DORA verpflichtet Finanzinstitute zu regelmäßigen internen IKT-Audits und bereitet sie auf externe Prüfungen durch BaFin und Abschlussprüfer vor.
DORA-Audits sind keine klassischen IT-Audits. Die BaFin und Abschlussprüfer prüfen Governance, Verantwortlichkeiten und die Wirksamkeit Ihres IKT-Risikorahmens, nicht nur ob Richtlinien existieren, sondern ob sie gelebt werden. Unsere Experten unterstützen Sie bei internen Audits, der Vorbereitung auf BaFin-Prüfungen und der nachhaltigen Audit-Readiness.
6 Leistungsbausteine
Umfassende Bewertung Ihrer DORA-Compliance-Position durch systematische Audits aller relevanten Anforderungsbereiche und Identifikation von Verbesserungspotenzialen.
Spezialisierte Vorbereitung auf aufsichtsrechtliche DORA-Inspektionen und externe Prüfungen durch simulierte Audits und Readiness-Checks.
Systematische Bewertung Ihrer IKT-Drittanbieter und kritischen Service-Provider zur Gewährleistung der DORA-Compliance entlang der gesamten Lieferkette.
Etablierung systematischer Überwachungsprogramme zur kontinuierlichen Validierung der DORA-Compliance und frühzeitigen Identifikation von Risiken.
Spezialisierte technische Audits zur Bewertung der IKT-Sicherheit und operationellen Resilienz Ihrer kritischen Systeme und Infrastrukturen.
Aufbau robuster interner Audit-Programme und Governance-Strukturen für nachhaltige DORA-Compliance und kontinuierliche Verbesserung.
5 Phasen
Wir entwickeln mit Ihnen maßgeschneiderte DORA-Audit-Programme, die sowohl regulatorische Compliance als auch operative Effektivität gewährleisten.
Ansprechpartner
Sarah Richter
Head of Informationssicherheit, Cyber Security
10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit
Effektive DORA-Audits sind mehr als Compliance-Validierung, sie sind strategische Instrumente zur Stärkung der operationellen Resilienz. Unser risikobasierter Audit-Ansatz identifiziert nicht nur regulatorische Lücken, sondern schafft auch nachhaltigen Mehrwert durch kontinuierliche Verbesserung der digitalen Widerstandsfähigkeit.
6 FRAGEN, KURZ BEANTWORTET
Ein DORA-Audit prüft nicht nur technische IT-Kontrollen, sondern auch, ob die aufsichtsrechtlich geforderten Prozesse aus allen fünf DORA-Säulen tatsächlich funktionieren: Risikomanagement, Vorfallmeldung, Resilienztests, Drittanbieter-Management und Informationsaustausch. Ein klassisches IT-Audit prüft meist enger gefasste technische Kontrollen ohne diesen aufsichtsrechtlichen Gesamtrahmen und ohne die für DORA vorgeschriebene Dokumentationstiefe.
Vor dem eigentlichen Audit lohnt sich eine interne Voll-Prüfung gegen die tatsächlichen DORA-Anforderungen, nicht nur gegen die eigene interne Richtlinie, da diese Lücken zur regulatorischen Vorgabe aufweisen kann. Besonders wichtig ist, dass alle Nachweise, etwa Protokolle durchgeführter Tests oder das Drittanbieter-Register, tatsächlich vorliegen und nicht nur als Absicht dokumentiert sind, genau das prüfen Aufsichtsbehörden zuerst.
Threat-Led Penetration Testing (TLPT) ist für bestimmte, meist größere Finanzunternehmen verpflichtend und simuliert reale Angriffsszenarien auf kritische Systeme unter Aufsicht eines akkreditierten Testers. Ein DORA-Audit prüft, ob solche Tests in der geforderten Frequenz durchgeführt wurden, ob die Ergebnisse dokumentiert sind und ob identifizierte Schwachstellen tatsächlich behoben statt nur protokolliert wurden.
Der Scope sollte sich an der Kritikalität der geprüften Systeme und Prozesse orientieren statt alle Bereiche gleich intensiv zu prüfen. Ein erstmaliges Audit prüft meist breiter, um Grundlücken zu identifizieren; Folge-Audits können sich stärker auf zuvor identifizierte Schwachstellen und besonders kritische Drittanbieterbeziehungen fokussieren.
Da die Verantwortung für IKT-Risiken beim Finanzunternehmen verbleibt, muss auch die Wirksamkeit ausgelagerter Kontrollen geprüft werden, entweder über vertraglich zugesicherte Audit-Rechte beim Anbieter selbst oder über dessen Zertifizierungsnachweise und Prüfberichte, sofern diese ausreichend aussagekräftig sind. Bei besonders kritischen Anbietern reicht ein reiner Zertifikatsnachweis oft nicht aus; hier sind eigene Prüfungsrechte vertraglich vorzusehen.
Feststellungen sollten nach ihrer Risikorelevanz priorisiert und mit konkreten, terminierten Maßnahmen sowie klarer Verantwortlichkeit verknüpft werden. Ein Nachverfolgungsprozess, der den Umsetzungsstand zu festen Zeitpunkten prüft, ist entscheidend, unbearbeitete Findings aus einem Vorjahres-Audit sind bei der nächsten Prüfung ein besonders kritisches Signal für die Aufsicht.
Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement
Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten
Strategiegespräch buchen30 Minuten • Unverbindlich • Sofort verfügbar
Direkte Hotline für Entscheidungsträger
Strategische Anfragen per E-Mail
Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten