Briefing des Leitungsorgans
DORA-Schulung für das Leitungsorgan, zugeschnitten auf Ihr Institut
Wir schulen Vorstand oder Geschäftsleitung Ihres Instituts zu DORA: inhouse, remote oder vor Ort, in rund vier Stunden und mit Beispielen aus Ihrem eigenen Haus. Das Briefing passt für den Vollrahmen, in dem Art. 5 Abs. 4 regelmäßige Schulungen des Leitungsorgans verlangt, und für den vereinfachten Rahmen nach Art. 16, in dem die Schulung des Managements aus Art. 16 Abs. 1 lit. h folgt. Jede Person erhält eine Teilnahmebestätigung.
Was verlangt DORA vom Leitungsorgan zur Schulung?
Im Vollrahmen (Art. 5 bis 15 DORA) gilt Art. 5 Abs. 4: Die Mitglieder des Leitungsorgans „halten ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand“, unter anderem durch regelmäßige spezielle Schulungen, entsprechend den zu managenden IKT-Risiken. Dazu kommt Art. 13 Abs. 6: Programme zur Sensibilisierung und Schulungen zur digitalen operationalen Resilienz sind Pflicht und gelten für alle Beschäftigten und die Geschäftsleitung. Das Budget dafür weist das Leitungsorgan selbst zu und überprüft es regelmäßig (Art. 5 Abs. 2 lit. g). Einen Turnus oder eine Stundenzahl nennt DORA nicht.
Im vereinfachten Rahmen nach Art. 16, also unter anderem für die Institute der KWG-Gruppe ab dem 01.01.2027, gilt Art. 5 Abs. 4 nicht. Die BaFin stellt aber klar, dass die Mitglieder des Leitungsorgans wegen ihrer Gesamtverantwortung für den Rahmen (RTS 2024/1774 Art. 28 Abs. 2 lit. a) über angemessene IKT-Kompetenzen verfügen müssen. Schulungspflichten werden dort nach ihrer Einschätzung stärker betont als in der BAIT: Finanzunternehmen entwickeln Programme zur Sensibilisierung und Schulungen für ihre Mitarbeitenden und ihr Management (Art. 16 Abs. 1 lit. h DORA i. V. m. RTS Art. 28 Abs. 2 lit. e, Aufsichtsmitteilung vom 21.08.2025, Abschnitt 3.3). Umfang und Häufigkeit richten sich nach Bedarf und IKT-Risikoprofil.
Wer zum Leitungsorgan gehört, bestimmt Art. 3 Nr. 30 DORA mit Verweis auf das jeweilige Sektorrecht. Welcher Rahmen für Ihr Institut gilt, klärt die Seite zum DORA-Anwendungsbereich, im Einzelfall ist das zu prüfen.
Was kann Ihr Leitungsorgan nach dem Briefing?
Ziel ist, dass das Leitungsorgan die Entscheidungen treffen und überwachen kann, die DORA ihm zuweist. Technische Details bleiben bei IT, Informationssicherheit und Dienstleistern.
Was liegt bei uns?
Verantwortung einordnen
Welche Aufgaben DORA dem Leitungsorgan zuweist, im Vollrahmen nach Art. 5 Abs. 2, im vereinfachten Rahmen nach RTS Art. 28 Abs. 2, und was sich delegieren lässt.
Art. 16 DORAWelcher Rahmen gilt?
Einstufung verstehen
Warum Ihr Institut im Vollrahmen oder im Art.-16-Rahmen ist und was daraus für Dokumente und Rollen folgt.
DORA-AnwendungsbereichWas legen wir fest?
Strategie, Toleranz und Richtlinien
Im Vollrahmen DOR-Strategie und Risikotoleranzschwelle, im Art.-16-Rahmen die Ziele der Informationssicherheit und die Richtlinien des RTS.
IKT-RisikomanagementWas darf ausfallen?
Funktionen und Geschäftsfortführung
Kritische oder wichtige Funktionen, Business-Impact-Analyse und Geschäftsfortführungspläne. Im Art.-16-Rahmen genehmigt das Leitungsorgan sie ausdrücklich (RTS Art. 28 Abs. 2 lit. d), im Vollrahmen genehmigt, überwacht und überprüft es Geschäftsfortführungsleitlinie und Reaktions- und Wiederherstellungspläne (Art. 5 Abs. 2 lit. e), die BIA nennt DORA dort nicht.
Kritische oder wichtige FunktionenWer entscheidet im Ernstfall?
Vorfälle und Meldung
Klassifizierung schwerwiegender IKT-Vorfälle, Meldefristen und wer im Institut über eine Meldung entscheidet.
IKT-Vorfälle meldenWoran erkennen wir Fortschritt?
Berichte lesen und nachfragen
Berichte zu Informationssicherheit, Tests, Dienstleistern und Vorfällen bewerten und die richtigen Fragen an IT, Kontrollfunktion und Dienstleister stellen.
Was erhalten Sie?
Zum Erstbriefing gehören Vorbereitung, Unterlagen und Nachweis.
01
Pre-Read
Wenige Seiten zu Einstufung, Funktionen, Dienstleistern, Meldeweg und offenen Punkten, aus dem Vorgespräch erstellt und einige Werktage vor dem Termin versandt.
02
Foliensatz als PDF
Der gezeigte Foliensatz mit Version, Datum und Fundstellen, zur Ablage in Ihrer Schulungsdokumentation.
03
Teilnahmebestätigung je Person
Mit Name und Funktion, Datum, Uhrzeit und Dauer, Anbieter und den behandelten Inhalten mit den Fundstellen Ihres Rahmens.
04
Unterschriebene Teilnehmerliste
Alle teilnehmenden Mitglieder des Leitungsorgans und weitere Teilnehmende, zur Vorlage auf Verlangen.
05
Vorlage für den Leitungsbeschluss
Die Entscheidungen, die nach dem Briefing anstehen, etwa zu Zuständigkeiten, Funktionsliste und Business-Impact-Analyse, Berichtswesen an das Leitungsorgan und Schulungsplan.
06
Prüffragen und Turnusempfehlung
Fragen, die das Leitungsorgan IT, Kontrollfunktion und Dienstleistern stellen kann, und eine schriftliche Empfehlung zum Abstand der Auffrischungen.
Ablauf des Erstbriefings
Sechs Module in rund vier Stunden. Die Spalten zum Rahmen zeigen, auf welche Fundstellen sich jedes Modul in Ihrem Rahmen stützt, die rechte Spalte, womit wir es auf Ihr Institut beziehen.
| Modul | Dauer | Vollrahmen | Art.-16-Rahmen | Bezug auf Ihr Institut |
|---|---|---|---|---|
| 1 Anwendungsbereich und Rahmen | 30 Min. | Art. 2, Art. 5 bis 15 DORA | Art. 16 DORA, RTS Titel III | Ihre Einstufung und Ihre Geschäftsbereiche aus dem Vorgespräch |
| 2 Verantwortung des Leitungsorgans | 40 Min. | Art. 5 Abs. 2 und 4 | RTS Art. 28 Abs. 2 bis 6 | Ihre heutige Aufgabenverteilung zwischen Leitung, IT, Kontrollfunktion und Revision |
| 3 IKT-Risiken als Geschäftsrisiken | 40 Min. | Art. 6, 8 | RTS Art. 30, 31 | Angriffsabläufe, die zu Ihrem Geschäftsmodell passen, an nachgestellten Beispielen |
| 4 Funktionen, Geschäftsfortführung und Tests | 50 Min. | Art. 11, 12, 24, 25 | RTS Art. 39, 40 | Ihre kritischen oder wichtigen Funktionen und der Stand Ihrer Wiederherstellungstests |
| 5 Dienstleister und Vorfälle | 45 Min. | Art. 17 bis 19, 28 bis 30 | Art. 17 bis 19, 28 bis 30 mit den Ausnahmen des Art.-16-Rahmens | Ihre wichtigsten IKT-Dienstleister und Ihr Meldeweg |
| 6 Berichtswesen, Nachweis und Beschlüsse | 35 Min. | Art. 5 Abs. 2, Art. 13 | RTS Art. 28 Abs. 2 lit. i, Art. 41 | Vorlage für Ihren Leitungsbeschluss und Empfehlung zum Turnus |
Agenda und Zeiten sind ein Vorschlag von Blackfort Technology, keine Vorgabe von DORA oder BaFin. Wir passen Gewichtung und Reihenfolge im Vorgespräch an Ihr Institut an.
Wie läuft die Schulung ab?
Von der Anfrage bis zum Leitungsbeschluss in sechs Schritten.
1
Anfrage und Klärungsgespräch
Sie nennen Gremium, Zahl der Teilnehmenden, remote oder vor Ort und Wunschzeitraum. In einem kurzen Gespräch klären wir Rahmen und Umfang.
2
Angebot
Sie erhalten ein Angebot mit Festpreis.
3
Vorgespräch
60 Minuten mit einer Ansprechperson als Teil der beauftragten Leistung: Einstufung, Funktionen, Dienstleister, Stand der Umsetzung.
4
Pre-Read
Versand einige Werktage vor dem Termin.
5
Briefing
Rund vier Stunden, remote oder bei Ihnen vor Ort.
6
Nachweis und Nachbereitung
Teilnahmebestätigungen, Teilnehmerliste, Foliensatz und Beschlussvorlage.
Offene Termine bieten wir nicht an. Ergänzend gibt es eine jährliche Auffrischung von 90 bis 120 Minuten remote und ein Planspiel zum Ernstfall von zwei bis drei Stunden, getrennt vom Erstbriefing.
Ihr Ansprechpartner
Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology
Ihr Ansprechpartner ist Christian Gebhardt, Gründer und Geschäftsführer. Wer im Projekt mitarbeitet, legen wir mit dem Angebot fest.
Auf Ihre Anfrage melden wir uns in der Regel innerhalb von 1-2 Werktagen.
Wie weisen Sie die Schulung nach?
Eine bestimmte Form des Nachweises schreiben weder DORA noch der RTS vor. Wir stellen deshalb je Person eine Teilnahmebestätigung mit Inhalten und Fundstellen aus und übergeben die unterschriebene Teilnehmerliste. Eine Prüfung der Teilnehmenden gibt es nicht.
Eine Teilnahmebestätigung belegt die Teilnahme, nicht die Kenntnisse. Dass das Leitungsorgan seine Aufgaben wahrnimmt, zeigt sich an seinen Beschlüssen, etwa zur Genehmigung von Business-Impact-Analyse und Geschäftsfortführungsplänen (RTS Art. 28 Abs. 2 lit. d im Art.-16-Rahmen), zur Funktionsliste oder zur DOR-Strategie im Vollrahmen. Darum gehört die Vorlage für den Leitungsbeschluss zum Lieferumfang.
Wer sollte teilnehmen?
Alle Mitglieder von Vorstand oder Geschäftsleitung. Ob und wieweit Mitglieder eines Aufsichts- oder Verwaltungsorgans zum Leitungsorgan im Sinne von Art. 3 Nr. 30 DORA gehören, richtet sich nach dem Sektorrecht, auf das die Vorschrift verweist. Sie können in jedem Fall teilnehmen. Wir empfehlen, die Person einzubeziehen, die im Institut die Informationssicherheit verantwortet, und im Vollrahmen die IKT-Risikokontrollfunktion.
Was ist die Schulung nicht?
Damit die Erwartungen stimmen:
- Kein Zertifikat und keine Prüfung. Sie erhalten eine Teilnahmebestätigung.
- Keine Rechtsberatung. Zu Einstufung, Pflichten und Haftung geben wir allgemeine Informationen, den Einzelfall klären Sie mit Ihrer Rechtsberatung.
- Keine Schulung der Beschäftigten. Sensibilisierung und Schulung aller Beschäftigten nach Art. 13 Abs. 6 DORA bzw. Art. 16 Abs. 1 lit. h sind eine eigene Maßnahme in Ihrem Schulungsprogramm.
- Keine NIS2-Schulung. Gilt für Ihr Unternehmen zusätzlich das BSIG, finden Sie die Informationen auf https://nis2-readiness.de.
- Keine Anerkennung durch die BaFin. DORA sieht keine Anerkennung von Schulungsanbietern vor.
Die Angaben geben den Stand von DORA, RTS 2024/1774 und der Aufsichtsmitteilung vom 21.08.2025 am 06.11.2026 wieder. Ob und in welchem Rahmen DORA für Ihr Institut gilt, ist im Einzelfall zu prüfen.
Häufige Fragen
Wie oft muss das Leitungsorgan geschult werden?+
DORA nennt keinen Turnus. Art. 5 Abs. 4 spricht im Vollrahmen von regelmäßigen speziellen Schulungen, im Art.-16-Rahmen richten sich Schulungen nach Bedarf und IKT-Risikoprofil. Wir empfehlen nach dem Erstbriefing eine jährliche Auffrischung und zusätzlich ein Briefing bei Anlässen wie einem Wechsel im Leitungsorgan oder einer neuen Rechtslage, etwa dem Wechsel der KWG-Gruppe in den Art.-16-Rahmen.
Wir sind ein Factoringinstitut. Gilt Art. 5 Abs. 4 für uns?+
Für Institute der KWG-Gruppe gilt ab dem 01.01.2027 der vereinfachte Rahmen nach Art. 16, und dort gilt Art. 5 Abs. 4 nicht. Schulungen für das Management verlangt aber Art. 16 Abs. 1 lit. h, und die BaFin erwartet angemessene IKT-Kompetenz des Leitungsorgans. Für Ihr Briefing nutzen wir die Fundstellen des Art.-16-Rahmens. Fragen zum Umstieg beantwortet unsere Seite zu DORA für Factoring und Leasing. Den ganzen Umstieg von der BAIT begleiten wir im Paket „Umstieg von der BAIT“.
Was kostet die DORA-Schulung?+
Den Preis nennen wir im Angebot. Er hängt von Zahl der Teilnehmenden, remote oder vor Ort und davon ab, ob Planspiel oder Auffrischung dazukommen. Nach dem Klärungsgespräch erhalten Sie einen Festpreis.
Wo findet das Planspiel statt?+
Am besten bei Ihnen vor Ort, weil die Übung zum Ernstfall im Raum besser funktioniert. Das Erstbriefing und die Auffrischung sind auch remote möglich.
Weiterlesen
- Art. 16 DORA: der vereinfachte IKT-Risikomanagementrahmen
- DORA für Factoring und Leasing: Pflichten und Nachweise ab 2027
- Umstieg von der BAIT auf DORA nach Art. 16: Umfang und Preis
- DORA Anwendungsbereich: wer betroffen ist, welcher Rahmen gilt
- IKT-Risikomanagement nach DORA: Rahmen und DOR-Strategie
- Kritische oder wichtige Funktionen nach DORA einstufen
- DORA-Zertifizierung und DORA-Prüfung: wer prüft was?
- DORA-Gap-Analyse: Quick-Check, Art. 16, Vollrahmen, Preise
Quellen
- Verordnung (EU) 2022/2554 (DORA), Art. 3 Nr. 30, Art. 5 Abs. 2 lit. g und Abs. 4, Art. 13 Abs. 6, Art. 16 Abs. 1 lit. h (abgerufen am 2026-11-06)
- Delegierte Verordnung (EU) 2024/1774 (RTS IKT-Risikomanagement), Art. 28 Abs. 2 (abgerufen am 2026-11-06)
- BaFin: Aufsichtsmitteilung vom 21.08.2025, Hinweise zur Umsetzung von DORA mit vereinfachtem IKT-Risikomanagementrahmen (Artikel 16 DORA), Abschnitt 3.3 (abgerufen am 2026-11-06)
Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).
Stand: 2026-11-06
Kontakt aufnehmen
Schulung anfragen
Schreiben Sie uns, welches Gremium teilnehmen soll, welchen Rahmen Sie anwenden, ob remote oder vor Ort und in welchem Zeitraum. Grenzfälle markieren wir für Ihre Rechtsberatung. Nach einem kurzen Klärungsgespräch erhalten Sie ein Angebot.