Zum Hauptinhalt springen

Zweite Verteidigungslinie nach Art. 6 Abs. 4 DORA

Auslagerung der IKT-Risikokontrollfunktion

S+P Compliance übernimmt die IKT-Risikokontrollfunktion als unabhängige zweite Linie – getrennt von IT-Betrieb und Interner Revision, mit dokumentierten Kontrollen und einem Berichtsweg direkt zum Leitungsorgan.

Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, übertragen die Zuständigkeit für das Management und die Überwachung des IKT-Risikos an eine Kontrollfunktion und stellen ein angemessenes Maß an Unabhängigkeit dieser Kontrollfunktion sicher, um Interessenkonflikte zu vermeiden. Zugleich ist für eine angemessene Trennung von IKT-Risikomanagement, Kontrollfunktion und Interner Revision zu sorgen – nach dem Modell der drei Verteidigungslinien oder einem gleichwertigen internen Modell (Art. 6 Abs. 4 DORA).

Genau an dieser Trennung scheitert es in kleineren und mittleren Häusern häufig: Wer die IKT-Systeme betreibt, kann sie nicht unabhängig kontrollieren. Eine externe Besetzung der zweiten Linie löst dieses Problem strukturell. Sie verlagert allerdings nur die Ausführung: Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken (Art. 5 Abs. 2 Buchst. a DORA).

  • Benannte Funktion mit Funktions- und Stellenbeschreibung, eingearbeiteter Vertretung aus dem Mandatsteam und definierten Ressourcen.
  • Strukturelle Unabhängigkeit von IT-Betrieb, Entwicklung und Wartung – bei Mandaten über mehrere Linien durch personell getrennte Teams je Verteidigungslinie.
  • IKT-Risikoinventar, Kontrollplan und Berichte, die Sie Ihrer Aufsicht auf Anfrage unmittelbar vorlegen können.
  • Vorbereitung der Entscheidungen des Leitungsorgans, ohne dass dessen Verantwortung nach Art. 5 DORA verlagert wird.

Auslagerung anfragenLeistungsumfang ansehen

Rechtsgrundlagen und Prüfungsnachweise

  • Art. 5 DORA
  • Art. 6 Abs. 4 DORA
  • Art. 6 Abs. 10 DORA
  • Art. 28 DORA
  • Del. VO (EU) 2024/1773

Prüfungshinweis: Risikoinventar, Kontrollhandlungen, Feststellungen und Berichte werden versioniert und mit Zeitstempel abgelegt. Nach Art. 6 Abs. 3 DORA müssen Sie der Aufsicht auf Anfrage vollständige und aktuelle Informationen zu Ihrem IKT-Risikomanagementrahmen vorlegen können.

Wer eine Kontrollfunktion auslagert, muss den Dienstleister überwachen und diese Überwachung belegen können. S+P Compliance stellt dafür geprüfte Nachweise bereit, die Ihr Abschlussprüfer, Ihre Interne Revision und Ihr Auslagerungsmanagement unmittelbar verwerten können. Sie verkürzen Ihre eigene Prüfungshandlung, ersetzen sie aber nicht: Die Auslagerung verlagert die Ausführung, nicht die Verantwortung.

IDW PS 951

Das interne Kontrollsystem von S+P Compliance ist nach dem Prüfungsstandard des IDW für Dienstleistungsunternehmen geprüft. Der Bericht beschreibt Kontrollziele, Kontrollen und deren Wirksamkeit und kann in Ihre Beurteilung der Auslagerung einbezogen werden.

Auslagerungsprüfung

ISAE 3402

Für Häuser mit ausländischer Muttergesellschaft oder international tätigem Gruppenprüfer liegt der Nachweis nach dem internationalen Pendant vor. Damit entfällt die Diskussion darüber, ob ein rein nationaler Standard für die Gruppenprüfung ausreicht.

International

ISO 9001

Das Qualitätsmanagementsystem ist zertifiziert. Prozesse, Zuständigkeiten, Dokumentenlenkung und Korrekturmaßnahmen sind festgeschrieben und werden regelmäßig auditiert – die Grundlage dafür, dass vereinbarte Reaktionszeiten und Berichtsrhythmen eingehalten werden.

Qualitätsmanagement

ISO 27001

Das Informationssicherheits-Managementsystem ist zertifiziert. Bei der Auslagerung einer IKT-Kontrollfunktion werden Schwachstellenberichte, Vorfalldokumentationen und Risikobewertungen außerhalb Ihres Hauses verarbeitet – ein Punkt, den Prüfer regelmäßig aufgreifen.

Informationssicherheit

ESG-Rating

S+P Compliance verfügt über ein bestätigtes ESG-Rating. Das erleichtert Ihnen die Bewertung im Rahmen der Lieferantenprüfung und die Aufnahme des Dienstleisters in Ihre eigene Nachhaltigkeitsberichterstattung.

Nachhaltigkeit

Bereitstellung der Unterlagen

Prüfungsberichte und Zertifikate stellen wir auf Anforderung bereit – auch direkt gegenüber Ihrem Abschlussprüfer oder Ihrer Internen Revision. Die Bereitstellung wird im Auslagerungsvertrag als Informations- und Prüfungsrecht verankert.

Auf Anforderung

Was ausgelagert wird – und was beim Leitungsorgan bleibt

DORA regelt die Grenze ausdrücklich: Lagert ein Finanzunternehmen die Überprüfung der Einhaltung der IKT-Risikomanagement-Anforderungen aus, bleibt es dafür uneingeschränkt verantwortlich (Art. 6 Abs. 10 DORA). Wir arbeiten deshalb nach einem festen Grundsatz: S+P Compliance bereitet vor und berät, Ihr Leitungsorgan entscheidet.

S+P Compliance bereitet vor und berät

  • Aufbau und Pflege des IKT-Risikoinventars und der Bewertungsmethodik
  • Entwürfe für Strategie, Leit- und Richtlinien sowie Kontrollpläne
  • Kontrollhandlungen, Feststellungen und kritisches Hinterfragen der ersten Linie
  • Klassifizierung IKT-bezogener Vorfälle und Vorbereitung der Meldungen
  • Quartals- und Ad-hoc-Berichte an das Leitungsorgan

Das Leitungsorgan entscheidet und verantwortet

  • Festlegung der Risikotoleranzschwelle für IKT-Risiken (Art. 6 Abs. 8 Buchst. b DORA)
  • Genehmigung der Strategie für die digitale operationale Resilienz
  • Freigabe und Abgabe der Meldung schwerwiegender IKT-bezogener Vorfälle (Art. 19 DORA)
  • Genehmigung der Leitlinie zu Vereinbarungen mit IKT-Drittdienstleistern
  • Zuweisung angemessener Budgetmittel und Risikoakzeptanz

Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken (Art. 5 Abs. 2 Buchst. a DORA). Die Auslagerung verlagert die Ausführung, nicht die Verantwortung.

Warum Häuser die zweite Linie extern besetzen

Drei Gründe tauchen in den Gesprächen immer wieder auf – jeder für sich lösbar, in der Summe der Anlass für eine Auslagerung.

  1. Funktionstrennung, die intern nicht darstellbar ist

    In kleineren Häusern liegen IT-Betrieb, Informationssicherheit und Risikocontrolling häufig bei denselben ein bis zwei Personen. Wer Systeme betreibt oder Änderungen freigibt, kann dieselben Systeme nicht unabhängig kontrollieren. DORA verlangt aber genau diese Trennung von IKT-Risikomanagement, Kontrollfunktion und Interner Revision. Eine externe Besetzung der zweiten Linie löst den Konflikt organisatorisch, ohne dass eine zusätzliche interne Stelle geschaffen werden muss.

    Art. 6 Abs. 4 DORA – drei Verteidigungslinien

  2. Nachweispflichten, die laufend bedient werden müssen

    Der IKT-Risikomanagementrahmen ist mindestens einmal jährlich zu dokumentieren und zu überprüfen – zusätzlich nach schwerwiegenden Vorfällen sowie nach aufsichtlichen Feststellungen oder Erkenntnissen aus Resilienztests. Hinzu kommen das Informationsregister zu IKT-Drittdienstleistern und die Berichtswege an das Leitungsorgan. Das ist keine Projektaufgabe, sondern ein Betrieb mit festen Terminen.

    Art. 6 Abs. 5 DORA – jährliche Überprüfung

  3. Ein Rahmen, der sich weiter bewegt

    Neben DORA und den ergänzenden technischen Regulierungsstandards wirkt die 9. MaRisk-Novelle vom 30. Juni 2026 auf die IT- und Auslagerungsanforderungen ein; bestimmte Auslagerungssachverhalte, die unter DORA fallen, sind dort nicht mehr Teil des Anwendungsbereichs. Beide Regelwerke sauber aufeinander abzustimmen, ist Daueraufgabe – ein ausgelagertes Mandat bündelt diese Beobachtung an einer Stelle.

    30.06.2026 – 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA))

Sechs Punkte, an denen es in der Praxis klemmt

Die folgenden Befunde tauchen in Prüfungen und Gap-Analysen regelmäßig auf. Sie beschreiben typische Muster, keine konkreten Häuser.

Kontrollfunktion ohne Unabhängigkeit

Die Funktion ist benannt, aber bei einer Person angesiedelt, die zugleich IKT-Systeme betreibt oder Änderungen freigibt. Damit ist der Interessenkonflikt angelegt, den Art. 6 Abs. 4 DORA gerade vermeiden will – und im Prüfungsgespräch schwer zu erklären.

Risikoinventar ohne Anschluss

IKT-Assets sind erfasst, aber nicht mit Geschäftsprozessen, kritischen oder wichtigen Funktionen und Drittdienstleistern verknüpft. Damit lässt sich weder eine belastbare Risikobewertung noch eine Auswirkungsanalyse ableiten.

Vorfallprozess ohne Fristensteuerung

Vorfälle werden aufgenommen, aber Klassifizierung, Wesentlichkeitsprüfung und Meldefristen sind nicht durchgängig geregelt. Unter Zeitdruck entscheidet dann die Verfügbarkeit einzelner Personen darüber, ob eine Meldung rechtzeitig auf den Weg kommt.

Informationsregister als Einmalprojekt

Das Register zu den Vereinbarungen mit IKT-Drittdienstleistern wurde einmal befüllt und danach nicht mehr gepflegt. Vertragsänderungen, neue Unterauftragnehmer und Wechsel bei kritischen oder wichtigen Funktionen laufen daran vorbei.

Berichte ohne Bewertung

Das Leitungsorgan erhält Statuslisten statt einer Einschätzung: Welche Risiken liegen über der Toleranzschwelle, welche Maßnahmen sind überfällig, welche Entscheidung wird erwartet. Ohne diese Zuspitzung ist die Governance-Pflicht aus Art. 5 DORA nur formal erfüllt.

Zweite und dritte Linie vermischt

Dieselbe Stelle steuert Risiken und prüft anschließend die eigene Steuerung. Die interne Revision des IKT-Risikomanagementrahmens nach Art. 6 Abs. 6 DORA verlangt aber ausreichende Unabhängigkeit von der kontrollierenden Einheit.

Leistungsumfang der Auslagerung

Der Umfang wird im Auslagerungsvertrag festgelegt. Sie können die Funktion vollständig übertragen oder einzelne Bausteine ergänzend zu einer internen Besetzung beauftragen.

Mandat als IKT-Risikokontrollfunktion

Benannte Funktion mit fester Ansprechperson und geregelter Vertretung.

  • Benennung einer namentlich bestimmten Person mit Nachweis der fachlichen Eignung
  • Funktions- und Stellenbeschreibung einschließlich der erforderlichen Ressourcen
  • Organisatorische und funktionale Trennung von Entwicklung, Betrieb und Wartung Ihrer IKT-Systeme
  • Unmittelbare und uneingeschränkte Berichtsfähigkeit an die Geschäftsleitung
  • Feste Vertretungsregelung mit eingearbeiteter zweiter Person aus dem Mandatsteam
  • Abgrenzung zu Interner Revision, Informationssicherheitsbeauftragtem und Datenschutzbeauftragtem
  • Meldepflicht von Mitarbeitenden und IT-Dienstleistern gegenüber der Funktion vertraglich verankert
  • Übergabedokumentation bei Beginn und bei Beendigung des Mandats

Abgrenzung: S+P Compliance stellt die Funktion und deren Vertretung gemeinsam als Mandat. Eine reine Stellvertretung für eine intern besetzte IKT-Risikokontrollfunktion bieten wir nicht an. Bestehen im selben Haus weitere S+P-Mandate in der ersten oder dritten Linie, werden Teams, Berechtigungen und Berichtswege getrennt geführt; eine Person übernimmt nicht zwei Linien im selben Mandat.

IKT-Risikomanagementrahmen und Strategie

Ein Rahmen, der Teil Ihres Gesamtrisikomanagements ist – nicht ein Regelwerk daneben.

  • Aufbau und Dokumentation des Rahmens als Bestandteil des Gesamtrisikomanagements
  • Entwurf der Strategie für die digitale operationale Resilienz nach Art. 6 Abs. 8 DORA
  • Vorschlag für Ziele der Informationssicherheit, Leistungsindikatoren und Risikokennzahlen
  • Methodischer Vorschlag zur Risikotoleranzschwelle für IKT-Risiken
  • Abgleich mit Notfallmanagement, Auslagerungsmanagement und Risikoberichterstattung
  • Mindestens jährliche Überprüfung sowie anlassbezogen nach schwerwiegenden Vorfällen
  • Aufbereitung des Überprüfungsberichts für die zuständige Behörde auf Anfrage
  • Abgrenzung zu MaRisk und weiteren institutsspezifischen Vorgaben

Abgrenzung: Die Toleranzschwelle für IKT-Risiken und die Strategie für die digitale operationale Resilienz legt das Leitungsorgan fest und genehmigt sie (Art. 5 Abs. 2 Buchst. d DORA). Wir liefern Methodik, Datenbasis und Entscheidungsvorlage.

Risikoinventar, Kontrollen und Maßnahmenverfolgung

Die eigentliche Arbeit der zweiten Linie: hinterfragen, prüfen, nachhalten.

  • Aufbau und Pflege des IKT-Risikoinventars mit Bezug zu kritischen oder wichtigen Funktionen
  • Identifizierung, Bewertung und laufende Überwachung von IKT- und Cyberrisiken
  • Kritische Würdigung der Risikobewertungen und Kontrollen der ersten Linie
  • Risikoorientierter Kontrollplan mit dokumentierten Kontrollhandlungen
  • Findings-Tracker mit Fristen, Verantwortlichkeiten und Eskalationsstufen
  • Überwachung der Umsetzung beschlossener Maßnahmen bis zur Erledigung
  • Risikoanalysen von IKT-Altsystemen und Bewertung nach größeren Änderungen
  • Neutrale Beschreibung eingesetzter Systeme ohne Bindung an einen Anbieter

IKT-bezogene Vorfälle und Meldewesen

Klare Trennung zwischen Aufbereitung, Bewertung und Meldung.

  • Mitwirkung am Prozess für die Behandlung IKT-bezogener Vorfälle nach Art. 17 DORA
  • Klassifizierung von Vorfällen und Cyberbedrohungen nach den geltenden Kriterien
  • Prüfung, ob die Schwelle für einen schwerwiegenden Vorfall erreicht ist
  • Entwurf der Erst-, Zwischen- und Abschlussmeldung mit Fristenüberwachung
  • Ad-hoc-Information des Leitungsorgans bei erheblicher Auswirkung
  • Nachbereitung mit Ursachenanalyse und Ableitung von Maßnahmen
  • Auswertung wiederkehrender Vorfallmuster für das Berichtswesen
  • Dokumentation des gesamten Vorgangs in prüfbarer Form

Abgrenzung: S+P Compliance klassifiziert den Vorfall und bereitet die Meldung vor. Die Freigabe und die Abgabe der Meldung schwerwiegender IKT-bezogener Vorfälle an die zuständige Behörde nach Art. 19 DORA verantwortet Ihr Haus.

IKT-Drittparteienrisiko und Informationsregister

Der gesamte Lebenszyklus – von der Vorabanalyse bis zur Ausstiegsstrategie.

  • Analyse vor Vertragsschluss einschließlich Kritikalitätseinstufung und Konzentrationsrisiko
  • Sorgfaltsprüfung bei Auswahl und Bewertung von IKT-Drittdienstleistern
  • Prüfung der wesentlichen Vertragsbestimmungen nach Art. 30 DORA
  • Aufbau und laufende Pflege des Informationsregisters nach Art. 28 DORA
  • Bewertung von Unterauftragsvereinbarungen und Standorten der Leistungserbringung
  • Laufende Überwachung von Dienstleistungsgüte, Informationssicherheit und Vorfallmeldungen
  • Prüfung der Ausstiegsstrategien und Übergangsregelungen
  • Aufbereitung von Registerauszügen für Anfragen der Aufsicht

Abgrenzung: Die Leitlinie zu Vereinbarungen mit IKT-Drittdienstleistern genehmigt das Leitungsorgan (Art. 5 Abs. 2 Buchst. h DORA); über Abschluss und Kündigung einzelner Verträge entscheidet Ihr Haus.

Berichterstattung, Tests und Sensibilisierung

Berichte, mit denen das Leitungsorgan tatsächlich entscheiden kann.

  • Quartalsberichte zur IKT-Risikolage mit Bewertung und Handlungsempfehlung
  • Ad-hoc-Berichte bei wesentlichen Änderungen der Risikolage
  • Aufbereitung der Berichtsinhalte für Aufsichtsorgan und Prüfer
  • Koordinierung von Tests der digitalen operationalen Resilienz nach Kapitel IV DORA
  • Auswertung von Testergebnissen und Überführung in den Maßnahmenplan
  • Begleitung des Follow-up-Verfahrens zu Feststellungen der Internen Revision
  • Sensibilisierungs- und Schulungsinhalte zu IKT-Risiken für Mitarbeitende
  • Fachliche Zuarbeit für die Schulung des Leitungsorgans nach Art. 5 Abs. 4 DORA

Auslagerungsvertrag und laufende Steuerung

Eine Auslagerung wird nicht durch die Leistung tragfähig, sondern durch ihre Steuerung. Die folgenden vier Elemente regeln wir vor dem Start.

Vertrag und Unabhängigkeit

Leistungsumfang, Berichtsweg und die Trennung von Entwicklung, Betrieb und Wartung werden schriftlich fixiert. Bei Mandaten über mehrere Verteidigungslinien kommt ein Rollen- und Berechtigungskonzept hinzu, das die Trennung belegbar macht.

Informations- und Prüfungsrechte

Vereinbart werden Zugriffs-, Auskunfts- und Prüfungsrechte für Ihr Haus, die Interne Revision, den Abschlussprüfer und die Aufsicht – einschließlich der Zusammenarbeit bei Vor-Ort-Prüfungen.

Vertretung und Erreichbarkeit

Neben der von S+P Compliance benannten Person ist eine eingearbeitete Vertretung aus demselben Mandatsteam vertraglich hinterlegt. Erreichbarkeitsfenster und Eskalationswege sind Bestandteil der Vereinbarung.

Exit und Rückverlagerung

Für Kündigung, Wechsel oder Rückverlagerung liegt ein Verfahren vor: Datenherausgabe, Übergabe von Risikoinventar und Findings-Tracker sowie Einarbeitung der Nachfolge sind vorab beschrieben.

Vier Einsatzmodelle

Welches Modell passt, hängt von Größe, Risikoprofil, IKT-Landschaft und vorhandener interner Besetzung ab. Die Modelle lassen sich im Zeitverlauf wechseln. Eine reine Stellvertretung für eine intern besetzte Funktion gehört nicht zum Angebot – wir übernehmen die Funktion entweder als Mandat oder unterstützen fachlich ohne Benennung.

Vollmandat

S+P Compliance stellt die IKT-Risikokontrollfunktion und deren Vertretung. Das Leitungsorgan behält die Genehmigungs- und Entscheidungsrechte, die es nach Art. 5 DORA nicht abgeben kann.

Zweite Linie

Kombiniertes Mandat

Die Funktion wird gemeinsam mit einer weiteren Kontrollfunktion übertragen, etwa der MaRisk-Compliance-Funktion. Ob eine Bündelung für Ihr Haus zulässig und konfliktfrei ist, prüfen wir vor der Benennung.

Mehrere Funktionen

Interim

Befristete Besetzung bei Vakanz, Nachbesetzung oder Aufbau der Funktion, verbunden mit strukturierter Übergabe von Risikoinventar, Kontrollplan und offenen Feststellungen an die interne Nachfolge.

Übergangszeitraum

Fachliche Zuarbeit

Unterstützung einzelner Aufgaben – etwa Informationsregister, Kontrollplan oder Vorfallklassifizierung – ohne Benennung als Kontrollfunktion oder Vertretung, ergänzend zu einer bestehenden internen Besetzung.

Ohne Benennung

Mandate über mehrere Verteidigungslinien

S+P Compliance ist in allen drei Verteidigungslinien tätig: operative Unterstützung in der ersten Linie, Kontrollfunktionen in der zweiten Linie und Interne Revision in der dritten. Innerhalb des Hauses sind diese Bereiche mit eigenständigen Teams, getrennten Berechtigungen und getrennten Berichtswegen besetzt. Eine Person übernimmt nicht zwei Linien im selben Mandat.

Damit lassen sich mehrere Linien für dasselbe Institut abdecken. Wo S+P Compliance zugleich die IKT-Risikokontrollfunktion und die Interne Revision stellt, wird die Konstellation im Einzelfall geprüft: Der Prüfungsumfang der Revision klammert die eigene Kontrollfunktion aus oder wird durch eine unabhängige Instanz abgedeckt. Die gewählte Lösung wird vor Mandatsbeginn schriftlich festgehalten – die Interne Revision prüft in keinem Fall die eigene Leistung.

Die Systematik und die Schutzmechanismen sind im Three-Lines-Modell im Einzelnen beschrieben.

In vier Schritten zur ausgelagerten Funktion

Der Zeitbedarf hängt davon ab, wie vollständig Risikoinventar, Register und Dokumentation bereits vorliegen.

1

Anforderungen klären

Geschäftsmodell, IKT-Landschaft, Drittdienstleister, bestehende Besetzung und offene Feststellungen werden aufgenommen. Ergebnis ist eine Bestandsaufnahme mit Prioritäten.

2

Gap-Analyse und Angebot

Wir bewerten Abdeckung, Unabhängigkeit und Schnittstellen gegen die Anforderungen aus Kapitel II DORA und legen ein Angebot mit Leistungsumfang, Reaktionszeiten und Berichtsrhythmus vor.

3

Vertrag, Benennung, Governance

Auslagerungsvertrag, Funktions- und Stellenbeschreibung sowie Benennung werden abgeschlossen. Berichtswege und Meldepflichten gegenüber der Funktion werden intern bekannt gemacht.

4

Betrieb, Kontrolle, Bericht

Laufender Betrieb mit dokumentierten Kontrollen, Registerpflege, Quartals- und Ad-hoc-Berichten sowie jährlicher Überprüfung des IKT-Risikomanagementrahmens.

Rollenverteilung bei haftungsrelevanten Entscheidungen

Vier Vorgänge entscheiden im Prüfungsfall darüber, ob eine Auslagerung sauber aufgesetzt war. Für jeden dieser Vorgänge halten wir schriftlich fest, wer aufbereitet, wer berät und wer entscheidet. Diese Zuordnung ist Bestandteil des Auslagerungsvertrags und wird nicht im Tagesgeschäft ausgehandelt.

Der Grundsatz gilt durchgängig: S+P Compliance bereitet vor und berät, das Leitungsorgan entscheidet. Auch bei ausgelagerter Überprüfung bleibt Ihr Haus uneingeschränkt verantwortlich (Art. 6 Abs. 10 DORA) – die Auslagerung verlagert die Ausführung, nicht die Verantwortung.

Vorgang S+P Compliance bereitet vor und berät Entscheidung und Verantwortung im Institut Anknüpfungspunkt
Resilienzstrategie und Risikotoleranzschwelle Entwurf der Strategie, Methodik zur Schwellenbestimmung, Kennzahlenvorschlag Festlegung der Toleranzschwelle sowie Genehmigung der Strategie durch das Leitungsorgan Art. 5 Abs. 2 Buchst. d, Art. 6 Abs. 8 Buchst. b DORA
Schwerwiegende IKT-bezogene Vorfälle Klassifizierung, Wesentlichkeitsprüfung, Meldeentwurf, Fristenüberwachung Freigabe und Abgabe der Meldung an die zuständige Behörde Art. 17 bis 19 DORA
Vereinbarungen mit IKT-Drittdienstleistern Vorabanalyse, Vertragsprüfung, Registerpflege, laufende Überwachung Genehmigung der Leitlinie sowie Entscheidung über Abschluss und Kündigung Art. 5 Abs. 2 Buchst. h, Art. 28, Art. 30 DORA
Feststellungen und Maßnahmen Aufbereitung der Feststellungen, Maßnahmenvorschlag, Nachverfolgung der Umsetzung Genehmigung des IKT-Revisionsplans, Entscheidung über Maßnahmen und Risikoakzeptanz Art. 5 Abs. 2 Buchst. f, Art. 6 Abs. 6 und 7 DORA

Passt eine Auslagerung zu Ihrer Konstellation?

Im ersten Gespräch klären wir Anwendungsbereich, bestehende Besetzung der zweiten Linie und offene Feststellungen aus der letzten Prüfung. Ergebnis ist eine Einschätzung, welches Einsatzmodell trägt und welche Entscheidungen beim Leitungsorgan bleiben müssen.

Erstgespräch anfragenEinsatzmodelle vergleichen

Was sich damit im Haus verändert

Unabhängigkeit strukturell belegbar

Die zweite Linie ist personell von IT-Betrieb, Entwicklung und Wartung getrennt. Die Trennung steht im Vertrag und muss nicht im Einzelfall begründet werden.

Funktionstrennung

Funktion durchgängig besetzt

Benannte Person und Vertretung kommen aus demselben Mandatsteam, sind eingearbeitet und erreichbar – auch in Urlaubs- und Krankheitszeiten.

Kontinuität

Auskunftsfähig gegenüber der Aufsicht

Risikoinventar, Kontrollnachweise, Registerauszüge und Überprüfungsbericht liegen in einer Form vor, die auf Anfrage kurzfristig herausgegeben werden kann.

Dokumentation

Planbarer Aufwand

Leistungsumfang und Vergütung sind vertraglich definiert. Rekrutierung, Einarbeitung und laufende Fortbildung entfallen als Einzelposten.

Kalkulierbar

Register bleibt aktuell

Das Informationsregister zu IKT-Drittdienstleistern wird laufend gepflegt statt vor einer Abfrage rekonstruiert – einschließlich Unterauftragsvergaben und Vertragsänderungen.

Drittparteienrisiko

Klare Rollen

Wer aufbereitet, wer berät und wer entscheidet, ist schriftlich geregelt. Das reduziert Rückfragen in Revision und Prüfung.

Governance

Für wen die Auslagerung in Frage kommt

Adressiert sind Finanzunternehmen im Anwendungsbereich der DORA-Verordnung, bei denen es sich nicht um Kleinstunternehmen handelt. Für Unternehmen unter dem vereinfachten IKT-Risikomanagementrahmen nach Art. 16 DORA gelten abweichende Anforderungen; das klären wir vorab.

  • Kreditinstitute
  • Wertpapierinstitute
  • Zahlungsinstitute
  • E-Geld-Institute
  • Kapitalverwaltungsgesellschaften
  • Kryptoverwahrer und Kryptodienstleister
  • FinTechs mit KWG- oder ZAG-Erlaubnis
  • Zweigniederlassungen ausländischer Institute
  • Versicherungs- und Rückversicherungsunternehmen

Weitere Leistungen von S+P Compliance

Die IKT-Risikokontrollfunktion lässt sich mit weiteren Kontrollfunktionen und operativen Leistungen kombinieren. Alle Mandate folgen derselben Rollenlogik: Ausführung extern, Verantwortung im Institut.

DORA

DORA Register Operations

Aufbau und laufende Pflege des Informationsregisters zu IKT-Drittdienstleistern, einschließlich Registerauszügen für Aufsichtsanfragen.

Zur Leistung
Governance

Three-Lines-Modell

Wie sich erste, zweite und dritte Verteidigungslinie sauber voneinander abgrenzen lassen – die Grundlage der Anforderung aus Art. 6 Abs. 4 DORA.

Zur Leistung
Kontrollfunktion

Auslagerung Compliance Officer

Compliance-Funktion nach AT 4.4.2 MaRisk und § 80 WpHG – häufig kombiniert mit der IKT-Risikokontrollfunktion.

Zur Leistung
Dritte Verteidigungslinie

Auslagerung Interne Revision

Unabhängige Prüfungen nach risikoorientiertem Prüfungsplan – als dritte Linie mit eigenem Team, getrennt von der Kontrollfunktion der zweiten Linie.

Zur Leistung
Kontrollfunktion

Auslagerung Geldwäsche Officer

Geldwäscheprävention nach § 6 und § 7 GwG, mit Verdachtsmeldewesen und Transaktionsmonitoring.

Zur Leistung
Technologie

Compliance Technology Services

Auswahl, Einführung und Betrieb von Compliance-Systemen – anbieterneutral bewertet und an Ihre Prozesse angebunden.

Zur Leistung
Erste Verteidigungslinie

First Line Services

Operative Unterstützung in der ersten Linie, etwa bei Registerpflege und Nachweisdokumentation – mit eigenem Team, getrennt von der Kontrollfunktion.

Zur Leistung
Steuerung

Compliance Cockpit

Kennzahlen, Fristen und offene Maßnahmen aus allen Kontrollfunktionen in einer Übersicht für Geschäftsleitung und Aufsichtsorgan.

Zur Leistung
Leitungsorgan

C-Level Compliance Seminare

Schulungen für Geschäftsleitung und Aufsichtsorgan – auch zur Pflicht, IKT-Kenntnisse aktiv auf dem neuesten Stand zu halten (Art. 5 Abs. 4 DORA).

Zur Leistung
Übersicht

S+P Compliance Package

Alle auslagerbaren Beauftragten- und Kontrollfunktionen im Überblick, mit den jeweiligen Rollen- und Entscheidungsgrenzen.

Zur Übersicht

Häufige Fragen zur Auslagerung der IKT-Risikokontrollfunktion

Was macht die IKT-Risikokontrollfunktion nach DORA?

Sie übernimmt das Management und die Überwachung des IKT-Risikos als zweite Verteidigungslinie: Aufbau und Pflege des IKT-Risikoinventars, Bewertung und laufende Überwachung von IKT- und Cyberrisiken, kritische Würdigung der Risikobewertungen und Kontrollen der ersten Linie, Mitwirkung an Vorfallbehandlung und Meldeprozess, Überwachung des IKT-Drittparteienrisikos sowie Berichterstattung an das Leitungsorgan. Grundlage ist Art. 6 Abs. 4 DORA; der IKT-Risikomanagementrahmen selbst ergibt sich aus Art. 6 Abs. 1 und 2 DORA.

Für welche Unternehmen ist die Funktion verpflichtend?

Nach Art. 6 Abs. 4 DORA trifft die Pflicht Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt. In der Praxis betrifft das Kreditinstitute, Wertpapierinstitute, Zahlungs- und E-Geld-Institute, Kapitalverwaltungsgesellschaften, Kryptodienstleister, FinTechs mit KWG- oder ZAG-Erlaubnis, Zweigniederlassungen ausländischer Institute sowie Versicherungs- und Rückversicherungsunternehmen im Anwendungsbereich der Verordnung. Unternehmen, die dem vereinfachten IKT-Risikomanagementrahmen nach Art. 16 DORA unterliegen, sind von einzelnen dieser Anforderungen ausgenommen – ob das für Ihr Haus gilt, prüfen wir vorab.

Wie wird die geforderte Unabhängigkeit sichergestellt?

DORA verlangt ein angemessenes Maß an Unabhängigkeit der Kontrollfunktion, um Interessenkonflikte zu vermeiden, sowie eine angemessene Trennung von IKT-Risikomanagement, Kontrollfunktion und Interner Revision nach dem Modell der drei Verteidigungslinien oder einem gleichwertigen internen Modell. Bei einer externen Besetzung ist die Trennung von Entwicklung, Betrieb und Wartung Ihrer IKT-Systeme personell vorhanden und wird im Auslagerungsvertrag festgehalten – zusammen mit dem unmittelbaren Berichtsweg an die Geschäftsleitung. Übernimmt S+P Compliance zugleich operative IKT- oder Revisionsaufgaben in Ihrem Haus, wird die Vereinbarkeit vor der Benennung geprüft und dokumentiert.

Worin unterscheidet sich die Funktion von Interner Revision und Informationssicherheitsbeauftragtem?

Die IKT-Risikokontrollfunktion ist die zweite Linie: Sie steuert und überwacht laufend. Die Interne Revision ist die dritte Linie und unterzieht den IKT-Risikomanagementrahmen nach Art. 6 Abs. 6 DORA einer regelmäßigen Prüfung – dieselbe Person darf deshalb nicht beide Rollen wahrnehmen. S+P Compliance kann beide Linien für dasselbe Institut stellen, weil sie intern mit eigenständigen Teams, getrennten Berechtigungen und getrennten Berichtswegen besetzt sind; der Prüfungsumfang der Revision wird dann so zugeschnitten, dass keine Selbstprüfung entsteht, oder eine unabhängige Prüfungsinstanz eingesetzt. Der Informationssicherheitsbeauftragte ist in DORA nicht eigenständig geregelt; nach Auffassung der Aufsicht ähnelt die IKT-Risikokontrollfunktion dem Informationssicherheitsbeauftragten aus BAIT und VAIT in Stellung und Unabhängigkeit, ist aber nicht identisch ausgestaltet. Eine gemeinsame Wahrnehmung ist denkbar, solange die Unabhängigkeit nach Art. 6 Abs. 4 DORA gewahrt bleibt.

Bleibt die Verantwortung bei Auslagerung im Haus?

Ja. Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken (Art. 5 Abs. 2 Buchst. a DORA). Lagert ein Finanzunternehmen die Überprüfung der Einhaltung der IKT-Risikomanagement-Anforderungen an gruppeninterne oder externe Unternehmen aus, bleibt es dafür uneingeschränkt verantwortlich (Art. 6 Abs. 10 DORA). Nicht übertragbar sind insbesondere die Festlegung der Risikotoleranzschwelle, die Genehmigung der Strategie für die digitale operationale Resilienz und der Leitlinie zu IKT-Drittdienstleistern, die Zuweisung der Budgetmittel sowie die Abgabe der Meldung schwerwiegender IKT-bezogener Vorfälle nach Art. 19 DORA. Die Auslagerung verlagert die Ausführung, nicht die Verantwortung.

Wie ist die Funktion in das Management des IKT-Drittparteienrisikos eingebunden?

Über den gesamten Lebenszyklus: Vorabanalyse und Kritikalitätseinstufung, Sorgfaltsprüfung bei der Auswahl, Prüfung der wesentlichen Vertragsbestimmungen nach Art. 30 DORA, Pflege des Informationsregisters nach Art. 28 DORA sowie laufende Überwachung von Dienstleistungsgüte, Informationssicherheit, Unterauftragsvergaben und Vorfallmeldungen. Zu beachten ist, dass Finanzunternehmen, die keine Kleinstunternehmen sind, nach Art. 5 Abs. 3 DORA zusätzlich eine Funktion zur Überwachung dieser Vereinbarungen einrichten oder ein Mitglied der Geschäftsleitung dafür benennen müssen; wie beides zueinander steht, legen wir im Auslagerungsvertrag fest. Stand der dargestellten Rechtslage ist September 2026.

Zweite Linie, die im Prüfungsfall trägt

Eine ausgelagerte IKT-Risikokontrollfunktion trägt dann, wenn zwei Dinge zusammenkommen: fachliche Arbeit, die der IKT-Landschaft und dem Risikoprofil folgt, und eine Rollenverteilung, die im Prüfungsfall belegbar ist. S+P Compliance richtet beides gemeinsam mit Ihnen ein – die Ausführung wird verlagert, die Verantwortung bleibt bei Ihrem Leitungsorgan.

Angebot anfordernRollenverteilung prüfen

Auslagerung der IKT-Risikokontrollfunktion
Bekannt aus

S+P Compliance Services – Medien & Thought Leadership

Handelsblatt WirtschaftsWoche Süddeutsche Zeitung FOCUS DerStandard Frankfurter Rundschau Berliner Morgenpost FNP
Handelsblatt
MaRisk, DORA & ESG – Wie Top-Manager Haftungsrisiken vermeiden