DORA-Umsetzung und -Prüfung für kleine Finanzinstitute

Revisoren mit ausreichendem Wissen und Fachkenntnissen zu IKT-Risiken und angemessener Unabhängigkeit. Art. 6 Abs. 10 DORA erlaubt, die Überprüfung an gruppeninterne oder externe Unternehmen auszulagern. Die Verantwortung bleibt beim Institut. Nach unserer Auslegung ist nicht unabhängig, wer die Umsetzung selbst verantwortet hat. Wir prüfen darum nicht, was wir selbst aufgebaut haben.

Ja. CASPs mit MiCAR-Zulassung sind in Art. 2 DORA ausdrücklich erfasst. Den vereinfachten Rahmen nach Art. 16 können sie nicht nutzen. Die Anforderungen gelten aber verhältnismäßig (Art. 4 DORA): Größe, Risikoprofil und Komplexität bestimmen, wie umfangreich Rahmenwerk, Tests und Dokumentation sind.

Art. 16 erlaubt bestimmten kleinen Unternehmen statt der Art. 5 bis 15 einen schlankeren Rahmen nach der Delegierten Verordnung (EU) 2024/1774. Erfasst sind kleine, nicht verflochtene Wertpapierfirmen und nach PSD2 oder E-Geld-Richtlinie ausgenommene Zahlungs- und E-Geld-Institute. Konzessionierte Zahlungsinstitute, CASPs und Kapitalanlagegesellschaften fallen nicht darunter.

Alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, nicht nur kritische. Je Vereinbarung erfassen Sie unter anderem Dienstleister mit Kennung, unterstützte Funktionen und Kritikalität, Datenstandorte, Unterauftragnehmer und Ausstiegsmöglichkeiten. Die Vorlagen stehen in der Durchführungsverordnung (EU) 2024/2956. Die FMA kann das Register jederzeit anfordern.

Die Erstmeldung ist innerhalb von vier Stunden nach der Einstufung als schwerwiegend fällig, spätestens 24 Stunden nach Kenntnis. Die Zwischenmeldung folgt innerhalb von 72 Stunden nach der Erstmeldung, die Abschlussmeldung innerhalb eines Monats nach der letzten Zwischenmeldung (Art. 19 DORA, Art. 5 Delegierte Verordnung (EU) 2025/301).

Ja. Nach Art. 6 Abs. 6 DORA ist der IKT-Risikomanagementrahmen regelmäßig von Revisoren mit IKT-Fachwissen intern zu prüfen, entsprechend dem Prüfplan. Kleinstunternehmen sind ausgenommen. Im vereinfachten Rahmen nach Art. 16 verlangt Art. 28 Abs. 5 der Delegierten Verordnung (EU) 2024/1774 ebenfalls eine interne Revision. Auf Basis der Ergebnisse richten Sie eine Nachverfolgung ein (Art. 6 Abs. 7).