---
adresse: "https://qvestcon.com/faq/"
titel: "FAQ: DORA, Auslagerung, ISMS, BCM, Datenschutz"
beschreibung: "Antworten zu DORA, Auslagerungsmanagement, Dienstleistersteuerung, ISMS, BCM, Datenschutz und Fit and Proper für Banken und Versicherungen."
sprache: "de-DE"
stand: "2026-10-04"
---

Regulatorik

# FAQ: Fragen und Antworten

Diese Seite gibt allgemeine Informationen zu Gesetzen und Ver­öf­fent­li­chun­gen der Aufsicht. Sie ersetzt keine Rechts­be­ra­tung im Einzelfall.

Markus Junge

Berater und Daten­schutz­be­auf­trag­ter

Offene Fragen zur Umsetzung in Ihrem Haus ordnet Markus Junge im Erstgespräch nach Dringlichkeit.

[LinkedIn](https://www.linkedin.com/in/markus-junge-fsc)

#Qvestcon

## [Zusam­men­ar­beit und Angebot](https://qvestcon.com/faq/zusammenarbeit/)

Das Erstgespräch kostet nichts. Der Quick Check hat einen Festpreis. Das Gespräch dauert 45 Minuten. Stundensätze passen bei offenem Umfang. Der Quick Check liefert zwei Dokumente, eine Vor­ge­hens­skizze mit der Reihenfolge der Umsetzung und einen Anfor­de­rungs­ka­ta­log mit allem, was zu liefern, zu belegen und zu beauftragen ist. Ein Festpreis passt, wenn sich Umfang und Ergebnis vorab beschreiben lassen, zum Beispiel nach einem Quick Check. Ver­trau­lich­keit regeln unsere AGB. Das Erstgespräch findet per Videocall statt. Qvestcon arbeitet für Erst­ver­si­che­rer, Pen­si­ons­kas­sen, Ver­sor­gungs­kas­sen, Zusatz­ver­sor­gungs­kas­sen, Kre­dit­in­sti­tute, Förderbanken, Lan­des­för­der­insti­tute, Lea­sing­ge­sell­schaf­ten und gesetzliche Kran­ken­ver­si­che­run­gen in Deutschland sowie für deren IT-Dienstleister, mit Vorständen, Geschäfts­füh­run­gen und den Ver­ant­wort­li­chen für Risiko, Betrieb, Infor­ma­ti­ons­si­cher­heit und Compliance als Ansprech­part­nern.

- [Was passiert im kostenfreien Erstgespräch?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-passiert-kostenfreien-erstgespraech_0b54e4ce/)
- [Was kostet der Quick Check und was liefert er?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-kostet-quick-check-liefert-er_d009cb5d/)
- [Wann passt ein Festpreis und wann die Abrechnung nach Stunden?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wann-passt-festpreis-wann-abrechnung-stunden_98119994/)
- [Für wen arbeitet Qvestcon?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-prozessmodell-erstversicherer_86e62d1b/)
- [Arbeitet Qvestcon auch für Unternehmen in Österreich oder der Schweiz?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan_5b95b29a/)
- [Wie geht Qvestcon mit vertraulichen Unterlagen um?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-geht-qvestcon-vertraulichen-unterlagen-um_62bde616/)
- [Was liefert Qvestcon für die Umsetzung von DORA und auf­sicht­li­chen Anforderungen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-liefert-qvestcon-fuer-umsetzung-dora-aufsichtlichen_2d37e7b8/)

## [Umsetzung in der Praxis](https://qvestcon.com/faq/umsetzung/)

Wir setzen um, was verlangt ist. Goldrand ist Aufwand ohne Nachweiswert. Ein Ver­ant­wort­li­cher wird benannt. Prozesse werden im Alltag angewendet. Goldrand meint Kontrollen, Dokumente und Werkzeuge, die über die geltende Anforderung hinausgehen und Ihr Haus Zeit kosten, ohne dass ein Prüfer oder die Aufsicht sie verlangt. Ein Konzept allein genügt nicht, weil es nur beschreibt, was geschehen soll, und nicht belegt, dass es geschieht. Der Nachweis liegt dokumentiert vor. Eine Pflicht ist umgesetzt, wenn ein Ver­ant­wort­li­cher benannt ist, der Prozess im Alltag des Hauses angewendet wird und ein doku­men­tier­ter Nachweis vorliegt, den die Aufsicht oder die Prüfung einsehen kann.

- [Was meint Qvestcon mit „ohne Goldrand“?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-meint-qvestcon-ohne-goldrand_4289696b/)
- [Woran erkenne ich, dass eine Pflicht umgesetzt ist?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-woran-erkenne-ich-dass-pflicht-umgesetzt_ba466c49/)
- [Womit beginne ich, wenn mehrere Pflichten zugleich anstehen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-womit-beginne-ich-wenn-mehrere-pflichten_340f2c03/)
- [Was unterscheidet eine gesetzliche Frist von einem internen Zieltermin?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-unterscheidet-gesetzliche-frist-einem-internen_86fc3e52/)
- [Mit welchen Werkzeugen arbeitet Qvestcon?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-rimago-artemeon-bpmn-servicenow_ce489a43/)

## [Regelwerke im Überblick](https://qvestcon.com/faq/regeln/)

DORA gilt seit Januar 2025. Der CRA gilt für Hersteller. Die MaRisk wurden neu gefasst. DORA ist eine EU-Verordnung. Der Cyber Resilience Act gilt für alle Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen, unabhängig davon, ob sie ihren Geschäftssitz innerhalb oder außerhalb der EU haben. Die MaGo gilt für Versicherer. NIS2 ist eine EU-Richtlinie. Das BSI-Gesetz führt NIS2, die Richtlinie (EU) 2022/2555, als NIS-2-Richtlinie und setzt damit höhere Anforderungen an die systematische Planung, Umsetzung und Überwachung von Cyber­si­cher­heits­maß­nah­men.

- [Seit wann gilt DORA und wen betrifft sie?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-ikt-dienstleister-pruefungsfeststellung_c9bfa34a/)
- [Was ist NIS2 und wie steht sie zu DORA?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_76ef0958/)
- [Was regelt der Cyber Resilience Act und ab wann gelten seine Pflichten?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-regelt-cyber-resilience-act-ab-wann_77ef29b3/)
- [Was ist der EU AI Act und was bedeutet er für Banken und Versicherer?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan_9d38d39c/)
- [Was regelt das KRITIS-Dachgesetz?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-regelt-kritis-dachgesetz_c67f6e31/)
- [Gilt das KRITIS-Dachgesetz für Banken und Versicherer?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-gilt-kritis-dachgesetz-fuer-banken-versicherer_15d3a379/)
- [Betrifft das KRITIS-Dachgesetz gesetzliche Kran­ken­ver­si­che­run­gen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-betrifft-kritis-dachgesetz-gesetzliche_de1a8ac0/)
- [Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Mel­de­pflich­ten gelten seit dem 11. September 2026?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wann-erfasst-cyber-resilience-act-banken_6b8f4cdb/)
- [Was regeln die MaRisk und was hat die Neufassung geändert?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan_80d20062/)
- [Was regeln die MaGo für Versicherer und was hat die Neufassung geändert?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan_81d4b979/)
- [Was bedeutet ord­nungs­ge­mäße Geschäfts­or­ga­ni­sa­tion bei Banken nach § 25a KWG und bei Versicherern nach § 23 VAG?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bedeutet-ordnungsgemaesse-geschaeftsorganisation_7a9e9cef/)
- [Was verlangt das Gesetz von der Compliance-Funktion bei Banken und bei Versicherern?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-vorstand-it-compliance-nachweise_c5b66e2d/)

## [Fit and Proper und persönliche Haftung](https://qvestcon.com/faq/fit-proper-haftung/)

Die Aufsicht kann verwarnen. Die Haftung kann persönlich werden. Das Haus zeigt die Bestellung an. Geschäfts­lei­ter können verwarnt werden. Gegenstand der Verwarnung ist die Feststellung des ent­schei­dungs­er­heb­li­chen Sachverhaltes und des hierdurch begründeten Verstoßes. Die Verwarnung steht in § 36 KWG. Versicherer zeigen die Bestellung an. Für Banken regelt § 24 Absatz 1 Nummer 1 KWG eine Anzeige der Absicht, bei der das Haus Tatsachen zu Zuver­läs­sig­keit, fachlicher Eignung und zeitlicher Verfügbarkeit angibt.

- [Was kann die Aufsicht gegen einzelne Geschäfts­lei­ter unternehmen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-kann-aufsicht-gegen-einzelne-geschaeftsleiter_62f9e4cf/)
- [Muss die Aufsicht der Bestellung eines Vorstands zustimmen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-muss-aufsicht-bestellung-vorstands-zustimmen_468aea05/)
- [Was verlangt das Gesetz von Geschäfts­lei­tern einer Bank an Eignung und Zuver­läs­sig­keit?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-informationsverbund-bank_98df7a22/)
- [Was verlangt das Gesetz von Personen, die ein Ver­si­che­rungs­un­ter­neh­men leiten, an Eignung und Zuver­läs­sig­keit?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-verlangt-gesetz-personen-versicherungsunternehmen_be94795f/)
- [Genügt es, wenn einzelne Geschäfts­lei­ter die Hauptrisiken verstehen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-genuegt-es-wenn-einzelne-geschaeftsleiter_7b49ca4f/)
- [Was muss ein Haus tun, wenn eine Person die Vor­aus­set­zun­gen für das Amt des Geschäfts­lei­ters nicht erfüllt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-muss-haus-tun-wenn-person-voraussetzungen_dfef6b44/)
- [Welche Sachkunde verlangt das Gesetz von Mitgliedern des Verwaltungs- oder Auf­sichts­or­gans?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-welche-sachkunde-verlangt-gesetz-mitgliedern-des_f0a5c7a7/)
- [Wann werden zu wenig Zeit oder eine zu hohe Zahl an Mandaten für einen Geschäfts­lei­ter persönlich zum Bußgeld?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wann-werden-wenig-zeit-hohe-zahl_d52a26e9/)
- [Wie sieht die persönliche Haftung der Vor­stands­mit­glie­der einer Akti­en­ge­sell­schaft gegenüber der Gesellschaft aus?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-informationsverbund-versicherung_8f6d08ec/)
- [Wie sieht die Organhaftung des Geschäfts­füh­rers einer Gesellschaft mit beschränkter Haftung gegenüber der Gesellschaft aus?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-sieht-organhaftung-des-geschaeftsfuehrers_26af1ed5/)
- [Wann wird die Verletzung der Auf­sichts­pflicht im Unternehmen zur Ord­nungs­wid­rig­keit?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wann-wird-verletzung-aufsichtspflicht-unternehmen_d7366237/)
- [Was macht die Aufsicht mit bestands­kräf­ti­gen Maßnahmen und Buß­geld­ent­schei­dun­gen öffentlich?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-macht-aufsicht-bestandskraeftigen-massnahmen_adf19b0a/)
- [Welche Geldbuße droht, wenn eine vollziehbare Anordnung nach § 36 KWG oder § 303 VAG missachtet wird?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-welche-geldbusse-droht-wenn-vollziehbare-anordnung_4d2675b1/)
- [Wie hängen Fit and Proper und die Abhängigkeit von IKT-Dienst­leis­tern zusammen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_203f6517/)
- [Wer trägt in einer Bank oder einem Versicherer die Verantwortung für DORA?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_ce5c61b9/)
- [Welche Kenntnisse und Fortbildung zu IKT-Risiken verlangt das Auf­sichts­recht von Geschäfts­lei­tern und Lei­tungs­or­ga­nen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_a62692c8/)
- [Haftet die Geschäfts­lei­tung nach dem KRITIS-Dachgesetz persönlich und gilt das für Banken und Versicherer?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_7ea675e5/)
- [Was verlangt das BSI-Gesetz nach NIS2 von Geschäfts­lei­tun­gen und gilt das für Banken und Versicherer unter DORA?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-verlangt-bsi-gesetz-nis2-geschaeftsleitungen-gilt_c4a518b0/)

## [DORA in der Praxis](https://qvestcon.com/faq/dora-praxis/)

DORA gilt ver­hält­nis­mä­ßig. Vorfälle sind zu melden. Artikel 28 schreibt das Register vor. DORA verlangt ein Infor­ma­ti­ons­re­gis­ter. Die Anforderungen in DORA sind nach Artikel 4 risi­ko­ori­en­tiert und proportional umzusetzen, die Dokumentation soll zur Größe und zum Gesamt­ri­si­ko­pro­fil des Unternehmens passen. Artikel 4 verlangt Ver­hält­nis­mä­ßig­keit. Die Min­dest­in­halte stehen in Artikel 30. Das Infor­ma­ti­ons­re­gis­ter soll alle Verträge mit Dritt­dienst­leis­tern erfassen, die dem Finanz­un­ter­neh­men IKT-Dienst­leis­tun­gen bereitstellen, und bei kritischen oder wichtigen Funktionen auch die Unter­auf­trag­neh­mer enthalten.

- [Was ist das IKT-Infor­ma­ti­ons­re­gis­ter nach DORA, was gehört hinein und wie gelangt es zur Aufsicht?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-informationsregister-einkauf_5709acc0/)
- [Was heißt Ver­hält­nis­mä­ßig­keit unter DORA (Artikel 4) und wovon hängt der Umfang der Pflichten ab?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_550d9db2/)
- [Welche IKT-Vorfälle muss ein Haus nach DORA melden, an wen und in welchen Fristen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-fristen-massnahmenplan-bafin_de615cf3/)
- [Welche Tests der digitalen operationalen Resilienz verlangt DORA und wer muss bedro­hungs­ori­en­tierte Pene­tra­ti­ons­tests (TLPT) durchführen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_1855074b/)
- [Was verlangt DORA an Aus­stiegs­stra­te­gien für IKT-Dienst­leis­tun­gen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_f1206ad8/)
- [Was ist eine kritische oder wichtige Funktion und welche Folgen hat die Einstufung für Verträge und Register?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_1e316469/)
- [Was schreibt DORA für Verträge mit IKT-Dritt­dienst­leis­tern vor und wo stehen die Min­dest­in­halte (Artikel 30)?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-dienstleister-vertrag-bestellung_97a26a08/)
- [Wie verhalten sich VAIT, BAIT und KAIT zu DORA?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_e199e8a9/)
- [Was bedeutet Kon­zen­tra­ti­ons­ri­siko bei IKT-Dienst­leis­tern und was verlangt DORA dazu?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_bbbf4154/)
- [Wie ist DORA im deutschen Auf­sichts­recht verankert und was gilt für Häuser außerhalb des DORA-Gel­tungs­be­reichs?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_34d0a8d3/)

## [Auslagerung und Dienst­leis­ter­steue­rung](https://qvestcon.com/faq/auslagerung/)

Die Verantwortung bleibt beim Haus. Banken führen ein Aus­la­ge­rungs­re­gis­ter. Kon­zern­leis­tun­gen können Auslagerungen sein. Third Party Management umfasst den Lebenszyklus. Die zentrale Aus­la­ge­rungs­steue­rung steuert Auslagerungen und ihre Dienstleister, ihre Bezeichnung steht in keinem Gesetz. Versicherer sprechen von Ausgliederung. Der Lebenszyklus endet mit dem Ausstieg. Third Party Management steuert die Beziehungen zu externen Dienst­leis­tern über den ganzen Lebenszyklus, von der Auswahl über den Vertrag und die laufende Überwachung bis zum Ausstieg. Für Banken umfasst das Aus­la­ge­rungs­re­gis­ter nach dem Rundschreiben zum Risi­ko­ma­nage­ment alle Aus­la­ge­rungs­ver­ein­ba­run­gen, ein­schließ­lich der Ver­ein­ba­run­gen mit Aus­la­ge­rungs­un­ter­neh­men innerhalb einer Gruppe oder eines Verbundes.

- [Was ist die zentrale Aus­la­ge­rungs­steue­rung?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_79eccc9b/)
- [Was ist Third Party Management und was verlangt DORA dazu?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_67c7a07a/)
- [Gelten für Nearshoring andere Regeln als für Outsourcing?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_3fc2c7ee/)
- [Wann ist eine Auslagerung bei einer Bank wesentlich und was folgt daraus?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan-bank_7132ea98/)
- [Wann ist eine Ausgliederung bei einem Versicherer wichtig und was folgt daraus?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_e18690a6/)
- [Auslagerung, Ausgliederung, kritische oder wichtige Funktion: Welcher Begriff gilt für Banken, welcher für Versicherer und welcher nach DORA?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-informationsregister-konzerninterne_b8ba3837/)
- [Welche Register muss ein Haus für Auslagerungen führen und wie verhält sich das Aus­la­ge­rungs­re­gis­ter zum Infor­ma­ti­ons­re­gis­ter nach DORA?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-informationsregister-einkauf_59fcf698/)
- [Wer bleibt für ausgelagerte Funktionen ver­ant­wort­lich?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan-bank_39acba88/)
- [Was verlangt die BaFin bei Auslagerungen an Cloud-Anbieter?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_1049a46d/)
- [Gelten Auslagerungen innerhalb der Gruppe als Auslagerung?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan_5c85886f/)
- [Wie groß darf die Abhängigkeit von einem einzelnen Dienstleister sein und was verlangt das Auf­sichts­recht zu Konzentration und Ausstieg?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-ikt-dienstleister-pruefungsfeststellung_b206bcbf/)

## [Datenschutz, Infor­ma­ti­ons­si­cher­heit und Not­fall­ma­nage­ment](https://qvestcon.com/faq/datenschutz-sicherheit/)

Datenpannen sind zu melden. Das Bußgeld hat zwei Höchstbeträge. Die Schwelle liegt bei 20 Personen. Die Meldefrist beträgt 72 Stunden. Nach § 38 BDSG müssen der Ver­ant­wort­li­che und der Auf­trags­ver­ar­bei­ter einen Daten­schutz­be­auf­trag­ten benennen, sobald sie in der Regel mindestens 20 Personen ständig mit der auto­ma­ti­sier­ten Verarbeitung per­so­nen­be­zo­ge­ner Daten beschäftigen. Die Frist beginnt mit der Kenntnis. Bei hohem Risiko werden Betroffene informiert. Die Höhe des Bußgelds nennt der Europäische Daten­schutz­aus­schuss mit zwei Höchst­be­trä­gen, der erste liegt bei 10 Millionen Euro oder 2 Prozent des weltweiten Gesamt­um­sat­zes im vor­an­ge­gan­ge­nen Geschäftsjahr. Eine Datenpanne ist der zuständigen Daten­schutz­be­hörde so bald wie möglich und innerhalb von 72 Stunden nach Kenntnisnahme zu melden. Mit der Standard-Absicherung lässt sich ein kompletter Sicher­heits­pro­zess umsetzen, sie ist kompatibel zur ISO 27001-Zer­ti­fi­zie­rung.

- [Wie hoch kann ein Bußgeld wegen Daten­schutz­ver­stö­ßen ausfallen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-hoch-kann-bussgeld-wegen-datenschutzverstoessen_44dabded/)
- [Wann muss ein Unternehmen einen Daten­schutz­be­auf­trag­ten benennen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wann-muss-unternehmen-einen-datenschutzbeauftragten_cf7dc442/)
- [Wie unabhängig ist der Daten­schutz­be­auf­tragte und welchen Schutz genießt er gegen Abberufung und Kündigung?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-unabhaengig-datenschutzbeauftragte-welchen-schutz_87996f35/)
- [Was müssen Unternehmen mit den Kontaktdaten ihres Daten­schutz­be­auf­trag­ten tun?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-muessen-unternehmen-den-kontaktdaten-ihres_bb138f8a/)
- [Wer muss ein Ver­ar­bei­tungs­ver­zeich­nis führen und welche Angaben gehören hinein?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wer-muss-verarbeitungsverzeichnis-fuehren-welche_bc488d8f/)
- [Wann ist eine Datenschutz-Fol­gen­ab­schät­zung Pflicht?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wann-datenschutz-folgenabschaetzung-pflicht_b35a3631/)
- [Was muss ein Vertrag zur Auf­trags­ver­ar­bei­tung regeln?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-muss-vertrag-auftragsverarbeitung-regeln_f4f968ce/)
- [Bis wann ist eine Datenpanne der Aufsicht zu melden?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wann-datenpanne-aufsicht-melden_e207ab1d/)
- [Was ist ein Infor­ma­ti­ons­si­cher­heits-Manage­ment­sys­tem und was bietet der IT-Grundschutz des BSI dafür?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-informationsverbund-aufbauen_c0a13262/)
- [Was regelt der BSI-Standard zum Not­fall­ma­nage­ment und was sind Business-Impact-Analyse und Wie­der­an­lauf­zeit?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-regelt-bsi-standard-notfallmanagement-business-impact_a048463a/)
- [Wie hängen Schutz­be­darfs­fest­stel­lung, Business-Impact-Analyse und Risikoanalyse zusammen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-haengen-schutzbedarfsfeststellung-business-impact_f0911d34/)

## [Aufsicht, Haftung und Strafen](https://qvestcon.com/faq/aufsicht/)

Die Aufsicht benennt kritische Dienstleister. Auslagern ist unter Bedingungen möglich. Kritisch wird ein Dienstleister durch Benennung. EBA, EIOPA und ESMA benennen. Laut GwG können Kre­dit­in­sti­tute grundsätzlich die Aufgaben eines Geld­wä­sche­be­auf­trag­ten an einen externen Dienstleister auslagern. Die Liste ver­öf­fent­li­chen die Auf­sichts­be­hör­den. Das GwG regelt die Auslagerung. Die Europäischen Auf­sichts­be­hör­den EBA, EIOPA und ESMA benennen die kritischen IKT-Dritt­dienst­leis­ter nach DORA und ver­öf­fent­li­chen die Liste.

- [Welche IKT-Dienstleister gelten als kritisch und wer benennt sie?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-ikt-dienstleister-pruefungsfeststellung_e86e4b5c/)
- [Darf ein Haus den Geld­wä­sche­be­auf­trag­ten auslagern und wer bleibt ver­ant­wort­lich?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dienstleister-vertrag-bestellung-grc_b434aed9/)

## [Newsflow und Fristenticker](https://qvestcon.com/faq/newsflow/)

Der Newsflow läuft täglich. Jede Meldung nennt ihre Quelle. Ein Lauf ohne Freigabe ver­öf­fent­licht nichts. Die Quellen sind öffentlich. Der Lauf findet jeden Tag statt, doch auf der Seite erscheint nur, was die Redaktion geprüft und freigegeben hat. Meldungen tragen das Datum ihrer Quelle. Jede Meldung verlinkt das Original. Der Newsflow liest täglich Quellen von Auf­sichts­be­hör­den, Behörden, Verbänden und Fachmedien und wertet dazu Fach­news­let­ter aus.

- [Woher stammen die Meldungen im Newsflow?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-woher-stammen-meldungen-newsflow_4814111f/)
- [Wie aktuell ist der Newsflow und wer prüft ihn?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-aktuell-newsflow-wer-prueft-ihn_650b5228/)
- [Was bedeutet die Relevanz von 1 bis 5?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-prozessmodell-erstversicherer_d21d5f07/)
- [Ist der Fristenticker verbindlich?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-fristenticker-verbindlich_1e8ab681/)
- [Wie lese ich den Fris­ten­ka­len­der nach Betroffenen, Zuständigkeit und Meldestelle?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan_8fbd5a31/)

## [Einordnung, Beschaffung und Risikoanalyse](https://qvestcon.com/faq/einordnung-beschaffung/)

Ein Vorab-Check steht am Anfang. Der Start braucht fünf Objekte. Ein Vertrag kann mehrere Leistungen tragen. Fünf Objekte bilden den Bestand. Nach den Hinweisen der Aufsicht hängt der Umfang des Dritt­par­tei­en­ri­si­ko­ma­nage­ments davon ab, welche IKT-Dienst­leis­tun­gen Sie beziehen und ob sie kritische oder wichtige Funktionen unterstützen. Ein Vorab-Check entscheidet die Prüftiefe. Der Umfang hängt von der Leistung ab. Ein Bestand, der zu Einkauf, Ver­trags­ver­wal­tung und Risi­ko­steue­rung passt, entsteht aus fünf getrennten Objekten: Rechtseinheit, Anbieter, Vertrag, bezogene Leistung und unterstützte Funktion.

- [Wie gelingt der Start, wenn Verträge, Bestellungen und Risiken in verschiedenen Systemen liegen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-gelingt-start-wenn-vertraege-bestellungen-risiken_6afa9458/)
- [Wie gelingt ein Vorab-Check bei jedem neuen Fremdbezug, ohne jedes Mal die volle Prüfung zu durchlaufen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_fdab10a0/)
- [Ist jede IKT-Dienst­leis­tung zugleich eine Auslagerung oder Ausgliederung?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_389c5aa6/)
- [Woran erkennt Ihr Haus, ob eine unterstützte Funktion kritisch oder wichtig ist?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-kritikalitaetsbewertung-funktionen_d0936bc3/)
- [Was gehört in einen frühen Sourcing-Check, damit Anforderungen vor der Anbie­ter­aus­wahl feststehen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-gehoert-einen-fruehen-sourcing-check-damit_4ad5a40b/)
- [Wie gelingt ein Anbie­ter­ver­gleich, ohne jedes Mal bei null anzufangen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-etengo-hays-krongaard-tricept_95ca13a5/)
- [Welche Risikoanalyse steht vor der Unterschrift, damit sie den Vertrag wirklich prägt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-welche-risikoanalyse-steht-unterschrift-damit-sie_6f35f777/)
- [Woran erkennt Ihr Haus, dass eine Risikoanalyse mehr ist als eine Reihe von Ja-Nein-Feldern?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-woran-erkennt-ihr-haus-dass-risikoanalyse_1d49d959/)
- [Wie tief prüft Ihr Haus einen Anbieter und wann trägt ein Zertifikat?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-tief-prueft-ihr-haus-einen-anbieter_8f38c4ea/)
- [Ist eine kurze oder einmalige Beauftragung automatisch keine IKT-Dienst­leis­tung?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_cd633c20/)

## [Verträge und laufende Steuerung](https://qvestcon.com/faq/vertraege-steuerung/)

Die Klauselmatrix steht vor der Verhandlung. Das Haus bleibt ver­ant­wort­lich. Anbieter legen Stan­dard­an­hänge vor. DORA und RTS geben Klauseln vor. Klare Verantwortung entsteht, wenn ein fachlicher Eigentümer die bezogene Leistung trägt und Risiko, Infor­ma­ti­ons­si­cher­heit, Datenschutz, Not­fall­ma­nage­ment, Einkauf und Recht als getrennte Prüfer mit je eigenem Freigabepunkt beitragen. Die Matrix entsteht aus der Einstufung. Ein fachlicher Eigentümer trägt die Leistung. Eine Klauselmatrix, die vor der ersten Ver­hand­lungs­runde aus der Einstufung der Leistung entsteht, bringt die Anforderungen in den Vertrag, bevor der Anbieter seinen Stan­dard­an­hang vorlegt.

- [Wie bringt Ihr Haus regu­la­to­ri­sche Anforderungen rechtzeitig in Verträge mit IKT-Dienst­leis­tern?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_80ad2b66/)
- [Wie legt Ihr Haus die Verantwortung fest, wenn mehrere Funktionen an einer bezogenen Leistung beteiligt sind?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-prozess-rollenmodell_a4650989/)
- [Welche Kontrollen setzt Ihr Haus nach Ver­trags­be­ginn wirksam ein?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-ikt-dienstleister-kritikalitaet-bewerten_2dcd4265/)
- [Wann bewertet Ihr Haus eine bezogene Dienst­leis­tung erneut?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_c4eb2fec/)
- [Was geschieht, wenn ein Anbieter erforderliche Ver­trags­klau­seln ablehnt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-informationsregister-einkauf_30431711/)
- [Was prüft eine zentrale Steue­rungs­funk­tion, wenn der Fachbereich die Risikoanalyse erstellt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-prueft-zentrale-steuerungsfunktion-wenn-fachbereich_a8f822b5/)
- [Welche Nachweise sammelt die laufende Dienst­leis­ter­steue­rung in Ihrem Haus?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-welche-nachweise-sammelt-laufende_6ef100b6/)
- [Genügt ein ISO-Zertifikat als Nachweis für einen kritischen Dienst?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-informationsverbund-prozessmodell_9ae00ef9/)
- [Wie geht Ihr Haus mit einem schweren Verstoß gegen vereinbarte Leis­tungs­ziele um?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-geht-ihr-haus-einem-schweren-verstoss_86dc8fd0/)
- [Wie gelingt es, den Datenschutz schon in der Dienst­leis­ter­steue­rung zu verankern bevor der Vertrag steht?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dienstleister-vertrag-bestellung-grc_762e3349/)

## [Register, Daten und Steue­rungs­werk­zeuge](https://qvestcon.com/faq/register-daten/)

Beide Register folgen einem Datenmodell. Zuerst kommen Kennungen und Pflichtfelder. Pflichtfelder waren nicht ausgefüllt. Das Datenmodell trennt Vertrag und Leistung. Für nach dem KWG und dem Zah­lungs­diens­te­auf­sichts­ge­setz (ZAG) beauf­sich­tigte Häuser ist das Aus­la­ge­rungs­re­gis­ter eine bestehende Pflicht. Iden­ti­fi­zie­rungs­codes waren oft fehlerhaft. Der Testlauf war im Sommer 2024. Am Anfang stehen eindeutige Kennungen und Pflichtfelder, denn dort zeigten sich die Lücken beim Testlauf der Auf­sichts­be­hör­den im Sommer 2024.

- [Wie gelingt der Abgleich von Aus­la­ge­rungs­re­gis­ter und IKT-Infor­ma­ti­ons­re­gis­ter aus einem gemeinsamen Datenmodell?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-informationsregister-einkauf_b753f819/)
- [Welche Datenfelder bereinigt ein Haus zuerst, damit die Register für Dienstleister belastbar werden?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dienstleister-vertrag-bestellung-grc_0d9cbf85/)
- [Wie pflegt Ihr Haus Dienst­leis­ter­da­ten nur einmal, obwohl Einkauf, Ver­trags­ver­wal­tung und Risikotool sie brauchen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-pflegt-ihr-haus-dienstleisterdaten-nur-einmal_a6415a15/)
- [Wie führt Ihr Haus ein neues Steue­rungs­tool ein und übernimmt nur geprüfte Daten?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-fuehrt-ihr-haus-neues-steuerungstool-uebernimmt_0de96464/)
- [Welche Ver­bes­se­run­gen bringen bei einem gewachsenen Bestand an Dienst­leis­tern zuerst Nutzen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-welche-verbesserungen-bringen-einem-gewachsenen_1049d517/)
- [Wie bereitet ein Haus Register und Auf­sichts­mel­dun­gen verlässlich vor?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-informationsregister-einkauf_62ca89f3/)
- [Woran erkennt Ihr Haus, dass ein neues Steue­rungs­tool im Alltag trägt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-woran-erkennt-ihr-haus-dass-neues_f6d78db0/)
- [Wie klärt Ihr Haus wider­sprüch­li­che Angaben zwischen Vertrag, Einkauf und Fachbereich?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dienstleister-vertrag-bestellung-grc_afaba82a/)

## [Ausstieg, Notfall und Unter­auf­trag­neh­mer](https://qvestcon.com/faq/exit-unterauftragnehmer/)

Der Ausstiegsplan beginnt bei kritischen Funktionen. Die Kette muss steuerbar bleiben. Der erste Exit-Test kommt ohne Wechsel aus. Die Kette nennt Standort und Datenzugriff. Der Ausstiegsplan beginnt bei den Dienst­leis­tun­gen, die kritische oder wichtige Funktionen tragen, und für IKT-Dienst­leis­tun­gen zur Unterstützung solcher Funktionen muss ein Haus eine Aus­stiegs­stra­te­gie haben. Das Haus braucht eine Aus­stiegs­stra­te­gie. Ein Exit-Test prüft den Ausstieg. Eine Unter­ver­ga­be­kette bleibt steuerbar, wenn Ihr Haus für jeden Unter­auf­trag­neh­mer Leistungsteil, Standort, Datenzugriff und Bedeutung für die unterstützte Funktion kennt. Unter­auf­trag­neh­mer können wechseln. Wei­ter­ver­la­ge­run­gen laufen über mehrere Stufen.

- [Wie behält Ihr Haus die Kette im Blick, wenn ein Anbieter weitere Dienstleister einsetzt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_17b12ec7/)
- [Für welche Dienst­leis­tun­gen braucht Ihr Haus einen Ausstiegsplan und was verlangt die Aufsicht dafür?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_256cc39f/)
- [Wie gelingt ein erster Exit-Test, ohne dass Ihr Haus den Dienstleister sofort wechselt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-gelingt-erster-exit-test-ohne-dass_1ec49765/)
- [Was gehört zur geordneten Beendigung einer Dienst­leis­tung?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan-bank_aa4c4aee/)
- [Woran erkennt Ihr Haus, ob ein Ausstiegsplan tatsächlich umsetzbar ist?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan-bank_9050bd78/)
- [Wie dokumentiert Ihr Haus Wei­ter­ver­la­ge­run­gen über mehrere Stufen so, dass die Kette steuerbar bleibt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan-bank_8b7d66c8/)
- [Was gilt, wenn ein Dienstleister einen wesentlichen Unter­auf­trag­neh­mer austauschen will?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-umsetzungsplan-bank_1bc9fe27/)
- [Wird ein Unter­auf­trag­neh­mer automatisch kritisch, weil die bezogene Leistung eine kritische oder wichtige Funktion unterstützt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-kritische-oder-wichtige-funktionen_73eb5c57/)

## [Konzern, Rollen und Mandanten](https://qvestcon.com/faq/konzern-mandanten/)

Jede Rechtseinheit bleibt erkennbar. Der Konzernbezug schließt Auslagerung nicht aus. Verträge liegen bei der empfangenden Einheit. Wir testen Drei­ecks­be­zie­hun­gen an Testfällen. Anbieter- und Ver­trags­stamm­da­ten teilen wir nur dort, wo die Beziehung ausdrücklich modelliert ist, und die Grup­pen­über­sicht bleibt eine Sicht auf die Ein­zel­nach­weise. Jede Rechtseinheit ist eigener Ver­pflich­te­ter. Die Grup­pen­über­sicht ist nur eine Sicht. Eine Leistung innerhalb der Gruppe wird tragfähig, wenn Vertrag und Risi­ko­be­ur­tei­lung bei jeder empfangenden Rechtseinheit liegen.

- [Wie gelingt ein Bezie­hungs­mo­dell für Dienst­leis­ter­da­ten, in dem jede Rechtseinheit einzeln erkennbar bleibt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-gelingt-beziehungsmodell-fuer-dienstleisterdaten-dem_061f8860/)
- [Was macht eine Leistung innerhalb der Gruppe tragfähig: Vertrag und Risi­ko­be­ur­tei­lung je empfangender Rechtseinheit?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-informationsverbund-bank_ef7256b0/)
- [Wie bildet Ihr Haus einen Kon­zern­ver­trag ab, wenn eine Rechtseinheit unterschreibt und eine andere die Leistung erbringt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-ikt-dienstleister-pruefungsfeststellung_823eaf99/)
- [Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Kon­zern­ein­hei­ten wirklich trennt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-multimandanten-konzern-rollenmodell_ac00ffa8/)
- [Wie bildet Ihr Haus Personen mit mehreren Beschäf­ti­gungs- oder Organ­ver­hält­nis­sen im Konzern ab?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-konzern-rollenmodell_19a1a5de/)
- [Wie verhindert Ihr Haus eine ungeprüfte Selbst­frei­gabe, wenn dieselbe Person mehrere Rollen im Frei­ga­be­pro­zess hat?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-verhindert-ihr-haus-ungepruefte-selbstfreigabe-wenn_0d1f0dd0/)
- [Wie bewertet Ihr Haus eine gemeinsame Plattform, die mehrere Rechts­ein­hei­ten und Prozesse trägt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-bewertet-ihr-haus-gemeinsame-plattform-mehrere_654572ad/)
- [Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Kon­zern­ein­hei­ten angehören?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-auftraggeber-auftragnehmer-dienstleistungserbringer_6961282d/)

## [Schutzbedarf und Infor­ma­ti­ons­ver­bund](https://qvestcon.com/faq/schutzbedarf-verbund/)

Die Karte beginnt beim Geschäfts­pro­zess. Ein geerbter Wert bleibt nach­voll­zieh­bar. Der Schutzbedarf vererbt sich. Der Vererbungsweg bleibt erkennbar. Wir dokumentieren eine begründete Abweichung mit Eigentümer, Begründung und Freigabe, und eine Änderung an einem über­ge­ord­ne­ten Prozess stößt die Bewertung erneut an. Eine Differenz wird gezielt geprüft. Abweichungen brauchen eine Begründung. Die Struk­tur­ana­lyse des IT-Grundschutzes fragt zuerst nach den wichtigen Aufgaben und Geschäfts­pro­zes­sen, dann nach den benötigten Informationen und zuletzt nach den Anwendungen.

- [Wie verbindet Ihr Haus Geschäfts­pro­zess, Informationen, Anwendung und Dienstleister zu einer Abhän­gig­keits­karte?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-prozesse-prozesskatalog_2555c2cd/)
- [Wie geht Ihr Haus vor, wenn ein geerbter Schutzbedarf nicht zur Anwendung passt?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-geht-ihr-haus-wenn-geerbter-schutzbedarf_31996fb3/)
- [Wie schließt Ihr Haus festgestellte Sicher­heits­lü­cken so, dass am Ende ein belastbarer Nachweis steht?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-schliesst-ihr-haus-festgestellte-sicherheitsluecken_715fb3cc/)
- [Wie ordnet Ihr Haus Informationen so zu, dass die Schutz­be­darfs­fest­stel­lung belastbar wird?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-ordnet-ihr-haus-informationen-so-dass_8b5fa3bc/)
- [Auf welcher Prozessebene legt Ihr Haus den Schutzbedarf fest, damit kritische Teil­ak­ti­vi­tä­ten sichtbar bleiben?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-kritische-oder-wichtige-funktionen_11625d4c/)
- [Wie vererbt sich der Schutzbedarf von Informationen und Prozessen auf Anwendungen und Systeme?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-vererbt-schutzbedarf-informationen-prozessen_285eb760/)
- [Auf welchen Ebenen stellt Ihr Haus den Schutzbedarf eigenständig fest?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-welchen-ebenen-stellt-ihr-haus-den_890ecef8/)
- [Wann übernimmt Ihr Haus einen geerbten Schutzbedarf unverändert und wann braucht es eine neue Freigabe?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wann-uebernimmt-ihr-haus-einen-geerbten_04488bcf/)
- [Wer erstellt, prüft und gibt eine Schutz­be­darfs­fest­stel­lung frei?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-wer-erstellt-prueft-gibt-schutzbedarfsfeststellung_723d9272/)
- [Wie verbindet Ihr Haus jede erlaubte Tätigkeit mit den Prozessen, die sie tragen?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-prozesse-prozesskatalog-konzern_39f7c9d9/)
- [Wie verbindet Ihr Haus erlaubte Tätigkeiten mit allen Elementen des Infor­ma­ti­ons­ver­bunds?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-verbindet-ihr-haus-erlaubte-taetigkeiten-allen_f8714e96/)
- [Was prüft Ihr Haus neu, wenn sich Erlaubnis, Prozessmodell oder Leis­tungs­kette ändern?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-grc-prozessmodell_c9e3db69/)

## [Anzeigen und Freigaben gegenüber der Aufsicht](https://qvestcon.com/faq/aufsichtsanzeigen/)

Eine Anzeige ist keine Genehmigung. Die BaFin genehmigt keine Auslagerung. Der sektorale Pfad prüft die Anzeige. Banken zeigen den Vollzug an. Banken zeigen die Absicht einer wesentlichen Auslagerung und deren Vollzug an, Versicherer zeigen unverzüglich die Absicht an, wichtige Funktionen auszugliedern, unter Vorlage des Ver­trags­ent­wurfs. Eine Wartefrist gibt es nicht. Die interne Freigabe bleibt eine eigene Entscheidung. Der DORA-Pfad fragt nach dem geplanten Vertrag über IKT-Dienst­leis­tun­gen für kritische oder wichtige Funktionen. Die Aufsicht erkennt Problemfelder früh. Die Ein­gangs­be­stä­ti­gung meldet die Übermittlung.

- [Genehmigt die BaFin eine kritische IKT-Dienst­leis­tung oder wesentliche Auslagerung und was zeigt Ihr Haus ihr an?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-bestellposition-ikt-dienstleistung_41f11bf4/)
- [Wie halten DORA-Meldung, Aus­la­ge­rungs­an­zeige und interne Freigabe in Ihrem Haus zusammen, ohne durch­ein­an­der­zu­ge­ra­ten?](https://qvestcon.com/dora-experte-markus-junge/markus-junge-dora-dienstleister-vertrag-bestellung_cd086f80/)