DORA in der Jahresprüfung: Was Haftungsdächer erwartet

Seit Januar 2025 gilt der Digital Operational Resilience Act (DORA) unmittelbar in der gesamten EU. Viele Wertpapierinstitute haben seitdem Richtlinien erstellt, Verträge angepasst und Notfallpläne überarbeitet. Doch bislang blieb offen, wie genau die Einhaltung dieser Anforderungen im Rahmen der jährlichen Prüfung beurteilt wird. Diese Lücke hat die BaFin nun geschlossen.

Mit der Verordnung zur Änderung der Wertpapierinstituts-Prüfungsberichtsverordnung (WpIPrüfbV), veröffentlicht im Bundesgesetzblatt am 10. September 2026 (BGBl. 2026 I Nr. 256) und in Kraft seit dem 11. September 2026, wird DORA ausdrücklich zum Gegenstand der Jahresabschlussprüfung bei kleinen und mittleren Wertpapierinstituten. Für Haftungsdächer und ihre gebundenen Vermittler hat das ganz praktische Folgen.

Was sich mit der neuen Prüfungsverordnung ändert

Kern der Änderung ist der neu gefasste § 15 WpIPrüfbV. Der Wirtschaftsprüfer muss künftig im Prüfungsbericht zusammenfassend über die IKT-Organisation des Instituts berichten, insbesondere über Systeme, die wesentliche Geschäftsprozesse unterstützen oder aufsichtsrechtlich relevante Daten verarbeiten. Auch wesentliche Änderungen an diesen Systemen und laufende IT-Projekte gehören dazu.

Entscheidend ist der Prüfungsmaßstab: Der Prüfer stellt nicht nur fest, ob Richtlinien vorhanden sind, sondern beurteilt, ob die DORA-Anforderungen angemessen und wirksam eingehalten werden. Die Verordnung nennt dafür sieben Prüffelder:

• IKT-Risikomanagement
• Dokumentation des IKT-Risikomanagementrahmens
• Geschäftsfortführungsplanung (Business Continuity)
• Behandlung, Klassifizierung und Meldung von IKT-Vorfällen
• Tests der digitalen operationalen Resilienz
• Management des IKT-Drittparteienrisikos
• Mitteilungspflichten beim Informationsaustausch über Cyberbedrohungen

Ausdrücklich einbezogen sind auch externe IKT-Ressourcen, also Cloud-Dienste, Softwareanbieter und ausgelagerte Rechenzentren. Wichtig für die Praxis: Die neuen Vorgaben gelten bereits für Geschäftsjahre, die nach dem 31. Dezember 2024 beginnen. Die Prüfungen für das Geschäftsjahr 2025 und das laufende Jahr 2026 sind also unmittelbar betroffen.

Warum Haftungsdächer besonders im Fokus stehen

Ein Haftungsdach ist selbst ein Wertpapierinstitut und übernimmt nach § 3 Abs. 2 WpIG die aufsichtsrechtliche Verantwortung für seine gebundenen Vermittler. Das bedeutet: Die Tätigkeit der Partner wird dem Institut zugerechnet, und zwar nicht nur bei Beratungsqualität und Wohlverhaltenspflichten, sondern zunehmend auch bei der IT.

Daraus ergibt sich eine besondere Herausforderung. Ein Haftungsdach betreibt nicht nur seine eigene IT-Landschaft, sondern muss im Blick behalten, über welche Systeme, Tools und Schnittstellen seine Partner Kundendaten verarbeiten und Beratungsprozesse abwickeln. Je größer und heterogener das Partnernetzwerk, desto komplexer wird diese Aufgabe. Der Wirtschaftsprüfer wird genau hier ansetzen: Kennt das Institut die eingesetzten Systeme? Sind die Risiken bewertet? Gibt es klare Vorgaben für die Partner?

Diese IT- und Outsourcing-Themen stehen im Mittelpunkt

In der Praxis eines Haftungsdachs lassen sich mehrere Bereiche identifizieren, die bei der Prüfung besonders relevant werden dürften.

• CRM- und Kundenverwaltungssysteme: Hier liegen personenbezogene Daten, Anlageprofile und Beratungshistorien. Prüfer werden wissen wollen, wo die Daten gespeichert sind, wer Zugriff hat und wie Datensicherung und Wiederherstellung geregelt sind.
• KYC- und Legitimationstools: Digitale Identifizierungsverfahren sind meist bei spezialisierten Dienstleistern ausgelagert. Fällt ein solcher Anbieter aus, kann das Neukundengeschäft stillstehen. Ausfallszenarien und Alternativen sollten dokumentiert sein.
• Beratungs- und Dokumentationssoftware: Geeignetheitsprüfung, Geeignetheitserklärung und Aufzeichnungspflichten hängen heute weitgehend an Software. Deren Verfügbarkeit und Integrität ist damit unmittelbar aufsichtsrelevant.
• Depotbank- und Plattformschnittstellen: Die Anbindung an Depotbanken und Fondsplattformen ist das Rückgrat der Orderabwicklung. Hier zählen vertragliche Regelungen zu Verfügbarkeit, Datenzugang und Exit-Szenarien.
• Kommunikation und Aufzeichnung: Telefon- und Videoaufzeichnungen, E-Mail-Archivierung und Messenger-Dienste fallen ebenfalls unter die IKT-Landschaft und müssen revisionssicher funktionieren.

Für alle wesentlichen Dienstleister gilt nach DORA: Das Institut muss ein Informationsregister über seine IKT-Drittdienstleister führen, Verträge mit klaren Leistungs-, Kündigungs- und Datenrückgaberegeln abschließen und für kritische Funktionen Exit-Strategien vorhalten. Die finale WpI MaRisk, die die BaFin im August 2026 veröffentlicht hat und die ab 1. Januar 2027 gilt, verschärft zudem die allgemeinen Anforderungen an Auslagerungen. Mehr dazu lesen Sie in unserem Beitrag WpI MaRisk: Was kleine und mittlere Wertpapierinstitute jetzt wissen müssen.

Welche Nachweise gebundene Vermittler liefern müssen

Für gebundene Vermittler bedeutet die neue Prüfungspraxis vor allem eines: Das Haftungsdach wird Informationen und Nachweise häufiger und strukturierter anfordern. Typischerweise betrifft das:

• eine aktuelle Übersicht der eingesetzten Software, Tools und Cloud-Dienste, die für die regulierte Tätigkeit genutzt werden
• Nachweise zu Zugriffsschutz, etwa Zwei-Faktor-Authentifizierung, Passwortrichtlinien und Berechtigungskonzepte
• Bestätigungen zu Datensicherung, Virenschutz und regelmäßigen Updates der genutzten Geräte
• die unverzügliche Meldung von IT-Vorfällen, etwa Phishing-Angriffen, Datenverlusten oder Systemausfällen, an das Haftungsdach
• die Teilnahme an Schulungen zu Informationssicherheit und Cyberrisiken
• eine Abstimmung, bevor neue Tools mit Kundendaten in Betrieb genommen werden

Gerade der letzte Punkt wird in der Praxis oft unterschätzt. Wer eigenständig ein neues CRM, einen KI-Assistenten oder einen Terminbuchungsdienst mit Kundendaten einführt, schafft unter Umständen ein neues Drittparteienrisiko, das das Haftungsdach bewerten und dokumentieren muss. Hier zeigt sich die enge Verbindung zur Behavioral Compliance: Regeln wirken nur, wenn sie im Arbeitsalltag gelebt werden. Wie sich das in der Praxis umsetzen lässt, beschreiben wir in unserem Artikel Behavioral Compliance im Haftungsdach.

Wie ein modernes Haftungsdach seine Partner entlastet

Die gute Nachricht: Gebundene Vermittler müssen DORA nicht allein umsetzen. Die regulatorische Verantwortung liegt beim Haftungsdach, und ein gut aufgestelltes Institut nimmt seinen Partnern einen Großteil der Arbeit ab.

Ein wesentlicher Hebel ist eine zentrale, geprüfte Systemlandschaft. Stellt das Haftungsdach Beratungssoftware, CRM, Dokumentationslösungen und Depotbankanbindungen selbst bereit, sind Verträge, Risikoanalysen und Notfallpläne bereits auf Institutsebene geregelt. Der Vermittler arbeitet in einer Umgebung, die den Anforderungen der Prüfung von vornherein entspricht.

Hinzu kommen klare Vorgaben und praxisnahe Hilfsmittel: Checklisten für die IT-Sicherheit im Büro, standardisierte Abfragen statt aufwendiger Einzelanforderungen, feste Meldewege für Vorfälle und regelmäßige, kompakte Schulungen. So entsteht ein Prozess, der für die Partner überschaubar bleibt und für den Prüfer nachvollziehbar dokumentiert ist.

Nicht zuletzt sorgt ein professionelles Haftungsdach dafür, dass Business-Continuity-Konzepte auch das Partnernetzwerk berücksichtigen. Was passiert, wenn die Beratungsplattform ausfällt? Wie werden Kunden informiert? Wie lässt sich die Orderannahme sicherstellen? Antworten auf diese Fragen sollten nicht erst im Ernstfall gesucht werden.

Fazit: DORA wird messbar

Mit der geänderten WpIPrüfbV endet die Phase, in der DORA vor allem auf dem Papier umgesetzt werden konnte. Wirtschaftsprüfer beurteilen künftig, ob IKT-Risikomanagement, Vorfallmeldung, Notfallplanung und Drittparteienmanagement tatsächlich wirksam funktionieren, und zwar bereits für das Geschäftsjahr 2025.

Für Haftungsdächer bedeutet das mehr Aufwand, aber auch eine Chance, sich durch professionelle Strukturen von weniger gut aufgestellten Wettbewerbern abzuheben. Für gebundene Vermittler gilt: Wer mit einem Haftungsdach zusammenarbeitet, das IT, Auslagerungen und Dokumentation zentral organisiert, kann sich weiterhin auf das konzentrieren, was zählt, nämlich die Beratung seiner Kunden.

Quellen

• Bundesgesetzblatt (2026): Verordnung zur Änderung der Wertpapierinstituts-Prüfungsberichtsverordnung und der Schwarmfinanzierungsdienstleister-Prüfungsverordnung zur Berücksichtigung der Vorgaben der Verordnung (EU) 2022/2554 im Rahmen von Prüfungen, BGBl. 2026 I Nr. 256. 
• PwC Legal (2026): BaFin veröffentlicht MaRisk für kleine und mittlere Wertpapierinstitute. 

Über das Haftungsdach der INNO INVEST

Als einer der modernsten Haftungsdach-Vermögensverwalter bietet die INNO INVEST neben der hauseigenen Vermögensverwaltung für vermögende Privatkunden und Unternehmer auch die gesamte Wertschöpfungskette des Wealth Managements über ihre eigene Wealthtech-Plattform für externe Vermögensverwalter, Multi Family Offices und Anlageberater an. Mit Anbindungen an renommierte Depotbanken wie bspw. UBS, DAB BNP Paribas, V-Bank, Comdirect, FNZ, die österreichische easybank oder Interactive Brokers LLC. kooperiert INNO INVEST auch mit innovativen Produktplattformen wie Privatize oder Weltsparen by Raisin sowie mit ausgewählten Private Equity-Häusern. Aus Darmstadt heraus werden die Klassische sowie die Online-Vermögensverwaltung für vermögende Privatkunden und Unternehmer, als Infrastruktur-Fintech die Wealthtech-Plattform für Investment-Fintechs und für vertraglich gebundene Vermittler ein professionelles Haftungsdach angeboten.

Entdecken Sie hier unsere Vermögensverwaltung: