IT-Revision · DORA · IKT-Risikomanagement
Ich prüfe, ob Ihr IKT-Risikomanagementrahmen die Anforderungen der Verordnung (EU) 2022/2554 erfüllt – nachvollziehbar, nach Revisionsstandards und aus der dritten Verteidigungslinie. Nicht die Umsetzung, die ich später prüfen müsste.
Ausgangslage
DORA gilt seit dem 17. Januar 2025. Wer Finanzunternehmen prüft oder in ihnen Verantwortung trägt, steht vor derselben Frage: Können wir belegen, dass unser IKT-Risikomanagement wirkt – oder haben wir nur Dokumente, die es behaupten?
Ein Rahmenwerk im Ordner genügt nicht. Geprüft wird, ob Prozesse tatsächlich laufen, ob Schwellenwerte greifen und ob das Leitungsorgan seine Verantwortung nach Art. 5 DORA wahrnimmt. Genau das ist der Gegenstand einer Revisionsprüfung.
Der IKT-Risikomanagementrahmen ist mindestens einmal jährlich – bei kleinen und nicht komplexen Instituten alle drei Jahre – durch unabhängige Prüfer oder die Interne Revision zu überprüfen. Die Prüfung ist damit keine Kür, sondern eine Pflicht mit Adressat.
Wer Maßnahmen umsetzt und sie anschließend bewertet, verliert die Unabhängigkeit. Ich trenne beides konsequent: Prüfung, Feststellung, Empfehlung – die Entscheidung über die Umsetzung bleibt bei Ihnen.
Werden Lücken erst in der Sonderprüfung sichtbar, bleibt wenig Zeit für saubere Maßnahmen. Eine Prüfung im eigenen Revisionsplan schafft dieselbe Erkenntnis früher – und mit einem Bericht, den Sie selbst in der Hand haben.
Leistungen
Fünf klar abgegrenzte Formen. Jede endet mit einem prüfbaren Ergebnis, nicht mit einer Empfehlungssammlung.
Leistung 1
Unabhängige Bewertung nach Art. 6 DORA inklusive Nachweisführung.
Leistung 2
Abgleich zwischen Anforderungen und tatsächlichem Zustand – vor der Aufsicht.
Leistung 3
Prüfungskapazität und Methodik, wenn die Stelle klein oder unbesetzt ist.
Leistung 4
Einzelne Prüfungen aus Ihrem Revisionsplan – oder die Nachschau offener Maßnahmen.
Leistung 5
Nachweise, Datenanforderungen und Interviewführung vorab durchspielen.
DORA im Detail
Fünf Säulen. Für jede steht hier, was die Verordnung verlangt, worauf die Prüfung schaut, welcher Nachweis zählt und welche Feststellung typisch ist.
Artikelangaben beziehen sich auf die Verordnung (EU) 2022/2554. Die delegierten Rechtsakte zu Meldungen und Informationsregister sind in Kraft; die einschlägigen Nummern sind vor Veröffentlichung dieser Seite zu bestätigen ([PRÜFEN]).
Das Leitungsorgan trägt die Gesamtverantwortung und muss den Rahmen billigen, überwachen und regelmäßig überprüfen (Art. 5). Der IKT-Risikomanagementrahmen umfasst Identifizierung, Schutz, Erkennung, Reaktion, Wiederherstellung (Art. 8–11), Sicherung und Wiederherstellung von Daten (Art. 12), Lernen (Art. 13) und Kommunikation (Art. 14). Die Interne Revision prüft den Rahmen (Art. 6 Abs. 5).
Typische Feststellung: Typisch: Das Leitungsorgan hat den Rahmen formal gebilligt, aber die jährliche Überprüfung ist nicht belegt; Kennzahlen werden erhoben, aber nicht entschieden.
Vorfälle werden nach festgelegten Kriterien klassifiziert; schwerwiegende Vorfälle sind der zuständigen Behörde zu melden. Die Meldung erfolgt in Stufen – Erst-, Zwischen- und Abschlussmeldung – mit Fristen, die der delegierte Rechtsakt festlegt. Auch erhebliche Cyberbedrohungen können zu melden sein. Die Prozesse sind zu testen.
Typische Feststellung: Typisch: Es existiert ein Meldeformular, aber keine geübte Meldung; die Fristen sind bekannt, der Ablauf ist nie durchlaufen worden.
Ein risikobasiertes Testprogramm für alle IKT-Systeme, das mindestens jährlich zu überprüfen ist. Kritische oder wichtige Funktionen unterliegen darüber hinaus Threat-Led Penetration Tests (TLPT). In Deutschland folgt die Methodik dem TIBER-EU-Rahmenwerk; die operative Durchführung liegt bei der Deutschen Bundesbank, die Aufsicht führt die Tests in ihre Prozesse ein.
Typische Feststellung: Typisch: Tests finden statt, aber ohne Bezug zur Kritikalität; gefundene Schwächen werden dokumentiert und dann nicht nachverfolgt.
Ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern (Art. 28 Abs. 3), Due-Diligence- und Konzentrationsrisikobetrachtung, vertragliche Mindestinhalte (Art. 30), besondere Anforderungen an kritische oder wichtige Funktionen, Ausstiegsstrategien sowie die Subunternehmerkette. Ein Teil der Dienstleister unterliegt dem aufsichtlichen Überwachungsrahmen.
Typische Feststellung: Typisch: Das Informationsregister wird für die Aufsicht gepflegt, ist aber für die Steuerung unbrauchbar – unvollständig, uneinheitlich benannt, ohne Bezug zu Vertrags- und Beschaffungsdaten.
Freiwillige Vereinbarungen über den Austausch von Cyberbedrohungsinformationen sind zulässig, soweit Vertraulichkeit und Schutzvorgaben eingehalten werden. Kein Muss – aber eine bewusste Entscheidung.
Typische Feststellung: Typisch: Der Punkt ist weder entschieden noch begründet – eine Lücke, die in der Prüfung leicht zu schließen ist.
IT-Prüfung
DORA ist nicht der einzige Prüfanlass. Wer IT prüft, prüft Felder, die über den regulatorischen Anlass hinausgehen – und oft dessen Ursache sind.
Interne Revision und Co-Sourcing. Prüfungen nach IDW PS 330 (Rechnungslegungsbezogenes internes Kontrollsystem), IDW PS 860 (Auslagerung), IDW PS 951 (Dienstleister-Kontrollsysteme). ISAE 3402 und ISAE 3000, SOC 2. Sonderprüfungen nach § 44 KWG. Pre-Audits und Gap-Analysen.
IT-Governance und -Strategie. Informationssicherheitsmanagement nach ISO/IEC 27001 und BSI IT-Grundschutz. Identitäts- und Berechtigungsmanagement. Change- und Release-Management. Eigenentwicklung und End-User-Computing. IT-Betrieb. Notfall- und Kontinuitätsmanagement. Cloud und Auslagerung. Netzwerk und Endpunkte. Logging, Monitoring, SIEM. Schwachstellen- und Patchmanagement. Datensicherung. Kryptografie.
Risikoorientierte Prüfungsplanung. Unterscheidung zwischen Aufbauprüfung (ist die Regelung geeignet?) und Funktionsprüfung (wirkt sie?). Stichprobenauswahl und Nachweisanforderung. Bewertung von Feststellungen nach Risiko. Maßnahmenverfolgung bis zum Nachweis. Berichterstattung an Vorstand, Aufsichtsrat oder Leitungsorgan in deren Sprache, nicht in technischem Kürzel.
Praxis
Zehn Beobachtungen, die in IT-Prüfungen bei Finanzunternehmen immer wieder auftreten – nach Häufigkeit geordnet, nicht nach Sensation.
Verträge fehlen, sind uneinheitlich benannt oder betreffen Subunternehmer, die der Dienstleister erst auf Nachfrage offenlegt. Das Register muss die Steuerung tragen, nicht die Aufsicht bedienen.
Sicherungen laufen, Wiederherstellungen nicht. Fehlt der Nachweis der Wiederherstellung, sind Wiederherstellungsziele Behauptungen.
Es gibt eine Melderoutine, aber keine dokumentierten Kriterien. Im Ernstfall wird situativ entschieden – unter Zeitdruck.
Vor allem Altverträge: Kündigungsrechte, Unterstützungs- und Rückgabeansprüche fehlen ebenso wie die Pflichten zur Meldung von Vorfällen durch den Dienstleister.
Art. 5 verlangt Kenntnis und Steuerung. Sitzungsprotokolle ohne Befassung mit IKT-Risiken sind ein belastbarer Prüfungsnachweis dafür, dass die Verantwortung nicht wahrgenommen wird.
Alle Konten werden bestätigt, weil bestätigt werden muss. Auffällig viele aktive Konten, verwaiste Zugänge, administrative Rechte ohne Funktionsbezug.
Die Indikatoren existieren und sehen richtig aus, aber es gab nie eine Sitzung, in der eine Entscheidung daraus folgte.
Schwachstellen sind bekannt, aber es fehlt die Zuordnung zu Asset, Verantwortlichkeit und Behebungsfrist. Das Risiko bleibt ohne Eigentümer.
Logs werden gesammelt, aber Alarme sind nicht priorisiert, nicht beschrieben und nicht mit einem Bearbeitungsprozess verbunden.
Der Plan ist geschrieben und die Rollen benannt, aber niemand hat ihn je unter realistischen Bedingungen durchlaufen. Die erste Übung ist dann der Ernstfall.
Die Liste beschreibt wiederkehrende Muster aus Prüfungen; sie ist keine Aussage über ein bestimmtes Haus.
Selbstprüfung
Fünfzehn Fragen. Zählen Sie die Nein-Antworten: Jede einzelne ist eine Feststellung, die eine Prüfung mit hoher Wahrscheinlichkeit adressiert.
Diese Liste ersetzt keine Prüfung. Sie zeigt, wo eine Prüfung ansetzen würde.
Ablauf
Sechs Schritte. Sie wissen vorher, was auf Ihr Team zukommt – und wann Sie Einfluss nehmen können.
Prüfungsgegenstand, Zeitraum, Ansprechpartner und Berichtsweg werden schriftlich festgelegt. Hier entscheidet sich, ob die Prüfung ein Nachweis oder ein Streitfall wird.
Anforderungsliste vorab, mit Frist und benannter verantwortlicher Person. Ich frage das an, was ich tatsächlich auswerte – keine Sammelbestellung.
Entlang der tatsächlichen Abläufe, nicht entlang der Richtlinie. Entscheidend ist, was die Beteiligten tun, wenn es schwierig wird.
Stichproben an den Punkten, an denen Prozesse brechen können: Wiederherstellung, Berechtigungen, Meldung, Verträge. Jede Feststellung erhält eine Fundstelle.
Sie erhalten den Entwurf vor der Endfassung und können Tatsachen richtigstellen. Bleibt eine Meinungsverschiedenheit, wird sie als solche ausgewiesen – nicht weggeschrieben.
Bewertung nach Risiko, Empfehlung, Vereinbarung von Maßnahmen mit Frist und Verantwortlichkeit. Nachschau bis zum Nachweis der Umsetzung.
Nachweise
Prüfnachweise und Unabhängigkeit, nicht Selbstbeschreibung.
CISA (ISACA) und CIA (IIA) – die beiden Standardnachweise für IT-Revision und Interne Revision.
DORA-Zertifizierung bei einem offiziellen Anbieter. Der genaue Titel wird auf dieser Seite genannt, sobald er hier eingetragen ist [PRÜFEN].
Über 25 Jahre Infrastruktur, Betrieb und Architektur: Active Directory, Netzwerk, Cloud, Datenbanken, Sicherheitsbetrieb, Automatisierung. Ich prüfe Technik, die ich selbst aufgebaut habe – das verkürzt Interviews und macht Tests belastbar.
PRINCE2 (Practitioner und Trainer), ITIL V2/V3 (ServiceManager und Trainer), Scrum Master. Ich verstehe, warum Kontrollen im Projektalltag brechen – und prüfe deshalb an den Bruchstellen.
Ich prüfe aus der dritten Verteidigungslinie und setze die geprüften Maßnahmen nicht um. Beratung zu Methodik, Prüfungsplanung und Nachweisführung ist zulässig und sinnvoll; die Umsetzung technischer Maßnahmen, die Gegenstand meiner Prüfung wären, ist es nicht. Wo diese Grenze im Einzelfall liegt, kläre ich vor dem Auftrag schriftlich.
Risikoorientierte Planung, nachvollziehbare Stichproben, Feststellungen mit Fundstelle und Risikobewertung, Bericht in der Sprache des Adressaten. Grundlage sind die internationalen Standards des IIA und die deutschen Revisionsstandards des DIIR; bei prüfungsnahen Dienstleistungen ergänzend IDW PS 330, IDW PS 860 und IDW PS 951.
FAQ
Zwölf Fragen, die im Erstgespräch regelmäßig gestellt werden.
DORA richtet sich an eine breite Liste von Finanzunternehmen – unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, Kapitalverwaltungsgesellschaften und bestimmte Krypto-Dienstleister. Art. 2 regelt den Anwendungsbereich, Art. 4 erlaubt Vereinfachungen für kleine und nicht komplexe Institute. Die Einordnung ist zu dokumentieren, weil sie den Prüfungsumfang bestimmt.
DORA ist für die erfassten Finanzunternehmen die speziellere Regelung und verdrängt NIS2 insoweit. Für IKT-Drittdienstleister, die selbst nicht unter DORA fallen, kann NIS2 gelten. Beide Regelungen verfolgen unterschiedliche Adressaten – die Abgrenzung ist Teil der Prüfung.
Ja, aber gestaffelt. Die BaFin hat BAIT, KAIT, VAIT und ZAIT zum 17. Januar 2025 für die von DORA erfassten Institute abgelöst. Die BAIT wird vollständig zum 31. Dezember 2026 aufgehoben, weil durch das Finanzmarktdigitalisierungsgesetz ab dem 1. Januar 2027 weitere Institute DORA anwenden. Die MaRisk bleiben daneben relevant.
Ja. Art. 6 Abs. 5 DORA verlangt die Überprüfung durch unabhängige Prüfer oder die Interne Revision – in der Regel jährlich, bei kleinen und nicht komplexen Instituten im Abstand von drei Jahren. Ausnahmen für den Umfang sind möglich, nicht für die Zuständigkeit.
Alle vertraglichen Vereinbarungen über IKT-Dienstleistungen mit IKT-Drittdienstleistern, mit den Informationen nach Art. 28 Abs. 3 DORA. In der Praxis ist die Vollständigkeit das Problem, nicht das Format – Register, Vertragsverzeichnis und Beschaffungsdaten müssen zusammenpassen.
TLPT betrifft Institute, die nach der Bewertung der Aufsicht kritische oder wichtige Funktionen über IKT erbringen. In Deutschland folgt die Methodik dem TIBER-EU-Rahmenwerk, die operative Durchführung liegt bei der Deutschen Bundesbank, und die Aufsicht entscheidet über Umfang und Frequenz. Ob Ihr Haus betroffen ist, ergibt sich aus der Bewertung des Anwendungsbereichs – nicht aus Ihrer Selbsteinschätzung.
Das hängt von Größe, Anzahl der Standorte und Vorbereitungsstand ab. Eine belastbare Aussage lässt sich erst nach dem Erstgespräch und der Sichtung der Nachweise treffen. Seriös ist keine Zahl vor dieser Sichtung.
Ja, im Rahmen des Drittparteienrisikos – als Prüfung der Steuerung durch Sie und, wo vereinbart, mit Nachweisen des Dienstleisters (ISAE 3402, SOC 2, Zertifikate). Achten Sie darauf: Wer einen Dienstleister prüft und die Mängel behebt, verliert die Unabhängigkeit für die Folgeprüfung.
Bei Methodik, Prüfungsplanung, Nachweisstruktur und Berichtswesen: ja. Bei der Umsetzung der technischen Maßnahmen, die ich prüfe: nein. Diese Trennung ist keine Formalie; sie ist der Grund, warum der Bericht vor der Aufsicht trägt.
Als Co-Sourcing mit klarer Abgrenzung: ja. Die Verantwortung der Revision bleibt im Haus, und wo wirtschaftliche Prüfungen betroffen sind, sind die Grenzen nach IDW PS 330 zu beachten. Der Prüfungsplan wird gemeinsam festgelegt.
Sie erhalten den Entwurfsbericht vor der Endfassung und können Tatsachen richtigstellen. Bleibt eine unterschiedliche Bewertung, wird sie im Bericht als abweichende Auffassung ausgewiesen. Ein Bericht, der Streitpunkte glättet, ist wertlos.
Der Aufwand folgt dem Umfang. Ich nenne eine Spanne erst nach dem Erstgespräch und der Sichtung der wichtigsten Nachweise. Pauschalpreise ohne Kenntnis der Landschaft führen bei IT-Prüfungen regelmäßig zu Nachträgen.
Im ersten Gespräch klären wir, ob DORA auf Sie anwendbar ist, wo Ihr Prüfungsumfang liegt und ob ich der Richtige bin. Danach erhalten Sie eine Einschätzung und, falls sinnvoll, zwei Terminvorschläge für ein vertieftes Gespräch.
Keine Rechtsberatung. Diese Seite beschreibt Prüfungsleistungen und ersetzt keine rechtliche Bewertung des Einzelfalls.
Kontakt
Schreiben Sie die Situation in drei Sätzen. Ich antworte in der Regel innerhalb eines Werktags mit einer Einschätzung und zwei Terminvorschlägen.
