DORA Implementation
This DORA section translates publicly available BaFin information and DORA structures into actionable target states, measures, evidence, and review logic for financial institutions.
Note: This content provides independently formulated implementation guidance based on public regulatory sources. It includes professional structuring and interpretation, but does not replace the original text or binding supervisory or legal assessment. Institution-specific conclusions require documented applicability review, evidence, and approval.
Direkt weiterarbeiten
107
Referenz-Sollmaßnahmen
Redaktioneller Katalogumfang
33
Redaktionell geprüft
Keine institutsbezogene Freigabe oder Wirksamkeitsaussage
5
Operative Kernbereiche
9
Kapitel (I–IX)
Arbeitskette mit Evidence-Gate
Jeder Schritt erzeugt ein nachvollziehbares Arbeitsprodukt. Ein Status oder Finding entsteht erst, wenn Anwendbarkeit, Sollkriterium und institutsbezogener Nachweis dokumentiert sind.
Regulierte Tätigkeit, Rechtsträger und kwF
Arbeitsbereich öffnen →Artikelbezug und prüfbares Sollkriterium
Arbeitsbereich öffnen →Verantwortung, Termin und abhängige Systeme
Arbeitsbereich öffnen →Provenienz, Aktualität und Review-Status
Arbeitsbereich öffnen →Validierte Aussage oder begründete Restunsicherheit
Arbeitsbereich öffnen →Operative Arbeitssteuerung
Die Einträge sind Arbeitsmuster, keine Aussage über den Umsetzungsstand eines Instituts. Priorität entsteht erst aus dokumentiertem Scope, Risiko und Fälligkeit.
Auslöser
Leitfrage
Welche Rechtsträger, regulierten Tätigkeiten und kritischen oder wichtigen Funktionen sind betroffen?
Arbeitsprodukt
Freigegebene Scope-Entscheidung mit Annahmen und Ausschlüssen
Abschlusskriterium
Owner und Reviewdatum dokumentiert
Auslöser
Leitfrage
Welches prüfbare Sollkriterium gilt und welcher Nachweis trägt die Aussage?
Arbeitsprodukt
Sollmaßnahme mit Rechtsbezug, Evidenzanforderung und Provenienz
Abschlusskriterium
Nachweis aktuell, lesbar und fachlich geprüft
Auslöser
Leitfrage
Welche Auswirkung, Restunsicherheit und Behandlung sind entscheidungsreif?
Arbeitsprodukt
Bewertungsvorlage mit Handlungsoption, Owner und Fälligkeit
Abschlusskriterium
Entscheidung und Begründung protokolliert
Auslöser
Leitfrage
Sind Umfang, Ausnahmen, Findings und Quellen für den Adressaten vollständig?
Arbeitsprodukt
Freigabefähiges Berichtspaket mit Quellenmanifest
Abschlusskriterium
Vier-Augen-Prüfung und Stichtag ausgewiesen
Nachvollziehbare Übergaben
Die Plattform strukturiert Umsetzung und Nachweise. Verbindliche Stammdaten und operative Transaktionen verbleiben in den dafür verantworteten Systemen.
Informationsobjekt
Rechtsträger, Tätigkeiten und Funktionen
Führendes System
Unternehmens- und Prozessverzeichnis
Arbeitsprodukt der Plattform
Scope-Mapping, Annahmen und DORA-Relevanz
Freigabe
Fachbereich, Compliance und verantwortete Governance
Informationsobjekt
IKT-Assets, Risiken und Kontrollen
Führendes System
ITSM, CMDB oder Risikosystem
Arbeitsprodukt der Plattform
Verknüpfte Risiko-, Kontroll- und Sollmaßnahmenanalyse
Freigabe
IKT-Risikofunktion und Kontrollverantwortliche
Informationsobjekt
Provider und Vertragsdaten
Führendes System
Einkauf, Vertrags- und Provider-System
Arbeitsprodukt der Plattform
DORA-Klassifizierung, Vertrags-Gap, Konzentration und Exit-Annahmen
Freigabe
Drittparteiensteuerung, Recht und Fachbereich
Informationsobjekt
Tests, Findings und Nachweise
Führendes System
Testwerkzeug, Ticketsystem und Evidence-Ablage
Arbeitsprodukt der Plattform
Testabdeckung, Finding-Nachverfolgung und Quellenmanifest
Freigabe
Testmanagement, Owner und unabhängige Review-Funktion
DORA-Betriebsmodell
Jede Domäne hat eine federführende Rolle, ein überprüfbares Mindestartefakt und ein Entscheidungstor. Bestehende Systeme bleiben System of Record.
Art. 5–16
Federführung
Leitungsorgan und IKT-Risikofunktion
Mindestartefakt
Genehmigter IKT-Risikomanagementrahmen mit Risiko-, Kontroll- und kwF-Bezug
Entscheidungstor
Scope, Risikoakzeptanz und Restunsicherheit entschieden
Art. 17–23
Federführung
Incident Management mit Compliance und Kommunikation
Mindestartefakt
Klassifizierungsentscheidung, Meldezeitachse und vollständige Entscheidungsakte
Entscheidungstor
Meldepflicht und adressatengerechte Eskalation bestätigt
Art. 24–27
Federführung
Unabhängiges Testmanagement
Mindestartefakt
Risikobasiertes Testprogramm mit Scope, Methode, Ergebnis und Finding-Nachverfolgung
Entscheidungstor
Abdeckung, Unabhängigkeit und Remediation freigegeben
Art. 28–44
Federführung
Drittparteiensteuerung mit Einkauf, Recht und Fachbereichen
Mindestartefakt
Informationsregister, Vertrags-Gap, Konzentrationsanalyse und getestete Exit-Annahme
Entscheidungstor
Kritikalität, Vertragsrisiko und Exit-Entscheidung dokumentiert
Querschnitt
Federführung
Kontrollverantwortliche, Compliance und interne Governance
Mindestartefakt
Quellenmanifest, Evidence-Review, offene Findings und entscheidungsreifer Bericht
Entscheidungstor
Datenherkunft, Review und Freigabe vollständig nachvollziehbar
Steuerungstakt
Operative Ausnahmen, überfällige Findings, Provider-Ereignisse, Testfortschritt und Evidence-Alterung prüfen.
Risikolage, Kontrollabdeckung, Konzentrationen, wesentliche Restunsicherheiten und Managemententscheidungen konsolidieren.
Schwerwiegende Vorfälle, wesentliche Änderungen, neue kritische Provider, regulatorische Änderungen und Exit-Trigger behandeln.
IKT-Risikomanagementrahmen, Strategie, Testprogramm, Schulungsbedarf und Drittparteienstrategie formell überprüfen.
Welche IKT-Risiken, Kontrollen und Restrisiken müssen nachvollziehbar verbunden werden?
Risikomanagement öffnen →Welche Anforderung gilt für welchen Rechtsträger und welches Sollkriterium folgt daraus?
Artikel-Navigator öffnen →Welche Provider, Verträge, Leistungsketten und Exit-Abhängigkeiten sind betroffen?
Drittparteienbereich öffnen →Welche Kontrollen sind risikobasiert zu testen und welche Evidence trägt das Ergebnis?
Testing-Cockpit öffnen →Gegenstand, Anwendungsbereich, Begriffsbestimmungen und Verhältnismäßigkeit.
Arbeitsbereich öffnen →Governance, IKT-Risikomanagementrahmen, Identifizierung, Schutz, Erkennung, Reaktion, Wiederherstellung, Lernen und Kommunikation.
Arbeitsbereich öffnen →Managementprozess, Klassifizierung sowie Meldung schwerwiegender IKT-Vorfälle und erheblicher Cyberbedrohungen.
Arbeitsbereich öffnen →Risikobasiertes Testprogramm, grundlegende Tests und bedrohungsorientierte Penetrationstests (TLPT).
Arbeitsbereich öffnen →Strategie, Informationsregister nach Art. 28 Abs. 3, Vertragsanforderungen, Konzentrationsrisiko und Überwachungsrahmen.
Arbeitsbereich öffnen →Freiwilliger Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen unter geschützten Rahmenbedingungen.
Arbeitsbereich öffnen →Zuständigkeiten, Zusammenarbeit, Aufsichtsbefugnisse, Sanktionen und Veröffentlichungspflichten.
Arbeitsbereich öffnen →Ausübung und Bedingungen der Befugnisübertragung sowie Ausschussverfahren.
Arbeitsbereich öffnen →Überprüfungsklausel, Inkrafttreten und Geltungsbeginn.
Arbeitsbereich öffnen →Strukturierter Einstieg für Compliance, IKT-Risiko und Fachbereiche: Scope klären, Verantwortungen setzen, priorisierte Arbeitsprodukte beginnen und offene Annahmen dokumentieren.
