Governance, Risk & Compliance

Von Null bis Zertifikat dauert es typischerweise 6–18 Monate — abhängig von der Unternehmensgröße, dem Ist-Reifgrad und den verfügbaren Ressourcen. Kleine Unternehmen (50–200 Mitarbeiter) mit guter Ausganglage schaffen es in 6–9 Monaten. Mittelständische Unternehmen (200–2.000 Mitarbeiter) benötigen realistisch 9–14 Monate. Konzerne und komplexe Umgebungen 12–18 Monate oder mehr. Der kritische Pfad ist fast immer die Risikobewertung und die tatsächliche Implementierung technischer Controls — nicht die Dokumentation. Wir erarbeiten zu Projektbeginn einen realistischen Zeitplan auf Basis Ihrer konkreten Situation.

Beide sind EU-Regulierungen, adressieren aber unterschiedliche Sektoren und Anforderungen. DORA (Digital Operational Resilience Act) gilt spezifisch für Finanzinstitute: Banken, Versicherungen, Kapitalanlagegesellschaften, Zahlungsdienstleister und deren ICT-Drittanbieter. Schwerpunkte: IKT-Risikomanagement, Incident-Reporting, Resilienz-Testing (TLPT), Drittanbieter-Management. In Kraft seit Januar 2025. NIS2 (Network and Information Security Directive 2) gilt für 18 kritische Sektoren (Energie, Transport, Gesundheit, Wasser, Telekom, öffentliche Verwaltung etc.). Schwerpunkte: Mindestmaßnahmen zur Cybersicherheit, Meldepflichten bei Vorfällen, Leitungsverantwortung. Viele Finanzinstitute unterliegen beiden Regulierungen — hier gibt es Überschneidungen, aber auch ergänzende Anforderungen.

Das SoA ist eines der wichtigsten Dokumente bei ISO 27001. Es listet alle 93 Controls aus Annex A auf und dokumentiert für jede Maßnahme: (1) Ist sie anwendbar für unsere Organisation? (2) Falls ja — ist sie bereits implementiert? (3) Was ist die Begründung für Anwendbarkeit oder Ausschluss? Das SoA ist das Herzstück des ISMS und das erste Dokument, das ein Zertifizierungsauditor prüft. Es muss vollständig, begründet und mit dem Risikobewertungsergebnis konsistent sein. Wir erstellen das SoA gemeinsam mit Ihnen — als lebendiges Dokument, das Ihre tatsächliche Sicherheitssituation widerspiegelt.

Wenn Sie ein Finanzinstitut in der EU sind: In der Regel ja. DORA ist eine direkt anwendbare EU-Verordnung und ist für betroffene Finanzinstitute verpflichtend — unabhängig davon, ob Sie ISO 27001-zertifiziert sind. ISO 27001 ist hingegen ein freiwilliger Standard, wird aber von Regulatoren, Kunden und Geschäftspartnern zunehmend erwartet. Die gute Nachricht: Wer ISO 27001 implementiert hat, hat bereits eine solide Grundlage für DORA — etwa 60–70 % der DORA-Anforderungen werden durch ein reifes ISMS bereits abgedeckt. Wir mappen in unseren Projekten immer alle relevanten Frameworks gegen Ihre bestehenden Controls, um Doppelarbeit zu minimieren.

DORA greift auch für Anbieter, die kritische ICT-Dienstleistungen für EU-Finanzinstitute erbringen — auch wenn der Anbieter selbst kein Finanzinstitut ist. Kritische ICT-Drittdienstleister können direkt von der Europäischen Aufsichtsbehörde (EBA, ESMA, EIOPA) beaufsichtigt werden. Finanzinstitute müssen sicherstellen, dass ihre ICT-Drittanbieter die DORA-Anforderungen erfüllen — über vertragliche Regelungen (DORA-konforme Serviceverträge), Auditrechte und jährliche Überprüfungen. Wir unterstützen sowohl Finanzinstitute bei der Drittanbieter-Steuerung als auch ICT-Anbieter, die sich DORA-konform aufstellen wollen.