Warum DORA jetzt kritisch ist
Seit dem 17. Januar 2025 ist DORA in der gesamten EU verbindlich. Die Aufsicht — in Deutschland die BaFin, in der Sparkassen-Finanzgruppe zusätzlich die Verbandsprüfung — prüft aktiv. Viele Häuser haben die formalen Anforderungen umgesetzt, kämpfen aber mit der operativen Wirksamkeit:
- Informationsregister vorhanden, aber Kritikalitätsbewertung uneinheitlich.
- Vorfallsmanagement dokumentiert, aber im Ernstfall unklare Meldewege.
- Resilienztests durchgeführt, aber ohne strukturierte Lessons Learned.
- Auslagerungsverträge angepasst, aber Steuerungsroutinen nicht etabliert.
- Reporting an Geschäftsleitung und Aufsichtsorgan nicht prüfungsfest.
Genau hier setzt ein erfahrener Interim Manager an — mit Umsetzungstempo, regulatorischer Erfahrung und der nötigen Autorität, um über Bereichsgrenzen hinweg zu führen.
Aus der Praxis
IT-Leitung und DORA-Umsetzung in einem Institut der Sparkassen-Finanzgruppe
Vakanzvertretung der IT-Gruppenleitung: stabiler IT-Betrieb, DORA-Anforderungen in der Linie umgesetzt, IT-Sicherheitsaudit vorbereitet und begleitet — mit geordneter Übergabe an die Nachfolge.
Rolle: Interim IT-Gruppenleiter. Steuerung externer IT-Dienstleister einschließlich Finanz Informatik, Aufbau des operativen Informationssicherheitsteams, Change-Management und Konfliktmoderation in der FI-Migration.
Die fünf Säulen in der Umsetzung
I. IKT-Risikomanagement
Aufbau und Verankerung eines durchgängigen IKT-Risiko-Frameworks: Identifikation, Schutz, Erkennung, Reaktion, Wiederherstellung. Verzahnung mit bestehendem Risikomanagement und ISMS. Klare Rollen, Reporting-Linien und KPIs.
II. IKT-Vorfallsmanagement
Klassifizierung, Dokumentation und Meldung schwerwiegender IKT-bezogener Vorfälle. Meldewege, Eskalationsroutinen und Schnittstellen zur Aufsicht — inklusive Test der Meldewege.
III. Tests der digitalen Resilienz
Risikobasierte Testprogramme von Schwachstellen-Scans über Penetrationstests bis zu Threat-Led Penetration Testing (TLPT) für die größten Häuser. Strukturierte Lessons Learned und Wirksamkeitsnachweis.
IV. IKT-Drittparteienrisiken
Vollständiges Informationsregister, Kritikalitätsbewertung der Dienstleister, Vertragsanpassung nach Art. 30 DORA, Steuerungsroutinen und Exit-Strategien. Besonderer Fokus: Steuerung kritischer Provider wie der Finanz Informatik.
V. Informationsaustausch
Strukturierte Teilnahme am Austausch zu Cyberbedrohungen und -vorfällen — innerhalb von Verbünden, mit ISACs und mit der Aufsicht.
Was ich als Interim für DORA liefere
DORA-Reifegradanalyse
Bestandsaufnahme entlang der fünf Säulen — Stärken, Lücken, Quick Wins. Ergebnis ist eine priorisierte Roadmap mit klaren Verantwortlichkeiten und Meilensteinen.
Umsetzung in der Linie
Ich übernehme nicht nur Beratung, sondern operative Verantwortung — als Interim IT-Leitung, COO oder DORA-Programmverantwortlicher: Steuerung der Fachbereiche, Budgetverantwortung, Personalführung.
Steuerung von Outsourcing-Partnern
Operative Steuerung kritischer Dienstleister wie der Finanz Informatik, externer Hoster und IT-Servicepartner — inklusive Vertragsmanagement, SLA-Steuerung und Audit-Begleitung.
Audit- und Prüfungsbegleitung
Vorbereitung und Begleitung von IT-Sicherheitsaudits, BaFin- und Verbandsprüfungen. Prüfungsfeste Dokumentation, Nachweisführung, Maßnahmenverfolgung.
Übergabe an die Linie
Ziel ist immer eine eigenständige permanente Verantwortung: Coaching der Nachfolge, dokumentierte Prozesse, lauffähige Steuerungsroutinen.
Häufige Fragen
Was ist DORA?
DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) ist eine EU-Verordnung, die seit dem 17. Januar 2025 für Finanzunternehmen verbindlich gilt. Sie schafft einen einheitlichen Rahmen für digitale operationale Resilienz und umfasst fünf Säulen.
Wer ist von DORA betroffen?
Rund 20 Kategorien von Finanzunternehmen — darunter Banken, Sparkassen, Versicherungen, Wertpapierfirmen, Zahlungsinstitute und Kryptodienstleister — sowie mittelbar ihre IKT-Drittdienstleister. Die Anforderungen gelten risiko- und proportionalitätsbasiert.
Welche DORA-Praxis bringen Sie mit?
Zuletzt habe ich von 05/2025 bis 09/2026 als Interim IT-Gruppenleiter in einem Institut der Sparkassen-Finanzgruppe die DORA-Umsetzung in der Linie verantwortet, die Finanz Informatik als kritischen Dienstleister gesteuert und ein IT-Sicherheitsaudit vorbereitet und begleitet. Dazu kommen über 15 Jahre Financial Services, u. a. bei Barclays und CRIF Bürgel.
Wann kann ein Mandat starten?
Den Startzeitpunkt stimmen wir im Erstgespräch ab. Nach der Mandatsdefinition — Scope, Ziele, Reporting-Struktur und Laufzeit — folgt ein strukturiertes Onboarding.
DORA-Reifegrad in 30 Minuten besprechen
Kostenfreies Erstgespräch, vertraulich. Wir klären Ausgangslage, Prüfungs-Roadmap und ob ein Interim-Mandat der richtige Hebel ist.
Erstgespräch vereinbaren →