Projekte, die durch die Prüfung kommen
Seit dem 17. Januar 2025 gilt DORA für Banken und die meisten anderen Finanzunternehmen in der EU. Damit sind IKT-Risikomanagement, Vorfallmeldungen und die Steuerung von IT-Dienstleistern europaweit einheitlich geregelt. Wir begleiten Projekte so, dass die Nachweise dafür während der Arbeit entstehen.
Die Verordnung (EU) 2022/2554 verlangt ein IKT-Risikomanagement, die Meldung schwerwiegender IKT-Vorfälle, Tests der digitalen operationalen Resilienz und die Steuerung von IKT-Drittdienstleistern. Die BaFin hat ihre nationalen IT-Rundschreiben deshalb schrittweise zurückgenommen, die BAIT laufen nach ihrer Ankündigung mit Ablauf des Jahres 2026 vollständig aus.
Wer für ein Institut arbeitet, wird mitgeprüft. Verträge mit IKT-Dienstleistern brauchen nach Art. 30 DORA bestimmte Mindestinhalte, und Institute führen ein Informationsregister über diese Vereinbarungen. Dokumentation, Nachweise und Zuständigkeiten müssen deshalb von Anfang an so entstehen, dass man sie vorlegen kann.
Beteiligt sind Fachbereich, IT, Compliance und Revision, teilweise auch der Auslagerungsbeauftragte. Ein Projekt, das sich nur mit der IT abgestimmt hat, scheitert in der Abnahme.
Wenn ein Altsystem ausläuft oder eine Prüfung ansteht, steht der Termin fest. Angepasst wird deshalb eher der Umfang als der Zeitpunkt.
Was wir nicht übernehmen: Rechtsberatung, die verbindliche Auslegung von DORA und MaRisk für Ihr Haus und Prüfungsbegleitung im engeren Sinn. Diese Bewertung liegt bei Ihrer Compliance, Ihrer Revision und spezialisierten Häusern.
Aufbau und Einführung einer neuen ITSM-Lösung in engem Austausch mit dem Haus. Wir haben das Projekt von der Implementierung über den Go-live bis in den Betrieb begleitet.
Ergebnis: Zwölf Monate vom Projektstart bis zum Go-live, danach eine enge Begleitung im Betrieb.
Für ein reguliertes Haus ist das eine realistische Laufzeit. Projekte scheitern hier häufiger an zu optimistischen Plänen als an der Technik.
FAQ
DORA verlangt ein dokumentiertes IKT-Risikomanagement mit Schutzmaßnahmen, Erkennung, Notfallplänen und Wiederherstellung. Dazu kommen die Meldung schwerwiegender IKT-Vorfälle, regelmäßige Tests und die Steuerung von IKT-Drittdienstleistern. In der Umsetzung landet vieles bei Berechtigungen, Protokollierung und Dokumentation, und dort setzen wir an.
In vielen Fällen ja, für kleine und nicht verflochtene Unternehmen sieht Art. 16 DORA aber einen vereinfachten Rahmen für das IKT-Risikomanagement vor. Welche Regeln für Ihr Haus gelten, klärt Ihre Compliance, und wir richten die Technik danach aus.
In der Regel ja, sobald wir laufend IKT-Dienstleistungen für Ihr Haus erbringen. Dann gehören wir in Ihr Informationsregister, und der Vertrag muss die Mindestinhalte nach Art. 30 DORA enthalten. Ob die Leistung zusätzlich eine Auslagerung im Sinne der MaRisk ist, hängt von Umfang und Einstufung ab und wird im Einzelfall geklärt.
Ja, aus der Projektpraxis und aus der Beratung zu DORA. Die verbindliche Auslegung für Ihr Haus liegt aber bei Ihrer Compliance und Revision, und wir richten die Umsetzung danach aus.
Wir liefern, was die Revision anfordert, und dokumentieren während des Projekts statt hinterher. Unterlagen, die nachträglich erstellt wurden, erkennt jeder Prüfer.
Ja. Im Bankenumfeld arbeiten fast immer mehrere Parteien an einem Projekt, das sind wir gewohnt.
In unserem Bankenprojekt mit 250 Anwendern waren es zwölf Monate bis zum Go-live. Die Dauer hängt vor allem davon ab, wie viele Prozesse abgebildet werden und wie viele Beteiligte zustimmen müssen. Einen belastbaren Zeitplan erstellen wir nach der Bestandsaufnahme.
Banken & Finanzdienstleister
Schildern Sie uns in einem kurzen Gespräch Ihr Projekt. Wir sagen Ihnen offen, ob wir dafür die Richtigen sind.
