Blackfort TechnologyDORA-Readiness
Kontakt
DEEN
DORA-Readiness - ein Angebot von Blackfort Technology

DORA-Beratung und Umsetzung

DORA umsetzen: vorhandene Strukturen nutzen, Nachweise schaffen

Wir setzen DORA mit kleineren Finanzinstituten und ihren IKT-Dienstleistern um, im Vollrahmen nach Art. 5-15 ebenso wie im vereinfachten Rahmen nach Art. 16. Für DORA-Compliance mit vertretbarem Aufwand verwenden wir vorhandene BAIT- und VAIT-Unterlagen gezielt weiter. Am Ende stehen nachvollziehbare Nachweise, etwa eine Funktionsliste, ein Protokoll der Wiederherstellungsübung und eine geübte Meldekette.

DORA-Gap-Analyse ansehenErstgespräch vereinbaren

Was verlangt DORA-Compliance von Ihrem Unternehmen?

DORA, die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, gilt seit dem 17. Januar 2025 unmittelbar in jedem Mitgliedstaat, eine weitere Übergangsfrist gibt es nach Angabe der BaFin nicht. Sie regelt IKT-Risikomanagement, Vorfallbehandlung und -meldung, Resilienztests und den Umgang mit IKT-Drittdienstleistern. Für die meisten Finanzunternehmen gilt der Vollrahmen nach Art. 5-15 DORA, für einige kleinere der vereinfachte Rahmen nach Art. 16 (Abschnitt unten).

Für den Vollrahmen und Art. 28-30 sieht die BaFin die Inhalte der BAIT und VAIT im Wesentlichen in DORA abgebildet, neu ist etwa das Informationsregister. Wer bisher nach BAIT oder VAIT gearbeitet hat, fängt deshalb nicht bei null an. Welcher Rahmen für Ihr Unternehmen gilt, ist im Einzelfall zu prüfen. Wir geben dazu allgemeine Informationen und arbeiten mit Ihrer Einstufung weiter.

Wobei unterstützen wir Sie?

Sie buchen die Bausteine, die Ihnen fehlen. Womit Sie am besten beginnen, beantworten die Fragen unten.

Wo stehen wir?

DORA-Gap-Analyse

Abgleich Ihrer Unterlagen und Abläufe mit dem Rahmen, der für Sie gilt, mit priorisierten Lücken und Maßnahmenplan. Vom Dokumenten-Quick-Check bis zur Vollrahmen-Analyse.

Zur Gap-Analyse

Welcher Rahmen gilt?

Einstufung dokumentieren

Ob DORA gilt, ob Vollrahmen oder Art. 16, ob Sie Kleinstunternehmen sind. Wir halten Ihr Ergebnis in einem Einstufungsvermerk fest. Grenzfälle klären Sie mit Ihrer Rechtsberatung.

DORA-Betroffenheit prüfen

BAIT bis 31.12.2026?

Umstieg in den vereinfachten Rahmen

Für Institute nach § 1a Abs. 2a KWG: BAIT-Unterlagen umbauen, Rollen neu schneiden, Verfahren nach RTS 2024/1774 Titel III, Übungen und Nachweisübergabe als Paket mit festem Grundumfang.

Zum Umstieg von der BAIT

Was gilt im Art.-16-Rahmen?

Vereinfachter Rahmen nach Art. 16

Welche Vorgaben ausdrücklich wegfallen, welche Aufgaben trotzdem bleiben und welche Dokumente der RTS verlangt, Artikel für Artikel.

Art. 16 DORA im Überblick

Factoring oder Leasing?

Fragen von Factoring- und Leasinginstituten

Was ab 2027 gilt, ob Art. 28-30 für Sie gelten und was nachzuweisen ist, mit einem durchgängigen Musterfall.

DORA für Factoring und Leasing

BAIT-Bestand vorhanden?

BAIT-Unterlagen weiterverwenden

Kapitel für Kapitel, wohin eine BAIT-Anforderung unter DORA wandert, getrennt nach Vollrahmen und Art. 16. Was keine ausdrückliche Vorgabe mehr ist, bleibt als Aufgabe oft bestehen.

BAIT-DORA-Mapping

Was ist kritisch?

Kritische oder wichtige Funktionen

Die Einstufung nach Art. 3 Nr. 22 DORA steuert Register, Verträge, Meldung und Tests. Wir erarbeiten mit Ihnen die begründete Funktionsliste.

Funktionen einstufen

Was tun im Ernstfall?

Meldeprozess und Meldeübung

Wer klassifiziert, wer entscheidet über die Meldung, und wie schaffen Sie die Erstmeldung binnen 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis? Wir schreiben den Ablauf und üben ihn mit Ihnen.

DORA-Meldepflicht

Finanzkunde schickt Klauseln?

Anforderungen als IKT-Dienstleister

Klauseln nach Art. 30 DORA, Fragebögen und Registeranfragen Ihrer Kunden fachlich beantworten und ein Nachweispaket zusammenstellen. Die rechtliche Prüfung der Klauseln gehört zu Ihrer Rechtsberatung.

DORA für IT-Dienstleister

Arbeitsergebnisse, die Sie in der Hand haben

Woran Sie und Ihr Leitungsorgan erkennen, dass DORA im Betrieb angekommen ist. Die Auswahl ist unser Vorschlag, keine gesetzliche Liste.

  1. 01

    Einstufungsvermerk

    Welcher Rahmen nach Ihren Angaben gilt (Vollrahmen, Art. 16 oder keiner), ob Sie die Kleinstunternehmen-Kriterien erfüllen und ob Art. 28-30 gelten, mit Zahlen und Fundstellen. Grenzfälle markieren wir für Ihre Rechtsberatung.

  2. 02

    Nachweismatrix

    Jede Vorgabe Ihres Rahmens mit Stand, Verantwortlichen, Nachweis und Ablageort, im Art.-16-Rahmen entlang RTS 2024/1774 Art. 28-41.

  3. 03

    Funktionsliste mit Wiederherstellungszielen

    Kritische oder wichtige Funktionen mit Begründung, Systemen und Dienstleistern. Auch im Art.-16-Rahmen verlangt der RTS eine Business-Impact-Analyse und Wiederherstellungsziele (RTS Art. 28 Abs. 2 lit. d, Art. 39 Abs. 2 lit. d).

  4. 04

    Protokoll der Wiederherstellungsübung

    Sicherung und Wiedergewinnung für eine kritische oder wichtige Funktion getestet, mit Zeiten, Mängeln und Bericht an das Leitungsorgan (RTS Art. 40, im Vollrahmen Art. 11 Abs. 6 DORA).

  5. 05

    Meldeübung mit Auswertung

    Ein Szenario vom Erkennen über die Klassifizierung bis zur Erstmeldung, mit Zeiten, Entscheidungen und Lücken. Kapitel III DORA gilt in beiden Rahmen.

  6. 06

    Bericht an das Leitungsorgan und Jahreskalender

    Stand, offene Risiken und Entscheidungen auf wenigen Seiten, dazu ein Kalender der wiederkehrenden Pflichten. Die Verantwortung bleibt beim Leitungsorgan (Art. 5 Abs. 2 DORA, RTS Art. 28 Abs. 2).

Typische Ausgangslagen und der nächste Schritt

Woher Unternehmen kommen, wenn sie mit DORA beginnen, und was Verordnung, Gesetz oder BaFin dazu sagen.

AusgangslageWas DORA, KWG oder BaFin sagenNächster Schritt
Factoring- oder Leasinginstitut, bisher BAITInstitute nach § 1a Abs. 2a i. V. m. § 65a Abs. 3 KWG (hier: KWG-Gruppe): Art. 16 statt Art. 5-15 ab 1. Januar 2027, Meldewesen nach Kapitel III schon seit 17. Januar 2025. Die BAIT werden mit Ablauf des 31. Dezember 2026 vollständig aufgehoben.Meldeablauf prüfen, Umstieg auf Art. 16 planen
Wenige Beschäftigte, „wir sind doch Kleinstunternehmen“Kleinstunternehmen nach Art. 3 Nr. 60 DORA: weniger als zehn Beschäftigte und Jahresumsatz bzw. -bilanzsumme bis 2 Mio. EUR. Nur für Kleinstunternehmen der KWG-Gruppe gelten Art. 28-30 nicht.Zahlen im Einstufungsvermerk festhalten, Grenzfälle nach der Seite DORA-Betroffenheit rechtlich klären
Kleines Zahlungs- oder E-Geld-InstitutIn Deutschland kein Art.-16-Fall, weil die Ausnahmen der Zahlungsdienste- und E-Geld-Richtlinie nicht genutzt wurden. Es gilt der Vollrahmen.Gap-Analyse im Vollrahmen
Vollrahmen, BAIT- oder VAIT-Unterlagen vorhandenDie BaFin sieht die BAIT/VAIT-Inhalte im Wesentlichen in DORA abgebildet. Neu sind unter anderem die Strategie für die digitale operationale Resilienz (Art. 6 Abs. 8) und das Informationsregister (Art. 28 Abs. 3).Bestand gegen DORA abgleichen, Neues gezielt ergänzen
Meldeablauf nie geübtErstmeldung binnen 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis (RTS 2025/301 Art. 5).Klassifizierung und Meldekette festlegen, dann Meldeübung

Eigene Einordnung auf Grundlage der unten genannten Quellen, Stand 6. November 2026. Keine Rechtsberatung.

Paketreihe „Umstieg auf DORA“

Für jedes frühere IT-Rundschreiben ein Paket mit festem Grundumfang, dazu zwei Einzelleistungen. Jede Seite nennt Rahmen, Umfang und Preis.

KWG-Gruppe · Art. 16

Umstieg von der BAIT

Factoring- und Leasinginstitute und die übrigen Institute nach § 1a Abs. 2a KWG wechseln am 1. Januar 2027 von der BAIT in den vereinfachten Rahmen nach Art. 16.

Zum Umstieg von der BAIT

CRR-Kreditinstitute · Vollrahmen

BAIT-Bestand bereinigen

Für Banken gilt DORA seit dem 17. Januar 2025. Wer Dokumente und Rollen noch nach BAIT-Kapiteln führt, stellt sie auf DORA und die MaRisk um.

Zur Bestandsbereinigung

Versicherer · Vollrahmen

Umstieg von der VAIT

Die VAIT sind seit dem 16. Januar 2025 aufgehoben. Wir stellen den Bestand auf DORA um und verzahnen ihn mit der MaGo, für Versicherungsholdings im Art.-16-Rahmen.

Zum Umstieg von der VAIT

Kapitalverwaltungsgesellschaften · Vollrahmen

Umstieg von der KAIT

Die KAIT sind seit dem 16. Januar 2025 aufgehoben, die KAMaRisk gilt weiter. Wir stellen den Bestand auf DORA um.

Zum Umstieg von der KAIT

Zahlungs- und E-Geld-Institute · Vollrahmen

Umstieg von der ZAIT

Die ZAIT sind seit dem 16. Januar 2025 aufgehoben, Art. 16 gilt für diese Institute in Deutschland nicht. Wir stellen den Bestand auf den Vollrahmen um.

Zum Umstieg von der ZAIT

Einzelleistung

Informationsregister erstellen und einreichen

Ersterstellung des Registers nach Art. 28 Abs. 3 DORA und Begleitung der jährlichen Einreichung.

Zum Informationsregister

Einzelleistung

Melde- und Wiederherstellungsübung

Meldeübung als Planspiel und begleitete Wiederherstellungsübung mit Protokoll und Bericht an das Leitungsorgan.

Zur Übung

Welches Paket passt, klärt das Erstgespräch. Wer zuerst den Stand kennen will, beginnt mit der Gap-Analyse.

Wie gehen wir vor?

Fünf Schritte vom ersten Gespräch bis zum laufenden Betrieb.

  1. 1

    Erstgespräch

    Unternehmen, Rahmen, Anlass, vorhandene Unterlagen und Ihre IT-Organisation mit Dienstleistern. Unverbindlich.

  2. 2

    Einstufung und Gap-Analyse

    Rahmen festhalten, Bestand gegen die Vorgaben abgleichen, Lücken nach Risiko und Aufwand ordnen.

  3. 3

    Umbau und Umsetzung

    Vorhandene Leitlinien und Verfahren umbauen, Rollen festlegen, Maßnahmen mit Ihrer IT und Ihren Dienstleistern umsetzen.

  4. 4

    Übungen

    Wiederherstellungsübung und Meldeübung durchführen, Mängel auswerten und an das Leitungsorgan berichten.

  5. 5

    Nachweise und Jahreskalender

    Nachweismatrix übergeben, wiederkehrende Pflichten im Kalender verankern, Überprüfung vorbereiten.

Ein Umsetzungsplan legt fest, in welcher Reihenfolge Sie Lücken schließen. Er verschiebt keine Pflicht: Was für Ihr Unternehmen gilt, gilt ab dem jeweiligen Anwendungsdatum. Eine Planung für Ihren Fall erhalten Sie aus der Gap-Analyse.

Oben drei Ausgangslagen: Vollrahmen nach Art. 5-15 DORA für die meisten Finanzunternehmen. Vereinfachter Rahmen nach Art. 16 für kleine Wertpapierinstitute, kleine EbAV, Versicherungsholdings und ab 01.01.2027 die Institute nach § 1a Abs. 2a KWG. IKT-Dienstleister, die DORA über die Verträge ihrer Kunden erreicht. Darunter der Weg in fünf Schritten: Erstgespräch, Einstufung und Gap-Analyse, Umbau und Umsetzung, Wiederherstellungs- und Meldeübung, Nachweise und Jahreskalender.
Grafik antippen, um sie in voller Größe zu öffnen.Drei Ausgangslagen, ein Weg. Rahmenzuordnung nach Art. 16 DORA, § 1a Abs. 2a i. V. m. § 65a Abs. 3 KWG und § 293 Abs. 5 VAG, Stand 6. November 2026. Die Schritte sind das Vorgehen von Blackfort Technology. Eigene Darstellung.
Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology

Ihr Ansprechpartner

Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology

Ihr Ansprechpartner ist Christian Gebhardt, Gründer und Geschäftsführer. Wer im Projekt mitarbeitet, legen wir mit dem Angebot fest.

Auf Ihre Anfrage melden wir uns in der Regel innerhalb von 1-2 Werktagen.

Profil auf LinkedIn

Vereinfachter Rahmen nach Art. 16: was am 1. Januar 2027 wechselt

DORA-Readiness richtet sich zuerst an Unternehmen im vereinfachten Rahmen nach Art. 16. In Deutschland sind das kleine und nicht verflochtene Wertpapierinstitute, kleine Einrichtungen der betrieblichen Altersversorgung (Schwelle und Grenzfall erklärt die Seite DORA-Betroffenheit), Versicherungsholdings (§ 293 Abs. 5 VAG) und ab dem 1. Januar 2027 die Institute nach § 1a Abs. 2a KWG (KWG-Gruppe), etwa Factoring- und Finanzierungsleasinginstitute und Bürgschaftsbanken. Für die KWG-Gruppe gelten bis zum 31. Dezember 2026 die BAIT, das Meldewesen aus DORA schon seit dem 17. Januar 2025. Bedrohungsgeleitete Penetrationstests (TLPT) nach Art. 26 und 27 gelten für sie nicht.

Einige BAIT-Vorgaben haben im Art.-16-Rahmen keine ausdrückliche Entsprechung, etwa die IT-Strategie oder ein benannter Informationssicherheitsbeauftragter. Die Aufgaben dahinter bleiben weitgehend, und Art. 28-30 zum IKT-Drittparteienrisiko gelten im Grundsatz auch hier, außer für Kleinstunternehmen der KWG-Gruppe. Das Testprogramm nach Art. 24 und 25 DORA planen wir nach unserer Lesart vorsorglich ein. Die Begründung und alle Einzelheiten stehen auf der Seite zu Art. 16 DORA, die Fragen von Factoring- und Leasinginstituten auf der Seite zu Factoring und Leasing.

IKT-Dienstleister von Finanzunternehmen

Softwarehäuser, Managed-Service-Provider, Rechenzentren und TK-Anbieter mit Finanzkunden bekommen DORA über die Verträge ihrer Kunden zu spüren. DORA verpflichtet die Finanzunternehmen, die bei der Vertragsgestaltung bestimmte Anforderungen berücksichtigen müssen: die Mindestinhalte nach Art. 30 Abs. 2 DORA, bei Diensten für kritische oder wichtige Funktionen zusätzlich Art. 30 Abs. 3, Regeln zur Unterauftragsvergabe und Angaben für das Informationsregister des Kunden, etwa LEI oder EUID.

Meldepflichtig nach DORA sind IKT-Dienstleister nicht, ein Vorfall bei ihnen kann aber die Meldepflicht ihres Kunden auslösen. Eigene Pflichten aus DORA haben nur IKT-Drittdienstleister, die die Europäischen Aufsichtsbehörden als kritisch eingestuft haben. Für Dienstleister gibt es die Gap-Analyse in einer eigenen Variante.

Für wen ist DORA-Readiness gedacht, und woher kommt unsere Erfahrung?

Für kleinere Finanzinstitute im Vollrahmen oder im vereinfachten Rahmen, die DORA mit vertretbarem Aufwand umsetzen wollen, und für ihre IKT-Dienstleister. DORA-Readiness ist ein Angebot der Blackfort Technology aus Bonn, seit 2017 inhabergeführt. Verantwortlicher Berater ist Christian Gebhardt, Gründer und Geschäftsführer.

Unsere DORA-Erfahrung stammt aus drei Mandaten: dem abgeschlossenen DORA-Programm einer großen deutschen Versicherungsgruppe (im Auftrag einer international tätigen Managementberatung, 02/2024-10/2025), einem DORA- und PKI-Mandat bei einer Einrichtung der betrieblichen Altersversorgung (seit 10/2025) und einem ISMS-Mandat bei einem Factoringinstitut im Übergang auf Art. 16 (seit 07/2026). Kundennamen nennen wir nicht.

Was tun wir nicht?

Damit die Erwartungen stimmen:

  • Keine Rechtsberatung. Zu Einstufung, Rahmen und Verträgen geben wir allgemeine Informationen, den Einzelfall klären Sie mit Ihrer Rechtsberatung.
  • Wir stellen kein „DORA-Zertifikat“ aus und bestätigen keine DORA-Konformität. Eine DORA-Zertifizierung für Unternehmen gibt es nicht.
  • Wir übernehmen nicht die Verantwortung Ihres Leitungsorgans für den IKT-Risikomanagementrahmen. Wir liefern die Grundlage für seine Entscheidungen.
  • Wir sind nicht die BaFin, prüfen nicht in ihrem Auftrag und können nicht zusagen, wie Aufsicht oder Prüfer einen Nachweis bewerten.

Die Seiten dieser Website geben allgemeine Informationen zum Stand von Verordnung, Gesetzen und Aufsichtspraxis. Ob eine Pflicht für Ihr Unternehmen gilt, ist im Einzelfall zu prüfen.

Häufige Fragen

Wie läuft das Erstgespräch ab?+

Telefonisch oder per Video. Wir sprechen über Ihr Unternehmen, den Rahmen, den Anlass und die Unterlagen, die Sie schon haben. Danach wissen Sie, ob eine Gap-Analyse oder ein Paket der Reihe „Umstieg auf DORA“ passt. Für Gap-Analyse und Umstieg von der BAIT folgt darauf ein Scoping-Gespräch, oft im selben Termin, in dem wir Umfang und Preis für das Angebot bestätigen. Das Gespräch verpflichtet Sie zu nichts.

Gap-Analyse oder Umstieg von der BAIT: womit beginnen?+

Die meisten Unternehmen beginnen mit der Gap-Analyse. Sie zeigt, wo Sie stehen und was zuerst kommt, und lässt offen, wer umsetzt. Institute der KWG-Gruppe, die am 1. Januar 2027 von der BAIT wechseln, können auch direkt mit dem Paket „Umstieg von der BAIT“ beginnen, die Bestandsaufnahme ist darin enthalten. Eine vorher beauftragte Art.-16-Gap-Analyse wird auf das Paket angerechnet, Einzelheiten stehen im Angebot.

Gibt es eine DORA-Zertifizierung?+

Nein. Eine DORA-Zertifizierung für Unternehmen gibt es nicht, und wir bieten keine an. Was zählt, ist ein im Betrieb gelebter Rahmen mit Nachweisen, etwa einer gepflegten Nachweismatrix und den Protokollen Ihrer Übungen. Personenzertifikate sagen über Ihr Unternehmen nichts aus.

Arbeiten Sie remote oder vor Ort?+

Beides. Unterlagen sichten, Interviews und Abstimmungen laufen gut per Video. Termine vor Ort, etwa für eine Meldeübung mit dem Leitungsorgan, halten wir im Angebot fest.

Was kostet die Umsetzung?+

Das hängt vom Rahmen, von der Ausgangslage und davon ab, wie viel Ihr Team selbst übernimmt. Preise mit Umfangsgrenzen nennen wir für die Gap-Analyse und für den Umstieg von der BAIT auf deren Seiten. Für weitere Umsetzung erhalten Sie nach dem Erstgespräch oder der Gap-Analyse ein Angebot mit festem Umfang.

Weiterlesen

Quellen

Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).

Stand: 2026-11-06

Kontakt aufnehmen

Ihr DORA-Vorhaben besprechen

Schreiben Sie uns kurz, was für ein Unternehmen Sie sind, welcher Rahmen nach Ihrer Einschätzung gilt und wer Ihre IT betreut. Im Erstgespräch, auf Wunsch telefonisch oder per Video, klären wir den nächsten Schritt.

Erstgespräch vereinbarenZur Gap-Analyse