IKT-Risikokontrollfunktion auslagern
Wie sich die zweite Linie extern besetzen lässt: Mandat, Vertretung, Kontrollplan, Berichtswege und Rollenverteilung gegenüber dem Leitungsorgan.
Zur LeistungRollenabgrenzung nach DORA
IKT-Risikokontrollfunktion und CISO: Gemeinsamkeiten und Unterschiede
Beide Rollen befassen sich mit Informationssicherheit und IKT-Risiken. Nur eine von beiden ist aufsichtsrechtlich vorgeschrieben – und beide zugleich in einer Person zu bündeln, gelingt nur unter Bedingungen, die dokumentiert werden müssen.
Nach Art. 6 Abs. 4 DORA übertragen Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, die Zuständigkeit für das Management und die Überwachung des IKT-Risikos an eine Kontrollfunktion und stellen ein angemessenes Maß an Unabhängigkeit dieser Kontrollfunktion sicher, um Interessenkonflikte zu vermeiden. Der Chief Information Security Officer kommt in der Verordnung nicht vor: Die österreichische FMA stellt ausdrücklich fest, dass DORA keine CISO-Vorgaben enthält, die IKT-Risikokontrollfunktion aber durch den CISO wahrgenommen werden kann, sofern die geforderte Unabhängigkeit gewährleistet ist.
Damit ist die Ausgangslage klar: Der CISO ist eine interne Rollenbezeichnung, die IKT-Risikokontrollfunktion eine regulatorische Pflicht. Ob beides zusammenfällt, hängt nicht am Titel, sondern daran, welche Aufgaben die Person tatsächlich ausführt – und ob sie damit ihre eigene Arbeit überwachen würde.
- Die IKT-Risikokontrollfunktion ist Pflicht, die CISO-Rolle nicht.
- Beide Rollen können zusammenfallen, wenn die Unabhängigkeit gewahrt und begründet ist.
- Wer Sicherheitsmaßnahmen operativ umsetzt, kann deren Wirksamkeit nicht unabhängig beurteilen.
- Die letztendliche Verantwortung für das Management der IKT-Risiken trägt das Leitungsorgan.
Maßgebliche Vorschriften
- Art. 5 DORA
- Art. 6 Abs. 4 DORA
- Art. 6 Abs. 6 DORA
- Art. 6 Abs. 10 DORA
- Art. 28 DORA
Alle Anforderungen an die Rollenverteilung ergeben sich unmittelbar aus der Verordnung (EU) 2022/2554. Eine gesonderte nationale Konkretisierung für die IKT-Risikokontrollfunktion besteht für Anwender der DORA nicht. Rechtsstand dieser Seite: September 2026.
Was DORA regelt – und was sie offenlässt
Die Verordnung beschreibt eine Funktion und deren Unabhängigkeit. Alles Weitere ist Organisationsfreiheit des Finanzunternehmens – und genau dort entstehen die Abgrenzungsfragen zwischen Kontrollfunktion und CISO.
Geregelt
- Zuweisung der Zuständigkeit für Management und Überwachung des IKT-Risikos an eine Kontrollfunktion
- Angemessenes Maß an Unabhängigkeit dieser Funktion zur Vermeidung von Interessenkonflikten
- Angemessene Trennung von IKT-Risikomanagement, Kontrollfunktion und Interner Revision
- Drei Verteidigungslinien oder ein gleichwertiges internes Modell für Risikomanagement und Kontrolle
- Pflicht des Leitungsorgans, klare Aufgaben und Verantwortlichkeiten für alle IKT-bezogenen Funktionen festzulegen
Offengelassen
- Die Rolle des Chief Information Security Officer – DORA enthält dazu keine Vorgaben
- Stellenbezeichnung, Titel und Form der Benennung
- Ob die Funktion einer eigenen Organisationseinheit zugeordnet oder angebunden wird
- Umfang und Stellenanteil; beides folgt Größe, Risikoprofil und Komplexität des Hauses
- Ob eine Person mehrere IKT-bezogene Rollen wahrnimmt, solange die Unabhängigkeit trägt
Aus dieser Aufteilung folgt die Prüfungsfrage: Nicht „Haben Sie einen CISO?“, sondern „Wer überwacht das IKT-Risiko unabhängig – und woran ist die Unabhängigkeit belegbar?“
Sechs Gemeinsamkeiten
Die Überschneidungen sind der Grund, warum beide Rollen so häufig gleichgesetzt werden. Sie betreffen den Gegenstand der Arbeit, nicht die Rolle darin.
Gleicher Gegenstand
Beide befassen sich mit Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Systemen. Der Themenkatalog ist weitgehend deckungsgleich, von Zugriffsrechten über Schwachstellen bis zur Betriebskontinuität.
Berichterstattung nach oben
Beide berichten an die Geschäftsleitung. Das Leitungsorgan muss nach Art. 5 DORA ordnungsgemäß über schwerwiegende IKT-bezogene Vorfälle und deren Auswirkungen informiert werden – unabhängig davon, aus welcher Rolle die Information stammt.
Einbindung bei Vorfällen
Beide sind am Prozess für die Behandlung IKT-bezogener Vorfälle nach Art. 17 DORA beteiligt – die eine Rolle bei Erkennung und Behebung, die andere bei Klassifizierung, Bewertung und Vorbereitung der Meldung.
Bezug zu Drittdienstleistern
Beide beschäftigen sich mit IKT-Drittdienstleistern: mit Sicherheitsanforderungen und Schnittstellen die eine Rolle, mit Risikobewertung, Vertragsanforderungen nach Art. 30 DORA und Registerpflege die andere.
Fachliche Anforderungen
Beide Rollen brauchen technisches Verständnis und Kenntnis der Bedrohungslage. Die Qualifikationsprofile überschneiden sich stark – ein wesentlicher Grund, warum in kleineren Häusern dieselbe Person in Frage kommt.
Sensibilisierung
Beide wirken an Programmen zur Sensibilisierung für IKT-Sicherheit und an Schulungen zur digitalen operationalen Resilienz mit, für die das Leitungsorgan nach Art. 5 DORA angemessene Budgetmittel bereitstellen muss.
Die Unterschiede im Detail
Der Unterschied liegt nicht im Thema, sondern in der Rolle: Die eine Seite setzt Sicherheit um, die andere beurteilt unabhängig, ob die Umsetzung angemessen und wirksam ist. Daraus folgt alles Weitere – Rechtsgrundlage, Verteidigungslinie, Berichtsweg und die Frage, was passiert, wenn beide Aufgaben zusammenfallen.
| Kriterium | IKT-Risikokontrollfunktion | Chief Information Security Officer |
|---|---|---|
| Rechtsgrundlage | Art. 6 Abs. 4 DORA – verpflichtend für Finanzunternehmen, die keine Kleinstunternehmen sind | Keine Vorgabe in DORA; interne Rollenbezeichnung, die das Haus selbst ausgestaltet |
| Auftrag | Management und Überwachung des IKT-Risikos, kritische Würdigung der operativen Ebene | Umsetzung und Steuerung der Sicherheitsmaßnahmen im laufenden Betrieb |
| Verteidigungslinie | Zweite Linie | Je nach Zuschnitt erste oder zweite Linie – der entscheidende Prüfpunkt |
| Unabhängigkeit | Angemessenes Maß an Unabhängigkeit ausdrücklich gefordert, um Interessenkonflikte zu vermeiden | Nicht gefordert; operative Nähe zur IT ist Teil der Rolle |
| Verhältnis zur Internen Revision | Prüfungsgegenstand: Der IKT-Risikomanagementrahmen wird nach Art. 6 Abs. 6 DORA regelmäßig geprüft | Prüfungsgegenstand als Teil der operativen Prozesse |
| Berichtsweg | Unmittelbar zum Leitungsorgan, ohne Filterung durch die überwachte Einheit | Häufig über die IT- oder Technikleitung, teils direkt zur Geschäftsleitung |
| Typischer Konflikt | Wird operative Routine übernommen, entfällt die Grundlage für unabhängige Kontrollhandlungen | Beurteilung eigener Maßnahmen; Zielkonflikt zwischen Verfügbarkeit und Sicherheit |
| Auslagerbarkeit | Möglich; bei ausgelagerter Überprüfung bleibt das Finanzunternehmen nach Art. 6 Abs. 10 DORA uneingeschränkt verantwortlich | Möglich als operative Leistung; berührt die Pflicht aus Art. 6 Abs. 4 DORA nicht |
Die eine Zeile, auf die es ankommt
Alles hängt an der dritten Zeile. Wird der CISO operativ eingesetzt – Konfiguration, Änderungsfreigaben, Vorfallbearbeitung, Betrieb von Sicherheitswerkzeugen –, liegt die Rolle in der ersten Linie. Dieselbe Person kann dann nicht zugleich die Kontrollfunktion nach Art. 6 Abs. 4 DORA ausfüllen, weil sie ihre eigene Arbeit beurteilen würde. Ist der CISO dagegen als steuernde und überwachende Instanz ohne eigene Betriebsverantwortung angelegt, liegt er bereits in der zweiten Linie – dann ist die Bündelung der naheliegende Weg.
Vier Konstellationen aus der Praxis
Welche Variante trägt, hängt von Größe, IKT-Landschaft und vorhandener Besetzung ab. Alle vier sind mit DORA vereinbar, sofern die jeweilige Voraussetzung erfüllt und dokumentiert ist.
CISO in der zweiten Linie
Der CISO steuert und überwacht, ohne Betriebsverantwortung. Er nimmt die IKT-Risikokontrollfunktion mit wahr. Voraussetzung: keine operativen Aufgaben an den überwachten Systemen.
BündelungCISO operativ, Funktion getrennt
Der CISO arbeitet in der ersten Linie, die Kontrollfunktion wird gesondert besetzt – etwa im Risikocontrolling. Voraussetzung: getrennte Personen, getrennte Berichtswege.
TrennungBündelung mit anderer Kontrollfunktion
Die IKT-Risikokontrollfunktion wird gemeinsam mit einer weiteren Funktion der zweiten Linie wahrgenommen. Voraussetzung: Prüfung, ob sich die Aufgabenkreise konfliktfrei vereinbaren lassen.
Mehrere FunktionenExterne Besetzung
Die Kontrollfunktion wird ausgelagert, der CISO bleibt intern und operativ. Voraussetzung: Auslagerungsvertrag mit Berichtsweg, Informations- und Prüfungsrechten.
AuslagerungIn vier Schritten prüfen, ob Ihr CISO die Funktion übernehmen kann
Die Frage lässt sich nicht am Organigramm entscheiden, sondern nur an den tatsächlich ausgeführten Tätigkeiten.
1
Aufgaben erheben
Alle Tätigkeiten der Person auflisten und jeder Tätigkeit eine Verteidigungslinie zuordnen. Maßgeblich ist die gelebte Praxis, nicht die Stellenbeschreibung.
2
Konflikte bewerten
Für jede Tätigkeit der ersten Linie prüfen, ob sie später Gegenstand eigener Kontrollhandlungen wäre. Ergibt sich eine Selbstbeurteilung, muss die Aufgabe abgegeben oder die Funktion getrennt besetzt werden.
3
Berichtsweg und Ressourcen festlegen
Unmittelbaren Berichtsweg zum Leitungsorgan verankern und Zeitanteil, Zugriffsrechte und Budget so bemessen, dass die Überwachung tatsächlich stattfinden kann.
4
Ergebnis dokumentieren
Die Entscheidung mit Begründung in den IKT-Risikomanagementrahmen aufnehmen. Prüfer fragen nicht, ob die Funktion besetzt ist, sondern warum diese Besetzung konfliktfrei ist.
Sechs Fehlannahmen
Jede dieser Annahmen führt zu einer anderen Lücke in der Dokumentation.
„DORA schreibt einen CISO vor“
Tut sie nicht. Verlangt ist eine Kontrollfunktion mit angemessener Unabhängigkeit. Wer die CISO-Stelle als DORA-Pflicht führt, begründet sie mit einer Norm, die das nicht hergibt – und beantwortet die eigentliche Prüfungsfrage nach der Unabhängigkeit nicht.
„Wir haben einen CISO, also ist die Funktion besetzt“
Nur dann, wenn die Rolle die Unabhängigkeitsanforderung erfüllt. Ist der CISO operativ eingebunden, ist die Kontrollfunktion faktisch unbesetzt – auch wenn im Organigramm etwas anderes steht.
„Eine Doppelrolle ist grundsätzlich unzulässig“
Auch das trifft nicht zu. DORA verbietet keine Rollenbündelung, sondern verlangt ein angemessenes Maß an Unabhängigkeit. Ein CISO ohne Betriebsverantwortung kann die Funktion wahrnehmen.
„Ein ISMS nach ISO 27001 genügt“
Ein zertifiziertes Managementsystem ist eine gute Grundlage, ersetzt aber weder die Zuweisung der Kontrollfunktion noch die Governance-Pflichten des Leitungsorgans. Die Zertifizierung sagt nichts darüber aus, wer im Haus unabhängig überwacht.
„Die Interne Revision deckt das mit ab“
Die Revision ist die dritte Linie und prüft den IKT-Risikomanagementrahmen nach Art. 6 Abs. 6 DORA. Sie ersetzt die laufende Überwachung der zweiten Linie nicht und darf keine Managementverantwortung für die geprüften Prozesse übernehmen.
„Mit der Benennung ist es getan“
Die Benennung ist der Anfang. DORA verlangt einen dokumentierten IKT-Risikomanagementrahmen, dessen mindestens jährliche Überprüfung sowie Berichtswege, über die das Leitungsorgan tatsächlich entscheiden kann.
Einordnung in das Three-Lines-Modell
Beide Rollen lassen sich über eine einzige Frage sortieren: Führt sie Prozesse aus, überwacht sie sie, oder prüft sie unabhängig, ob Ausführung und Überwachung wirksam sind. Die erste Linie verantwortet Risiken im Tagesgeschäft, die zweite setzt den Rahmen und überwacht, die dritte prüft unabhängig und berichtet an Leitungsorgan und Aufsichtsorgan.
Die IKT-Risikokontrollfunktion gehört in die zweite Linie. Der operativ tätige CISO gehört in die erste, der steuernde und überwachende in die zweite. Die Interne Revision muss von beiden getrennt bleiben. Wie sich diese Trennung aufsetzen und belegen lässt, ist im Three-Lines-Modell im Einzelnen beschrieben.
Der Grundsatz gilt unabhängig davon, ob die Funktion intern besetzt oder ausgelagert wird: Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken (Art. 5 Abs. 2 Buchst. a DORA). Wird die Überprüfung der Einhaltung an gruppeninterne oder externe Unternehmen ausgelagert, bleibt das Finanzunternehmen dafür uneingeschränkt verantwortlich (Art. 6 Abs. 10 DORA). Die Auslagerung verlagert die Ausführung, nicht die Verantwortung.
Häufige Fragen zur Abgrenzung
Schreibt DORA einen CISO vor?
Nein. Die österreichische FMA stellt ausdrücklich fest, dass CISO-Vorgaben von der DORA-Verordnung nicht umfasst sind. Vorgeschrieben ist nach Art. 6 Abs. 4 DORA, dass Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, die Zuständigkeit für Management und Überwachung des IKT-Risikos an eine Kontrollfunktion übertragen und ein angemessenes Maß an Unabhängigkeit sicherstellen, um Interessenkonflikte zu vermeiden. Wie diese Funktion im Haus heißt und wo sie angebunden ist, gibt die Verordnung nicht vor.
Was unterscheidet die IKT-Risikokontrollfunktion vom CISO?
Der Gegenstand ist ähnlich, die Rolle nicht. Die IKT-Risikokontrollfunktion überwacht das IKT-Risiko unabhängig, würdigt die Arbeit der operativen Ebene kritisch und berichtet unmittelbar an das Leitungsorgan; sie ist nach Art. 6 Abs. 4 DORA verpflichtend und der zweiten Verteidigungslinie zugeordnet. Der CISO ist eine interne Rollenbezeichnung ohne aufsichtsrechtliche Vorgabe und in der Praxis meist für die Umsetzung und Steuerung von Sicherheitsmaßnahmen zuständig. Je nach Zuschnitt liegt er in der ersten oder in der zweiten Linie – dieser Punkt entscheidet über die Vereinbarkeit beider Rollen.
Kann eine Person beide Rollen wahrnehmen?
Ja, sofern das nach Art. 6 Abs. 4 DORA geforderte angemessene Maß an Unabhängigkeit gewahrt bleibt; die FMA hat dies ausdrücklich so eingeordnet. Praktisch scheitert es an der Aufgabenverteilung: Wer Sicherheitsmaßnahmen operativ umsetzt, Änderungen freigibt oder Vorfälle selbst bearbeitet, überwacht anschließend die eigene Arbeit. Zu prüfen sind die tatsächlich ausgeführten Tätigkeiten, der Berichtsweg zum Leitungsorgan sowie Zeitanteil, Zugriffsrechte und Budget. Das Ergebnis dieser Prüfung gehört mit Begründung in die Dokumentation des IKT-Risikomanagementrahmens.
Wo verläuft die Grenze zur Internen Revision?
Die Interne Revision ist die dritte Linie. Nach Art. 6 Abs. 6 DORA ist der IKT-Risikomanagementrahmen von Finanzunternehmen, die keine Kleinstunternehmen sind, regelmäßig einer internen Revision durch Revisoren zu unterziehen, die über ausreichendes Wissen, ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie über eine angemessene Unabhängigkeit verfügen. Daraus folgt: Weder der CISO noch die IKT-Risikokontrollfunktion können ihre eigene Arbeit prüfen. Auf Grundlage der Feststellungen ist nach Art. 6 Abs. 7 DORA ein förmliches Follow-up-Verfahren festzulegen.
Wie ist die Funktion beim IKT-Drittparteienrisiko eingebunden?
Über den gesamten Lebenszyklus: Vorabanalyse und Kritikalitätseinstufung, Sorgfaltsprüfung bei der Auswahl, Prüfung der wesentlichen Vertragsbestimmungen nach Art. 30 DORA, Pflege des Informationsregisters nach Art. 28 DORA sowie laufende Überwachung von Dienstleistungsgüte, Informationssicherheit und Vorfallmeldungen. Zu beachten ist, dass Finanzunternehmen, die keine Kleinstunternehmen sind, nach Art. 5 Abs. 3 DORA zusätzlich eine Funktion zur Überwachung dieser Vereinbarungen einrichten oder ein Mitglied der Geschäftsleitung dafür benennen müssen. Wie sich diese Funktion zur IKT-Risikokontrollfunktion verhält, sollte schriftlich geregelt sein.
Wer trägt die Verantwortung für das IKT-Risikomanagement?
Das Leitungsorgan. Nach Art. 5 Abs. 2 Buchst. a DORA trägt es die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens; dazu gehören unter anderem die Festlegung der Risikotoleranzschwelle, die Genehmigung der Strategie für die digitale operationale Resilienz und der Leitlinie zu IKT-Drittdienstleistern sowie die Zuweisung angemessener Budgetmittel. Wird die Überprüfung der Einhaltung der IKT-Risikomanagement-Anforderungen an gruppeninterne oder externe Unternehmen ausgelagert, bleibt das Finanzunternehmen dafür uneingeschränkt verantwortlich (Art. 6 Abs. 10 DORA). Die Auslagerung verlagert die Ausführung, nicht die Verantwortung. Stand der dargestellten Rechtslage ist September 2026.
Weiterführende Einordnungen
Three-Lines-Modell
Erste, zweite und dritte Verteidigungslinie im Detail, mit den Schutzmechanismen bei Mandaten über mehrere Linien.
Zur EinordnungDORA Register Operations
Das Informationsregister zu IKT-Drittdienstleistern nach Art. 28 DORA aufbauen und laufend pflegen.
Zur LeistungC-Level Compliance Seminare
Nach Art. 5 Abs. 4 DORA halten die Mitglieder des Leitungsorgans ihre IKT-Kenntnisse aktiv auf dem neuesten Stand, unter anderem durch Schulungen.
Zu den SeminarenNicht der Titel entscheidet, sondern die Trennung
Ob die Rolle in Ihrem Haus CISO oder IKT-Risikokontrollfunktion heißt, ist aufsichtsrechtlich zweitrangig. Geprüft wird, ob die Aufgaben klar zugeordnet sind, ob die überwachende Stelle nicht ihre eigene Arbeit beurteilt und ob das Leitungsorgan auf dieser Grundlage entscheiden kann. Wer die Zuordnung einmal sauber erhebt und begründet, spart sich die Diskussion in jeder folgenden Prüfung.
Über den Autor
Achim Schulz
Geschäftsführer S+P Compliance und S+P Unternehmerforum · Bestellte IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 DORA
Achim Schulz ist als Compliance Officer und CISO bestellt – für Banken, Wertpapierinstitute und weitere BaFin-regulierte Institute. Dazu gehört das Mandat als IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 DORA. Über S+P Compliance verantwortet er ausgelagerte Kontrollfunktionen der zweiten Verteidigungslinie. Die zugehörigen Rollen- und Berechtigungskonzepte stimmt er mit Instituten, Abschlussprüfern und Interner Revision ab.
LinkedIn-Profil → · Redaktion & Experten →