DORA für IT-Dienstleister: Was Banken jetzt von ihren Dienstleistern verlangen
Seit DORA gilt, erhalten IT- und IKT-Dienstleister zunehmend umfangreiche Sicherheitsfragebögen ihrer Bank- und Versicherungskunden. Wer die Anforderungen kennt und belastbare Nachweise vorlegen kann, verbessert seine Chancen auf eine reibungslose Zusammenarbeit sowie weitere Aufträge. Wer improvisiert, riskiert Nachforderungen, Verzögerungen oder sogar den Verlust eines Auftrags.
Neue Dienstleister, welche bisher nicht im Bereich Financial Services oder in anderen hochregulierten Bereichen tätig waren, nehmen die Regulierung der Dienstleister erstmal als unscheinbare E-Mail aus dem Einkauf oder Auslagerungsmanagement einer Bank wahr: Im Anhang ein Fragebogen über unserer Erfahrung meist 15 bis 30 Seiten, überschrieben mit „Selbstauskunft Informationssicherheit“ oder "Angaben zur Gewährleistung der Resilienz". Dazu die Aufforderung, ihn bis Monatsende vollständig ausgefüllt und unterschrieben zurückzusenden, selbstverständlich einschließlich der entsprechenden Nachweise zu den Einzelfragen.
Speziell für bisher nicht in der Branche oder im GRC-Umfeld tätige IT-Dienstleister ist das der Moment, in dem die europäische DORA-Verordnung plötzlich ganz konkret wird, obwohl sie selbst nicht zu den unmittelbar von DORA erfassten Finanzunternehmen gehören.
Wir bei der ACONO Advisory kennen solche Sicherheitsabfragen aus eigener Erfahrung und begleiten Kunden auf beiden Seiten; wir erstellen sowohl für unsere Kunden die Logiken und Fragen für die Auslagerungen, als auch als Dienstleister der für mehrere Financial Services Unternehmen tätig ist. In diesem Beitrag zeigen wir, welche DORA-Anforderungen IT-Dienstleister erfüllen müssen, was Banken in Sicherheitsfragebögen prüfen und wie Sie sich auf Audits und Vertragsverhandlungen vorbereiten können.
Warum DORA auch IT-Dienstleister betrifft
Der Digital Operational Resilience Act (DORA), die EU-Verordnung 2022/2554, gilt seit dem 17. Januar 2025 für zahlreiche Finanzunternehmen. Dazu gehören insbesondere Banken, Versicherungen, Zahlungsinstitute, Wertpapierfirmen und weitere regulierte Finanzmarktteilnehmer.
Ein wesentliches Ziel der Verordnung ist die Stärkung der digitalen operationalen Resilienz. Finanzunternehmen müssen dafür nicht nur ihre eigenen IKT-Risiken steuern, sondern auch operationelle Risiken aus der Zusammenarbeit mit externen IT / IKT-Dienstleistern berücksichtigen.
Die regulatorische Verantwortung für das IKT-Drittparteienrisikomanagement liegt final beim Finanzunternehmen. Über vertragliche Anforderungen, Sicherheitsprüfungen, Auditrechte und Nachweispflichten entstehen daraus konkrete Verpflichtungen für die beauftragten IT-Dienstleister.
Welche IT Dienstleister sind von DORA betroffen?
Betroffen sind beispielsweise Anbieter von: (Liste nicht abschließend)
- Cloud- und Hosting-Dienstleistungen
- Softwarelösungen und SaaS-Plattformen
- IT-Betrieb und Managed Services
- Softwarewartung und technischem Support
- IT-Infrastruktur und Rechenzentrumsleistungen
- IT-Beratung mit laufenden technischen Dienstleistungen
- Beratungsunternehmen, die im Kontext einer Softwarelösung beraten
Besonders wichtig ist der letzte Punkt, da dieser immer mehr Beratungsunternehmen aber auch Solo-Selbstständige betrifft, die im Kontext (z.B. Design, Konzeption, methodische Auslegung) einer Softwarelösung tätig sind, die sich aber selbst nicht als "IT-Dienstleister" bezeichnen würden.
Nicht jede Beratungsleistung ist automatisch eine IKT Dienstleistung, nicht jede Softwaredienstleistung eine kritische IKT Dienstleistung im Sinne von DORA, entscheidend sind Art und Inhalt der erbrachten Leistung, sowie der Bezug und die Einstufung des konkreten Produktes (unterstützt es eine kritisch-wichtige Funktion? [KWF]).
Was ist mit KWF Dienstleistern?
Gerade im Bereich der KWF werden die Anforderungen umfangreich, denn eine IKT-Dienstleistung die eine kritische oder wichtige Funktion des Finanzunternehmens unterstützt sollte genauer auf potentielle Risiken für das Finanzinstitut geprüft werden. Für solche Vertragsbeziehungen sieht DORA bspw. zusätzliche Anforderungen an Sicherheitsmaßnahmen, Prüfungsrechte, Notfallvorsorge und Ausstiegsstrategien vor.
DORA-Sicherheitsfragebogen: Was Banken von IT-Dienstleistern verlangen
Viele Sicherheitsfragebögen, umgangssprachlich bei Banken "DORA Anhänge" genannt, orientieren sich an etablierten Anforderungen der Informationssicherheit, etwa ISO 27001, BSI IT-Grundschutz, Landesbankenstandard, oder technischen und organisatorischen Maßnahmen aus dem Datenschutz. Ergänzt werden sie um konkrete Fragen zum IKT-Risikomanagement, zur Betriebskontinuität und zur Zusammenarbeit mit dem Finanzunternehmen im Bezug auf das Finanzunternehmen sowie die ausgelagerte Dienstleistung.
Üblich ist die Prüfung von Finanzinstituten in nachfolgend aufgeführten Bereichen, welche teilweise auch im anderen Kontext als bei DORA IKT Dienstleistern geprüft werden (z.B. Unterstützung von KRITIS Unternehmen):
1. Informationssicherheitsorganisation
Gibt es einen Informationssicherheitsbeauftragten oder eine vergleichbare verantwortliche Funktion?
Sind Sicherheitsrichtlinien dokumentiert, Verantwortlichkeiten festgelegt und Mitarbeitende regelmäßig geschult?
Auch Vertraulichkeitsverpflichtungen und die Überprüfung sicherheitsrelevanter Rollen können Bestandteil der Selbstauskunft sein.
2. ISO-27001-Zertifizierung und Sicherheitsnachweise
Ist das Unternehmen nach ISO 27001 zertifiziert?
Welche Prüfstelle hat die Zertifizierung durchgeführt?
Welche Beanstandungen gab es?
Welchen Geltungsbereich umfasst das Zertifikat und wie lange ist es gültig?
Je nach Dienstleistung fragen Finanzunternehmen außerdem nach BSI-C5-Testaten, internen und externen Auditberichten oder vergleichbaren Nachweisen.
3. Zutritts-, Zugangs- und Zugriffskontrollen
Wie wird die physische Sicherheit gewährleistet, Schließanlagen, 24/7 Wachschutz, Kameraüberwachung?
Wie werden IT-Systeme vor unberechtigtem Zugriff geschützt?
Typische Fragen betreffen Multi-Faktor-Authentifizierung, Berechtigungskonzepte, administrative Zugriffe sowie die regelmäßige Überprüfung und Entziehung von Zugriffsrechten. Es wird gleichermaßen auf die physische sowie IT-Sicherheit abgestellt.
4. Datenschutz und Verschlüsselung
Findet eine Auftragsdatenverarbeitung (ADV) statt?
Wie werden Daten bei der Übertragung und Speicherung geschützt?
Welche Verschlüsselungsverfahren kommen zum Einsatz?
Auch die sichere Löschung von Daten, der Umgang mit mobilen Endgeräten und der Schutz technischer Schnittstellen können relevant sein.
Interessant ist für Dienstleister die Einstufung zur Auftragsdatenverarbeitung, da diese bei gleichen Leistungen je nach Auftraggeber abweichen kann, dementsprechend gibt es hier unterschiedliche Kontrollfragen.
5. Protokollierung und Fernwartung
Welche sicherheitsrelevanten Ereignisse werden protokolliert und ausgewertet?
Wie sind administrative Fernzugriffe auf Systeme des Auftraggebers abgesichert?
Gibt es z.B. technische Sicherheitsmechanismen wie IP-Filtering?
Die Bank möchte nachvollziehen können, ob sicherheitskritische Aktivitäten erkannt und untersucht werden können.
6. Business Continuity und Notfallmanagement
Existieren dokumentierte Backup- und Wiederherstellungsverfahren?
Werden Notfallpläne regelmäßig getestet?
Neben dem Ausfall einzelner Systeme sind auch Szenarien wie Stromausfälle, Cyberangriffe, Standortausfälle oder der Ausfall wichtiger Dienstleister zu berücksichtigen. Je nach Ort des Dienstleisters empfehlen wir unseren Financial Services Kunden die Aufnahme von Kriegsszenarien in die Notfallplanung.
7. Incident Management
Wie werden Sicherheitsvorfälle erkannt, bewertet, dokumentiert und eskaliert?
Besonders wichtig ist die Frage, wie schnell und über welche Kommunikationswege der IT-Dienstleister seinen Finanzkunden über einen relevanten IKT-Vorfall informiert. Wir empfehlen hier allen IKT Dienstleistern die Meldewege und Meldeformate intern vorab zu definieren und zu testen, so dass Sie im Falle eines Incidents schnell und routiniert reagieren können.
8. Unterauftragnehmer und Lieferkette
Welche Subdienstleister werden eingesetzt?
Welche Leistungen erbringen diese und wie werden Sicherheitsanforderungen vertraglich weitergegeben?
In welchem Rang steht welcher Dienstleister?
Insbesondere bei Cloud- und Managed-Service-Modellen ist eine nachvollziehbare Übersicht der relevanten Lieferkette wichtig.
Entscheidend ist nicht allein, ob eine Frage mit „Ja“ beantwortet wird. Finanzunternehmen müssen die Antworten bewerten können, und die Lieferketten intern für Ihr Informationsregister nachvollziehen können. Deshalb verlangen sie häufig Richtlinien, Protokolle, Zertifikate oder andere geeignete Nachweise.
Wer seine Informationssicherheit systematisch dokumentiert, reduziert den Aufwand bei wiederkehrenden Sicherheitsabfragen erheblich.
Welche Vertragsanforderungen stellt DORA an IT-Dienstleister?
DORA Artikel 30 Wesentliche Vertragsbestimmungen
Der Sicherheitsfragebogen ist nur ein Teil der regulatorischen Anforderungen.
Artikel 30 DORA definiert Mindestinhalte für Verträge zwischen Finanzunternehmen und IKT-Drittdienstleistern.
Für vertragliche Vereinbarungen über IKT-Dienstleistungen müssen unter anderem folgende Punkte geregelt werden:
- Leistungsbeschreibung: Welche IKT-Dienstleistungen werden erbracht und welche Service Levels gelten?
- Leistungs- und Datenstandorte: In welchen Ländern oder Regionen werden Leistungen erbracht und Daten verarbeitet? Wie werden Standortänderungen angekündigt?
- Informationssicherheit: Welche Regelungen sichern Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten?
- Datenrückgabe: Wie wird der Zugang zu Daten sowie deren Wiederherstellung und Rückgabe beispielsweise bei Vertragsbeendigung oder Insolvenz sichergestellt?
- Unterstützung bei Sicherheitsvorfällen: Wie unterstützt der Dienstleister das Finanzunternehmen bei IKT-Vorfällen und zu welchen vereinbarten Konditionen?
- Zusammenarbeit mit Aufsichtsbehörden: Welche Mitwirkungs- und Informationspflichten bestehen?
- Kündigungsregelungen: Welche Kündigungsrechte und Fristen sind vereinbart?
- Sicherheitsschulungen: Unter welchen Bedingungen nimmt der Dienstleister an entsprechenden Programmen des Finanzunternehmens teil?
Teilweise werden darüber hinaus ergänzende Fragen zur Solvabillität des Unternehmens, Qualifikation der Mitarbeiter, oder Detailfragen zu Standorten gestellt.
Zusätzliche Anforderungen bei kritischen oder wichtigen Funktionen
Unterstützt die IKT-Dienstleistung eine kritische oder wichtige Funktion, gelten weitere vertragliche Mindestanforderungen.
Dazu gehören insbesondere:
- Präzise, messbare Service Levels
- Erweiterte Informations- und Berichtspflichten
- Implementierte und getestete Notfallpläne
- Geeignete IKT-Sicherheitsmaßnahmen
- Mitwirkung an bedrohungsorientierten Penetrationstests (TLPT), soweit diese nach DORA durchgeführt werden
- Zugangs-, Prüfungs- und Auditrechte des Finanzunternehmens und der zuständigen Aufsicht
- Regelungen zur Unterstützung der Ausstiegsstrategie einschließlich eines angemessenen Übergangszeitraums
Die Anforderungen ergeben sich insbesondere aus Artikel 30 Absatz 3 DORA sowie den einschlägigen technischen Regulierungsstandards. Die BaFin stellt hierzu eine Übersicht der DORA-Mindestvertragsinhalte bereit (Link)
Für IT-Dienstleister bedeutet das: Was im Sicherheitsfragebogen zugesichert wird, muss mit den tatsächlichen Prozessen, den verfügbaren Nachweisen und den vertraglich übernommenen Verpflichtungen übereinstimmen.
Wo IT-Dienstleister bei DORA-Anforderungen typischerweise scheitern
Aus unserer Erfahrung in der Konzeption und Bewertung von Dienstleisterassessments für Banken entstehen Schwierigkeiten bei Sicherheitsabfragen häufig nicht durch das vollständige Fehlen technischer Schutzmaßnahmen. Vielmehr mangelt es an der systematischen Dokumentation, klaren Verantwortlichkeiten oder nachvollziehbaren Nachweisen.
Für die ACONO ist das Kerngeschäft die Unterstützung von hochregulierten Mandaten, nicht nur im Financial Services Bereich unter DORA, auch unter der MDR für Medizinprodukte, sowie div. anderer regulatorischen Vorgaben. Wir haben unser Unternehmen und unsere internen Prozesse konsequent auf Nachweisfähigkeit und Dokumentation ausgerichtet. IT-Dienstleistern welche erstmalig Aufträge von Banken oder anderen regulierten Unternehmen erhalten fehlen nicht nur diese Prozesse, sondern entsprechend auch die Nachweise.
Folgende Themen sind dann meist nicht unbekannt:
Sicherheitsmaßnahmen sind vorhanden, aber nicht dokumentiert
Mitarbeiter werden regelmäßig geschult, aber die Teilnahme wird nicht nachgehalten.
Zugriffsrechte werden überprüft, jedoch ohne dokumentierte Ergebnisse.
Solange niemand einen Nachweis verlangt, fallen diese Lücken kaum auf.
Bei einer DORA-Sicherheitsabfrage werden diese dann zum Problem, ohne Nachweis keine Konformität.
Unsere Empfehlung: Etablieren Sie eine zentrale Nachweisverwaltung, in der Richtlinien, Prüfprotokolle und Sicherheitsmaßnahmen strukturiert abgelegt und regelmäßig aktualisiert werden. Nachweise sind auch für durchgeführte Schulungen relevant!
Fehlende Maßnahmen werden nicht begründet
Nicht jeder IT-Dienstleister benötigt dieselbe Sicherheitsorganisation wie ein internationaler Konzern. Allerdings genügt es nicht, eine Sicherheitsanforderung pauschal mit „Nein“ zu beantworten.
Wenn eine bestimmte Maßnahme nicht implementiert wurde, sollte dies nachvollziehbar begründet werden. Gegebenenfalls müssen alternative Sicherheitsmaßnahmen oder ein konkreter Umsetzungsplan dokumentiert werden.
Eine risikobasierte Begründung ersetzt allerdings keine verbindlich vorgeschriebene oder vertraglich vereinbarte Maßnahme.
„Nicht relevant“ wird nicht erklärt
Wer keine eigenen Rechenzentren betreibt, keine physischen Datenträger transportiert oder keinen administrativen Zugriff auf Kundensysteme hat, sollte dies klar dokumentieren.
Eine kurze Beschreibung des eigenen Betriebsmodells kann zahlreiche Rückfragen vermeiden.
Cloud-Sicherheit wird vollständig dem Anbieter zugeschrieben
Die Aussage „Unsere Systeme laufen bei Microsoft Azure“ oder "wir sind komplett auf Google Cloud Plattform" (GCP) ist keine vollständige Antwort auf eine Sicherheitsabfrage. Auch bei der Nutzung etablierter Cloud-Plattformen verbleiben Sicherheitsverantwortlichkeiten beim IT-Dienstleister.
Dazu gehören beispielsweise Identitäts- und Berechtigungsmanagement, sichere Konfigurationen, Protokollierung und der Umgang mit Sicherheitsvorfällen.
Wichtig ist eine dokumentierte Abgrenzung der Verantwortlichkeiten zwischen Cloud-Anbieter und Dienstleister. Weiter ist es möglich hier detaillierter abzugrenzen, wenn auf den eigenen Systemen keine Leistungen für die Kunden erbracht werden.
Notfallmanagement konzentriert sich ausschließlich auf IT-Ausfälle
Ein Backup-Konzept allein ist noch kein vollständiges Business Continuity Management.
Finanzunternehmen können auch Informationen darüber verlangen, wie ein Dienstleister mit Szenarien bei längeren Standortausfällen, Cyberangriffen, Kommunikationsstörungen oder dem Ausfall von Schlüsselpersonen handlungsfähig bleibt.
Geeignete Notfallkonzepte sollten deshalb technische und organisatorische Abhängigkeiten berücksichtigen.
Fehlende Abgrenzung bei der Beantwortung
Wir empfehlen die Leistung im Hinblick auf die gestellten Fragebögen nochmals abzugrenzen. Die Fragebögen sind häufig pauschal formuliert, und nicht zwingend auf das Geschäftsmodell, die Größe oder die erbrachte Leistung des Dienstleisters zutreffend.
ISO 27001 und DORA: Reicht eine Zertifizierung aus?
ISO 27001 ist nicht DORA Compliance!
Eine ISO-27001-Zertifizierung ist für IT-Dienstleister im Finanzsektor ein wichtiger Nachweis für ein systematisch aufgebautes Informationssicherheitsmanagementsystem (ISMS) sowie die externe Auditierung des Systems.
Sie kann zahlreiche Fragen zu Risikomanagement, Zugriffskontrollen, Sicherheitsrichtlinien, Schulungen und kontinuierlicher Verbesserung beantworten.
Für Finanzunternehmen ist ein gültiges Zertifikat insbesondere dann hilfreich, wenn der zertifizierte Geltungsbereich die bezogenen Dienstleistungen abdeckt.
Achtung: Eine ISO-27001-Zertifizierung bedeutet jedoch nicht automatisch, dass sämtliche DORA-Anforderungen erfüllt sind.
Wo DORA zusätzliche Anforderungen zur ISO27001 stellt
DORA adressiert unter anderem regulatorisch vorgegebene Vertragsinhalte, die Zusammenarbeit bei Sicherheitsvorfällen, Prüfungsrechte sowie besondere Anforderungen bei IKT-Dienstleistungen für kritische oder wichtige Funktionen.
Diese Aspekte müssen unabhängig von einer vorhandenen ISO-27001-Zertifizierung betrachtet werden.
ISO 27001 schafft damit eine wichtige Grundlage für die Erfüllung von Sicherheitsanforderungen, ersetzt aber keine spezifische DORA-Prüfung.
Auch ohne Zertifizierung lohnt es sich für IT-Dienstleister, das eigene Informationssicherheitsmanagement an ISO 27001 auszurichten.
Damit lassen sich Sicherheitsmaßnahmen systematischer dokumentieren, Nachweise effizienter bereitstellen und die Voraussetzungen für eine spätere Zertifizierung verbessern.
Sie möchten Ihr Informationssicherheitsmanagement nach ISO27001 aufbauen - erfahren Sie mehr über unsere ISO 27001 Beratung.
DORA-Checkliste für IT-Dienstleister: Diese Nachweise sollten Sie vorbereiten
Wer regelmäßig Sicherheitsfragebögen von Banken oder Versicherungen erhält, sollte die wichtigsten Dokumente nicht bei jeder Anfrage neu zusammenstellen müssen.
Ein strukturiertes Nachweispaket erleichtert die Zusammenarbeit mit Finanzkunden und reduziert den Aufwand bei wiederkehrenden Prüfungen.
Anbei sind typische Nachweise aufgeführt, welche von den Banken oder Financial Services Unternehmen von Ihren IKT Dienstleistern gefordert werden, soweit jeweils bei dem Dienstleister sowie der erbrachten Dienstleistung anwendbar:
- Informationssicherheit: ISMS-Richtlinie, Sicherheitskonzept, Verantwortlichkeiten
- Risikomanagement: Risikoanalyse, Risikoregister, Maßnahmenplan
- Mitarbeitersicherheit: Schulungsnachweise, Vertraulichkeitsvereinbarungen
- Zugriffsschutz: Berechtigungskonzept, MFA-Regelungen, Prüfprotokolle
- Technische Sicherheit: Patchmanagement, Schwachstellenmanagement, Sicherheitskonfigurationen
- Incident Management: Vorfallprozess, Meldewege, Eskalationsmatrix
- Business Continuity: Notfallpläne, Backup-Strategie, Wiederherstellungstests
- Lieferantenmanagement: Unterauftragnehmerübersicht, Sicherheitsanforderungen
- Zertifizierungen: ISO-27001-Zertifikate, relevante Testate und Auditberichte
- Vertragsmanagement: Vereinbarte Sicherheits-, Prüfungs- und Meldepflichten
Diese Übersicht stellt keine abschließende DORA-Pflichtenliste dar. Der konkrete Umfang hängt insbesondere von der Dienstleistung, der Risikoeinschätzung und den vertraglichen Anforderungen des Finanzkunden ab.
Fünf Schritte zur Vorbereitung auf die nächste Sicherheitsabfrage
1. Kunden und Dienstleistungen einordnen
Prüfen Sie, welche Ihrer Kunden regulierte Finanzunternehmen sind und welche IKT-Dienstleistungen Sie für diese erbringen.
Klären Sie gemeinsam mit Ihren Kunden, ob Ihre Leistungen kritische oder wichtige Funktionen unterstützen. Die entsprechende regulatorische Bewertung liegt beim Finanzunternehmen.
2. Standardisierte Sicherheitsauskunft erstellen
Dokumentieren Sie Ihre Sicherheitsorganisation, technische Schutzmaßnahmen und betriebliche Prozesse in einer einheitlichen Selbstauskunft.
Halten Sie die zugehörigen Nachweise zentral vor und aktualisieren Sie diese regelmäßig und anlassbezogen (z.B. bei Vorfällen).
3. Abweichungen identifizieren und Maßnahmen priorisieren
Vergleichen Sie Ihre bestehenden Prozesse mit den typischen Anforderungen Ihrer Finanzkunden.
Dokumentieren Sie identifizierte Lücken und legen Sie geeignete Maßnahmen mit klaren Verantwortlichkeiten fest.
4. DORA-Vertragsanforderungen prüfen
Bewerten Sie, welche vertraglichen Verpflichtungen hinsichtlich Auditrechten, Informationspflichten, Sicherheitsvorfällen, Unterauftragnehmern und Exit-Regelungen auf Ihr Unternehmen zukommen können.
Prüfen Sie insbesondere, ob Sie diese Verpflichtungen organisatorisch und technisch erfüllen können.
5. Laufende Nachweisführung und eigenes Sicherheitsmangementsystem etablieren
Sicherheitsabfragen sollten nicht zu einem wiederkehrenden Sonderprojekt werden.
Definieren Sie deshalb Verantwortlichkeiten für die Pflege von Richtlinien, Prüfprotokollen, Risikobewertungen und Maßnahmenständen.
Ein geeignetes Governance-, Risk- und Compliance-System kann dabei helfen, Kontrollen, Nachweise und offene Maßnahmen zentral zu verwalten.
DORA-Anforderungen mit GRC-Software effizient verwalten
Gerade IT-Dienstleister mit mehreren regulierten Kunden stehen häufig vor einem organisatorischen Problem: Unterschiedliche Finanzunternehmen stellen ähnliche Sicherheitsfragen, verwenden jedoch unterschiedliche Fragebögen und Nachweisformate.
Wer diese Anforderungen ausschließlich über Excel-Tabellen, E-Mails und individuelle Dokumentensammlungen bearbeitet, verursacht unnötigen Verwaltungsaufwand.
Ein strukturiertes GRC-System kann helfen, wiederkehrende Anforderungen effizienter zu bearbeiten. Damit lassen sich beispielsweise:
- Sicherheitsanforderungen und interne Kontrollen zentral dokumentieren,
- Verantwortlichkeiten und Maßnahmen nachvollziehbar zuordnen,
- Risiken und deren Behandlung systematisch verwalten,
- Nachweise für unterschiedliche Kunden wiederverwenden,
- offene Maßnahmen und Überprüfungstermine überwachen.
ACONO unterstützt Unternehmen bei der Einführung und Weiterentwicklung geeigneter GRC-Lösungen, beispielsweise TopEase.
Auf Wunsch begleiten wir nicht nur die Implementierung, sondern übernehmen im Rahmen unserer GRC Managed Services auch die laufende Administration, Betreuung und Weiterentwicklung der eingesetzten Plattform. Dies ermöglicht Unternehmen regulatorische Anforderungen dauerhaft in ihre operativen Prozesse zu integrieren, statt DORA-Fragebögen immer wieder als isolierte Tätigkeiten zu betrachten.
Fazit: DORA-Compliance kann zum Wettbewerbsvorteil werden
DORA ist für IT-Dienstleister eine zusätzliche regulatorische Herausforderung. Sie bietet aber auch die Chance, sich gegenüber Kunden aus dem Financial Services Sektor wie Banken und Versicherungen als verlässlicher und professioneller Partner zu positionieren.
Wer über dokumentierte Sicherheitsprozesse, nachvollziehbare Kontrollen und belastbare Nachweise verfügt, kann Sicherheitsabfragen schneller bearbeiten und Vertragsverhandlungen besser vorbereiten.
Eine umfangreiche zusätzliche Compliance-Organisation ist dafür nicht zwingend erforderlich, der Großteil des benötigten Wissens sowie die notwendigen Informationen sind meist schon im Unternehmen vorhanden. Im Vordergrund steht, bestehende Sicherheitsmaßnahmen systematisch zu erfassen, erkannte Lücken zu schließen und mittels kontinuierlicher und strukturierter Dokumentation die laufende Nachweisführung effizient zu organisieren.
Die wirksamste Vorbereitung auf den nächsten DORA-Fragebogen ist aus unserer Sicht eine etablierte und funktionierende Sicherheits- und Governance-Organisation.
DORA Beratung für IT Dienstleister
Abkürzungsverzeichnis:
ADV - Auftragsdatenverarbeitung
CIF - Critical Important Function
KWF - Kritisch wichtige Function