Seit Januar 2025 bildet die EU-Verordnung zur digitalen operationalen Resilienz (DORA) den verbindlichen Rahmen für die IKT-Sicherheit im Finanzsektor. Daher müssen Banken und Finanzdienstleistungsinstitute ihre Prozesse, Kontrollen und Dokumentation vollständig an die neuen Anforderungen anpassen. DORA harmonisiert dabei die Anforderungen an das IKT-Risikomanagement und hat nationale Vorgaben wie die BAIT weitgehend abgelöst. Maßgeblich für die Prüfung sind zudem die finalen technischen Regulierungsstandards (RTS und ITS) sowie die ergänzenden MaRisk-Anforderungen.

Die Interne Revision ist deshalb gefordert, die Angemessenheit und Wirksamkeit des IKT-Risikomanagement-Frameworks unabhängig zu bewerten. Im Fokus stehen dabei die Identifikation kritischer Funktionen, der Schutz von IKT-Assets sowie die digitale Abhängigkeit von strategischen Drittanbietern. Außerdem prüft die Revision, ob das Institut die Anforderungen an Incident-Reporting und digitale Resilienz vollständig erfüllt.

Typische Prüfungsrisiken DORA Revision

In der aktuellen Revisionspraxis identifizieren wir dabei häufig folgende Risikofelder. Zudem zeigen sich institutsspezifische Schwachstellen in der Steuerung und Dokumentation:

Klassifizierungsfehler: Lücken bei der Identifikation und Inventarisierung kritischer oder wichtiger Funktionen sowie unvollständige Informationsregister (Register of Information).
Resilienz-Defizite: Unzureichende Verknüpfung von Business Impact Analysen (BIA) mit den Disaster Recovery Plänen (DRP) und Backup-Strategien.
Reporting-Lücken: Mängel in der Etablierung automatisierter Prozesse zur Klassifizierung und fristgerechten Meldung schwerwiegender IKT-Vorfälle an die Aufsicht.
Drittparteienrisiko: Unzureichende Durchsetzung von Ausstiegsstrategien (Exit-Strategien) und mangelnde Überwachung von Sub-Outsourcing-Ketten bei kritischen IKT-Dienstleistern.

Unser Prüfungsansatz im Co-Sourcing

Als spezialisierter Partner begleiten wir Ihre Interne Revision bei der DORA-Prüfung. Unser Ansatz umfasst dabei die folgenden Schwerpunkte:

IKT-Risikomanagement gemäß Art. 5 bis 14 und 16 DORA
Dokumentation des IKT-Risikomanagementrahmens gemäß Art. 6 Abs. 5 S. 1 oder Art. 16 Abs. 2 S. 1 DORA
IKT-Geschäftsfortführungsleitlinie gemäß Art. 11 Abs. 1 S. 1 DORA
Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle gemäß Art. 17 bis 19 DORA
Testen der digitalen operationalen Resilienz gemäß Art. 24 und 25 DORA
Management des IKT-Drittparteienrisikos gemäß Art. 28 bis 30 DORA
Meldepflicht bei Vereinbarungen über den Austausch von Informationen gemäß Art. 45 Abs. 3 DORA

Durch Angemessenheits- und Wirksamkeitsprüfungen schaffen wir eine belastbare Grundlage für Ihr Revisionsurteil. Zudem liefern wir praxisnahe Empfehlungen für ein regulatorisch sicheres IKT-Umfeld.

Typische Prüfungsschwerpunkte

IKT-Risikostrategie & Richtlinien

Zunächst prüfen wir die Konsistenz des IKT-Risikomanagements und die vollständige Umsetzung der DORA-Anforderungen.

Klassifizierung kritischer Funktionen

Außerdem prüfen wir die Vollständigkeit des IKT-Asset-Inventars und die korrekte Bestimmung kritischer Funktionen.

Incident-Meldeprozesse

Zudem beurteilen wir die Klassifizierungsmethodik und die Einhaltung der Meldefristen gegenüber BaFin und EZB.

Resilienz- & Sicherheitstests

Darüber hinaus prüfen wir die Angemessenheit der Testfrequenz und die Qualität der Schwachstellenbehebung.

Drittparteien-Management

Schließlich beurteilen wir die Überwachung kritischer IKT-Dienstleister und das Management von Konzentrationsrisiken.

Informationsaustausch

Ferner prüfen wir die Prozesse zum Austausch von Erkenntnissen über Cyber-Bedrohungen und Sicherheitsvorfälle.

Mehrwert für Ihr Institut

Ihr Nutzen auf einen Blick

Prüfungssicherheit: Nachweis der DORA-Konformität gegenüber der Aufsicht und Vermeidung von Sanktionen.
Cyber-Resilienz: Stärkung der Verteidigungsfähigkeit gegen Ransomware und komplexe IT-Ausfallszenarien.
Effizienzgewinn: Entlastung Ihrer IT-Revision durch spezialisierte Experten mit tiefgehender technischer Expertise.
Transparenz: Klar strukturierte Berichterstattung an Vorstand und Aufsichtsrat über den Reifegrad der digitalen Resilienz.

Warum Co-Sourcing der Internen Revision für DORA Compliance?

Erfahrung, die den Unterschied macht

Unsere Experten kombinieren fundiertes Wissen aus der klassischen Bankprüfung mit spezialisierter Cyber-Security-Expertise. Daher kennen wir die Anforderungen aus RTS und ITS und begleiten Institute bei der Prüfung aller DORA-Säulen. Außerdem liefern wir nicht nur Feststellungen, sondern praxisnahe Lösungen für ein regulatorisch sicheres IKT-Umfeld.

Schließlich steht die Interne Revision DORA Compliance für eine nachhaltige digitale Resilienz und eine rechtssichere Steuerung technologischer Abhängigkeiten.

Optimieren Sie Ihre DORA-Compliance-Prüfung

Vereinbaren Sie jetzt ein unverbindliches Erstgespräch mit unseren Experten.

DORA Compliance

Regulatorischer Rahmen & Prüfungsmaßstab