Vereinfachter Rahmen nach Art. 16
Umstiegspaket: von der BAIT in den vereinfachten Rahmen nach Art. 16 DORA
Für Institute nach § 1a Abs. 2a KWG (hier: KWG-Gruppe), etwa Factoring- und Finanzierungsleasinginstitute, enden die BAIT mit Ablauf des 31. Dezember 2026, ab dem 1. Januar 2027 gilt der vereinfachte Rahmen nach Art. 16 DORA. Mit dem Umstiegspaket bauen wir Ihre BAIT-Unterlagen auf diesen Rahmen um, legen Rollen fest, üben Wiederherstellung und Meldung und übergeben die Nachweise. Für den beschriebenen Grundumfang 12.500 € netto zzgl. USt., größeren Umfang bepreisen wir nach dem Scoping-Gespräch.
Was ändert sich am 1. Januar 2027?
Ab dem 1. Januar 2027 wendet die KWG-Gruppe nach § 1a Abs. 2a in Verbindung mit § 65a Abs. 3 KWG den vereinfachten Rahmen nach Art. 16 DORA an, das Meldewesen nach Kapitel III gilt schon seit dem 17. Januar 2025. Bis zum Jahresende gelten die BAIT weiter vollständig, der Umbau muss also parallel vorbereitet werden. Einige BAIT-Vorgaben haben keine ausdrückliche Entsprechung mehr, anderes ist neu, etwa die vom Leitungsorgan genehmigte Business-Impact-Analyse. Ein Notfallkonzept verlangt die MaRisk (AT 7.3) für diese Institute weiterhin. Was im Einzelnen wegfällt und bleibt, zeigen die Seiten BAIT und DORA und Art. 16 DORA. Das Umstiegspaket nimmt Ihren BAIT-Bestand als Ausgangspunkt und führt ihn in den neuen Rahmen über, ohne funktionierende Rollen und Dokumente aufzugeben.
Was ist im Umstiegspaket enthalten?
Sieben Bausteine, die aufeinander aufbauen. Fundstellen ohne Zusatz beziehen sich auf die Delegierte Verordnung (EU) 2024/1774 (RTS), Titel III.
Was haben wir schon?
Bestandsaufnahme der BAIT-Unterlagen
Jedes vorhandene Dokument ordnen wir den Zeilen des BAIT-DORA-Mappings zu und legen mit Ihnen fest: unverändert weiterverwenden, umbauen oder zusammenführen. Bei Vorgaben ohne ausdrückliche Entsprechung klären wir, welche Aufgabe bleibt.
Zum BAIT-DORA-MappingWelche Dokumente verlangt der RTS?
Umbau der Leitlinien und Verfahren
Eine Informationssicherheitsleitlinie nach Art. 29, die alle Maßnahmen der Art. 30-38 abdeckt, dazu die Verfahren für Risikobewertung (Art. 31), Zugangskontrolle (Art. 33), IKT-Betrieb mit Schwachstellen, Patches und Protokollierung (Art. 34), Änderungen (Art. 38), Testplan (Art. 36) und Geschäftsfortführungsplan (Art. 39).
Wer macht was?
Rollen und Unabhängigkeit
Aufgaben des Leitungsorgans nach Art. 28 Abs. 2, angemessene Trennung und Unabhängigkeit von Kontroll- und Revisionsfunktionen (Art. 28 Abs. 4), IKT-Fachwissen der Revision (Art. 28 Abs. 5). Wir klären mit Ihnen, wer die Aufgaben des bisherigen ISB übernimmt, und bereiten den Beschluss des Leitungsorgans vor.
Was ist kritisch?
Einstufung kritischer oder wichtiger Funktionen
Funktionsliste mit Begründung, unterstützenden Assets und Dienstleistern (Art. 30), Business-Impact-Analyse zur Genehmigung durch das Leitungsorgan (Art. 28 Abs. 2 lit. d) und Wiederherstellungsziele je Funktion (Art. 39 Abs. 2 lit. d). Dazu halten wir Ihre Zahlen zu Beschäftigten, Umsatz und Bilanzsumme fest und markieren Grenzfälle zur rechtlichen Klärung.
Funktionen einstufenFunktioniert es im Ernstfall?
Wiederherstellungs- und Meldeübung
Eine Übung der Sicherung und Wiedergewinnung für eine kritische oder wichtige Funktion (Art. 40) und eine Meldeübung als Planspiel bis zur Erstmeldung, binnen 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis. Eine Wochenenderleichterung planen wir nicht ein, weil offen ist, ob sie für die KWG-Gruppe gilt. Mängel gehen mit Bericht an das Leitungsorgan.
DORA-MeldepflichtWo liegt der Nachweis?
Nachweisübergabe
Nachweismatrix entlang Art. 16 DORA und Art. 28-41 RTS mit Verantwortlichen und Ablageort, eine Vorlage für den Überprüfungsbericht nach Art. 41 und, wo Art. 28-30 gelten, ein fachlicher Abgleich Ihrer IKT-Verträge mit den Pflichtinhalten nach Art. 30 DORA.
Nachweismatrix zu Art. 16Was kommt jedes Jahr wieder?
Jahreskalender
Wiederkehrende Pflichten mit Termin und Verantwortlichen: Budget jährlich überprüfen (Art. 28 Abs. 2 lit. e), Geschäftsfortführungspläne jährlich testen (Art. 40), Risikobewertung, Rezertifizierung von Zugängen, Testprogramm nach Art. 24 und 25 DORA, Überprüfung des Rahmens nach Art. 16 Abs. 2 DORA. Das Testprogramm planen wir nach unserer Lesart vorsorglich ein, die Begründung steht auf der Seite zu Art. 16 DORA.
Art. 16 DORA im ÜberblickWas Sie am Ende in der Hand haben
Die Ergebnisse übergeben wir als Entwürfe zur Inkraftsetzung durch Ihr Institut und als geordnete Nachweisablage.
01
Zuordnung Ihrer BAIT-Unterlagen
Alle Dokumente mit Entscheidung (weiterverwenden, umbauen, zusammenführen) und der Zeile im BAIT-DORA-Mapping.
02
Leitlinie und Verfahren
Informationssicherheitsleitlinie nach RTS Art. 29 und die Verfahren, wo möglich aus Ihren Texten umgebaut.
03
Rollenmodell mit Beschlussvorlage
Wer welche Aufgabe übernimmt, wie Kontrolle und Revision getrennt sind und was das Leitungsorgan beschließt.
04
Funktionsliste, BIA und Wiederherstellungsziele
Kritische oder wichtige Funktionen mit Begründung, Business-Impact-Analyse und Wiederherstellungsniveaus und Zeitrahmen je Funktion.
05
Übungsprotokolle
Protokoll der Wiederherstellungsübung und Auswertung der Meldeübung, jeweils mit Mängeln, Maßnahmen und Bericht an das Leitungsorgan.
06
Nachweismatrix und Jahreskalender
Jede Vorgabe mit Nachweis und Ablageort, Vorlage für den Überprüfungsbericht nach RTS Art. 41, Kalender der wiederkehrenden Pflichten.
Beispiel: Zeitplan bei Start im November 2026
So kann der Umstieg verlaufen, wenn das Scoping-Gespräch Mitte November stattfindet und das Leitungsorgan im Dezember einen Termin frei hat. Ein Beispiel, keine Zusage: Termine des Leitungsorgans, Feiertage und die Verfügbarkeit Ihres Dienstleisters verschieben den Plan.
| Zeitraum | Abschnitt | Ergebnis | Stand am 1. Januar 2027 |
|---|---|---|---|
| Mitte bis Ende November 2026 | Bestandsaufnahme und Einstufung | Zuordnung der BAIT-Unterlagen, Zahlen zu den Kleinstunternehmen-Kriterien, Entwürfe von Funktionsliste und Business-Impact-Analyse | erledigt |
| Dezember 2026 | Rollen, Leitlinie, Funktionsliste und BIA | Rollenmodell, Informationssicherheitsleitlinie, Funktionsliste und Business-Impact-Analyse vom Leitungsorgan beschlossen, Meldeablauf geprüft | angestrebt, abhängig vom Termin des Leitungsorgans |
| Dezember 2026 bis Januar 2027 | Verfahren und Geschäftsfortführungsplan | Verfahren, Wiederherstellungsziele, Abgleich der Verträge mit Art. 30, Geschäftsfortführungsplan bis Januar 2027 vom Leitungsorgan genehmigt | in Arbeit, Pflichten gelten bereits |
| 1. Quartal 2027 | Übungen und Übergabe | Wiederherstellungs- und Meldeübung, Nachweismatrix, Jahreskalender | nach dem Stichtag, wer kann, übt schon 2026 |
Beispiel von Blackfort Technology, keine Zusage zu Terminen oder Ergebnissen.
Was kostet das Umstiegspaket, und wo liegen die Grenzen?
12.500 € netto für den unten beschriebenen Grundumfang. Mehr Rechtsträger, Dokumente, Workshops oder Dienstleister bepreisen wir nach dem Scoping-Gespräch.
| Baustein | Im Paket enthalten |
|---|---|
| Rechtsträger | einer |
| BAIT-Unterlagen in der Bestandsaufnahme | bis 40 Dokumente |
| Workshops (je bis 3 Std., per Video oder vor Ort) | bis 6, davon 2 mit dem Leitungsorgan |
| Leitlinie und Verfahren | Informationssicherheitsleitlinie und bis 8 Verfahren als Entwurf |
| IKT-Dienstleister | bis 5 in Funktionsliste und Abgleich mit Art. 30 |
| Wiederherstellungsübung | eine, für eine kritische oder wichtige Funktion. Planung, Begleitung und Protokoll durch uns, Durchführung durch Ihre IT oder Ihren Dienstleister |
| Meldeübung | eine, als Planspiel bis 3 Std. |
| Nachweisübergabe | Nachweismatrix, Vorlage Überprüfungsbericht, Jahreskalender |
| Preis | 12.500 € netto zzgl. USt. für diesen Grundumfang |
Angebot ausschließlich für Unternehmen (B2B). Mehr Rechtsträger, Dokumente, Workshops oder Dienstleister bepreisen wir nach dem Scoping-Gespräch und nennen den Preis im Angebot. Eine vorher beauftragte Art.-16-Gap-Analyse wird angerechnet, Einzelheiten im Angebot.
Wie läuft der Umstieg ab?
Vier Abschnitte. Die Dauer hängt vor allem davon ab, wie schnell Unterlagen, Termine und Beschlüsse zusammenkommen.
1
Bestandsaufnahme und Einstufung
BAIT-Unterlagen dem Mapping zuordnen, Zahlen zu den Kleinstunternehmen-Kriterien festhalten, Funktionsliste und Business-Impact-Analyse entwerfen.
2
Rollen, Leitlinie, Funktionsliste und BIA
Rollenmodell und Informationssicherheitsleitlinie, Beschluss des Leitungsorgans über Rollen, Funktionsliste und Business-Impact-Analyse, Meldeablauf prüfen.
3
Verfahren und Geschäftsfortführungsplan
Verfahren umbauen, Wiederherstellungsziele und Geschäftsfortführungsplan zur Genehmigung durch das Leitungsorgan, Abgleich der Verträge mit Art. 30.
4
Übungen und Übergabe
Wiederherstellungs- und Meldeübung, Nachweismatrix, Vorlage Überprüfungsbericht, Jahreskalender.
Ab dem 1. Januar 2027 gelten die Pflichten aus Art. 16 unabhängig davon, wie weit das Projekt ist. Ein Zeitplan verschiebt keine Pflicht. Er legt fest, was zuerst kommt: das, was ab dem ersten Tag gebraucht wird, also Rollen, Leitlinie und ein funktionierender Meldeablauf.
Ihr Ansprechpartner
Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology
Ihr Ansprechpartner ist Christian Gebhardt, Gründer und Geschäftsführer. Wer im Projekt mitarbeitet, legen wir mit dem Angebot fest.
Auf Ihre Anfrage melden wir uns in der Regel innerhalb von 1-2 Werktagen.
Umstiegspaket oder Gap-Analyse?
Die Art.-16-Gap-Analyse ist eine Analyse mit Maßnahmenplan: Sie zeigt, wo Sie stehen und was in welcher Reihenfolge zu tun ist, und lässt offen, wer umsetzt. Das Umstiegspaket ist die Umsetzung mit Ergebnisübergabe: Am Ende stehen umgebaute Dokumente, beschlossene Rollen, geübte Abläufe und eine geordnete Nachweisablage.
Sie können mit der Gap-Analyse beginnen und das Paket danach beauftragen, dann wird die Art.-16-Gap-Analyse angerechnet, Einzelheiten im Angebot. Sie können auch direkt mit dem Paket beginnen, die Bestandsaufnahme ist darin enthalten. Für Unternehmen, die Art. 16 schon anwenden und keinen BAIT-Bestand umbauen, etwa kleine Wertpapierinstitute, kleine EbAV oder Versicherungsholdings, passt meist die Gap-Analyse besser.
Wenn Ihr Institut Kleinstunternehmen ist
Für Kleinstunternehmen der KWG-Gruppe gelten Art. 28-30 DORA nicht, damit entfallen unter anderem das Informationsregister und die Pflichtinhalte für IKT-Verträge nach Art. 30. Bei Factoring- und Leasinginstituten liegt die Bilanzsumme aber oft über der Grenze von 2 Mio. EUR. Wir halten Ihre Zahlen deshalb am Anfang fest und unterstellen den Status nicht. Kriterien und Grenzfälle erklärt die Seite DORA-Betroffenheit.
Für den Paketumfang heißt das: Der Abgleich der Verträge mit Art. 30 entfällt. Die Dienstleister bleiben in Funktionsliste und Geschäftsfortführungsplan, denn auch Kleinstunternehmen ermitteln ihre wesentlichen Abhängigkeiten von IKT-Dienstleistern. Der IKT-Fremdbezug bleibt dann nach unserer Lesart im AT 9 MaRisk, weil dessen Ausnahme nur für Dienstleistungen gilt, die Art. 28-30 unterliegen.
Wer das Paket verantwortet
Verantwortlicher Berater ist Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology. Den Übergang kennen wir aus einem ISMS-Mandat bei einem Factoringinstitut im Übergang auf Art. 16 (seit 07/2026). Kundennamen nennen wir nicht.
Was bringt Ihr Institut ein?
Eine Ansprechperson
Zum Beispiel der bisherige ISB oder die IT-Leitung, mit etwa einem halben bis einem Tag pro Woche für Abstimmungen, Unterlagen und Durchsicht der Entwürfe.
Das Leitungsorgan
Zwei Termine und die Beschlüsse zu Rollen, Leitlinie, Business-Impact-Analyse und Geschäftsfortführungsplan. Die Verantwortung für den Rahmen bleibt beim Leitungsorgan.
IT und Dienstleister
Angaben zu Systemen und Verträgen, die Durchführung der Wiederherstellungsübung und die Teilnahme an der Meldeübung.
Was gehört nicht zum Umstiegspaket?
Damit die Erwartungen stimmen:
- Keine technische Umsetzung. Starke Authentifizierung, Protokollierung oder Schwachstellensuche richten Ihre IT oder Ihr Dienstleister ein, wir beschreiben die Anforderung und sehen den Nachweis durch. Technische Umsetzung mit uns vereinbaren wir gesondert.
- Keine Vertragsverhandlung und keine rechtliche Vertragsprüfung. Der Abgleich mit den Pflichtinhalten nach Art. 30 DORA ist fachlich, Formulierung und Prüfung der Klauseln gehören zu Ihrer Rechtsberatung, verhandelt wird vom Institut. Informationsregister aufbauen und einreichen gehört nicht zum Paket. Wann die KWG-Gruppe es erstmals einreicht, ist nach unserem Stand noch offen.
- Keine Übernahme von Rollen. Die Aufgabe eines externen ISB oder der internen Revision übernehmen wir nur in einem gesonderten Mandat.
- Keine Zusage, dass bis zum 1. Januar 2027 alles fertig ist, und keine Zusage, wie Aufsicht oder Prüfer das Ergebnis bewerten. Kein Zertifikat, keine Rechtsberatung.
Die Einordnungen auf dieser Seite sind allgemeine Informationen zum Stand von DORA, RTS 2024/1774 und KWG. Ob und wie sie für Ihr Institut gelten, ist im Einzelfall zu prüfen.
Häufige Fragen
Schaffen wir den Umstieg bis zum 1. Januar 2027?+
Das hängt vom Start und von Ihren Terminen ab. Bei einem Start im November können Einstufung, Rollen, Leitlinie, eine beschlossene Funktionsliste und BIA sowie ein geprüfter Meldeablauf bis zum Jahresende stehen, wenn das Leitungsorgan im Dezember beschließen kann. Der Geschäftsfortführungsplan folgt bis Januar 2027, Übungen und Nachweisübergabe im ersten Quartal 2027. Die Pflichten gelten ab dem 1. Januar 2027 trotzdem, deshalb kommt zuerst, was ab dem ersten Tag gebraucht wird. Eine Zusage, dass bis dahin alles fertig ist, geben wir nicht.
Müssen wir unseren ISB abschaffen?+
Nein. Seine Aufgaben bleiben, auch wenn der vereinfachte Rahmen die Rolle nicht mehr ausdrücklich nennt. Im Baustein „Rollen und Unabhängigkeit“ klären wir mit Ihnen, wer welche Aufgabe übernimmt. Mehr dazu auf der Seite zu Art. 16 DORA.
Wird die Gap-Analyse angerechnet?+
Ja. Eine vorher beauftragte Art.-16-Gap-Analyse wird auf das Umstiegspaket angerechnet. Die Einzelheiten stehen im Angebot.
Was passiert nach der Übergabe?+
Sie betreiben den Rahmen selbst weiter, mit dem Jahreskalender als Leitfaden. Auf Wunsch begleiten wir die erste Überprüfung des Rahmens oder die nächste Übung. Das vereinbaren wir gesondert.
Wann können wir starten?+
Den Starttermin legen wir im Scoping-Gespräch fest. Wer vor dem 1. Januar 2027 beginnt, kann Einstufung, Rollen und Leitlinie noch im Übergang klären. Ein späterer Start ist möglich, dann gelten die Pflichten aus Art. 16 bereits während des Projekts.
Weiterlesen
- Art. 16 DORA: der vereinfachte IKT-Risikomanagementrahmen
- DORA für Factoring und Leasing: Pflichten und Nachweise ab 2027
- DORA-Gap-Analyse: Quick-Check, Art. 16, Vollrahmen, Preise
- BAIT und DORA: Aufhebung, Übergang und Mapping als Excel
- Kritische oder wichtige Funktionen nach DORA einstufen
- DORA-Meldepflicht: IKT-Vorfälle klassifizieren und melden
- DORA Anwendungsbereich: wer betroffen ist, welcher Rahmen gilt
- DORA Compliance: Beratung und Umsetzung für kleinere Institute
- Über uns: DORA-Readiness von Blackfort Technology aus Bonn
Quellen
- Verordnung (EU) 2022/2554 (DORA), deutsche Fassung (abgerufen am 2026-11-06)
- Delegierte Verordnung (EU) 2024/1774 (IKT-Risikomanagement, Titel III vereinfachter Rahmen) (abgerufen am 2026-11-06)
- Delegierte Verordnung (EU) 2025/301 (Inhalt und Fristen der Meldungen) (abgerufen am 2026-11-06)
- § 1a KWG (abgerufen am 2026-11-06)
- § 65a KWG (abgerufen am 2026-11-06)
- BaFin-Meldung vom 09.01.2025: DORA kommt, Änderungen bei den aufsichtlichen Anforderungen an die IT (abgerufen am 2026-11-06)
- BaFin-Aufsichtsmitteilung vom 21.08.2025: Hinweise zur Umsetzung von DORA mit vereinfachtem IKT-Risikomanagementrahmen (PDF) (abgerufen am 2026-11-06)
- BaFin: Rundschreiben 06/2026 (BA) MaRisk, Stand 30.06.2026 (PDF) (abgerufen am 2026-11-06)
Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).
Stand: 2026-11-06
Kontakt aufnehmen
Umstieg besprechen
Schreiben Sie uns kurz, was für ein Institut Sie sind, wie viele Beschäftigte Sie haben, welche BAIT-Unterlagen es gibt und wer Ihre IT betreibt. Im Erstgespräch, auf Wunsch telefonisch oder per Video, klären wir, ob das Paket passt. Im anschließenden Scoping-Gespräch legen wir Umfang, Preis und Starttermin fest.