LEKTIONSREIHE

Ausnahmen für Kleinstunternehmen

DORA-Ausnahmen für Kleinstunternehmen: Was kleine Finanzunternehmen wissen müssen

DEDiese Seite auf Englisch: DORA Exemptions for Microenterprises

Einleitung

Seit dem 17. Januar 2025 ist der Digital Operational Resilience Act – besser bekannt als DORA – in der gesamten Europäischen Union vollständig anwendbar. Banken, Versicherer, Zahlungsinstitute und eine breite Palette weiterer Finanzunternehmen unterliegen damit verbindlichen Pflichten zu Cybersicherheit und IT-Risikomanagement. Doch was gilt für die kleinsten Marktteilnehmer? Ein Kleinstunternehmen im Sinne von Artikel 3(60) DORA ist ein sehr kleines Unternehmen mit weniger als zehn Beschäftigten und einem Jahresumsatz oder einer Jahresbilanzsumme von höchstens zwei Millionen Euro. Diese Unternehmen profitieren von gezielten Ausnahmen – das Bild ist allerdings differenzierter, als viele annehmen.

Hintergrund: Was DORA verlangt – und warum die Grösse zählt

Das Hauptziel von DORA ist es, bestehende Standards und Anforderungen auf europäischer und nationaler Ebene zu vereinheitlichen und zu erweitern. So entsteht ein umfassender, harmonisierter Rahmen, der die Kontinuität der Finanztätigkeit auch bei Cyberangriffen sicherstellt und die digitale operationale Resilienz von Finanzunternehmen stärkt.
Die Verordnung erfasst ein breites Spektrum von Finanzunternehmen – von klassischen Banken bis zu Anbietern von Krypto-Dienstleistungen. Entsprechend dem allgemeinen Grundsatz der Verhältnismässigkeit müssen die erfassten Finanzunternehmen DORA unter Berücksichtigung ihrer Grösse und ihres Gesamtrisikoprofils sowie der Art, des Umfangs und der Komplexität ihrer Dienstleistungen, Tätigkeiten und Geschäfte umsetzen.
Nicht jedes kleine Unternehmen gilt jedoch automatisch als Kleinstunternehmen im Sinne von DORA. Handelsplätze, zentrale Gegenparteien, Transaktionsregister und Zentralverwahrer sind auch dann nicht ausgenommen, wenn sie die Grössenkriterien erfüllen. Diese Unterscheidung ist in der Praxis von grosser Bedeutung.

Welche Ausnahmen gelten – und was verpflichtend bleibt

Kleinstunternehmen unterliegen dem umfassenden IKT-Risikomanagementrahmen und sind nur von bestimmten Anforderungen ausgenommen. Sie müssen keine Funktion zur Überwachung der Vereinbarungen mit IKT-Drittdienstleistern einrichten und kein Mitglied der Geschäftsleitung für die Überwachung des IKT-Risikos benennen. Ebenso ist keine Krisenmanagementfunktion für die Aktivierung der Geschäftsfortführungspläne erforderlich.
Bei den Testanforderungen ist die Entlastung erheblich. Finanzunternehmen, die keine Kleinstunternehmen sind, müssen ein umfassendes Programm für Tests der digitalen operationalen Resilienz aufsetzen, um ihre Vorbereitung auf IKT-Vorfälle zu bewerten und Schwachstellen zu erkennen. Kleinstunternehmen sind von dieser Pflicht befreit. Ebenso gelten die Anforderungen an bedrohungsorientierte Penetrationstests nach den Artikeln 26 und 27 DORA nicht für Kleinstunternehmen, und auch die Regeln zum Management des IKT-Drittparteienrisikos nach den Artikeln 28 bis 30 finden keine Anwendung.
Andere kleine Finanzunternehmen – etwa kleine und nicht verflochtene Wertpapierfirmen oder kleine Einrichtungen der betrieblichen Altersversorgung – profitieren von einer anderen Art der Entlastung: einem vereinfachten IKT-Risikomanagementrahmen. Praktisch werden die Anforderungen an das IKT-Risikomanagement dort von fünfzehn Artikeln auf einen einzigen verdichtet. Wichtig ist: Kleinstunternehmen fallen nicht automatisch unter diesen vereinfachten Rahmen – sie arbeiten im vollen Rahmenwerk, aber mit spezifischen Ausnahmen.

Praktische Folgen: Was Kleinstunternehmen trotzdem tun müssen

Ein Kleinstunternehmen zu sein bedeutet nicht, von DORA insgesamt befreit zu sein. Klein- und Kleinstunternehmen werden von Cyberkriminellen genauso ins Visier genommen wie grössere Häuser, sind aber wegen fehlender Ressourcen, Budgets und Fachkenntnisse oft schlechter vorbereitet. Die Verordnung erkennt diese Anfälligkeit ausdrücklich – und genau deshalb bleiben Mindestpflichten bestehen.
Kleinstunternehmen im Finanzsektor müssen weiterhin einen grundlegenden IKT-Risikomanagementrahmen unterhalten und angemessen dokumentieren. Sie müssen schwerwiegende IKT-bezogene Vorfälle ihrer nationalen Aufsichtsbehörde melden – in Deutschland der BaFin. Sie müssen sicherstellen, dass Verträge mit IT-Dienstleistern Mindestsicherheitsstandards erfüllen. Und sie müssen die Einhaltung nachweisen können, wenn die Aufsicht Informationen verlangt.
Ob gesetzliche Ausnahmen greifen, ist im Einzelfall zu prüfen. Auch ohne konkrete gesetzliche Ausnahme kann der Umfang der erforderlichen Massnahmen je nach individuellem Risikoprofil erheblich variieren. Ein Kleinstunternehmen, das Zahlungsdienste in einem Nischenmarkt anbietet, trägt eine ganz andere praktische Compliance-Last als eines, das ausschliesslich als Versicherungsvermittler tätig ist.

Fazit: Verhältnismässigkeit ist kein Freibrief

Der Grundsatz der Verhältnismässigkeit in DORA ist eine echte Entlastung für kleinere Finanzunternehmen – aber keine pauschale Befreiung. Die Verordnung verlangt von jedem Unternehmen, unabhängig von seiner Grösse, digitale Resilienz ernst zu nehmen. Für Kleinstunternehmen sind die Pflichten leichter – aber sie bestehen. Der sinnvollste erste Schritt ist eine nüchterne interne Bestandsaufnahme: Welche IT-Systeme sind im Einsatz? Wer sind die wesentlichen externen Dienstleister? Welche Vorfälle wären meldepflichtig? Diese Fragen ehrlich zu beantworten ist das Fundament der DORA-Compliance für jedes kleine Finanzunternehmen in Europa.
Da die Aufsichtsbehörden in der EU ihre Prüfungstätigkeit im Jahr 2025 und darüber hinaus weiter ausbauen, wird das Zeitfenster für eine informelle Vorbereitung kleiner. Klein heisst nicht unsichtbar – und aus Sicht der europäischen Finanzaufsicht trägt jedes erfasste Unternehmen die Verantwortung, resilient zu sein.

Vollständige Übersicht: alle Kleinstunternehmen-Ausnahmen in DORA

Jede Entlastung mit Fundstelle und dem Originalwortlaut der Verordnung (EU) 2022/2554.

Die Abschnitte oben erklären die Logik der Kleinstunternehmen-Regelung. Was folgt, ist die vollständige Karte: jede Stelle, an der DORA Kleinstunternehmen ausnimmt oder eine Pflicht abschwächt – mit exakter Fundstelle und Originalwortlaut, damit jeder Punkt in der Verordnung nachprüfbar ist.

Die beiden Tabellen sind unterschiedlich zu lesen. Die Erwägungsgründe geben die Absicht des Gesetzgebers wieder – sie erklären, warum die Entlastung besteht, und sind die beste Auslegungshilfe, wenn ein Artikel unklar ist; eigene Pflichten begründen sie aber nicht. Die Artikel sind der verbindliche Text: Überall dort, wo eine Pflicht an „Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt“ adressiert ist, liegt eine belastbare Ausnahme vor, auf die sich ein Kleinstunternehmen im Aufsichtsgespräch berufen kann.

Definition · Artikel 3(60)

Drei Bedingungen müssen zusammen erfüllt sein: kein Handelsplatz, keine zentrale Gegenpartei, kein Transaktionsregister, kein Zentralverwahrer – weniger als 10 Beschäftigte – und Jahresumsatz oder Bilanzsumme von höchstens 2 Mio. EUR. Fällt eine Bedingung weg, entfallen alle Ausnahmen unten.

Wortlaut: „Kleinstunternehmen“ ein Finanzunternehmen, bei dem es sich nicht um einen Handelsplatz, eine zentrale Gegenpartei, ein Transaktionsregister oder einen Zentralverwahrer handelt, das weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR nicht überschreitet.

A · Entlastungen aus den Erwägungsgründen Auslegung

Ausnahme / EntlastungErwägungs-
grund		Wortlaut (DE)Bemerkung
Verhältnismässigkeit – verhältnismässige Anwendung21Die Mindestanforderungen an die digitale operationale Resilienz für Finanzunternehmen sollten angehoben werden, wobei auch eine verhältnismässige Anwendung der Anforderungen für bestimmte Finanzunternehmen möglich sein sollte, insbesondere bei Kleinstunternehmen sowie Finanzunternehmen, die einem vereinfachten IKT-Risikomanagementrahmen unterliegen.Auslegungsgrundlage für alles Weitere.
Keine komplexen Governance-Regeln34Da grössere Finanzunternehmen unter Umständen über umfangreichere Ressourcen verfügen […], sollten nur Finanzunternehmen, die keine Kleinstunternehmen im Sinne dieser Verordnung sind, verpflichtet werden, komplexere Governance-Regelungen einzuführen. Diese Unternehmen sind besser gerüstet, um […] ihr IKT-Risikomanagement nach dem Modell der drei Verteidigungslinien zu strukturieren oder ein internes Modell für Risikomanagement und Kontrolle einzuführen und ihren IKT-Risikomanagementrahmen internen Revisionen zu unterziehen.Kein Modell der drei Verteidigungslinien erforderlich.
Vereinfachtes Risikomanagement–Allgemeiner Grundsatz der Erwägungsgründe; keine eigene Randnummer.Wichtige Unterscheidung: Kleinstunternehmen bleiben im vollen Rahmenwerk mit Ausnahmen, nicht im vereinfachten Rahmen nach Artikel 16.
Keine Funktion zur Überwachung der IKT-Drittdienstleister43Ebenso sollten Finanzunternehmen, die als Kleinstunternehmen gelten oder dem vereinfachten IKT-Risikomanagementrahmen nach dieser Verordnung unterliegen, nicht verpflichtet sein, eine Funktion zur Überwachung ihrer mit IKT-Drittdienstleistern geschlossenen Vereinbarungen über die Nutzung von IKT-Dienstleistungen einzurichten 
Kein benanntes Mitglied der Geschäftsleitung für IKT-Risiken43oder ein Mitglied der Geschäftsleitung zu benennen, das für die Überwachung der damit verbundenen Risikoexposition und die einschlägige Dokumentation zuständig istDie Verantwortung des Leitungsorgans nach Art. 5 bleibt bestehen.
Keine unabhängige Kontrollfunktion für IKT-Risiken43die Verantwortung für das Management und die Überwachung von IKT-Risiken einer Kontrollfunktion zuzuweisen und zur Vermeidung von Interessenkonflikten ein angemessenes Mass an Unabhängigkeit dieser Kontrollfunktion sicherzustellenEine formale Funktionstrennung wird in dieser Grössenordnung nicht verlangt.
Keine fixe jährliche Überprüfung des IKT-Risikorahmens43den IKT-Risikomanagementrahmen mindestens einmal jährlich zu dokumentieren und zu überprüfenHier aufpassen. Art. 6(5) verlangt weiterhin eine Überprüfung „regelmässig“, ohne ein Intervall zu nennen: „Der IKT-Risikomanagementrahmen wird mindestens einmal jährlich — bzw. im Falle von Kleinstunternehmen regelmässig — sowie bei Auftreten schwerwiegender IKT-bezogener Vorfälle […] dokumentiert und überprüft.“ Die Pflicht entfällt nicht, nur der Jahresrhythmus.
Keine interne Revision von Rahmen und Wiederherstellungsplänen43den IKT-Risikomanagementrahmen regelmässig einer internen Revision zu unterziehen und die Umsetzung der IKT-Reaktions- und Wiederherstellungspläne einer unabhängigen internen Revision zu unterziehenVerbindlich gespiegelt in Art. 6(6).
Vereinfachte Bewertung nach grösseren IT-Änderungen43nach grösseren Veränderungen ihrer Netzwerk- und Informationssysteminfrastrukturen und -prozesse eingehende Bewertungen durchzuführenVerbindliches Gegenstück: Art. 8(3).
Keine regelmässige Risikoanalyse von IKT-Altsystemen43regelmässig Risikoanalysen von IKT-Altsystemen vorzunehmenVerbindliches Gegenstück: Art. 8(7).
Keine Krisenmanagementfunktion43eine Krisenmanagementfunktion festzulegenVerbindliches Gegenstück: Art. 11(7).
Umstellung auf redundante Systeme muss nicht getestet werden43die Tests der Geschäftsfortführungspläne und der Reaktions- und Wiederherstellungspläne zur Erfassung von Szenarien für die Umstellung von primärer IKT-Infrastruktur auf redundante Systeme auszuweitenVerbindliches Gegenstück: Art. 11(6).
Keine aggregierten Jahreskosten und -verluste43den zuständigen Behörden auf deren Anfrage eine Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste vorzulegen 
Keine Pflicht, redundante IKT-Kapazitäten zu unterhalten43redundante IKT-Kapazitäten zu unterhaltenSiehe die Zeile zur risikobasierten Bewertung weiter unten.
Keine Meldung von Änderungen nach nachträglichen Prüfungen43den zuständigen nationalen Behörden die nach nachträglichen Prüfungen IKT-bezogener Vorfälle vorgenommenen Änderungen zu meldenDie Meldung des Vorfalls selbst bleibt Pflicht.
Keine fortlaufende Beobachtung technologischer Entwicklungen43die einschlägigen technologischen Entwicklungen fortlaufend zu überwachen 
Kein umfassendes Programm für Resilienz-Tests43als integralen Bestandteil des in dieser Verordnung vorgesehenen IKT-Risikomanagementrahmens ein umfassendes Programm für Tests der digitalen operationalen ResilienzGetestet werden muss trotzdem – siehe Art. 25(3).
Keine Strategie für das IKT-Drittparteienrisiko43oder eine Strategie für das IKT-Drittparteienrisiko zu verabschieden und regelmässig zu überprüfenInformationsregister und vertragliche Mindestinhalte gelten weiter.
Nur eine risikobasierte Bewertung des Redundanzbedarfs43Darüber hinaus sollten Kleinstunternehmen nur verpflichtet sein, auf der Grundlage ihres Risikoprofils zu bewerten, ob diese redundanten IKT-Kapazitäten unterhalten werden müssen.Die Bewertung dokumentieren – dieses Dokument ist der Compliance-Nachweis.
Flexiblere Testregelung – Ausgewogenheit statt Menge43Kleinstunternehmen sollten in den Genuss einer flexibleren Regelung für Programme für Tests der digitalen operationalen Resilienz kommen. Bei der Erwägung der Art und Häufigkeit der durchzuführenden Tests sollten sie ein angemessenes Gleichgewicht zwischen dem Ziel der Aufrechterhaltung einer hohen digitalen operationalen Resilienz, den verfügbaren Ressourcen und ihrem Gesamtrisikoprofil finden.Tests bleiben Pflicht – Umfang und Häufigkeit sind zu begründen.
Keine bedrohungsorientierten Penetrationstests (TLPT)43Kleinstunternehmen und Finanzunternehmen, die dem vereinfachten IKT-Risikomanagementrahmen nach dieser Verordnung unterliegen, sollten von der Verpflichtung ausgenommen werden, erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis bedrohungsorientierter Penetrationstests (TLPT — Threat Led Penetration Testing) durchzuführen […]Bestätigt die Ausnahme zu Art. 26/27.
Auditrechte können an einen unabhängigen Dritten delegiert werden43Angesichts ihrer begrenzten Kapazitäten sollten Kleinstunternehmen mit dem IKT-Drittdienstleister vereinbaren können, die Zugangs-, Inspektions- und Auditrechte des Finanzunternehmens an einen vom IKT-Drittdienstleister zu beauftragenden unabhängigen Dritten zu delegieren, sofern das Finanzunternehmen jederzeit alle relevanten Informationen und Zusicherungen über die Leistung des IKT-Drittdienstleisters von dem jeweiligen unabhängigen Dritten anfordern kann.Praktische Entlastung: Ein SOC 2- oder ISAE-Bericht des Anbieters kann das Auditrecht tragen – sofern der Vertrag den Zugang dazu sichert.

B · Entlastungen im verbindlichen Artikeltext verbindlich

Ausnahme / EntlastungArtikelWortlaut (DE)
Keine interne Revision des IKT-RisikomanagementrahmensArt. 6(6)Im Einklang mit dem Revisionsplan des betreffenden Finanzunternehmens ist der IKT-Risikomanagementrahmen von Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, regelmässig einer internen Revision durch Revisoren zu unterziehen. Diese Revisoren verfügen über ausreichendes Wissen und ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie über eine angemessene Unabhängigkeit. Häufigkeit und Schwerpunkt von IKT-Revisionen sind den IKT-Risiken des Finanzunternehmens entsprechend angemessen.
Keine Risikobewertung bei jeder wesentlichen ÄnderungArt. 8(3)Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen bei jeder wesentlichen Änderung der Netzwerk- und Informationssysteminfrastruktur, der Prozesse oder Verfahren, die sich auf ihre IKT-gestützten Unternehmensfunktionen, Informations- oder IKT-Assets auswirken, eine Risikobewertung durch.
Keine jährliche Risikobewertung von IKT-AltsystemenArt. 8(7)Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen für alle IKT-Altsysteme regelmässig, mindestens jedoch einmal jährlich und in jedem Fall vor und nach Anschluss von Technologien, Anwendungen oder Systemen eine spezifische Bewertung des IKT-Risikos durch.
Cyberangriffs- und Umstellungsszenarien müssen nicht in die TestpläneArt. 11(6)Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, nehmen für die Zwecke von Unterabsatz 1 Buchstabe a Szenarien für Cyberangriffe und Umstellungen von der primären IKT-Infrastruktur auf die redundanten Kapazitäten, Backups und Systeme, die für die Erfüllung der Verpflichtungen nach Artikel 12 erforderlich sind, in ihre Testpläne auf.
Keine Krisenmanagementfunktion und keine formalen KrisenkommunikationsverfahrenArt. 11(7)Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, verfügen über eine Krisenmanagementfunktion, die bei Aktivierung ihrer IKT-Geschäftsfortführungspläne oder ihrer IKT-Reaktions- und Wiederherstellungspläne unter anderem klare Verfahren für die Abwicklung interner und externer Krisenkommunikation gemäss Artikel 14 festlegt.
Risikobasierte, ressourcengerechte Tests statt festem ProgrammArt. 25(3)Kleinstunternehmen führen die in Absatz 1 genannten Tests durch, indem sie einen risikobasierten Ansatz mit einer strategischen Planung für IKT-Tests kombinieren, wobei sie gebührend berücksichtigen, dass zwischen dem Umfang von Ressourcen und der Zeit, die für die IKT-Tests gemäss diesem Artikel aufzuwenden sind, einerseits, und der Dringlichkeit, der Art des Risikos, der Kritikalität von Informationsassets und erbrachten Dienstleistungen sowie allen sonstigen relevanten Faktoren, einschliesslich der Fähigkeit des Finanzunternehmens, kalkulierte Risiken einzugehen, andererseits, ein ausgewogenes Verhältnis gewahrt werden muss.

So nutzt man die Tabellen in der Praxis: Bei jeder Zeile in Abschnitt B genügt der Verweis auf die Formulierung „bei denen es sich nicht um Kleinstunternehmen handelt“ – damit ist die Sache erledigt. In Abschnitt A ist die Entlastung real, aber begründet statt gewährt: Halten Sie kurz schriftlich fest, wie Sie sie angewendet haben, zusammen mit den Zahlen zu Beschäftigten und Umsatz, die den Kleinstunternehmen-Status überhaupt begründen. Dieser Status ist laufend zu prüfen: Die zehnte Anstellung oder das Jahr, in dem der Umsatz 2 Mio. EUR übersteigt, führt aus allen Zeilen oben heraus.

Quellen
European Union, Verordnung (EU) 2022/2554 - Digital Operational Resilience Act (DORA), Amtsblatt der EU, Dezember 2022
BaFin - Bundesanstalt für Finanzdienstleistungsaufsicht, DORA-Informationsseite
Norton Rose Fulbright, "Digital Operational Resilience for the Financial Sector: 10 Things to Know"
Grant Thornton Deutschland, "DORA-Verordnung der EU: Was jetzt für Unternehmen wichtig ist"
KPMG Klardenker, "DORA - auch nach dem Stichtag bleibt 2025 viel zu tun"
Eris Law, "DORA Compliance for Microenterprises: Key Articles and Exemptions"
MITRE Corporation, D3FEND v1.3.0 - die Ontologie defensiver Gegenmassnahmen. Hier relevant: Harden (D3-OTP, D3-CDP, D3-SPP) und Restore (D3-RF, D3-RDI) - die beiden Taktiken, auf die auch ein Kleinstunternehmen nicht verzichten kann. Siehe auch: MITRE D3FEND erklärt, mit einem 27-Punkte-Check.
ISO/IEC 27001:2022 - Annex A und Klauseln 4 bis 10, siehe iso.org/standard/27001. Hier relevant: A.5.9 Inventar der Werte, A.5.24 bis A.5.28 Vorfallsmanagement, A.5.30 IKT-Bereitschaft für die Geschäftsfortführung, A.8.13 Informationssicherung und A.8.8 Umgang mit technischen Schwachstellen - jene Controls, die auch ein Kleinstunternehmen nachweisen muss. Klauseln 6.1.2 und 6.1.3 tragen die Risikobeurteilung und -behandlung. Eine Zertifizierung nach ISO/IEC 27001 belegt keine DORA-Konformität: Meldefristen in Stunden, das Informationsregister und ein vertraglicher Exit-Plan haben in Annex A kein Gegenstück. Siehe auch: ISO/IEC 27001 erklärt: das ISMS in 15 Schritten und alle 93 Annex-A-Controls sowie jeder Unterabschnitt mit eigener Annex-A-Zuordnung.


Die vollständige DORA-Artefaktreihe (Seiten auf Englisch)
1. Governance & Organisation
2. Risk & Control Management
3. Incident & Continuity Management
4. Testing & Audit
5. Third-Party Risk Management
6. Training and Awareness
7. Reporting
8. Microenterprise Exemptions
Überblick: das DORA-Rahmenwerk
Erstellt mit