Interne Revision und Audit
DORA-Compliance-Selbstprüfungs-Checklist
anymize pseudonymisiert Provider-Eigennamen (wo NDA), Vorfalls-IDs und Kunden-/Mitarbeiter-Bezüge, bevor die DORA-Self-Assessment-Tabelle an GPT, Claude oder Gemini geht. So entsteht eine quartalsweise Selbstprüfung über alle >100 DORA-Pflicht-Punkte — strukturell sauber, ohne § 43 KWG-, § 26 BDSG- oder NDA-Risiken.
Schwierigkeit: Spezialist · Datenklasse: Mandantendaten · Letztes Review:
Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
DORA ist seit 17.01.2025 anwendbar; die Innenrevision ist dritte Verteidigungslinie. Quartalsweise Selbstprüfungen identifizieren Compliance-Lücken vor externer BaFin-Prüfung oder WP-Vor-Ort-Prüfung. DORA umfasst > 100 detaillierte Pflicht-Punkte über fünf Säulen — ohne strukturierte Self-Assessment-Routine sind Blind-Spots unvermeidbar.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- DORA-Beauftragter, IT-Auditor, Compliance-Auditor, Senior Auditor.
- Seniorität
- Senior — DORA-Verordnung (EU) 2022/2554 Detail-Kenntnis, RTS/ITS-Aktualisierungen.
- Kanzleigröße
- Alle DORA-pflichtigen Finanzunternehmen (Banken, KVG, Versicherungen, ZAG-Institute).
- Spezifische Kontexte
- Säule 1 Governance (Art. 5), Säule 2 Vorfallsmanagement (Art. 17), Säule 3 TLPT (Art. 24-27), Säule 4 Drittparteien (Art. 28-30), Säule 5 Resilience-Tests.
Die Situation in der Kanzlei
So bringen Sie Tempo und Sorgfalt zusammen
Eine vollständige DORA-Selbstprüfung dauert manuell 20–40 h pro Iteration. Inhaltlich enthält die Checklist sensible Bewertungen: welche Vorfälle wurden gemeldet, welche TLPT-Ergebnisse liegen vor, welche Sub-Outsourcing-Beziehungen sind kritisch. Klasse A. Falsche erfüllt-Bewertung erzeugt Aufsichts-Risiko und gefährdet im Worst Case ein DORA-Bußgeld bis 10 Mio. EUR oder 5 % Umsatz. KI-gestützte Strukturierung beschleunigt und vereinheitlicht das Self-Assessment; die fachliche Status-Bewertung bleibt beim DORA-Beauftragten.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Zeit pro Iteration
6–12 h
Pro umfassender Checklist-Iteration. Bei vier Iterationen p.a. ≈ 30–50 h Hebel.
Pflicht-Coverage
100 %
Alle DORA-Pflicht-Punkte über fünf Säulen werden systematisch abgefragt — keine Blind-Spots durch vergessene Artikel.
Bußgeld-Schutz
≤ 10 Mio.
Frühzeitige Identifikation von Compliance-Lücken vor BaFin-Prüfung — DORA-Bußgelder strukturell vermieden.
Vertraulichkeit
strukturell
anymize pseudonymisiert Provider-Namen (NDA), Vorfalls-IDs und Kunden-/Mitarbeiter-Bezüge.
So gehen Sie vor
In 5 Schritten zum Antrag
DORA-Pflicht-Katalog als Eingangsdokument (RTS/ITS-aktualisiert) vorbereiten.
Sie
Verordnung
Daten-Sammlung pro Pflicht-Punkt: Doku-Status, Test-Ergebnisse, Inventar-Stand.
Sie + Tools
Substanz
Klasse-Entscheidung: Vorfalls-Beschreibungen und Sub-Outsourcing-Details = Klasse A.
Sie
Datenschutz · NDA
anymize pseudonymisiert Provider-Eigennamen (wo NDA), Vorfalls-IDs, Kunden-/Mitarbeiter-Bezüge mit `[[Kategorie-Hash]]`.
anymize
§ 26 BDSG · § 43 KWG · NDA
LLM-Bewertung pro Pflicht-Punkt: erfüllt / teilweise / nicht erfüllt + 2-Satz-Begründung + [VERIFY: …]-Marker.
GPT / Claude / Gemini in anymize
Strukturierung
DORA-Beauftragter-Review; bei nicht erfüllt Maßnahmenplan-Eintrag.
Sie
Verantwortung
Status-Bericht an Vorstand quartalsweise; bei kritischen Lücken sofortige Eskalation.
Sie
Governance
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Pseudonymisiert NDA-geschützte Provider-Eigennamen, Vorfalls-IDs und Kunden-/Mitarbeiter-Bezüge.
- Bidirektionale Re-Identifikation pro Pflicht-Punkt kontrolliert.
- Verarbeitung in deutschen Rechenzentren (Hetzner); AVV nach Art. 28 DSGVO mit DORA-Auslagerungs-Annex.
- Konsistente Pseudonymisierung über mehrere Quartals-Iterationen — Status-Vergleich möglich.
Was Sie als Revision tun
- DORA-Pflicht-Katalog mit aktuellen RTS/ITS pflegen.
- Daten-Sammlung pro Pflicht-Punkt aus DORA-Beauftragten-Office, IT-Operations, Outsourcing-Office.
- DORA-Beauftragter-Review der KI-Bewertungen; konservative Korrektur bei Unsicherheit.
- Status-Bericht an Vorstand; bei kritischen Lücken sofortige Eskalation.
Daten-Input
DORA-Pflicht-Katalog (Art. 5, 17, 24-27, 28-30), aktuelle RTS/ITS, Vorfalls-Historie, Sub-Outsourcing-Liste, TLPT-Ergebnisse, IT-Inventar, KI-Inventar nach BaFin-Orientierungshilfe.
Output-Kontrolle
Pseudonymisierter Checklist-Korpus geht an die KI. Re-identifizierte Bewertungs-Tabelle mit Säule, Artikel, Pflicht-Punkt, Status, Begründung, [VERIFY: …]-Markern und Maßnahmen-Vorschlag kommt zurück.
Freigabeprozess
DORA-Beauftragter → Leiter Interne Revision → Vorstand. Bei kritischen Lücken sofortige Vorstands-Eskalation.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. DORA-Pflicht-Katalog und Daten-Inputs pro Säule in anymize einfügen.
2. Diesen Prompt anhängen; im Thinking-Modus starten.
3. DORA-Beauftragter-Review jeder Bewertung; bei Unsicherheit konservativ korrigieren.
4. Status-Bericht an Vorstand quartalsweise; kritische Lücken sofort eskalieren.
# Context (C)
Du unterstützt eine DORA-Selbstprüfungs-Checklist in einem deutschen
DORA-pflichtigen Finanzunternehmen. Rechtsstand: <heutiges Datum>.
Eingabe ist pseudonymisiert; Provider-Eigennamen, Vorfalls-IDs als
[[Kategorie-Hash]].
# Role (R)
Du agierst als DORA-Self-Assessment-Assistenz. Du kennst Verordnung
(EU) 2022/2554, die einschlägigen RTS (z.B. RTS on classification of
major incidents) und ITS, sowie BaFin Orientierungshilfe IKT-
Risiken/KI vom 18.12.2025.
# Action (A)
Pro Pflicht-Punkt:
1. Pflicht-Punkt-Wortlaut wiedergeben.
2. Status-Bewertung: erfüllt / teilweise / nicht erfüllt.
3. Begründung in 2–3 Sätzen mit Beleg-Bezug (Beleg-ID-Platzhalter).
4. '[VERIFY: …]'-Marker für alle quantitativen Aussagen.
5. Bei 'nicht erfüllt': Maßnahmen-Vorschlag, Verantwortlicher
(Funktion), Frist, Priorität.
6. Konservative Bewertung bei Unsicherheit.
# Format (F)
Tabelle: | Säule | Artikel | Pflicht-Punkt | Status | Begründung |
VERIFY | Maßnahme |
# Target Audience (T)
DORA-Beauftragter und Vorstand.
# Verbote
KEINE 'erfüllt'-Bewertung ohne Beleg-Bezug.
KEIN DORA-Artikel-Zitat ohne '[VERIFY: …]'-Markierung bei
Unsicherheit.
KEIN 'nicht erfüllt' ohne Maßnahmen-Vorschlag.So sieht der Sachverhalt aus
Pseudonymisierter Eingabetext
DORA-Selbstprüfungs-Checklist Q2/2026 (Auszug Säule
Vorfallsmanagement Art. 17)
Pflicht-Punkt 17.1: Vorfalls-Klassifizierungs-Verfahren dokumentiert
Beleg: Doku 'IKT-Vorfalls-Klassifikations-Manual v2.3' vom
01.02.2026
Stand: aktualisiert nach RTS Major Incident Classification 2024-11
Pflicht-Punkt 17.2: 4h-Erstmeldung schwerwiegender Vorfälle
Vorfalls-Historie 2026-Q1: 2 schwerwiegende Vorfälle
([[Vorfall-a3f9]], [[Vorfall-b2e7]])
Meldungs-Zeit: [[Vorfall-a3f9]] 2h22min; [[Vorfall-b2e7]] 5h41min
(überschritten!)
Pflicht-Punkt 17.3: Erst-Meldung-Inhalts-Vollständigkeit (ITS)
ITS-Pflicht-Felder geprüft für beide Vorfälle: [[Vorfall-a3f9]]
vollständig; [[Vorfall-b2e7]] 3 Felder fehlend.
Pflicht-Punkt 17.4: Vorfalls-Statistik halbjährlich
H1/2026-Statistik in Bearbeitung; Frist 31.07.2026 erfüllbar.
Pflicht-Punkt 17.5: Lessons-Learned-Workshop nach Vorfall
[[Vorfall-a3f9]]: Workshop durchgeführt 12.04.2026, Protokoll
vorhanden.
[[Vorfall-b2e7]]: Workshop noch nicht durchgeführt (vereinbart
25.05.2026).So liefert anymize zurück
Der Antrags-Entwurf
| Säule | Art. | Pflicht-Punkt | Status | Begründung | VERIFY | Maßnahme |
|---|---|---|---|---|---|---|
| Vorfall | 17.1 | Klassifikations-Verfahren dokumentiert | **erfüllt** | Manual v2.3 nach RTS 2024-11 aktualisiert | [VERIFY: RTS-Version gegen ESA-Veröffentlichung] | — |
| Vorfall | 17.2 | 4 h-Erstmeldung | **teilweise** | [[Vorfall-a3f9]] erfüllt (2h22min); [[Vorfall-b2e7]] überschritten (5h41min) | [VERIFY: Begründung der Überschreitung] | Ursachenanalyse Überschreitung; Workflow-Anpassung; Verantw. DORA-Beauftragter; Frist 30.06.2026; Priorität hoch |
| Vorfall | 17.3 | Inhalts-Vollständigkeit | **teilweise** | [[Vorfall-b2e7]] 3 ITS-Pflicht-Felder fehlend | [VERIFY: ITS-Pflicht-Feldkatalog Q1/2026] | Nachmeldung [[Vorfall-b2e7]]; Workflow-Checkliste; Verantw. IT-Operations; Frist 15.06.2026; Priorität hoch |
| Vorfall | 17.4 | Halbjährliche Statistik | **erfüllt** (in Vorbereitung) | Frist 31.07.2026 erfüllbar | [VERIFY: Statistik-Template gegen ITS] | — |
| Vorfall | 17.5 | Lessons-Learned-Workshop | **teilweise** | [[Vorfall-a3f9]] durchgeführt; [[Vorfall-b2e7]] ausstehend (25.05.2026 vereinbart) | [VERIFY: Workshop-Doku vollständig] | Workshop [[Vorfall-b2e7]] durchführen; Verantw. CISO; Frist 25.05.2026; Priorität mittel |
## Zusammenfassung Säule Vorfallsmanagement
- 1 erfüllt, 3 teilweise, 0 nicht erfüllt.
- Kritische Lücke: 4-h-Meldungs-Verzug bei [[Vorfall-b2e7]] —
Aufsichts-relevant.
- Empfehlung: sofortige Workflow-Anpassung mit Vier-Augen-
Eskalations-Trigger bei drohendem 4 h-Verzug.
## Unsicherheiten
- ITS-Pflicht-Feldkatalog im pseudonymisierten Auszug nicht
enthalten — gegen aktuellen ESA-Stand zu verifizieren.
- Begründung der 4-h-Überschreitung bei [[Vorfall-b2e7]] für
Aufsichts-Argumentation essentiell.Was das Berufsrecht verlangt
Pflichten — und wie anymize sie abdeckt
DORA (EU) 2022/2554 (SRC-0128)
Bußgelder bis 10 Mio. EUR oder 5 % Umsatz. Jede halluzinierte DORA-Artikel-Nummer ist Haftungs-Risiko.
DORA Art. 17 — 4-h-Meldepflicht
Erstmeldung schwerwiegender Vorfälle binnen 4 Stunden; Überschreitung ist Aufsichts-Risiko und muss begründet werden.
DORA Art. 24-27 TLPT
Threat-Led Penetration Testing für kritische Funktionen; Ergebnis-Status im Self-Assessment.
DORA Art. 28-30 Drittparteien
Pflicht-Klauseln, Drittparteien-Risiko, Sub-Outsourcing — die häufigsten Lücken in der Selbstprüfung.
MaRisk AT 9 / § 25b KWG (SRC-0107)
Auslagerungs-Konzept und IKS-Einbindung. KI-Self-Assessment-Tool selbst ist Auslagerung.
BaFin Orientierungshilfe IKT/KI (SRC-0119)
KI-Inventar als prüfungsfähige Einheit; Material-Change-Doku bei Modell-Update.
Falsche erfüllt-Bewertung
Konservativ bewerten: bei Unsicherheit teilweise statt erfüllt. Falsch-Positive sind Aufsichts-Risiko; Falsch-Negative kosten nur interne Diskussion.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO i.V.m. DORA und § 25a/b KWG. Bei Kunden-Bezug in Vorfalls-Beschreibungen § 43 KWG; bei Mitarbeiter-Bezug § 26 BDSG. NDA-Schutz der Provider-Eigennamen ist strukturell durch anymize-Pseudonymisierung gewährleistet. AVV nach Art. 28 DSGVO mit DORA-Auslagerungs-Annex Standard.
Was anymize konkret leistet
- Pseudonymisiert NDA-geschützte Provider-Eigennamen und Vorfalls-IDs konsistent.
- Erkennt Kunden-/Mitarbeiter-Bezüge in Vorfalls-Beschreibungen.
- Bidirektionale Re-Identifikation pro Pflicht-Punkt.
- Verarbeitung in deutschen Rechenzentren (Hetzner); AVV mit DORA-Auslagerungs-Annex.
Sicherheitscheck vor der Einreichung
Was anymize liefert — was Sie souverän entscheiden
Pflicht-Katalog-Pflege
- RTS-/ITS-Stand aktuell?
- Alle fünf DORA-Säulen abgedeckt?
- KI-Inventar nach BaFin-Orientierungshilfe als eigene Einheit?
Vor dem KI-Aufruf
- Doku-Belege pro Pflicht-Punkt referenzierbar?
- Vorfalls-Historie aus DORA-Art.-17-Meldungen aggregiert?
- NDA-Pseudonymisierung gesichtet?
Vor dem Vorstands-Bericht
- DORA-Beauftragter-Review jeder Bewertung?
- Konservative Korrektur bei Unsicherheit?
- Kritische Lücken sofort eskaliert?
- Maßnahmenplan-Einträge für nicht erfüllt?
Typische Fehlermuster — und wie anymize gegensteuert
- →KI bewertet erfüllt trotz fehlender Belege — konservative Korrektur durch DORA-Beauftragten.
- →KI halluziniert RTS-Versions-Nummer (RTS 2025-04) — Pflicht-Verifikation gegen ESA-Veröffentlichung.
- →KI vergisst Sub-Outsourcing-Mapping bei Art.-28-Pflicht-Punkten.
- →KI generiert Maßnahme ohne Frist oder Verantwortlichen — Pflicht-Felder prüfen.
- →KI bewertet TLPT-Pflicht-Punkt ohne Test-Ergebnis-Doku — strukturelle Lücke.
Rechtsgrundlagen
Normen, Urteile, Belege
DORA-Verordnung
- Vollständige Verordnung (SRC-0128)
- Vorfalls-Klassifikation
- Inhalts-Pflicht-Felder
Aufsichtsrechtliche Klammer
- Auslagerung (SRC-0107)
- IT-Aufsicht
- KI-Inventar (SRC-0119)
Datenschutz
- Bankgeheimnis (SRC-0109)
- Beschäftigtendatenschutz (SRC-0144)
- AVV (SRC-0142)
Tool-Markt
- DORA-Compliance-Plattform
- Audit-Plattform (SRC-0200)
- GenAI Top-3 (SRC-0152)
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung — nicht als Mandatsersatz
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.
KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.