Wissen
Eine Gap-Analyse ist nur dann nützlich, wenn sie Ihnen zwei Dinge sagt: wie weit Sie von dem entfernt sind, was die Verordnung tatsächlich verlangt, und was Sie zuerst beheben sollten. Dieser Leitfaden liefert ein Modell für beides, mit jeder Domäne verankert in dem Artikel, aus dem sie stammt.
Der Digital Operational Resilience Act, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025. Er schreibt weder eine Methode für die Gap-Analyse noch eine Reifegradskala oder ein Bewertungsschema vor. Diese Entscheidungen liegen bei Ihnen. Präzise vorgeschrieben ist dagegen die Substanz, gegen die Sie bewerten, und diese Substanz verteilt sich über sieben Bereiche der Verordnung und drei technische Standards.
Deshalb trennt dieser Artikel zwei Dinge, die üblicherweise vermischt werden. Das Modell stammt von uns: eine vierstufige Skala über sieben Domänen, anschließend gewichtet. Wir kennzeichnen es überall dort als redaktionell, wo es auftaucht. Die Anforderungen, die es misst, stammen nicht von uns, und jede Artikelnummer, jede Frist und jede Anzahl unten ist aus der Verordnung oder einem technischen Standard zitiert und am Ende belegt.
| Maßgebliches Recht | Verordnung (EU) 2022/2554 (DORA). Gilt ab dem 17. Januar 2025. Sie umfasst 64 Artikel. |
| Wer fällt in den Anwendungsbereich | Die in Artikel 2 Absatz 1 aufgeführten Finanzunternehmen. Einige Pflichten, darunter das Testprogramm nach Artikel 24, gelten für Finanzunternehmen mit Ausnahme von Kleinstunternehmen. |
| Detailregeln | Delegierte Verordnung (EU) 2024/1774 der Kommission (IKT-Risikomanagement), Delegierte Verordnung (EU) 2025/301 der Kommission (Inhalt und Fristen der Vorfallmeldung) und Durchführungsverordnung (EU) 2024/2956 der Kommission (Informationsregister). |
| Verlangt DORA eine Gap-Analyse? | Wörtlich nicht. Artikel 6 Absatz 5 verlangt, dass der IKT-Risikomanagementrahmen dokumentiert und mindestens einmal jährlich überprüft wird, zusätzlich beim Auftreten schwerwiegender Vorfälle sowie im Anschluss an aufsichtliche Anweisungen oder Schlussfolgerungen aus Tests oder Prüfungen. Eine Gap-Analyse ist der Weg, auf dem die meisten Unternehmen diese Überprüfung durchführen. |
| Ist das folgende Bewertungsmodell vorgeschrieben? | Nein. Die Skala von 1 bis 4, die Aufteilung in sieben Domänen und die Gewichtungen stammen von uns. Nutzen Sie sie oder ersetzen Sie sie. |
Wo Gap-Analysen üblicherweise scheitern
Sie verwechseln Vorhandensein mit Angemessenheit. Die Frage "Haben Sie einen IKT-Risikomanagementrahmen?" mit "Ja" zu beantworten, sagt nichts darüber aus, ob dieser Rahmen DORA erfüllt. Ein Rahmenwerk, das für ein früheres Auslagerungsregime geschrieben wurde, sagt womöglich nichts über IKT-Konzentrationsrisiko nach Artikel 29, Ausstiegsstrategien nach Artikel 28 Absatz 8 oder die nach Artikel 6 Absatz 8 geforderte Strategie für digitale operationale Resilienz. Eine Bewertung, die nur auf Vorhandensein abstellt, erzeugt trügerische Sicherheit.
Sie bewerten die Richtlinienebene und überspringen das operative Ergebnis. DORA kennt Ergebnisse, die entweder existieren oder nicht: ein Informationsregister, das die Validierung im vom ITS vorgegebenen Format bestehen muss, und eine Vorfallmeldung, die innerhalb einer festen Stundenzahl das Haus verlassen muss. Eine Bewertung, die nur Richtlinien liest, verrät Ihnen nicht, ob Sie eines von beiden liefern können.
Sie produzieren eine Liste. Die Kapazität für Nachbesserungen ist begrenzt, und eine Lückenliste ohne Dringlichkeitshierarchie lässt sich schwer abarbeiten. Deshalb gewichtet das folgende Modell die Domänen, bevor es irgendetwas plant.
Zwei verschiedene Fragen. Ihre Controls auf eine Control-Bibliothek zu mappen und den Umsetzungsgrad zu messen, liefert eine Sicht auf die Prüfungsbereitschaft. Das ist wertvoll, sagt aber nichts darüber aus, ob Sie ein valides Informationsregister einreichen oder die Meldefrist einhalten können. Diese beiden Dimensionen fallen unabhängig voneinander aus, also bewerten Sie sie getrennt. Eine hohe Umsetzungsquote bei Controls sagt nichts darüber aus, ob eine Einreichung die Validierung besteht.
Die Reifegradskala
Vier Stufen, was ausreicht, um wesentlich unterschiedliche Zustände zu trennen, ohne eine Präzision zu erfinden, welche die Nachweise nicht tragen. Um es deutlich zu sagen: diese Skala stammt von uns, nicht vom Regulierer. DORA definiert keine Reifegrade. Was eine Bewertung belastbar macht, ist, dass Stufe 3 an einen benannten Artikel geknüpft ist und Sie den Nachweis dafür vorlegen können.
| Punktzahl | Stufe | Definition |
| 1 | Initial | Kein strukturierter Ansatz. Die Anforderung ist unbekannt, nicht begonnen oder wird ad hoc behandelt, ohne Dokumentation, Verantwortlichen oder Wiederholbarkeit. Nachbesserung bedeutet Aufbau von Grund auf. |
| 2 | In Entwicklung | Etwas existiert, erfüllt die Anforderung aber nur teilweise. Die Abdeckung ist lückenhaft, die Dokumentation dünn, oder der Ansatz wurde nie erprobt. |
| 3 | Definiert | Die Anforderung ist wie geschrieben erfüllt, dokumentiert und gepflegt, und Sie können den Nachweis auf Anfrage vorlegen. Das ist die Basislinie, mit höherer Reife als weiterem Ziel. |
| 4 | Verankert | Erfüllt, erprobt oder geprüft, mit Wirksamkeitsnachweis und einem funktionierenden Verbesserungskreislauf. Artikel 6 Absatz 6 unterwirft den Rahmen ohnehin der internen Revision; eine 4 bedeutet, dass diese Prüfung ihn als funktionierend befunden hat. |
Die sieben Domänen, bewertet
Jede Domäne benennt die Artikel, gegen die sie gemessen wird, und definiert dann, was jede Punktzahl bedeutet. Jede unten genannte Zahl, ob Frist, Anzahl oder Häufigkeit, stammt aus der Verordnung oder einem technischen Standard. Machen Sie sich vorab klar, dass die sieben Domänen bei Weitem nicht gleich viel Aufwand bedeuten. D6 ist ein Nachmittag, und der größte Teil dieses Nachmittags besteht darin, eine Entscheidung aufzuschreiben. D1 und D7 sind Schreib- und Protokollarbeit, die Sie von Anfang bis Ende selbst steuern. D2, D4 und D5 sind diejenigen, die Monate verschlingen, weil alle drei davon abhängen, dass Menschen außerhalb Ihres Teams Ihnen antworten: Dienstleister, Juristen und wer auch immer die Rufbereitschaft außerhalb der Geschäftszeiten verantwortet.
D1. IKT-Risikomanagementrahmen
Artikel 5 bis 15
Artikel 6 Absatz 1 verlangt einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen. Artikel 6 Absatz 5 verlangt, dass dieser dokumentiert und mindestens einmal jährlich überprüft wird, zusätzlich beim Auftreten schwerwiegender IKT-bezogener Vorfälle sowie im Anschluss an aufsichtliche Anweisungen oder an Schlussfolgerungen aus Tests oder Prüfungen. Artikel 6 Absatz 6 unterwirft ihn der internen Revision. Artikel 6 Absatz 8 verlangt, dass er eine Strategie für digitale operationale Resilienz enthält, und Artikel 5 Absatz 2 Buchstabe d weist die Genehmigung dieser Strategie einschließlich der IKT-Risikotoleranzschwelle dem Leitungsorgan zu.
| Punktzahl | Wie das aussieht |
| 1 | Kein Rahmenwerk wurde gegen DORA bewertet. Ein für ein anderes Regime gebautes Rahmenwerk wurde nie mit den Artikeln 5 bis 15 abgeglichen. |
| 2 | Ein Rahmenwerk existiert, weist aber wesentliche Lücken gegenüber dem Text auf. Typisch: keine Strategie für digitale operationale Resilienz nach Artikel 6 Absatz 8, keine dokumentierte IKT-Risikotoleranzschwelle oder kein Nachweis der von Artikel 6 Absatz 5 geforderten jährlichen Überprüfung. |
| 3 | Dokumentiertes Rahmenwerk, das die Artikel 5 bis 15 abdeckt, einschließlich der Strategie nach Artikel 6 Absatz 8 und einer definierten Risikotoleranzschwelle, mit nachgewiesener jährlicher Überprüfung und protokollierter Genehmigung durch das Leitungsorgan. |
| 4 | Das Rahmenwerk hat die interne Revision nach Artikel 6 Absatz 6 durchlaufen, der Nachverfolgungsprozess nach Artikel 6 Absatz 7 zur Behebung kritischer IKT-Prüfungsfeststellungen läuft, und Verbesserungen lassen sich auf Lessons Learned zurückführen. |
Am häufigsten unterentwickelt: die Strategie für digitale operationale Resilienz nach Artikel 6 Absatz 8 als eigenständiges, genehmigtes Dokument statt als bloße Zwischenüberschrift; die IKT-Risikotoleranzschwelle nach Artikel 6 Absatz 8 Buchstabe b; und der formale Nachverfolgungsprozess nach Artikel 6 Absatz 7 für kritische IKT-Prüfungsfeststellungen.
D2. IKT-Vorfallmanagement und Meldewesen
Artikel 17 bis 23, dazu RTS 2025/301
Artikel 17 verlangt einen Prozess für das Management IKT-bezogener Vorfälle, und Artikel 18 legt die Klassifizierungskriterien fest. Artikel 19 Absatz 4 verlangt eine Erstmeldung, einen Zwischenbericht und einen Abschlussbericht, setzt aber keine Frist: Er verweist die Fristen an einen technischen Standard. Sie stehen in Delegierte Verordnung (EU) 2025/301 der Kommission, Artikel 5 Absatz 1, und sie gehören zu den am häufigsten falsch zitierten Zahlen in DORA. Seien Sie ehrlich zu sich, was diese erste Frist mit Ihrem Betriebsmodell macht. Die Meldung zu schreiben ist der leichte Teil. Schwer wiegt, dass Klassifizierung, Freigabe und Einreichung an jedem Tag zu jeder Stunde innerhalb von vier Stunden erfolgen müssen, was bedeutet: Jemand mit Klassifizierungsbefugnis muss nachts erreichbar sein. Das ist eine Personalentscheidung, und genau sie bleibt still ungelöst, während das Runbook fertig aussieht.
| Punktzahl | Wie das aussieht |
| 1 | Keine DORA-spezifische Klassifizierung. Das bestehende ITSM-Severity-Modell wurde nie mit den Kriterien aus Artikel 18 abgeglichen. |
| 2 | Klassifizierungskriterien sind gemappt, aber nicht verankert. Die Fristen sind bekannt, doch es gibt keinen erprobten Ablauf, der außerhalb der Bürozeiten eine Erstmeldung binnen vier Stunden erzeugt. |
| 3 | Ein dokumentiertes, DORA-konformes Klassifizierungsverfahren innerhalb des Vorfallprozesses; vorbereitete Meldevorlagen; ein definierter Ablauf für die Vier-Stunden- und die 72-Stunden-Frist; und namentlich benannte Personen, die um drei Uhr nachts handeln können. |
| 4 | Der Prozess wurde erprobt, per Tabletop-Übung oder im realen Vorfall. Nachbetrachtungen fließen zurück in das Verfahren, und Sie messen Klassifizierungsgenauigkeit sowie den Abstand zu jeder Frist. |
Am häufigsten unterentwickelt: der Eskalationspfad außerhalb der Geschäftszeiten, der eine Vier-Stunden-Frist überhaupt erst überlebbar macht; und die freiwillige Meldung erheblicher Cyberbedrohungen nach Artikel 19 Absatz 2, die häufig komplett übersehen wird.
Bringen Sie die Fristen in Ordnung. Artikel 5 Absatz 1 des RTS 2025/301 legt drei Fristen fest, und die mittlere wird routinemäßig falsch wiedergegeben:
- Erstmeldung: "innerhalb von vier Stunden ab der Einstufung des IKT-bezogenen Vorfalls als schwerwiegender IKT-bezogener Vorfall und spätestens 24 Stunden, nachdem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat".
- Zwischenbericht: "spätestens innerhalb von 72 Stunden nach Übermittlung der Erstmeldung".
- Abschlussbericht: "spätestens einen Monat nach Übermittlung des Zwischenberichts beziehungsweise gegebenenfalls nach dem zuletzt aktualisierten Zwischenbericht".
72 Stunden ist die Frist für den Zwischenbericht. Steht in Ihrem Runbook etwas anderes, ist das für sich genommen bereits eine Feststellung.
D3. Testen der digitalen operationalen Resilienz
Artikel 24 bis 27
Artikel 24 Absatz 1 verlangt für Finanzunternehmen mit Ausnahme von Kleinstunternehmen ein Testprogramm als integralen Bestandteil des IKT-Risikomanagementrahmens. Artikel 24 Absatz 6 verlangt, dass mindestens jährlich angemessene Tests an allen IKT-Systemen und -Anwendungen durchgeführt werden, die kritische oder wichtige Funktionen unterstützen. Artikel 24 Absatz 4 verlangt, dass Tests von unabhängigen Parteien durchgeführt werden, intern oder extern. Artikel 25 Absatz 1 listet die Testarten auf, aus denen das Programm schöpfen kann. Bedrohungsgeleitete Penetrationstests nach Artikel 26 Absatz 1 laufen mindestens alle drei Jahre, allerdings nur für Unternehmen, die ihre zuständige Behörde nach Artikel 26 Absatz 8 benannt hat.
| Punktzahl | Wie das aussieht |
| 1 | Kein DORA-bezogenes Programm. Penetrationstests finden statt, wurden aber nie auf kritische oder wichtige Funktionen abgebildet. |
| 2 | Tests laufen nach Plan, aber ihr Umfang wurde nie formal an die Funktionen gekoppelt, die sie abdecken sollen, und Feststellungen werden bis zum Abschluss nicht nachverfolgt. |
| 3 | Ein dokumentiertes Programm mit Umfang auf den Systemen, die kritische oder wichtige Funktionen unterstützen, das die Mindestjährlichkeit aus Artikel 24 Absatz 6 erfüllt, unabhängige Tester nach Artikel 24 Absatz 4 einsetzt, Feststellungen nachverfolgt und eine schriftliche Position dazu enthält, ob TLPT nach Artikel 26 einschlägig ist. |
| 4 | TLPT abgeschlossen oder eine Roadmap vorhanden, sofern nach Artikel 26 Absatz 8 benannt. Die Verfahren nach Artikel 24 Absatz 5 zur Priorisierung, Einstufung und Behebung von Problemen funktionieren nachweislich, und die Ergebnisse fließen in den Risikorahmen ein. |
Am häufigsten unterentwickelt: eine schriftliche, datierte Feststellung darüber, ob das Unternehmen nach Artikel 26 Absatz 8 für TLPT benannt wurde, die viele Unternehmen schlicht nie getroffen haben; und die Nachvollziehbarkeit des Testumfangs vom Testplan zurück auf die kritischen oder wichtigen Funktionen, die er abdecken soll.
D4. IKT-Drittparteienrisikomanagement
Artikel 28 bis 30
Artikel 28 verlangt eine Strategie und eine Leitlinie für die Nutzung von IKT-Dienstleistungen. Artikel 28 Absatz 8 verlangt Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Artikel 29 verlangt eine vorläufige Bewertung des IKT-Konzentrationsrisikos, einschließlich der Frage, ob ein Anbieter schwer ersetzbar ist. Artikel 30 Absatz 2 listet die Elemente auf, die jede vertragliche IKT-Vereinbarung enthalten muss, und Artikel 30 Absatz 3 ergänzt weitere Elemente, wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt. Das ist die Domäne mit der geringsten Kontrolle über den eigenen Zeitplan. Verträge gegen Artikel 30 zu lesen, ist Schreibtischarbeit, die Sie planen können. Einen großen Anbieter dazu zu bringen, Auditrechte, Zusagen zum Datenstandort und Kündigungsbedingungen zu akzeptieren, die er Ihnen im Vorjahr nicht angeboten hat, ist eine Verhandlung, und ein kleineres Unternehmen hat darin sehr wenig Hebel. Eröffnen Sie diese Gespräche, bevor die Vertragsprüfung abgeschlossen ist, denn die Prüfung wird lange fertig sein, bevor die Gegenparteien antworten.
| Punktzahl | Wie das aussieht |
| 1 | Keine DORA-spezifische IKT-Drittparteienleitlinie. Das Lieferantenmanagement wurde nie mit den Artikeln 28 bis 30 abgeglichen, und Verträge wurden nicht gegen Artikel 30 geprüft. |
| 2 | Leitlinie entworfen, Vertragsprüfung begonnen, aber unvollständig, und keine dokumentierten Ausstiegsstrategien für kritische oder wichtige Vereinbarungen. |
| 3 | Genehmigte Leitlinie; die Elemente nach Artikel 30 Absatz 2 sind in allen Vereinbarungen als vorhanden bestätigt, ebenso die zusätzlichen Elemente nach Artikel 30 Absatz 3, wo die Dienstleistung eine kritische oder wichtige Funktion unterstützt; Konzentrationsrisiko nach Artikel 29 bewertet; Ausstiegsstrategien nach Artikel 28 Absatz 8 dokumentiert. |
| 4 | Die Anbieterüberwachung läuft live, Ausstiegsstrategien wurden erprobt statt nur niedergeschrieben, und eine Standardvertragsvorlage enthält die Elemente nach Artikel 30 standardmäßig. |
Am häufigsten unterentwickelt: die Prüfung von Altverträgen nach Artikel 30, die vor Geltungsbeginn von DORA unterzeichnet wurden; und Ausstiegsstrategien, die tatsächlich getestet wurden. Achten Sie auch auf die Anzahl: Artikel 30 Absatz 2 listet neun Elemente auf, Buchstaben a bis i, und Artikel 30 Absatz 3 ergänzt weitere für kritische oder wichtige Funktionen. Jede Quelle, die Ihnen "12 verpflichtende Bestimmungen nach Artikel 30 Absatz 2" verspricht, zählt falsch.
D5. Informationsregister
Artikel 28 Absatz 3, dazu ITS 2024/2956
Artikel 28 Absatz 3 verlangt, dass das Register auf Unternehmensebene, teilkonsolidierter und konsolidierter Ebene geführt und aktualisiert wird und alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen abdeckt. Seine Struktur ergibt sich aus Durchführungsverordnung (EU) 2024/2956 der Kommission: 15 Meldebögen, codiert B_01.01 bis B_99.01. Bewerten Sie hier zwei Dinge, denn sie fallen unabhängig voneinander aus: ob die Daten vollständig sind und ob Sie tatsächlich eine Einreichung erzeugen können, die validiert. Der ITS ist präzise formuliert, und das schneidet in beide Richtungen. Eine Einreichung validiert oder sie validiert nicht, es gibt also keinen Ort, an dem sich ein dünnes Feld hinter einer guten Erzählung verstecken ließe. Die eigenen Verträge einzutragen, sind ein paar Wochen sorgfältiger Arbeit. Die dahinterliegende Lieferkette einzutragen, ist ein Monat des Hinterhertelefonierens bei Anbietern, die keinerlei Pflicht haben, sich nach Ihrem Zeitplan zu richten.
| Punktzahl | Wie das aussieht |
| 1 | Kein Register. Anbieterdaten liegen in Tabellenkalkulationen oder einem Lieferantensystem ohne jede Zuordnung zu den ITS-Meldebögen. |
| 2 | Teilweise befüllt. Üblicherweise sind die Lieferkette in B_05.02 und die vertraglichen Details in B_02.02 die dünnen Stellen, und ein Export wurde nie durchgängig getestet. |
| 3 | Alle 15 Meldebögen befüllt, die referenzielle Integrität zwischen ihnen hält, und ein Paket wurde vor der Einreichung erzeugt und validiert. |
| 4 | Ganzjährig gepflegt statt jährlich neu aufgebaut, mit Aktualisierungen, die durch Vertragsereignisse ausgelöst werden, überwachter LEI-Gültigkeit und Einreichungen, welche die Validierung ohne Nachbesserungsschleife bestehen. |
Am häufigsten unterentwickelt: B_05.02, die IKT-Dienstleistungslieferkette, in der die Unterauslagerung abgebildet wird und die fast immer unvollständig startet, weil sie von Daten abhängt, die Ihre Anbieter herausgeben müssen. Eine Falle: Leitfäden mit einer Nummerierung von "B00 bis B14" beschreiben nicht den ITS. Die echten Codes laufen von B_01.01 bis B_99.01.
D6. Informationsaustausch
Artikel 45
Artikel 45 Absatz 1 sagt, dass Finanzunternehmen Informationen und Erkenntnisse über Cyberbedrohungen innerhalb vertrauenswürdiger Gemeinschaften austauschen dürfen. Es handelt sich um eine Kann-Bestimmung. Bewerten Sie sie dennoch, denn eine dokumentierte Entscheidung kostet fast nichts, während ein undokumentiertes Fehlen wie ein Versäumnis wirkt.
| Punktzahl | Wie das aussieht |
| 1 | Kein Bewusstsein für Artikel 45 und keine Bewertung der verfügbaren Vereinbarungen. |
| 2 | Artikel 45 bewertet, relevante Vereinbarungen identifiziert und eine Teilnahmeentscheidung festgehalten, aber noch nicht umgesetzt. |
| 3 | Aktive Teilnahme an mindestens einer Vereinbarung, mit einem Prozess für die Aufnahme und Verwertung der eingehenden Informationen. |
| 4 | Sie liefern ebenso, wie Sie konsumieren, und die Erkenntnisse fließen in die Vorfallreaktion sowie in den Umfang des Testprogramms ein. |
Am häufigsten unterentwickelt: strukturell nichts. Dies ist die eine Domäne, in der eine begründete Entscheidung gegen eine Teilnahme eine legitime Antwort ist, sofern sie schriftlich festgehalten wird.
D7. Governance und Verantwortung des Leitungsorgans
Artikel 5
Artikel 5 Absatz 2 verlangt, dass das Leitungsorgan alle Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen festlegt, genehmigt, überwacht und für deren Umsetzung verantwortlich ist, und listet dann seine konkreten Pflichten unter den Buchstaben a bis i auf. Artikel 5 Absatz 4 verlangt, dass die Mitglieder ihre Kenntnisse und Fähigkeiten aktiv auf dem Stand halten, um IKT-Risiken zu verstehen und zu bewerten, unter anderem durch regelmäßige spezifische Schulungen.
| Punktzahl | Wie das aussieht |
| 1 | DORA-Verantwortlichkeiten sind auf Ebene des Leitungsorgans nicht zugewiesen. IKT-Risiko wird operativ gesteuert, ohne Verantwortung auf Vorstands- oder Geschäftsleitungsebene. |
| 2 | Das Leitungsorgan ist informiert und erhält IKT-Risikoberichte, aber seine Genehmigungen sind nicht dokumentiert, und Schulungen haben nicht stattgefunden. |
| 3 | Die Pflichten nach Artikel 5 Absatz 2 werden erfüllt und nachgewiesen: die Resilienzstrategie genehmigt nach Buchstabe d, die IKT-Geschäftsfortführungsleitlinie sowie die Reaktions- und Wiederherstellungspläne nach Buchstabe e, der IKT-Revisionsplan nach Buchstabe f, das Budget nach Buchstabe g, die IKT-Drittparteienleitlinie nach Buchstabe h und die Berichtswege nach Buchstabe i. Die Schulung nach Artikel 5 Absatz 4 hat stattgefunden. |
| 4 | Die Protokolle zeigen, dass das Leitungsorgan die IKT-Risikoberichte kritisch hinterfragt, eine Kompetenzbewertung wurde durchgeführt und umgesetzt, und die Verantwortung liegt bei namentlich benannten Personen. |
Am häufigsten unterentwickelt: dokumentierte Genehmigung als eigenständiger Nachweis gegenüber bloß dokumentierter Kenntnisnahme; Schulungsnachweise für Mitglieder des Leitungsorgans nach Artikel 5 Absatz 4; und die Budgetpflicht nach Artikel 5 Absatz 2 Buchstabe g, die eine konkrete Verpflichtung darstellt und keine allgemeine Absichtserklärung.
Gewichtung: unser Urteil und die Begründung dahinter
Wenn jede Domäne bewertet ist, gewichten Sie die Lücken. Hier müssen wir offen sein: Wir haben keine Aufsichtsdaten dazu, welche Domänen die Aufmerksamkeit der Vollzugsbehörden auf sich ziehen, und niemand, der ehrlich ist, hat sie. DORA gilt erst seit Januar 2025, und es gibt keinen veröffentlichten Bestand an Vollzugsentscheidungen, aus dem sich verallgemeinern ließe. Die folgende Gewichtung ist deshalb keine Aussage darüber, worauf Aufsichtsbehörden gerade schauen.
Sie ist ein Urteil, das auf dem Einzigen beruht, worüber der Text eine Argumentation zulässt: wie sichtbar und wie fristgebunden ein Versagen ist. Eine versäumte Meldefrist und eine abgelehnte Registereinreichung sind gegenüber einer festen Uhr von außen sichtbar. Ein dünner Risikorahmen ist Gegenstand aufsichtlicher Bewertung über einen längeren Horizont. Diese Asymmetrie treibt die Gewichtungen, nicht eine Vermutung über Prüfungsschwerpunkte.
| Domäne | Unsere Gewichtung | Warum |
| D2 Vorfallmeldung | Kritisch | Eine Vier-Stunden-Frist, die Sie entweder halten oder verpassen, und ein Verpassen ist für die Aufsicht schon von der Konstruktion her sichtbar. |
| D5 Informationsregister | Kritisch | Eine strukturierte Einreichung, welche die Validierung entweder besteht oder eben nicht. Das Fehlerbild ist binär und von außen beobachtbar. |
| D4 IKT-Drittparteienrisiko | Hoch | Die Einhaltung von Artikel 30 lässt sich durch Lesen der Verträge überprüfen, wodurch eine Lücke leicht festzustellen und schwer wegzudiskutieren ist. |
| D7 Governance | Hoch | Artikel 50 Absatz 5 erlaubt den Mitgliedstaaten, Verwaltungssanktionen und Abhilfemaßnahmen auf Mitglieder des Leitungsorgans zu erstrecken, vorbehaltlich des nationalen Rechts. |
| D1 IKT-Risikomanagement | Mittel | Grundlegend, und alles andere steht darauf, wird aber über einen längeren Horizont bewertet als eine Einreichungsfrist. |
| D3 Testen | Mittel | Eine feste jährliche Pflicht nach Artikel 24 Absatz 6, aber TLPT greift nur bei Unternehmen, die nach Artikel 26 Absatz 8 benannt wurden. |
| D6 Informationsaustausch | Niedriger | Artikel 45 ist eine Kann-Bestimmung. Eine dokumentierte Entscheidung genügt als Antwort. |
Sie sind mit einer Gewichtung nicht einverstanden? Ändern Sie sie. Wir drucken die Begründung neben die Zahl, damit Sie darüber streiten können. Eine Gewichtung, die Sie Ihrem eigenen Leitungsorgan nicht erklären können, lohnt den Weg in die Sitzung nicht.
Von Punktzahlen zu einer Arbeitsreihenfolge
Sie haben jetzt zwei Zahlen je Domäne: wie weit sie unter 3 liegt und wie schwer sie wiegt. Kreuzen Sie beide.
Wenn Sie eine einzige Anweisung vor der Matrix wollen: Bringen Sie zuerst den Registerexport und den Meldepfad außerhalb der Geschäftszeiten in Ordnung. Beide sind im Verhältnis zu ihren Konsequenzen günstig, beide lassen sich von einem kleinen Team abschließen, ohne auf jemanden warten zu müssen, und beide fallen auf eine Weise aus, welche die Aufsicht noch in derselben Woche sieht. Ein dünnes Rahmenwerkdokument kann ein Quartal liegen bleiben, ohne dass es außerhalb des Hauses jemand bemerkt. Eine verpasste Frist kann das nicht.
Wenn Sie eine einzige Anweisung vor der Matrix wollen: Bringen Sie zuerst den Registerexport und den Meldepfad außerhalb der Geschäftszeiten in Ordnung. Beide sind im Verhältnis zu ihren Konsequenzen günstig, beide lassen sich von einem kleinen Team abschließen, ohne auf jemanden warten zu müssen, und beide fallen auf eine Weise aus, welche die Aufsicht noch in derselben Woche sieht. Ein dünnes Rahmenwerkdokument kann ein Quartal liegen bleiben, ohne dass es außerhalb des Hauses jemand bemerkt. Eine verpasste Frist kann das nicht.
| Gewichtung ↓ / Punktzahl → | Punktzahl 1 | Punktzahl 2 | Punktzahl 3 oder besser |
| Kritisch | Sofort. Jetzt an das Leitungsorgan, mit datiertem Plan. | Dringend. In diesem Quartal schließen. | Erhalten und nachweisen. |
| Hoch | Dringend. In diesem Quartal schließen. | Geplant. Nächstes Quartal. | Erhalten und nachweisen. |
| Mittel oder niedriger | Geplant. Nächstes Quartal. | Roadmap. | Aufrechterhalten. |
Eine Regel lohnt es sich fest zu verdrahten: Eine Domäne mit Punktzahl 1 bei kritischer oder hoher Gewichtung geht mit einem terminierten Plan an das Leitungsorgan und landet nicht im Backlog. Artikel 5 Absatz 2 macht das Leitungsorgan für den Rahmen verantwortlich, in dem diese Lücken sitzen, weshalb eine nicht gemeldete kritische Lücke ein Governance-Versagen zusätzlich zum technischen darstellt.
Wann Sie die Analyse erneut durchführen
Sie müssen keinen Rhythmus erfinden. Artikel 6 Absatz 5 gibt Ihnen einen. Der Rahmen ist zu dokumentieren und mindestens einmal jährlich zu überprüfen, und zusätzlich:
- Beim Auftreten schwerwiegender IKT-bezogener Vorfälle. Ein schwerwiegender Vorfall ist zugleich ein Live-Test für D2 und ein Signal, dass D1 Lücken haben könnte, die auf dem Papier gut aussahen.
- Im Anschluss an aufsichtliche Anweisungen. Direkt aus dem Text.
- Im Anschluss an Schlussfolgerungen aus einschlägigen Tests der digitalen operationalen Resilienz oder aus Prüfungsprozessen. Testergebnisse sind ein Input für die Überprüfung des Rahmens.
Zwei weitere Auslöser lohnen die Aufnahme, weil sie die Antworten unter Ihnen verändern, auch wenn der Artikel sie nicht benennt: eine wesentliche Veränderung Ihrer IKT-Anbieterlandschaft, die D4 und D5 bewegt, und eine Überarbeitung der technischen Standards, die verändern kann, was eine 3 in einer Domäne überhaupt bedeutet.
Häufig gestellte Fragen
Verlangt DORA eine Gap-Analyse?
Unter diesem Namen nicht, und DORA verwendet den Begriff an keiner Stelle. Artikel 6 Absatz 5 verlangt, dass der IKT-Risikomanagementrahmen dokumentiert und mindestens einmal jährlich überprüft wird, zusätzlich beim Auftreten schwerwiegender IKT-bezogener Vorfälle sowie im Anschluss an aufsichtliche Anweisungen oder Schlussfolgerungen aus Tests der digitalen operationalen Resilienz oder aus Prüfungsprozessen. Eine Gap-Analyse ist das übliche Instrument, um diese Überprüfung durchzuführen und nachzuweisen, doch die Pflicht ist die Überprüfung selbst.
Ist die Reifegradskala von 1 bis 4 in diesem Artikel eine regulatorische Anforderung?
Nein. DORA schreibt weder eine Reifegradskala noch ein Bewertungsmodell oder ein Gewichtungsschema vor. Die vierstufige Skala, die Aufteilung in sieben Domänen und die Gewichtungen hier sind unser redaktionelles Modell, angeboten, weil Sie irgendein konsistentes Instrument brauchen, um Domänen zu vergleichen. Redaktionsfrei ist dagegen, woran jede Stufe 3 geknüpft ist: an einen konkreten Artikel, für den Sie den Nachweis erbringen müssen. Ersetzen Sie die Skala nach Belieben durch Ihre eigene. Die zugrunde liegenden Artikel sollten Sie unverändert lassen.
Wie lauten die tatsächlichen DORA-Meldefristen für Vorfälle?
Sie stehen nicht in DORA selbst. Artikel 19 Absatz 4 benennt die drei Einreichungen und verweist die Fristen an einen technischen Standard. Artikel 5 Absatz 1 der Delegierten Verordnung (EU) 2025/301 der Kommission legt sie fest: die Erstmeldung binnen vier Stunden nach Einstufung des Vorfalls als schwerwiegend und spätestens 24 Stunden nach Kenntniserlangung; der Zwischenbericht spätestens binnen 72 Stunden nach der Erstmeldung; und der Abschlussbericht spätestens einen Monat nach dem Zwischenbericht beziehungsweise nach dem zuletzt aktualisierten Zwischenbericht. Beachten Sie: 72 Stunden gelten für den Zwischenbericht. Sehr häufig, und fälschlich, wird die Frist dem Abschlussbericht zugeordnet.
Wie viele Vertragsbestimmungen verlangt Artikel 30 Absatz 2?
Neun. Artikel 30 Absatz 2 listet die Buchstaben a bis i auf: eine Beschreibung der Funktionen und IKT-Dienstleistungen sowie der Bedingungen für die Unterauftragsvergabe; die Orte, an denen die Dienstleistungen erbracht und die Daten verarbeitet werden; Bestimmungen zum Datenschutz; Bestimmungen zu Zugang, Wiederherstellung und Rückgabe von Daten; Beschreibungen der Dienstleistungsgüte; Pflichten zur Unterstützung bei Vorfällen; Zusammenarbeit mit den zuständigen Behörden; Kündigungsrechte und Kündigungsfristen; sowie die Teilnahme an den Programmen des Unternehmens zur Sensibilisierung für IKT-Sicherheit und zur Schulung in digitaler operationaler Resilienz. Artikel 30 Absatz 3 ergänzt dann weitere Elemente, wenn die Vereinbarung eine kritische oder wichtige Funktion unterstützt. Eine Gap-Analyse, die gegen eine Liste von 12 "Bestimmungen nach Artikel 30 Absatz 2" bewertet, bewertet gegen eine Liste, die es in der Verordnung nicht gibt.
Können wir unsere ISO 27001-Bewertung als DORA-Gap-Analyse wiederverwenden?
Teilweise, und die Grenze ist scharf. Eine ISO 27001-Bewertung liefert echte Signale zu D1 und D3, weil sich die zugrunde liegende Substanz des Sicherheitsmanagements überschneidet. Zu D5 liefert sie nichts, weil das Informationsregister ein Meldeartefakt ist, das eine EU-Durchführungsverordnung definiert und für das es keine ISO-Entsprechung gibt. Sie liefert nichts zu den DORA-spezifischen Teilen von D4, insbesondere zu den Vertragselementen nach Artikel 30, nichts zu den Klassifizierungskriterien nach Artikel 18 und zur Meldefrist in D2, und nichts zu den Pflichten des Leitungsorgans nach Artikel 5 Absatz 2 in D7. Verwenden Sie wieder, was sich echt überschneidet, und bewerten Sie den Rest gegen die Artikel.
Welche Punktzahl sollten wir anstreben?
Eine 3 in jeder Domäne bedeutet, dass Sie die Anforderungen wie geschrieben erfüllen und das nachweisen können, und genau das ist die Messlatte, die die Verordnung setzt. Streben Sie eine 4 dort an, wo ein Versagen fristgebunden und von außen sichtbar ist, in unserer Gewichtung also bei D2 und D5. Wichtiger als jede Zahl ist jedoch dieses Ziel: keine Domäne auf 1, ohne dass ein datierter Plan beim Leitungsorgan liegt.
Primärquellen
Jede Artikelnummer, jede Frist und jede Anzahl in diesem Artikel wurde gegen die untenstehenden Texte geprüft. Bestätigen Sie die aktuelle Fassung, bevor Sie sich auf einen bestimmten Absatz stützen.
- Verordnung (EU) 2022/2554 (DORA) - Artikel 5, 6, 17 bis 19, 24 bis 27, 28 bis 30, 45 und 50. Sie umfasst 64 Artikel und gilt ab dem 17. Januar 2025.
- Delegierte Verordnung (EU) 2025/301 der Kommission - Artikel 5 Absatz 1 legt die Fristen von vier Stunden, 72 Stunden und einem Monat fest.
- Durchführungsverordnung (EU) 2024/2956 der Kommission - der ITS zum Informationsregister, der die 15 Meldebögen B_01.01 bis B_99.01 festlegt.
- Delegierte Verordnung (EU) 2024/1774 der Kommission - der RTS zu Instrumenten, Methoden, Prozessen und Leitlinien des IKT-Risikomanagements.
Die Analyse in Venvera durchführen
Venvera hat ein Gap-Analyse-Modul, und es lohnt sich, präzise zu sagen, was es leistet. Es führt eine bewertete Analyse gegen ein Framework durch, erzeugt einen Gesamtscore und macht aus jeder Lücke einen Maßnahmenplan mit Priorität, Verantwortlichem und Fälligkeitsdatum, sodass am Ende ein nachverfolgter Plan steht, dessen Fortschritt sichtbar bleibt. Heute deckt es DORA und NIS2 ab, und DORA-Analysen gibt es in einer Vollvariante und einer Variante für Kleinstunternehmen. Das ist die Grenze, und wir nennen sie lieber, als eine größere anzudeuten.
DORA ist eines von mehreren Regimen, die die meisten Finanzunternehmen gleichzeitig tragen, und die Arbeit überschneidet sich stark. Die Crosswalk-Engine existiert, damit ein einmal nachgewiesenes Control seine Gegenstücke unter NIS2 oder ISO 27001 miterfüllen kann, statt von null neu aufgebaut zu werden. Für eine schnellere Einschätzung Ihres Stands, bevor Sie sich auf etwas festlegen, nutzen Sie den kostenlosen Compliance-Check.
Bewerten Sie Ihren Reifegrad und verfolgen Sie die Nachbesserung
Eine bewertete Gap-Analyse, Maßnahmenpläne mit Verantwortlichen und Terminen, und die Nachweise dort abgelegt, wo ein Prüfer sie findet.
Demo buchen →Zuletzt aktualisiert: Juli 2026. Allgemeine Informationen, keine Rechtsberatung. Die Reifegradskala, die Aufteilung in sieben Domänen und die Gewichtungen in diesem Artikel sind das redaktionelle Modell von Venvera und keine regulatorischen Anforderungen. Gleichen Sie Artikelverweise mit dem aktuellen Text und den Hinweisen Ihrer zuständigen Behörde ab.
