Operationale Resilienz nach DORA für Anbieter von Kryptowerte-Dienstleistungen mit Zulassung nach MiCA

Geltendes Recht

Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025, und nach MiCA zugelassene Anbieter von Kryptowerte-Dienstleistungen stehen auf ihrer Liste der Finanzunternehmen, neben Banken, Zahlungsinstituten und Wertpapierfirmen. Die Architektur ruht auf fünf Säulen: einem dokumentierten IKT-Risikomanagementrahmen mit ausdrücklicher Verantwortung des Leitungsorgans; der harmonisierten Klassifizierung IKT-bezogener Vorfälle und der Meldung der schwerwiegenden; Tests der digitalen operationalen Resilienz, die der Grösse und dem Risikoprofil des Unternehmens angemessen sind; dem Management des IKT-Drittparteienrisikos, einschliesslich zwingender Vertragsbestimmungen und eines Informationsregisters zu sämtlichen vertraglichen Vereinbarungen über IKT-Dienstleistungen; und dem freiwilligen Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen. Das Register ist keine einmalige Übung: Die Europäischen Aufsichtsbehörden (ESA) haben im April 2025 begonnen, die Informationsregister über die nationalen Behörden einzusammeln, und die ESA stufen kritische IKT-Drittdienstleister für die direkte Überwachung auf EU-Ebene ein. All das gilt für einen zugelassenen CASP schon heute.

Weshalb die Drittparteien-Säule CASPs am stärksten trifft

Auch Banken lagern in grossem Umfang aus: Die EZB hält in ihrer Auswertung von 2025 zu den Auslagerungsregistern der beaufsichtigten Banken fest, dass fast alle für kritische Funktionen Cloud-Verträge haben und dass die meisten extern ausgelagerten kritischen Funktionen schwer zu ersetzen wären. Der Unterschied bei einem typischen CASP liegt in der Ausgangslage. Die Produktivsysteme selbst sind eingekauft: Cloud-Infrastruktur, Zugang zu Blockchain-Nodes und RPC, Verwahrtechnologie, Wallet-Infrastruktur, Screening-Tools und Marktdaten-Feeds, oft von einer kleinen Zahl von Anbietern, die sich die ganze Branche teilt, und ohne ein gewachsenes eigenes Kernsystem des Unternehmens darum herum. Das Supervisory Briefing der ESMA zur Zulassung von CASPs behandelt die Auslagerung von Schlüsselfunktionen und der IKT-Infrastruktur als Grund für eine vertiefte Prüfung und verweist die nationalen Behörden für deren Beurteilung auf DORA.

Unter der Drittparteien-Säule von DORA hat das drei Folgen. Das Informationsregister wird faktisch zu einer Landkarte des gesamten Geschäfts, und seine erste vollständige Zusammenstellung zeigt, wie viele einzelne Ausfallpunkte (Single Points of Failure) das Geschäft enthält. Es folgt die Anpassung der Verträge: DORA schreibt für jede Vereinbarung über IKT-Dienstleistungen einen vertraglichen Mindestinhalt vor, nämlich Leistungsbeschreibung, Datenstandort und Datenschutz, Rückgabe der Daten bei Insolvenz oder Vertragsbeendigung, Beschreibungen der Dienstleistungsgüte, Unterstützung bei Vorfällen, Zusammenarbeit mit den Behörden und Kündigungsrechte. Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, gilt eine zweite Stufe; sie fügt vollständige quantitative Angaben zur Dienstleistungsgüte, Zugangs-, Inspektions- und Auditrechte, Tests der Notfallpläne und Ausstiegsregelungen hinzu, und für diese zweite Stufe sind Ausstiegsstrategien erforderlich. Ein grosser Teil der Lieferanten im Kryptomarkt regelt seine Vertragsbeziehungen noch zu Start-up-Bedingungen, die dem nicht genügen. Die Konzentrationsanalyse wird konkret, wenn Ihre Verwahrtechnologie, Ihr Node-Zugang und Ihre Cloud alle auf Abhängigkeiten zurückgehen, die gemeinsam ausfallen könnten. Wird ein Anbieter auf EU-Ebene als kritisch eingestuft, trifft die Überwachung den Anbieter; die praktische Wirkung erreicht Sie aber über neu gefasste Verträge und veränderte Konditionen.

Verhältnismässigkeit innerhalb des Rahmens

DORA ist abgestuft. Der Rahmen, das Testprogramm und die Dokumentation sind ausdrücklich auf die Grösse, das Risikoprofil und die Kritikalität der unterstützten Funktionen abgestimmt, und von einem CASP mit zehn Personen wird nicht das Resilienzprogramm einer globalen Bank erwartet. Die Verordnung nimmt zudem Kleinstunternehmen (weniger als zehn Beschäftigte und höchstens EUR 2 Millionen Umsatz oder Bilanzsumme) von bestimmten Pflichten aus: vom umfassenden Testprogramm und dessen jährlichem Minimum, von bedrohungsorientierten Penetrationstests, von Szenarien für Cyberangriffe in den Tests der Geschäftsfortführung und von der Zusammenrechnung wiederholter Vorfälle; risikobasierte Tests und der übrige Rahmen bleiben Pflicht. Darüber hinaus ist die Verhältnismässigkeit ein Argument, das Sie innerhalb des Rahmens führen. Das IKT-Risiko bleibt in der Verantwortung des Leitungsorgans; jeder Vorfall wird erfasst und klassifiziert, und die schwerwiegenden, also jene, die kritische Dienste betreffen und die Wesentlichkeitsschwellen des Klassifizierungsstandards der Kommission überschreiten, werden innert der Fristen dieses Standards gemeldet; das Register besteht weiterhin und wird weiterhin eingesammelt. In der Aufsichtspraxis führt ein verhältnismässiges Programm mit Lücken zu einer Beanstandung; ein fehlendes Programm ist ein Zulassungsproblem, und bei Antragstellern verweist die ESMA die nationalen Behörden auf DORA, wenn sie in der Zulassungsprüfung die IKT-Auslagerung beurteilen.

Die Arbeitsliste

Fünf Punkte decken den grössten Teil ab. Bauen Sie das Informationsregister als gepflegten Prozess mit einer verantwortlichen Person auf, der auch zwischen den Stichtagen aktuell bleibt. Nehmen Sie die Anpassung der Verträge anhand der zwingenden Klauseln von DORA vor, beginnend mit den Lieferanten, die kritische Funktionen unterstützen, und nehmen Sie in Kauf, dass Sie auf einzelne Krypto-Lieferanten Druck ausüben oder sie ersetzen müssen. Schreiben Sie das Verfahren für Vorfälle: Jeder Vorfall wird erfasst; die Klassifizierung erfolgt anhand der Kriterien und Wesentlichkeitsschwellen der Delegierten Verordnung (EU) 2024/1772, die darüber entscheiden, ob ein Vorfall schwerwiegend ist; für schwerwiegende Vorfälle gelten die Fristen der Delegierten Verordnung (EU) 2025/301, also eine Erstmeldung innert vier Stunden nach der Klassifizierung und spätestens 24 Stunden nach Kenntnisnahme, eine Zwischenmeldung innert 72 Stunden und eine Abschlussmeldung innert eines Monats; dazu kommen die interne Eskalation und ein Kommunikationsweg zur Aufsichtsbehörde, der einmal getestet wurde, bevor er gebraucht wird.

Legen Sie einen Testkalender fest, der Ihrem Profil angemessen ist und die gesetzliche Untergrenze enthält: Sofern Sie kein Kleinstunternehmen sind, wird jedes IKT-System, das eine kritische oder wichtige Funktion unterstützt, mindestens einmal jährlich getestet; dokumentieren Sie, weshalb der übrige Kalender verhältnismässig ist. Und bereiten Sie Ausstiegsstrategien für die Abhängigkeiten vor, deren Verlust Sie sich nicht leisten können, denn eine Cloud-Migration ist erst dann ein Plan, wenn sie Schritte, Verantwortliche und ein getestetes Backup hat.

Ein Hinweis zur Schweiz für Gruppen: Die Schweiz kennt kein direkt vergleichbares, allgemein anwendbares Resilienzgesetz (das FINMA-Rundschreiben 2023/1 zu operationellen Risiken und Resilienz stellt Resilienzanforderungen an Banken und die übrigen von der FINMA beaufsichtigten Institute in seinem Geltungsbereich). Die EU-Einheiten einer Schweizer Gruppe tragen die Pflichten aus DORA deshalb allein, und IKT-Vereinbarungen der Gruppe, die über die Schweizer Muttergesellschaft laufen, gehören in das Register und die Verträge der EU-Einheit.

Was das für Sie bedeutet

• Antragsteller: Planen Sie DORA in die Zulassung ein. Die Vorbereitung auf die operationale Resilienz gehört zum Zulassungsgespräch, und Nachrüsten kostet mehr als der Einbau von Anfang an.
• Stellen Sie das Register vollständig zusammen, und fassen Sie dann die Verträge mit den kritischen Lieferanten neu. Das Register wird Ihr Konzentrationsrisiko zeigen, und Sie sollten es sehen, bevor die Aufsichtsbehörde es sieht; danach folgen Klauseln zu Zugang, Audit, Ausstieg und Dienstleistungsgüte nach DORA-Standard, zuerst dort, wo ein Ausfall am meisten schadet.
• Testen Sie die Vorfallkette einmal. Ein Probelauf von Klassifizierung, Eskalation und Meldung deckt die Lücken auf, die ein Weisungsdokument verbirgt.
• Machen Sie die Verhältnismässigkeit zu einem dokumentierten Argument. Die Grösse bestimmt den Zuschnitt des Programms, und nur ein Kleinstunternehmen ist von bestimmten Pflichten ausgenommen; halten Sie schriftlich fest, weshalb Ihr Programm zu Ihrem Risiko passt.

Isak Legal berät Anbieter von Kryptowerte-Dienstleistungen und Fintechs zur Vorbereitung auf DORA, zur Anpassung von IKT-Verträgen und zum Zusammenspiel der Pflichten aus MiCA, Geldwäscherecht und Resilienz in einem einzigen Programm. Mehr dazu auf unseren Seiten Digital Assets und Finanzmarktregulierung, oder nehmen Sie Kontakt auf.

Dieses Client Update dient ausschliesslich der allgemeinen Information, gibt den Stand vom 26. September 2026 wieder und stellt weder eine Rechtsberatung dar noch begründet es ein Mandatsverhältnis. Die technischen Standards und die Erwartungen der Aufsicht unter DORA entwickeln sich weiter; prüfen Sie die aktuellen Texte anhand der oben verlinkten offiziellen Quellen, bevor Sie handeln. Für die Beratung in einer konkreten Angelegenheit nehmen Sie bitte Kontakt mit uns auf.