Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (Text von Bedeutung für den EWR)

Die Verordnung (EU) 2022/2554 ist eine unmittelbar in den Mitgliedstaaten geltende Verordnung auf Grundlage von Artikel 114 AEUV und schafft als sektorspezifischer Unionsrechtsakt einen einheitlichen Rahmen für die digitale operationale Resilienz im Finanzsektor. Sie ordnet IKT-Risiken systematisch dem operationellen Risiko zu, harmonisiert Anforderungen an Governance, IKT-Risikomanagement, Vorfallmeldung, Resilienztests und Drittparteirisiken und wirkt als Spezialregel gegenüber allgemeinen Cybersicherheitsvorgaben. Inhaltlich erfasst sie insbesondere Vorgaben zu internen Kontroll- und Leitungsstrukturen, Behandlung und Meldung schwerwiegender IKT-bezogener Vorfälle, Tests der digitalen operationalen Resilienz, Management von IKT-Drittparteienrisiken sowie einen unionsweiten Überwachungsrahmen für kritische IKT-Drittdienstleister. Zudem ändert sie mehrere finanzmarktrechtliche Verordnungen, um IKT-bezogene Anforderungen dort zu bündeln und auf DORA zu verlagern. • Der Anwendungsbereich erstreckt sich auf einen breiten Kreis beaufsichtigter Finanzunternehmen, darunter Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister, E-Geld-Institute, Wertpapierfirmen, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Fondsverwalter, Versicherungs- und Rückversicherungsunternehmen, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister, Verbriefungsregister sowie auf IKT-Drittdienstleister. Für bestimmte Unternehmen gelten Erleichterungen nach dem Grundsatz der Verhältnismäßigkeit, insbesondere für Kleinstunternehmen sowie für Adressaten des vereinfachten IKT-Risikomanagementrahmens; zugleich bestehen ausdrückliche Ausnahmen etwa für bestimmte kleine AIFM, kleine Versicherer, sehr kleine EbAV, bestimmte nach MiFID II ausgenommene Personen, kleine und mittlere Versicherungsvermittler sowie Postgiroämter. Für kritische IKT-Drittdienstleister gelten zusätzlich besondere Vorgaben des unionsweiten Überwachungsrahmens, während Mitgliedstaaten für bestimmte nach der Bankenrichtlinie ausgenommene Einrichtungen weitere Ausnahmen vorsehen können. • In der Praxis müssen Finanzunternehmen digitale Resilienz als fortlaufende Governance- und Steuerungsaufgabe organisieren, nicht nur als IT-Sicherheitsfrage. Erforderlich sind dokumentierte IKT-Risikomanagementrahmen, Vorfallprozesse mit Meldewegen, Geschäftsfortführungs- und Wiederherstellungspläne, Tests der Resilienz sowie belastbare Verträge und Exit-Strategien gegenüber IKT-Drittdienstleistern. Für Leitungsorgane bedeutet dies eine nachweisbare Verantwortung für Budget, Kontrollstrukturen, Risikotoleranz und Überwachung wesentlicher Auslagerungen; für kritische Dienstleister steigt zugleich der regulatorische Druck durch unionsweite Aufsicht, Informationspflichten und mögliche Folgemaßnahmen der Finanzaufsicht.

Stand: 01.07.2026

Leitungsorgan der Finanzunternehmen: • Pflicht1: Alle Vorkehrungen des IKT-Risikomanagementrahmens definieren, genehmigen, überwachen und für deren Umsetzung die letztendliche Verantwortung tragen. • Pflicht2: Die Strategie für die digitale operationale Resilienz einschließlich Risikotoleranzschwelle sowie Geschäftsfortführungs-, Reaktions- und Wiederherstellungspläne genehmigen und regelmäßig überprüfen. • Pflicht3: Angemessene Budgetmittel, Meldekanäle sowie klare Aufgaben- und Verantwortungsstrukturen für IKT-bezogene Funktionen sicherstellen. • Empfehlung: Digitale operationale Resilienz als Teil der Unternehmenssteuerung mit regelmäßigen Schulungen und dokumentierter Aufsichtspraxis verankern. Finanzunternehmen: • Pflicht1: Einen soliden, umfassenden und dokumentierten IKT-Risikomanagementrahmen errichten, regelmäßig überprüfen und kontinuierlich verbessern. • Pflicht2: Schwerwiegende IKT-bezogene Vorfälle fristgerecht melden, IKT-bezogene Vorfälle erfassen und behandeln sowie Geschäftsfortführungs-, Backup- und Wiederherstellungsmaßnahmen vorhalten. • Pflicht3: Tests der digitalen operationalen Resilienz durchführen sowie IKT-Drittparteienrisiken einschließlich Registerführung, Risikoanalyse, Exit-Strategien und wesentlicher Vertragsklauseln managen. • Empfehlung: Kritische oder wichtige Funktionen, Abhängigkeiten und Altsysteme besonders eng überwachen und mit dokumentierten Eskalations- und Kommunikationsprozessen absichern. IKT-Drittdienstleister: • Pflicht1: Die vertraglich festgelegten Anforderungen zu Verfügbarkeit, Integrität, Vertraulichkeit, Unterstützung bei IKT-Vorfällen sowie Zusammenarbeit mit Finanzunternehmen und Behörden erfüllen. • Pflicht2: Bei Leistungen für kritische oder wichtige Funktionen Zugangs-, Prüfungs- und Mitwirkungsrechte, Notfallmaßnahmen und Beteiligung an bedrohungsorientierten Penetrationstests ermöglichen. • Pflicht3: Als kritischer IKT-Drittdienstleister Informationen, Unterlagen und Zugang im Rahmen des unionsweiten Überwachungsrahmens bereitstellen und Empfehlungen der federführenden Überwachungsbehörde behandeln. • Empfehlung: Unterauftragsvergaben, Leistungsorte, Sicherheitsstandards und Exit-Unterstützung frühzeitig transparent und belastbar gestalten. Zuständige Behörden: • Pflicht1: Die Einhaltung der Verordnung beaufsichtigen, Untersuchungs-, Kontroll- und Sanktionsbefugnisse ausüben und schwerwiegende IKT-bezogene Vorfälle weiterleiten. • Pflicht2: Mit anderen zuständigen Behörden, den Europäischen Aufsichtsbehörden, der EZB sowie gegebenenfalls NIS-2-Strukturen zusammenarbeiten. • Pflicht3: Empfehlungen und Folgemaßnahmen im Zusammenhang mit kritischen IKT-Drittdienstleistern in der Aufsicht über Finanzunternehmen berücksichtigen. • Empfehlung: Aufsichtspraxis risikoorientiert, sektorübergreifend abgestimmt und mit klaren Anforderungen an Drittparteirisiken ausgestalten.