So regeln DORA und MaRisk die Rolle des Informationssicherheitsbeauftragten (ISB)

Die aufsichtsrechtliche Erwartungshaltung an die Informationssicherheit in BaFin-regulierten Instituten hat sich in den vergangenen 24 Monaten grundlegend verschoben. Mit Geltungsbeginn der Verordnung (EU) 2022/2554 (DORA) am 17. Januar 2025 und der MaRisk-Novelle vom 29. Mai 2024 verdichten sich die Vorgaben zu einem engmaschigen Kontrollsystem für IKT-Risiken; für DORA-pflichtige Institute ersetzt DORA die bisherigen BAIT-Anforderungen weitgehend. Die BAIT gelten nur noch übergangsweise für bestimmte nicht unmittelbar von DORA erfasste Häuser und werden mit Ablauf des 31. Dezember 2026 vollständig aufgehoben – die strukturelle Forderung nach einer unabhängigen Informationssicherheitsfunktion bleibt jedoch sowohl in DORA als auch in MaRisk verankert.

Im Zentrum steht eine Rolle, die in vielen Instituten historisch gewachsen und personell unterbesetzt ist: der Informationssicherheitsbeauftragte (ISB). Wer diese Funktion mit dem IT-Leiter zusammenlegt, verstößt gegen ein Kernprinzip der Aufsicht und riskiert Prüfungsfeststellungen, die bis zur persönlichen Verantwortlichkeit der Geschäftsleitung reichen.

Der regulatorische Interessenkonflikt zwischen operativer IT und Kontrollfunktion

Die BaFin hat den Grundsatz der Funktionstrennung mehrfach präzisiert. Bereits die bisherige nationale Aufsichtspraxis (BAIT in Verbindung mit MaRisk) hat eine organisatorische Trennung zwischen operativen IT-Funktionen und unabhängiger Informationssicherheitsfunktion verlangt; unter DORA wird dieses Trennungsprinzip nun als Teil des europäischen Governance-Rahmens für IKT-Risiken festgeschrieben.

DORA führt ausdrücklich eine eigenständige IKT-Risikokontrollfunktion ein („ICT risk management control function“), die durch das Leitungsorgan einzurichten ist. Diese Funktion ist für das Management und die Überwachung der IKT-Risiken verantwortlich und muss ein angemessenes Maß an Unabhängigkeit besitzen, um Interessenkonflikte zu vermeiden. Die Verordnung verlangt eine klare Trennung und Unabhängigkeit von IKT-Risikomanagementfunktionen, Kontrollfunktionen und interner Revision im Sinne des Modells der drei Verteidigungslinien – damit ist die frühere Informationssicherheitsfunktion faktisch zur IKT-Risikokontrollfunktion weiterentwickelt worden.

In vielen Häusern wird diese IKT-Risikokontrollfunktion organisatorisch beim Informationssicherheitsbeauftragten oder CISO verortet. Entscheidend ist dabei, dass diese Rolle nicht zugleich operative IT-Verantwortung trägt: Die geforderte Funktionstrennung ist nur dann erfüllt, wenn die IKT-Risikokontrollfunktion unabhängig vom IT-Betrieb agiert und direkt an das Leitungsorgan berichtet.

Der ISB darf weder dem CIO noch dem IT-Betrieb unterstellt sein, weil er genau jene Prozesse überwacht und bewertet, die der IT-Leiter verantwortet. Auch die BaFin selbst weist in ihren Erläuterungen zur BAIT darauf hin, dass Interessenkonflikten zwischen Aktivitäten im Zusammenhang mit der Anwendungsentwicklung und den Aufgaben des IT-Betriebs durch aufbau- oder ablauforganisatorische Maßnahmen begegnet werden muss. DORA verschärft diese Logik auf europäischer Ebene. Artikel 5 der Verordnung verpflichtet Finanzunternehmen zu einem internen Governance- und Kontrollrahmen, in dem das Leitungsorgan die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen definiert, genehmigt, überwacht und verantwortet. Eine Delegation an die IT allein reicht nicht aus. Die Aufsicht erwartet vielmehr eine klare Trennung zwischen der ersten Verteidigungslinie (Betrieb), der zweiten (unabhängige Kontrolle und Risikomanagement, hier verortet der ISB) und der dritten (Interne Revision). Sitzt der IT-Leiter zugleich als ISB an seinem eigenen Prüfpult, kollabiert das Modell. Genau an dieser Stelle setzen spezialisierte Auslagerungsmodelle an. Die Auslagerung des Informationssicherheitsbeauftragten an einen externen Dienstleister stellt die geforderte Unabhängigkeit strukturell sicher, weil die Kontrollfunktion außerhalb der operativen Weisungskette angesiedelt wird. Das Institut bleibt in vollem Umfang verantwortlich, gewinnt aber eine dokumentierbare Trennung zwischen Betrieb und Überwachung, die sich in Prüfungen belegen lässt.

Was DORA und MaRisk konkret verlangen

Die Anforderungen an den ISB sind nicht mehr auf Berichtspflichten reduziert. DORA verlangt einen umfassenden Governance- und IKT-Risikomanagementrahmen; MaRisk flankiert dies als nationaler Organisationsstandard. Die Berichtspflichten orientieren sich an BT 3.2 Tz. 1 MaRisk und richten sich unmittelbar an die Geschäftsleitung. Hinzu kommen die aus DORA folgenden Pflichten zum Asset-Inventar, zur Klassifizierung von IKT-bezogenen Vorfällen nach Artikel 18, zur Meldung schwerwiegender Vorfälle nach Artikel 19 sowie zu Resilienztests nach den Artikeln 24 bis 27, in bestimmten Konstellationen einschließlich Threat-Led Penetration Testing nach der TIBER-EU-Methodik.

In der Praxis bedeutet das eine ganzjährige Arbeitsbelastung, die selten mit weniger als 0,5 bis 1,5 Vollzeitäquivalenten abgedeckt werden kann, abhängig von Bilanzsumme, Geschäftsmodell und IT-Komplexität. Die Rolle verlangt zudem eine Qualifikationsmischung, die auf dem Arbeitsmarkt derzeit kaum verfügbar ist: aufsichtsrechtliches Verständnis von MaRisk, DORA und KWG, technisches Sicherheits-Know-how auf ISO 27001- und BSI-IT-Grundschutz-Niveau, Erfahrung mit Auslagerungsverträgen nach § 25b KWG sowie Souveränität in der Kommunikation mit Vorstand, Interner Revision und Prüfern.

Warum interne Besetzungen am Fachkräftemarkt scheitern

Die Zahlen des Branchenverbandes Bitkom belegen das Problem. Laut Studienbericht 2025 fehlen in der deutschen Wirtschaft rund 109.000 IT-Fachkräfte, 85 Prozent der Unternehmen klagen über Mangel und 79 Prozent prognostizieren eine weitere Verschärfung. Von der IT ist Cybersecurity das engste Segment. Nach einer Analyse des Personalunternehmens Index waren im dritten Quartal 2025 rund 8.500 Cybersecurity-Stellen unbesetzt, ein Plus von drei Prozent zum Vorjahresquartal. Für regulierte Institute kommt zu diesem Engpass eine doppelte Erschwernis hinzu. Erstens verlängern sich die Besetzungszeiten für ISB-Positionen häufig auf neun bis zwölf Monate. Zweitens sind die Gehaltsniveaus für erfahrene ISB mit BaFin-Prüferfahrung so gestiegen, daß kleinere und mittlere Institute im Wettbewerb mit Großbanken, Beratungen und der öffentlichen Verwaltung strukturell verlieren. Die naheliegende Notlösung, den IT-Leiter zusätzlich als ISB zu benennen, wird von der Aufsicht regelmäßig beanstandet und in Prüfberichten als schwerer Governance-Mangel dokumentiert.

Externe ISB-Modelle setzen genau hier an. Der Dienstleister stellt eine benannte Person mit klarem Rollenprofil, definiertem Zeitkontingent und dokumentierter Vertretungsregelung. Verträge nach § 25b KWG und Art. 30 DORA regeln die Weisungsrechte, Prüfrechte, Kündigungsmodalitäten und die Meldeketten zur Aufsicht. Die Verantwortung des Leitungsorgans bleibt unberührt, was DORA in Art. 5 Abs. 2 ausdrücklich klarstellt.

Kriterien für die Auswahl eines Auslagerungspartners

Nicht jeder Anbieter erfüllt das aufsichtsrechtliche Anforderungsprofil. Institute sollten mindestens die folgenden Kriterien prüfen, bevor sie einen Vertrag zeichnen.

Erstens die aufsichtsrechtliche Qualifikation der eingesetzten Personen. Referenzen aus BaFin-Sonderprüfungen nach § 44 KWG sowie Erfahrung mit MaRisk, BAIT, VAIT, KAIT und DORA sind belastbare Indikatoren – auch wenn die nationalen IT-Rundschreiben für DORA-pflichtige Institute sukzessive auslaufen. Zweitens die Vertragsgestaltung. Die Auslagerungsverträge müssen die Vorgaben aus AT 9 MaRisk und Artikel 28 bis 30 DORA abbilden, das heißt, sie müssen Regelungen zu Informations- und Prüfrechten, Weisungsrechten, Unterauslagerungsregelungen sowie zu einer geregelten Ausstiegsstrategie enthalten. Drittens ist die operative Verfügbarkeit des ISB zu prüfen. Ein externer ISB muss bei sicherheitsrelevanten Vorfällen kurzfristig erreichbar sein, er muss die Meldefristen nach DORA einhalten können und er muss mit einer klaren Vertretungsregelung arbeiten. Viertens ist die Unabhängigkeit vom übrigen IT-Dienstleistungsportfolio des Anbieters von Bedeutung. Ein Anbieter, der gleichzeitig den IT-Betrieb oder das SOC des Instituts verantwortet, produziert denselben Interessenkonflikt, den die Auslagerung ja eigentlich beseitigen soll.

Institute, die systematisch nach diesen Kriterien suchen, gewinnen mehr als eine Compliance-konforme Rollenbesetzung. Sie erhalten Zugriff auf Best-Practice-Erfahrung aus vergleichbaren Häusern, kürzere Reaktionszeiten bei neuen aufsichtsrechtlichen Konsultationen und eine belastbare Dokumentationsgrundlage für die nächste Prüfung durch Bundesbank oder BaFin.

Handlungsschritte für Vorstände und CISOs

Vorstände BaFin-regulierter Institute sollten in einem ersten Schritt die aktuelle ISB-Konstruktion systematisch an den Governance- und IKT-Risikomanagementanforderungen der DORA (insbesondere Artikel 5 ff.) sowie an den Organisations- und Auslagerungsanforderungen der MaRisk (AT 4.4, AT 9) messen.

Eine Gap-Analyse mit dokumentierten Prüfpunkten ist der erste Schritt, um zu entscheiden, ob die interne Weiterentwicklung ausreicht oder ob die Auslagerung an einen spezialisierten Dienstleister der schnellste Weg zur regelkonformen Funktionstrennung ist. Wo die internen Kapazitäten fehlen oder Interessenkonflikte entstehen, ist die Auslagerung die richtige Entscheidung.

Der zweite Schritt ist die saubere vertragliche Ausgestaltung mit klaren Service-Level-Vereinbarungen, Berichtszyklen und Eskalationsmechanismen. Der dritte Schritt ist die Verankerung des externen ISB in der institutseigenen Governance, also die formale Einbindung in Risikoausschuss, IT-Steuerungskreis und Meldeprozesse gegenüber der Aufsicht.

Wer diese Schritte konsequent geht, verringert das Risiko aufsichtsrechtlicher Feststellungen, entlastet die eigene IT-Organisation und verankert die Informationssicherheit dort, wo sie aufsichtsrechtlich hingehört: außerhalb der operativen Weisungskette mit direkter Berichtslinie zur Geschäftsleitung.