Mapping

DORA ↔ MaRisk: Artikelfeine Zuordnung.

DORA-Anforderungen und MaRisk-Arbeitsbezüge fachlich abgrenzen, vorhandene Kontrollen gezielt wiederverwenden und verbleibende Entscheidungen nachvollziehbar dokumentieren.

Scope bestimmen

DORA-Anwendbarkeit und MaRisk-Einordnung getrennt dokumentieren.

Anker validieren

Rechtsgrundlage, Fassung und institutsbezogenen Bezug fachlich prüfen.

Wiederverwendung entscheiden

Kontrollen und Evidenz nur bei nachvollziehbarer Passung übernehmen.

Lücke steuern

Owner, Maßnahme, Termin, Review und verbleibende Abweichung festhalten.

Arbeitsmatrix

Anforderungen abgrenzen und zuordnen

Die Beziehungsklasse beschreibt die Art des Arbeitsbezugs. Sie ist kein Erfüllungs-, Reife- oder Wirksamkeitsstatus.

Keine passende Zuordnung. Suchbegriff oder Beziehungsklasse ändern.

Verbindliche Abgrenzungsentscheidungen

DORA bleibt Primärnorm

Ein MaRisk-Bezug ersetzt weder DORA-Scope noch DORA-spezifische Kontrollen oder Nachweise.

IKT-Service ist nicht automatisch Auslagerung

DORA-Drittdienstleistung und MaRisk-Auslagerung werden je Vertragsbeziehung getrennt beurteilt.

Gemeinsame Evidenz ist keine Gleichwertigkeit

Ein Dokument darf mehrere Anforderungen unterstützen; die Erfüllungsentscheidung bleibt anforderungsbezogen.

Weiterarbeiten

Von der Zuordnung in die Umsetzung

IKT-Risikoregister Risiken, Owner und Maßnahmen bearbeiten Sollmaßnahmenkatalog Anforderungen in Kontrollen übersetzen Nachweisworkflow Evidenz erfassen, prüfen und wiedervorlegen Informationsregister IKT-Drittbeziehungen operativ pflegen

Arbeitsstand: Die Zuordnung unterstützt Scope-, Kontroll- und Nachweisentscheidungen. Sie belegt weder Compliance noch Anforderungsgleichheit. Die exakten MaRisk-Anker sind vor institutsbezogener Verwendung gegen die aktuell maßgebliche Fassung und Aufsichtspraxis fachlich zu bestätigen.