DORA in der Praxis: Der Sollmaßnahmenkatalog neu gedacht – Teil 2

Mein letzter Beitrag zu SFO, BASO sowie Soll-Soll- und Soll-Ist-Abgleichen hat eine Vielzahl an Diskussionen in Fachexpertengruppen ausgelöst. Besonders gefreut hat mich dabei zu sehen, welche Wirkung solche Beiträge – und vor allem auch meine visuellen Schaubilder – entfalten können.

Mein letzter Beitrag zu SFO, BASO sowie Soll-Soll- und Soll-Ist-Abgleichen hat eine Vielzahl an Diskussionen in Fachexpertengruppen ausgelöst. Besonders gefreut hat mich dabei zu sehen, welche Wirkung solche Beiträge – und vor allem auch meine visuellen Schaubilder – entfalten können. Sie schaffen eine gemeinsame Diskussionsgrundlage, erleichtern das Erklären unterschiedlicher Sichtweisen und laden dazu ein, über Begriffe, Ebenen, Denkansätze und Interpretationen ins Gespräch zu kommen.

Genau diese Diskussionen sind es, die uns gedanklich weiterbringen. Sie helfen dabei, bestehende Konzepte zu schärfen, blinde Flecken zu erkennen und eigene Annahmen zu hinterfragen. Es ist ein fortwährender Prozess und ein stetiges Ringen um tragfähige Lösungen – nicht in der Theorie, sondern in der Praxis. Mit Pragmatismus, mit dem Anspruch, Bewährtes zu erhalten, und gleichzeitig mit der Offenheit, neue Perspektiven zuzulassen und bestehende Ansätze weiterzuentwickeln.

Diesen nächsten Gedankenschritt möchte ich euch daher nicht vorenthalten, denn wer weiß schon, welche neuen Impulse und Diskussionen sich daraus erneut ergeben werden 🙂 Ganz konkret geht es um eine erneute Positionierung des Sollmaßnahmenkatalogs – und um eine überraschend einfache, fast elegante Logik, die sich im Lichte von DORA ergibt.

Der Sollmaßnahmenkatalog als „interne Gesetzgebung“

Der Sollmaßnahmenkatalog – im Bankenumfeld häufig als Bankensollmaßnahmenkatalog (BASO) bezeichnet – wurde ursprünglich von der deutschen Finanzaufsicht im Rahmen der sogenannten xAIT geprägt, etwa in der BAIT oder VAIT. In diesem Kontext waren Finanzunternehmen verpflichtet, einen Katalog vorzuhalten, der sämtliche Anforderungen beschreibt, die zur Erreichung des jeweiligen Schutzbedarfs ihrer Informationswerte, IT-Anwendungen und IT-Systeme (kurz: IKT-Assets) umzusetzen sind.

Der Sollmaßnahmenkatalog sollte dabei als interner Anforderungskatalog fungieren, der festlegt, was zum Schutz der Informationswerte und IKT-Assets zu tun ist – ohne konkrete Umsetzungen im Sinne eines „Wie“ vorzugeben. Diese Logik war lange Zeit schwer greifbar, denn die zentrale Frage lautete immer: Welche Anforderungen sind das eigentlich und woher kommen sie?

In der Praxis beantworteten unsere Prüfer diese Frage häufig mit Verweisen auf

• den Stand der Technik,
• gängige Standards und Verfahren und
• die aufsichtliche Erwartungshaltung.

Entsprechend haben wir diese Anforderungen häufig aus etablierten Sicherheitsstandards wie dem BSI-Grundschutz oder der ISO-27001-Reihe in den Sollmaßnahmenkatalog übernommen und als interne Sollmaßnahmen deklariert.

Mit dem Wegfall der xAIT und der Einführung einer einheitlichen europäischen Regulierung durch die DORA-Verordnung ist der Sollmaßnahmenkatalog jedoch formal aus der IT-Regulatorik verschwunden. Das bedeutet jedoch keineswegs, dass das zugrunde liegende Konzept obsolet geworden ist. Im Gegenteil: Prüfer fragen weiterhin regelmäßig nach einem Katalog der IKT-Sicherheitsmaßnahmen – und meinen damit faktisch genau das, was früher als Sollmaßnahmenkatalog bezeichnet wurde.

DORA als Gamechanger: Soll-Maßnahmen auf Gesetzesebene

Mit DORA verändert sich die bisherige Grundlogik der IKT-Sicherheit jedoch erheblich. Der europäische Gesetzgeber beschränkt sich nicht mehr auf prinzipienorientierte und abstrakte Vorgaben, sondern formuliert selbst unmittelbar verbindliche und teilweise sehr konkrete Mindestanforderungen zur Erreichung eines einheitlichen Niveaus digitaler operationaler Resilienz.

Zahlreiche Inhalte wurden dazu aus Sicherheitsstandards wie dem NIST-Framework oder der ISO-27001-Reihe direkt in Gesetzesform überführt und ausdrücklich zum normativen Mindeststandard erklärt. Gleichzeitig werden Finanzunternehmen verpflichtet, diese gesetzlichen Mindestanforderungen in konkrete IKT-Sicherheitsrichtlinien, Verfahrensanweisungen und Prozessbeschreibungen zu überführen, die in ihrer Summe die interne schriftlich fixierte Ordnung (SFO) des Unternehmens bilden.

Und damit passiert etwas ganz Entscheidendes:

👉 Die Frage, was zur Erreichung eines gesetzlich vorgeschriebenen Mindestschutzniveaus erforderlich ist, beantwortet DORA selbst.

DORA definiert damit genau das, was wir früher mühsam aus verschiedenen Quellen abgeleitet und im Sollmaßnahmenkatalog dokumentiert haben: normative Sollmaßnahmen zur Erreichung eines europäischen Mindestschutzniveaus in Finanzunternehmen.

Vor diesem Hintergrund wirkt ein klassischer Sollmaßnahmenkatalog, der im Wesentlichen eine Abschrift von ISO- oder BSI-Controls darstellt, plötzlich wie ein Relikt aus einer anderen Zeit. Seine Inhalte sind in weiten Teilen bereits gesetzlich normiert und in den internen Vorgabedokumenten verarbeitet. In dieser Form führt der Katalog zwangsläufig zu Redundanzen, Inkonsistenzen und Brüchen innerhalb der DORA-geprägten schriftlich fixierten Ordnung.

Die neue Rolle des Sollmaßnahmenkatalogs

Vor diesem Hintergrund müssen wir den Sollmaßnahmenkatalog nicht unmittelbar abschaffen – ihn aber in jedem Fall neu denken. Entscheidend ist dabei, Bewährtes zu erhalten und konsequent loszulassen, was heute mehr Probleme schafft, als Nutzen stiftet.

Die Stärken des Sollmaßnahmenkatalogs liegen dabei klar auf der Hand: Er bildet seit jeher die Grundlage für etablierte Verfahren eines strukturierten IKT-Sicherheits- und IKT-Risikomanagements. Insbesondere ist er zentral für Soll-Ist-Abgleiche zur Identifikation von Abweichungen und zur Bewertung daraus resultierender IKT-Risiken.

Was wir jedoch nicht mehr benötigen, ist eine weitere Maßnahmenliste mit hunderten technischen und organisatorischen Sollanforderungen. Davon gibt es – nicht zuletzt durch DORA – inzwischen mehr als genug.

Was wir stattdessen brauchen, ist ein internes Instrument, das gesetzliche Mindestanforderungen für den betrieblichen Alltag greifbar macht:

• eine systematische Verdichtung des gesetzlichen Mindeststandards
• eine strukturierte interne Abbildung der normativen Sollmaßnahmen,
• eine verständliche, praxisnahe Formulierung der Anforderungen und
• ein Werkzeug zur Operationalisierung und Kontrolle der internen Umsetzung.

👉 Zugespitzt formuliert: Wir brauchen einen internen DORA-Sollmaßnahmenkatalog!

Anders als in meinem letzten Beitrag beschrieben, wäre dieser Sollmaßnahmenkatalog in der SFO nicht bei den mitgeltenden Unterlagen zu verorten, sondern auf einer höheren Ebene: als Übersetzungs- und Referenzschicht zwischen Gesetz, internen Strategien und weiteren internen Vorgabedokumenten.

Warum das vieles einfacher machen würde…

Diese Perspektive auf den Sollmaßnahmenkatalog empfinde ich als enorm entlastend, denn

• Der Sollmaßnahmenkatalog muss nicht kreativ erweitert werden.
• Er muss nicht jede ISO-Control spiegeln.
• Er muss nicht hunderte Zeilen von Sollmaßnahmen enthalten.
• UND: Er muss nicht vollständiger sein als DORA selbst!

Seine Qualität bemisst sich vielmehr daran,

• wie sauber er gesetzliche Anforderungen strukturiert,
• wie verständlich er die Anforderungen übersetzt,
• wie konsistent er mit der SFO verzahnt ist,
• und wie gut er als Referenz für Abgleiche funktioniert!

Wie die Soll-Soll- und Soll-Ist-Abgleiche funktionieren

Durch diese Positionierung des Sollmaßnahmenkatalogs ergäbe sich nun folgende Logik für die Soll-Soll- und Soll-Ist-Abgleiche in den Finanzunternehmen:

Ebene 1: Soll-Soll-Abgleich (extern)

Der externe Soll-Soll-Abgleich dient dazu, die Vollständigkeit des Sollmaßnahmenkatalogs mit Blick auf die gesetzlichen Vorgaben zu überprüfen. Verglichen werden also

• Soll 1 (extern): DORA (inkl. RTS, ITS und Guidelines)
• Soll 2 (intern): Sollmaßnahmenkatalog

Ebene 2: Soll-Soll-Abgleich (Intern)

Der interne Soll-Soll-Abgleich dient dazu zu prüfen, ob die internen Sollmaßnahmen bei deren Erstellung der SFO sachgerecht berücksichtigt wurden und umgesetzt sind. Verglichen werden also:

• Soll 1 (Intern): Sollmaßnahmenkatalog
• Soll 2 (Intern): IKT-Sicherheitsrichtlinien, Verfahrensanweisungen und Prozessbeschreibungen

Ebene 3: Soll-Soll-Abgleich (IKT-Verträge)

Ziel dieses Soll-Soll-Abgleichs der IKT-Veträge ist die Identifikation von Abweichungen zwischen den internen Sollmaßnahmen und den vertraglichen Regelungen mit IKT-Dienstleistern. Verglichen werden also:

• S oll 1 (intern): Dienstleistungsspezifische (oft reduzierte) Auswahl relevanter Sollmaßnahmen
• Soll 2 (IKT-Verträge): Auslagerungsverträge, Leistungsbeschreibungen, Informationssicherheits- oder Notfallmanagement-Anlagen.

Ebene 4: Soll-Ist-Abgleich (Intern)

Ziel des internen Soll-Ist-Abgleichs ist es festzustellen, ob die Sollmaßnahmen tatsächlich umgesetzt sind. Dabei wird zwischen übergreifenden und asset-spezifischen Soll-Ist-Abgleichen unterschieden.

1. Übergreifende interne Soll-Ist-Abgleiche: Sie prüfen die Umsetzung unternehmensweit geltender Sollvorgaben, insbesondere in Strukturen, Prozessen und zentrale Steuerungsmechanismen der IKT-Sicherheit.
2. Asset-spezifische Soll-Ist-Abgleiche: Sie prüfen die Umsetzung der Sollvorgaben für einzelne IKT-Assets wie IT-Anwendungen, IT-Systeme oder Infrastrukturelemente.

Ebene 5: Soll-Ist-Abgleich (Extern)

Ziel des externen Soll-Ist-Abgleichs ist es zu prüfen, ob die mit dem IKT-Dienstleister vereinbarten Sollmaßnahmen auch tatsächlich im operativen Betrieb umgesetzt sind. Auch hier wird zwischen übergreifenden und asset-spezifischen Abgleichen unterschieden.

1. Übergreifende externe Soll-Ist-Abgleiche: Sie prüfen die Umsetzung übergreifender Sollvorgaben, beispielsweise die Sicherheits- und Governance-Struktur des Dienstleisters, Rollenmodelle oder die Umsetzung von Sollvorgaben zur physischen Sicherheit.
2. Asset-spezifische externe Soll-Ist-Abgleiche: Sie beziehen sich auf einzelne IKT-Dienstleistungen und prüfen, ob die für diese Dienstleistung geltenden Sollvorgaben umgesetzt sind.

Ein Ausblick: Warum dieses Konzept noch weiter trägt

Was ich an dieser neuen Sichtweise auf den Sollmaßnahmenkatalog besonders faszinierend finde, ist seine Erweiterbarkeit. Heute sprechen wir über einen DORA-Sollmaßnahmenkatalog – aber warum dabei stehen bleiben?

Man könnte dieses Prinzip auf nahezu alle relevanten Regelwerke übertragen und hätten damit erstmals eine echte Chance, die Vielzahl gesetzlicher und regulatorischer Anforderungen systematisch beherrschbar zu machen.

• einen Sollmaßnahmenkatalog zur KI-Verordnung
• einen Sollmaßnahmenkatalog zur NIS-2-Richtlinie
• einen zum Cyber Resilience Act
• einen zur DSGVO
• u.s.w. …

Noch spannender wird es, wenn man den Gedanken weiterdenkt: Ein solcher Sollmaßnahmenkatalog ließe sich nämlich branchenweit nutzen. Es müsste nicht mehr jedes Finanzunternehmen dieselben normativen Anforderungen neu strukturieren, denn die gesetzlichen Sollmaßnahmen gelten für alle gleichermaßen.

Das wäre eine erhebliche Entlastung für Unternehmen und Prüfer. Vor allem aber wäre es ein konsequenter Schritt hin zu einem zukunftsfähigen, systematischen Umgang mit stetig wachsenden gesetzlichen und regulatorischen Anforderungen!

Persönliches Fazit

Die Diskussionen der letzten Wochen haben mir einmal mehr gezeigt, wie wertvoll gemeinsame Bilder und Modelle sind. Nicht, weil sie „die Wahrheit“ zeigen – sondern weil sie Denken ermöglichen.

Für mich ist der Sollmaßnahmenkatalog heute klarer verortet als je zuvor: als Übersetzungsinstrument europäischer Gesetzgebung in die interne SFO von Finanzunternehmen.

Und noch etwas wurde mir klar: der DORA-Anforderungskatalog, den ich vor über einem Jahr auf den Markt gebracht habe, ist im Kern genau das:

Die Version 1.0 eines ein DORA-Sollmaßnahmenkatalogs!

Ob euch diese Perspektive hilft oder neue Fragen aufwirft, würde mich sehr interessieren. Ich freue mich auf eure Gedanken in den Kommentaren oder auch gerne direkt 🙂