Umstieg auf DORA · Vollrahmen
Umstieg von der ZAIT auf DORA: Vollrahmen für Zahlungs- und E-Geld-Institute
Zahlungs- und E-Geld-Institute wenden seit dem 17. Januar 2025 den DORA-Vollrahmen nach Art. 5 bis 15 an, die ZAIT hat die BaFin mit Ablauf des 16. Januar 2025 aufgehoben. Viele Unterlagen sind aber noch nach der ZAIT gegliedert. Mit dem Paket „Umstieg von der ZAIT“ stellen wir diesen Bestand auf DORA und den RTS 2024/1774 um, legen Rollen fest, üben Wiederherstellung und Meldung und übergeben die Nachweise. Für den beschriebenen Grundumfang ab 29.400 € netto zzgl. USt., größeren Umfang bepreisen wir nach dem Scoping-Gespräch.
Was gilt für Zahlungs- und E-Geld-Institute?
Diese Seite gilt für den Vollrahmen nach Art. 5 bis 15 DORA, und zwar seit dem 17. Januar 2025. DORA erfasst Zahlungsinstitute und E-Geld-Institute ausdrücklich, auch die nach der Zahlungsdiensterichtlinie (PSD2) und der E-Geld-Richtlinie ausgenommenen. Eine weitere Übergangsfrist gibt es nach Auskunft der BaFin nicht.
Den vereinfachten Rahmen nach Art. 16 DORA können Zahlungs- und E-Geld-Institute in Deutschland nicht nutzen. Art. 16 nennt zwar ausgenommene Zahlungs- und E-Geld-Institute, Deutschland hat diese Ausnahmen aber nicht genutzt, und die BaFin stellt ausdrücklich fest, dass frühere ZAIT-Adressaten nicht unter Art. 16 fallen. Für das IKT-Risikomanagement nach Kapitel II gilt der Grundsatz der Verhältnismäßigkeit, und für Kleinstunternehmen sieht DORA einzelne Erleichterungen vor.
Ein eigenes Ersatzrundschreiben der BaFin für die ZAIT haben wir nicht gefunden (Stand 6. November 2026), Maßstab ist DORA selbst. Neben DORA gilt für Zahlungsdienstleister Abschnitt 3.8 der EBA-Leitlinien zu IKT- und Sicherheitsrisiken (EBA/GL/2019/04 in der Fassung von EBA/GL/2025/02) weiter, er regelt das Verhältnis zu den Zahlungsdienstnutzern. Die BaFin wendet diese Fassung seit dem 20. Mai 2025 an.
Das Paket setzt deshalb bei Ihrem Bestand an: Dokumente, Rollen und Nachweise, die noch der Gliederung der ZAIT folgen, ordnen wir DORA und dem RTS zu und bauen sie um. Funktionierende Regelungen und Schutzmaßnahmen bleiben erhalten, sie bekommen die passende Fundstelle und, wo nötig, die fehlenden Teile.
Was ist im Paket „Umstieg von der ZAIT“ enthalten?
Sieben Bausteine, die aufeinander aufbauen. Fundstellen ohne Zusatz beziehen sich auf DORA, „RTS“ meint die Delegierte Verordnung (EU) 2024/1774, Titel II.
Was haben wir schon?
Bestandsaufnahme der ZAIT-Unterlagen
Jedes vorhandene Dokument ordnen wir den Pflichten des Vollrahmens und den Kapiteln des RTS Titel II zu und legen mit Ihnen fest: weiterverwenden, umbauen oder zusammenführen. Verweise auf die aufgehobene ZAIT ersetzen wir durch die DORA-Fundstelle.
ZAIT und DORAWelche Dokumente verlangt der Vollrahmen?
Rahmen, Leitlinien und Verfahren
Der IKT-Risikomanagementrahmen nach Art. 6 mit der Strategie für die digitale operationale Resilienz (DOR-Strategie, Art. 6 Abs. 8), dazu die Leitlinien und Verfahren des RTS zu Sicherheit, Zugang, Erkennung und Reaktion sowie Geschäftsfortführung. Wo es schon eine IT- oder Sicherheitsstrategie gibt, gleichen wir sie ab.
IKT-Risikomanagement im VollrahmenWer macht was?
Rollen und IKT-Risikokontrollfunktion
Das Leitungsorgan definiert, genehmigt und verantwortet den Rahmen (Art. 5 Abs. 2). Wer kein Kleinstunternehmen ist, überträgt das IKT-Risikomanagement einer Kontrollfunktion mit angemessener Unabhängigkeit (Art. 6 Abs. 4) und überwacht die Verträge mit IKT-Dienstleistern (Art. 5 Abs. 3). Wir klären, wie die bisherigen Rollen diese Aufgaben abdecken, und bereiten den Beschluss vor.
Was ist kritisch?
Funktionsliste, BIA und Wiederherstellungsziele
Kritische oder wichtige Funktionen mit Begründung und unterstützenden Systemen und Dienstleistern, Business-Impact-Analyse als Teil der Geschäftsfortführungsleitlinie (Art. 11 Abs. 5) und Wiederherstellungszeit und -punkt je Funktion (Art. 12 Abs. 6). Die Einstufung ist nicht dasselbe wie die Wesentlichkeit einer Auslagerung.
Funktionen einstufenFunktioniert es im Ernstfall?
Wiederherstellungs- und Meldeübung
Eine Übung der Wiederherstellung für eine kritische oder wichtige Funktion und eine Meldeübung als Planspiel bis zur Erstmeldung, binnen 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis. Eine Erleichterung für Wochenenden und Feiertage planen wir in der Übung nicht ein. Mängel gehen mit Bericht an das Leitungsorgan.
DORA-MeldepflichtHalten die Verträge?
Abgleich der IKT-Verträge mit Art. 30
DORA fasst IKT-Dienstleistungen deutlich weiter als den Auslagerungsbegriff. Wir gleichen Ihre Verträge fachlich mit den Pflichtinhalten nach Art. 30 Abs. 2 ab und bei kritischen oder wichtigen Funktionen mit den Zusatzinhalten nach Art. 30 Abs. 3. Die sektoralen Auslagerungsregeln gelten daneben weiter.
IKT-Dienstleister steuernWo liegt der Nachweis, was kommt jedes Jahr?
Nachweismatrix und Jahreskalender
Jede Pflicht mit Nachweis, Verantwortlichen und Ablageort. Dazu ein Kalender der wiederkehrenden Pflichten, etwa jährliche Tests der Geschäftsfortführungs- und Wiederherstellungspläne (Art. 11 Abs. 6), jährliche Tests der Systeme kritischer oder wichtiger Funktionen (Art. 24 Abs. 6) und die jährliche Risikobewertung der Altsysteme (Art. 8 Abs. 7).
Was Sie am Ende in der Hand haben
Die Ergebnisse übergeben wir als Entwürfe zur Inkraftsetzung durch Ihr Institut und als geordnete Nachweisablage.
01
Zuordnung Ihrer ZAIT-Unterlagen
Alle Dokumente mit Entscheidung (weiterverwenden, umbauen, zusammenführen) und der Fundstelle in DORA und RTS.
02
Rahmen, DOR-Strategie, Leitlinien und Verfahren
Als Entwurf, wo möglich aus Ihren vorhandenen Texten umgebaut.
03
Rollenmodell mit Beschlussvorlage
Leitungsorgan, IKT-Risikokontrollfunktion, Vertragsüberwachung und Revision mit klaren Zuständigkeiten.
04
Funktionsliste, BIA und Wiederherstellungsziele
Kritische oder wichtige Funktionen mit Begründung, Business-Impact-Analyse, Wiederherstellungszeit und -punkt je Funktion.
05
Übungsprotokolle
Protokoll der Wiederherstellungsübung und Auswertung der Meldeübung, jeweils mit Mängeln, Maßnahmen und Bericht an das Leitungsorgan.
06
Nachweismatrix und Jahreskalender
Jede Pflicht mit Nachweis und Ablageort, Kalender der wiederkehrenden Pflichten mit Verantwortlichen.
Beispiel: Bestandsaufnahme bei einem Zahlungsinstitut
So kann die Entscheidung je Dokument nach der Bestandsaufnahme aussehen. Ein fiktives Beispiel, keine Zusage und keine Aussage über Ihre Unterlagen.
| Vorhandenes Dokument | Fundstelle im Vollrahmen | Befund | Entscheidung |
|---|---|---|---|
| IT-Strategie | Art. 6 Abs. 8 DORA (DOR-Strategie) | beschreibt Ziele der IT, nicht wie der IKT-Risikomanagementrahmen umgesetzt wird | umbauen, Abschnitt zur Umsetzung des Rahmens ergänzen |
| Rollenbeschreibung Informationssicherheit | Art. 6 Abs. 4 DORA | Unabhängigkeit der Kontrollfunktion nicht beschrieben | umbauen, Beschluss des Leitungsorgans vorbereiten |
| IT-Notfallhandbuch | Art. 11 und 12 DORA, RTS Titel II | keine Business-Impact-Analyse, keine Wiederherstellungsziele je Funktion | weiterverwenden, BIA und Ziele ergänzen |
| Liste der Auslagerungen | Art. 28 bis 30 DORA | nur wesentliche Auslagerungen, weitere IKT-Dienstleister fehlen | zusammenführen mit der Funktionsliste |
Fiktives Beispiel von Blackfort Technology, keine Zusage zu Ergebnissen.
Was kostet der Umstieg von der ZAIT, und wo liegen die Grenzen?
Ab 29.400 € netto für den unten beschriebenen Grundumfang: 21 Personentage zu 1.400 €. Mehr Rechtsträger, Dokumente, Workshops oder Dienstleister bepreisen wir nach dem Scoping-Gespräch.
| Baustein | Im Paket enthalten | Personentage |
|---|---|---|
| Bestandsaufnahme und Zuordnung | ein Rechtsträger, bis 60 ZAIT-Dokumente | 3 |
| Umbau von Rahmen, Leitlinien und Verfahren | bis 12 Entwürfe, einschließlich Entwurf der DOR-Strategie oder Abgleich einer vorhandenen | 6 |
| Rollen und Governance | Rollenmodell mit IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 DORA, Beschlussvorlagen | 1,5 |
| Funktionsliste, BIA und Wiederherstellungsziele | bis 10 IKT-Dienstleister in der Funktionsliste, Abgleich mit Art. 30 | 3 |
| Verzahnung mit weiter geltenden Vorgaben | Abschnitt 3.8 der EBA-Leitlinien zu IKT- und Sicherheitsrisiken (Verhältnis zu Zahlungsdienstnutzern), der neben DORA weiter gilt, und Ihre übrigen aufsichtlichen Vorgaben | 1,5 |
| Wiederherstellungs- und Meldeübung | je eine. Wiederherstellung für eine kritische oder wichtige Funktion mit Planung, Begleitung und Protokoll durch uns und Durchführung durch Ihre IT oder Ihren Dienstleister. Meldeübung als Planspiel bis 3 Std. | 2 |
| Nachweismatrix, Jahreskalender und Übergabe | Nachweismatrix mit Ablageort, Kalender der wiederkehrenden Pflichten | 1,5 |
| Projektsteuerung und Workshops | bis 8 Workshops je bis 3 Std., per Video oder vor Ort, davon 2 mit dem Leitungsorgan | 2,5 |
| Summe | Tagessatz 1.400 € netto | 21 |
| Preis | ab 29.400 € netto zzgl. USt. für diesen Grundumfang |
Angebot ausschließlich für Unternehmen (B2B). Mehr Rechtsträger, Dokumente, Workshops oder Dienstleister bepreisen wir nach dem Scoping-Gespräch und nennen den Preis im Angebot. Eine vorher beauftragte Vollrahmen-Gap-Analyse wird angerechnet, Einzelheiten im Angebot.
Wie läuft der Umstieg ab?
Vier Abschnitte. Die Dauer hängt vor allem davon ab, wie schnell Unterlagen, Termine und Beschlüsse zusammenkommen.
1
Bestandsaufnahme und Einstufung
ZAIT-Unterlagen zuordnen, Zahlen zu Beschäftigten, Umsatz und Bilanzsumme festhalten, Funktionsliste und Business-Impact-Analyse entwerfen.
2
Rahmen, Rollen und Strategie
Rollenmodell mit Kontrollfunktion, Rahmen und DOR-Strategie, Beschluss des Leitungsorgans, Meldeablauf prüfen.
3
Leitlinien, Verfahren und Verträge
Leitlinien und Verfahren umbauen, Wiederherstellungsziele festlegen, Verträge fachlich mit Art. 30 abgleichen.
4
Übungen und Übergabe
Wiederherstellungs- und Meldeübung, Nachweismatrix, Jahreskalender.
Die Pflichten gelten seit dem 17. Januar 2025 unabhängig davon, wie weit das Projekt ist. Deshalb kommt zuerst, was im Ernstfall gebraucht wird: klare Rollen und ein funktionierender Meldeablauf.
Ihr Ansprechpartner
Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology
Ihr Ansprechpartner ist Christian Gebhardt, Gründer und Geschäftsführer. Wer im Projekt mitarbeitet, legen wir mit dem Angebot fest.
Auf Ihre Anfrage melden wir uns in der Regel innerhalb von 1-2 Werktagen.
Umstieg von der ZAIT, Fachseite oder Gap-Analyse?
Die Fachseite ZAIT und DORA erklärt, was mit der Aufhebung der ZAIT gilt und wie sich die alten Anforderungen DORA zuordnen. Die Seite IKT-Risikomanagement erklärt die Pflichten des Vollrahmens im Einzelnen. Dieses Paket ist die Umsetzung mit Ergebnisübergabe.
Die Vollrahmen-Gap-Analyse zeigt, wo Sie stehen und was in welcher Reihenfolge zu tun ist, und lässt offen, wer umsetzt. Sie können mit ihr beginnen und das Paket danach beauftragen, dann wird sie angerechnet, Einzelheiten im Angebot. Sie können auch direkt mit dem Paket beginnen, die Bestandsaufnahme ist darin enthalten.
Wenn Ihr Institut Kleinstunternehmen ist
Kleinstunternehmen haben weniger als zehn Beschäftigte und einen Jahresumsatz bzw. eine Jahresbilanzsumme bis 2 Mio. EUR. Die englische Fassung sagt „und/oder“, ob eine der beiden Zahlen genügt, ist sprachlich offen. Wir halten Ihre Zahlen deshalb am Anfang fest und unterstellen den Status nicht.
Ist Ihr Institut Kleinstunternehmen, entfallen im Vollrahmen einzelne Pflichten, etwa die unabhängige Kontrollfunktion nach Art. 6 Abs. 4 und die Krisenmanagementfunktion nach Art. 11 Abs. 7. Den Paketumfang passen wir dann im Angebot an.
Wer das Paket verantwortet
Verantwortlicher Berater ist Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology. Wir sind seit 2017 inhabergeführt.
Was bringt Ihr Institut ein?
Eine Ansprechperson
Zum Beispiel die Informationssicherheit oder die IT-Leitung, mit etwa einem halben bis einem Tag pro Woche für Abstimmungen, Unterlagen und Durchsicht der Entwürfe.
Das Leitungsorgan
Zwei Termine und die Beschlüsse zu Rollen, Rahmen, DOR-Strategie und Business-Impact-Analyse. Die Verantwortung für den Rahmen bleibt beim Leitungsorgan.
IT und Dienstleister
Angaben zu Systemen und Verträgen, die Durchführung der Wiederherstellungsübung und die Teilnahme an der Meldeübung.
Was gehört nicht zum Paket?
Damit die Erwartungen stimmen:
- Keine technische Umsetzung. Starke Authentifizierung, Protokollierung oder Schwachstellensuche richten Ihre IT oder Ihr Dienstleister ein, wir beschreiben die Anforderung und sehen den Nachweis durch.
- Keine Vertragsverhandlung und keine rechtliche Vertragsprüfung. Der Abgleich mit Art. 30 DORA ist fachlich, Formulierung und Prüfung der Klauseln gehören zu Ihrer Rechtsberatung. Das Informationsregister aufbauen und einreichen gehört nicht zum Paket.
- Keine Übernahme von Rollen. Die IKT-Risikokontrollfunktion, einen externen ISB oder die interne Revision übernehmen wir nur in einem gesonderten Mandat.
- Keine Zusage, wie Aufsicht oder Prüfer das Ergebnis bewerten. Kein Zertifikat, keine Rechtsberatung.
Die Einordnungen auf dieser Seite sind allgemeine Informationen zum Stand von DORA und RTS 2024/1774 am 6. November 2026. Ob und wie sie für Ihr Institut gelten, ist im Einzelfall zu prüfen.
Häufige Fragen
Gilt für uns der vereinfachte Rahmen nach Art. 16?+
Nein. Zahlungs- und E-Geld-Institute wenden in Deutschland den Vollrahmen nach Art. 5 bis 15 an, weil Deutschland die Ausnahmen der Zahlungsdienste- und der E-Geld-Richtlinie nicht genutzt hat. Die BaFin stellt fest, dass frühere ZAIT-Adressaten nicht unter Art. 16 fallen.
Seit wann gilt DORA für uns?+
Seit dem 17. Januar 2025. Die ZAIT hat die BaFin mit Ablauf des 16. Januar 2025 aufgehoben, eine weitere Übergangsfrist gibt es nach Auskunft der BaFin nicht.
Müssen wir alles neu schreiben?+
Nein. Was funktioniert, bleibt. Die Bestandsaufnahme legt je Dokument fest, ob es weiterverwendet, umgebaut oder zusammengeführt wird. Neu hinzu kommen vor allem Teile, die DORA ausdrücklich verlangt und die in vielen Beständen fehlen, etwa die DOR-Strategie nach Art. 6 Abs. 8 und die IKT-Risikokontrollfunktion nach Art. 6 Abs. 4.
Wird die Gap-Analyse angerechnet?+
Ja. Eine vorher beauftragte Vollrahmen-Gap-Analyse wird auf das Paket angerechnet. Die Einzelheiten stehen im Angebot.
Was passiert nach der Übergabe?+
Sie betreiben den Rahmen selbst weiter, mit dem Jahreskalender als Leitfaden. Auf Wunsch begleiten wir die erste Überprüfung des Rahmens oder die nächste Übung. Das vereinbaren wir gesondert.
Weiterlesen
- ZAIT und DORA: Mapping und Prüfliste für Zahlungsinstitute
- IKT-Risikomanagement nach DORA: Rahmen und DOR-Strategie
- DORA-Gap-Analyse: Quick-Check, Art. 16, Vollrahmen, Preise
- Kritische oder wichtige Funktionen nach DORA einstufen
- DORA-Meldepflicht: IKT-Vorfälle klassifizieren und melden
- IKT-Drittdienstleister steuern: DORA-Verträge nach Art. 30
- DORA-Informationsregister: Aufbau, Pflichtfelder, Einreichung
- DORA Anwendungsbereich: wer betroffen ist, welcher Rahmen gilt
Quellen
- Verordnung (EU) 2022/2554 (DORA), deutsche Fassung, Art. 2, 5, 6, 8, 11, 12, 16, 24, 30, 64 (abgerufen am 2026-11-06)
- Delegierte Verordnung (EU) 2024/1774 (RTS IKT-Risikomanagement), Titel II (abgerufen am 2026-11-06)
- Delegierte Verordnung (EU) 2025/301 (Inhalt und Fristen der Meldungen), Art. 5 (abgerufen am 2026-11-06)
- BaFin-Meldung vom 09.01.2025: DORA kommt, Änderungen bei den aufsichtlichen Anforderungen an die IT (abgerufen am 2026-11-06)
- BaFin-Aufsichtsmitteilung vom 21.08.2025: Hinweise zur Umsetzung von DORA mit vereinfachtem IKT-Risikomanagementrahmen (Artikel 16 DORA), Vorwort und Fußnote 6 (abgerufen am 2026-11-06)
- BaFin-FAQ DORA: Wird es Übergangsfristen im Rahmen von DORA geben? (abgerufen am 2026-11-06)
- EBA: Leitlinien zu IKT- und Sicherheitsrisiken EBA/GL/2019/04, konsolidierte Fassung nach EBA/GL/2025/02 (PDF, englisch) (abgerufen am 2026-11-06)
Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).
Stand: 2026-11-06
Kontakt aufnehmen
Umstieg besprechen
Schreiben Sie uns kurz, ob Sie Zahlungs- oder E-Geld-Institut sind, wie viele Beschäftigte Sie haben, welche Unterlagen es gibt und wer Ihre IT betreibt. Im Erstgespräch, auf Wunsch telefonisch oder per Video, klären wir, ob das Paket passt. Im anschließenden Scoping-Gespräch legen wir Umfang, Preis und Starttermin fest.