Glossarbegriff
Decision Memo (Deutsch)
Auch: Entscheidungsmemo, Decision-Memo
Strukturiertes Dokument, das eine einzelne Entscheidung mit Trigger, Optionen, Kriterien, Stakeholder-Positionen, Evidenz, Risiken und finaler Begründung erfasst. Audit-fähig, versioniert und als Artefakt-of-Record geführt.
Das Decision Memo ist das zentrale Artefakt strukturierter Entscheidungs-Infrastruktur. Es ist nicht ein Bericht, kein Slide-Deck, kein Meeting-Protokoll. Es ist das eine Dokument, an dem alle Entscheidungs-Beteiligten dieselbe Realität sehen.
Pflicht-Felder: Trigger, Mandat, Optionen inklusive Status quo, gewichtete Kriterien, Dealbreaker, Evidenz pro Datenpunkt, Stakeholder-Position pro Rolle, akzeptierte Restrisiken, Entscheidung mit Begründung.
In der Praxis
Im NIS2- und DORA-Audit ist das Decision Memo das Artefakt, mit dem die Geschäftsleitungs-Aufsicht (Art. 20 NIS2) und die Eignungsprüfung kritischer ICT-Lieferanten (Art. 28 DORA) belegt werden.
Verwandte Begriffe
Readiness Score
A 0-100 score that quantifies how decision-ready a memo actually is. It breaks down into criteria coverage, evidence quality, risk analysis, stakeholder alignment and formal governance. A score above 70 signals audit readiness.
Audit-ready decision
A decision whose record is structured, evidence-backed and stakeholder-signed to a level that a third-party auditor, a supervisor or a board reviewer can reconstruct the reasoning without interviewing the original team.
Stakeholder-Alignment
Der dokumentierte Zustand, in dem alle Entscheidungs-relevanten Stakeholder dieselben Kriterien, Dealbreaker und Trade-offs anerkennen, bevor eine Entscheidung formell getroffen wird. Alignment wird in DecisionOS pro Stakeholder-Rolle erfasst und versioniert.
Defense in Depth
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Daten, Anwendung, physisch) so kombiniert werden, dass das Versagen einer einzelnen Schicht den Schutz nicht auflöst. Steht in NIS2 Art. 21 implizit im Hintergrund.
DLP
Software-Kategorie zur Erkennung und Verhinderung unbefugter Datenabflüsse. Wirkt auf Endpoints, Netzwerk und Cloud. Klassifiziert Inhalte (Regex, Fingerprinting, ML) und setzt Policies durch.
DMARC / DKIM / SPF
Drei Standards, die zusammen E-Mail-Absender authentifizieren und Spoofing erschweren. SPF authentifiziert sendende IP, DKIM signiert Inhalt, DMARC verbindet beide über den From-Header und definiert die Policy.
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
DSFA
Pflichtbewertung nach Art. 35 DSGVO bei voraussichtlich hohem Risiko für Rechte und Freiheiten betroffener Personen. Pflicht u.a. bei systematischer Beurteilung, umfangreicher Verarbeitung besonderer Kategorien und systematischer Überwachung öffentlicher Bereiche.