Digitale Systeme sind heute fester Bestandteil nahezu aller Geschäftsmodelle im Finanzsektor. Neben klassischen IT-Systemen werden auch dezentrale Technologien wie die Blockchain wichtiger. Das gilt nicht nur für Kryptodienstleister – auch traditionelle Wertpapieranbieter kommen nicht ohne sie aus.
Mit der Verordnung über die digitale operationale Resilienz (Dora) schuf die Europäische Union (EU) am 17. Januar 2025 einen Rahmen, der die Sicherheit der IT-Systeme stärkt. Dora betrifft auch Unternehmen, die dezentrale Technologien einsetzen. Daraus ergeben sich neue Fragen an die Organisation, die Risikosteuerung und die Verantwortlichen im Umgang mit digitaler Infrastruktur.
Für wen die Dora-Verordnung gilt
Die Dora-Verordnung richtet sich an eine breite Gruppe regulierter Finanzunternehmen in der gesamten EU. Dazu zählen unter anderem Kreditinstitute, Wertpapierfirmen, Versicherungsunternehmen, Zahlungsdienstleister, E-Geld-Institute, Handelsplätze und Verwalter alternativer Investmentfonds.
Darüber hinaus erfasst Dora auch Dienstleister von Kryptowerten, sowie Emittenten vermögensbindender Token (Asset-Referenced Token, ART). Der deutsche Gesetzgeber wendet Dora zudem auf nationale, erlaubnispflichtige Finanzdienstleister an. Hierzu zählen etwa Registerführer von Kryptowertpapieren sowie Factoring- und Leasinginstitute. Dora gilt hier über einen Verweis im Kreditwesengesetz in vereinfachter Form und zum überwiegenden Teil erst ab 2027.
Vollständig dezentralisierte Finanzplattformen (Defi) fallen nicht unter Dora, da diese nicht von einem regulierten Finanzdienstleister betrieben werden. Gleiches gilt für andere Kryptoinnovationen ohne zentrale, regulierte Anlaufstelle.
Anonymität der Blockchain als Hürde
Die Anforderungen an Governance-Strukturen im Finanzsektor beruhen traditionell auf klaren Zuständigkeiten, nachvollziehbaren Entscheidungswegen und einer zentralen Koordination. Dora knüpft an dieses Verständnis an und verlangt, dass Finanzunternehmen Verantwortung für den sicheren und stabilen Betrieb ihrer digitalen Systeme übernehmen.
Sie müssen Verfahren einführen, um Systeme der Informations- und Kommunikationstechnologie (IKT) adäquat zu schützen und ungewöhnliche Aktivitäten zu identifizieren. Zusätzlich sollen sie Lösungswege für IKT-Zwischenfälle erarbeiten. Schließlich bedarf es einer Meldestruktur, über die Zwischenfälle der zuständigen Behörde angezeigt werden können.
Schwindende Governance in dezentralen Strukturen
Dieses Verständnis von Governance stößt in dezentralen Technologien allerdings an Grenzen. Entscheidungen werden hier über technische oder gemeinschaftliche Prozesse verteilt. Betreiber, Nutzer und Dienstleister lassen sich oft nicht eindeutig unterscheiden.
Dies wirft Fragen auf: Wer ist für die Entscheidungen verantwortlich? Wer steuert die technischen Abläufe? Wie sind externe Verläufe in unternehmensinterne Prozesse eingebunden?
Viele Blockchain-Applikationen basieren auf Smart Contracts. Das sind kleine Computerprogramme, die automatisch Funktionen ausführen. Dabei handelt es sich um IKT-Assets im Sinne von Dora. Finanzunternehmen müssen daher prüfen, welche Risiken von ihnen ausgehen.
Bei einem Update der Smart Contracts muss die Risikobewertung möglicherweise angepasst werden. Allgemeine Standards der Aufsichtsbehörden für Smart Contracts existieren bislang jedoch nicht.
Es wird deutlich, dass sich das Verständnis von Governance im Kontext dezentraler Technologien weiterentwickeln muss. Entscheidend ist, welche technischen Abläufe ein Unternehmen selbst steuern kann, und wo es sich auf öffentlich zugängliche IKT-Infrastrukturen verlässt. Die jeweiligen technischen und organisatorischen Gegebenheiten müssen deswegen differenziert betrachtet werden.
Externe IT-Dienstleister unter Dora
Ziel von Dora ist die Kontrolle von Risiken – auch solcher, die durch ausgelagerte IT-Dienstleistungen entstehen. Finanzunternehmen müssen sicherstellen, dass auch externe Technologien ein angemessenes Maß an Kontrolle, Transparenz und Sicherheit besitzen. Dies gilt insbesondere in Bezug auf IKT-Drittdienstleister. Das sind Anbieter, die digitale Dienste oder technische Infrastrukturen für Finanzunternehmen bereitstellen.
In klassischen Auslagerungsszenarien lassen sich diese Dienstleister in der Regel vertraglich binden und überwachen. Die Blockchain ist anonymer. Das verantwortliche Drittunternehmen lässt sich oft nicht eindeutig bestimmen.
In der Regel entwickeln und betreiben Finanzunternehmen keine eigenen Blockchains. Stattdessen verlassen sie sich auf die gängigen Protokolle von Ethereum oder Polygon, das als Layer-2-Lösung fungiert. Damit sind sie auf externe Anbieter angewiesen und müssen genau prüfen, wer hier als IKT-Drittdienstleister handelt.
Die einzelnen Betreiber von Blockchain-Knotenpunkten (Node Operators) schließen keinen Vertrag mit dem Finanzunternehmen ab. Offen bleibt, wer zuständig ist. Das Risiko lässt sich demnach schlecht einordnen.
Die technische Abhängigkeit von einer Blockchain ohne eindeutig Verantwortliche ist ein Risiko. Risikomindernd wirkt dagegen die technische Robustheit: Offene und dezentrale Blockchains gelten gemeinhin als besonders widerstandsfähig.
Dora schränkt Produktinnovationen ein
Die Umsetzung von Dora kann sich auf die Anzahl neuer Produkte auswirken. Insbesondere kleinere Anbieter sehen sich mit einem erhöhten organisatorischen und technischen Aufwand konfrontiert. Dieser gesteigerte Compliance-Aufwand könnte Gründende davon abhalten, ihre Ideen in die Tat umzusetzen und Innovation bremsen.
Gleichzeitig schafft der einheitliche Rechtsrahmen mehr Klarheit und Vertrauen – ein entscheidender Faktor für die Akzeptanz digitaler Finanzprodukte. Diese Verlässlichkeit wiederum kann Innovation fördern. Vor diesem Hintergrund bildet Dora den strukturellen Rahmen für die Weiterentwicklung digitaler Finanzinnovationen. Die zentrale Herausforderung besteht darin, technologische Offenheit und regulatorische Stabilität in Einklang zu bringen.
Einheitlicher Rahmen für digitalen Finanzsektor
Mit Dora hat die EU einen einheitlichen Rahmen geschaffen, um die digitale Resilienz des Finanzsektors zu stärken. Fraglich bleibt, wie sich einzelne Kriterien technisch umsetzen lassen. Auch müssen klassische Governance- und Kontrollmechanismen auf neue Strukturen übertragen werden. Finanzunternehmen müssen dezentrale IKT-Infrastruktur und zentrale IKT-Dienstleister abgrenzen und die daraus entstehenden Konsequenzen bewerten.
Blockchain, Smart Contracts und offene Netzwerke in der Finanzindustrie sind herausfordernd: Die Verantwortlichen müssen identifiziert werden, technische Einflüsse bewertet und externe Fortschritte eingebunden werden. Es entsteht ein Spannungsfeld, in dem sich neue Lösungen entwickeln können – vorausgesetzt, die rechtlichen und technischen Rahmenbedingungen werden frühzeitig zusammengelegt.
Über die Gastautoren:
Johannes Wirtz ist Partner in der Gruppe Finance & Financial Regulation bei Bird & Bird. Er berät nationale und internationale Mandanten zu Fragen der Bankenregulierung und des Finanzrechts – mit besonders Fokus auf Fintechs, Insurtechs und Regtechs. Seine Expertise umfasst Lizenzverfahren, aufsichtsrechtliche und Investmentstrukturen sowie Geldwäscheprävention.
Michael Jünemann ist Partner und Co-Head der internationalen Gruppe Finance & Financial Regulation sowie Leiter der deutschen Finance & Financial Regulation Praxisgruppe bei Bird & Bird. Er berät nationale und internationale Mandanten im Finanz- und Kapitalmarktrecht sowie im Wirtschafts- und Gesellschaftsrecht. Seine Expertise umfasst grenzüberschreitende Finanztransaktionen, Restrukturierungen und Projektfinanzierungen in über 50 Jurisdiktionen. Besondere Schwerpunkte seiner Arbeit liegen in den Bereichen Fintech, Insurtech und Regtech.