DORA. Plus MaRisk. Plus Anhang I, wo er greift.

Ja, aber nicht mit einem zweiten Managementsystem. § 28 Abs. 6 Nr. 1 BSIG nimmt DORA-Finanzunternehmen von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus: IKT-Risikomanagement und Vorfallmeldungen laufen über DORA und die BaFin. Die Ausnahme betrifft diese materiellen Pflichten, nicht den Status als Einrichtung. Vor allem bleibt die Registrierung beim BSI nach § 33 BSIG bestehen, denn § 33 steht nicht in der Ausnahmeliste. Wer als Kreditinstitut, Handelsplatz oder zentrale Gegenpartei die Größenschwellen erreicht, muss sich also registrieren, obwohl der laufende Betrieb nach DORA geführt wird. Die Frist beträgt drei Monate ab Eintritt der Voraussetzungen; für Einrichtungen, die schon beim Inkrafttreten am 6. Dezember 2025 erfasst waren, ist sie rechnerisch am 6. März 2026 abgelaufen. Auch die Verantwortung der Geschäftsleitung entfällt nicht: DORA weist sie dem Leitungsorgan selbst zu, samt regelmäßiger Schulungen zu IKT-Risiken. OdySecure mappt beide Regelwerke aus einem Kontroll-Set, damit daneben kein zweites System entsteht.

EBA/CP/2025/12 ist ein Konsultationspapier (Entwurf) und skizziert 19 Felder, darunter: Eindeutige Vertragsnummer, Funktion, Kritikalität, Datenflüsse, Datenstandort, Subunternehmer-Identität, vertragliche SLA, Kündigungsmodalitäten, Exit-Strategie. OdySecure enthält ein vorbereitetes Auslagerungsregister mit allen 19 Feldern und KI-Unterstützung bei der Vertragsanalyse. Anpassung an die finale EBA-Fassung ohne Re-Engineering.

Die BAIT laufen aus: DORA-pflichtige Finanzunternehmen hat die BaFin zum 17. Januar 2025 aus dem BAIT-Anwenderkreis genommen, die übrigen BAIT werden nach BaFin-Angaben schrittweise bis Ende 2026 aufgehoben. Die MaRisk sind aufsichtsrechtliche Erwartungen der BaFin, kein Gesetz im strengen Sinn; sie bestehen fort. Wer ein modernes ISMS hat, deckt MaRisk-, DORA- und BSIG-Anforderungen weitgehend aus einem Kontroll-Set ab.

Wenn die Verträge digital vorliegen, typisch 4 bis 8 Wochen bis zum prüffähigen Register. Die KI-gestützte Vertragsanalyse extrahiert die EBA-Pflichtfelder weitgehend automatisch, Compliance-Team kontrolliert und ergänzt. Manuelle Erfassung dauert deutlich länger.

Plattform-Lizenz für eine Bank mittlerer Größe (etwa 500 Mitarbeitende) ab niedrigem fünfstelligen Bereich pro Jahr; ein Einführungsprojekt mit Senior-CISO-Begleitung ist zubuchbar. Genaue Indikation auf Anfrage, da Konzern-Pricing projektbezogen ist. Das Erstgespräch liefert eine erste Aufwandsschätzung.