DORA Quick-Start
DORA-Arbeitsfähigkeit in 30 Tagen aufbauen.
Ein 30-Tage-Mobilisierungsplan für Compliance, Risikomanagement, Fachbereiche und IKT mit klaren Ergebnissen und Evidenzgrenzen.
Hinweis: Diese Seite stellt eine originäre Zusammenstellung praktischer Umsetzungshinweise für DORA dar. Sie dient ausschließlich der internen Strukturierung und Planung und erhebt keinen Anspruch auf Vollständigkeit oder Rechtsverbindlichkeit. Es wird keine Rechtsberatung angeboten.
Management-Zusammenfassung
- Tag 1–7: Scope und Governance — Rechtsträger, regulierte Tätigkeiten, Ausnahmen, Verhältnismäßigkeit und Verantwortungen dokumentieren.
- Tag 8–14: Funktionen und Abhängigkeiten — kwF-Entscheidungen mit Services, Prozessen, IKT-Assets und Dienstleistern verknüpfen.
- Tag 15–21: Kontroll- und Nachweisbasis — anwendbare Anforderungen, Evidenzverantwortliche und belegte Lücken erfassen.
- Tag 22–28: Tests und Maßnahmen — risikobasiertes Testprogramm und priorisierten Maßnahmenbestand aufbauen.
- Tag 29–30: Leitungsentscheid — Status, offene Annahmen, Restrisiken, Ressourcen und nächste Entscheidungen vorlegen.
Entscheidung 01
Scope und Verhältnismäßigkeit belastbar festhalten
DORA verwendet keine Einstufung als Essential oder Important Entity. Diese Begriffe stammen aus dem NIS2-Kontext. Für DORA sind insbesondere der Rechtsträger, die Finanzunternehmenskategorie nach Artikel 2, anwendbare Ausnahmen und die Verhältnismäßigkeit nach Artikel 4 zu dokumentieren.
Anwendungsbereich
Scope-Vermerk je Rechtsträger mit Lizenz, Tätigkeit und zuständiger Behörde
Ausnahmen
Begründete Entscheidung zu einschlägigen Ausnahmen oder vereinfachtem Rahmen
Verhältnismäßigkeit
Dokumentierte Faktoren zu Größe, Risikoprofil, Art, Umfang und Komplexität
Entscheidung 02
Kritische oder wichtige Funktionen als Entscheidungskette erfassen
DORA definiert die gemeinsame Kategorie „kritische oder wichtige Funktion“ (kwF). Eine separate Einteilung in „kritisch“ und „wichtig“ mit pauschal unterschiedlichen Fristen ist hieraus nicht abzuleiten.
| Prüffeld | Erforderliches Arbeitsprodukt | Nachweis / Freigabe |
|---|---|---|
| Funktionsentscheidung | Begründung anhand der DORA-Definition und konkreter Ausfallwirkung | Fachlicher Owner, Prüfer und Freigabedatum |
| Abhängigkeiten | Services, Prozesse, Daten, IKT-Assets und Drittanbieter verknüpfen | Abhängigkeitskarte mit Datenquelle und Stand |
| Wirkungsparameter | Impact-Toleranzen, RTO und RPO institutsspezifisch festzulegen | Genehmigte BIA- oder Resilienzentscheidung |
| Änderung und Review | Trigger für Neubewertung und regelmäßigen Review definieren | Versionierte Entscheidungshistorie |
Fünf Starter-Arbeitsprodukte
Die Ergebnisse schaffen eine prüfbare Ausgangsbasis. Vollständige Arbeitsprodukte sind keine Konformitätsbestätigung; Wirksamkeit und Angemessenheit müssen anhand institutsspezifischer Kriterien beurteilt werden.
IKT-Risikoinventar anlegen
Erfassen Sie alle kritischen Systeme, Dienstleister und Abhängigkeiten in einer strukturierten Liste. Priorisieren Sie nach Geschäftswirkung.
Drittparteien-Risiko bewerten
Identifizieren Sie IKT-Dienstleister für kwF. Prüfen Sie Verträge gegen dokumentierte DORA-Kriterien und erfassen Sie Abweichungen mit Evidenz.
Vorfall-Meldeprozess definieren
Legen Sie Verantwortlichkeiten für Major Incidents fest. Definieren Sie Eskalationswege. Testen Sie den Prozess in einer Tischübung.
Risikobasierte Testprogramm-Roadmap
Planen Sie Resilienztests für das laufende Jahr. Budgetieren Sie für externe Penetrationstests. Priorisieren Sie kwF-Systeme.
Informationsregister vorbereiten
Erfassen Sie die benötigten Registerdaten mit Quelle, Owner und Qualitätsstatus. Dokumentieren Sie regulierte Tätigkeiten und verwendete Identifikatoren.
Vom Start in die Facharbeitsräume
Vertiefen Sie die Ergebnisse dort, wo Verantwortliche, Nachweise und Entscheidungen weitergeführt werden.
Häufige Fragen (FAQ)
Ist DORA für mein Institut verbindlich?
DORA gilt seit dem 17. Januar 2025 für die in Artikel 2 genannten Finanzunternehmen. Ob ein konkreter Rechtsträger erfasst ist, eine Ausnahme greift oder ein vereinfachter Rahmen anwendbar ist, muss anhand seiner Zulassung, Tätigkeit und der einschlägigen Vorschriften dokumentiert werden. Verhältnismäßigkeit ersetzt diese Scope-Entscheidung nicht.
Was ist der Unterschied zu MaRisk?
DORA ist unmittelbar geltendes Unionsrecht für die erfassten Finanzunternehmen. MaRisk adressiert das Risikomanagement der von ihr erfassten deutschen Institute. Überschneidungen können gemeinsam operationalisiert werden; ein Mapping ersetzt weder die Prüfung des Anwendungsbereichs noch einen Wirksamkeitsnachweis.
Muss ich einen TLPT durchführen?
Nicht jedes DORA-pflichtige Finanzunternehmen muss TLPT durchführen. Nach Artikel 26 werden die hierfür maßgeblichen Finanzunternehmen von der zuständigen Behörde anhand der regulatorischen Kriterien identifiziert. Eine Selbsteinstufung als „Essential“ oder „Important“ entscheidet darüber nicht. Halten Sie Behördenkommunikation und die daraus abgeleitete Testpflicht als Nachweis fest.
Was passiert bei Nicht-Einhaltung?
DORA sieht Aufsichts-, Untersuchungs- und Sanktionsbefugnisse der zuständigen Behörden vor; die konkrete Zuständigkeit und nationale Ausgestaltung hängen von Unternehmenstyp und Rechtsordnung ab. Diese Seite bewertet keine Sanktion und ersetzt keine rechtliche Würdigung. Belastbar sind nur dokumentierte Entscheidungen, umgesetzte Maßnahmen und prüfbare Wirksamkeitsnachweise.
Welche Rolle spielt ISO 27001?
Ein bestehendes ISMS kann Arbeitsprodukte und Kontrollen für die DORA-Umsetzung bereitstellen. Ein Mapping zeigt jedoch nur mögliche Beziehungen zwischen Anforderungen und Kontrollen. Es beweist weder die DORA-Abdeckung noch die Implementierung oder Wirksamkeit im Institut.