Umstieg auf DORA · Vollrahmen und Art. 16
Melde- und Wiederherstellungsübung nach DORA
Ob Meldung und Wiederherstellung im Ernstfall funktionieren, zeigt erst die Probe. Mit der Melde- und Wiederherstellungsübung spielen wir einen schwerwiegenden IKT-Vorfall als Planspiel bis zur Meldung durch und begleiten die Wiederherstellung einer kritischen oder wichtigen Funktion, die Ihre IT oder Ihr Dienstleister durchführt. Am Ende stehen Protokolle, eine Mängelliste mit Maßnahmen und ein Bericht an das Leitungsorgan. Festpreis 4.900 € netto zzgl. USt.
Was verlangt DORA beim Melden und Wiederherstellen?
Die Leistung gilt für beide Rahmen: für Finanzunternehmen im Vollrahmen und im vereinfachten Rahmen nach Art. 16 DORA. Die Meldepflicht nach Kapitel III gilt in beiden Rahmen gleich, für die Institute nach § 1a Abs. 2a KWG (hier: KWG-Gruppe) schon seit dem 17. Januar 2025. Die Erstmeldung eines schwerwiegenden IKT-Vorfalls ist binnen vier Stunden nach der Einstufung als schwerwiegend fällig, spätestens 24 Stunden nach Kenntnis, die Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung (Delegierte Verordnung (EU) 2025/301, Art. 5).
Beim Wiederherstellen unterscheiden sich die Rahmen. Im Vollrahmen testen Finanzunternehmen ihre IKT-Geschäftsfortführungspläne sowie die IKT-Reaktions- und Wiederherstellungspläne mindestens jährlich (Art. 11 Abs. 6 DORA) und berücksichtigen bei Wiederherstellungszeit und Wiederherstellungspunkt jeder Funktion, ob sie kritisch oder wichtig ist (Art. 12 Abs. 6). Im Art.-16-Rahmen nennen die Geschäftsfortführungspläne geplante Wiederherstellungsniveaus und Zeitrahmen (Art. 39 der Delegierten Verordnung (EU) 2024/1774, hier: RTS) und werden mindestens einmal jährlich im Hinblick auf Sicherung und Wiedergewinnung getestet. Festgestellte Mängel gehen an das Leitungsorgan (RTS Art. 40).
Die Übung prüft beides an einem Fall aus Ihrem Unternehmen und liefert Protokolle als Nachweis. Sie ist ein Beitrag zu den jährlichen Tests. Ein ganzes Testprogramm ersetzt sie nicht.
Was gehört zur Übung?
Sechs Bausteine von der Vorbereitung bis zum Bericht. Klassifizierung, Fristen und Formulare im Einzelnen erklärt unsere Seite zur Meldepflicht.
Passt das Szenario zu uns?
Drehbuch für Ihr Unternehmen
Wir schreiben ein Szenario mit Ihren Funktionen, Systemen und Dienstleistern: Einspielungen, erwartete Reaktionen, Rollen und Nachweise. Die Meldeübung ist eine Empfehlung von Blackfort Technology, um Vorfallprozess und Meldeweg gemeinsam zu prüfen.
Klassifizierung und FristenWer meldet bis wann?
Meldeübung als Planspiel
Bis zu drei Stunden am Tisch: Vorfall einstufen, Fristen für Erst- und Zwischenmeldung bestimmen, Meldung vorbereiten, Rückstufung oder Verzögerung durchspielen. Die Wochenendregel planen wir nur ein, wenn sie für Ihr Unternehmen unstreitig gilt. Wo das offen ist, etwa bei der KWG-Gruppe, üben wir ohne Erleichterung. An die BaFin geht nichts.
Kommen Daten und Betrieb zurück?
Wiederherstellungsübung
Für eine kritische oder wichtige Funktion planen wir mit Ihrer IT oder Ihrem Dienstleister Szenario, Ziel, Ablauf und Abbruchkriterien. Ihre IT oder Ihr Dienstleister stellt wieder her, wir begleiten und protokollieren, ob die Ziele aus Ihrem Plan erreicht wurden.
Funktionen einstufenWas hat gefehlt?
Auswertung mit Mängelliste
Für beide Übungen halten wir Beobachtungen, Ursachen und Maßnahmen mit Verantwortlichen und Terminen fest. Mängel aus der Wiederherstellungsübung bewerten wir gegen Ihre Wiederherstellungsziele.
Was erfährt das Leitungsorgan?
Bericht an das Leitungsorgan
Ein kurzer Bericht mit Ergebnis, Mängeln und Maßnahmen. Im Art.-16-Rahmen verlangt RTS Art. 40, dass Mängel aus den Tests dem Leitungsorgan gemeldet werden. Im Vollrahmen verantwortet das Leitungsorgan alle Vorkehrungen des IKT-Risikomanagementrahmens (Art. 5 Abs. 2 DORA).
Wie passt die Übung ins Jahr?
Einordnung ins Testprogramm
Wir zeigen, welche Tests im Jahr noch anstehen: im Vollrahmen das Testprogramm nach Art. 24 und 25 DORA mit jährlichen Tests der Systeme kritischer oder wichtiger Funktionen (Art. 24 Abs. 6), im Art.-16-Rahmen der Plan für IKT-Sicherheitstests nach RTS Art. 36 und nach unserer Lesart ebenfalls Art. 24 und 25 DORA.
Art. 16 DORA im ÜberblickWas Sie am Ende in der Hand haben
Alle Ergebnisse als Dokumente für Ihre Nachweisablage.
01
Drehbuch der Meldeübung
Szenario, Einspielungen, Rollen und erwartete Reaktionen, für spätere Übungen wiederverwendbar.
02
Protokoll der Meldeübung
Zeitpunkte von Kenntnis, Einstufung und vorbereiteter Meldung, berechnete Fristen, Abweichungen.
03
Übungsplan Wiederherstellung
Funktion, Szenario, Ziel aus Ihrem Plan, Ablauf, Beteiligte und Abbruchkriterien.
04
Protokoll der Wiederherstellungsübung
Ablauf mit Zeitstempeln, erreichte Wiederherstellungszeit und Datenstand im Vergleich zum Ziel.
05
Mängelliste mit Maßnahmen
Beobachtung, Ursache, Maßnahme, Verantwortliche und Termin für beide Übungen.
06
Bericht an das Leitungsorgan
Ergebnis, Mängel und Maßnahmen auf wenigen Seiten, mit Hinweis auf die noch anstehenden Tests des Jahres.
Beispiel: Auszug aus einer Mängelliste
So kann die Auswertung bei einem fiktiven Leasinginstitut aussehen. Ein Beispiel, keine Zusage: Welche Mängel eine Übung zeigt, hängt von Ihrem Unternehmen ab.
| Übung | Beobachtung | Ursache | Maßnahme | Verantwortlich, Termin |
|---|---|---|---|---|
| Meldeübung | Einstufung als schwerwiegend erst nach 70 Minuten, Schwellen mussten nachgeschlagen werden | kein vorbereiteter Klassifizierungsbogen | Bogen mit den eigenen Diensten und Schwellen vorausfüllen | Vorfallverantwortliche, 4 Wochen |
| Meldeübung | Die Vertretung konnte die Meldung nicht vorbereiten, weil ihr der Zugang zur MVP fehlte | nur eine berechtigte Person | zweite Person berechtigen, Bereitschaft für Wochenenden regeln | Geschäftsleitung, 6 Wochen |
| Meldeübung | Angaben zur Ursache kamen vom Dienstleister erst nach Rückfrage über die allgemeine Hotline | keine Ansprechperson für Vorfälle vereinbart | Kontaktweg mit dem Dienstleister vereinbaren, Vertrag rechtlich prüfen lassen | Dienstleistersteuerung, nächste Vertragsrunde |
| Wiederherstellungsübung | Wiederherstellung des Kernsystems nach 11 Stunden, Ziel 8 Stunden | Wiedereinspielung der Schnittstellen nicht im Plan beschrieben | Schritte im Plan ergänzen, Übung für diesen Teil wiederholen | IT-Leitung mit Dienstleister, 3 Monate |
| Wiederherstellungsübung | Datenstand lag 26 Stunden zurück, Ziel 24 Stunden | letzte nächtliche Sicherung fehlgeschlagen, ohne Alarm | Überwachung der Sicherungsläufe mit Alarm einrichten | IT-Bereitschaft, 2 Wochen |
Fiktives Beispiel von Blackfort Technology, keine Mandatsdaten und keine Zusage zu Ergebnissen.
Was kostet die Übung, und wo liegen die Grenzen?
4.900 € netto als Festpreis für einen Rechtsträger und den unten beschriebenen Umfang. Die Spalte PT zeigt den Aufwand je Baustein in Personentagen. Mehr Funktionen, Rechtsträger oder Übungstermine bepreisen wir nach dem Scoping-Gespräch.
| Baustein | Im Festpreis enthalten | PT |
|---|---|---|
| Vorbereitung und Drehbuch | ein Vorgespräch bis 2 Std. zu Funktionen, Plänen, Meldeablauf und Beteiligten, Drehbuch für Ihr Unternehmen, Übungsplan für die Wiederherstellung | 1 |
| Meldeübung | eine, als Planspiel bis 3 Std. per Video oder vor Ort, mit Nachbesprechung | 0,5 |
| Wiederherstellungsübung | eine, für eine kritische oder wichtige Funktion. Planung und Begleitung durch uns, Durchführung durch Ihre IT oder Ihren Dienstleister | 1 |
| Auswertung, Protokolle, Bericht | Protokolle beider Übungen, Mängelliste mit Maßnahmen, ein Bericht an das Leitungsorgan | 1 |
| Preis | 4.900 € netto zzgl. USt., Festpreis für diesen Umfang | 3,5 |
Angebot ausschließlich für Unternehmen (B2B). PT = Personentage. Weitere Funktionen, Rechtsträger oder Termine bepreisen wir nach dem Scoping-Gespräch und nennen den Preis im Angebot. Eine Gap-Analyse wird auf diese Einzelleistung nicht angerechnet, angerechnet wird sie nur auf die Pakete der Reihe „Umstieg auf DORA“ (Umstieg von der BAIT, VAIT, KAIT, ZAIT und BAIT-Bestand bereinigen). Wer das Paket „Umstieg von der BAIT“ bucht, hat beide Übungen dort schon enthalten.
Wie läuft die Übung ab?
Vier Abschnitte. Die Reihenfolge der beiden Übungen legen wir nach Ihren Terminen fest.
1
Vorbereitung
Vorgespräch, Funktion für die Wiederherstellungsübung wählen, Geschäftsfortführungsplan und Meldeablauf sichten, Drehbuch schreiben.
2
Meldeübung
Planspiel mit Geschäftsleitung, Vorfallverantwortlichen, IT, Dienstleistersteuerung und Kommunikation, Nachbesprechung direkt im Anschluss.
3
Wiederherstellungsübung
Durchführung durch Ihre IT oder Ihren Dienstleister in der Umgebung, die Ihre IT festlegt, Begleitung und Protokoll durch uns.
4
Auswertung und Bericht
Mängelliste mit Maßnahmen, Bericht an das Leitungsorgan, Hinweise für die nächsten Tests.
Voraussetzung sind ein beschriebener Meldeablauf und ein Geschäftsfortführungs- oder Wiederherstellungsplan mit Zielen für die gewählte Funktion. Fehlt beides, klären wir das vorher, etwa in der Gap-Analyse oder einem Paket der Reihe „Umstieg auf DORA“.
Ihr Ansprechpartner
Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology
Ihr Ansprechpartner ist Christian Gebhardt, Gründer und Geschäftsführer. Wer im Projekt mitarbeitet, legen wir mit dem Angebot fest.
Auf Ihre Anfrage melden wir uns in der Regel innerhalb von 1-2 Werktagen.
Übung, Meldepflicht-Seite, Umstieg oder Gap-Analyse?
Unsere Seite zur DORA-Meldepflicht erklärt Klassifizierung, Fristen, Wochenendregel und Formulare und enthält ein allgemeines Übungsdrehbuch. Wer selbst üben will, beginnt dort. Mit dieser Leistung bereiten wir die Übung für Ihr Unternehmen vor, führen sie mit Ihnen durch und werten sie aus, dazu kommt die Wiederherstellungsübung.
Wer das Paket „Umstieg von der BAIT“ bucht, hat eine Wiederherstellungs- und eine Meldeübung dort schon enthalten und braucht diese Leistung im ersten Jahr nicht. Die Pakete der Reihe für den Vollrahmen enthalten ebenfalls je eine Wiederherstellungs- und eine Meldeübung. Die DORA-Gap-Analyse prüft, ob Meldeablauf und Pläne den Vorgaben entsprechen, die Übung prüft, ob sie im Ablauf funktionieren.
Rechtsgrundlagen je Rahmen
Vollrahmen (Art. 5-15 DORA): Tests der IKT-Geschäftsfortführungspläne sowie der IKT-Reaktions- und Wiederherstellungspläne mindestens jährlich und bei wesentlichen Änderungen an Systemen kritischer oder wichtiger Funktionen, bei Nicht-Kleinstunternehmen mit Cyberangriffs- und Umschaltszenarien (Art. 11 Abs. 6). Wiederherstellungszeit und Wiederherstellungspunkt je Funktion (Art. 12 Abs. 6). Nicht-Kleinstunternehmen haben eine Krisenmanagementfunktion (Art. 11 Abs. 7), die wir ins Planspiel einbeziehen. Daneben das Testprogramm nach Art. 24 und 25 mit jährlichen Tests aller Systeme und Anwendungen kritischer oder wichtiger Funktionen (Art. 24 Abs. 6, nicht für Kleinstunternehmen).
Vereinfachter Rahmen (Art. 16 DORA, RTS Titel III): Geschäftsfortführung kritischer oder wichtiger Funktionen mit Sicherungs- und Wiedergewinnungsmaßnahmen und regelmäßige Tests (Art. 16 Abs. 1 lit. f und g). Geschäftsfortführungspläne mit geplanten Wiederherstellungsniveaus und Zeitrahmen (RTS Art. 39), mindestens jährlich im Hinblick auf Sicherung und Wiedergewinnung getestet, Mängel an das Leitungsorgan (RTS Art. 40). Eine Krisenmanagementfunktion sieht der vereinfachte Rahmen nicht vor, Eskalationspläne gehören laut BaFin aber dazu. Art. 24 und 25 DORA enthalten keine Ausnahme für Art.-16-Unternehmen, wir planen sie nach unserer Lesart ein. Ob Art. 24 Abs. 6 hier neben dem Testplan nach RTS Art. 36 voll greift, sagt keine Quelle ausdrücklich.
Das Meldewesen nach Kapitel III ist in beiden Rahmen gleich. Neben Erst- und Zwischenmeldung gehört dazu die Abschlussmeldung spätestens einen Monat nach der Zwischenmeldung oder der letzten aktualisierten Zwischenmeldung. Wer eine Frist nicht halten kann, teilt das der Behörde spätestens innerhalb der Frist mit Gründen mit. Wird ein Vorfall erst nach mehr als 24 Stunden als schwerwiegend eingestuft, ist die Erstmeldung binnen vier Stunden nach der Einstufung fällig.
Wer die Übung verantwortet
Verantwortlicher Berater ist Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology, seit 2017 inhabergeführt.
Was bringt Ihr Unternehmen ein?
Eine Ansprechperson
Zum Beispiel die Vorfallverantwortlichen, der ISB oder die IT-Leitung, für Vorgespräch, Unterlagen und Termine.
Teilnehmende am Planspiel
Geschäftsleitung oder Vertretung, Vorfallverantwortliche, IT, Dienstleistersteuerung, Kommunikation und Datenschutz, für bis zu drei Stunden.
IT und Dienstleister
Die Durchführung der Wiederherstellung in einer Umgebung, die Ihre IT festlegt und verantwortet. Wir greifen nicht auf Ihre Systeme zu.
Was gehört nicht zur Übung?
Damit die Erwartungen stimmen:
- Keine technische Durchführung. Die Wiederherstellung führen Ihre IT oder Ihr Dienstleister durch, bei ihnen liegen Risiko und Verantwortung für die Systeme. Wir haben keinen Zugriff auf Ihre Systeme.
- Keine echte Meldung an die BaFin und keine Rechtsberatung, etwa zur Einstufung eines realen Vorfalls oder zur Wochenendregel im Einzelfall.
- Kein vollständiges Testprogramm nach Art. 24 und 25 DORA, keine Penetrationstests, kein TLPT. Die Übung deckt eine Funktion ab. Ob Ihre übrigen Tests die jährlichen Vorgaben erfüllen, zeigt die Auswertung, ersetzt wird davon nichts.
- Keine Erstellung von Geschäftsfortführungsplan, Business-Impact-Analyse oder Funktionsliste. Diese setzen wir voraus. Keine Übernahme von Rollen.
- Keine Zusage, wie Aufsicht oder Prüfer die Übung bewerten. Kein Zertifikat.
Die Einordnungen auf dieser Seite sind allgemeine Informationen zum Stand von DORA, den Delegierten Verordnungen (EU) 2024/1774 und 2025/301 und dem KWG. Ob und wie sie für Ihr Unternehmen gelten, ist im Einzelfall zu prüfen.
Häufige Fragen
Ersetzt die Übung den jährlichen Test unserer Pläne?+
Sie ist ein Beitrag dazu. Die Wiederherstellungsübung testet Sicherung und Wiedergewinnung für eine kritische oder wichtige Funktion. Ob Ihre Tests insgesamt den Vorgaben genügen, nach RTS Art. 40 im Art.-16-Rahmen oder nach Art. 11 Abs. 6 und Art. 24 DORA im Vollrahmen, hängt davon ab, welche Funktionen und Pläne es gibt. Die Auswertung zeigt, was im Jahr noch zu testen ist.
Gilt in der Meldeübung die Wochenendregel?+
Fällt eine Frist auf ein Wochenende oder einen Feiertag, darf die Meldung grundsätzlich bis 12 Uhr des nächsten Arbeitstags übermittelt werden. Für Erst- und Zwischenmeldungen unter anderem von Kreditinstituten und von Finanzunternehmen, die nach NIS2 wesentliche oder wichtige Einrichtungen sind, gilt das nicht. Ob die KWG-Gruppe darunter fällt, ist offen. Wo das offen ist, üben wir ohne Erleichterung. Einzelheiten stehen auf der Seite zur DORA-Meldepflicht.
Wir haben das Paket „Umstieg von der BAIT“ gebucht. Brauchen wir die Übung zusätzlich?+
Im ersten Jahr nicht, beide Übungen sind im Paket enthalten. Für die Übungen der Folgejahre können Sie diese Leistung buchen.
Melden wir in der Übung etwas an die BaFin?+
Nein. Das Planspiel endet mit der vorbereiteten Meldung. Übermittelt wird nichts.
Was passiert, wenn die Wiederherstellung scheitert?+
Dann ist das ein Befund. Abbruchkriterien legen wir vorher mit Ihrer IT fest, damit der Betrieb nicht leidet. Ursache und Maßnahme kommen auf die Mängelliste und in den Bericht an das Leitungsorgan.
Weiterlesen
- DORA-Meldepflicht: IKT-Vorfälle klassifizieren und melden
- Kritische oder wichtige Funktionen nach DORA einstufen
- Umstieg von der BAIT auf DORA nach Art. 16: Umfang und Preis
- DORA-Gap-Analyse: Quick-Check, Art. 16, Vollrahmen, Preise
- Art. 16 DORA: der vereinfachte IKT-Risikomanagementrahmen
- IKT-Risikomanagement nach DORA: Rahmen und DOR-Strategie
- DORA Anwendungsbereich: wer betroffen ist, welcher Rahmen gilt
- Über uns: DORA-Readiness von Blackfort Technology aus Bonn
Quellen
- Verordnung (EU) 2022/2554 (DORA), deutsche Fassung, Art. 5, 11, 12, 16, 19, 24 (abgerufen am 2026-11-06)
- Delegierte Verordnung (EU) 2024/1774 (IKT-Risikomanagement), Art. 36, 39, 40 (abgerufen am 2026-11-06)
- Delegierte Verordnung (EU) 2025/301 (Inhalt und Fristen der Meldungen), Art. 5 (abgerufen am 2026-11-06)
- Delegierte Verordnung (EU) 2024/1772 (Klassifizierung von IKT-Vorfällen) (abgerufen am 2026-11-06)
- § 1a KWG (abgerufen am 2026-11-06)
- § 65a KWG (abgerufen am 2026-11-06)
- BaFin-Aufsichtsmitteilung vom 21.08.2025: Hinweise zur Umsetzung von DORA mit vereinfachtem IKT-Risikomanagementrahmen, Abschnitt 5 (PDF) (abgerufen am 2026-11-06)
Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).
Stand: 2026-11-06
Kontakt aufnehmen
Übung besprechen
Schreiben Sie uns kurz, welcher Rahmen für Ihr Unternehmen gilt, welche Funktion Sie üben möchten und wer Ihre IT betreibt. Im Erstgespräch, auf Wunsch telefonisch oder per Video, klären wir, ob die Übung passt. Im anschließenden Scoping-Gespräch legen wir Funktion, Termine und Beteiligte fest.