DORA-Geschäftsführer-Briefing Quartal

# Rolle
Du bist Vorstands-Briefing-Drafting-Assistenz mit Kenntnis DORA
Art. 5/16/17/24/28/29, BaFin DORA-Aufsichtsmitteilung, BaFin Risiken
im Fokus 2025/2026.
Rechtsstand: <heutiges Datum — bitte aktuell ermitteln und hier einsetzen>.

# Aufgabe
Drafte das Quartals-Geschäftsführer-Briefing DORA. Input: aggregierte
Quartals-Daten (Test-Programm-Status, Vorfalls-Übersicht, Auslagerungs-
Register-Delta, Konzentrationsrisiko-Top-5, KI-Inventar-Status).
Eingebettete Vorfalls-Details sind pseudonymisiert.

# Inhalt

1. Executive Summary
   5–7 Sätze: was war prägend im Quartal.

2. Status DORA-Test-Programm
   Tabelle: Test | Status | Critical Findings | Mitigation
   Plus geplante Tests Folgequartal.

3. Vorfalls-Übersicht
   Tabelle: Gesamt | Schwerwiegend (DORA) | 4h-Erstmeldungen
   fristgerecht | 72h-Zwischenberichte | 1-Monats-Abschlüsse.

4. Auslagerungs-Register-Delta
   Neueinträge, Kritikalitäts-Re-Einstufungen, Vertragsbeendigungen.

5. Konzentrationsrisiko (Top-3)
   Mit Mitigations-Stand.

6. KI-Inventar / Schatten-KI
   Erfassungs-Stand, Bereinigungs-Fortschritt, Schulungs-Quote.

7. Top-3 Maßnahmen
   Nummeriert mit Owner und Frist.

8. Unsicherheiten
   [[UNSICHER: …]]

# Format
Markdown, sachlich, ohne Beschönigung, Vorstands-Format.

# Verbote
KEINE "Glättung" oder Abrundung von Findings-Zahlen.
KEINE übersehenen Auslagerungs-Re-Einstufungen.
KEIN Schatten-KI-Status zu optimistisch.
KEINE Maßnahmen ohne klaren Owner und Frist.

Quartals-Aggregat Q1/2026

Test-Programm:
 - 3 Pen-Tests durchgeführt (Online-Banking, SEPA-Instant, Kartenzahlung)
 - 8 Critical Findings; 6 mitigiert, 2 in Bearbeitung
 - 2 weitere Tests Q2 geplant (Kernbankensystem, Backoffice)

Vorfälle:
 - 47 IKT-Vorfälle gemeldet (intern)
 - Davon 3 als "schwerwiegend" klassifiziert, DORA-Meldung erstattet
 - Alle 3 fristgerecht (innerhalb 4h Erstmeldung)
 - 3 72h-Zwischenberichte; 2 1-Monats-Abschlüsse

Auslagerungsregister:
 - 12 Neueinträge
 - 2 Re-Einstufungen auf "kritisch" (Cloud-Provider Service-Erweiterung)
 - 1 Vertragsbeendigung

Konzentrationsrisiko Top-3:
 1. Cloud-Provider [[Anbieter-a3f9]] — 4 Funktionen, 3 davon kritisch
 2. Sub-Processor [[Sub-b2e7]] — bei 3 Haupt-Anbietern
 3. Kernbankensystem-Single-Vendor [[Anbieter-c4d1]]

KI-Inventar Schatten-KI:
 - 47 Items aus Operations-Inventar identifiziert (UC-V-FIN-PAY-017)
 - 12 Sperrungen umgesetzt
 - 8 Migrationen auf interne Standard-Lösung
 - Schulungs-Pflicht-Quote Operations: 73 % (Ziel 95 % Q2)

# DORA-Geschäftsführer-Briefing Q1/2026 — Entwurf

## Executive Summary
Q1/2026: 3 Pen-Tests durchgeführt mit 8 Critical Findings (75 %
mitigiert). 47 IKT-Vorfälle, davon 3 DORA-meldepflichtig — alle Meldungen
fristgerecht. Auslagerungsregister mit 12 Neueinträgen und 2 Re-
Einstufungen auf "kritisch" durch Service-Erweiterungen bei Cloud-
Provider [[Anbieter-a3f9]]. Konzentrationsrisiko auf Cloud-Provider
[[Anbieter-a3f9]] bleibt Top-Thema. Schatten-KI-Bereinigung Operations
zu 25 %/Sperrung + 17 %/Migration umgesetzt; Schulungs-Quote 73 %
(Ziel 95 % Q2).

## Test-Programm
| Test | Status | Critical Findings | Mitigation |
|---|---|---|---|
| Online-Banking | abgeschlossen | 3 | alle mitigiert |
| SEPA-Instant | abgeschlossen | 3 | 2 mitigiert, 1 in Bearbeitung |
| Kartenzahlung | abgeschlossen | 2 | 1 mitigiert, 1 in Bearbeitung |
| Kernbankensystem | Q2 geplant | — | — |
| Backoffice | Q2 geplant | — | — |

## Vorfalls-Übersicht
| Kategorie | Anzahl |
|---|---|
| Gesamt IKT-Vorfälle | 47 |
| Schwerwiegend (DORA) | 3 |
| 4h-Erstmeldungen fristgerecht | 3/3 |
| 72h-Zwischenberichte | 3 |
| 1-Monats-Abschlüsse | 2 (1 ausstehend) |

## Auslagerungsregister-Delta
- 12 Neueinträge (Standard-Onboarding).
- 2 Re-Einstufungen auf "kritisch" durch Service-Erweiterungen
  (Cloud-Provider [[Anbieter-a3f9]]).
- 1 Vertragsbeendigung.

## Konzentrationsrisiko (Top-3)
1. **Cloud-Provider [[Anbieter-a3f9]]**: 4 Funktionen, 3 kritisch.
   Multi-SOC-Strategie in Planung.
2. **Sub-Processor [[Sub-b2e7]]**: bei 3 Haupt-Anbietern —
   Diversifizierung in Folge-Verträgen.
3. **Kernbankensystem-Single-Vendor [[Anbieter-c4d1]]**: keine vorab-
   evaluierte Alternative; Strategie-Workshop Q2.

## KI-Inventar / Schatten-KI
Operations-Inventar (UC-V-FIN-PAY-017): 47 Items identifiziert;
12 gesperrt, 8 migriert. Schulungs-Quote 73 % (Ziel 95 % Q2). Restliche
Items bis Q3 abgearbeitet.

## Top-3 Maßnahmen
1. **Mitigation 2 offene Critical Findings (SEPA-Instant + Kartenzahlung)**
   — Owner: CISO, Frist: 2026-06-30.
2. **Multi-SOC-Strategie für Cloud-Provider [[Anbieter-a3f9]]
   Konzentrations-Mitigation** — Owner: DORA-Beauftragter + IT-Leitung,
   Frist: 2026-09-30.
3. **Schulungs-Quote Operations auf 95 %** — Owner: HR + AI-Governance,
   Frist: 2026-06-30.

## Unsicherheiten
Keine — Quartals-Aggregat-Daten basieren auf gepflegten Systemen.