# BaFin veröffentlicht zweite Aufsichtsmitteilung zu DORA > Der Beitrag von Swiss GRC fasst die zweite DORA-Aufsichtsmitteilung der BaFin vom 21. August 2025 zusammen. Sie richtet sich an kleinere und weniger komplexe Finanzinstitute und erklärt die vereinfachten Anforderungen beim IKT- und Drittparteienrisikomanagement. - URL: https://swissgrc.com/bafin-veroeffentlicht-zweite-aufsichtsmitteilung-zu-dora/ - Herausgeber: SwissGRC® - Veröffentlicht: 2025-09-08 - Zuletzt aktualisiert: 2026-08-20 ## Kernaussagen - Die BaFin hat am 21. August 2025 ihre zweite Aufsichtsmitteilung zum Digital Operational Resilience Act (DORA) veröffentlicht. - Die Mitteilung richtet sich an rund 1.100 Unternehmen in Deutschland, die unter die vereinfachten DORA-Anforderungen nach Artikel 16 fallen. - Im vereinfachten IKT-Risikomanagementrahmen entfallen unter anderem die Pflicht zur Resilienzstrategie, die jährliche Dokumentations- und Überprüfungspflicht und die separate Kontrollfunktion. - Eine zwingende Benennung eines Informationssicherheitsbeauftragten ist im vereinfachten Rahmen anders als in BAIT und VAIT nicht vorgesehen. - Die BAIT (Bankaufsichtliche Anforderungen an die IT) bleiben für einige Unternehmen bis Ende 2026 gültig. - Swiss GRC unterstützt die DORA-Umsetzung mit der GRC Toolbox, unter anderem mit Modulen für IKT-Risikomanagement und ISMS, Third-Party Risk Management, Business Continuity Management, Incident Management, DORA-Compliance-Check und Informationsregister. **Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat am 21. August 2025 ihre zweite Aufsichtsmitteilung zum Digital Operational Resilience Act (DORA) veröffentlicht. Im Fokus: vereinfachte Anforderungen für kleinere und weniger komplexe Institute beim IKT-Risikomanagement und Drittparteienrisikomanagement.** Mit dem Digital Operational Resilience Act (DORA) stärkt die EU seit dem 17. Januar 2025 die operationelle Resilienz der Informations- und Kommunikationstechnologien (IKT) im Finanzsektor. Ziel ist es, Banken, Versicherungen und andere Finanzunternehmen widerstandsfähiger gegenüber Cyberangriffen, IT-Ausfällen und Drittparteienrisiken zu machen. Bereits im Juli 2024 veröffentlichte die BaFin erste [Umsetzungshinweise zu DORA](https://swissgrc.com/news/bafin-veroeffentlicht-umsetzungshinweise-zu-dora-was-bedeutet-das-fuer-finanzunternehmen/). Nun folgt eine [zweite Aufsichtsmitteilung](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2025/neu/fa_250821_interview_brueggemann_aufsichtsmitteilung_dora.html), die vor allem kleineren und weniger komplexen Instituten praktische Orientierung bietet. Wen betreffen die neuen Hinweise? Die BaFin richtet sich mit ihrer zweiten Mitteilung an rund **1.100 Unternehmen** in Deutschland, die unter die vereinfachten DORA-Anforderungen (Artikel 16) fallen. Dazu zählen: - kleine Wertpapierinstitute und kleine Einrichtungen der betrieblichen Altersvorsorge, - Versicherungsholdings und Institute, die nicht unter die Kapitaladäquanzverordnung (CRR) fallen. Für einige dieser Unternehmen gelten noch **Übergangsfristen**: So sind etwa die BAIT (Bankaufsichtliche Anforderungen an die IT) bis Ende 2026 weiterhin gültig. Die wichtigsten Vereinfachungen im Überblick Die BaFin verdeutlicht in ihrer Mitteilung, wie der Grundsatz der **Verhältnismäßigkeit** in der Praxis umgesetzt wird. Der vereinfachte IKT-Risikomanagementrahmen unterscheidet sich deutlich vom regulären Rahmen: - **Keine Pflicht zur Resilienzstrategie**: Unternehmen müssen keine umfassende Strategie für digitale operationale Resilienz entwickeln. - **Weniger organisatorische Vorgaben**: Keine jährliche Dokumentations- und Überprüfungspflicht, keine separate Kontrollfunktion erforderlich. - **Informationssicherheitsbeauftragter entfällt**: Anders als in BAIT/VAIT ist keine Benennung zwingend notwendig. - **Reduzierte Detailanforderungen**: Beispielsweise bei Änderungsprozessen von IKT-Systemen. - **Fokus auf Technik statt Formalismus**: Datensicherung bleibt Pflicht, doch liegt der Schwerpunkt auf technischer Umsetzung statt umfangreicher Konzepte. Damit wird klar: DORA belastet kleinere und weniger komplexe Unternehmen nicht übermäßig, sondern setzt risikoorientierte, praxisnahe Anforderungen. Kontinuität zu BAIT/VAIT Die BaFin stellt in ihrer Aufsichtsmitteilung einen **Vergleich zwischen BAIT, VAIT und DORA** her. Unternehmen, die die Rundschreiben bereits umgesetzt haben, profitieren nun doppelt: - Sie sind auf die kommenden DORA-Anforderungen gut vorbereitet. - Sie können durch die vereinfachten Regelungen Aufwand und Kosten reduzieren. Herausforderungen für Finanzunternehmen Auch wenn die Vereinfachungen auf den ersten Blick entlasten, bleibt die **DORA-Compliance** eine komplexe Aufgabe. Unternehmen müssen sicherstellen, dass: - ein funktionierendes **IKT-Risikomanagement** etabliert ist, - **Drittparteienrisiken** (z. B. Cloud-Anbieter, IT-Dienstleister) kontinuierlich überwacht werden, - Notfallpläne und **Business Continuity** gewährleistet sind, - ein **Informationsregister nach DORA** gepflegt wird. Mehr dazu: [Was ist das Informationsregister nach DORA?](https://swissgrc.com/informationsregister-gemaess-dora-was-ist-es-und-wie-erstellt-man-es-richtig/) Unterstützung durch Swiss GRC Mit der **GRC Toolbox** unterstützt Swiss GRC Finanzunternehmen umfassend bei der Umsetzung von DORA – sowohl im regulären als auch im vereinfachten Rahmen. Die Module bieten u. a.: - **IKT-Risikomanagement / ISMS** zur Identifikation und Steuerung von Risiken, - **Third-Party Risk Management (TPRM)** für den Umgang mit IKT-Drittanbietern, - **Business Continuity Management (BCM)** zur Krisenbewältigung, - **Incident Management** für eine strukturierte Störungsbehandlung, - **DORA-Compliance-Check** sowie das **Informationsregister nach DORA**. Damit behalten Unternehmen auch in einem dynamischen regulatorischen Umfeld den Überblick und sichern ihre **digitale Resilienz** nachhaltig. Die zweite Aufsichtsmitteilung der BaFin zeigt: DORA bleibt ein zentrales Thema für den Finanzsektor, das auch kleinere Institute nicht vernachlässigen dürfen. Vereinfachungen entbinden nicht von der Pflicht, **IKT-Risiken professionell zu managen** und die operationale Resilienz systematisch zu stärken. Weitere Informationen zu DORA finden Sie direkt bei der [BaFin](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2025/neu/fa_250821_interview_brueggemann_aufsichtsmitteilung_dora.html) sowie auf unserer [Themenseite zu DORA](https://swissgrc.com/digital-operational-resilience-act-dora/). ## Häufige Fragen ### Was enthält die zweite BaFin-Aufsichtsmitteilung zu DORA? Die BaFin zeigt, wie der Grundsatz der Verhältnismässigkeit bei DORA in der Praxis angewendet wird. Im Fokus stehen vereinfachte Anforderungen für kleinere und weniger komplexe Institute beim IKT-Risikomanagement und Drittparteienrisikomanagement. ### Welche Unternehmen fallen unter die vereinfachten DORA-Anforderungen? Die BaFin nennt rund 1.100 Unternehmen in Deutschland, darunter kleine Wertpapierinstitute, kleine Einrichtungen der betrieblichen Altersvorsorge, Versicherungsholdings und Institute, die nicht unter die Kapitaladäquanzverordnung (CRR) fallen. ### Welche Erleichterungen gelten für kleinere Institute unter DORA? Unternehmen müssen keine umfassende Resilienzstrategie entwickeln und keine jährliche Dokumentations- und Überprüfungspflicht erfüllen. Eine separate Kontrollfunktion und ein zwingend benannter Informationssicherheitsbeauftragter sind nicht erforderlich. Die Datensicherung bleibt Pflicht. ### Gelten die BAIT noch neben DORA? Für einige der betroffenen Unternehmen gelten Übergangsfristen. So bleiben die BAIT bis Ende 2026 weiterhin gültig. ### Welche Pflichten bleiben trotz der Vereinfachungen bestehen? Unternehmen müssen ein funktionierendes IKT-Risikomanagement etablieren, Drittparteienrisiken wie Cloud-Anbieter und IT-Dienstleister laufend überwachen, Notfallpläne und Business Continuity sicherstellen und ein Informationsregister nach DORA pflegen.