DORA-Berichterstattung an das Leitungsorgan: Kennzahlen, Nachweise und ein Dashboard

1. Beginnen Sie mit den Entscheidungen, die das Leitungsorgan treffen muss

Sitzungsunterlagen für das Leitungsorgan können sämtliche Sicherheitskennzahlen der Organisation enthalten und dennoch dessen wichtigste Frage unbeantwortet lassen: Kann das Unternehmen seine Kunden weiterhin bedienen, wenn etwas schiefgeht? Ein Bericht rechtfertigt seinen Platz in der Sitzung, wenn er eine wesentliche Unsicherheit aufzeigt, einen Zielkonflikt erklärt oder eine Entscheidung über Ressourcen, Prioritäten oder Risiken unterstützt.

Fragen Sie: Was hat sich seit der letzten Sitzung geändert? Welcher Dienst für Kunden könnte jetzt in einer Weise ausfallen, die für die Organisation nicht hinnehmbar ist? Welche Entscheidung ist heute erforderlich? Stellen Sie die Antworten vor die zugehörigen Grafiken. Ein Mitglied des Leitungsorgans sollte eine dringende Finanzierungsentscheidung nicht aus einer roten Tabellenzelle auf Seite dreißig ableiten müssen.

Im allgemeinen IKT-Risikomanagementrahmen regelt Artikel 5 die Verantwortung des Leitungsorgans und regelmäßige Schulungen; Artikel 6 behandelt den Risikomanagementrahmen und dessen Überprüfung; Artikel 13(5) verlangt von leitenden IKT-Mitarbeitenden mindestens jährliche Berichte über bestimmte Erkenntnisse und Empfehlungen. Siehe DORA, Artikel 5, 6 und 13.

Diese Bestimmungen schreiben weder ein bestimmtes zugelassenes Dashboard noch ein einheitliches Format für monatliche Sitzungsunterlagen des Leitungsorgans vor. Wählen Sie einen Berichtsrhythmus, der Ihrer Risikobelastung und Ihren Regelungen zur Unternehmensführung entspricht, und sehen Sie für dringende Angelegenheiten Eskalationswege zwischen den Sitzungen vor. Unterscheiden Sie klar zwischen gesetzlich vorgeschriebenen Meldungen, Anfragen der Aufsicht und internen Berichten an die Geschäftsleitung. Dieser Leitfaden bietet einen praktischen Gestaltungsvorschlag. Er ersetzt nicht die unternehmensspezifische Prüfung der geltenden Pflichten. Zur übergreifenden Aufgabenverteilung lesen Sie unseren Leitfaden zu den DORA-Verantwortlichkeiten des Leitungsorgans.

2. Berichten Sie strukturiert nach Diensten und Geschäftsauswirkungen

Beginnen Sie mit einer kurzen Liste geschäftlicher Dienstleistungen, die den Mitgliedern des Leitungsorgans vertraut sind: eine Zahlung ausführen, auf ein Anlagekonto zugreifen, eine Transaktion abwickeln oder eine Schadenmeldung entgegennehmen. Ordnen Sie diese der Bewertung kritischer oder wichtiger Funktionen der Organisation zu. Ersetzen Sie die geschäftliche Sicht nicht stillschweigend durch eine Liste von Anwendungen. Ein Dienst kann mehrere Anwendungen, Teams, Einrichtungen und externe Anbieter benötigen.

Benennen Sie für jede Dienstleistung eine fachlich verantwortliche Person und beschreiben Sie die Folgen einer Störung. Berücksichtigen Sie betroffene Kunden oder Transaktionen, zeitkritische Fristen, manuelle Ersatzverfahren und den Punkt, ab dem Rückstände nur noch schwer abzuarbeiten sind. Unterscheiden Sie gemessene Auswirkungen von Schätzungen. Wenn die Kundenzahlen unvollständig sind, benennen Sie die Unsicherheit, statt eine scheinbar präzise Gesamtzahl anzugeben.

Eine aussagekräftige Tabellenzeile zu einem Dienst verbindet Risiken und Nachweise: das wichtigste Ausfallszenario, das Wiederherstellungsziel, den jüngsten relevanten Test und die verbleibende Schwachstelle. Eine erfolgreiche Datenbankwiederherstellung sagt möglicherweise wenig über die Verlässlichkeit des Zahlungsdienstes aus, wenn die Identitäts- und Zugriffsverwaltung, der Datenabgleich und ausgehende Verbindungen nicht Teil der Übung waren.

Machen Sie Änderungen sichtbar. Ein neuer Anbieter, eine Übernahme, eine Produkteinführung oder eine Migration kann die bisherige Übersicht der Dienste ungültig machen. Kennzeichnen Sie eine Bewertung als aktualisierungsbedürftig, wenn sich eine wesentliche Abhängigkeit ändert. Andernfalls können die Unterlagen weiterhin einen grünen Status anzeigen, obwohl die zugrunde liegenden Nachweise ein Betriebsmodell beschreiben, das nicht mehr existiert.

Halten Sie detaillierte technische Bestandsverzeichnisse über kontrollierte Links zugänglich. Die Seite für das Leitungsorgan sollte Folgen und Entscheidungen erläutern; die zugehörigen Nachweise sollten es Prüfenden ermöglichen, diese Aussagen bis zu den verantwortlichen Teams zurückzuverfolgen.

3. Definieren Sie jede Kennzahl, bevor Sie ihr eine Farbe zuordnen

Ein Prozentsatz ohne Bezugsgröße lädt zu Missverständnissen ein. „Wiederherstellungstests abgeschlossen: 90 %“ könnte neun von zehn geplanten Übungen, neun von zehn Geschäftsdiensten oder neun von zehn Anwendungen bedeuten. Diese Aussagen beschreiben unterschiedliche Dinge. Geben Sie Zähler und Nenner neben der Kennzahl an und machen Sie ausgeschlossene Elemente sichtbar.

• Zweck: die Entscheidungs- oder Risikofrage, zu deren Beantwortung die Kennzahl beiträgt.
• Grundgesamtheit: die einbezogenen Dienste, Systeme, Anbieter oder Personen sowie die Ausschlüsse.
• Berechnung: genauer Zähler, Nenner, Einheit und Umgang mit fehlenden Daten.
• Rechenschaftspflicht: die fachlich verantwortliche Person, die Person, die die Daten erstellt, und die prüfende Person.
• Zeitpunkte: Beobachtungszeitraum, Extraktionsdatum, Prüftermin und nächste Aktualisierung.
• Nachweis: die kontrolliert verwaltete Aufzeichnung, die das Ergebnis belegt, einschließlich ihrer Version.
• Eskalation: die intern vereinbarte Schwelle und die Maßnahme, die bei ihrer Verletzung ausgelöst wird.

Trennen Sie „nicht getestet“, „Test nicht bestanden“ und „kein Nachweis verfügbar“. Werden diese in einem einzigen Grün- oder Gelb-Status zusammengefasst, bleibt der notwendige Arbeitsaufwand verborgen. Zeigen Sie absolute Zahlen neben Prozentwerten, damit kleine Bestände kein falsches Vertrauen schaffen. Eine Veränderung von einer auf zwei überfällige Maßnahmen ist eine Verdopplung, deren Bedeutung jedoch von betroffenem Service und Schweregrad abhängt.

Wahren Sie die Vergleichbarkeit. Wenn sich der Nenner nach einer Übernahme vergrößert, zeigen Sie sowohl die neue Grundgesamtheit als auch den Grund für den Bruch in der Vergleichbarkeit. Deuten Sie eine niedrigere Abschlussquote nicht als schlechtere Umsetzung, ohne den Erfassungsumfang zu prüfen.

4. Trennen Sie Wiederherstellungsziele von der nachgewiesenen Leistung

Das Wiederherstellungszeitziel (RTO) beschreibt die angestrebte Zeit, innerhalb derer ein Dienst oder eine Fähigkeit nach einer Störung wiederhergestellt werden soll. Das Wiederherstellungspunktziel (RPO) beschreibt den akzeptablen Datenverlust, ausgedrückt als Zeitraum. Keines der beiden Ziele belegt eine tatsächliche Wiederherstellung. Berichten Sie das Ziel und das beobachtete Ergebnis getrennt und geben Sie jeweils Szenario, Umfang und Messgrenzen an.

Ein RTO von vier Stunden bedeutet nicht, dass lediglich ein Wiederherstellungsbefehl innerhalb von vier Stunden abgeschlossen sein muss, während der Datenabgleich später erfolgt. Legen Sie fest, wann die Zeitmessung beginnt und welche fachliche Abnahme sie beendet. Dokumentieren Sie für das RPO den letzten nutzbaren Wiederherstellungspunkt und ob ein Transaktionsabgleich die Vollständigkeit bestätigt hat. Ein System kann schnell wieder anlaufen und dennoch zu alte oder unzuverlässige Daten enthalten.

Im vollständigen Rahmen sieht Artikel 11(6) jährliche Tests der Geschäftsfortführungs- und Wiederherstellungspläne für alle Funktionen sowie Tests bei wesentlichen Änderungen vor. Artikel 24(6) verlangt jährlich angemessene Tests aller IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen; Kleinstunternehmen sind davon ausgenommen. Siehe die Testvorgaben nach DORA. Prüfen Sie, welche Anforderungen für Ihr Unternehmen gelten, bevor Sie daraus einen Terminplan erstellen.

Artikel 25 der Delegierten Verordnung 2024/1774verknüpft Tests der Geschäftsfortführung mit Geschäftsfolgen- und Risikoanalysen. Er verlangt, dass Mängel analysiert, behoben und dem Leitungsorgan gemeldet werden. Ordnen Sie jedem verfehlten Ziel eine Abhilfemaßnahme mit klarer Verantwortlichkeit und einen Plan für einen erneuten Test zu.

Betrachten Sie bedrohungsorientierte Penetrationstests, kurz TLPT, gesondert. Sie gelten für bestimmte Unternehmen, nicht für alle; die Auswahlkriterien und Testanforderungen sind ausführlich beschrieben in der Delegierten Verordnung 2025/1190, zusammen mit den DORA-Artikeln 26–27. Eine diskussionsbasierte Übung, ein Schwachstellenscan oder ein gewöhnlicher Penetrationstest sollte nicht als TLPT bezeichnet werden. Geben Sie an, welche Art von Nachweis die jeweilige Übung tatsächlich liefert.

5. Anbieterkonzentration über Dienstabhängigkeiten visualisieren

Die Anzahl der Anbieter zeigt keine Konzentration. Drei Lieferanten können auf dieselbe Cloud-Region, Identitätsplattform oder Telekommunikationsroute angewiesen sein. Fragen Sie bei jedem wichtigen Dienst, welche Abhängigkeiten gemeinsam ausfallen könnten und ob die vorgeschlagene Alternative operativ unabhängig ist. Unterscheiden Sie vertragliche Alternativen von solchen, die konfiguriert, besetzt und erprobt wurden.

Die Hinweise der EBA zum Informationsregister erläutern das Register der IKT-Vertragsvereinbarungen und bieten Hilfsmittel für die Berichterstattung. Nutzen Sie es als Grundlage für die Übersicht des Leitungsorgans. Ein vollständiges Register ist wertvoll, doch das Leitungsorgan braucht auch eine Einordnung, was die Beziehungen für die Fortführung der Dienste bedeuten.

Eine kompakte Übersicht der Abhängigkeiten kann zeigen, welche Dienste ein Anbieter unterstützt, welche aktuellen Nachweise zur Verlässlichkeit vorliegen, welche Einschränkungen ungeklärt sind, wie viel Zeit ein Ausstieg voraussichtlich benötigt und wann die nächste Entscheidung ansteht. Kennzeichnen Sie die geschätzte Ausstiegsdauer als Schätzung, solange keine belastbaren Vorarbeiten vorliegen. Berücksichtigen Sie Datenextraktion, Migration, Fachkenntnisse, vertragliche Beschränkungen und die Umstellung der Kunden, nicht nur den Austausch der Infrastruktur.

Stellen Sie eine entscheidungsorientierte Frage: Wenn dieser Anbieter ausfiele oder nicht mehr geeignet wäre, bei welchem Dienst müssten wir zuerst handeln, und was würde einen geordneten Übergang verhindern? Eskalieren Sie fehlende Informationen und ungeklärte Zuständigkeiten für Abhängigkeiten ausdrücklich. Unser DORA-Leitfaden zum IKT-Drittparteienrisiko geht ausführlicher auf die Fragen zu Lieferanten und Verträgen ein.

6. Erläutern Sie Entwicklungen bei Vorfällen und wie lange ungelöste Risiken bereits bestehen

Vorfallzahlen brauchen Kontext. Ein Anstieg kann auf eine bessere Erkennung statt auf eine verschlechterte Resilienz hindeuten. Ein Rückgang kann an einer unvollständigen Datenzufuhr liegen. Geben Sie die verwendete Definition, den Beobachtungszeitraum, wesentliche Auswirkungen auf Dienste und etwaige Änderungen der Erhebungsmethoden an. Halten Sie interne Schweregrade von der aufsichtsrechtlichen Vorfallklassifizierung getrennt. Ein Diagramm für das Leitungsorgan darf den Meldeprozess nicht stillschweigend neu definieren.

Aussagekräftige Übersichten zeigen Störungszeiten in Minuten je Dienst, wiederkehrende Ursachen, fehlgeschlagene Änderungen, Ergebnisse der Wiederherstellung und wie lange wichtige Korrekturmaßnahmen bereits offen sind. Dokumentieren Sie für Kennzahlen zur Erkennungs- oder Reaktionszeit einheitliche Start- und Endereignisse. Durchschnittswerte können eine einzelne lang andauernde Störung verdecken: Zeigen Sie die Spannweite oder die wesentlichste Ausnahme, wenn dies die Entscheidung beeinflusst.

Verfolgen Sie Maßnahmen aus Vorfällen, Tests, Audits und Lieferantenbewertungen in einer gemeinsamen Entscheidungsübersicht und halten Sie dabei ihre jeweilige Quelle fest. Jeder Eintrag benötigt eine verantwortliche Person, das ursprüngliche und das aktuelle Fälligkeitsdatum, den betroffenen Dienst, einen Erledigungsnachweis und eine prüfende Person. Ein als „Erledigt“ markiertes Ticket sollte nicht automatisch bedeuten, dass die zugrunde liegende Schwachstelle beseitigt wurde.

Zeigen Sie Fristverlängerungen und wieder aufgenommene Maßnahmen. Wird das Fälligkeitsdatum verschoben, kann ein Diagramm zu überfälligen Maßnahmen besser aussehen, ohne dass sich die Risikolage ändert. Halten Sie fest, wer die Verlängerung genehmigt hat, aus welchem Grund, welche vorläufigen Schutzmaßnahmen gelten und wann die nächste Überprüfung stattfindet. Räumen Sie den Folgen der verbleibenden Schwachstelle Vorrang ein, statt Teams dafür zu belohnen, dass sie viele Tickets mit geringen Auswirkungen schließen.

Schließen Sie den Abschnitt mit einer kurzen Erläuterung des wiederkehrenden Musters und der vorgeschlagenen Maßnahme ab. Wenn mehrere Vorfälle dieselbe Lücke bei den Zuständigkeiten aufzeigen, ist ein neues Dashboard möglicherweise weniger hilfreich als eine klare operative Entscheidung.

7. Lernnachweise mit gezeigtem Urteilsvermögen verknüpfen

Abgeschlossene Schulungen sind ein nützlicher Teilnahmenachweis. Sie zeigen jedoch nicht, ob Mitglieder des Leitungsorgans eine optimistische Aussage zur Wiederherstellung kritisch hinterfragen oder eine schwierige Entscheidung zur Priorisierung von Diensten treffen können. Kombinieren Sie Lernnachweise mit einer kleinen Zahl praktischer Übungen. Bitten Sie die Teilnehmenden, bei einer fiktiven Dienstunterbrechung fehlende Nachweise zu benennen, Eskalationspunkte auszuwählen und die nötigen Abwägungen zu erläutern.

Berichten Sie über den Kreis der Lernenden, die zugewiesenen Inhalte samt Version, die Abschlussdaten, das Bewertungsverfahren und den weiteren Unterstützungsbedarf. Erfassen Sie Rollenwechsel und neu ernannte Mitglieder, damit die für die Berechnung zugrunde gelegte Gesamtzahl korrekt bleibt. Wenn jemand über relevante Vorerfahrung verfügt, dokumentieren Sie, wie diese berücksichtigt wurde und welches organisationsspezifische Wissen noch vertieft werden muss.

Ein Lerngespräch kann beispielsweise zeigen, dass die Teilnehmenden die Begriffe rund um Ransomware verstehen, aber nicht erklären können, wer Notfallausgaben genehmigen darf. Daraus ergeben sich klare Maßnahmen: Befugnisse klären, den Plan aktualisieren und seine Anwendung üben. Stellen Sie eine durchschnittliche Quizpunktzahl nicht als Maß für die Resilienz der gesamten Organisation dar.

Für die Programmgestaltung nutzen Sie unseren Leitfaden zu den DORA-Schulungsanforderungen für Leitungsorgane. Unser Leitfaden für ein Planspiel zur Reaktion auf Sicherheitsvorfälle für Führungskräfte zeigt, wie sich aus einer Unterbrechung Entscheidungen und dokumentierte Erkenntnisse ableiten lassen. Beschränken Sie den Zugriff auf individuelle Lernnachweise angemessen. Für die Unterlagen des Leitungsorgans werden in der Regel Angaben zur Schulungsabdeckung, zu Lücken und zu den daraus abgeleiteten Maßnahmen benötigt, nicht die detaillierten Antworten aller Teilnehmenden.

8. Ein fiktives Dashboard mit Abweichungen, die Handlungsbedarf zeigen

Das folgende Beispiel ist vollständig fiktiv. Die Zahlen dienen der Veranschaulichung und sind weder Branchenrichtwerte noch gesetzliche Schwellenwerte oder Feststellungen über eine reale Organisation. Nehmen Sie an, dass ein Finanzunternehmen vier Dienstleistungen für diese Berichtsansicht festgelegt hat. Das Berichtspaket für September verwendet den 30. September als Stichtag und benennt die für Nachweise verantwortlichen Personen für die Nachverfolgung.

In diesem Beispiel wurde das Ziel für den Datenverlust erreicht, das Ziel für die Wiederherstellungszeit jedoch verfehlt. Würden beide unter der Bezeichnung „Wiederherstellung erfolgreich“ zusammengefasst, bliebe die Verzögerung des Dienstes verborgen. Die Zeile zur Testabdeckung erfasst Dienste, nicht die Gesamtheit der auf Systemebene zu testenden Elemente. Das zugrunde liegende Testregister muss diesen gesonderten Umfang weiterhin ausweisen.

Die Tabelle vermeidet außerdem, ein unbekanntes Ergebnis als fehlgeschlagenen Test darzustellen. Mitglieder des Leitungsorgans können erkennen, welche Unsicherheit untersucht werden muss und welche nachgewiesene Schwachstelle finanzierte Gegenmaßnahmen erfordert. Verknüpfen Sie jede Zeile mit den zugehörigen kontrolliert verwalteten Nachweisen. Nehmen Sie die Entscheidung so lange in die jeweils nächsten Sitzungsunterlagen auf, bis ihr Ergebnis überprüft ist.

9. Machen Sie den Bericht zu einem wiederholbaren Entscheidungsprozess

Ergänzen Sie jede wesentliche Ausnahme um ein kurzes Entscheidungsprotokoll. Beschreiben Sie den betroffenen Dienst, das Szenario, die verfügbaren Nachweise und die verbleibenden Unsicherheiten. Stellen Sie realistische Optionen, deren Auswirkungen auf Kosten oder Ressourcen, die Empfehlung der Geschäftsleitung und die Folgen einer Verzögerung dar. Benennen Sie die entscheidungsbefugte Person und das Datum, bis zu dem die Entscheidung getroffen werden muss.

Beispiel für eine Entscheidungsformulierung: Genehmigen Sie die vorgeschlagene Verbesserung der Wiederherstellung des Zahlungsdienstes und übertragen Sie der für den Betrieb zuständigen Führungskraft die Verantwortung für die Umsetzung. Verlangen Sie bis zum vereinbarten Termin einen erneuten Test anhand der festgelegten Ziele. Dokumentieren Sie die vorläufigen Maßnahmen, die verbleibenden Risiken und die Eskalationsauslöser. Legen Sie das Ergebnis und die Nachweise bei der nächsten Sitzung des zuständigen Gremiums vor.

Wird ein Risiko vorübergehend akzeptiert, dokumentieren Sie die Begründung, die Entscheidungsbefugnis, die Bedingungen und die Gültigkeitsdauer dieser Akzeptanz. Risikoakzeptanz ist eine Governance-Entscheidung; sie hebt eine unerfüllte rechtliche Verpflichtung nicht auf. Ein pauschaler Protokolleintrag, das Leitungsorgan habe „den Bericht zur Kenntnis genommen“, sagt wenig darüber aus, was kritisch hinterfragt wurde, welche Alternativen betrachtet wurden oder welche Folgemaßnahmen vorgesehen sind.

1. Legen Sie gemeinsam fest, welche Dienste betrachtet werden, und ordnen Sie ihnen die geltenden Anforderungen und internen Zuständigkeiten zu.
2. Beginnen Sie mit wenigen Kennzahlen und definieren Sie diese, bevor Sie die Datenerhebung automatisieren.
3. Benennen Sie Datenverantwortliche und Prüfer, legen Sie einen Stichtag fest und regeln Sie ausdrücklich, wie mit fehlenden Nachweisen umzugehen ist.
4. Gleichen Sie eine Kennzahl beispielhaft mit ihrer Quelle ab. Prüfen Sie anschließend, ob die Erläuterung dem zugrunde liegenden Ergebnis entspricht.
5. Führen Sie einen Probelauf mit einer fiktiven Ausnahme durch und prüfen Sie, ob die Unterlagen eine klare Entscheidung ermöglichen.
6. Protokollieren Sie die Entscheidung, kommunizieren Sie die Maßnahme und überprüfen Sie deren Wirkung in späteren Berichten.

Beginnen Sie mit verlässlichen Unterlagen, die sich kritisch hinterfragen lassen. Automatisieren Sie erst, wenn die Definitionen feststehen. Eine gemeinsame Grundlage für die Aufsicht durch Führungskräfte schafft der Kurs «DORA-Cybersicherheitsschulung für Leitungsorgane und Führungskräfte» mit acht Modulen und etwa drei Stunden angeleiteter Lernzeit. Nutzen Sie ihn in einem umfassenderen Programm mit organisationsspezifischen Diskussionen, Übungen und Nachbereitung. Der Abschluss allein belegt keine Erfüllung der regulatorischen Anforderungen.