, werden der Funktion danach zugeordnet.
• Mehr als Verfügbarkeit: Die Definition ähnelt laut BaFin dem Schutzziel Verfügbarkeit, ist aber nicht damit identisch. Eine Funktion kann auch wegen der Vertraulichkeit kritisch oder wichtig sein. Die zweite Alternative erfasst zudem Funktionen, deren Ausfall man tagelang verkraften könnte, etwa das Meldewesen.

Wer stuft ein, und gibt es eine Liste der BaFin?

Die Einstufung nimmt das Finanzunternehmen selbst vor (Art. 28 Abs. 4 lit. a DORA). Die BaFin schreibt in ihrer Aufsichtsmitteilung vom 21.08.2025 (Abschnitt 7.1), die Bewertung erfolge auf Basis der Auswirkungen eines Ausfalls oder einer eingeschränkten Leistung, und dafür seien die Entwicklung geeigneter Kriterien und die Bewertung aller Sachverhalte notwendig. Eine Liste typischer kritischer oder wichtiger Funktionen haben wir in den FAQ und Aufsichtsmitteilungen der BaFin nicht gefunden (Stand 06.11.2026, einzelne FAQ-Seiten zum Thema sind derzeit nicht abrufbar). Jede Liste, auch die Beispielliste weiter unten, ist deshalb eine eigene Festlegung, die Sie begründen müssen.

Spätestens vor Abschluss eines Vertrags über IKT-Dienstleistungen muss die Einstufung vorliegen: Dann beurteilt das Finanzunternehmen, ob der Vertrag eine kritische oder wichtige Funktion unterstützt (Art. 28 Abs. 4 lit. a DORA). Im Vollrahmen (außer Kleinstunternehmen) legt die Leitlinie für IKT-Dienstleistungen die Methode und den Zeitpunkt dieser Bewertung fest (Delegierte Verordnung (EU) 2024/1773 Art. 3 Abs. 2). Im Art.-16-Rahmen ist die Leitlinie nicht vorgeschrieben, weil Art. 28 Abs. 2 DORA dort nicht gilt. Eine schriftliche Methode empfehlen wir trotzdem, damit nachvollziehbar bleibt, warum eine Funktion auf der Liste steht oder fehlt.

Nicht zu verwechseln ist das mit dem kritischen IKT-Drittdienstleister nach Art. 3 Nr. 23 und Art. 31 DORA, den die Aufsichtsbehörden einstufen (siehe FAQ unten).

Ist das dasselbe wie eine wesentliche Auslagerung?

Nein. Laut BaFin ist die Bewertung als „kritisch oder wichtig“ methodisch und inhaltlich nicht identisch mit einer Wesentlichkeitsbestimmung bei Auslagerungen (Aufsichtsmitteilung vom 21.08.2025, Abschnitt 7.1). Beide Prüfungen laufen nebeneinander.

Eine Besonderheit gilt für Kleinstunternehmen der KWG-Gruppe: Für sie gelten Art. 28 bis 30 DORA nach § 1a Abs. 2a Satz 2 Nr. 3 KWG nicht. Ihr IKT-Fremdbezug bleibt damit nach unserer Lesart im Anwendungsbereich von AT 9, soweit die MaRisk für sie gilt. Wann ein Institut Kleinstunternehmen ist, erklärt die Seite DORA-Anwendungsbereich.

Wie gehen Sie bei der Einstufung vor?

Das folgende Vorgehen ist eine Empfehlung von Blackfort Technology, keine Vorgabe der Aufsicht. Es setzt die Hinweise der BaFin in feste Schritte um und macht jede Entscheidung prüfbar.

1. Funktionen sammeln: aus der Prozesslandkarte oder dem Geschäftsmodell, nicht aus dem Anwendungsverzeichnis. Eine Funktion ist eine Tätigkeit mit eigenem Ergebnis, etwa „Forderungen ankaufen“.
2. Alternative 2 mit Vermutung prüfen: Funktionen, mit denen das Unternehmen Erlaubnisvoraussetzungen oder Pflichten nach Finanzdienstleistungsrecht erfüllt, behandeln Sie zunächst als kritisch oder wichtig. Widerlegt wird diese Vermutung nur mit schriftlicher Begründung. Pflichten außerhalb des Finanzdienstleistungsrechts, etwa aus dem Arbeitsrecht, gehören nach unserer Lesart des Wortlauts nicht in diese Alternative.
3. Alternative 1 prüfen: Folgen eines Ausfalls und einer fehlerhaften Leistung für Ertrag, Liquidität, Kunden und Fortführung bewerten, auch für Vertraulichkeit und Integrität. Grundlage ist die Business-Impact-Analyse (im Vollrahmen Art. 11 Abs. 5 DORA, im Art.-16-Rahmen RTS Art. 28 Abs. 2 lit. d).
4. Ergebnis festhalten: je Funktion ja oder nein, welche Alternative greift, Begründung in zwei bis drei Sätzen, Datum und Freigabe. Im Art.-16-Rahmen genehmigt das Leitungsorgan die Klassifizierung nach RTS Art. 30 Abs. 1 (RTS Art. 28 Abs. 2 lit. d).
5. IKT zuordnen: Ordnen Sie jeder kritischen oder wichtigen Funktion die unterstützenden Informations- und IKT-Assets, ihre Abhängigkeiten und die IKT-Drittdienstleister zu (Art. 8 Abs. 1 und 5 DORA im Vollrahmen, RTS Art. 30 Abs. 1 und 2 im Art.-16-Rahmen).
6. Überprüfen: Im Vollrahmen ist die Klassifizierung mindestens jährlich auf Angemessenheit zu prüfen (Art. 8 Abs. 1), im Art.-16-Rahmen bei Bedarf (RTS Art. 30 Abs. 1). Anlässe sind neue Produkte, neue Dienstleister, größere IKT-Änderungen und Vorfälle. Wird eine Funktion kritisch oder wichtig, ist die Aufsicht nach Art. 28 Abs. 3 UAbs. 5 DORA zeitnah zu unterrichten.

Was folgt aus der Einstufung?

Das Merkmal zieht sich durch die ganze Verordnung. Die Übersicht zeigt die wichtigsten Folgen je Rahmen. Die Folgen aus Art. 28 bis 30 gelten im Art.-16-Rahmen ebenso, nur nicht für Kleinstunternehmen der KWG-Gruppe:

Für Institute, die die MaRisk anwenden, auch anteilig wie Factoring- und Leasinginstitute, kommt AT 7.3 hinzu: Für kritische oder wichtige Funktionen ist ein Notfallkonzept vorzuhalten und jährlich zu überprüfen. Die Folgen nach DORA hängen an den IKT-Diensten, die eine Funktion unterstützen. Eine zu großzügige Liste zieht deshalb bei jedem zugehörigen Vertrag die Zusatzinhalte nach Art. 30 Abs. 3 nach sich.

Für die KWG-Gruppe gelten Art. 28 bis 30 ab 01.01.2027, das Meldewesen nach Kapitel III aber schon seit 17.01.2025. Wer heute einen IKT-Vorfall klassifizieren muss, braucht die Funktionsliste also jetzt. Wie die Klassifizierung abläuft, steht auf der Seite DORA-Meldepflicht.

Beispiel: Funktionsliste eines Factoringinstituts

Fiktives Beispiel, kein Kunde. Die Muster-Factoring GmbH kauft Forderungen von mittelständischen Anschlusskunden an. Sie hat 23 Beschäftigte und eine Bilanzsumme von 61 Mio. EUR, ist also kein Kleinstunternehmen (zur Prüfung siehe DORA-Anwendungsbereich). Als Finanzdienstleistungsinstitut der KWG-Gruppe wendet sie ab 01.01.2027 den vereinfachten Rahmen nach Art. 16 und Art. 28 bis 30 DORA an. Das Factoring-Kernsystem bezieht sie als Software-as-a-Service, den Zahlungsverkehr wickelt sie über eine Banking-Software ab. Die Geschäftsleitung genehmigt im Oktober 2026 diese Funktionsliste:

Was die Liste im Beispiel auslöst: Die Verträge mit dem Anbieter des Kernsystems, dem Anbieter der Banking-Software, der Auskunftei (ihre Schnittstelle unterstützt den Forderungsankauf), dem Rechenzentrumsdienstleister und dem Cloud-Archiv werden im Informationsregister als „unterstützt kritische oder wichtige Funktion“ geführt und ab 2027 auf die Inhalte nach Art. 30 Abs. 3 geprüft. Für das Kernsystem, auf dem zwei der fünf kritischen oder wichtigen Funktionen liegen, bewertet das Institut das Konzentrationsrisiko nach Art. 29 und legt eine Ausstiegsstrategie fest. Webhosting und Lohnbüro bleiben im Register, wenn sie IKT-Dienstleistungen erbringen, aber ohne Kennzeichen. Und schon heute gilt bei einem Vorfall im Kernsystem das Kriterium „Kritikalität der betroffenen Dienste“ der Vorfallklassifizierung als berührt.

Drei typische Lücken

Was Art. 16 sonst verlangt und wie die Funktionsliste in den übrigen Nachweisen auftaucht, steht auf der Seite Art. 16 DORA. Das Informationsregister erklärt die Seite DORA-Informationsregister, die Steuerung der IKT-Dienstleister die Seite IKT-Drittdienstleister steuern.

Wie wir unterstützen

Für Institute, die zum 01.01.2027 von der BAIT wechseln, ist die Funktionsliste mit Business-Impact-Analyse und Wiederherstellungszielen Teil des Umstiegspakets von der BAIT auf Art. 16. Alle anderen, auch Unternehmen im Vollrahmen, beginnen mit der DORA-Gap-Analyse. Sie zeigt, wo die bestehende Einstufung Lücken hat.