Lesson series

Exemptions for micro-enterprises

DORA Exemptions for Microenterprises: What Small Financial Firms Need to Know

ENDiese Seite auf Deutsch: DORA-Ausnahmen für Kleinstunternehmen

Introduction

Since January 17, 2025, the Digital Operational Resilience Act - better known as DORA - has been fully enforceable across the European Union. Banks, insurers, payment institutions and a wide range of other financial entities now face binding obligations around cybersecurity and IT risk management. But what about the smallest players? A microenterprise, as defined under Article 3(60) of DORA, is a very small business with fewer than ten employees and an annual turnover or balance sheet total that does not exceed two million euros. These firms benefit from targeted exemptions - but the picture is more nuanced than many assume.

Background: What DORA Requires and Why Size Matters

DORA's main goal is to unify and extend existing standards and requirements at both European and national level, creating a comprehensive and harmonized framework to ensure the continuity of financial activities in the face of cyberattacks and to strengthen digital operational resilience across financial entities.
The regulation applies to a broad spectrum of financial firms - from traditional banks to crypto-asset service providers. In line with a general principle of proportionality, in-scope financial entities are required to comply with DORA by taking into account their size and overall risk profile, as well as the nature, scale and complexity of their services, activities and operations.
However, not every small firm automatically qualifies as a microenterprise under DORA. Trading venues, central counterparties, trade repositories and central securities depositories are not exempt even if they meet the microenterprise criteria. This distinction matters enormously in practice.

What Exemptions Apply - and What Remains Mandatory

Microenterprises are subject to the comprehensive ICT risk management framework and are exempted only from certain requirements. They are not obligated to assign a role to monitor arrangements with ICT third-party service providers or to designate a member of senior management for overseeing ICT risk. They are also not required to maintain a crisis management function for business continuity plan activation.
When it comes to testing requirements, the relief is substantial. Financial entities excluding microenterprises must establish a comprehensive digital operational resilience testing program to evaluate preparedness for ICT incidents and identify weaknesses. Microenterprises are spared from this obligation. Similarly, the requirements for threat-led penetration testing under Articles 26 and 27 of DORA do not apply to microenterprises, nor do the ICT third-party risk management rules under Articles 28 to 30.
Other small financial entities - such as small and non-interconnected investment firms or small institutions for occupational retirement provision - benefit from a different kind of relief: a simplified ICT risk management framework. In practical terms, the ICT risk management requirements under this simplified framework are condensed from fifteen articles down to one. It is important to understand that microenterprises do not automatically fall under this simplified framework - they operate under the full framework, but with specific carve-outs.

Practical Implications: What Microenterprises Still Must Do

Being a microenterprise does not mean being exempt from DORA altogether. Micro and small enterprises are targeted by cybercriminals as much as their larger counterparts, yet many remain unprepared due to a lack of resources, budgets and skills. The regulation acknowledges this vulnerability - which is precisely why it still imposes baseline obligations.
Microenterprises in the financial sector remain required to maintain a basic ICT risk management framework and document it adequately. They must report major ICT-related incidents to their national supervisory authority - in Germany, this is BaFin. They must ensure that contracts with IT service providers meet minimum security standards. And they must be able to demonstrate compliance if supervisors request information.
Whether statutory exemptions apply must be assessed on a case-by-case basis. Even without a specific statutory exemption, the extent of measures a financial firm must undertake can vary considerably depending on its individual risk profile. A microenterprise providing payment services in a niche market may face a very different practical compliance burden than one acting purely as an insurance intermediary.

Conclusion: Proportionality Is Not a Free Pass

DORA's proportionality principle is a genuine relief for smaller financial firms - but it is not a blanket exemption. The regulation asks every entity, regardless of size, to take digital resilience seriously. For microenterprises, the obligations are lighter - but they are real. The smartest first step is a straightforward internal audit: Which IT systems are in use? Who are the key external providers? What incidents would need to be reported? Answering these questions honestly is the foundation of DORA compliance for any small financial firm operating in Europe.
As supervisory authorities across the EU continue to ramp up enforcement activity throughout 2025 and beyond, the window for informal preparation is narrowing. Small does not mean invisible - and in the eyes of European financial regulators, every entity in scope has a responsibility to be resilient.

Full Reference: Every Microenterprise Carve-Out in DORA

Vollständige Übersicht der Kleinstunternehmen-Ausnahmen – mit dem deutschen Originalwortlaut der Verordnung (EU) 2022/2554.

The sections above explain the logic of the microenterprise regime. What follows is the complete map: every point at which DORA either exempts microenterprises outright or softens an obligation, with the exact source and the original German wording, so that each item can be verified against the regulation itself.

The two tables should be read differently. The recitals (Erwägungsgründe) state the legislator’s intent – they explain why the relief exists and are the best guide where an article is ambiguous, but they do not create obligations on their own. The articles are the binding text: wherever a duty is addressed to „Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt“, that is an operative exemption a microenterprise can rely on in a supervisory conversation.

Definition · Article 3(60)

A microenterprise is a financial entity that is not a trading venue, central counterparty, trade repository or central securities depository, employs fewer than 10 people, and whose annual turnover or balance sheet total does not exceed EUR 2 million.

„Kleinstunternehmen“ ein Finanzunternehmen, bei dem es sich nicht um einen Handelsplatz, eine zentrale Gegenpartei, ein Transaktionsregister oder einen Zentralverwahrer handelt, das weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. -bilanzsumme 2 Mio. EUR nicht überschreitet.

A · Relief anchored in the recitals Erwägungsgründe

What is relievedRecitalWortlaut (DE)Note
Proportionate application overall
Verhältnismässigkeit		21Die Mindestanforderungen an die digitale operationale Resilienz für Finanzunternehmen sollten angehoben werden, wobei auch eine verhältnismässige Anwendung der Anforderungen für bestimmte Finanzunternehmen möglich sein sollte, insbesondere bei Kleinstunternehmen sowie Finanzunternehmen, die einem vereinfachten IKT-Risikomanagementrahmen unterliegen.The interpretive baseline for everything below.
No complex governance arrangements
keine komplexen Governance-Regeln		34Da grössere Finanzunternehmen unter Umständen über umfangreichere Ressourcen verfügen […], sollten nur Finanzunternehmen, die keine Kleinstunternehmen im Sinne dieser Verordnung sind, verpflichtet werden, komplexere Governance-Regelungen einzuführen. Diese Unternehmen sind besser gerüstet, um […] ihr IKT-Risikomanagement nach dem Modell der drei Verteidigungslinien zu strukturieren oder ein internes Modell für Risikomanagement und Kontrolle einzuführen und ihren IKT-Risikomanagementrahmen internen Revisionen zu unterziehen.No three-lines-of-defence model required.
Simplified risk management
vereinfachtes Risikomanagement		–Allgemeiner Grundsatz der Erwägungsgründe; keine eigene Randnummer.Note the distinction: microenterprises stay under the full framework with carve-outs, not under the simplified Article 16 framework.
No monitoring function for ICT third-party arrangements43Ebenso sollten Finanzunternehmen, die als Kleinstunternehmen gelten oder dem vereinfachten IKT-Risikomanagementrahmen nach dieser Verordnung unterliegen, nicht verpflichtet sein, eine Funktion zur Überwachung ihrer mit IKT-Drittdienstleistern geschlossenen Vereinbarungen über die Nutzung von IKT-Dienstleistungen einzurichten
No designated senior manager for ICT risk exposure43oder ein Mitglied der Geschäftsleitung zu benennen, das für die Überwachung der damit verbundenen Risikoexposition und die einschlägige Dokumentation zuständig istManagement-body accountability under Art. 5 still applies.
No independent control function for ICT risk43die Verantwortung für das Management und die Überwachung von IKT-Risiken einer Kontrollfunktion zuzuweisen und zur Vermeidung von Interessenkonflikten ein angemessenes Mass an Unabhängigkeit dieser Kontrollfunktion sicherzustellenFormal segregation of duties is not demanded at this scale.
No fixed annual review of the ICT risk framework43den IKT-Risikomanagementrahmen mindestens einmal jährlich zu dokumentieren und zu überprüfenWatch this one. Art. 6(5) still requires a review „regelmässig“ without setting an interval: „Der IKT-Risikomanagementrahmen wird mindestens einmal jährlich — bzw. im Falle von Kleinstunternehmen regelmässig — sowie bei Auftreten schwerwiegender IKT-bezogener Vorfälle […] dokumentiert und überprüft.“ The duty is not removed, only de-scheduled.
No internal audit of the framework or of recovery plans43den IKT-Risikomanagementrahmen regelmässig einer internen Revision zu unterziehen und die Umsetzung der IKT-Reaktions- und Wiederherstellungspläne einer unabhängigen internen Revision zu unterziehenMirrored in the binding text at Art. 6(6).
Simplified assessment after major IT changes43nach grösseren Veränderungen ihrer Netzwerk- und Informationssysteminfrastrukturen und -prozesse eingehende Bewertungen durchzuführenBinding counterpart: Art. 8(3).
No periodic risk analysis of legacy ICT systems43regelmässig Risikoanalysen von IKT-Altsystemen vorzunehmenBinding counterpart: Art. 8(7).
No crisis management function43eine Krisenmanagementfunktion festzulegenBinding counterpart: Art. 11(7).
Failover to redundant systems need not be tested43die Tests der Geschäftsfortführungspläne und der Reaktions- und Wiederherstellungspläne zur Erfassung von Szenarien für die Umstellung von primärer IKT-Infrastruktur auf redundante Systeme auszuweitenBinding counterpart: Art. 11(6).
No aggregated annual cost and loss figures43den zuständigen Behörden auf deren Anfrage eine Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste vorzulegen
No obligation to maintain redundant ICT capacity43redundante IKT-Kapazitäten zu unterhaltenSee the risk-based assessment row below.
No reporting of changes made after post-incident reviews43den zuständigen nationalen Behörden die nach nachträglichen Prüfungen IKT-bezogener Vorfälle vorgenommenen Änderungen zu meldenThe incident report itself remains mandatory.
No continuous monitoring of technological developments43die einschlägigen technologischen Entwicklungen fortlaufend zu überwachen
No comprehensive resilience testing programme43als integralen Bestandteil des in dieser Verordnung vorgesehenen IKT-Risikomanagementrahmens ein umfassendes Programm für Tests der digitalen operationalen ResilienzTesting as such remains – see Art. 25(3).
No ICT third-party risk strategy document43oder eine Strategie für das IKT-Drittparteienrisiko zu verabschieden und regelmässig zu überprüfenThe register of information and the contractual minimums still apply.
Only a risk-based assessment of whether redundancy is needed43Darüber hinaus sollten Kleinstunternehmen nur verpflichtet sein, auf der Grundlage ihres Risikoprofils zu bewerten, ob diese redundanten IKT-Kapazitäten unterhalten werden müssen.Document the assessment – that document is the compliance evidence.
Flexible testing regime – balance, not volume43Kleinstunternehmen sollten in den Genuss einer flexibleren Regelung für Programme für Tests der digitalen operationalen Resilienz kommen. Bei der Erwägung der Art und Häufigkeit der durchzuführenden Tests sollten sie ein angemessenes Gleichgewicht zwischen dem Ziel der Aufrechterhaltung einer hohen digitalen operationalen Resilienz, den verfügbaren Ressourcen und ihrem Gesamtrisikoprofil finden.Tests are still required – scope and cadence are yours to justify.
No threat-led penetration testing (TLPT)43Kleinstunternehmen und Finanzunternehmen, die dem vereinfachten IKT-Risikomanagementrahmen nach dieser Verordnung unterliegen, sollten von der Verpflichtung ausgenommen werden, erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis bedrohungsorientierter Penetrationstests (TLPT — Threat Led Penetration Testing) durchzuführen […]Confirms the Art. 26/27 carve-out.
Audit rights may be delegated to an independent third party43Angesichts ihrer begrenzten Kapazitäten sollten Kleinstunternehmen mit dem IKT-Drittdienstleister vereinbaren können, die Zugangs-, Inspektions- und Auditrechte des Finanzunternehmens an einen vom IKT-Drittdienstleister zu beauftragenden unabhängigen Dritten zu delegieren, sofern das Finanzunternehmen jederzeit alle relevanten Informationen und Zusicherungen über die Leistung des IKT-Drittdienstleisters von dem jeweiligen unabhängigen Dritten anfordern kann.Practical relief: a provider's SOC 2 or ISAE report can carry the audit right – provided the contract preserves access to it.

B · Relief written into the binding articles Artikel

What is relievedArticleWortlaut (DE)
No internal audit of the ICT risk management frameworkArt. 6(6)Im Einklang mit dem Revisionsplan des betreffenden Finanzunternehmens ist der IKT-Risikomanagementrahmen von Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, regelmässig einer internen Revision durch Revisoren zu unterziehen. Diese Revisoren verfügen über ausreichendes Wissen und ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie über eine angemessene Unabhängigkeit. Häufigkeit und Schwerpunkt von IKT-Revisionen sind den IKT-Risiken des Finanzunternehmens entsprechend angemessen.
No risk assessment on every material changeArt. 8(3)Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen bei jeder wesentlichen Änderung der Netzwerk- und Informationssysteminfrastruktur, der Prozesse oder Verfahren, die sich auf ihre IKT-gestützten Unternehmensfunktionen, Informations- oder IKT-Assets auswirken, eine Risikobewertung durch.
No annual risk assessment of legacy ICT systemsArt. 8(7)Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen für alle IKT-Altsysteme regelmässig, mindestens jedoch einmal jährlich und in jedem Fall vor und nach Anschluss von Technologien, Anwendungen oder Systemen eine spezifische Bewertung des IKT-Risikos durch.
Cyberattack and failover scenarios need not be in the test planArt. 11(6)Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, nehmen für die Zwecke von Unterabsatz 1 Buchstabe a Szenarien für Cyberangriffe und Umstellungen von der primären IKT-Infrastruktur auf die redundanten Kapazitäten, Backups und Systeme, die für die Erfüllung der Verpflichtungen nach Artikel 12 erforderlich sind, in ihre Testpläne auf.
No crisis management function and no formal crisis-communication proceduresArt. 11(7)Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, verfügen über eine Krisenmanagementfunktion, die bei Aktivierung ihrer IKT-Geschäftsfortführungspläne oder ihrer IKT-Reaktions- und Wiederherstellungspläne unter anderem klare Verfahren für die Abwicklung interner und externer Krisenkommunikation gemäss Artikel 14 festlegt.
Risk-based, resource-proportionate testing instead of a fixed programmeArt. 25(3)Kleinstunternehmen führen die in Absatz 1 genannten Tests durch, indem sie einen risikobasierten Ansatz mit einer strategischen Planung für IKT-Tests kombinieren, wobei sie gebührend berücksichtigen, dass zwischen dem Umfang von Ressourcen und der Zeit, die für die IKT-Tests gemäss diesem Artikel aufzuwenden sind, einerseits, und der Dringlichkeit, der Art des Risikos, der Kritikalität von Informationsassets und erbrachten Dienstleistungen sowie allen sonstigen relevanten Faktoren, einschliesslich der Fähigkeit des Finanzunternehmens, kalkulierte Risiken einzugehen, andererseits, ein ausgewogenes Verhältnis gewahrt werden muss.

How to use this in practice: for every row in section B a supervisor can be pointed at the wording „bei denen es sich nicht um Kleinstunternehmen handelt“ – and that settles it. For section A the relief is real but argued rather than granted, so keep a short written note of how it was applied, together with the headcount and turnover figures that establish microenterprise status in the first place. That status is assessed continuously: the tenth hire, or the year turnover crosses EUR 2 million, moves a firm out of every row above.

Quellen
European Union, Verordnung (EU) 2022/2554 - Digital Operational Resilience Act (DORA), Amtsblatt der EU, Dezember 2022
BaFin - Bundesanstalt für Finanzdienstleistungsaufsicht, DORA-Informationsseite
Norton Rose Fulbright, "Digital Operational Resilience for the Financial Sector: 10 Things to Know"
Grant Thornton Deutschland, "DORA-Verordnung der EU: Was jetzt für Unternehmen wichtig ist"
KPMG Klardenker, "DORA - auch nach dem Stichtag bleibt 2025 viel zu tun"
Eris Law, "DORA Compliance for Microenterprises: Key Articles and Exemptions"
MITRE Corporation, D3FEND v1.3.0 - the defensive countermeasure ontology. Relevant here: Harden (D3-OTP, D3-CDP, D3-SPP) and Restore (D3-RF, D3-RDI) - the two tactics a microenterprise cannot skip. See also MITRE D3FEND explained, with a 27-point coverage check.


The full DORA artefact series
1. Governance & Organisation
2. Risk & Control Management
3. Incident & Continuity Management
4. Testing & Audit
5. Third-Party Risk Management
6. Training and Awareness
7. Reporting
8. Microenterprise Exemptions
Overview: the DORA framework
Erstellt mit