Die DOR-Strategie fehlt
Die Strategie ist das Dach für alle weiteren Dokumente. Sie wird vom Leitungsorgan getragen und enthält unter anderem Risikotoleranz, Ziele und Kennzahlen.
Art. 6 Abs. 8 DORA; Art. 5 Abs. 2 d) DORA
Fachbeitrag · DORA · Dokumentation
DORA-Dokumentation: Mindestdokumente, Fundstellen und Prüfzyklen
Die DORA-Dokumentation ist kein einzelnes Dokument, sondern ein Gefüge aus Strategien, Leitlinien, Richtlinien, Inventaren und Nachweisen. DORA verlangt keine feste Zahl von Dokumenten, aber einen „soliden, umfassenden und gut dokumentierten“ IKT-Risikomanagementrahmen (Art. 6 Abs. 1 DORA). Dieser Beitrag zeigt dir, welche Mindestdokumente die Verordnung (EU) 2022/2554 und die Delegierte Verordnung (EU) 2024/1774 verlangen, wo das jeweils steht und wie oft du sie überprüfen musst.
Der Beitrag richtet sich an DORA-Verantwortliche, CISO und Informationssicherheitsbeauftragte, das IKT-Risikomanagement, das Notfallmanagement, das Auslagerungs- und Drittparteienmanagement und die Interne Revision. Ab 2027 ist er besonders für Leasing-, Factoring- und weitere KWG-Institute relevant, für die der vereinfachte Rahmen gilt.
Dieser Beitrag ersetzt keine Rechtsberatung.
Management Summary
DORA gilt seit dem 17. Januar 2025. Die Dokumentationspflichten stehen nicht an einer Stelle, sondern verteilt auf die Verordnung selbst und auf technische Regulierungsstandards, vor allem die Delegierte Verordnung (EU) 2024/1774 („RTS RMF“). Eine saubere Zuordnung von Dokument und Fundstelle ist deshalb der erste Schritt zu einer Dokumentation, die du gegenüber Aufsicht und Revision belegen kannst.
Die BaFin hat zwei Übersichten veröffentlicht, die die namentlich genannten Mindestdokumente ordnen: eine für den regulären Rahmen (Dezember 2024) und eine für den vereinfachten Rahmen nach Art. 16 DORA (Aufsichtsmitteilung August 2025). Beide sind unverbindlich. Sie nennen nur Mindestdokumente; je nach Größe und Risikoprofil können zusätzliche Dokumente erforderlich sein (Art. 6 Abs. 2 DORA).
Dokumentieren heißt unter DORA auch: regelmäßig überprüfen. Der Risikomanagementrahmen wird mindestens jährlich überprüft (Art. 6 Abs. 5 DORA), die Klassifizierung der Funktionen, Rollen und Assets ebenso (Art. 8 Abs. 1 DORA), Zugriffsrechte jährlich und bei kritischen oder wichtigen Funktionen alle sechs Monate (Art. 21 RTS RMF).
Ab dem 1. Januar 2027 gilt DORA auch für Leasing-, Factoring- und weitere KWG-Institute nach § 1a Abs. 2a KWG. Sie dokumentieren nach dem vereinfachten Rahmen. Wer bis dahin nach den BAIT dokumentiert, kann vorhandene Dokumente umhängen, statt sie neu zu schreiben.
Inhalt
Sachverhalt: Was DORA-Dokumentation rechtlich bedeutet
Vier Normen bilden den Rahmen. Alles Weitere in diesem Beitrag leitet sich daraus ab.
- Art. 6 Abs. 1 DORA: Der IKT-Risikomanagementrahmen ist solide, umfassend und gut dokumentiert.
- Art. 6 Abs. 5 DORA: Der Rahmen wird „mindestens einmal jährlich … sowie bei Auftreten schwerwiegender IKT-bezogener Vorfälle und nach aufsichtsrechtlichen Anweisungen oder Feststellungen … dokumentiert und überprüft“. Ein Bericht über die Überprüfung wird der Aufsicht auf Anfrage vorgelegt; Format und Inhalt regelt Art. 27 RTS RMF.
- Art. 9 Abs. 2 DORA: IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -tools sind zu konzipieren, zu beschaffen und umzusetzen. Die RTS RMF konkretisieren sie in Titel II Kapitel I.
- Art. 4 DORA (Verhältnismäßigkeit): Umfang und Detailtiefe richten sich nach Größe, Risikoprofil und Komplexität. Über die Mindestdokumente hinaus können zusätzliche Dokumente erforderlich sein (Art. 6 Abs. 2 DORA).
Rechtsstand im Überblick
| Rechtsstand | Inhalt | Fundstelle |
|---|---|---|
| Geltendes Recht (Oktober 2026) | DORA gilt seit 17.01.2025. Die Dokumentationspflichten ergeben sich aus DORA und den Level-2-Rechtsakten, vor allem der Delegierten Verordnung (EU) 2024/1774. Zur Orientierung gibt es zwei unverbindliche BaFin-Übersichten: für den regulären Rahmen (veröffentlicht Dezember 2024) und für den vereinfachten Rahmen nach Art. 16 DORA (Aufsichtsmitteilung August 2025). Das Informationsregister wurde im März 2026 zum zweiten Mal eingereicht. | VO (EU) 2022/2554; Del. VO (EU) 2024/1774; BaFin |
| Übergang | Die BAIT gelten bis 31.12.2026 nur noch für Nicht-DORA-Institute. | Bundesbank |
| Künftig | Ab 01.01.2027 gilt DORA auch für Leasing-, Factoring- und weitere KWG-Institute (§ 1a Abs. 2a KWG); sie dokumentieren nach dem vereinfachten Rahmen (Art. 16 DORA, Titel III RTS RMF). Die Kommission überprüft DORA bis 17.01.2028 (Art. 58 DORA). Erleichterungen bei der Dokumentation sind nach dem Stand Oktober 2026 nicht beschlossen. | KWG; DORA |
Praxis-Tipp
Unterscheide in deiner Ablage vier Dokumenttypen, wie es auch die BaFin-Übersicht tut: Strategien, Leitlinien, Richtlinien und weitere Dokumente (Verfahren, Inventare, Pläne, Nachweise). So ist sofort erkennbar, welche Ebene das Leitungsorgan genehmigt hat und welche operativ gepflegt wird.
Fristen, Zeitpunkte und Prüfzyklen
Die Zeitpunkte bestimmen, welcher Rahmen für dein Unternehmen gilt. Die Prüfzyklen bestimmen, wie oft du Dokumente und Nachweise erneuern musst.
Zeitpunkte
| Zeitpunkt | Ereignis | Fundstelle |
|---|---|---|
| 17.01.2025 | DORA gilt. | VO (EU) 2022/2554 |
| März 2026 | Einreichung des Informationsregisters über die MVP (Stichtag 31.12.2025); Korrekturen bis April 2026 möglich. Eine Leermeldung ist nicht vorgesehen. | BaFin-Hinweise zur Einreichung |
| 31.12.2026 | Die BAIT gelten letztmalig, und zwar nur noch für Nicht-DORA-Institute. | Bundesbank |
| 01.01.2027 | DORA gilt auch für Leasing-, Factoring- und weitere KWG-Institute; es gilt der vereinfachte Rahmen. | § 1a Abs. 2a KWG; BaFin |
| 17.01.2028 | Die Kommission überprüft DORA. | Art. 58 DORA |
Prüfzyklen auf einen Blick
| Dokument | Mindestturnus | Fundstelle |
|---|---|---|
| IKT-Risikomanagementrahmen und Überprüfungsbericht | jährlich und anlassbezogen (Kleinstunternehmen: regelmäßig) | Art. 6 Abs. 5 DORA |
| Klassifizierung der Funktionen, Rollen, Assets | jährlich und bei Bedarf | Art. 8 Abs. 1 DORA |
| Inventare | regelmäßig und bei jeder wesentlichen Änderung | Art. 8 Abs. 6 DORA |
| Tests der IKT-Geschäftsfortführungspläne sowie der Reaktions- und Wiederherstellungspläne | jährlich und bei wesentlichen Änderungen | Art. 11 Abs. 6 a) DORA |
| Tests von Systemen für kritische oder wichtige Funktionen | jährlich (nicht für Kleinstunternehmen) | Art. 24 Abs. 6 DORA |
| Zugriffsrechte | jährlich; für kritische oder wichtige Funktionen halbjährlich | Art. 21 RTS RMF |
| Informationsregister | laufend; jährliche Einreichung | Art. 28 Abs. 3 DORA |
| IKT-Revision | nach Revisionsplan, risikoorientiert | Art. 6 Abs. 6 DORA |
Mindestdokumente nach Funktion
Die folgende Gliederung ordnet die Mindestdokumente nach der Funktion, die sie verantwortet. Sie folgt den namentlich genannten Dokumenten der BaFin-Übersicht für den regulären Rahmen. TLPT (Art. 26 und 27 DORA), der vereinfachte Rahmen und Sonderregeln für Kleinstunternehmen sind dort nicht enthalten.
Leitungsorgan: Strategien und Leitlinien
| Dokument | Fundstelle |
|---|---|
| Strategie für die digitale operationale Resilienz (DOR-Strategie) | Art. 6 Abs. 8 i. V. m. Art. 5 Abs. 2 d) DORA |
| Bezug zur Geschäftsstrategie | Art. 6 Abs. 8 a) DORA |
| Kommunikationsstrategie für IKT-bezogene Vorfälle | Art. 14 Abs. 3 i. V. m. Art. 6 Abs. 8 h) DORA |
| Strategie für das IKT-Drittparteienrisiko | Art. 28 Abs. 2 DORA |
| (optional) Strategie zur Nutzung mehrerer IKT-Anbieter | Art. 28 Abs. 2 i. V. m. Art. 6 Abs. 9 DORA |
| Informationssicherheitsleitlinie | Art. 9 Abs. 4 a) DORA |
| IKT-Geschäftsfortführungsleitlinie | Art. 11 i. V. m. Art. 5 Abs. 2 e) DORA; Art. 24 RTS RMF |
| Allgemeine Geschäftsfortführungsleitlinie inkl. Business Impact Analyse | Art. 11 Abs. 1 und 5 i. V. m. Art. 5 Abs. 2 e) DORA |
| Kommunikationsleitlinien für Mitarbeiter | Art. 14 Abs. 2 DORA |
| Leitlinien zur Priorisierung, Klassifizierung und Behebung von Testbefunden | Art. 24 Abs. 5 DORA |
| Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen | Art. 28 Abs. 2 und 10 DORA; Delegierte Verordnung (EU) 2024/1773 |
| Leitlinie für die Nutzung von IKT-Dienstleistungen (allgemein) | Art. 5 Abs. 2 h) DORA |
Praxis-Tipp
Die DOR-Strategie fehlt in vielen Dokumentenlandkarten. Sie ist das Dach für alle anderen Dokumente und muss unter anderem Risikotoleranz, Ziele und Kennzahlen enthalten (Art. 6 Abs. 8 DORA).
IKT-Sicherheit: Richtlinien nach RTS RMF
Die Fundstellen liegen im RTS RMF eng beieinander. Diese Zuordnung gilt:
| Richtlinie | Fundstelle |
|---|---|
| Richtlinien für das IKT-Risikomanagement | Art. 3 RTS RMF |
| Richtlinie für das Management von IKT-Assets | Art. 4 RTS RMF i. V. m. Art. 9 Abs. 2 DORA |
| Richtlinien für Verschlüsselung und kryptografische Kontrollen | Art. 6 und 7 RTS RMF i. V. m. Art. 9 Abs. 2 DORA |
| Richtlinien für IKT-Vorgänge (Betrieb) | Art. 8 RTS RMF i. V. m. Art. 9 Abs. 2 DORA |
| Richtlinien für Patches und Updates | Art. 9 Abs. 4 f) DORA |
| Richtlinien für das Management der Netzwerksicherheit | Art. 13 RTS RMF |
| Richtlinien zum Schutz von Informationen bei der Übermittlung | Art. 14 RTS RMF |
| Richtlinien für IKT-Projektmanagement (inkl. Projektrisikobewertung) | Art. 15 RTS RMF |
| Richtlinien für Beschaffung, Entwicklung und Wartung von IKT-Systemen | Art. 16 Abs. 1 RTS RMF |
| Richtlinien für das IKT-Änderungsmanagement | Art. 9 Abs. 4 e) DORA; Art. 17 RTS RMF |
| Richtlinien für physische Sicherheit und Sicherheit vor Umweltereignissen | Art. 18 RTS RMF |
| Richtlinien für Personalpolitik | Art. 19 RTS RMF |
| Richtlinien für das Identitätsmanagement | Art. 20 RTS RMF |
| Richtlinien zur Kontrolle der Zugangs- und Zugriffsrechte | Art. 21 RTS RMF i. V. m. Art. 9 Abs. 4 c) DORA |
| Richtlinien für die Behandlung IKT-bezogener Vorfälle | Art. 22 und 23 RTS RMF |
| Richtlinien für die Datensicherung (Backup) | Art. 12 Abs. 1 a) und Abs. 2 DORA |
Praxis-Tipp
Für Zugriffsrechte verlangt Art. 21 RTS RMF eine Überprüfung mindestens jährlich, bei Systemen für kritische oder wichtige Funktionen mindestens alle sechs Monate. Halte die Rezertifizierungen als Nachweis fest.
IKT-Risikomanagement und Revision: Inventare, Verfahren, Nachweise
Die Identifizierung nach Art. 8 DORA verlangt drei Inventare. Sie sind regelmäßig sowie bei jeder wesentlichen Änderung zu aktualisieren (Art. 8 Abs. 6 DORA).
- Inventar aller IKT-gestützten Unternehmensfunktionen, Rollen und Verantwortlichkeiten (Art. 8 Abs. 1 und 6 DORA); die Klassifizierung ist „erforderlichenfalls, mindestens jedoch einmal jährlich“ zu überprüfen.
- Inventar aller Informations- und IKT-Assets einschließlich der kritischen, ihrer Konfiguration und Interdependenzen (Art. 8 Abs. 4 und 6 DORA).
- Inventar aller Prozesse, die von IKT-Drittdienstleistern abhängen (Art. 8 Abs. 5 und 6 DORA).
| Dokument | Fundstelle |
|---|---|
| Bericht über die Überprüfung des IKT-Risikomanagementrahmens | Art. 6 Abs. 5 DORA i. V. m. Art. 27 RTS RMF |
| (IKT-)Revisionspläne inkl. Follow-up | Art. 6 Abs. 6 und 7 i. V. m. Art. 5 Abs. 2 f) DORA |
| Verfahren für das IKT-Risikomanagement | Art. 3 RTS RMF |
| Verfahren für das Management von IKT-Assets | Art. 5 RTS RMF |
| Register aller Zertifikate und Zertifikatspeicher für Assets kritischer oder wichtiger Funktionen | Art. 7 Abs. 4 RTS RMF |
| Kapazitäts- und Leistungsmanagement | Art. 9 RTS RMF |
| Schwachstellen- und Patchmanagement | Art. 10 RTS RMF |
| Daten- und Systemsicherheit; Protokollierung (Logging) | Art. 11 und 12 RTS RMF |
| Beschaffung, Entwicklung und Wartung von IKT-Systemen | Art. 16 Abs. 2 RTS RMF |
| Identitätsmanagement; Zugangs- und Zugriffsrechte | Art. 20 Abs. 1 RTS RMF; Art. 9 Abs. 4 c) DORA |
| Erkennungsmechanismen für anomale Aktivitäten | Art. 10 DORA i. V. m. Art. 23 RTS RMF |
| IKT-Geschäftsfortführungspläne und Testnachweise | Art. 11 Abs. 6 a) DORA; Art. 24 und 25 RTS RMF |
| IKT-Reaktions- und Wiederherstellungspläne | Art. 11 Abs. 3 DORA; Art. 24 und 26 RTS RMF |
| Aufzeichnungen über Tätigkeiten vor und während Störungen | Art. 11 Abs. 8 DORA |
| Wiedergewinnungs- und Wiederherstellungsverfahren | Art. 12 Abs. 1 b) und Abs. 2 DORA |
| Sensibilisierungsprogramme und Schulungen | Art. 13 Abs. 6 i. V. m. Art. 5 Abs. 2 g) DORA |
| Krisenkommunikationspläne | Art. 14 Abs. 1 DORA; Art. 24 RTS RMF |
| Programm für Tests der digitalen operationalen Resilienz; Validierungsmethoden | Art. 24 Abs. 2 und 5, Art. 25 Abs. 1 DORA |
Praxis-Tipp
Wer per Bescheid zu TLPT verpflichtet ist, braucht zusätzliche Dokumente nach der Delegierten Verordnung (EU) 2025/1190. Sie stehen nicht in der BaFin-Übersicht für den regulären Rahmen.
Vorfallmanagement: Dokumentation und Meldung
- Erfassung: Finanzunternehmen „erfassen alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen“ und stellen sicher, dass Ursachen „ermittelt, dokumentiert und angegangen werden“ (Art. 17 Abs. 2 DORA). Zum Prozess siehe Art. 17 DORA und Art. 23 RTS RMF.
- Klassifizierung: Art. 18 DORA und Delegierte Verordnung (EU) 2024/1772.
- Meldung schwerwiegender Vorfälle an die BaFin über die MVP: Erstmeldung binnen 4 Stunden nach Einstufung, spätestens 24 Stunden nach Kenntnis; Zwischenmeldung nach 72 Stunden; Abschlussmeldung nach einem Monat (Art. 19 DORA; Art. 5 Delegierte Verordnung (EU) 2025/301; Vorlagen nach Durchführungsverordnung (EU) 2025/302).
Der Digital-Omnibus der Kommission schlägt eine zentrale EU-Meldestelle vor. Er ist nach dem Stand Oktober 2026 nicht verabschiedet; deine Meldedokumentation bleibt unverändert.
Drittparteien: Informationsregister und Exit
- Das Informationsregister wird auf Einzel-, teilkonsolidierter und konsolidierter Ebene geführt und aktualisiert (Art. 28 Abs. 3 DORA). Vorlagen: Durchführungsverordnung (EU) 2024/2956.
- Zusätzlich berichten Finanzunternehmen mindestens einmal jährlich über die Anzahl neuer Vereinbarungen, Kategorien von Dienstleistern, Art der Vereinbarungen und bereitgestellte Dienstleistungen (Art. 28 Abs. 3 UAbs. 3 DORA).
- Ausstiegspläne für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen: Art. 28 Abs. 8 DORA; Art. 10 Delegierte Verordnung (EU) 2024/1773. Die Vertragsklauseln dazu stehen in Art. 30 Abs. 3 f) DORA.
- Nach den MaRisk 10.0 (RS 06/2026 (BA)) fallen IKT-Dienstleistungen nicht unter AT 9; maßgeblich sind Art. 28 bis 30 DORA.
Vertiefung: DORA und Outsourcing und die Seminare zum Auslagerungs-Controlling.
Vereinfachter Rahmen nach Art. 16 DORA: warum er 2027 wichtiger wird
Für Unternehmen nach Art. 16 Abs. 1 DORA, darunter kleine und nicht verflochtene Wertpapierfirmen, gilt statt Art. 5 bis 15 DORA der vereinfachte Rahmen. Konkretisiert wird er in Titel III RTS RMF (Art. 28 bis 41). Die BaFin hat dazu im August 2025 eine Aufsichtsmitteilung mit einem Vergleich zu BAIT und VAIT sowie eine eigene Dokumentenübersicht veröffentlicht. Genannt sind unter anderem:
| Dokument (vereinfachter Rahmen) | Fundstelle |
|---|---|
| Geschäftsstrategie | Art. 28 Abs. 2 a) RTS RMF |
| Informationssicherheitsleitlinie | Art. 29 Abs. 1 i. V. m. Art. 28 Abs. 2 c) RTS RMF |
| Dokumentation aller kritischen oder wichtigen Funktionen, der unterstützenden Assets und Abhängigkeiten | Art. 30 Abs. 1 RTS RMF |
| Ermittlung der von IKT-Drittdienstleistern unterstützten kritischen oder wichtigen Funktionen | Art. 30 Abs. 2 RTS RMF |
| Liste der ermittelten Hauptrisiken | Art. 31 Abs. 1 b) RTS RMF |
| Physische Sicherheitsmaßnahmen | Art. 32 RTS RMF |
| Verfahren für die Kontrolle des logischen und physischen Zugangs | Art. 33 RTS RMF |
| Dokumentation zur IKT-Betriebssicherheit; Schutzvorrichtungen | Art. 34 und 35 RTS RMF |
| Plan für IKT-Sicherheitstests | Art. 36 Abs. 1 und 2 RTS RMF |
| Beschaffung, Entwicklung, Wartung (sofern angemessen); Projekt- und Änderungsmanagement | Art. 37 und 38 RTS RMF |
| Business Impact Analyse und (IKT-)Geschäftsfortführungspläne; Testergebnisse | Art. 39 und 40 Abs. 3 RTS RMF |
| Revisionsplan und Ergebnisse der Revision | Art. 28 Abs. 5 und 6 RTS RMF |
| Bericht über die Überprüfung des vereinfachten Rahmens | Art. 41 RTS RMF i. V. m. Art. 16 Abs. 2 DORA |
| Informationsregister; Ausstiegspläne | Art. 28 Abs. 3 und 8 DORA |
Die BaFin weist darauf hin, dass Dokumentationsanforderungen im vereinfachten Rahmen teilweise auch über Eingaben in Systemen und Tools abgedeckt werden können (Art. 34 und 35 RTS RMF).
Künftiges Recht ab 01.01.2027
Leasing- und Factoringinstitute sowie weitere KWG-Institute nach § 1a Abs. 2a KWG müssen nur den vereinfachten Rahmen einhalten; bis 31.12.2026 gelten für sie noch die BAIT. Die BaFin verweist diese Institute auf die Übersicht und die Hinweise zu Art. 16 DORA.
Praxis-Tipp
Wenn du heute nach BAIT dokumentierst, nutze die BaFin-Gegenüberstellung BAIT und Art. 16 DORA, um vorhandene Dokumente umzuhängen, statt sie neu zu schreiben. Die Gegenüberstellung bezieht sich auf BAIT und VAIT; prüfe, ob sie für dein Institut unmittelbar passt.
Vertiefung: DORA-Erleichterungen für Leasing und Factoring.
Typische Fehler bei der Zuordnung und Pflege
RTS-Fundstellen werden verwechselt
Art. 3 betrifft das IKT-Risikomanagement, Art. 4 die Assets, Art. 6 und 7 die Verschlüsselung, Art. 8 die IKT-Vorgänge, Art. 15 das Projektmanagement, Art. 18 die physische Sicherheit, Art. 19 die Personalpolitik. Eine falsche Fundstelle verschiebt die ganze Zuordnung.
Art. 3 bis 23 RTS RMF
Der Überprüfungsbericht fehlt
Der Rahmen wird nicht nur überprüft, die Überprüfung ist auch zu dokumentieren und der Aufsicht auf Anfrage vorzulegen.
Art. 6 Abs. 5 DORA; Art. 27 RTS RMF (vereinfacht: Art. 41)
Inventare werden einmal erstellt und nicht gepflegt
Inventare sind regelmäßig und bei jeder wesentlichen Änderung zu aktualisieren. Ein Stand ohne Änderungshistorie ist kein Nachweis.
Art. 8 Abs. 6 DORA
Rezertifizierungen von Zugriffsrechten sind nicht belegt
Der Turnus ist jährlich, bei Systemen für kritische oder wichtige Funktionen halbjährlich. Ohne abgelegtes Ergebnis fehlt der Nachweis.
Art. 21 RTS RMF
Veraltete Verweise: BAIT und Exit-Pläne
Verweise auf die BAIT sind über den 31.12.2026 hinaus zu ersetzen. Ausstiegspläne stehen in Art. 28 Abs. 8 DORA; Art. 30 DORA enthält die Vertragsklauseln dazu.
Art. 28 Abs. 8, Art. 30 Abs. 3 f) DORA
Quick-Check: Wie belastbar ist deine DORA-Dokumentation?
Gehe die neun Prüffelder durch. Wenn du bei einer Prüffrage keinen Nachweis aus der letzten Spalte vorlegen kannst, ist das Feld offen.
| Prüffeld | Prüffrage | Normbezug | Nachweis |
|---|---|---|---|
| Rahmen | Hast du festgelegt und begründet, ob der reguläre Rahmen oder der vereinfachte Rahmen gilt? | Art. 16 DORA; Art. 28 bis 41 RTS RMF | Begründung und Freigabe der Rahmenwahl |
| Strategie | Hat das Leitungsorgan die DOR-Strategie genehmigt? | Art. 6 Abs. 8 DORA | Beschluss oder Protokoll |
| Richtlinien | Ist jede Richtlinie nach Art. 3 bis 23 RTS RMF vorhanden und mit der richtigen Fundstelle versehen? | Art. 3 bis 23 RTS RMF | Dokumentenlandkarte mit Fundstellen |
| Inventare | Sind die Inventare der Funktionen, Assets und drittdienstleisterabhängigen Prozesse aktuell? | Art. 8 Abs. 1, 4, 5, 6 DORA | Inventare mit Änderungshistorie, Klassifizierungsprüfung |
| Kontinuität | Sind Business Impact Analyse, Geschäftsfortführungspläne sowie Reaktions- und Wiederherstellungspläne getestet? | Art. 11 Abs. 6 a) DORA; Art. 24 bis 26 RTS RMF | Testprotokolle |
| Vorfälle | Sind Erfassung und Meldekette dokumentiert? | Art. 17 Abs. 2, Art. 18, Art. 19 DORA | Vorfallerfassung, Meldeprozess |
| Drittparteien | Ist das Informationsregister qualitätsgesichert, und gibt es Ausstiegspläne für kritische oder wichtige Funktionen? | Art. 28 Abs. 3 und 8 DORA; Art. 10 Del. VO (EU) 2024/1773 | Register, Ausstiegspläne |
| Überprüfung | Gibt es einen Überprüfungsbericht, einen Revisionsplan und ein Follow-up-Verfahren? | Art. 6 Abs. 5 bis 7 DORA; Art. 27 RTS RMF | Bericht, Revisionsplan, Follow-up |
| BAIT-Verweise | Sind alle BAIT-Verweise bis 31.12.2026 ersetzt? | Bundesbank | Bereinigte Dokumentenlandkarte |
Lösungsansätze: Fahrplan in fünf Schritten
Die fünf Schritte sind No-Regret-Maßnahmen. Sie bleiben sinnvoll, wie auch immer die DORA-Überprüfung nach Art. 58 DORA ausgeht.
1
Rahmen bestimmen
Regulärer Rahmen (Art. 5 bis 15 DORA) oder vereinfachter Rahmen (Art. 16 DORA); ab 01.01.2027 für KWG-Institute nach § 1a Abs. 2a KWG.
2
Gliederung wählen
Übernimm die passende BaFin-Übersicht als Gliederung deiner Dokumentenlandkarte.
3
Bestand abgleichen
Ordne vorhandene BAIT-, MaRisk- und ISMS-Dokumente den Mindestdokumenten zu und markiere Lücken und Doppelungen.
4
Verantwortung festlegen
Lege je Dokument Eigentümer, Freigabeebene und Prüfturnus fest.
5
Nachweise sichern
Lege Freigaben, Testprotokolle, Rezertifizierungen, Überprüfungsbericht und Revisionsergebnisse versioniert ab.
Fazit: DORA-Dokumentation als Gefüge denken
Eine belastbare DORA-Dokumentation entsteht nicht aus einer langen Liste, sondern aus einer Zuordnung: Jedes Dokument hat eine Fundstelle, eine Freigabeebene, einen Eigentümer und einen Prüfturnus. Das sind die Kernbotschaften:
- DORA verlangt einen soliden, umfassenden und gut dokumentierten Rahmen (Art. 6 Abs. 1 DORA), keine feste Dokumentenzahl.
- Die BaFin-Übersichten sind unverbindlich, aber eine geeignete Gliederung. Zusätzliche Dokumente können nach Art. 6 Abs. 2 DORA erforderlich sein.
- Die DOR-Strategie, die Inventare nach Art. 8, der Überprüfungsbericht und der Revisionsplan gehören in jede Dokumentenlandkarte.
- Mindestens jährlich zu überprüfen sind Rahmen, Klassifizierung und Tests; Zugriffsrechte halbjährlich, wenn kritische oder wichtige Funktionen betroffen sind.
- Ab 01.01.2027 gilt für Leasing-, Factoring- und weitere KWG-Institute der vereinfachte Rahmen. Wer jetzt umhängt, spart später das Neuschreiben.
Häufige Fragen zur DORA-Dokumentation
Sind die BaFin-Übersichten verpflichtend?+–
Nein. Die BaFin bezeichnet sie als „nicht verpflichtende Hilfestellung“ ohne verbindliche Auslegung. Verbindlich sind DORA und die technischen Regulierungsstandards.
Reicht es, alle Dokumente der Übersicht zu haben?+–
Nicht zwingend. Die Übersichten nennen nur die namentlich geforderten Mindestdokumente. Je nach Größe und Risikoprofil können zusätzliche Dokumente nötig sein (Art. 6 Abs. 2 DORA).
Müssen Richtlinien und Verfahren getrennte Dokumente sein?+–
DORA schreibt keine Dokumentform vor. Wichtig ist, dass jede Anforderung nachvollziehbar abgedeckt ist. Im vereinfachten Rahmen können Dokumentationspflichten teilweise auch über Systeme und Tools erfüllt werden.
Was gilt für Leasing- und Factoringinstitute?+–
Ab 01.01.2027 gilt für sie DORA mit vereinfachtem Rahmen nach Art. 16. Maßgeblich ist die BaFin-Übersicht zu Art. 16 DORA aus dem August 2025. Bis dahin gelten die BAIT.
Wie oft muss der IKT-Risikomanagementrahmen überprüft werden?+–
Mindestens jährlich sowie nach schwerwiegenden Vorfällen und aufsichtlichen Feststellungen (Art. 6 Abs. 5 DORA).
Gelten die BAIT noch?+–
Die BAIT gelten bis 31.12.2026 nur noch für Nicht-DORA-Institute. Für Leasing-, Factoring- und weitere KWG-Institute gelten sie bis zum 31.12.2026; ab dem 01.01.2027 gilt für sie DORA mit vereinfachtem Rahmen.
Quellenverzeichnis
Alle Quellen sind amtliche Primärquellen und wurden im Oktober 2026 abgerufen. Der Normtext des § 1a Abs. 2a KWG ist im Gesetzesportal des Bundes nachzulesen.
EU-Rechtsakte und Europäisches Parlament
- Verordnung (EU) 2022/2554 (DORA) – Rechtsgrundlage der Dokumentationspflichten, u. a. Art. 6, 8, 9, 11, 17, 28.
- Delegierte Verordnung (EU) 2024/1774 (RTS RMF) – Konkretisiert den IKT-Risikomanagementrahmen, Art. 1 bis 41 inkl. vereinfachtem Rahmen.
- Delegierte Verordnung (EU) 2024/1773 – Leitlinie zu IKT-Dienstleistungen für kritische oder wichtige Funktionen; Ausstiegspläne (Art. 10).
- Durchführungsverordnung (EU) 2024/2956 – Standardvorlagen für das Informationsregister.
- EPRS-Kurzanalyse des Europäischen Parlaments (PDF, englisch) – Ordnet die Meldefristen nach Art. 19 DORA und Art. 5 Delegierte Verordnung (EU) 2025/301 ein.
Aufsichtsbehörden und Bundesbank
- BaFin: Meldung zu den Dokumentationsanforderungen (Dezember 2024) – Veröffentlichung der Übersicht und ihre Unverbindlichkeit.
- BaFin: Übersicht Dokumentationsanforderungen, regulärer Rahmen (PDF) – Mindestdokumente mit Fundstellen, Stand Januar 2025.
- BaFin: Hinweise zur Übersicht (PDF) – Nicht enthalten: Art. 16, TLPT, Kleinstunternehmen; zusätzliche Dokumente nach Art. 6 Abs. 2 DORA.
- BaFin: Aufsichtsmitteilung zu Art. 16 DORA (August 2025) – Vereinfachter Rahmen, Art. 28 bis 30, Vergleich mit BAIT und VAIT.
- BaFin: Übersicht Art. 16 DORA (PDF) – Mindestdokumente des vereinfachten Rahmens mit Fundstellen.
- BaFin: Hinweise zur Übersicht Art. 16 DORA (PDF) – Unverbindlichkeit; Dokumentation teilweise über Systeme und Tools.
- BaFin: Leasing und Factoring – BAIT bis 31.12.2026, ab 01.01.2027 DORA mit vereinfachtem Rahmen.
- BaFin: Bankgeschäfte, Erlaubnisantrag – Nachweis im Erlaubnisverfahren anhand der Übersicht.
- BaFin: Hinweise für die Einreichung des Informationsregisters (PDF) – Einreichungszeitraum 2026, Stichtag und Korrekturfrist.
- BaFin: MaRisk 10.0, Rundschreiben 06/2026 (BA) – IKT-Dienstleistungen fallen nicht unter AT 9.
- Deutsche Bundesbank: BAIT und DORA – Ende der BAIT mit Ablauf 31.12.2026.
Verwandte Leistungen und Programme
Seminare zu DORA und NIS-2
Qualifizierung für Verantwortliche, die die Dokumentation selbst aufbauen und pflegen.
DORA-Checkliste
Die Abhakliste zur Umsetzung; sie ergänzt diesen Beitrag um die Pflichten und Fristen.
DORA-Erleichterungen für Leasing und Factoring
Der vereinfachte Rahmen im Zusammenhang mit der Erweiterung ab 2027.
Fachbeitrag DORA, NIS-2 und CRA
Die Governance-Sicht: was die Rechtsakte für Leitung und Aufsicht bedeuten.
Seminare Auslagerungs-Controlling
Informationsregister und Ausstiegspläne aus Sicht des Auslagerungsmanagements.
Seminare Interne Revision
Revisionsplan, Follow-up und Prüfung der Dokumentation.
S+P Tool Box
Vorlagen und Werkzeuge für die praktische Umsetzung.
Wenn in deinem Haus die Kapazitäten fehlen, die DORA-Dokumentation aufzubauen oder zu pflegen, kann S+P Compliance die operative Umsetzung unterstützen. Der Beitrag auf dieser Seite bleibt unabhängig davon vollständig nutzbar.
Seminare & Lehrgänge
Plattform & Methodik
Über S+P
