IKT-Kontrollen nach DORA: Wie Banken aus Vorgaben verlässliche Prozesse machen

Seit dem 17. Januar 2025 gilt DORA verbindlich. Für Banken und Finanzdienstleister rückt damit noch stärker in den Fokus, die Umsetzung regulatorischer Anforderungen kontinuierlich nachzuweisen und ihre Wirksamkeit dauerhaft sicherzustellen. Entscheidend ist dabei, dass die definierten Maßnahmen im operativen Alltag belastbar funktionieren und dauerhaft wirksam bleiben.

Gerade bei IKT-Kontrollen zeigt sich, wie anspruchsvoll dieser Schritt von der Vorgabe zum gelebten Prozess sein kann. Institute müssen klären, wer welche Kontrolle durchführt, wann sie ansteht und wie die Verantwortlichen das Ergebnis dokumentieren. Ebenso wichtig ist die Frage, wer offene Punkte weiterverfolgt und wie schnell sich gegenüber Revision oder Aufsicht nachweisen lässt, dass eine Kontrolle tatsächlich stattgefunden hat. 

DORA verlangt damit mehr als technische Widerstandsfähigkeit. Institute müssen ihren IKT-Risikomanagement- und Kontrollrahmen so organisieren, dass Zuständigkeiten klar geregelt sind, Kontrollen verlässlich ablaufen und Nachweise jederzeit nachvollziehbar bleiben. Die zentrale Aufgabe besteht darin, regulatorische Vorgaben in belastbare Prozesse zu übersetzen, die auch im Tagesgeschäft zuverlässig greifen. 

Diesen Beitrag teilen:

DORA ist umgesetzt: Aber sind es auch die Kontrollen?

© Adobe Stock

DORA ist seit Januar 2025 anwendbar und viele Institute haben sich bereits grundlegend mit den regulatorischen Anforderungen auseinandergesetzt. Damit rückt nun eine andere Frage in den Vordergrund: Wie bewähren sich die getroffenen Regelungen im laufenden Betrieb? Der Fokus verschiebt sich damit von der Projekt- und Umsetzungsphase auf die dauerhafte Anwendung. 

Beschriebene Richtlinien, Prozesse und Verantwortlichkeiten allein reichen dafür nicht aus. Entscheidend ist, dass der IKT-Kontrollprozess im Alltag funktioniert und Kontrollen regelmäßig angestoßen, durchgeführt und dokumentiert werden. Ergibt sich daraus weiterer Handlungsbedarf, müssen die Verantwortlichen auch die notwendigen Schritte nachverfolgen. Genau hier zeigt sich, ob aus regulatorischen Vorgaben tatsächlich belastbare Abläufe geworden sind. 

Dass zwischen formaler Umsetzung und gelebtem Kontrollprozess noch eine Lücke bestehen kann, zeigt das PwC FS Digital Risk Barometer 2026. 51,7 Prozent der Befragten geben an, ihre schriftlich fixierte Ordnung vollständig DORA-konform ausgestaltet zu haben, während erst 42 Prozent ihr internes Kontrollsystem gezielt an DORA angepasst haben. Die Zahlen verdeutlichen damit: Eine regulatorisch angepasste Richtlinie allein ergibt noch keinen wirksamen Kontrollprozess. 

Warum IKT-Kontrollen keine einmalige Aufgabe sind

DORA verlangt einen dokumentierten IKT-Risikomanagementrahmen, den Institute regelmäßig überprüfen und weiterentwickeln müssen. IKT-Kontrollen sind deshalb kein einmaliger Compliance-Schritt, sondern eine fortlaufende Aufgabe im laufenden Betrieb. 

Im Alltag bedeutet das: Verantwortliche führen Kontrollhandlungen durch, halten Ergebnisse fest und dokumentieren die erforderlichen Nachweise. Ebenso gehören die Bearbeitung von Auffälligkeiten beziehungsweise Feststellungen und die Nachverfolgung offener Punkte zu den wiederkehrenden Aufgaben im Kontrollprozess. 

Auch neue Erkenntnisse können Anpassungen notwendig machen, die Institute im weiteren Kontrollprozess berücksichtigen müssen. Dieser laufende Kontrollbedarf betrifft zahlreiche operative Bereiche, beispielsweise Berechtigungen, Änderungen an IKT-Systemen, die Protokollierung, Schwachstellen oder den sicheren IKT-Betrieb. 

Wo der Kontrollprozess im Alltag ins Stocken geraten kann

IKT-Kontrollen verteilen sich häufig auf mehrere Bereiche eines Instituts, etwa auf das interne Kontrollsystem, die Informationssicherheit, die IT-Organisation und die Revision. Damit daraus ein verlässlicher Kontrollprozess entsteht, müssen die beteiligten Verantwortlichen jederzeit wissen, welche Aufgaben bei ihnen liegen und wann diese anstehen. 

Im Arbeitsalltag kommt hinzu, dass Informationen und Nachweise möglicherweise in unterschiedlichen Anwendungen, Dateien oder Ablagen liegen. Dadurch lässt sich der aktuelle Bearbeitungsstand nicht immer ohne Weiteres zentral überblicken. Gerade bei regelmäßig wiederkehrenden Kontrollen erhöht das den administrativen Aufwand. 

Zusätzliche Herausforderungen entstehen, wenn Zuständigkeiten wechseln oder Vertretungen übernehmen. Dann muss trotzdem erkennbar bleiben, was bereits erledigt wurde, welche Schritte noch offen sind und wie der aktuelle Stand einer Feststellung aussieht. Vor Prüfungen müssen die Beteiligten relevante Nachweise möglicherweise erst zusammensuchen und aufbereiten. 

© Adobe Stock

Vom Kontrollkatalog zum gesteuerten Prozess

Ein fachlich belastbarer Kontrollkatalog schafft die Grundlage dafür, IKT-Kontrollen strukturiert in den operativen Prozess zu überführen. Für Genossenschaftsbanken hat der Genossenschaftsverband Bayern relevante IKT-Kontrollen zusammengestellt, die Foconis für eine prozessorientierte Bearbeitung nach dem ZAK-Prinzip zur Verfügung stellt. 

Mit dem Kontrollkatalog steht fest, welche Kontrollhandlungen erforderlich sind. Für den laufenden Betrieb kommt es anschließend darauf an, diese fachlichen Vorgaben in einen klar geregelten Arbeitsprozess zu überführen. Dazu erhält der zuständige Verantwortliche die jeweilige Aufgabe und bearbeitet sie nach einem definierten Ablauf.  

Während der Bearbeitung dokumentiert der Verantwortliche Ergebnisse und einzelne Arbeitsschritte. Dadurch bleibt der jeweilige Status nachvollziehbar, während die erforderlichen Nachweise zugleich für spätere Prüfungen zur Verfügung stehen. So wird aus einer Sammlung von Kontrollanforderungen ein steuerbarer Arbeitsprozess.

Was systemgestützte IKT-Kontrollen konkret verändern

© Adobe Stock

Ein systemgestützter Prozess schafft klare Verantwortlichkeiten und ordnet Aufgaben gezielt den zuständigen Personen zu. Institute müssen die Zuständigkeiten dadurch nicht für jeden Kontrollzyklus neu organisieren, während die Beteiligten jederzeit erkennen können, welche Aufgaben bei ihnen liegen. 

Gleichzeitig erhöht die systemgestützte Bearbeitung die Nachvollziehbarkeit der einzelnen Kontrollen. Arbeitsschritte, Ergebnisse und Bearbeitungsstände bleiben im Prozess sichtbar. Dadurch erkennen die Beteiligten jederzeit, welche Kontrollhandlungen noch offen und welche bereits erledigt sind. Auch prüfungsrelevante Nachweise entstehen direkt während der Bearbeitung. Die Dokumentation begleitet damit die jeweilige Kontrollhandlung, sodass die Beteiligten relevante Informationen später nicht erst rekonstruieren müssen. Revision und andere beteiligte Funktionen können auf diese nachvollziehbaren Informationen zurückgreifen. 

Besonders bei zahlreichen oder regelmäßig wiederkehrenden Kontrollen erleichtert ein standardisierter Ablauf die Organisation und reduziert die manuelle Koordination. Der organisatorische Aufwand sinkt, weil IKS, Informationssicherheit, IT-Organisation und Revision auf eine gemeinsame Prozesslogik zurückgreifen können. So verbindet die systemgestützte Bearbeitung klare Zuständigkeiten, transparente Bearbeitungsstände und eine durchgängige Dokumentation in einem gemeinsamen Ablauf. 

IKT-Kontrollen stärken mehr als die Compliance

Systematische Kontrollen helfen Instituten, Schwachstellen und Abweichungen frühzeitig sichtbar zu machen. Damit stärken sie den Umgang mit IKT-Risiken insgesamt. 

Ein nachvollziehbarer Kontrollprozess verbessert zugleich die Auditfähigkeit. Standardisierte Abläufe schaffen Transparenz zwischen den beteiligten Bereichen und sorgen dafür, dass der jeweilige Stand der Kontrollen nachvollziehbar bleibt. 

Dadurch sinkt das Risiko, dass eine fachlich definierte Kontrolle im operativen Alltag ausbleibt oder nicht ausreichend dokumentiert wird. Strukturierte IKT-Kontrollen tragen so letztlich auch zur digitalen operationalen Resilienz bei. 

Fazit

DORA hat den regulatorischen Rahmen für den Umgang mit IKT-Risiken deutlich geschärft. Ob dieser Rahmen im Alltag tatsächlich wirksam ist, entscheidet sich jedoch erst im laufenden Betrieb. Institute müssen ihre Kontrollen deshalb nicht nur definieren, sondern sie regelmäßig durchführen, Verantwortlichkeiten klar steuern, Ergebnisse dokumentieren und die Umsetzung jederzeit nachvollziehbar halten. 

IKT-Kontrollen sollten daher nicht als Sammlung einzelner Prüfpunkte verstanden werden, sondern als fortlaufender Prozess, in dem fachliche Anforderungen, klare Zuständigkeiten und eine durchgängige Dokumentation ineinandergreifen. Auf diese Weise entsteht aus der regulatorischen Vorgabe eine verlässliche Routine, die die beteiligten Fachbereiche entlastet, die Nachweisbarkeit verbessert und zugleich dazu beiträgt, IKT-Risiken dauerhaft im Blick zu behalten.

IKT-Kontrollen strukturiert steuern und nachvollziehbar dokumentieren

Foconis-ZAK® überführt IKT-Kontrollen in einen prozessorientierten Ablauf. Erfahren Sie, wie sich Aufgabenverteilung, Bearbeitung und nachvollziehbare Dokumentation dabei miteinander verbinden.

Kontakt aufnehmen

FAQ zu diesem Blogbeitrag

Was sind IKT-Kontrollen?

IKT-Kontrollen sind Maßnahmen, mit denen Finanzunternehmen prüfen, ob sie Vorgaben zum sicheren und ordnungsgemäßen Umgang mit Informations- und Kommunikationstechnologie einhalten. Die Kontrollen können unter anderem technische, organisatorische und prozessuale Bereiche betreffen.

Welche Rolle spielen IKT-Kontrollen unter DORA?
DORA verpflichtet Finanzunternehmen zu einem umfassenden und dokumentierten IKT-Risikomanagementrahmen. Finanzunternehmen müssen Maßnahmen und Kontrollen dabei nicht nur festlegen, sondern regelmäßig überprüfen, ihre Wirksamkeit bewerten und Erkenntnisse aus Prüfungen oder Vorfällen berücksichtigen.
Reicht ein dokumentierter Kontrollkatalog aus?
Ein Kontrollkatalog definiert, was geprüft werden soll. Für einen wirksamen Kontrollprozess braucht es darüber hinaus klare Regelungen: Wer führt eine Kontrolle wann durch? Wie dokumentieren die Verantwortlichen das Ergebnis? Und wie bearbeiten sie offene Punkte weiter?
Welche Bereiche sind an IKT-Kontrollen beteiligt?
Je nach Organisation können unterschiedliche Funktionen an IKT-Kontrollen beteiligt sein. Dazu zählen beispielsweise das interne Kontrollsystem, die Informationssicherheit, die IT-Organisation und die Revision. Gerade deshalb helfen klar geregelte Zuständigkeiten und gemeinsame Prozesse.
Warum sollten IKT-Kontrollen systemgestützt ablaufen?
Ein systemgestützter Prozess kann wiederkehrende Kontrollaufgaben strukturieren, Verantwortlichkeiten abbilden und Bearbeitungsstände transparent machen. Ergebnisse und Nachweise lassen sich dabei direkt im Prozess dokumentieren, wodurch sich der manuelle Koordinations- und Dokumentationsaufwand reduziert.
Wie unterstützt Foconis Genossenschaftsbanken bei IKT-Kontrollen?
Foconis stellt IKT-Kontrollen für die prozessorientierte Bearbeitung mit Foconis-ZAK® zur Verfügung. Kontrollhandlungen lassen sich dadurch systematisch zuordnen, bearbeiten und dokumentieren. Auch ihr jeweiliger Status lässt sich nachvollziehen.

Letzte Beiträge

Alle Beiträge