---
skill: dora/ict-risikomanagement
fact_pattern: |
  Mittelständische BaFin-regulierte Privatbank (CRR-Institut, kein
  signifikantes Institut nach EZB-Liste) hat BAIT-konformen Rahmen, aber
  noch kein DORA-konformes Vorfallsmeldesystem, kein Drittparteien-Register
  und keinen TLPT-Plan. Vorstand fragt nach Gap-Analyse und Roadmap.

must_cite:
  - "Art. 5"
  - "Art. 6"
  - "Art. 17"
  - "Art. 26"
  - "Art. 28"
  - "BAIT"

must_appear:
  - "Geltungsbereich"
  - "Governance"
  - "Identifikation"
  - "Drittparteien"
  - "TLPT"
  - "Vorfallsmanagement"

must_flag:
  - "TLPT-Pflicht"
  - "Drittparteien-Register"
  - "Leitungsorgan-Schulung"
---