DORA Quick-Start
Build DORA delivery capability in 30 days.
A 30-day mobilisation plan for compliance, risk, business, and ICT teams with explicit deliverables and evidence boundaries.
Hinweis: Diese Seite stellt eine originäre Zusammenstellung praktischer Umsetzungshinweise für DORA dar. Sie dient ausschließlich der internen Strukturierung und Planung und erhebt keinen Anspruch auf Vollständigkeit oder Rechtsverbindlichkeit. Es wird keine Rechtsberatung angeboten.
Management-Zusammenfassung
- Tag 1–7: Scope und Governance — Rechtsträger, regulierte Tätigkeiten, Ausnahmen, Verhältnismäßigkeit und Verantwortungen dokumentieren.
- Tag 8–14: Funktionen und Abhängigkeiten — kwF-Entscheidungen mit Services, Prozessen, IKT-Assets und Dienstleistern verknüpfen.
- Tag 15–21: Kontroll- und Nachweisbasis — anwendbare Anforderungen, Evidenzverantwortliche und belegte Lücken erfassen.
- Tag 22–28: Tests und Maßnahmen — risikobasiertes Testprogramm und priorisierten Maßnahmenbestand aufbauen.
- Tag 29–30: Leitungsentscheid — Status, offene Annahmen, Restrisiken, Ressourcen und nächste Entscheidungen vorlegen.
Entscheidung 01
Scope und Verhältnismäßigkeit belastbar festhalten
DORA verwendet keine Einstufung als Essential oder Important Entity. Diese Begriffe stammen aus dem NIS2-Kontext. Für DORA sind insbesondere der Rechtsträger, die Finanzunternehmenskategorie nach Artikel 2, anwendbare Ausnahmen und die Verhältnismäßigkeit nach Artikel 4 zu dokumentieren.
Anwendungsbereich
Scope-Vermerk je Rechtsträger mit Lizenz, Tätigkeit und zuständiger Behörde
Ausnahmen
Begründete Entscheidung zu einschlägigen Ausnahmen oder vereinfachtem Rahmen
Verhältnismäßigkeit
Dokumentierte Faktoren zu Größe, Risikoprofil, Art, Umfang und Komplexität
Entscheidung 02
Kritische oder wichtige Funktionen als Entscheidungskette erfassen
DORA definiert die gemeinsame Kategorie „kritische oder wichtige Funktion“ (kwF). Eine separate Einteilung in „kritisch“ und „wichtig“ mit pauschal unterschiedlichen Fristen ist hieraus nicht abzuleiten.
| Prüffeld | Erforderliches Arbeitsprodukt | Nachweis / Freigabe |
|---|---|---|
| Funktionsentscheidung | Begründung anhand der DORA-Definition und konkreter Ausfallwirkung | Fachlicher Owner, Prüfer und Freigabedatum |
| Abhängigkeiten | Services, Prozesse, Daten, IKT-Assets und Drittanbieter verknüpfen | Abhängigkeitskarte mit Datenquelle und Stand |
| Wirkungsparameter | Impact-Toleranzen, RTO und RPO institutsspezifisch festzulegen | Genehmigte BIA- oder Resilienzentscheidung |
| Änderung und Review | Trigger für Neubewertung und regelmäßigen Review definieren | Versionierte Entscheidungshistorie |
Fünf Starter-Arbeitsprodukte
Die Ergebnisse schaffen eine prüfbare Ausgangsbasis. Vollständige Arbeitsprodukte sind keine Konformitätsbestätigung; Wirksamkeit und Angemessenheit müssen anhand institutsspezifischer Kriterien beurteilt werden.
Create ICT Risk Inventory
Capture all critical systems, service providers, and dependencies in a structured list. Prioritise by business impact.
Assess Third-Party Risk
Identify ICT providers supporting critical or important functions. Assess contracts against documented DORA criteria and record evidence-backed gaps.
Define Incident Reporting Process
Assign responsibilities for major incidents. Define escalation paths. Test the process in a tabletop exercise.
Risk-Based Test Programme Roadmap
Plan resilience tests for the current year. Budget for external penetration tests. Prioritise CIF systems.
Prepare Information Register
Capture required register data with source, owner, and quality status. Document regulated activities and identifiers used.
Vom Start in die Facharbeitsräume
Vertiefen Sie die Ergebnisse dort, wo Verantwortliche, Nachweise und Entscheidungen weitergeführt werden.
Häufige Fragen (FAQ)
Ist DORA für mein Institut verbindlich?
DORA gilt seit dem 17. Januar 2025 für die in Artikel 2 genannten Finanzunternehmen. Ob ein konkreter Rechtsträger erfasst ist, eine Ausnahme greift oder ein vereinfachter Rahmen anwendbar ist, muss anhand seiner Zulassung, Tätigkeit und der einschlägigen Vorschriften dokumentiert werden. Verhältnismäßigkeit ersetzt diese Scope-Entscheidung nicht.
Was ist der Unterschied zu MaRisk?
DORA ist unmittelbar geltendes Unionsrecht für die erfassten Finanzunternehmen. MaRisk adressiert das Risikomanagement der von ihr erfassten deutschen Institute. Überschneidungen können gemeinsam operationalisiert werden; ein Mapping ersetzt weder die Prüfung des Anwendungsbereichs noch einen Wirksamkeitsnachweis.
Muss ich einen TLPT durchführen?
Nicht jedes DORA-pflichtige Finanzunternehmen muss TLPT durchführen. Nach Artikel 26 werden die hierfür maßgeblichen Finanzunternehmen von der zuständigen Behörde anhand der regulatorischen Kriterien identifiziert. Eine Selbsteinstufung als „Essential“ oder „Important“ entscheidet darüber nicht. Halten Sie Behördenkommunikation und die daraus abgeleitete Testpflicht als Nachweis fest.
Was passiert bei Nicht-Einhaltung?
DORA sieht Aufsichts-, Untersuchungs- und Sanktionsbefugnisse der zuständigen Behörden vor; die konkrete Zuständigkeit und nationale Ausgestaltung hängen von Unternehmenstyp und Rechtsordnung ab. Diese Seite bewertet keine Sanktion und ersetzt keine rechtliche Würdigung. Belastbar sind nur dokumentierte Entscheidungen, umgesetzte Maßnahmen und prüfbare Wirksamkeitsnachweise.
Welche Rolle spielt ISO 27001?
Ein bestehendes ISMS kann Arbeitsprodukte und Kontrollen für die DORA-Umsetzung bereitstellen. Ein Mapping zeigt jedoch nur mögliche Beziehungen zwischen Anforderungen und Kontrollen. Es beweist weder die DORA-Abdeckung noch die Implementierung oder Wirksamkeit im Institut.