Für kleine und mittlere Wertpapierinstitute sowie Schwarmfinanzierungsdienstleister wird die jährliche Prüfung umfangreicher. Der Grund: Die BaFin hat die Prüfungsverordnungen an die europäische DORA-Verordnung angepasst.
Was bedeutet das ganz praktisch?
Bisher denkt man bei einer Jahresprüfung vielleicht zuerst an Zahlen, Prozesse, Eigenmittel oder regulatorische Vorgaben.
Jetzt rückt die IT noch stärker in den Mittelpunkt. Der Wirtschaftsprüfer muss künftig im Prüfungsbericht ausdrücklich beurteilen, ob wesentliche Anforderungen der DORA-Verordnung (EU) 2022/2554 angemessen und wirksam eingehalten werden.
Geschäftsführer oder CFO eines Wertpapierinstituts? Dann geht es unter anderem um diese Fragen:
Wie ist Ihr IT-Risikomanagement organisiert?
Was passiert, wenn wichtige IT-Systeme ausfallen?
Wie werden Cyber- und andere IT-Vorfälle erkannt, klassifiziert und gemeldet?
Wird regelmäßig getestet, ob das Unternehmen einen IT-Ausfall tatsächlich verkraften kann?
Und besonders wichtig: Wie werden Risiken aus der Zusammenarbeit mit externen IT-Dienstleistern gesteuert?
Es reicht also nicht, entsprechende Richtlinien „in der Schublade“ zu haben. Der Prüfer muss auch beurteilen, ob die organisatorischen, personellen und technischen Maßnahmen angemessen sind und wirksam umgesetzt werden.
Auch ausgelagerte IT bleibt ein Thema. Cloud-Anbieter, externe Rechenzentren oder andere IT-Dienstleister liegen zwar außerhalb des eigenen Unternehmens – das damit verbundene Risiko aber nicht. § 15 Abs. 1 WpIPrüfbV stellt ausdrücklich klar, dass sich die Berichtspflichten des Prüfers auch auf externe IT-Ressourcen erstrecken.
Was wird konkret geprüft?
Der neue § 15 WpIPrüfbV nennt insbesondere:
– IKT-Risikomanagement nach Art. 5 bis 14 und 16 DORA
– Dokumentation des IKT-Risikomanagementrahmens
– Geschäftsfortführung bei IT-Störungen
– Behandlung, Klassifizierung und Meldung von IKT-Vorfällen
– Tests der digitalen operationalen Resilienz
– Management von Risiken durch externe IT-Dienstleister
– bestimmte Mitteilungspflichten
Für Schwarmfinanzierungsdienstleister enthält der neue § 11a Schwarmfinanzierungsdienstleister-Prüfungsverordnung (SchwarmfdPV) vergleichbare Anforderungen.
Und ab wann gilt das?
Das ist besonders interessant: Die neuen Prüfungsvorgaben betreffen bereits Geschäftsjahre, die nach dem 31. Dezember 2024 begonnen haben.
Geregelt ist dies in § 41 WpIPrüfbV beziehungsweise § 21 SchwarmfdPV. Die Änderungsverordnung wurde am 10. September 2026 im Bundesgesetzblatt 2026 I Nr. 256 veröffentlicht und trat am folgenden Tag in Kraft.
Mehr Prüfung bedeutet voraussichtlich auch mehr Aufwand
Die Wirtschaftsprüferkammer (WPK) hatte bereits im Konsultationsverfahren 2024 auf den zusätzlichen Prüfungsaufwand hingewiesen und sich gegen die Ausweitung des Prüfungsumfangs ausgesprochen. Nach Einschätzung der WPK wird sich dieser zusätzliche Aufwand auch in höheren Prüfungshonoraren niederschlagen.
Für betroffene Unternehmen heißt das deshalb: DORA ist nicht mehr nur ein Thema für die IT-Abteilung.
IT, Compliance, Risikomanagement, Geschäftsführung und Abschlussprüfer müssen spätestens jetzt zusammengedacht werden.
Denn was der Prüfer beurteilen muss, sollte bereits vor Prüfungsbeginn sauber dokumentiert und tatsächlich umgesetzt sein.
Rechtsgrundlagen:
Verordnung (EU) 2022/2554 (DORA)
§§ 15, 41 WpIPrüfbV
§§ 2, 11a, 21 SchwarmfdPV
BaFin-Verordnung vom 26. August 2026, BGBl. 2026 I Nr. 256