MiCA und DORA in einer gemeinsamen Akademie

Die Dialogagenda ändert nicht die Rechtslage

Der Umsetzungsdialog der Kommission (finance.ec.europa.eu) war für den 27. Oktober 2026 angesetzt. Auf der Agenda standen die Vereinfachung von MiCA und die Verhältnismäßigkeit bei DORA. Am 28. Oktober 2026 ist die Veranstaltung auf der zugehörigen Seite als beendet markiert; eine Zusammenfassung wird dort weiterhin für später angekündigt. Die Agenda ist weder mit veröffentlichten Ergebnissen noch mit einer neuen gesetzlichen Schulungspflicht gleichzusetzen.

Für eine Bank, die Kryptodienstleistungen entwickelt, stellt sich bei der Schulungsplanung eine konkrete Frage: Können Produktteam, Support, operativer Betrieb und Technik denselben Vorfall mit Auswirkungen auf Kunden bewältigen, ohne Zuständigkeitslücken zwischen den Abteilungen?

Eine gemeinsame Akademie braucht getrennte Übersichten der rechtlichen Pflichten

Artikel 2 von DORA (eur-lex.europa.eu) erfasst Kreditinstitute und nach MiCA zugelassene Anbieter von Kryptowerte-Dienstleistungen. Die Schulungsplanung sollte dennoch damit beginnen, dass die für Compliance zuständigen Juristen jeden Rechtsträger, die Einstufung der Vermögenswerte, die Dienstleistungen und die jeweils anwendbaren Vorschriften prüfen. Dabei sollte nicht unterstellt werden, dass für alle Partner oder Tätigkeiten dieselben Pflichten gelten.

Artikel 71 von MiCA (eur-lex.europa.eu) verpflichtet Anbieter von Kryptowerte-Dienstleistungen, Verfahren zur Bearbeitung von Beschwerden vorzuhalten und Beschwerden zu dokumentieren. MiCA-Schulungen sollten zeigen, wie die geltenden Richtlinien im Kundenkontakt praktisch anzuwenden sind: Produkte klar erklären, Beschwerden bearbeiten und über Eskalationen entscheiden.

Wie EIOPA (eiopa.europa.eu) erläutert, schreibt Artikel 13 Absatz 6 von DORA bereits verpflichtende Schulungen für Mitarbeitende und die Führungsebene zum Sicherheitsbewusstsein im IKT-Bereich und zur operationalen Resilienz vor. Ihr Umfang muss zur jeweiligen Funktion passen. DORA-Schulungen müssen deshalb je nach Rolle unterschiedlich tief ins Thema gehen. Ein technischer Kurs, der nur der IT zugewiesen wird, reicht nicht.

Vier rollenbezogene Lernpfade machen Übergaben überprüfbar

Die vorgeschlagene Matrix „Rolle × Tätigkeit × Nachweis“ legt für jeden Lernpfad eine eigene Aufgabe, ein Ergebnis und die Zuständigkeit für Eskalationen fest.

• Produktteam und Support erklären, wo die Grenzen der Dienstleistung liegen, und bearbeiten Beschwerden. Als Nachweise dienen ein Antwortentwurf und die korrekte Übergabe an die für Beschwerden zuständige Stelle.
• Der operative Betrieb gleicht betroffene Transaktionen ab und bewertet die Auswirkungen auf den Service. Als Nachweise dienen ein geprüftes Abweichungsprotokoll und die Eskalation an die Vorfallsleitung.
• Die Teams für Sicherheit und IKT untersuchen die Störung und prüfen Möglichkeiten zur Wiederherstellung. Als Nachweise dienen eine Chronologie des Vorfalls und die Übergabe an die benannte Stelle, die für die Einstufung zuständig ist.
• Compliance und Risikomanagement prüfen, welche Pflichten gelten. Als Nachweise dienen eine begründete Entscheidung und die Eskalation über die autorisierte Meldestelle.

Eine Störung zeigt, wo sich Zuständigkeiten trennen

Ein hypothetischer Fall: Eine Störung des Verwahrdienstes verzögert Auszahlungen, während sich Kunden beschweren. Der Support formuliert eine sachlich korrekte Information zum aktuellen Stand, ohne einen noch unbestätigten Zeitpunkt für die Wiederherstellung zuzusagen. Der operative Betrieb ermittelt die betroffenen Transaktionen. Das IKT-Team sichert Nachweise und bewertet Möglichkeiten zur Wiederherstellung. Die benannte meldeverantwortliche Stelle wendet die freigegebenen Schwellenwerte für die Einstufung an.

Die Übung sollte zu miteinander verknüpften, aber getrennten Aufzeichnungen über Beschwerden und Vorfälle führen. Bewertet wird, welche Informationen fehlen, wer zuständig ist und wie eskaliert wird – nicht, ob alle dieselben Definitionen auswendig kennen. So greifen Compliance-Schulungen im Kryptobereich und Schulungen zur operationalen Resilienz bei den Übergaben ineinander.

Versionen von Richtlinien gehören in die Nachweiskette

Die MiCA-Vorgaben zur Geschäftsfortführung (eur-lex.europa.eu) verlangen, dass die betroffenen Beschäftigten über Änderungen an den entsprechenden Richtlinien informiert werden. Der vorgeschlagene Ablauf für die Akademie sollte jede Änderung mit den betroffenen Lerneinheiten, Rollenzuordnungen und Entscheidungen über erneute Prüfungen verknüpfen.

Die Lerndokumentation sollte die lernende Person, ihre Rolle, die Richtlinienversion und ihre Antwort auf die Aufgabe festhalten. Auch die bewertende Person und Maßnahmen zur Behebung von Defiziten gehören dazu. Mit App-Learning ließen sich diese Lernpfade in rollenbasierten internen Akademien organisieren und Lernfortschritte nachvollziehbar dokumentieren. Die Auslegung rechtlicher Vorgaben, die Verantwortung für Kontrollen und das Melden von Vorfällen blieben bei den dafür benannten Stellen der Bank.

Ein 30-tägiges Pilotprojekt testet das Betriebsmodell

1. Tag 1–7 – Bestätige den Anwendungsbereich und die Verantwortlichen für eine Kryptodienstleistung.
2. Tag 8–14 – Erstelle vier kurze rollenbezogene Lernpfade und stimme die Bewertungskriterien für jede Aufgabe ab.
3. Tag 15–21 – Führe die gemeinsame Übung zum Störungsfall durch und dokumentiere die individuellen Entscheidungen.
4. Tag 22–30 – Prüfe Verzögerungen bei Übergaben, Bewertungsfehler und ungeklärte Zuständigkeiten. Überarbeite anschließend das Modell und teste es erneut.

Das Pilotprojekt ist erfolgreich, wenn die Bank zeigen kann, wer das Problem erkannt hat, wer gehandelt hat und warum die Übergabe korrekt war. Eine gemeinsame Infrastruktur ist sinnvoll. Unklare Zuständigkeiten zwischen den Abteilungen sind es nicht.