Finanz- und Versicherungswesen
Banken, Versicherungen und Finanzdienstleister stehen unter regulatorischem Dauerdruck: DORA, BAIT, VAIT, MaRisk, ISO 27001. Die Anforderungen sind komplex, die Prüfzyklen kurz und die Erwartungen an Nachweisbarkeit hoch. BAUTZ übersetzt diese Anforderungen in ein ISMS, das im Alltag funktioniert und im Audit standhält.
Drei typische Szenarien bei Finanz- und Versicherungsunternehmen
DORA ist da. Aber wir wissen noch nicht, was das für uns bedeutet.
DORA muss seit Januar 2025 verbindlich umgesetzt sein. Trotzdem kämpfen viele Finanzunternehmen noch damit, die eigenen Pflichten sauber einzugrenzen: Welche Systeme sind kritisch? Welche Drittanbieter müssen geprüft werden? Was muss wann nachgewiesen werden? Wir bringen Ordnung rein: Scope, Rollen, Lückenanalyse und eine umsetzbare Roadmap.
Unsere Drittanbieter sind ein blinder Fleck.
DORA macht das IKT-Drittparteienrisiko zur Pflichtdisziplin. Viele Finanzunternehmen haben dutzende Dienstleister im Einsatz, aber keine strukturierte Übersicht darüber, wer kritisch ist, welche Verträge die Anforderungen erfüllen und wie Abhängigkeiten bewertet werden. Wir helfen dabei, das Drittparteien-Register aufzubauen, Verträge zu prüfen, jährliche Gespräche mit Ihren Dienstleistern zu führen, Nachweise einzufordern und ein Monitoring-Konzept zu etablieren, das die Aufsicht überzeugt.
Das nächste Audit steht an – und die Nachweise sind nicht sauber.
Prüfungen durch BaFin, interne Revision oder externe Auditoren kommen regelmäßig. Was dann fehlt, ist selten das Wissen sondern die saubere Dokumentation: Policies, Risikoregister, Maßnahmennachweise, Testprotokolle. Wir erstellen mit Ihnen genau die Dokumentation, die Prüfer sehen wollen.
Häufige Fragen
Das passiert häufiger als man denkt. Ein bestehendes ISMS ist ein guter Ausgangspunkt, aber DORA stellt spezifische Anforderungen, die nicht automatisch abgedeckt sind; zum Beispiel beim IKT-Drittparteienrisiko, beim Incident-Reporting oder bei den TLPT-Tests. Wir machen eine Gap-Analyse und zeigen, was ergänzt oder angepasst werden muss.
DORA unterscheidet zwischen Unternehmen und sieht für kleinere Institute vereinfachte Anforderungen nach dem sogenannten vereinfachten IKT-Risikomanagementrahmen vor. Was das konkret für Sie bedeutet, hängt von Ihrer Einstufung ab. Wir helfen dabei, das einzuordnen und einen Ansatz zu wählen, der regulatorisch passtintern umsetzbar ist, aber auch proportional zu Ihrer Unternehmensgröße passt.
Das hängt vom Ausgangspunkt ab. Eine erste Gap-Analyse mit konkreter Roadmap ist in wenigen Wochen machbar. Die vollständige Umsetzung inklusive Drittparteien-Management, Richtlinien und technischer Umsetzung ist ein Prozess, der typischerweise sechs bis zwölf Monate dauert. Wir arbeiten so, dass Sie schnell handlungsfähig sind und der Fortschritt schrittweise sichtbar wird.
Wir können die IKT-RKF-Funktion bei Ihnen besetzen oder begleiten – dauerhaft oder für eine Übergangsphase. Das ist für viele Institute der pragmatischste Weg, die regulatorische Anforderung zu erfüllen, ohne intern eine Stelle neu zu schaffen.