Wissen
DORA verwendet den Begriff "Key Risk Indicator" an keiner Stelle. Die Verordnung verlangt allerdings, Schwellenwerte zu definieren und auf sie zu reagieren, und das ist dieselbe Aufgabe unter anderem Namen.
Der Digital Operational Resilience Act, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025. Sie umfasst 64 Artikel. Suchen Sie nach "DORA KRIs", finden Sie Indikatorlisten mit der Behauptung, dieser oder jener Artikel verlange sie; erstaunlich viele dieser Listen zitieren Artikel, die etwas anderes sagen als behauptet, oder in einzelnen Fällen gar nicht existieren. Der Zweck dieses Leitfadens ist deshalb eng gefasst und überprüfbar: vierzehn Indikatoren, jeder an den Artikel geknüpft, den er tatsächlich belegen hilft, mit dem Artikeltext dort zitiert, wo es darauf ankommt.
Zwei Hinweise zur Ehrlichkeit vorweg, denn sie bestimmen, wie Sie alles Folgende lesen sollten. Erstens stammen die Schwellenwerte von uns, nicht von der Aufsicht. DORA legt nirgends numerische KRI-Schwellenwerte fest. Jeder Prozentwert und jede Anzahl in diesem Artikel ist ein illustrativer Ausgangspunkt, den Sie auf Ihren eigenen Risikoappetit einstellen sollen. Wer Ihnen einen Schwellenwert als DORA-Anforderung oder als Branchenmaßstab verkauft, erfindet ihn. Zweitens ist der Anknüpfungspunkt im Text, der Schwellenwerten am nächsten kommt, Artikel 10 Absatz 2, der Erkennungsmechanismen verlangt, die "Alarmschwellen und -kriterien für die Auslösung und Einleitung von Reaktionsprozessen auf IKT-bezogene Vorfälle festlegen". Das ist die Pflicht, der KRIs dienen.
| Verlangt DORA KRIs? | Dem Namen nach nicht. Der Begriff kommt in der Verordnung nicht vor. Artikel 6 Absatz 1 verlangt die laufende Überwachung des IKT-Risikos, Artikel 10 Absatz 2 verlangt Alarmschwellen, die Reaktionsprozesse auslösen. KRIs sind das übliche Instrument für beides. |
| Legt DORA KRI-Schwellenwerte fest? | Nein. Kein einziger numerischer Schwellenwert für irgendeinen Indikator. Jede Zahl in diesem Artikel ist unser illustrativer Vorschlagswert. |
| Wo die Zahlen tatsächlich aus dem Recht stammen | Bei den Fristen für die Vorfallsmeldung. Diese Stunden sind fest, und sie stehen in der Delegierten Verordnung (EU) 2025/301 der Kommission, nicht in DORA selbst. |
Artikel 5: Governance und Organisation
Artikel 5 Absatz 2 nimmt das Leitungsorgan persönlich in die Pflicht: Es muss "alle Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen festlegen, genehmigen, überwachen und für deren Umsetzung verantwortlich sein". Artikel 5 Absatz 2 Buchstabe i verlangt dann, Berichtswege einzurichten, damit das Leitungsorgan ordnungsgemäß über Vereinbarungen mit Drittanbietern, wesentliche Änderungen und zumindest schwerwiegende Vorfälle informiert wird.
Die aufsichtliche Frage, die daraus entsteht, lautet weniger "haben Sie Indikatoren?" als vielmehr "was sieht das Leitungsorgan tatsächlich, und was tut es, wenn einer rot wird?". Ein einzelner Indikator beantwortet das nicht. Eine Verdichtung schon.
Artikel 5 ist die auf dem Papier am günstigsten zu erfüllende Pflicht in diesem Leitfaden und die am schwersten ehrlich zu erfüllende. Eine Vorstandsmappe zu erstellen kostet einen Nachmittag. Ein Leitungsorgan dazu zu bringen, einen roten Indikator zu hinterfragen, und diese Auseinandersetzung schriftlich festzuhalten, ist eine Gewohnheitsänderung, die mehrere Zyklen braucht. Fangen Sie früh damit an, denn es ist der eine Punkt auf dieser Liste, den Sie weder kaufen noch automatisieren können.
KRI 1: Zusammengesetzter Gesundheitswert je Domäne
Ein einzelner Wert von 0 bis 100 je Risikodomäne, gebildet aus den darunterliegenden Einzelindikatoren, damit das Leitungsorgan die Lage über den gesamten Bestand hinweg sieht statt vierzehn zusammenhangloser Zahlen. Das ist die Verdichtung, die die Berichtswege nach Artikel 5 Absatz 2 Buchstabe i auf Vorstandsebene nutzbar macht.
Richtung: höher ist besser. Beispielschwellen: unsere Vorgabebänder sind grün ab 80, gelb von 60 bis 79, rot unter 60. Legen Sie eigene fest.
Artikel 6: IKT-Risikomanagementrahmen
Artikel 6 Absatz 1 verlangt einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen, der es Ihnen ermöglicht, "IKT-Risiken schnell, effizient und umfassend anzugehen". Artikel 6 Absatz 5 verlangt, den Rahmen zu dokumentieren und mindestens einmal jährlich zu überprüfen, außerdem nach schwerwiegenden Vorfällen, nach aufsichtlichen Anweisungen sowie nach Erkenntnissen aus Tests und Prüfungen. Artikel 6 Absatz 8 verlangt, dass er eine Strategie für die digitale operationale Resilienz enthält, unter Buchstabe b einschließlich der IKT-Risikotoleranzschwelle.
Diese Risikotoleranzschwelle ist der Anknüpfungspunkt. Sobald Sie eine Toleranz aufgeschrieben haben, wird "sind wir außerhalb?" zu einer messbaren Frage, und eine dokumentierte Toleranz, an der nichts misst, ist das schwächste Element im gesamten Rahmen.
Die Toleranzaussage zu formulieren ist die leichte Hälfte, und die meisten Häuser haben das bereits erledigt. Die Reibung entsteht bei der Einigung darüber, was als Überschreitung gilt, denn in dem Moment, in dem eine Zahl die Toleranz real macht, muss jemand auf Führungsebene verantworten, was beim Überschreiten passiert. Rechnen Sie damit, dass diese Diskussion länger dauert als das Formulieren.
KRI 2: Kritische Risiken oberhalb der Toleranz
Anzahl der IKT-Risiken der Stufe kritisch, deren Restrisikobewertung die nach Artikel 6 Absatz 8 Buchstabe b dokumentierte IKT-Risikotoleranzschwelle übersteigt. Liegt dieser Wert über null und eskaliert niemand, ist die Toleranzaussage Dekoration.
Richtung: niedriger ist besser. Beispielschwellen: grün 0, gelb bis 2, rot über 2.
KRI 3: Leitlinien mit überschrittenem Prüftermin
Anteil der genehmigten Leitlinien, deren nächster Prüftermin verstrichen ist. Artikel 6 Absatz 5 macht die jährliche Überprüfung des Rahmens zur Pflicht, und ein Rahmen, dessen einzelne Leitlinien still abgelaufen sind, übersteht den Kontakt mit einer Prüferin nicht.
Richtung: niedriger ist besser. Beispielschwellen: grün bei höchstens 5 Prozent, gelb bis 15 Prozent, rot über 15 Prozent.
KRI 4: Risiken mit überfälliger Überprüfung
Anzahl der Risiken, deren nächster Prüftermin verstrichen ist, ohne dass eine aktualisierte Überprüfung erfasst wurde. Das Gegenstück zum Indikator darüber, bezogen auf das Risikoregister statt auf das Leitlinienwerk.
Richtung: niedriger ist besser. Beispielschwellen: grün bis 2, gelb bis 10, rot über 10.
Artikel 9 und 10: Schutz, Prävention und Erkennung
Artikel 9 verlangt Schutz- und Präventionsmaßnahmen. Artikel 10 ist derjenige, der für den Entwurf von Indikatoren am wichtigsten ist, und er ist zugleich der Artikel, der in KRI-Leitfäden am häufigsten falsch zugeordnet wird, weil sie seinen Inhalt gern Artikel 6 Absatz 8 zuschreiben. Zur Präzisierung: Artikel 6 Absatz 8 ist die Strategie für die digitale operationale Resilienz. Die Erkennung anomaler Aktivitäten steht in Artikel 10.
Artikel 10 Absatz 1: "Finanzunternehmen verfügen über Mechanismen, um anomale Aktivitäten im Einklang mit Artikel 17, einschließlich Problemen bei der Leistungsfähigkeit von IKT-Netzwerken und IKT-bezogener Vorfälle, umgehend zu erkennen und potenzielle wesentliche einzelne Ausfallpunkte zu ermitteln."
Artikel 10 Absatz 2: Die Erkennungsmechanismen müssen "mehrere Kontrollebenen ermöglichen, Alarmschwellen und -kriterien für die Auslösung und Einleitung von Reaktionsprozessen auf IKT-bezogene Vorfälle festlegen, einschließlich automatischer Alarmmechanismen für einschlägiges Personal, das für Reaktionsmaßnahmen auf IKT-bezogene Vorfälle zuständig ist."
"Alarmschwellen und -kriterien für die Auslösung und Einleitung von Reaktionsprozessen auf IKT-bezogene Vorfälle festlegen" ist das, was der Beschreibung eines KRI-Programms in DORA am nächsten kommt. Es sagt Ihnen zugleich, wozu ein Schwellenwert da ist: Er ist ein Auslöser, der eine Reaktion startet, und damit weit mehr als eine Farbe auf einer Folie.
KRI 5: Durchschnittliche Kontrollwirksamkeit
Anteil der umgesetzten Kontrollen, die bei ihrer letzten Prüfung als wirksam bewertet wurden. Artikel 9 fragt, ob Schutzmaßnahmen existieren; dieser Indikator fragt, ob sie wirken, und das ist die schwierigere und nützlichere Frage.
Richtung: höher ist besser. Beispielschwellen: grün ab 85 Prozent, gelb ab 70 Prozent, rot unter 70 Prozent.
KRI 6: Offene hohe oder kritische Schwachstellen, älter als 30 Tage
Anzahl der Schwachstellen hoher Schwere, die vor mehr als 30 Tagen entdeckt wurden und weiterhin offen sind. Ein direkter Messwert dafür, ob Erkennung in die Behebung mündet oder lediglich eine Warteschlange füllt.
Richtung: niedriger ist besser. Beispielschwellen: grün bis 5, gelb bis 20, rot über 20.
Artikel 17 bis 19: Vorfallsmanagement und die Meldefristen
Artikel 17 verlangt einen Prozess für das Management IKT-bezogener Vorfälle. Artikel 18 legt die Kriterien fest, nach denen ein Vorfall als schwerwiegend eingestuft wird. Artikel 19 Absatz 4 verlangt drei Einreichungen, eine Erstmeldung, einen Zwischenbericht und einen Abschlussbericht, setzt aber überhaupt keine Fristen: Er verweist die Fristen an einen technischen Regulierungsstandard.
Das ist wichtig, weil die Fristen fast überall falsch zitiert werden, auch in ansonsten sorgfältigen Leitfäden. Die Fristen stehen in Artikel 5 Absatz 1 der Delegierten Verordnung (EU) 2025/301 der Kommission:
| Einreichung | Frist, zitiert nach RTS 2025/301 Artikel 5 Absatz 1 |
| Erstmeldung | "innerhalb von vier Stunden nach der Einstufung des IKT-bezogenen Vorfalls als schwerwiegender IKT-bezogener Vorfall und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat" |
| Zwischenbericht | "spätestens innerhalb von 72 Stunden nach Übermittlung der Erstmeldung" |
| Abschlussbericht | "spätestens einen Monat nach Übermittlung des Zwischenberichts oder gegebenenfalls nach dem zuletzt aktualisierten Zwischenbericht" |
Der Fehler, den Sie in Ihrem eigenen Runbook suchen sollten. Die 72 Stunden gelten für den Zwischenbericht. Sie werden sehr verbreitet als Frist für den Abschlussbericht genannt, während die 24 Stunden fälschlich als Zwischenbericht beschrieben werden. Die 24-Stunden-Angabe ist die äußere Grenze für die Erstmeldung, gemessen ab Kenntniserlangung statt ab Einstufung. Sind diese in Ihrem Vorfallsprozess vertauscht, sind Ihre Eskalationszeiten auf eine Weise falsch, die erst auffällt, wenn es zu spät zum Korrigieren ist.
Das Fenster für die Erstmeldung ist dasjenige, das wirklich weh tut. Es liest sich machbar, bis Sie zählen, was hineinpassen muss: Jemand stuft den Vorfall ein, jemand auf Führungsebene stimmt der Einstufung zu, und jemand entwirft eine Meldung, hinter die sich die Rechtsabteilung stellen kann. Entscheiden Sie jetzt und schriftlich, wer einen Vorfall mitten in der Nacht als schwerwiegend einstufen darf, ohne jemanden einberufen zu müssen. Diese eine Entscheidung tut mehr für Ihre Meldefristtreue als jedes Dashboard.
KRI 7: Offene schwerwiegende Vorfälle
Anzahl der nach Artikel 18 als schwerwiegend eingestuften Vorfälle, die weiterhin offen oder in Bearbeitung sind. Die Zahl, nach der das Leitungsorgan zuerst fragt.
Richtung: niedriger ist besser. Beispielschwellen: grün 0, gelb bis 2, rot über 2.
KRI 8: Vorfälle mit versäumter aufsichtlicher Meldefrist, rollierend 90 Tage
Anzahl der Vorfälle der letzten 90 Tage, bei denen eine gesetzliche Meldefrist überschritten wurde. Das ist der Indikator, der niemals gelb sein sollte. Eine versäumte Frist ist selbst ein meldepflichtiges Versagen, dieser Wert misst also einen Compliance-Verstoß.
Richtung: niedriger ist besser. Beispielschwellen: grün 0, gelb 1, rot über 1. Es spricht einiges dafür, hier gar kein gelbes Band vorzusehen.
KRI 9: Mittlere Dauer bis zur Behebung kritischer IKT-Risiken
Durchschnittliche Anzahl an Tagen von der Identifikation bis zum Abschluss bei kritischen IKT-Risiken. Artikel 6 Absatz 1 verlangt, IKT-Risiken "schnell, effizient und umfassend" anzugehen; das ist das einzige Wort dieser Formulierung, dem Sie eine Zahl geben können.
Richtung: niedriger ist besser. Beispielschwellen: grün bei höchstens 45 Tagen, gelb bei höchstens 90 Tagen, rot über 90 Tagen.
Artikel 24 bis 27: Resilienztests
Artikel 24 Absatz 1 verlangt ein Testprogramm für Finanzunternehmen mit Ausnahme von Kleinstunternehmen, als integralen Bestandteil des IKT-Risikomanagementrahmens. Artikel 24 Absatz 6 ist derjenige mit einer Zahl darin: Mindestens jährlich sind angemessene Tests an allen IKT-Systemen und Anwendungen durchzuführen, die kritische oder wichtige Funktionen unterstützen. Artikel 25 Absatz 1 listet die verfügbaren Testarten auf.
Von allem in diesem Leitfaden ist das Testprogramm die Anforderung, die am leisesten untererfüllt wird. Den Plan zu schreiben ist unkompliziert. Woran es hakt, ist, das Geschäft dazu zu bringen, die Menschen und die Umgebungen für die Durchführung freizugeben, jedes Jahr, über jedes System hinter einer kritischen oder wichtigen Funktion. Sind Ihr Plan und Ihre tatsächlich durchgeführten Tests auseinandergelaufen, korrigieren Sie den Plan, bevor eine Aufsichtsbehörde die Lücke für Sie findet, und halten Sie fest, warum er geändert wurde.
Zu bedrohungsorientierten Penetrationstests eine Korrektur, die sich lohnt, weil der Irrtum ständig wiederholt wird: TLPT nach Artikel 26 Absatz 1 sind mindestens alle drei Jahre erforderlich, allerdings weder für "die größten Unternehmen" noch für "bedeutende Institute" als Klasse. Erforderlich sind sie für Unternehmen, die ihre zuständige Behörde nach Artikel 26 Absatz 8 ermittelt hat. Die Größe korreliert damit, doch der Auslöser ist die Benennung, und es ist die zuständige Behörde, die darüber entscheidet.
KRI 10: Fristgerecht abgeschlossene Resilienztests
Anteil der geplanten Resilienztests, einschließlich Wiederanlaufübungen und Szenariotests, die innerhalb ihres geplanten Fensters abgeschlossen wurden. Das Programm nach Artikel 24 ist eine Pflicht zu testen, und ein Plan, den niemand ausführt, ist der häufigste Weg, still daran zu scheitern.
Richtung: höher ist besser. Beispielschwellen: grün ab 90 Prozent, gelb ab 75 Prozent, rot unter 75 Prozent.
Artikel 28 bis 30: IKT-Drittparteienrisiko
Das ist der Abschnitt, der den Kalender auffrisst. Das Register selbst ist mühsam statt schwierig, genau bis zu dem Punkt, an dem Sie die Weitervergabe beschreiben müssen und feststellen, dass Ihr Dienstleister Ihnen seine eigenen Dienstleister nicht nennen will. Die Vertragsbestandteile sind noch härter: Laufende Verträge wieder aufzumachen, um Prüfungs- und Zugangsrechte zu ergänzen, bedeutet je bedeutendem Lieferanten einen Monat Hinterhertelefonieren, und je kleiner Sie sind, desto weniger Hebel haben Sie dabei. Arbeiten Sie zuerst die Dienstleister hinter kritischen oder wichtigen Funktionen ab und akzeptieren Sie, dass der lange Schwanz noch offen sein wird, wenn das Register eingereicht wird.
Artikel 28 verlangt das laufende Management des IKT-Drittparteienrisikos, Artikel 28 Absatz 3 verlangt das Informationsregister. Artikel 28 Absatz 8 verlangt Ausstiegsstrategien für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Artikel 29 verlangt eine vorherige Bewertung des IKT-Konzentrationsrisikos, einschließlich der Frage, ob ein Dienstleister "nicht leicht ersetzbar" ist. Artikel 30 Absatz 2 führt in den Buchstaben a bis i die neun Vertragsbestandteile auf, die jede IKT-Vereinbarung enthalten muss, wobei Artikel 30 Absatz 3 für kritische oder wichtige Funktionen weitere ergänzt.
KRI 11: Kritische Lieferanten mit überfälliger Risikobewertung
Anteil der kritischen oder wichtigen IKT-Dienstleister, deren jüngste Risikobewertung älter als ein Jahr ist. Die laufende Überwachung nach Artikel 28 ist eine Dauerpflicht.
Richtung: niedriger ist besser. Beispielschwellen: grün bei höchstens 5 Prozent, gelb bei höchstens 15 Prozent, rot über 15 Prozent.
KRI 12: Ausgabenkonzentration auf die Top-5-Lieferanten
Anteil der jährlichen IKT-Ausgaben, der auf die fünf größten Dienstleister entfällt. Ein grobes Instrument, aber dasjenige, das die Frage der Ersetzbarkeit nach Artikel 29 am günstigsten sichtbar macht.
Richtung: niedriger ist besser. Beispielschwellen: grün unter 50 Prozent, gelb unter 70 Prozent, rot ab 70 Prozent.
Artikel 31: Kritische IKT-Drittdienstleister und Konzentration
Artikel 31 gibt den ESAs die Befugnis, IKT-Drittdienstleister als kritisch einzustufen und sie dem Überwachungsrahmen zu unterstellen. Die gesamte Anlage jenes Kapitels spiegelt eine systemische Sorge wider: eine kleine Zahl von Dienstleistern, die einen großen Teil des EU-Finanzsektors bedient. Ihr Gegenstück zu dieser Sorge auf Unternehmensebene messen Sie mit Konzentrationsindikatoren.
KRI 13: HHI der Lieferantenausgaben
Der Herfindahl-Hirschman-Index der IKT-Lieferantenausgaben, also die Summe der quadrierten Prozentanteile. Er erfasst etwas, das ein Top-5-Anteil nicht leisten kann: ob die Konzentration bei einem einzigen Dienstleister liegt oder sich auf mehrere verteilt.
Richtung: niedriger ist besser. Beispielschwellen: unter 1.500, 1.500 bis 2.500, über 2.500. Beachten Sie den Vorbehalt direkt darunter, denn diese Zahlen sind entliehen und keine regulatorische Vorgabe.
KRI 14: Kritische Funktionen mit einem einzigen Dienstleister
Anzahl der kritischen oder wichtigen Funktionen, hinter denen genau ein Dienstleister steht. Jede davon ist ein einzelner Ausfallpunkt, und Artikel 10 Absatz 1 verlangt ausdrücklich, potenzielle wesentliche einzelne Ausfallpunkte zu ermitteln.
Richtung: niedriger ist besser. Beispielschwellen: grün bis 1, gelb bis 3, rot über 3.
Woher die HHI-Bänder tatsächlich stammen. DORA schreibt keine HHI-Schwellenwerte vor, und die ESAs haben keine veröffentlicht. Die Bänder 1.500 und 2.500 sind aus der Wettbewerbspolitik entliehen: Es sind die Konzentrationsschwellen der US Horizontal Merger Guidelines von 2010 des Justizministeriums und der Federal Trade Commission, die einen Markt unter 1.500 als unkonzentriert, von 1.500 bis 2.500 als mäßig konzentriert und über 2.500 als hoch konzentriert einstufen. Sie sind ein vernünftiger entliehener Maßstab und darüber hinaus nichts. Sie sind kein EU-Standard, sie sind kein DORA-Standard, und die eigenen Fusionsleitlinien der Europäischen Kommission arbeiten mit ganz anderen Bändern. Nutzen Sie sie als Ausgangsskala statt als Compliance-Ziel.
Was passiert, wenn ein Indikator rot wird
Ein Indikator, der rot wird und eine E-Mail erzeugt, ist ein Dashboard. Ein Indikator, der rot wird und einen Prozess startet, ist eine Kontrolle. Genau diesen Unterschied sondieren Aufsichtsbehörden, wenn sie nach den Schwellenwerten fragen, auf die Sie reagieren, und Artikel 10 Absatz 2 sagt ausdrücklich, dass Schwellenwerte dazu da sind, "Reaktionsprozesse auf IKT-bezogene Vorfälle auszulösen und einzuleiten".
Artikel 10 Absatz 2 gehört im Übrigen zu den besser formulierten Bestimmungen in DORA. Er widersteht der Versuchung, Kennzahlen vorzuschreiben, und sagt stattdessen, wozu ein Schwellenwert dient. Das lässt Ihnen die Freiheit, Indikatoren zu wählen, die zu Ihrem Bestand passen, und es nimmt Ihnen zugleich die Ausrede, denn die Verordnung hat Ihnen klar gesagt, wie gut aussieht.
Das Gestaltungsprinzip ist unkompliziert. Wenn ein Indikator in den roten Bereich läuft, sollten drei Dinge geschehen, ohne dass jemand sie eigens veranlasst: Die Überschreitung wird mit dem auslösenden Wert und der verantwortlichen Person erfasst; wenn die Überschreitung ein meldepflichtiges Ereignis bedeutet, wird sofort ein Vorfall eröffnet statt erst nach einer Besprechung; und die Meldefristen werden ab dem Zeitpunkt der Erkennung berechnet statt ab dem Zeitpunkt, an dem sich jemand an sie erinnert.
Beim letzten Punkt hören die Fristen aus dem Abschnitt oben auf, bloße Detailkunde zu sein. Berechnet Ihr Werkzeug die falsche Frist, teilt es Ihnen mit, Sie lägen bequem innerhalb eines Fensters, das Sie tatsächlich längst verpasst haben. Was auch immer Sie einsetzen, einschließlich alles unten Beschriebenen: Prüfen Sie die daraus entstehende Fristenrechnung selbst gegen Artikel 5 Absatz 1 des RTS 2025/301.
Häufig gestellte Fragen
Verlangt DORA ausdrücklich Key Risk Indicators?
Nein. Der Begriff "Key Risk Indicator" kommt in der Verordnung (EU) 2022/2554 nicht vor. Was die Verordnung verlangt, ist die dahinterliegende Funktion: Artikel 6 Absatz 1 verlangt einen IKT-Risikomanagementrahmen, der es Ihnen ermöglicht, IKT-Risiken schnell, effizient und umfassend anzugehen, und Artikel 10 Absatz 2 verlangt Erkennungsmechanismen, die Alarmschwellen und -kriterien für die Auslösung und Einleitung von Reaktionsprozessen festlegen. KRIs sind das übliche Instrument, um das zu erfüllen. Die ehrliche Formulierung lautet also: DORA verlangt die Aufgabe und überlässt Ihnen die Wahl des Werkzeugs. Wer Ihnen erzählt, die Verordnung schreibe KRIs dem Namen nach vor, hat sie nicht gelesen.
Sind die Schwellenwerte in diesem Artikel regulatorische Vorgaben oder Branchenmaßstäbe?
Weder noch. Jede Zahl in diesem Artikel, die 70 Prozent, die 85 Prozent, die 90 Prozent, die Stückzahlen, die HHI-Bänder, ist ein illustrativer Vorschlagswert, den wir gewählt haben, damit die Indikatoren konkret genug sind, um über sie zu streiten. DORA legt nirgends numerische KRI-Schwellenwerte fest, und es gibt keinen veröffentlichten EU-Benchmark-Datensatz für diese Kennzahlen. Stimmen Sie sie auf Ihren eigenen Risikoappetit und die Größe Ihres Bestands ab. Präsentiert Ihnen ein Anbieter oder eine Beratung einen Schwellenwert als "die DORA-Anforderung" oder "den Branchenstandard", bitten Sie um die Fundstelle, und rechnen Sie damit, keine zu bekommen.
Wie lauten die tatsächlichen DORA-Meldefristen für Vorfälle?
Vier Stunden, 72 Stunden, ein Monat. Genauer: die Erstmeldung innerhalb von vier Stunden nach der Einstufung des Vorfalls als schwerwiegend und in jedem Fall spätestens 24 Stunden nach Kenntniserlangung; der Zwischenbericht spätestens innerhalb von 72 Stunden nach der Erstmeldung; und der Abschlussbericht spätestens einen Monat nach dem Zwischenbericht oder gegebenenfalls nach dem zuletzt aktualisierten Zwischenbericht. Festgelegt sind sie in Artikel 5 Absatz 1 der Delegierten Verordnung (EU) 2025/301 der Kommission, nicht in DORA selbst, weil Artikel 19 Absatz 4 der DORA die drei Einreichungen benennt und die Fristen an den technischen Regulierungsstandard verweist. Der verbreitete Fehler besteht darin, die 24 Stunden als Zwischenbericht und die 72 Stunden als Abschlussbericht zu beschreiben. Beide Hälften davon sind falsch.
Welcher Artikel verlangt die Erkennung anomaler Aktivitäten: Artikel 6 Absatz 8 oder Artikel 10?
Artikel 10. Das ist es wert, unmissverständlich gesagt zu werden, weil die Fehlzuordnung in KRI-Ratgebern verbreitet ist und eine frühere Fassung dieses Artikels denselben Fehler machte. Artikel 10 Absatz 1 verlangt Mechanismen, um anomale Aktivitäten umgehend zu erkennen und potenzielle wesentliche einzelne Ausfallpunkte zu ermitteln, und Artikel 10 Absatz 2 verlangt, dass diese Mechanismen Alarmschwellen festlegen. Artikel 6 Absatz 8 ist etwas völlig anderes: Er verlangt, dass der IKT-Risikomanagementrahmen eine Strategie für die digitale operationale Resilienz enthält und unter Buchstabe b die IKT-Risikotoleranzschwelle festlegt.
Sind die HHI-Bänder 1.500 und 2.500 offizielle DORA-Werte?
Nein. DORA schreibt keine HHI-Schwellenwerte vor, und die ESAs haben keine veröffentlicht. Diese Bänder stammen aus den US Horizontal Merger Guidelines von 2010 des Justizministeriums und der Federal Trade Commission, wonach ein Markt unter 1.500 als unkonzentriert, von 1.500 bis 2.500 als mäßig konzentriert und über 2.500 als hoch konzentriert gilt. Sie sind ein aus der Wettbewerbspolitik entliehener Maßstab statt eines EU-Regulierungsstandards, und die Europäische Kommission verwendet in ihren eigenen Fusionsleitlinien andere Bänder. Nutzen Sie sie als Skala zum Argumentieren und stellen Sie sie intern nicht als Compliance-Schwelle dar.
Für wen gelten bedrohungsorientierte Penetrationstests tatsächlich?
Für Unternehmen, die ihre zuständige Behörde nach Artikel 26 Absatz 8 ermittelt hat, auf Grundlage einer Bewertung von Auswirkung, systemischem Charakter sowie IKT-Risikoprofil und Reifegrad. Es sind weder "die größten Unternehmen" noch "bedeutende Institute" als Klasse, und es ist nichts, in das Sie sich selbst hineinbewerten. Artikel 26 Absatz 1 verlangt dann von diesen ermittelten Unternehmen, mindestens alle drei Jahre TLPT durchzuführen. Unternehmen, die nicht ermittelt wurden, betreiben weiterhin das allgemeine Testprogramm nach den Artikeln 24 und 25, einschließlich der von Artikel 24 Absatz 6 geforderten mindestens jährlichen Tests der Systeme, die kritische oder wichtige Funktionen unterstützen.
Primärquellen
Jede Artikelnummer in diesem Leitfaden wurde gegen den Verordnungstext geprüft. Die Artikelanzahl, die Fristen und die Herkunft der Schwellenwerte stammen alle aus den folgenden Quellen.
- Verordnung (EU) 2022/2554 (DORA) - Artikel 5, 6, 9, 10, 13, 17 bis 19, 24 bis 27, 28 bis 31. Sie enthält 64 Artikel und gilt ab dem 17. Januar 2025.
- Delegierte Verordnung (EU) 2025/301 der Kommission - Artikel 5 Absatz 1 setzt die Fristen von vier Stunden, 72 Stunden und einem Monat.
- Delegierte Verordnung (EU) 2024/1774 der Kommission - der RTS zu Instrumenten, Methoden, Prozessen und Leitlinien des IKT-Risikomanagements.
- Horizontal Merger Guidelines von 2010 (US DOJ und FTC) - der tatsächliche Ursprung der HHI-Konzentrationsbänder 1.500 und 2.500.
Wie das in Venvera funktioniert
Dreizehn der vierzehn Indikatoren oben sind als vorbefüllte Einträge im KRI-Katalog von Venvera enthalten. Der vierzehnte, der zusammengesetzte Gesundheitswert je Domäne, ist überhaupt kein Katalogeintrag: Er ist die Verdichtung, die die Vorstandsmappe über zehn Risikodomänen aus den jeweils darunterliegenden Indikatoren berechnet. Auch beim Rest lohnt sich Genauigkeit, denn der Katalog ist ein rahmenwerkübergreifender Katalog. Er enthält 23 Indikatoren, die mehreren Regimen zugeordnet sind, darunter DORA und ISO 27001. Deshalb wird die Zuordnung in diesem Artikel als unsere ausgewiesen: Wir haben jeden Indikator an den DORA-Artikel geknüpft, den er belegen hilft, statt so zu tun, als stemple das Produkt auf jeden einzelnen einen DORA-Artikel.
Jeder Indikator trägt eine Richtung, damit das System weiß, ob oben gut oder schlecht ist, dazu eine gelbe und eine grüne Schwelle, eine verantwortliche Person, eine Messfrequenz und eine Historie. Vierzehn von ihnen berechnen sich planmäßig selbst aus Daten, die bereits in der Plattform liegen, und ziehen dafür aus dem Risikoregister, den Vorfallsakten, der Kontrollbibliothek und den Drittparteiendaten. Die Zahl ist damit mehr als jemandes Erinnerung, die einmal im Quartal in ein Formular getippt wird.
Jeder Indikator hat außerdem eine Einstellung, um beim Wechsel in den roten Bereich automatisch einen verknüpften Vorfall zu eröffnen. Dabei wird die Überschreitung mit dem auslösenden Wert und der verantwortlichen Person erfasst, und die Meldefristen wandern auf einen Worker, der sie alle fünf Minuten erneut prüft, statt darauf zu warten, dass jemand es bemerkt. Die Vorstandsmappe entsteht aus denselben Daten: Domänengesundheit über zehn Risikodomänen, die Indikatoren, die sich seit dem letzten Snapshot verschlechtert haben, und die weiterhin offenen Überschreitungen.
Was wir Ihnen nicht erzählen werden, ist, dass Ihnen das die Pflicht abnimmt, die Rechenlogik zu prüfen. Fristenlogik ist genau die Art von Sache, die still falsch ist, in Werkzeugen ebenso wie in Runbooks. Validieren Sie deshalb, was auch immer Sie einsetzen, gegen Artikel 5 Absatz 1 des RTS 2025/301, statt einer Beschriftung zu vertrauen.
DORA ist eines von mehreren Regimen, die die meisten Finanzunternehmen gleichzeitig tragen, und Indikatoren gehören zu den am besten wiederverwendbaren Artefakten über diese Regime hinweg. Die Crosswalk-Engine ist dafür da, dass der Nachweis hinter einem Indikator auch NIS2 oder ISO 27001 dienen kann, ohne neu aufgebaut zu werden. Wenn Sie schnell wissen wollen, wo Sie stehen, führen Sie einen kostenlosen Compliance-Check durch.
Indikatoren, die einen Prozess in Gang setzen
Ein vorbefüllter KRI-Katalog mit Schwellenwerten, Verantwortlichen und automatisch berechneten Messwerten, dazu eine Vorstandsmappe aus denselben Daten.
Demo buchen →Zuletzt aktualisiert: Juli 2026. Allgemeine Informationen, keine Rechtsberatung. Alle Schwellenwerte in diesem Artikel sind illustrative Vorschlagswerte von Venvera und weder regulatorische Vorgaben noch Branchenmaßstäbe. Gleichen Sie Artikelverweise mit dem aktuellen Text und den Hinweisen Ihrer zuständigen Behörde ab.
