DORA für Leasing- und Factoringinstitute
Die Frist läuft am 1. Januar 2027 ab. Ihr Haus baut ohne Verbundplattform und ohne Hausberater.
Was gilt
Mit dem Finanzmarktdigitalisierungsgesetz hat der deutsche Gesetzgeber DORA über § 1a KWG auf Institute ausgedehnt, die nicht in der Positivliste des Art. 2 DORA stehen. Die BaFin hat den Kreis mit ihrer Aufsichtsmitteilung vom 21. August 2025 konkretisiert: Finanzierungsleasing- und Factoringinstitute sind erfasst. Die Übergangsfrist endet am 31. Dezember 2026.
Was das konkret bedeutet
Vereinfachter Rahmen (Art. 16 DORA)
Ihr Haus fällt unter den vereinfachten IKT-Risikomanagementrahmen nach Art. 16 DORA. Die Artikel 5 bis 15 entfallen, ein Threat-Led Penetration Testing ist nicht verpflichtend.
Unverkürzt verpflichtend
- Das Vorfallsmeldewesen nach Art. 17 ff. DORA
- Das gesamte IKT-Drittparteienrisikomanagement nach Art. 28 ff. DORA, einschließlich Informationsregister, Dienstleisterbewertung und vertraglicher Mindestinhalte
Der Aufwand steckt fast vollständig in diesem zweiten Block. Wer nur den vereinfachten Rahmen liest und den Drittparteienteil unterschätzt, hat die Umsetzung falsch dimensioniert.
Warum das für Sie schwieriger ist als für eine Bank im Verbund
Sparkassen und Genossenschaftsbanken erhalten Musterrahmenwerke, vorbewertete Dienstleister und fertige Registerstrukturen aus ihren Verbundeinrichtungen. Für Leasing- und Factoringinstitute existiert das nicht. Die Branchenverbände leisten Interessenvertretung, sie produzieren keine Rahmenwerke. Ein dauerhaft begleitender Berater fehlt in den meisten Häusern ebenfalls.
Am Markt finden Sie Seminare und Beratung auf Tagessatzbasis. Was Sie nicht finden, ist ein fertiges Art. 16-Rahmenwerk, das Sie übernehmen und auf Ihr Haus zuschneiden können.
Was ich anbiete
Genau dieses Rahmenwerk, als Paket und mit Begleitung bis zur Abnahme:
- Vollständig dokumentierter IKT-Risikomanagementrahmen nach Art. 16 DORA, mit Leitlinien, Rollen, Verantwortlichkeiten und Prozessen
- Dienstleisterinventur und Aufbau des Informationsregisters nach Art. 28 DORA
- Bewertung Ihrer IKT-Dienstleister, einschließlich Einstufung kritischer oder wichtiger Funktionen
- Abgleich Ihrer Bestandsverträge gegen die Mindestinhalte des Art. 30 DORA, mit Klauselvorschlägen
- Vorfallsmelde- und Klassifizierungsprozess nach Art. 17 ff. DORA
- Negativabgrenzung: eine belegte Darstellung dessen, was Art. 16 für Ihr Haus gerade nicht verlangt
- Übergabe an Ihre Organisation, Workshops für Geschäftsleitung und Fachbereich, Vorbereitung auf die Prüfung nach § 29 KWG
Zum Zeitrahmen, offen gesagt
Bis zum 1. Januar 2027 bleiben rund dreieinhalb Monate. Ein Rahmenwerk von null braucht erfahrungsgemäß vier bis sechs Monate. Realistisch ist deshalb ein tragfähiger Kern bis Jahresende, also Rahmenwerksdokumentation, Informationsregister und Meldeprozess, und ein geordnetes Nachziehen der Vertragsanpassungen im ersten Quartal 2027.
Wer jetzt startet, kommt mit einer belegbaren Umsetzungshistorie in die Prüfung. Wer im Dezember startet, nicht mehr.
Wer das macht
Bjoern Birenti, Geschäftsführer der BIRENTI FINANCE COMPLIANCE UG (haftungsbeschränkt). Über 20 Jahre Erfahrung in Prüfung und Beratung im Finanzdienstleistungssektor, Schwerpunkt IKT-Drittparteienrisikomanagement, Auslagerungsmanagement und DORA. Bachelor of Laws.
Erstgespräch vereinbaren
30 Minuten, unverbindlich. Wir klären, wo Ihr Haus steht und was bis zur Frist realistisch umsetzbar ist.