Welche Dokumente benötigt man für DORA-Compliance?

Welche Dokumente benötigt man für DORA-Compliance?

Für die DORA-Compliance brauchst du vier Dokumentenpakete: Governance und Richtlinien (u. a. IKT-Risikomanagement-Rahmenwerk, Resilienzstrategie, Notfallpläne), Register und Inventare (Informationsregister nach Art. 28 Abs. 3, IKT-Asset-Inventar), Nachweise zu Vorfällen und Tests (Meldeunterlagen, Testpläne, Prüfberichte) sowie Vertrags- und Drittparteien-Dokumentation (Drittparteienstrategie, Verträge nach Art. 30, Exit-Pläne). Ein eigenes „DORA-Handbuch“ schreibt die Verordnung nicht vor, es hat sich als Dachdokument für Prüfungen aber bewährt.

Die Bedeutung der Nachweisbarkeit bei DORA

Der Grundsatz „Was nicht dokumentiert ist, hat nicht stattgefunden“ gilt bei der Umsetzung der EU-Verordnung (EU) 2022/2554 (DORA) uneingeschränkt. Die europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA) und die nationalen Finanzaufsichten wie die BaFin verlangen von Finanzunternehmen sowie kritischen IKT-Drittdienstleistern den klaren, auditfesten Nachweis, dass digitale Resilienzprozesse nicht nur auf dem Papier existieren, sondern aktiv gelebt und kontinuierlich überprüft werden.

Ein professionelles DORA-Dokumentenmanagement schützt die Geschäftsleitung vor Haftungsrisiken nach Artikel 5 und stellt sicher, dass aufsichtsrechtliche Prüfungen reibungslos verlaufen. Wer betroffen ist, erfährst du in unserem Artikel zum DORA-Geltungsbereich und den Zielgruppen.

Benötigt man zwingend ein „DORA-Handbuch“?

Eine häufige Frage in Audit- und QM-Teams lautet: Muss zwingend ein eigenständiges Dokument namens „DORA-Handbuch“ verfasst werden?

Die DORA-Verordnung fordert an keiner Stelle explizit die Erstellung eines einzelnen, monolithischen Handbuchs. Allerdings verlangt Artikel 6 Absatz 1 ein solides, umfassendes und gut dokumentiertes IKT-Risikomanagement-Rahmenwerk.

In der Praxis hat sich die Erstellung eines DORA-Handbuchs als zentrales Dachdokument etabliert. Dieses Handbuch dient Prüfer:innen als Navigationshilfe und verweist strukturiert auf die bestehenden Unterdokumente (z. B. ISMS-Dokumentation nach ISO 27001, Notfallhandbücher oder Vertragsregister).

Die 4 Säulen der DORA-Dokumentation

Um Transparenz und Auditfähigkeit herzustellen, lassen sich die geforderten DORA-Dokumente in vier strukturelle Kernpakete gliedern.

Paket 1: Governance, Strategien & Richtlinien (Policies)

Diese Grundsatzdokumente bilden das organisatorische Fundament. Nach Artikel 5 DORA trägt das Leitungsorgan (Vorstand bzw. Geschäftsführung) die Verantwortung dafür und genehmigt sie:

• IKT-Risikomanagement-Rahmenwerk (Art. 6 DORA): Zentrale Richtlinie zur Identifikation, Bewertung und Steuerung aller IKT-Risiken.
• Strategie für die digitale operationale Resilienz (Art. 6 Abs. 8): Legt fest, wie das Rahmenwerk umgesetzt wird, mit Risikotoleranz, Sicherheitszielen und Kennzahlen.
• Informationssicherheits-Leitlinie (Information Security Policy, Art. 9): Vorgaben zu Verschlüsselung, Zugriffskontrollen (Identity & Access Management), Passwortrichtlinien und Netzwerksegmentierung.
• IKT-Geschäftsfortführungsleitlinie & Notfallpläne (Business Continuity & Disaster Recovery Plans, Art. 11 & 12): Notfallhandbücher zur Sicherstellung des Weiterbetriebs, Backup-Richtlinien und Pläne zur Wiederherstellung kritischer Funktionen.
• Nachweise über Schulungen des Leitungsorgans (Art. 5 Abs. 4): Qualifikationsnachweise, Teilnahmelisten und Schulungsunterlagen der Geschäftsleitung zu IKT-Risiken.

Paket 2: Operationales Register & Asset-Inventar

Dokumente dieser Kategorie müssen fortlaufend aktualisiert werden:

• Informationsregister (Art. 28 Abs. 3): Das wohl aufwendigste DORA-Dokument. Es erfasst sämtliche Verträge und Vereinbarungen über die Nutzung von IKT-Dienstleistungen, aufgeteilt nach Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, und sonstigen Dienstleistungen. Die Struktur richtet sich nach den verbindlichen Durchführungsstandards (ITS) der europäischen Aufsichtsbehörden.
• IKT-Asset-Inventar (Art. 8 Abs. 4 und 6): Lückenlose Erfassung aller Hardware-Assets, Software-Lizenzen, Netzwerkelemente und Schnittstellen (APIs).
• Übersicht der kritischen Geschäftsfunktionen (Art. 8 Abs. 1): Dokumentation aller IKT-gestützten Geschäftsfunktionen sowie der ihnen zugeordneten IKT-Systeme und Datenflüsse.

Paket 3: Incident Management & Resilienztests

Diese DORA-Nachweise belegen die Abwehr- und Reaktionsfähigkeit des Unternehmens:

• Incident-Management-Leitlinie & Klassifizierungsmatrix (Art. 17 & 18): Vorgaben zur Erkennung, Behandlung und Einstufung von IKT-Vorfällen in schwerwiegende und nicht schwerwiegende Vorfälle.
• Meldeunterlagen für Aufsichtsbehörden (Art. 19): Meldevorlagen und Fristenprotokolle für Erstmeldungen (innerhalb von 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis), Zwischenberichte und abschließende Ursachenanalysen an die BaFin.
• Testprogramm & Prüfberichte (Art. 24 & 25): Programm für Tests der digitalen operationalen Resilienz sowie Berichte über Schwachstellenscans und Penetrationstests.
• TLPT-Berichte (Threat-Led Penetration Testing, Art. 26): Für Finanzunternehmen, die die Aufsicht dazu verpflichtet: Berichte über bedrohungsorientierte Penetrationstests (Red Teaming nach TIBER-EU bzw. TIBER-DE) inklusive Maßnahmenplan zur Behebung (Remediation Plan).

Paket 4: Vertrags- und Drittparteien-Dokumentation

Angesichts der strengen Vorgaben für die Nutzung von IKT-Dienstleistern nimmt die Vertragsdokumentation eine Schlüsselrolle ein. Was das für die Dienstleister selbst bedeutet, zeigt unser Artikel DORA für IT-Dienstleister.

• Strategie für das IKT-Drittparteienrisiko (Art. 28 Abs. 2): Legt fest, wie das Unternehmen Risiken durch IKT-Dienstleister steuert, inklusive Leitlinie für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen.
• Due-Diligence-Berichte vor Vertragsschluss (Art. 28 Abs. 4): Dokumentierte Risikoanalysen vor Eingehen einer neuen Lieferantenbeziehung.
• DORA-konforme IKT-Verträge (Art. 30): Überarbeitete Dienstleistungsverträge mit verpflichtenden Mindestklauseln (z. B. Prüfrechte, Service Level Agreements (SLAs), Kündigungsrechte, Standorte der Datenverarbeitung).
• Ausstiegsstrategien & Exit-Pläne (Art. 28 Abs. 8): Konkrete Handlungsanweisungen und Migrationskonzepte für den Wechsel oder die Rückabwicklung kritischer IKT-Dienstleistungen.

Einen Überblick über alle Anforderungen der Verordnung findest du in unserem Artikel DORA: Überblick, Anforderungen und Umsetzung.

DORA-Dokumentationsmatrix im Überblick

Die folgende Tabelle bietet QM-Beauftragten und Dokumentationsverantwortlichen eine Übersicht der wichtigsten Dokumente, ihrer Rechtsgrundlage und der Verantwortlichkeiten:

Checkliste: Ist deine DORA-Dokumentation vollständig?

Prüfe den Stand deiner Compliance-Unterlagen anhand dieser Checkliste:

1. Dachdokumentation: Liegt ein zentrales DORA-Handbuch oder eine strukturierte Verweis-Matrix vor?
2. Risikorahmen und Strategie: Sind das IKT-Risikomanagement-Rahmenwerk und die Resilienzstrategie aktuell und vom Vorstand freigegeben?
3. Notfallkonzepte: Wurden die BCP/DRP-Pläne im vergangenen Jahr praktisch getestet und die Ergebnisse dokumentiert?
4. Informationsregister: Entspricht dein Register den Durchführungsstandards (ITS) der europäischen Aufsichtsbehörden?
5. Verträge: Wurden die Verträge mit IKT-Dienstleistern an die Mindestanforderungen nach Artikel 30 DORA angepasst?
6. Incident-Handling: Sind Vorlagen für die behördliche Meldung mit den Fristen (4 bzw. spätestens 24 Stunden, 72 Stunden, 1 Monat) griffbereit?
7. Schulungsnachweise: Sind die Schulungsteilnahmen aller Mitglieder des Leitungsorgans lückenlos abgelegt?

Tipps für ein effizientes DORA-Dokumentenmanagement

Damit die Erstellung der Nachweise nicht im bürokratischen Chaos endet, helfen diese Best Practices:

1. Keine Insellösungen schaffen: Nutze bestehende Dokumente aus deinem ISO-27001- oder TISAX-Audit. Ordne die DORA-Anforderungen über ein Mapping zu, statt Dokumente komplett neu zu schreiben.
2. Versionierung und Freigaben sicherstellen: Jedes Dokument braucht klare Revisionsstände, Erstellungsdaten, Freigabevermerke der Geschäftsleitung und geplante Prüftermine.
3. Software-Plattformen einsetzen: Die Pflege von Informationsregistern und Vertragsdatenbanken in manuellen Excel-Tabellen führt bei Prüfungen häufig zu Fehlern. Spezialisierte Plattformen bieten vorgefertigte Workflows und automatische Erinnerungen.

Fazit: Audit-Sicherheit durch strukturierte Dokumentation

Eine saubere und vollständige DORA-Dokumentation ist der Schlüssel für den Nachweis der Compliance gegenüber Finanzaufsichtsbehörden wie der BaFin. Durch das Zusammenspiel von Strategien und Richtlinien, laufend gepflegten Registern und operativen Nachweisen stellen Finanzunternehmen sicher, dass ihre digitale Widerstandsfähigkeit lückenlos belegbar ist.

Ein strukturierter Aufbau – idealerweise gestützt durch ein zentrales DORA-Handbuch und eine digitale Compliance-Plattform – reduziert den bürokratischen Aufwand erheblich und schützt die Geschäftsleitung vor Haftungsrisiken.

Mit heyData für Fintech & Finance setzt du DORA strukturiert um: Richtlinien, Informationsregister und Nachweise liegen an einem Ort, und was du einmal dokumentierst, zählt auch für ISO 27001, NIS2 und die DSGVO.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo