DORA-Compliance für Prüfungsgesellschaften — Methodik, Gap-Analyse und ein Bericht, mit dem die Geschäftsleitung arbeiten kann
Warum DORA-Compliance zum Kernmandat für Prüfungsgesellschaften geworden ist
DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 unmittelbar und erfasst Finanzunternehmen in der gesamten EU — darunter Banken, Versicherer, Wertpapierfirmen und Zahlungsinstitute.
Für Prüfungsgesellschaften und Beratungshäuser, die den Finanzsektor betreuen, bedeutet das eine wachsende Nachfrage nach DORA-Mandaten: Gap-Analysen, Reifegradbewertungen, Unterstützung der Internen Revision und Compliance-Dokumentation für die Geschäftsleitung und die zuständige Aufsichtsbehörde. Gesellschaften, die diese Mandate mit einer wiederholbaren Methodik liefern können, sind im Markt gut positioniert.
Der Umfang eines DORA-Mandats beim Mandanten
Eine vollständige DORA-Prüfung deckt die fünf Säulen der Verordnung ab:
- IKT-Risikomanagement — Rahmenwerke, Rollen, Richtlinien und Kontrollen,
- Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle,
- Tests der digitalen operationalen Resilienz (einschließlich TLPT für ausgewählte Unternehmen),
- Management des IKT-Drittparteienrisikos — Verträge, Kritikalität und das Informationsregister,
- Vereinbarungen zum Austausch von Informationen über Cyberbedrohungen.
Methodik: vom Scoping zur Gap-Analyse
- klären Sie die Einstufung des Mandanten und die Proportionalität (Größe, Risikoprofil, kritische Funktionen),
- sammeln Sie Richtlinien, Verfahren und Nachweise für jeden DORA-Bereich,
- führen Sie eine strukturierte Gap-Analyse gegen die Anforderungen der Verordnung durch,
- dokumentieren Sie jede Feststellung mit Verweis auf die Evidenz — Nachvollziehbarkeit ist die halbe Wertschöpfung,
- priorisieren Sie Abweichungen nach Risiko und vereinbaren Sie einen Maßnahmenplan mit dem Mandanten.
Der Bericht an die Geschäftsleitung
Das Endprodukt ist ein Bericht, mit dem die Geschäftsleitung arbeiten kann: ein Gesamtbild der Compliance, priorisierte Abweichungen, Empfehlungen und Verweise auf Nachweise. Unter DORA trägt das Leitungsorgan die letzte Verantwortung für das IKT-Risikomanagement — der Bericht muss daher für die Geschäftsleitung lesbar sein, nicht nur für die IT-Abteilung.
Eine über Mandanten hinweg wiederverwendbare Berichtsstruktur macht Mandate profitabel: dieselbe Methodik, dieselben Evidenzanforderungen, dieselbe Qualität — Mandant für Mandant.
Die Rolle der zuständigen Aufsichtsbehörde
Die zuständige Behörde beaufsichtigt DORA auf nationaler Ebene — in Deutschland ist dies die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht). Die Aufsicht überwacht die digitale operationale Resilienz der Finanzunternehmen, nimmt Vorfallsmeldungen entgegen und nimmt die Informationsregister entgegen, die an die Europäischen Aufsichtsbehörden (ESAs) weitergeleitet werden.
Für Prüfungsgesellschaften heißt das: Die Dokumentation des Mandanten muss der aufsichtlichen Prüfung standhalten — eine Feststellung ohne Evidenz ist wenig wert, sobald die Behörde nachfragt.
Toolauswahl für DORA-Mandate — Kriterien für Prüfungsgesellschaften
Wenn eine Prüfungsgesellschaft ein Tool für DORA-Mandate auswählt, sollten fünf Fragen am schwersten wiegen:
- Wiederholbarkeit — lässt sich dieselbe Methodik mit gleichbleibender Qualität über Mandanten hinweg wiederverwenden?
- Audit-Trail — trägt jede Feststellung Quellen, Versionen und Freigaben, sodass der Bericht verteidigt werden kann?
- Kontrolle über die Daten des Mandanten — kann das Material in der Infrastruktur des Mandanten oder der eigenen Gesellschaft verbleiben (on-premise), ohne ausgehenden Datenverkehr?
- Human-in-the-Loop — gibt eine verantwortliche Person jede Feststellung und den Abschlussbericht frei?
- Reife — hat sich das Tool in realen Audits bewährt und nicht nur in Demos?
Wie Audnexa Prüfungsgesellschaften unterstützt
Audnexa ist ein auditierbarer Arbeitsbereich, der DORA-Mandate von der Evidenzsammlung bis zum prüfungsfertigen Berichtsentwurf unterstützt — mit Verweisen auf Nachweise und einem lückenlosen Audit-Trail. Im Offline-Modus (Bank Mode) verbleibt das Material des Mandanten in dessen eigener Infrastruktur, und ein Mensch gibt jeden Bericht frei.
Das Werkzeug ist über mehrere Jahre realer Audit-Praxis bei Virtline (ISO/IEC 27001) gereift und ersetzt weder das Urteil eines Prüfers noch eine Rechtsberatung.
Häufige Fragen
Was bedeutet DORA-Compliance für Prüfungsgesellschaften?
Dass die Gesellschaft strukturierte DORA-Mandate für Finanzkunden durchführen kann: Gap-Analyse des IKT-Risikomanagements, Vorfallsbehandlung, Tests und Drittparteienrisiko — mit Evidenz dokumentiert und abgeschlossen mit einem Bericht an die Geschäftsleitung.
Welche Mandanten fallen unter DORA?
Finanzunternehmen in der EU — darunter Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute und Vermögensverwalter — sowie mittelbar deren kritische IKT-Dienstleister. DORA gilt seit dem 17. Januar 2025.
Muss eine DORA-Gap-Analyse von einem Menschen freigegeben werden?
Ja. Gute Prüfungspraxis verlangt, dass eine verantwortliche Person die Feststellungen und den Abschlussbericht freigibt. Werkzeuge wie Audnexa erzeugen Entwürfe — die Freigabe liegt immer beim Menschen.
Können die Daten des Mandanten während eines DORA-Mandats in dessen eigener Infrastruktur bleiben?
Ja. Mit einem On-Premise-Tool im Offline-Modus (etwa dem Bank Mode von Audnexa) verbleibt das Auditmaterial in der Infrastruktur des Mandanten — standardmäßig ohne ausgehenden Datenverkehr.
Welche Rolle spielt die zuständige Aufsichtsbehörde unter DORA?
Die zuständige Behörde (in Deutschland die BaFin) überwacht die Einhaltung, nimmt Vorfallsmeldungen entgegen und nimmt die Informationsregister der Finanzunternehmen entgegen und leitet sie an die ESAs weiter.
Quellen
Sicherheitspräsentation vereinbaren
Diese Inhalte dienen ausschließlich der Information und stellen weder eine Rechtsberatung noch ein Prüfungsurteil oder eine formelle Compliance-Entscheidung dar.