Die IKT-Risikokontrollfunktion nach DORA

Die DORA-Verordnung stellt Finanzunternehmen vor eine Vielzahl neuer Anforderungen – darunter auch die Einrichtung einer Kontrollfunktion für das Management und die Überwachung von IKT-Risiken. Doch was gehört eigentlich zu den Aufgaben, Kompetenzen und Verantwortungen (AKV) einer solchen IKT-Risikokontrollfunktion?

Die DORA-Verordnung stellt Finanzunternehmen vor eine Vielzahl neuer Anforderungen – darunter auch die Einrichtung einer Kontrollfunktion für das Management und die Überwachung von IKT-Risiken. Doch was gehört eigentlich zu den Aufgaben, Kompetenzen und Verantwortungen (AKV) einer solchen IKT-Risikokontrollfunktion?

Die DORA-Verordnung selbst liefert hierzu leider nur wenige konkrete Details. Dies eröffnet einerseits wertvolle Gestaltungsspielräume, lässt uns andererseits jedoch ein Stück weit im Unklaren darüber, welche Erwartungen der Regulator tatsächlich an diese Funktion stellt.

Da viele von Euch vor derselben Herausforderung stehen dürften und ich überzeugt bin, dass nicht jeder „bei Null“ anfangen muss, möchte ich heute meine Perspektive auf die IKT-Risikokontrollfunktion teilen. Hierfür habe ich auf verschiede nationale und europäische Quellen zurückgegriffen, die relevante Informationen und hilfreiche Ansätze bieten:

• 📌 Nationale Regelungen nach BAIT und BSI: Obwohl DORA den Fokus auf das IKT-Risikomanagement legt, bleibt die Informationssicherheit ein zentraler Bestandteil der digitalen operationalen Resilienz. Die bisherigen Aufgaben des Informationssicherheitsbeauftragten nach BAIT und BSI können daher in die neue IKT-Risikokontrollfunktion integriert werden.
• 📌 EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken: Die EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken setzen das IKT-Risikomanagement auf eine Ebene mit dem IKT-Sicherheitsmanagement. Sie bieten somit eine solide Grundlage, um weitere AKV der IKT-Risikokontrollfunktion abzuleiten. Besonders die ursprüngliche Konsultationsversion dieser Leitlinien liefert wertvolle Ideen und konkrete Vorschläge zur Gestaltung der AKV.
• 📌 EBA-Leitlinien zur Internen Governance: Da DORA explizit die Einrichtung einer Kontrollfunktion für das Risikomanagement fordert, bieten die EBA-Leitlinien zur Internen Governance wertvolle Orientierungspunkte. Sie definieren sowohl allgemeine Anforderungen an Kontrollfunktionen als auch spezifische Vorgaben für Kontrollfunktionen im Risikomanagement, die eine entscheidende Grundlage für die Ausgestaltung der IKT-Risikokontrollfunktion bilden.

Auf Basis dieser Quellen habe ich ein erweitertes und praxisnahes Modell der AKV der IKT-Risikokontrollfunktion entwickelt, das der gleichen Struktur wie in meinem letzten Beitrag zu den AKV des Leitungsorgans folgt. Ich bin überzeugt, dass dieses Modell sowohl die regulatorischen Anforderungen erfüllt als auch den wachsenden Herausforderungen der digitalen operativen Resilienz gerecht wird.

Wie immer freue ich mich auf euer Feedback und wünsche viel Spaß beim Studieren und Diskutieren im Rahmen eurer DORA-Projekte!