DORA für Versicherungsmakler und Vermittler: wer erfasst ist

Stand: 2026-11-06

Kurz: Kleinst-, kleine und mittlere Vermittler sind ausgenommen. Große Vermittler wenden DORA seit 17.01.2025 im Vollrahmen an, der vereinfachte Rahmen nach Art. 16 steht ihnen nicht offen. „Indirekte DORA-Pflichten“ für ausgenommene Vermittler stehen weder in der Verordnung noch in den BaFin-Veröffentlichungen, die wir gelesen haben. Diese Seite betrifft nur Vermittler. Für Versicherungsunternehmen gilt die Seite VAIT und DORA.

Was sagt DORA zu Versicherungsvermittlern?

Zwei Stellen in Art. 2 DORA entscheiden. Nach Abs. 1 lit. o gehören „Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit“ grundsätzlich zu den Finanzunternehmen. Nach Abs. 3 lit. e gilt die Verordnung aber nicht für solche Vermittler, „bei denen es sich um Kleinstunternehmen oder kleine oder mittlere Unternehmen handelt“. Die BaFin wiederholt die Ausnahme wortgleich. Den Grund nennt Erwägungsgrund 39: Die Verordnung berücksichtige die strukturellen Besonderheiten des Versicherungsvermittlermarkts.

Was ein Versicherungsvermittler ist, übernimmt DORA aus der Versicherungsvertriebsrichtlinie (EU) 2016/97 (Art. 3 DORA mit Verweis auf deren Art. 2 Abs. 1 Nr. 3 bis 5). Art. 2 DORA unterscheidet nicht zwischen Maklern, Mehrfachagenten und gebundenen Vertretern. Für die Ausnahme zählt allein die Größe.

Wo liegt die Größengrenze?

DORA definiert die Größenklassen in Art. 3 selbst, bezogen auf das Finanzunternehmen:

Klasse	Fundstelle	Beschäftigte	Umsatz und Bilanzsumme
Kleinstunternehmen	Art. 3 Nr. 60	weniger als 10	Jahresumsatz bzw. -bilanzsumme höchstens 2 Mio. EUR
Kleinunternehmen	Art. 3 Nr. 63	10 bis 49	Jahresumsatz bzw. -bilanzsumme über 2 Mio. EUR, höchstens 10 Mio. EUR
mittleres Unternehmen	Art. 3 Nr. 64	weniger als 250, kein Kleinunternehmen	Jahresumsatz höchstens 50 Mio. EUR und/oder Jahresbilanzsumme höchstens 43 Mio. EUR

Weil alle drei Klassen ausgenommen sind, kommt es nach unserer Lesart nur auf die Grenze des mittleren Unternehmens an. Erfasst ist ein Vermittler, wenn er mindestens 250 Personen beschäftigt. Unter 250 Beschäftigten hängt es an den Finanzgrenzen, und dort ist der Wortlaut nicht eindeutig. Liest man „und/oder“ so, dass eine eingehaltene Grenze genügt, ist ein Vermittler erst groß, wenn Umsatz über 50 Mio. EUR und Bilanzsumme über 43 Mio. EUR liegen. Liest man es so, dass beide Grenzen eingehalten sein müssen, reicht schon eine Überschreitung. Liegt Ihr Unternehmen zwischen diesen Lesarten, lassen Sie die Einordnung rechtlich klären.

Zwei weitere Fragen beantwortet der Wortlaut von Art. 3 nicht ausdrücklich: ob Beschäftigte und Zahlen verbundener Unternehmen mitzählen und auf welchen Stichtag es ankommt. Gehört Ihr Vermittlerunternehmen zu einer Gruppe, gehört auch das in die rechtliche Prüfung. Wie die Größenklassen bei anderen Finanzunternehmen wirken, erklärt die Seite DORA-Anwendungsbereich.

Prüfschema in drei Fragen

Das Schema ist eine Empfehlung von Blackfort Technology. Es ordnet ein, ersetzt aber keine rechtliche Prüfung im Einzelfall. Halten Sie das Ergebnis mit Datum und den verwendeten Zahlen fest.

Frage	Grundlage	Wenn ja	Wenn nein
1. Sind Sie Versicherungsvermittler, Rückversicherungsvermittler oder Versicherungsvermittler in Nebentätigkeit?	Art. 2 Abs. 1 lit. o, Art. 3 DORA mit Richtlinie (EU) 2016/97	weiter mit Frage 2	DORA erfasst Sie nicht als Vermittler. Weitere Erlaubnisse gesondert prüfen
2. Sind Sie Kleinst-, Klein- oder mittleres Unternehmen?	Art. 2 Abs. 3 lit. e, Art. 3 Nr. 60, 63, 64	ausgenommen, DORA gilt für Sie nicht	DORA gilt im Vollrahmen
3. Stellen Sie selbst IKT-Dienstleistungen für Finanzunternehmen bereit?	Art. 3 Nr. 19 und 21	Sie sind insoweit IKT-Drittdienstleister. Anforderungen kommen über die Verträge dieser Kunden	keine Folgen aus DORA über Ihre Rolle als Dienstleister

Beispiel: zwei ausgefüllte Prüfvermerke

Fiktive Beispiele, keine Kunden.

	Muster-Maklerhaus GmbH	Muster-Vertriebs AG
Tätigkeit	Versicherungsmakler für Gewerbekunden	Vertrieb von Versicherungen über eigene Außendienstorganisation
Zahlen (letzter Jahresabschluss)	85 Beschäftigte, Umsatz 14 Mio. EUR, Bilanzsumme 9 Mio. EUR	320 Beschäftigte, Umsatz 61 Mio. EUR, Bilanzsumme 38 Mio. EUR
Frage 1	ja, Versicherungsvermittler	ja, Versicherungsvermittler
Frage 2	ja, mittleres Unternehmen: unter 250 Beschäftigten, beide Finanzgrenzen eingehalten. Die Lesart von „und/oder“ spielt keine Rolle	nein: 250 Beschäftigte oder mehr. Auf die Finanzgrenzen kommt es nicht an
Frage 3	nein: nutzt Portale und Tarifrechner der Versicherer und ein gekauftes Maklerverwaltungsprogramm, stellt selbst keine IKT-Dienste bereit	nein: betreibt die eigene IT nur für sich
Ergebnis	DORA gilt nicht. Nächste Prüfung mit dem nächsten Jahresabschluss	DORA gilt seit 17.01.2025 im Vollrahmen. Pflichten und Umsetzungsstand prüfen

Werden Vermittler über die Versicherer-IT zu IKT-Dienstleistern?

Nein. IKT-Drittdienstleister ist ein Unternehmen, das IKT-Dienstleistungen bereitstellt (Art. 3 Nr. 19). Wer als Vermittler Portale, Tarifrechner oder Schnittstellen eines Versicherers nutzt, ist Nutzer dieser Dienste. Eine Regel, nach der ein Vermittler dadurch zum IKT-Drittdienstleister wird oder „indirekte DORA-Pflichten“ hat, haben wir in DORA, den Level-2-Rechtsakten und den BaFin-Veröffentlichungen nicht gefunden (Stand 06.11.2026). Über einzelne Verträge zwischen Versicherern und Vermittlern sagt das nichts aus. Verlangt ein Versicherer per Vertrag bestimmte Sicherheitsmaßnahmen, ist dieser Vertrag die Grundlage.

Anders liegt es, wenn ein Vermittler selbst IKT-Dienste für ein Finanzunternehmen betreibt, etwa eine Plattform, die ein Versicherer für seine Prozesse nutzt. Dann ist er insoweit IKT-Drittdienstleister, und der Versicherer muss die Anforderungen aus Art. 28 bis 30 in den Vertrag aufnehmen. Was dann auf Sie zukommt, beschreibt die Seite DORA für IT-Dienstleister.

Was gilt für große Vermittler?

Große Vermittler sind Finanzunternehmen im Sinne von DORA und wenden den Vollrahmen an. Dazu gehören das IKT-Risikomanagement nach Art. 5 bis 15, die Klassifizierung und Meldung schwerwiegender IKT-Vorfälle, das Testen der digitalen operationalen Resilienz und das Management des IKT-Drittparteienrisikos mit Informationsregister. Wie Vorfälle eingestuft und gemeldet werden, beschreibt die Seite DORA-Meldepflicht, die Steuerung der Dienstleister die Seite IKT-Drittdienstleister. Eine Übersicht aller Pflichten mit Fundstelle bietet die Seite DORA-Anforderungen.

Für ausgenommene Vermittler bleibt alles andere, was sie bisher beachten mussten, etwa Datenschutz und die Vereinbarungen mit ihren Versicherern. Ob für ein Vermittlerunternehmen NIS2 gilt, ist eine eigene Frage, die Sie auf nis2-readiness.de prüfen können.

Drei typische Fehleinschätzungen

Fehleinschätzung	Ursache	Wirkung	Abhilfe
„Wir arbeiten mit Versicherern, also gilt DORA für uns“	Anfragen von Versicherern oder allgemeine Hinweise werden als DORA-Pflicht gelesen.	Aufwand für Dokumente, die niemand verlangt. Die tatsächliche Grundlage, der Vertrag mit dem Versicherer, wird nicht geprüft.	Prüfschema anwenden, jede Anforderung ihrem Rechtsgrund zuordnen: Gesetz, Vertrag oder eigene Entscheidung.
Gruppe nicht mitgedacht	Die Vermittlergesellschaft gehört zu einer Vertriebs- oder Versicherungsgruppe, geprüft werden aber nur ihre eigenen Zahlen.	Die offene Frage, ob verbundene Unternehmen mitzählen, bleibt unbemerkt. Liegt die Gruppe über der Grenze, kann die Einordnung kippen, ohne dass es jemand merkt.	Gruppenzugehörigkeit und Zahlen der verbundenen Unternehmen im Prüfvermerk festhalten und die Frage rechtlich klären lassen.
Einordnung einmal geprüft und vergessen	Die Prüfung lief 2024 oder 2025 und wurde nicht wiederholt.	Wachstum, Zukäufe oder ein Zusammenschluss führen unbemerkt über die Grenze, die Pflichten gelten dann ohne Vorlauf.	Prüfvermerk mit jedem Jahresabschluss und bei jeder Umstrukturierung erneuern.

Wie wir unterstützen

Ist Ihr Vermittlerunternehmen erfasst, zeigt die DORA-Gap-Analyse im Vollrahmen, was fehlt und was zuerst kommt. Liegen Sie im Grenzbereich der Größenklassen, halten wir Zahlen und Belege mit Ihnen fest. Grenzfälle markieren wir für Ihre Rechtsberatung, die im Einzelfall entscheidet.

Häufige Fragen

Gilt DORA für gebundene Vertreter und Ausschließlichkeitsvertreter?+

Art. 2 DORA unterscheidet nicht nach der Vermittlerform. Auch für Vertreter gilt: ausgenommen, wenn das Unternehmen Kleinst-, Klein- oder mittleres Unternehmen ist. Es zählen die Zahlen Ihres Unternehmens, nicht die des Versicherers, für den Sie vermitteln. Gehört Ihr Unternehmen zu einer Gruppe, ist offen, ob verbundene Unternehmen mitzählen. Das gehört in die rechtliche Prüfung.

Was ist mit Unternehmen, die Versicherungen nur nebenbei vermitteln?+

Versicherungsvermittler in Nebentätigkeit nennt Art. 2 Abs. 1 lit. o ausdrücklich, und die Ausnahme in Abs. 3 lit. e gilt auch für sie, wenn sie Kleinst-, Klein- oder mittlere Unternehmen sind. Ist ein großes Unternehmen nebenbei Vermittler, lassen Sie die Einordnung rechtlich klären.

Müssen wir als Makler IKT-Vorfälle nach DORA melden?+

Nach DORA nur, wenn die Verordnung für Ihr Unternehmen gilt, also bei großen Vermittlern. Dann gelten Klassifizierung und Meldung schwerwiegender IKT-Vorfälle nach Kapitel III DORA. Ausgenommene Vermittler haben nach DORA keine Meldepflicht. Andere Meldepflichten bleiben unberührt, etwa die Meldung einer Datenschutzverletzung nach Art. 33 DSGVO.

Ein Versicherer bittet uns „wegen DORA“ um Angaben zur IT-Sicherheit. Müssen wir antworten?+

Aus DORA folgt für einen ausgenommenen Vermittler keine Pflicht. Ob Sie antworten müssen, richtet sich nach Ihrem Vertrag mit dem Versicherer. Betreiben Sie selbst IKT-Dienste für den Versicherer, sind Sie insoweit IKT-Drittdienstleister, und der Versicherer muss die Vertragsinhalte nach Art. 30 DORA mit Ihnen vereinbaren.

Gilt für Versicherungsvermittler der vereinfachte Rahmen nach Art. 16?+

Nein. Art. 16 nennt Vermittler nicht. Große Vermittler, die unter DORA fallen, wenden den Vollrahmen nach Art. 5 bis 15 an.

Weiterlesen

Quellen

Verordnung (EU) 2022/2554 (DORA), Erwägungsgrund 39, Art. 2 Abs. 1 lit. o und Abs. 3 lit. e, Art. 3 Nr. 19, 21, 60, 63, 64, Art. 16 (abgerufen am 2026-11-06)
Verordnung (EU) 2022/2554, englische Sprachfassung (Art. 3 Nr. 60, 63, 64 „and/or“) (abgerufen am 2026-11-06)
BaFin: FAQ DORA, Anwendungsbereich (Ausnahmen nach Art. 2 Abs. 3) (abgerufen am 2026-11-06)
BaFin: FAQs zu DORA (Sammelseite) (abgerufen am 2026-11-06)

Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).