Ein Drittanbieter-Ausfall trifft heute die ganze Kette.

DORA verlangt lückenlose Kontrolle über IKT-Drittanbieter, von der Registerpflicht bis zur Konzentrationsrisikoprüfung. gateDORA prüft alle sechs Cluster vor jedem Onboarding, nicht erst beim nächsten Audit.

6 Cluster, sequenziell geprüft.

Jeder Cluster ist dispositiv (material_block_mode: true), ein Treffer blockiert bindend, nicht nur zur Dokumentation.

CLUSTER 1

IKT-Risikomanagement

Prüft, ob ein dokumentiertes IKT-Risikomanagementrahmenwerk mit Asset- und Bedrohungsanalyse vorliegt.

ict_framework_documented · risk_scoring_current

CLUSTER 2

Vorfallmeldung

Prüft die Klassifizierung eines schwerwiegenden IKT-Vorfalls und die fristgerechte Meldung an die zuständige Behörde.

incident_classified_major · reported_within_deadline

CLUSTER 3

Bedrohungsorientierte Penetrationstests (TLPT)

Prüft bei kritischen Funktionen, ob ein TLPT innerhalb des vorgeschriebenen Drei-Jahres-Zyklus durchgeführt wurde.

tlpt_required · tlpt_completed_within_cycle

CLUSTER 4

Drittparteienregister

Prüft, ob der Anbieter im Informationsregister für IKT-Drittdienstleister vollständig erfasst ist.

register_entry_complete

CLUSTER 5

Auslagerungszustimmung

Prüft, ob Unterauftragsverhältnisse des Anbieters offengelegt und vom Finanzunternehmen genehmigt wurden.

subcontracting_disclosed · consent_obtained

CLUSTER 6

Konzentrationsrisiko

Prüft die Abhängigkeit von einem einzelnen kritischen IKT-Anbieter gegen den internen Konzentrationsrisiko-Schwellenwert.

concentration_risk_score · threshold_exceeded

Zwei getestete Szenarien.

Alle Werte auf dieser Seite sind fiktive Testdaten und dienen ausschließlich der Illustration der Gate-Logik.

Szenario	C1	C2	C3	C4	C5	C6	Verdict	Latenz
Cloud-Anbieter, TLPT aktuell, Register vollständig, Konzentrationsrisiko niedrig	PASS	PASS	PASS	PASS	PASS	PASS	DORA_SEALED	478ms
Kritischer IKT-Anbieter ohne Registereintrag	PASS	PASS	PASS	FAIL	not evaluated	not evaluated	BLOCK_DR4_REGISTER_ENTRY_MISSING	401ms

GATE CATALOG · REGULATORY DETERMINATION DOMAIN

gateDORA

gateDORA bestimmt kodierte regulatorische Bedingungen für einen definierten Sachverhalt. Das Gate liefert einen gebundenen regulatorischen Determination State; es erzeugt weder regulatorische Authority noch Execution Permission.

DOMAIN_DETERMINATION_ONLY = true · EXECUTION_AUTHORITY = false · EXECUTION_PERMISSION = false

Gate Catalog ansehen →Execution Rights →

gateDORA regulatory determination domain

AUTHORITY-GRENZE

DORA-ZUSTAND IST KEINE AUFSICHTSAUTORITÄT.

KANN

kodierte regulatorische Bedingungen deterministisch bestimmen
Determinations an Quelle, Scope, Zeit und Input-State binden
fehlende, abgelaufene oder kollidierende regulatorische Dependencies sichtbar machen
zurechenbare Evidence für die konkrete Determination erzeugen

KANN NICHT

Regulator, Aufsicht, Gericht oder zuständige Institution ersetzen
rechtliche oder regulatorische Authority durch Score, Konsens, KI oder Administration erzeugen
aus einem Gate-PASS eigenständig ein Execution Right erzeugen
eigenständig einen ExecutionCapabilityToken erzeugen

REGULATORY STATE

Regulatorische Determination ist Evidence. Keine regulatorische Authority.

SOURCE

Authoritative source

Die relevante Regel muss außerhalb des Systems aus einer legitimen normativen oder institutionellen Quelle stammen.

SCOPE

Definierter Sachverhalt

Die Determination ist auf den kodierten Sachverhalt, die Einheit, Transaktion oder Operation begrenzt.

TIME

Zeitpunktbezogener Zustand

Geltungsbeginn, Übergangsfristen, Außerkrafttreten und Versionsstand bleiben explizit.

INPUT

Kanonischer Input

Eine reproduzierbare Determination benötigt einen definierten kanonischen Input-State.

DEPENDENCY

Dependencies

Fehlende oder widersprüchliche Dependencies bleiben sichtbar, statt in erfundene Permission umgewandelt zu werden.

EVIDENCE

Gebundener Nachweis

Der resultierende State kann für spätere Verifikation an Quelle, Input, Scope und Zeit gebunden werden.

VERWANDTE DETERMINATION DOMAINS

Regulatorische Domains werden komponiert. Sie verleihen einander keine Authority.

gateNIS2 gateSECCyber gateEUFinance gateLegalConflict

Nur scope-relevante Determinations werden Dependencies der Execution-Rights-Auflösung. Die gezeigten Links sind keine universell zwingende Sequenz.

EXECUTION RIGHTS

Fünf Dimensionen. Regulatorischer State kann sie informieren; kein Gate ersetzt sie.

AAUTHORITY

RRULE

JJURISDICTION

TTIME

DDEPENDENCY

ALLE FÜNF ERFORDERLICHEN DIMENSIONEN GÜLTIG → GÜLTIGES EXECUTION RIGHT · EINE ERFORDERLICHE DIMENSION FEHLT → KEIN GÜLTIGES EXECUTION RIGHT → KEINE CAPABILITY → KEINE AUSFÜHRUNG

INVARIANT

Ein regulatorischer PASS ist eine Determination. Niemals allein eine Permission.

AUTHORITY → DETERMINATION → EXECUTION RIGHTS → CAPABILITY OR NONE → EXECUTION OR NONE → EVIDENCE