{
  "bam_id": "DORA-030-REGISTER",
  "regulation": "DORA",
  "article": "Art. 28-30",
  "status": "ausstehend",
  "tags": [
    "informationsregister",
    "kritische-funktion",
    "aufsicht"
  ],
  "cross_refs": [
    "ISO 27001 A.8.1.1"
  ],
  "requirement": {
    "text": "Führung eines vollständigen Informationsregisters über alle IKT-Drittdienstleister mit Angaben zu Vertragsbeziehungen, kritischen Funktionen und Abhängigkeiten.",
    "source": "DORA Art. 28-30",
    "priority": "hoch"
  },
  "gap_check": {
    "question": "Ist ein vollständiges DORA-Informationsregister vorhanden das alle Drittdienstleister, unterstützte Funktionen, Vertragsdetails und Abhängigkeiten dokumentiert?",
    "if_yes": "Register mindestens jährlich aktualisieren und der Aufsicht auf Anfrage vorlegen können.",
    "if_no": "Register fehlt – direkte Anforderung aus DORA mit Vorlage an Aufsicht.",
    "if_partial": "Register vorhanden aber unvollständig oder veraltete Einträge."
  },
  "remediation": {
    "summary": "Vollständiges DORA-Informationsregister erstellen und pflegen",
    "steps": [
      "Alle IKT-Drittdienstleister mit Kontaktdaten, Vertragsart und Kritikalität erfassen",
      "Abhängigkeiten zwischen Dienstleistern und kritischen Funktionen dokumentieren",
      "Konzentrations- und Kettenabhängigkeiten analysieren",
      "Halbjährlichen Update-Prozess für das Register etablieren"
    ],
    "effort": "mittel",
    "deadline": "mittelfristig",
    "tools": [
      "DORA-Register-Template",
      "GRC-Tool"
    ],
    "book_reference": {
      "book": "DORA für Nicht-Finanzexperten",
      "chapter": "Kap. 5.9 – Das Informationsregister"
    },
    "cost_estimate": {
      "pt_min": 4,
      "pt_max": 8,
      "note": "Informationsregister vollständig befüllen"
    }
  },
  "risk": {
    "likelihood": 3,
    "impact": 3,
    "score": 6,
    "description": "Unvollständiges Register ist bei BaFin-Prüfung sofort erkennbar und führt zu Nachforderungen.",
    "regulatory_fine": {
      "max_eur": 5000000,
      "max_pct": "1% des weltweiten Tagesumsatzes",
      "basis": "DORA Art. 50 – täglich bis zur Behebung möglich"
    }
  },
  "control": {
    "measure": "Vollständiges DORA-Informationsregister mit halbjährlichem Update-Prozess",
    "priority": "hoch",
    "type": "organisatorisch"
  },
  "evidence": {
    "type": "DORA-Informationsregister",
    "template": "DORA Informationsregister",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.8.1.1",
      "A.8.1.2",
      "A.15.1.1"
    ],
    "coverage": "teilweise",
    "note": "ISO A.8.1 (Asset-Inventar) und A.15.1.1 (Lieferantenrichtlinie) sind konzeptionell verwandt. DORA-Informationsregister mit Aufsichtsvorlage ist spezifischer."
  },
  "iso27001_2022_controls": [
    "5.22",
    "5.9"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/DORA-030-REGISTER",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}