DORA Compliance für Finanzunternehmen

Wo stehen Sie wirklich? Unser Readiness Assessment bewertet Ihre aktuelle IKT-Governance systematisch gegen alle DORA-Anforderungen und die 13 RTS/2 ITS der ESAs, von IKT-Risikomanagement über Incident Reporting bis zum Drittparteien-Register. Sie erhalten einen detaillierten Gap-Report mit priorisiertem Maßnahmenplan, Aufwandsschätzung und Zeitplan. Unternehmen mit bestehendem ISMS (z.B. ISO 27001) haben erfahrungsgemäß bereits 40 bis 60 % der Anforderungen abgedeckt. Deliverables: Gap-Report, Reifegrad-Scoring pro DORA-Säule, Management-Präsentation, priorisierte Roadmap.

• Prüfung aller 5 DORA-Säulen und RTS/ITS gegen Ihre bestehenden Strukturen
• Gap-Report mit Risikobewertung, Priorisierung und Aufwandsschätzung
• Management-taugliche Ergebnispräsentation für Vorstand und Aufsichtsrat
• Benchmarking gegen KPMG-Branchenreifegrad und aktuelle BaFin-Erwartungen

DORA Art. 5 bis 16 verlangt ein umfassendes IKT-Risikomanagement-Framework, deutlich über das hinaus, was BAIT und MaRisk bisher forderten. Die zugehörigen RTS konkretisieren Anforderungen an Risikotaxonomie, Schutzmaßnahmen, Erkennungsmechanismen und Wiederherstellungsstrategien. Wir konzipieren und implementieren dieses Framework passgenau für Ihre Organisation, inklusive der neuen Rolle des IKT-Risikomanagers. Deliverables: IKT-Risikorahmenwerk, Risikotaxonomie, Rollenmodell, Prozessdokumentation.

• Aufbau einer DORA-konformen IKT-Risikotaxonomie und -bewertungsmethodik
• Definition und Besetzung der IKT-Risikomanager-Funktion nach DORA Art. 6(4)
• Integration in bestehendes ISMS (ISO 27001), BCM und operationelles Risikomanagement
• Ableitung von Schutz-, Erkennungs- und Wiederherstellungsmaßnahmen nach RTS-Vorgaben

Seit Januar 2025 hat die BaFin über 600 schwerwiegende IKT-Vorfälle registriert, und prüft explizit, ob dokumentierte Incident-Response-Prozesse existieren und regelmäßig geübt werden. Für schwerwiegende IKT-Vorfälle gilt nach Artikel 5 der Delegierten Verordnung (EU) 2025/301: Erstmeldung so früh wie möglich, spätestens vier Stunden nach der Einstufung als schwerwiegend und grundsätzlich spätestens 24 Stunden nach Kenntnis des Vorfalls. Erfolgt die Einstufung erst nach Ablauf dieser 24 Stunden, gilt die Vierstundenfrist ab Einstufung. Der Zwischenbericht ist spätestens 72 Stunden nach der Erstmeldung fällig; ein aktualisierter Zwischenbericht folgt ohne unangemessene Verzögerung, spätestens nach Wiederherstellung des regulären Betriebs. Der Abschlussbericht ist spätestens einen Monat nach dem Zwischenbericht oder dem letzten aktualisierten Zwischenbericht einzureichen. Sonderregeln für Wochenenden und Feiertage sind abhängig von Unternehmensart und Aufsichtsentscheidung zu prüfen. Wir implementieren ein vollständiges Incident-Management-System inklusive Tabletop-Übungen. Deliverables: Incident-Response-Playbook, Meldeketten-Dokumentation, BaFin-Reporting-Templates, Übungsprogramm.

• Klassifikationsschema für IKT-Vorfälle nach DORA Art. 17 bis 23 und zugehörigem RTS
• Meldeketten mit dokumentierten Fristauslösern nach Artikel 5 der Delegierten Verordnung (EU) 2025/301: Einstufung und Kenntnis des Vorfalls, Erstmeldung sowie letzter Zwischenbericht
• BaFin-MVP-Reporting-Integration und Prozessautomatisierung
• Incident-Response-Übungsprogramm (Tabletop Exercises, Simulationen, Lessons Learned)

Das Management von IKT-Drittparteien ist laut Branchenumfragen die größte DORA-Herausforderung, 75 % der kritischen Auslagerungsdienstleister stammen aus Drittstaaten. DORA verlangt ein vollständiges Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. Die jeweils geltende Einreichungsfrist ist anhand der aktuellen Aufforderung der zuständigen Aufsicht festzulegen. Im Q3 2025 wurde das erste Bußgeld wegen unzureichender Drittpartei-Dokumentation verhängt. Deliverables: BaFin-konformes Informationsregister, Konzentrationsrisiko-Report, Exit-Strategien, Monitoring-Prozess.

• Aufbau des BaFin-konformen Informationsregisters mit Pflege- und Einreichungsprozess
• Konzentrationsrisiko-Analyse und Substituierbarkeits-Bewertung kritischer Provider
• Exit-Strategien und Notfallpläne für kritische IKT-Dienstleister
• Laufende Überwachung und Risikobewertung des Drittparteien-Portfolios

DORA Art. 24 bis 27 fordert regelmäßiges Testing der digitalen operationellen Resilienz, für systemrelevante Institute einschließlich Threat-Led Penetration Testing (TLPT) nach dem TIBER-EU-Framework, mindestens alle 3 Jahre. Wir planen und begleiten Ihre Testprogramme: von Vulnerability Assessments über szenariobasierte Tests bis zum vollständigen TLPT mit qualifizierten Red-Team-Providern. Deliverables: Teststrategie, TLPT-Scope-Definition, Provider-Auswahl, Testbegleitung, Maßnahmen-Tracking.

• Testplanung und -strategie nach DORA Art. 24 bis 27 und zugehörigem RTS
• TLPT-Begleitung nach TIBER-EU/TIBER-DE-Framework
• Koordination mit qualifizierten Threat-Intelligence- und Red-Team-Providern
• Ableitung, Priorisierung und Nachverfolgung von Maßnahmen aus Testergebnissen

Die BaFin hat DORA als Prüfungsschwerpunkt angekündigt, und der IDW-Standard EPS 528 definiert erstmals, wie Abschlussprüfer die DORA-Compliance bewerten. Dazu kommen §44 KWG-Sonderprüfungen mit DORA-Fokus, die bereits laufen. Wir bereiten Sie gezielt vor: Dokumentation, Nachweisführung, Dry Runs und Begleitung während der Prüfung. Ab 2026 gilt die Kulanz für Erstjahres-Mängel nicht mehr. Deliverables: Prüfungs-Readiness-Report, Dokumentationsmatrix, Dry-Run-Protokoll, Prüfungsbegleitung.

• Vorbereitung auf IDW EPS 528-Prüfungen und §44 KWG-Sonderprüfungen
• Dokumentationsmatrix: Zuordnung aller DORA-Anforderungen zu Ihren Nachweisen
• Dry Runs mit realistischen Prüfungsszenarien und Interviewvorbereitung
• Begleitung während der Prüfung als fachlicher Sparringspartner