DORA
From the DORA definition to an approved decision: evidence materiality, document counter-evidence, map dependencies, and govern follow-up checks.
Definitionstest
Bewerten Sie die Funktion selbst und ein konkretes Leistungsszenario. Die Einstufung ist eine begründete Ja/Nein-Entscheidung; numerische Scores können die Analyse strukturieren, dürfen die Materialitätsentscheidung aber nicht verdecken.
Würde die Unterbrechung die finanzielle Leistungsfähigkeit des Rechtsträgers wesentlich beeinträchtigen?
Erwarteter Nachweis: Quantifizierte Verlust-, Liquiditäts-, Ertrags- oder Kapitalwirkung mit Zeithorizont und Annahmen.
Würden Solidität oder Kontinuität der Services und Tätigkeiten wesentlich beeinträchtigt?
Erwarteter Nachweis: BIA, Kunden- und Marktfolgen, Volumen, Dauer, Ersatzverfahren sowie genehmigte Toleranzen.
Würde eine unterbrochene, mangelhafte oder fehlgeschlagene Leistung die fortlaufende Erfüllung von Zulassungsbedingungen oder Finanzmarktrechtspflichten wesentlich beeinträchtigen?
Erwarteter Nachweis: Konkrete Rechts- oder Aufsichtspflicht, Pflichtinhaber, Frist, Ausfallszenario und fachliche Würdigung.
Entscheidungsworkflow
Jedes Gate erzeugt ein überprüfbares Arbeitsprodukt. Offene Annahmen bleiben sichtbar und werden nicht als erfüllte Kriterien gewertet.
| Gate | Pflicht-Arbeitsprodukt | Status |
|---|---|---|
| 1. Scope | Rechtsträger, Funktion, regulierte Tätigkeit und fachlicher Owner sind eindeutig bezeichnet. | institutsspezifisch |
| 2. Szenario | Unterbrechung, mangelhafte Leistung und Ausfall werden mit Dauer, Umfang und Annahmen beschrieben. | institutsspezifisch |
| 3. Materialität | Mindestens eine Definitionsachse wird mit institutsspezifischen Kriterien und Evidenz beurteilt. | institutsspezifisch |
| 4. Gegenprobe | Ersatzverfahren, Toleranzen und Gegenbelege werden dokumentiert; ein Score entscheidet nicht automatisch. | institutsspezifisch |
| 5. Entscheidung | Ergebnis, Begründung, abweichende Meinungen, Prüfer und Freigabe werden versioniert festgehalten. | institutsspezifisch |
| 6. Review | Review-Termin und Trigger wie Prozess-, Produkt-, IKT-, Provider- oder Rechtsänderungen sind festgelegt. | institutsspezifisch |
Eine „weitere Prüfung“-Entscheidung ist zulässig, wenn Evidenz fehlt. Sie darf nicht stillschweigend wie „keine kwF“ behandelt werden.
Abhängigkeitsnachweis
Die kwF-Entscheidung wird mit der tatsächlichen Leistungskette verknüpft. Pro Ebene werden Owner, Quelle, letzte Validierung, Recovery-Abhängigkeit und bekannte Lücken festgehalten.
1
Geschäftsprozesse und Funktionen, deren Ausfall die finanzielle Leistungsfähigkeit, Solidität oder Fortführung des Instituts beeinträchtigen würde.
2
Detaillierte Prozessschritte, die kwF operationalisieren und deren Abhängigkeiten untereinander.
3
Technische Services und Anwendungen, die Geschäftsprozesse direkt unterstützen.
4
Zugrunde liegende Infrastruktur: Server, Netzwerke, Datenbanken, Cloud-Services.
5
Externe Parteien, deren Verfügbarkeit oder Leistung für kwF kritisch ist.
Folgeprüfungen
Die Tabelle trennt belegbare DORA-Anknüpfungen von pauschalen Aussagen. Die konkrete Anwendbarkeit bleibt je Rechtsträger, Arrangement und Sachverhalt zu dokumentieren.
kwF-Status ist bei RTO und RPO zu berücksichtigen; DORA gibt auf dieser Seite keine pauschalen Stundenwerte vor.
Art. 12 Abs. 6
kwF-Bezug fließt in die konkrete Klassifikation ein. Meldepflicht und Fristen folgen aus Klassifikationskriterien und Meldevorschriften, nicht allein aus dem kwF-Label.
Art. 18–20
Unterstützende Systeme und Services sind risikobasiert in das Testprogramm einzubeziehen. TLPT-Pflicht und Scope werden separat nach Art. 26 und 27 bestimmt.
Art. 24–27
Für IKT-Services, die kwF unterstützen, sind unter anderem Due Diligence, Vertrags-, Überwachungs- und Exit-Anforderungen gesondert zu prüfen.
Art. 28–30
Vertragsarrangements sind danach zu unterscheiden, ob sie IKT-Services zur Unterstützung einer kwF betreffen.
Art. 28 Abs. 3
Owner, Entscheidungskompetenz und Review sind im institutsspezifischen Governance-Rahmen zu verankern; diese Seite behauptet keine automatische Organpflicht je Einzelfall.
Art. 5–6
Umsetzungshilfen
Die Maßnahmen sind Arbeitsvorschläge mit Quellenankern. Ihr Review-Status ist keine Aussage über Implementierung oder Wirksamkeit im Institut.
Das Institut verfügt über eine dokumentierte und freigegebene Methodik zur Bestimmung kritischer oder wichtiger Funktionen (kwF) nach DORA.
Umsetzungsschritte
Beispielnachweise
ISO/IEC 27001 Anker
Eine vollständige Prozesslandkarte identifiziert alle institutsspezifischen Prozesse als Grundlage für die kwF-Bewertung.
Umsetzungsschritte
Beispielnachweise
ISO/IEC 27001 Anker
Die Auswirkung eines Ausfalls von Prozessen, IKT-Systemen oder Dienstleistern auf kwF wird systematisch bewertet.
Umsetzungsschritte
Beispielnachweise
ISO/IEC 27001 Anker
Die Auswirkung einer Pflichtverletzung durch Ausfall oder Beeinträchtigung von Prozessen oder IKT-Systemen wird systematisch bewertet.
Umsetzungsschritte
Beispielnachweise
ISO/IEC 27001 Anker
Die Einstufung als kritische oder wichtige Funktion wird managementseitig freigegeben und dokumentiert.
Umsetzungsschritte
Beispielnachweise
ISO/IEC 27001 Anker
Die kwF-Einstufungen werden regelmässig überprüft und bei wesentlichen Änderungen aktualisiert.
Umsetzungsschritte
Beispielnachweise
ISO/IEC 27001 Anker
