Warum eine Gap-Analyse?
Die meisten Unternehmen unterschätzen bei DORA nicht die Anforderungen — sondern den Abstand zwischen dem, was sie zu haben glauben, und dem, was sie im Aufsichtsgespräch tatsächlich vorlegen können.
Eine Gap-Analyse schließt genau diese Lücke im Bild. Sie zeigt objektiv, welche Anforderungen bereits erfüllt sind, wo nur die Dokumentation fehlt und wo tatsächlich substanziell gearbeitet werden muss.
Der wirtschaftliche Nutzen liegt in der Priorisierung. Ohne belastbare Bestandsaufnahme werden DORA-Projekte entweder zu groß aufgesetzt — mit unnötigen Kosten — oder zu klein, mit Lücken, die erst bei der Prüfung auffallen.
Unser Ansatz ist dabei bewusst pragmatisch: Wir bewerten nicht nach Ideal, sondern nach dem, was Ihre Größe und Ihr Risikoprofil tatsächlich erfordern. Das Proportionalitätsprinzip ist Teil der Verordnung — und wir nutzen es.
Untersuchungsumfang
Wir arbeiten mit einem Anforderungskatalog, der die Verordnung in prüfbare Einzelanforderungen herunterbricht. Jeder Punkt wird bewertet, belegt und dokumentiert — nicht überschlagen.
Bewertungsmaßstab
Jede Anforderung wird auf einer fünfstufigen Skala bewertet. Das macht Fortschritt messbar — und zeigt bei der nächsten Überprüfung schwarz auf weiß, wo sich etwas bewegt hat.
Die Anforderung wird derzeit nicht adressiert. Keine Prozesse, keine Dokumentation.
Erste Ansätze vorhanden, aber informell, personenabhängig und nicht dokumentiert.
Prozess ist beschrieben und dokumentiert, wird aber nicht durchgängig gelebt oder überwacht.
Prozess ist umgesetzt, wird gelebt und ist gegenüber der Aufsicht nachweisbar.
Prozess wird gemessen, regelmäßig überprüft und kontinuierlich verbessert.
Aus der Praxis
Bestimmte Themen tauchen in nahezu jeder Analyse auf. Wenn Sie bei einem der folgenden Punkte zögern, ist das ein guter Grund für eine strukturierte Bestandsaufnahme.
Ablauf
Wir klären den Untersuchungsumfang, identifizieren die relevanten Ansprechpartner und stimmen ab, welche Säulen in welcher Tiefe betrachtet werden.
Sie stellen vorhandene Richtlinien, Verträge, Notfallpläne und Register bereit. Wir werten aus, bevor wir Ihre Zeit in Interviews binden.
Strukturierte Gespräche mit IT, Risikomanagement, Compliance, Einkauf und Geschäftsleitung — jeweils ein bis zwei Stunden, gezielt statt ausufernd.
Abgleich gegen den Anforderungskatalog, Reifegradbewertung je Anforderung und Bewertung der Lücken nach Risiko und Aufsichtsrelevanz.
Wir priorisieren die Maßnahmen gemeinsam, schätzen Aufwände realistisch ein und präsentieren das Ergebnis der Geschäftsleitung.
Liefergegenstände
Kein Foliensatz zum Ablegen, sondern Arbeitsgrundlagen. Alle Ergebnisse sind so aufbereitet, dass Sie damit direkt weiterarbeiten können — intern oder mit einem Dienstleister Ihrer Wahl.
Bewertung jeder DORA-Anforderung auf einer fünfstufigen Skala — mit grafischer Übersicht je Säule, die auch im Aufsichtsgespräch trägt.
Jede Abweichung einzeln erfasst: betroffener Artikel, Ist-Zustand, Soll-Zustand, Risikobewertung und empfohlene Maßnahme.
Maßnahmenplan sortiert nach Risiko, Aufsichtsrelevanz und Umsetzungsaufwand — mit Verantwortlichkeiten und realistischen Terminen.
Verdichtete Darstellung für Geschäftsleitung und Aufsichtsorgan: Wo stehen wir, was kostet es, was passiert bei Nichthandeln.
Übersicht der gesichteten Dokumente und Nachweise — die Basis für Ihre spätere Nachweisführung gegenüber der BaFin.
Persönliche Vorstellung der Ergebnisse bei Ihnen vor Ort in Hamburg oder Norderstedt — inklusive Diskussion der nächsten Schritte.
Wir führen Gap-Analysen bevorzugt vor Ort durch. Interviews im persönlichen Gespräch liefern schlicht bessere Ergebnisse als Fragebögen — man sieht, wo gezögert wird, und kann direkt nachfragen. Aus Norderstedt sind wir in der gesamten Metropolregion Hamburg schnell bei Ihnen.
Auf Wunsch arbeiten wir auch vollständig remote. Für kleinere Institute mit klarem Zuschnitt ist das oft die wirtschaftlichere Variante.
FAQ
Eine DORA Gap-Analyse ist ein strukturierter Abgleich zwischen dem, was die Verordnung (EU) 2022/2554 verlangt, und dem, was in Ihrem Unternehmen tatsächlich vorhanden ist. Wir prüfen alle fünf DORA-Säulen anhand eines Anforderungskatalogs, bewerten den Reifegrad je Anforderung und dokumentieren jede Abweichung nachvollziehbar. Ergebnis ist kein Gutachten zum Ablegen, sondern ein priorisierter Maßnahmenplan.
Bei einem mittelständischen Finanzunternehmen rechnen wir mit drei bis sechs Wochen von der Kick-off-Sitzung bis zur Ergebnispräsentation. Der reine Erhebungsaufwand liegt meist bei vier bis acht Interviewterminen. Entscheidend für die Dauer ist, wie schnell Dokumente bereitgestellt und Termine mit den Fachbereichen gefunden werden.
Wir halten den internen Aufwand bewusst gering. Erfahrungsgemäß sind es pro beteiligtem Fachbereich ein bis zwei Stunden Interviewzeit plus die Bereitstellung vorhandener Dokumente. Wir arbeiten mit dem, was da ist — Sie müssen für die Analyse nichts extra erstellen.
Sie erhalten einen Ergebnisbericht mit Reifegradbewertung je Anforderung, eine detaillierte Gap-Liste mit Bewertung nach Risiko und Aufsichtsrelevanz, eine priorisierte Maßnahmen-Roadmap mit Aufwandsschätzung und Verantwortlichkeiten sowie eine Management Summary für Geschäftsleitung und Aufsichtsorgan.
Ja, aber sie fällt deutlich schlanker aus. Ein bestehendes ISMS deckt große Teile des IKT-Risikomanagements bereits ab. Die typischen Lücken liegen dann bei den DORA-spezifischen Themen: dem Informationsregister, den vertraglichen Mindestinhalten nach Artikel 30, der Vorfallklassifizierung mit den engen Meldefristen und dem strukturierten Testprogramm.
Ja. Häufig ist das sogar sinnvoll — besonders bei Säule vier, dem IKT-Drittparteienrisiko. Viele Unternehmen haben ihr Risikomanagement im Griff, scheitern aber am vollständigen Informationsregister und an den Vertragsanpassungen. Wir schneiden den Umfang auf das zu, wo tatsächlich Unsicherheit besteht.
Der Preis richtet sich nach Unternehmensgröße, Anzahl der einzubeziehenden Fachbereiche und dem gewünschten Detailgrad. Nach einem kostenlosen Vorgespräch erhalten Sie ein transparentes Festpreisangebot — kein Tagessatzmodell mit offenem Ende.
Auf Wunsch ja. Viele Kunden setzen die Roadmap zunächst selbst um und holen uns punktuell für einzelne Themen dazu — etwa für den Aufbau des Informationsregisters oder die Vertragsprüfung. Es gibt keine Verpflichtung, das Umsetzungsprojekt ebenfalls bei uns zu beauftragen.