AFM DORA Update 7: Fortschritte erzielt, Lücken bleiben
Die niederländische Finanzmarktaufsicht (AFM) hat am 6. August 2026 das DORA-Update 7 veröffentlicht, und das Bild, das sie zeichnet, ist gemischt. Die Genehmigungsraten für Register sind drastisch gestiegen, was darauf hindeutet, dass der Sektor die technischen Formatierungsanforderungen in den Griff bekommen hat. Gleichzeitig stellt die AFM klar, dass mehrere grundlegende Compliance-Anforderungen immer noch nicht erfüllt werden, darunter verbindliche Richtliniendokumente, die Klassifizierung von Vorfällen und die rechtzeitige Meldung von Vorfällen. Für Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und CFOs, die niederländisch beaufsichtigte Unternehmen betreuen, die digitale Vermögenswerte halten oder handeln, ist dieses Update ein direkter Aufruf, die aktuelle DORA-Bereitschaft zu überprüfen und verbleibende Lücken zu schließen, bevor die aufsichtliche Aufmerksamkeit zunimmt.
Was DORA verlangt und warum es für Unternehmen mit digitalen Vermögenswerten wichtig ist
Die Verordnung über die digitale operationale Resilienz (DORA), die in der gesamten EU gilt, legt verbindliche Anforderungen an das IKT-Risikomanagement, die Meldung von Vorfällen, die Überwachung von Drittparteirisiken und Tests der digitalen operationalen Resilienz fest. Sie trat im Januar 2025 in Kraft und gilt für eine breite Palette regulierter Finanzunternehmen, einschließlich Krypto-Dienstleistern (CASPs), die nach MiCA lizenziert sind.
Für Unternehmen im Bereich digitaler Vermögenswerte ist DORA kein Randthema. IKT-Systeme bilden die Grundlage für jede Funktion: Verwahrung, Handel, Abwicklung, Kunden-Onboarding und Transaktionsüberwachung. Ein Ausfall in einem dieser Systeme kann gleichzeitig eine DORA-Vorfallmeldung auslösen, eine mögliche AML-Verletzung verursachen, wenn die Überwachung gestört ist, und ein Finanzberichtsproblem darstellen, wenn Vermögensbewertungen oder Hauptbuchaufzeichnungen betroffen sind. Die Überschneidung ist direkt, und die neuesten aufsichtlichen Beobachtungen der AFM machen deutlich, dass die Aufsichtsbehörden aktiv prüfen, ob Unternehmen diese Punkte verbunden haben.
Die MiCA-DORA-Überschneidung für CASPs
CASPs, die in den Niederlanden nach MiCA zugelassen sind, unterliegen beiden Regulierungsregimen. MiCA legt die Lizenz- und Verhaltensanforderungen fest; DORA legt die Mindestanforderungen an die operationelle Resilienz fest. Ein CASP, das eine MiCA-Lizenz besitzt, aber kein DORA-konformes IKT-Risikomanagement in seine Betriebsabläufe integriert hat, ist gleichzeitig mit beiden Rahmenwerken nicht konform, da MiCA von Unternehmen angemessene interne Kontrollen verlangt und DORA festlegt, was "angemessen" im IKT-Kontext bedeutet. CFOs und Compliance-Leiter bei CASPs sollten diese als ein einheitliches Compliance-Arbeitspaket behandeln und nicht als zwei getrennte Projekte.
Der Sprung bei der Registergenehmigung: Was hat sich geändert und was bedeutet das?
Der auffälligste Datenpunkt der AFM in Update 7 ist der Anstieg der von der EBA genehmigten Register für IKT-Drittdienstleister. 2025 wurden nur 40% der eingereichten Register genehmigt. Bis 2026 war diese Zahl auf 94% gestiegen. Die AFM führt die Verbesserung darauf zurück, dass die Unternehmen besser verstehen, wie das Register auszufüllen ist und welches Format erforderlich ist – eine praktische Beobachtung, die darauf hindeutet, dass frühe Fehler eher verfahrensbedingt als inhaltlich waren.
Warum die Qualität weiterhin Aufmerksamkeit erfordert
Eine Genehmigungsrate von 94% ist keine Bescheinigung für einwandfreie Gesundheit. Die AFM erinnert ausdrücklich daran, dass das Erreichen des richtigen Formats nicht dasselbe ist wie die Sicherstellung, dass die zugrunde liegenden Daten korrekt, vollständig und aktuell sind. Das Register dokumentiert die wesentlichen Abhängigkeiten des Unternehmens von externen IKT-Anbietern, und sein Wert für die Aufsicht hängt von der Qualität der enthaltenen Daten ab. Für Unternehmen mit digitalen Vermögenswerten ist dies besonders relevant: Die IKT-Lieferkette umfasst oft Blockchain-Knotenbetreiber, Verwahrinfrastrukturanbieter, Smart-Contract-Prüfer und Cloud-Dienste, von denen alle als wesentliche Dritte gemäß den DORA-Kriterien gelten können.
Unternehmen sollten das Register nicht als einmalige Einreichung betrachten, sondern als lebendes Dokument, das mindestens jährlich oder immer dann überprüft wird, wenn sich eine wesentliche IKT-Beziehung ändert. Für Prüfungsteams schafft dies einen neuen Verifikationspunkt: Bestätigen, dass das Register die tatsächlichen betrieblichen Abhängigkeiten des Unternehmens widerspiegelt, nicht nur die zum Zeitpunkt der ursprünglichen Einreichung bestehenden.
Lücken bei Richtlinien und Verfahren: Das Hauptanliegen der AFM
Über das Register hinaus haben die aufsichtlichen Prüfungen der AFM ergeben, dass nicht alle Unternehmen über jedes von DORA geforderte verbindliche Richtliniendokument verfügen und dass einige vorhandene Richtlinien nicht vollständig mit den Anforderungen der Verordnung übereinstimmen. Die AFM weist direkt darauf hin und fordert die Unternehmen auf zu prüfen, ob ihr IKT-Risikomanagementrahmen, ihre Richtlinien und Verfahren sowohl aktuell sind als auch die tatsächliche Praxis widerspiegeln.
Gruppenrichtlinien sind kein Ersatz für individuelle Compliance
Ein spezifisches Szenario, das die AFM hervorhebt, sind Unternehmen, die sich auf Richtlinien verlassen, die auf Gruppenebene erstellt wurden, typischerweise von einer Muttergesellschaft oder Holding-Struktur. Die AFM stellt klar, dass diese Praxis zulässig ist, aber sie überträgt oder verwässert nicht die eigene Compliance-Verantwortung des lizenzierten Unternehmens. Das niederländisch zugelassene Unternehmen bleibt in vollem Umfang dafür verantwortlich, dass jede DORA-Anforderung in den Richtliniendokumenten abgedeckt ist, auf die es sich stützt. Wenn eine Gruppenrichtlinie für eine andere Gerichtsbarkeit oder einen breiteren Unternehmenstyp erstellt wurde, kann sie Lücken aufweisen, die ohne einen bewussten zeilenweisen Vergleich mit dem DORA-Text nicht offensichtlich sind.
Für Wirtschaftsprüfungsgesellschaften, die Unternehmensgruppen mit niederländischen regulierten Tochtergesellschaften beraten, ist dies ein wesentlicher Beratungspunkt. Die Prüfung oder Compliance-Überprüfung kann nicht einfach bestätigen, dass eine Gruppenrichtlinie existiert; sie muss bestätigen, dass die Gruppenrichtlinie für die spezifischen Verpflichtungen des niederländischen Unternehmens ausreichend ist. Die Führung strukturierter Aufzeichnungen dieser Überprüfung mit Versionskontrolle und Unterschriftsprotokollen ist genau die Art von Dokumentation, die Aufsichtsbehörden während einer Prüfung erwarten. Robuste Krypto-Buchhaltungssoftware und Dokumentenmanagementsysteme sind Teil der Infrastruktur, die diese Spur für Unternehmen mit digitalen Vermögenswerten unterstützt.
Vorfallmeldung: Immer noch unter den Erwartungen
Die AFM stellt fest, dass die Anzahl der eingegangenen DORA-Vorfallmeldungen angesichts der Anzahl der betroffenen Unternehmen weiterhin niedriger ist als erwartet. Dies ist eine bedeutende Beobachtung. Unter DORA müssen Unternehmen wesentliche IKT-bezogene Vorfälle innerhalb festgelegter rechtlicher Fristen erkennen, klassifizieren und melden. Eine niedrige Melderate ist nicht unbedingt ein Beweis für einen resilienten Sektor; sie kann auf Untererkennung, Fehlklassifizierung oder fehlende interne Prozesse zur Eskalation von Vorfällen bis zu dem Punkt, an dem eine regulatorische Meldung ausgelöst wird, hindeuten.
Was als meldepflichtiger Vorfall gilt
Die Klassifizierungskriterien von DORA decken eine Reihe von Faktoren ab, darunter die Anzahl der betroffenen Kunden, die Dauer der Störung, die geografische Verbreitung und die wirtschaftlichen Auswirkungen. Für Unternehmen mit digitalen Vermögenswerten können Vorfälle, die wie routinemäßige technische Ausfälle erscheinen mögen, diese Schwellen schnell erreichen, insbesondere wenn sie die Transaktionsausführung, den Verwahrzugriff oder kundenorientierte Berichtssysteme betreffen. Beispielsweise könnte eine Handelsplattform, die während eines Marktes mit hoher Volatilität mehrere Stunden offline ist, gleichzeitig eine große Anzahl von Kunden betreffen, erhebliche wirtschaftliche Auswirkungen haben und Dienstleistungen stören, die nicht leicht ersetzbar sind – alles Faktoren der DORA-Klassifizierung.
Die praktische Konsequenz ist, dass Unternehmen dokumentierte, getestete Verfahren zur Vorfallklassifizierung benötigen, die tatsächlich von den operativen Mitarbeitern der ersten Linie verwendet werden, nicht nur entworfen und abgelegt sind. Die Beobachtung der AFM über niedrige Meldevolumina deutet darauf hin, dass in zumindest einigen Fällen der Klassifizierungsschritt nicht korrekt oder gar nicht durchgeführt wird. Für CFOs ist dies auch eine finanzielle Berichterstattungsüberlegung: Ein nicht gemeldeter DORA-Vorfall, der später in einer aufsichtlichen Überprüfung ans Licht kommt, kann zu regulatorischen Sanktionen führen, die offengelegt werden müssen und sich auf den Jahresabschluss des Unternehmens auswirken können. Zuverlässige Buchhaltungssoftware für digitale Vermögenswerte, die Betriebsereignisprotokolle erfasst, kann Unternehmen helfen, die Beweiskette für eine genaue und rechtzeitige Klassifizierung aufzubauen.
Für weitere Informationen darüber, wie unerkannte betriebliche oder finanzkriminelle Vorfälle kaskadierende Compliance-Konsequenzen haben können, zeigt unsere frühere Analyse der AML- und Sanktionsimplikationen des Diebstahls der Ronin Bridge durch die Lazarus Group, was passiert, wenn IKT-Schwachstellen und Compliance-Überwachungslücken zusammenfallen.
Schwellenwertberechnungen: Neue Klarheit für Versicherungsvermittler
Das Update der AFM behandelt auch eine spezifische technische Frage, die für Versicherungsvermittler aufgetreten ist, für die die Versicherungsvermittlung nur einen geringen Teil der gesamten Geschäftstätigkeit ausmacht. Aktualisierte Leitlinien klären nun, wie DORA-Schwellenwertberechnungen in solchen Fällen angewendet werden sollten und wie Schwellenwerte innerhalb von Unternehmensgruppen zu berechnen sind. Die AFM fordert alle betroffenen Unternehmen auf zu prüfen, ob die kürzlich veröffentlichten Q&As ihre eigenen Schwellenwertbestimmungen beeinflussen.
Relevanz für Multi-Aktivitäts-Gruppen mit digitalen Vermögenswerten
Obwohl diese Leitlinien auf Versicherungsvermittler ausgerichtet sind, ist das zugrunde liegende Prinzip für jede Gruppenstruktur relevant, in der das regulierte niederländische Unternehmen nur einen Teil eines breiteren Geschäfts darstellt. Gruppen mit digitalen Vermögenswerten, die eine niederländische MiCA- oder andere Finanzlizenz neben nicht regulierten Aktivitäten halten, müssen DORA-Schwellenwerte speziell auf das lizenzierte Unternehmen anwenden, und die neuen Q&A-Klarstellungen können sich darauf auswirken, wie diese Berechnung strukturiert wird. Rechts- und Compliance-Berater sollten die aktualisierten Q&As der AFM überprüfen und etwaige Änderungen an der Schwellenwertbewertung des Unternehmens dokumentieren.
Praktische Schritte für Unternehmen und ihre Berater
Das DORA-Update 7 der AFM bietet im Wesentlichen eine aufsichtliche Checkliste. Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und interne Compliance-Teams, die niederländisch regulierte Unternehmen beraten, einschließlich solcher im Bereich digitaler Vermögenswerte, sollten die folgenden Maßnahmen direkt auf der Grundlage der von der AFM genannten Bedenken durchführen.
Überprüfung des Registers
Bestätigen Sie, dass das Register der IKT-Drittanbieter aktuell ist, alle wesentlichen Anbieter enthält und die Datenqualität ausreicht, um eine aufsichtliche Anfrage zu unterstützen. Dies ist keine einmalige Aufgabe; weisen Sie einen periodischen Überprüfungszyklus zu und dokumentieren Sie ihn.
Richtlinien-Lückenanalyse
Ordnen Sie jede DORA-Anforderung den vorhandenen Richtliniendokumenten des Unternehmens zu. Wenn Sie sich auf eine Gruppenrichtlinie verlassen, dokumentieren Sie ausdrücklich, welche DORA-Artikel sie abdeckt und ob lokale Ergänzungen erforderlich sind. Setzen Sie sich mit der Art und Weise auseinander, wie das breitere regulatorische Umfeld der EU mit diesen Verpflichtungen interagiert: Unsere Berichterstattung darüber, wie das 21. Russland-Sanktionspaket der EU Kryptounternehmen betrifft, zeigt, wie sich mehrschichtige EU-Verpflichtungen für Unternehmen addieren können, die Entwicklungen in mehreren regulatorischen Arbeitsströmen nicht überwachen.
Test des Incident-Management-Prozesses
Führen Sie eine Planspielübung oder einen strukturierten Walkthrough des Prozesses zur Erkennung, Klassifizierung und Meldung von Vorfällen durch. Bestätigen Sie, dass das operative Personal weiß, was eine DORA-Klassifizierungsprüfung auslöst, und dass der Eskalationspfad zur regulatorischen Meldung dokumentiert, zugewiesen und getestet ist.
Neuberechnung der Schwellenwerte
Überprüfen Sie die aktualisierten Q&As der AFM zu Schwellenwertberechnungen, insbesondere wenn das Unternehmen in einer Gruppenstruktur tätig ist oder die Versicherungsvermittlung (oder eine andere regulierte Aktivität) ein sekundärer Teil seines Geschäfts ist. Aktualisieren Sie die Dokumentation der Schwellenwertbewertung entsprechend.
Häufig gestellte Fragen
Gilt DORA für Krypto-Dienstleister in den Niederlanden?
Ja. CASPs, die in den Niederlanden nach MiCA zugelassen sind, fallen als regulierte Finanzunternehmen in den Anwendungsbereich von DORA. Sie müssen die Anforderungen von DORA an IKT-Risikomanagement, Meldung von Vorfällen, Drittanbieter-Überwachung und Resilienztests zusätzlich zu ihren MiCA-Verpflichtungen erfüllen.
Was bedeutet die Genehmigungsrate von 94% für mein Unternehmen?
Es bedeutet, dass der Sektor seine Fähigkeit verbessert hat, Register im korrekten Format einzureichen, aber die AFM stellt klar, dass die Einhaltung des Formats nicht dasselbe ist wie Datenqualität. Unternehmen sollten überprüfen, ob die zugrunde liegenden Informationen in ihrem Register korrekt und vollständig sind, nicht nur, dass die Einreichung akzeptiert wurde.
Unser Unternehmen verwendet Gruppenrichtlinien für DORA. Ist das akzeptabel?
Gruppenrichtlinien sind zulässig, aber das niederländisch lizenzierte Unternehmen bleibt allein dafür verantwortlich, dass jede DORA-Anforderung vollständig erfüllt ist. Wenn eine Gruppenrichtlinie Lücken in Bezug auf die DORA-Anforderungen für das niederländische Unternehmen aufweist, ist das Unternehmen nicht konform, unabhängig davon, was das Gruppendokument sagt. Eine Lückenanalyse gegenüber der Verordnung ist unerlässlich.
Was sind die Konsequenzen, wenn ein DORA-Vorfall nicht rechtzeitig gemeldet wird?
Die Nicht-Erkennung, Nicht-Klassifizierung oder Nicht-Meldung eines wesentlichen IKT-Vorfalls innerhalb der rechtlichen Fristen von DORA ist ein Verstoß gegen die Regulierung. Die AFM kann aufsichtliche Maßnahmen ergreifen, einschließlich öffentlicher Durchsetzungsmaßnahmen. Solche Sanktionen müssen in der Regel offengelegt werden und können sich auf den Jahresabschluss und den Lizenzstatus des Unternehmens auswirken.
Wie oft sollte ein Unternehmen seinen DORA-Compliance-Status überprüfen?
Die AFM empfiehlt regelmäßige Selbstbewertungen, um zu prüfen, ob das Unternehmen weiterhin alle DORA-Anforderungen erfüllt. Es gibt keine einzige vorgeschriebene Häufigkeit, aber angesichts der Geschwindigkeit, mit der sich IKT-Umgebungen und regulatorische Q&As weiterentwickeln, ist ein vierteljährlicher Überprüfungszyklus, der mit dem Risikomanagementkalender des Unternehmens abgestimmt ist, ein angemessenes Minimum. Jede wesentliche Änderung der IKT-Infrastruktur oder der Drittanbieterbeziehungen sollte ebenfalls eine sofortige Überprüfung auslösen.