Prüfer müssen nun DORA-IKT-Resilienz bei Wertpapierfirmen testen

Die Finanzaufsicht hat die Abschlussprüfung auf die digitale operationale Resilienz erstreckt.WPK Eine BaFin-Verordnung vom 26. August 2026, veröffentlicht als BGBl I Nr. 256 am 10. September 2026, ändert die Prüfungsberichtsregeln für Wertpapierinstitute und für SchwarmfinanzierungsdienstleisterBundBund, sodass Prüfer die Einhaltung des EU Digital Operational Resilience Act, Verordnung (EU) 2022/2554 (DORA), prüfenBund. Die Verordnung trat am Tag nach der Verkündung in Kraft.

Für Wertpapierinstitute verlangt der neue § 15 der Wertpapierinstituts-Prüfungsberichtsverordnung, dass der Prüfer zusammenfassend über die Organisation der Informations- und Kommunikationstechnologie (IKT) des Instituts und über diejenigen IKT-Systeme berichtet, die wesentliche Geschäftsprozesse unterstützen oder aufsichtsrechtlich relevante Daten verarbeiten. Wesentliche Änderungen dieser Systeme und die ihnen dienenden Projekte sind darzustellen, und der Prüfer hat darzustellen und zu beurteilen, ob die organisatorischen, personellen und technischen Vorkehrungen zur Sicherstellung der Integrität, der Vertraulichkeit, der Authentizität und der Verfügbarkeit der Systeme angemessen sind und wirksam umgesetzt werden. Werden externe IKT-Ressourcen eingesetzt, erstrecken sich die Berichtspflichten auch auf diese Ressourcen.

Der Prüfer hat weiter zu beurteilen, ob das Institut die aufgeführten DORA-Vorgaben angemessen und wirksam einhältBund — Artikel 5 bis 14, 16 bis 19, 24, 25, 28 bis 30 und 45 Absatz 3, auch in Verbindung mit den darunter erlassenen Rechtsakten — unter Berücksichtigung des Verhältnismäßigkeitsgrundsatzes nach Artikel 4 der Verordnung (EU) 2022/2554. Die Beurteilung muss sich erstrecken auf das IKT-Risikomanagement und seinen dokumentierten Rahmen, die IKT-Geschäftsfortführungsleitlinie, die Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle, das Testen der digitalen operationalen Resilienz, das Management des IKT-Drittparteienrisikos sowie die Mitteilungspflicht zu Vereinbarungen über den Informationsaustausch. Daneben fragt § 12 Absatz 2 Nummer 4 nun, ob die Innenrevision nach Artikel 24 der Delegierten Verordnung (EU) 2017/565 eingerichtet ist und ihre Aufgaben wirksam wahrnimmt, und der neugefasste § 17 verlangt eine Beurteilung der Handelsbuch-Compliance nach Artikel 21 Absatz 2 der Verordnung (EU) 2019/2033 und Teil 3 Titel I Kapitel 3 der Verordnung (EU) Nr. 575/2013.

Für Schwarmfinanzierungsdienstleister spiegelt die Schwarmfinanzierungsdienstleister-Prüfungsverordnung die Änderung: § 2 nimmt die DORA-Pflichten in den Prüfungsumfang aufBund, der neue § 11a schreibt dieselbe IKT-Berichterstattung und Compliance-Beurteilung vor, sofern die DORA-Vorgaben nicht bereits nach § 78 Absatz 1 des Wertpapierinstitutsgesetzes oder nach § 29 des Kreditwesengesetzes zu prüfen sind, und die neue Nummer 32 der Anlage fügt die DORA-Artikel 5 bis 14, 16 bis 19, 23 bis 25, 28 bis 30 und 45 Absatz 3 zu den Prüfungsgebieten hinzu.

Beide DORA-bezogenen Regelungskomplexe sind erstmals auf Rechnungslegungsunterlagen und Prüfungen anzuwenden, die ein nach dem 31. Dezember 2024 beginnendes Geschäftsjahr betreffenBund; frühere Jahre bleiben unter den bisherigen Fassungen der beiden VerordnungenBund.

Die Wirtschaftsprüferkammer (WPK) wies am 15. September 2026 auf die Verordnung hin und stellt fest, dass sie die Prüferpflichten bei kleinen und mittleren Wertpapierinstituten sowie bei Schwarmfinanzierungsdienstleistern erweitert, mit entsprechend steigenden Prüferhonoraren. Die WPK hatte sich in der BaFin-Konsultation 2024 gegen die Erweiterung ausgesprochen.

Rechtsgrundlage: BaFin-Verordnung vom 26. August 2026 zur Änderung der Wertpapierinstituts-Prüfungsberichtsverordnung und der Schwarmfinanzierungsdienstleister-Prüfungsverordnung (BGBl 2026 I Nr. 256) zur Umsetzung der Verordnung (EU) 2022/2554 in der AbschlussprüfungBund.