AFM DORA Update 7: Fortschritte bei Registern, aber Lücken bei ICT-Qualität und Vorfallmeldung
Die niederländische Finanzmarktaufsicht (AFM) hat am 6. August 2026 ihr siebtes DORA-Fortschrittsupdate veröffentlicht, und es fällt gemischt aus. Die von der EBA genehmigten ICT-Drittparteienregister sind von 40 Prozent im Jahr 2025 auf 94 Prozent im Jahr 2026 gestiegen, was ein echter Sprung nach vorne ist. Gleichzeitig hat die AFM anhaltende Schwächen bei der Datenqualität der Register, der Dokumentation von Richtlinien und den Meldezahlen zu Vorfällen festgestellt, die die Unternehmen ihrer Erwartung nach unverzüglich beheben sollten. Für Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und CFOs im niederländischen und breiteren EU-Finanzsektor ist das Update eine Checkliste, wenn auch nicht so genannt.
Was DORA verlangt und warum die AFM weiterhin beobachtet
Die Verordnung über digitale operationelle Resilienz ist im Januar 2025 in der gesamten EU in Kraft getreten und verpflichtet Finanzunternehmen zu Anforderungen in Bezug auf ICT-Risikomanagement, Klassifizierung und Meldung von Vorfällen, Überwachung von Drittparteienrisiken und Tests der digitalen Resilienz. Die AFM ist die zuständige Aufsichtsbehörde für die meisten in den Niederlanden lizenzierten Finanzunternehmen und führt seit dem Anwendungsdatum von DORA Aufsichtsprüfungen durch.
Umfang der Aufsichtsprüfungen
Die Aufsicht der AFM umfasst ICT-Rahmenwerke, Verfahren und die Register, die Unternehmen führen müssen, um ihre Nutzung von ICT-Dienstleistern zu dokumentieren. Die EBA verwaltet ein zentrales Register solcher Anbieter, und die nationalen Aufsichtsbehörden bewerten, ob die von den Unternehmen in ihrem Zuständigkeitsbereich eingereichten Einträge die geforderten Format- und Vollständigkeitsstandards erfüllen. Der Sprung auf 94 Prozent Genehmigung wird nach Einschätzung der AFM selbst weitgehend darauf zurückgeführt, dass Unternehmen mit dem geforderten Format vertrauter geworden sind, und nicht auf substanzielle Verbesserungen der zugrunde liegenden Datenqualität. Diese Unterscheidung ist wichtig, denn Formatkonformität und inhaltliche Genauigkeit sind nicht dasselbe.
Die drei spezifischen Lücken, die die AFM identifiziert hat
Das Update liest sich nicht wie eine Glückwunschmitteilung. Die AFM nutzt ihre Aufsichtserkenntnisse, um drei Bereiche hervorzuheben, in denen noch Handlungsbedarf besteht.
1. Qualität des ICT-Registers und zugrunde liegende Daten
Die AFM warnt ausdrücklich davor, die Genehmigung des Registers als Freigabe der Datenqualität zu betrachten. Die Genehmigung bedeutet, dass das Format akzeptiert wurde; sie bestätigt nicht die Richtigkeit oder Vollständigkeit der eingegebenen Informationen. Die Aufsichtsbehörde fordert die Unternehmen auf, der Qualität des Registers und seiner zugrunde liegenden Daten weiterhin Aufmerksamkeit zu schenken, damit künftige Informationsanfragen der Aufsicht reibungslos bearbeitet werden können. Für jedes Unternehmen, das ein Register eingereicht und dann weitergemacht hat, ist das eine direkte Aufforderung, eine Überprüfung der Datenrichtigkeit zu planen.
2. Dokumentation von Richtlinien und regelmäßige Selbstbewertung
Aufsichtsprüfungen haben ergeben, dass nicht alle Unternehmen über jedes von DORA geforderte Pflichtdokument und Verfahren verfügen und dass einige der vorhandenen nicht genau widerspiegeln, wie das Unternehmen tatsächlich arbeitet. Die Anweisung der AFM ist klar: Unternehmen sollten überprüfen, ob ihr ICT-Risikomanagementrahmen, ihre Richtlinien und Verfahren aktuell und mit der täglichen Praxis abgestimmt sind.
Ein spezifisches Unterthema ergibt sich für Unternehmen, die sich auf Konzernrichtlinien stützen, die von einer Muttergesellschaft oder der Konzern-Compliance-Funktion erstellt wurden. DORA legt die regulatorische Verantwortung eindeutig auf das lizenzierte Unternehmen, nicht auf die Gruppe. Ein Unternehmen kann die Verantwortung nicht nach oben delegieren. Wenn eine Richtlinie auf Konzernebene erstellt wurde, muss das lizenzierte Unternehmen unabhängig prüfen, ob jede anwendbare DORA-Anforderung tatsächlich in diesem Dokument abgedeckt ist. Die AFM macht deutlich, dass der Lizenzinhaber unabhängig davon, woher die Richtlinie stammt, verantwortlich bleibt.
3. Erkennung, Klassifizierung und Meldung von Vorfällen
Die von der AFM erhaltenen Meldungen über Vorfälle liegen unter dem Niveau, das die Aufsichtsbehörde angesichts der Größe und Aktivität der überwachten Population erwartet hätte. Dies deutet auf eines oder mehrere der folgenden Probleme hin: Vorfälle werden nicht rechtzeitig erkannt, sie werden unterhalb der Schwellenwerte klassifiziert, die eine Meldepflicht auslösen, oder der interne Arbeitsablauf von der Erkennung bis zur Meldung funktioniert nicht innerhalb der gesetzlich vorgeschriebenen Fristen. Die Anweisung der AFM lautet, sicherzustellen, dass Vorfälle schnell erkannt, korrekt klassifiziert und der Aufsichtsbehörde innerhalb der gesetzlichen Fristen gemeldet werden, wenn diese Pflicht besteht.
Schwellenwertberechnungen für Versicherungsvermittler
Ein technischerer Teil des Updates betrifft speziell Versicherungsvermittler. Es sind nun zusätzliche Leitlinien verfügbar, wie Schwellenwerte berechnet werden sollten, wenn die Versicherungsvermittlung nur einen untergeordneten Teil der Gesamtaktivitäten eines Unternehmens ausmacht. Parallel dazu wurde auch Klarstellung zu Schwellenwertberechnungen innerhalb von Gruppenstrukturen gegeben. Versicherungsvermittler, die die relevanten Q&As noch nicht geprüft haben, sollten dies tun, um festzustellen, ob ihre derzeitige Schwellenwertmethode angepasst werden muss.
Was das für Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und CFOs bedeutet
Der direkte Anwendungsbereich von DORA umfasst Finanzunternehmen, aber die praktische Arbeitsbelastung liegt bei Compliance-Teams, internen Revisionen, externen Prüfern und den Beratern, auf die sich diese Unternehmen stützen. Das AFM-Update schärft mehrere Prüfungs- und Beratungspflichten.
Auswirkungen auf Prüfung und Assurance
Externe Abschlussprüfer, die DORA-Compliance-Programme prüfen, sollten die spezifischen Erkenntnisse der AFM als Rahmen für die Feldarbeit nutzen. Die drei identifizierten Lücken, Registergenauigkeit, Vollständigkeit der Richtlinien und Funktionsfähigkeit des Vorfallprozesses, lassen sich direkt auf Prüfungshandlungen abbilden. Eine Prüfung, die nur die Formatkonformität der EBA-Registergenehmigung bestätigt, ohne die zugrunde liegende Datenrichtigkeit zu testen, bietet nicht die Sicherheit, die Kunden und Aufsichtsbehörden heute erwarten.
Für Unternehmen, die Krypto-Buchhaltungssoftware oder Software für digitales Asset-Accounting als Teil ihrer ICT-Landschaft nutzen, gelten diese Werkzeuge als ICT-Dienstleistungen im Rahmen von DORA, wenn sie für die operationelle Kontinuität des Unternehmens wesentlich sind. Das bedeutet, dass Verträge, Service-Level, Sublieferantenketten und Konzentrationsrisiken im Zusammenhang mit diesen Werkzeugen möglicherweise im ICT-Drittparteienregister erscheinen müssen. Abschlussprüfer sollten fragen, ob das Unternehmen diese Bewertung vorgenommen und ihre Schlussfolgerung dokumentiert hat.
Maßnahmen für CFOs und Finanzfunktion
CFOs niederländisch lizenzierter Finanzunternehmen tragen Budget- und Governance-Verantwortung für die ICT-Landschaft, die DORA abdeckt. Das Update schafft mindestens drei kurzfristige Maßnahmen auf Finanz- und Governance-Ebene.
Erstens: Veranlassen Sie eine Überprüfung der Datenqualität des ICT-Drittparteienregisters, falls seit der Ersteinreichung keine durchgeführt wurde. Die Formatgenehmigung ist kein Ersatz für Richtigkeit. Zweitens: Lassen Sie sich von der Rechtsabteilung oder Compliance bestätigen, dass jedes Pflichtdokument nach DORA vorhanden, aktuell ist und die tatsächliche Betriebspraxis widerspiegelt. Wenn sich das Unternehmen auf Konzernrichtlinien stützt, muss die Überprüfung bestätigen, dass diese Dokumente den vollen DORA-Standard für das lizenzierte Unternehmen erfüllen. Drittens: Stellen Sie sicher, dass der Vorfallmanagementprozess einen funktionierenden Erkennungs- bis Meldeablauf mit definierten Verantwortlichkeiten und dokumentierten Zeitplänen hat. Wenn die internen Meldezahlen für Vorfälle niedrig sind, kann das auf ein Klassifizierungs- oder Erkennungsproblem hinweisen und nicht auf eine tatsächlich niedrige Vorfallhäufigkeit.
Auswirkungen auf Unternehmen im Bereich digitaler Assets und Krypto-Aktiva
Krypto-Asset-Dienstleister und andere Unternehmen im Bereich digitaler Assets mit niederländischen Lizenzen oder Passporting-Genehmigungen unterliegen DORA in gleicher Weise wie traditionelle Finanzunternehmen. Für diese Unternehmen ist das ICT-Drittparteienrisikoregister besonders komplex, da der technische Stack oft eine größere Anzahl von Drittparteienabhängigkeiten umfasst: Blockchain-Knotenbetreiber, Verwahrer, Orakeldienste und Software-as-a-Service-Plattformen. Jede wesentliche Abhängigkeit erfordert eine Bewertung und, wo zutreffend, die Aufnahme in das Register.
Die von der AFM hervorgehobene Lücke bei der Vorfallmeldung ist hier besonders relevant. Der Betrieb digitaler Assets ist einer breiteren Palette operationeller Vorfälle ausgesetzt als traditionelle Finanzdienstleistungen, von Smart-Contract-Fehlern und Schlüsselverwaltungsereignissen bis hin zu Konnektivitätsausfällen von Börsen. Wenn die Kriterien zur Klassifizierung von Vorfällen nicht auf diese Umgebung abgestimmt sind, bleiben meldepflichtige Ereignisse möglicherweise unerkannt. Unternehmen sollten die DORA-Kriterien zur Klassifizierung von Vorfällen auf die spezifischen Arten von Vorfällen abbilden, die ihr Betrieb erzeugt.
Für Unternehmen, die Krypto-Buchhaltungssoftware oder andere Software für digitales Asset-Accounting verwenden, die in kritische Finanzberichterstattungsabläufe integriert ist, rechtfertigt diese Integration selbst eine DORA-Wesentlichkeitsbewertung. Die Frage ist, ob eine Unterbrechung dieser Software die Fähigkeit des Unternehmens beeinträchtigen würde, seine finanziellen Berichts- oder Regulierungspflichten zu erfüllen. Wenn die Antwort ja lautet, gehört der Anbieter wahrscheinlich in das ICT-Drittparteienregister.
Dies ist auch im Zusammenhang mit dem vierten MiCA-CASP-Registerupdate der ESMA relevant, das die Population autorisierter Krypto-Asset-Dienstleister in der EU erweitert hat. Da immer mehr Unternehmen eine formelle Genehmigung erhalten, gelten für sie DORA-Pflichten ab dem Zeitpunkt der Lizenz vollständig und nicht erst nach einer Übergangsfrist. Das AFM-Update ist eine rechtzeitige Erinnerung daran, dass die DORA-Compliance ein kontinuierliches Programm ist und kein einmaliges Implementierungsprojekt.
Regelmäßige Selbstbewertung als Compliance-Disziplin
Eine der praktischsten Empfehlungen im AFM-Update ist der Aufruf zur regelmäßigen Selbstbewertung der DORA-Compliance. Das Wort regelmäßig ist bewusst gewählt. DORA-Anforderungen ändern sich nicht mit jedem Regulierungszyklus, aber die Geschäftstätigkeit, Verträge und die ICT-Landschaft des Unternehmens tun dies. Eine Richtlinie, die bei der Implementierung korrekt war, spiegelt möglicherweise zwölf Monate später nicht mehr die aktuelle Praxis wider. Ein Register, das bei der Einreichung vollständig war, lässt möglicherweise seitdem hinzugefügte Dienste aus.
Aufbau eines Selbstbewertungskalenders
Unternehmen sollten die DORA-Selbstbewertung als geplante Aktivität behandeln, nicht als reaktiv. Ein praktischer Ansatz besteht darin, den Prüfungszyklus mit dem jährlichen Risikobewertungs- und Prüfungsplanungszeitplan abzustimmen. Die Überprüfung sollte abdecken: Vollständigkeit und Richtigkeit des ICT-Drittparteienregisters; Aktualität und betriebliche Genauigkeit aller Pflichtdokumente; Funktionsfähigkeit des Arbeitsablaufs zur Erkennung, Klassifizierung und Meldung von Vorfällen; und bei Konzern-Tochterstrukturen die Bestätigung, dass Konzernrichtlinien die Pflichten des lizenzierten Unternehmens vollständig erfüllen.
Berater, die an Best Practices für AML- und Sanktions-Compliance für Unternehmen im Bereich digitaler Assets arbeiten, erkennen diesen Rhythmus wieder. Operationelle Resilienz erfordert wie die AML-Compliance eine kontinuierliche Überwachung und keine punktuelle Bewertung. Das AFM-Update unterstreicht dieses Prinzip ausdrücklich.
Häufig gestellte Fragen
Gilt DORA für Krypto-Asset-Dienstleister mit Lizenz in den Niederlanden?
Ja. Jede Einrichtung mit einer Finanzlizenz in den Niederlanden, einschließlich derjenigen, die nach MiCA als Krypto-Asset-Dienstleister zugelassen sind, fällt in den Anwendungsbereich von DORA. Die AFM ist für die meisten dieser Unternehmen die zuständige Aufsichtsbehörde und wendet die DORA-Anforderungen in gleicher Weise an wie für Banken, Wertpapierfirmen und Versicherer.
Was bestätigt die Genehmigung des EBA-Registers tatsächlich?
Die Genehmigung der EBA für ein ICT-Drittparteienregister bestätigt, dass die Einreichung das geforderte Format erfüllt hat. Sie bestätigt nicht die Richtigkeit, Vollständigkeit oder Aktualität der zugrunde liegenden Daten. Die AFM hat ausdrücklich erklärt, dass Unternehmen die Formatgenehmigung nicht als Qualitätsfreigabe betrachten sollten.
Kann sich ein Unternehmen auf Konzernrichtlinien zu DORA stützen, die von seiner Muttergesellschaft erstellt wurden?
Ein Unternehmen kann Konzernrichtlinien als Grundlage verwenden, darf sie aber nicht ohne unabhängige Überprüfung übernehmen. DORA legt die Compliance-Verantwortung auf das lizenzierte Unternehmen. Das Unternehmen muss bestätigen, dass jede für es geltende DORA-Anforderung in diesen Dokumenten vollständig behandelt wird. Wenn Lücken bestehen, ist das Unternehmen verantwortlich, nicht die Gruppe.
Warum liegen die Meldezahlen zu Vorfällen unter den Erwartungen der AFM?
Die AFM hat keine einzelne Ursache genannt, aber die wahrscheinlichen Faktoren umfassen Vorfälle, die unterhalb der Schwellenwerte klassifiziert werden, die eine Meldepflicht auslösen, Erkennungsverzögerungen, die Benachrichtigungen außerhalb der gesetzlichen Fristen verschieben, oder Lücken im internen Arbeitsablauf zwischen Vorfallidentifikation und behördlicher Meldung. Unternehmen sollten jede Stufe dieses Prozesses überprüfen.
Muss Krypto-Buchhaltungssoftware im ICT-Drittparteienregister eines Unternehmens erscheinen?
Das hängt von einer Wesentlichkeitsbewertung ab. Wenn eine Unterbrechung der Software die Fähigkeit des Unternehmens beeinträchtigen würde, seine finanziellen Berichts-, Kundenbetreuungs- oder Regulierungspflichten zu erfüllen, ist sie wahrscheinlich wesentlich und sollte aufgenommen werden. Unternehmen sollten ihre Bewertungsbegründung unabhängig von der Schlussfolgerung dokumentieren.