DORA für US-Unternehmen mit Geschäftstätigkeit in Luxemburg

Luxemburg ist der Ort, an dem amerikanische Vermögensverwalter ihre europäische Fondspalette führen, und die Zahlen sind nicht marginal. In der CSSF-Statistik zur Herkunft der Initiatoren zum 30. Juni 2026 entfallen auf in den USA ansässige Initiatoren 1.309,608 Mrd. EUR Nettovermögen und damit mehr als auf das Vereinigte Königreich und Deutschland: 19,4 % der 6.731,325 Mrd. EUR, die Luxemburger Organismen für gemeinsame Anlagen halten. Nach Zahl der Fonds liegt Deutschland vorn, nach Volumen die USA.

Der Anwendungsbereich von DORA richtet sich nach der eigenen EU-Zulassung der Einheit. Artikel 2 Absatz 1 zählt Verwalter alternativer Investmentfonds und Verwaltungsgesellschaften zu den erfassten Unternehmen: Ein Luxemburger AIFM oder eine ManCo im Besitz eines US-Konzerns fällt eigenständig in den Anwendungsbereich, und die Nationalität der Muttergesellschaft ändert daran nichts.

Die jüngste Entwicklung ist die, die die meisten US-Konzerne noch nicht eingepreist haben. Im Anschluss an ein DORA-Q&A der Europäischen Kommission vom 17. Dezember 2025 veröffentlichte die CSSF am 27. August 2026 das Rundschreiben 26/915: Zweigniederlassungen aus Drittstaaten in Luxemburg fallen unter DORA, wenn ihre Hauptniederlassung als eines der in Artikel 2 Absatz 1 Buchstaben a bis t genannten Unternehmen gelten würde. Das Rundschreiben gilt mit sofortiger Wirkung, bezieht diese Zweigniederlassungen in die Rundschreiben 25/882, 25/892 und 25/893 ein und nimmt sie aus dem alten Regime für IKT-Auslagerungen heraus.

DORA ist die Verordnung (EU) 2022/2554, verabschiedet am 14. Dezember 2022. Sie trat am 16. Januar 2023 in Kraft und gilt seit dem 17. Januar 2025; die Übergangszeit liegt also hinter uns: Es geht um laufende Aufsicht, nicht mehr um Vorbereitung.

Die fünf Säulen, von denen alle sprechen, sind schlicht die Kapitel II bis VI der Verordnung: IKT-Risikomanagement; Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle; Testen der digitalen operationalen Resilienz; Management des IKT-Drittparteienrisikos sowie Vereinbarungen über den Austausch von Informationen.

Zwei nützliche Feinheiten, die in Anbieterpräsentationen untergehen. Erstens sind bedrohungsorientierte Penetrationstests (Threat-Led Penetration Testing, Artikel 26) keine allgemeine Pflicht: Nur Unternehmen, die von ihrer zuständigen Behörde bestimmt werden, müssen sie durchführen, dann mindestens alle drei Jahre und an produktiven Live-Systemen. Zweitens ist der Informationsaustausch (Artikel 45) in der Sache freiwillig, enthält aber einen verpflichtenden Schritt: Sie müssen der Behörde melden, wenn Sie einer solchen Vereinbarung beitreten und wenn Sie sie verlassen.

Das ist der Punkt, der US-Konzerne am häufigsten überrascht. DORA definiert in Artikel 3 Nummer 19 einen IKT-Drittdienstleister schlicht als ein Unternehmen, das IKT-Dienstleistungen bereitstellt. Artikel 3 Nummer 20 definiert dann einen gruppeninternen IKT-Dienstleister als ein Unternehmen innerhalb der Finanzgruppe, das IKT-Dienstleistungen für Unternehmen derselben Gruppe erbringt, ausdrücklich einschließlich Mutterunternehmen, Tochterunternehmen und Zweigniederlassungen.

Erwägungsgrund 31 verbaut jeden Ausweg: Gruppeninterne IKT-Dienstleistungen sollten nicht automatisch als weniger riskant gelten als Dienstleistungen von außerhalb der Gruppe und sollten demselben Regelungsrahmen unterliegen. Nutzt Ihre Luxemburger ManCo ein Rechenzentrum, einen Servicedesk oder eine Anwendungsplattform, die von der US-Muttergesellschaft betrieben werden, dann ist das eine vertragliche Vereinbarung, deren Dokumentation DORA erwartet.

Der Standard für das Informationsregister, die Durchführungsverordnung (EU) 2024/2956 der Kommission, baut genau auf dieser Annahme auf. Die Vorlage B_02.03 existiert eigens, um gruppeninterne Vereinbarungen mit Vereinbarungen mit Anbietern außerhalb der Gruppe zu verknüpfen, und die Lieferketten-Vorlage B_05.02 verlangt, dass Sie mindestens den ersten Unterauftragnehmer außerhalb der Gruppe benennen, selbst wenn der Dienst keine kritische oder wichtige Funktion unterstützt.

Und Artikel 28 Absatz 1 Buchstabe a schließt die Lücke: Das Finanzunternehmen bleibt jederzeit in vollem Umfang für die Einhaltung verantwortlich. Sie können die Pflicht nicht nach oben an die Muttergesellschaft delegieren, die den Dienst erbringt.

Die Frist für Vorfälle ist der schärfste kulturelle Unterschied. Nach Artikel 5 der Delegierten Verordnung (EU) 2025/301 der Kommission ist die Erstmeldung eines schwerwiegenden IKT-bezogenen Vorfalls so früh wie möglich fällig, in jedem Fall innerhalb von vier Stunden nach seiner Einstufung als schwerwiegend und spätestens 24 Stunden, nachdem man von ihm Kenntnis erlangt hat. Die Zwischenmeldung folgt innerhalb von 72 Stunden nach dieser Erstmeldung, die Abschlussmeldung innerhalb eines Monats nach der Zwischenmeldung. Jede Frist läuft ab der vorherigen Meldung, nicht ab dem Vorfall.

Vergleichen Sie das mit der Regel für börsennotierte US-Unternehmen, die die meisten amerikanischen Konzerne verinnerlicht haben: ein Form 8-K nach Item 1.05 innerhalb von vier Geschäftstagen, nachdem ein Vorfall als wesentlich eingestuft wurde. Vier Stunden gegenüber vier Geschäftstagen ist kein gradueller Unterschied: Es ändert, wer erreichbar sein muss, und wann.

Die zweite Frist ist das Informationsregister. Nach der dauerhaft geltenden Regel des Rundschreibens CSSF 25/882 umfasst das Register für das Jahr n alle bis zum Ende dieses Jahres geschlossenen Vereinbarungen und wird zwischen dem 28. Februar und dem 31. März des Jahres n+1 eingereicht. Für den Zyklus 2026 öffnete die CSSF das eDesk-Fenster vom 11. Februar bis zum 31. März 2026 mit dem Stichtag 31. Dezember 2025 und warnte, dass die Validierungsprüfungen der ESAs auf mehr Datenfelder angewandt würden als im Vorjahr: Ein Register, das in einem Jahr akzeptiert wurde, kann im nächsten abgelehnt werden.

Ein US-Konzern hätte vernünftigerweise annehmen können, dass sich die heimischen Cyber-Regeln an DORA annähern würden. Das ist nicht geschehen. Am 17. Juni 2025 zog die SEC offiziell vierzehn vorgeschlagene Regelungsvorhaben zurück und erklärte, sie beabsichtige nicht, dazu endgültige Regeln zu erlassen. Zu den zurückgezogenen Vorhaben gehören sowohl der Vorschlag vom März 2022 zum Cybersicherheits-Risikomanagement für Investment Advisers, registrierte Investmentgesellschaften und BDCs als auch der Vorschlag vom April 2023 für Broker-Dealer und andere Marktteilnehmer. Eine Suche nach Cybersicherheits-Regelungsvorhaben im Federal Register von diesem Datum bis zum 30. August 2026 ergibt keinen Ersatz.

Die praktische Folge für einen US-Vermögensverwalter ist ein zweigeteiltes Haus: Die amerikanischen Einheiten arbeiten unter einem auf Offenlegung ausgerichteten Regime, das auf Wesentlichkeit und Anleger zielt, die Luxemburger Einheit unter einem auf Resilienz ausgerichteten Regime, das auf die Aufsicht zielt, mit harten operativen Fristen, einem vertraglichen Register und Testpflichten. Wer mit einer einzigen globalen Richtlinie arbeitet und hofft, dass sie beiden genügt, merkt mitten in einem Vorfall, dass sie es nicht tut.

Das Luxemburger DORA-Gesetz vom 1. Juli 2024 benennt zwei zuständige nationale Behörden: die CSSF für Finanzunternehmen und das Commissariat aux Assurances für Versicherungs- und Rückversicherungsunternehmen, das seine eigene Zuständigkeit in seinem Rundschreiben 25/1 vom 14. Januar 2025 bestätigt hat.

Für von der CSSF beaufsichtigte Unternehmen wird das Informationsregister über das eDesk-Portal als einfache CSV-Dateien in einem ZIP-Archiv eingereicht, gemäß der von den ESAs festgelegten Ordnerstruktur und Namenskonvention. Die Meldung von Vorfällen und erheblichen Cyberbedrohungen läuft über das eDesk-Verfahren nach dem Rundschreiben CSSF 25/893 vom 27. Mai 2025 oder über die API der CSSF.

Das Rundschreiben CSSF 25/883 vom 9. April 2025 hat neu geregelt, wie das alte Auslagerungsregime mit DORA zusammenwirkt: Für die betroffenen Unternehmen regelt Teil I des Rundschreibens 22/806 weiterhin Auslagerungen außerhalb der IKT, während der Teil zu IKT-Auslagerungen DORA weicht. Wenn Ihre Luxemburger Governance-Dokumente IKT-Auslagerungen noch allein nach 22/806 beschreiben, sind sie veraltet.

Noch ein letzter Hinweis für das Board: Am 18. November 2025 veröffentlichten die Europäischen Aufsichtsbehörden die erste Liste der als kritisch eingestuften IKT-Drittdienstleister nach Artikel 31 Absatz 9. Neunzehn Anbieter wurden benannt. Hängt Ihre Plattform von einem davon ab, findet die Überwachung dieses Anbieters nun auch auf Unionsebene statt, nicht nur über Ihren eigenen Vertrag.