Dieselben Probleme, in fünf verschiedenen Räumen.

DORA in Kraft, die BaFin aufmerksam, und ein internes IT-Team, gebaut für den Betrieb, nicht für einen IKT-Risikorahmen. Die Bank brauchte ein Compliance-Programm, das eine Aufsicht überzeugt, und einen Sicherheitsverantwortlichen, der ihr gegenübersitzen kann.

Das DORA-Programm von Anfang bis Ende gebaut: IKT-Risikorahmen, Assetregister, Drittparteienregister und ein Vorfallsprozess, geprobt gegen die 72-Stunden-Frist. Ein Lockpoint-vCISO übernahm die Verantwortung für Sicherheitslage, Vorstandsberichte und die Schnittstelle zur Aufsicht – im Retainer.

Eine AWS- und Google-Workspace-Umgebung, Deal für Deal gewachsen, steigende FINMA-Erwartungen und frühere Berater, die eine Plattformmigration drängten, die die Firma nicht brauchte. Sie wollte ISO 27001, ohne ihren Stack für die Wiederverkaufsmarge eines anderen umzubauen.

Zuerst Architekturbereinigung: Umgebung kartiert, Konfiguration auf CIS Benchmarks standardisiert, doppeltes Tooling konsolidiert – dann ISO 27001 auf dem Ergebnis eingeführt. Keine Migration, keine neue Plattform, keine Lizenzen verkauft.

Selbst nicht reguliert, aber jeder Kunde ist es. DORA-Drittparteienanforderungen kamen als Vertragsklauseln und DDQs mit zweihundert Fragen an, und ein festgefahrener Fragebogen blockierte eine Vertragsverlängerung. Der Vertrieb verhandelte Sicherheitszusagen, die niemand belegen konnte.

DORA-Drittparteien-Readiness, gemappt auf das, was Banken tatsächlich fragen, ein SOC-2-Programm, das die Fragen dauerhaft beantwortet, und Penetrationstests über unser geprüftes Spezialistennetzwerk. Die laufenden DDQs haben wir mit ihnen beantwortet, Zeile für Zeile.

Eine wachsende Gruppe mit IT verteilt über Abteilungen, Anbietern ohne Verantwortliche und NIS2 am Horizont. Ein internes IT- und Sicherheitsteam in dieser Größe aufzubauen und zu betreiben hätte mehr gekostet und weniger geliefert, als das Problem verdient.

MSP plus MSSP komplett unter einem Vertrag: zero-touch Geräte-Lifecycle über MDM, Identitäten und Zugänge über SCIM, Helpdesk, Privileged Access Management, Härtung und Managed Detection and Response. Anbieterregister konsolidiert, doppelte Tools gekündigt.

Series B im Gange, die Investoren-Due-Diligence stellte bereits Sicherheitsfragen, und DORA wie ISO 27001 beide unbeantwortet. Ein klassischer Beratungszeitplan hätte die Finanzierungsrunde überlebt.

Klarheit, Automatisierung und den Compliance-Aufbau parallel gefahren, wo die Reihenfolge es zuließ: Asset- und Zugangskartierung als Zulieferung für das DORA-Register, SCIM und MDM zum Schließen der Lücken, die Auditoren markieren würden, ISO-27001-Einführung zugeschnitten auf das, was ein Zahlungsdienstleister mit 55 Leuten tatsächlich betreibt.