Glossarbegriff
RTO / RPO
Auch: Recovery Time Objective, Recovery Point Objective
Zwei Kernkennzahlen des Business Continuity Management. RTO = maximale Ausfallzeit, in der ein Prozess wieder verfügbar sein muss. RPO = maximaler tolerierbarer Datenverlust, gemessen in Zeit.
RTO Beispiel: Online-Banking RTO 30 Minuten heißt, der Dienst muss spätestens 30 Minuten nach einem Vorfall wieder laufen. RPO 5 Minuten heißt, höchstens 5 Minuten Transaktionen dürfen verloren gehen.
Methodik: in der Business Impact Analyse wird pro Prozess RTO und RPO definiert, daraus folgen Backup-Frequenz, Replication-Setup, Failover-Architektur, Standort-Strategie. Niedrige RTO/RPO sind teuer, weil sie typischerweise Active-Active-Setups, synchrone Replikation und mehrere Standorte erfordern.
In der Praxis
DORA und NIS2 verlangen, dass RTO und RPO pro kritischer Funktion explizit dokumentiert und regelmäßig getestet sind. Eine BCM-Strategie ohne RTO/RPO-Werte ist nicht prüfungsfest.
Verwandte Begriffe
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
NIS2
EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Löst NIS1 ab, erweitert den Anwendungsbereich auf rund 30.000 deutsche Unternehmen in 18 Sektoren, führt persönliche Haftung der Geschäftsleitung ein und verlangt zehn Mindestmaßnahmen nach Art. 21.
Readiness Score (Deutsch)
Ein 0-100-Score, der quantifiziert, wie auditfähig ein Decision Memo aktuell ist. Setzt sich aus Kriterien-Coverage, Evidenz-Qualität, Risiko-Analyse, Stakeholder-Alignment und Governance-Reife zusammen. Score >70 signalisiert Audit-Reife.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.