1 · Bestandsaufnahme
Recht: DORA Art. 5–8 und Art. 28, WpIG und DSGVO.
Norm: ISO 27001 / ISO 27005 / ISO 19770-1.
IT: Inventar und Abhängigkeiten, Rollen-/Rechtekonzept, Dienstleisterübersicht.
Abgabe: RACI, CMDB, Risikoregister.
Entwicklung · von Gesetzesanforderungen zum prüfbaren IT-Betrieb
Ein didaktischer Implementierungspfad für einen IT-Koordinator. Prioritäten sind Lern-/Arbeitsvorschläge, keine Feststellung von Aramea-Defiziten.
2 · Kontrollen etablieren
Recht: DORA Art. 9–12 und 17–19; RTS/ITS.
Norm: ISO 27002, ISO 22301, ISO 20000-1.
IT: IAM/MFA, Monitoring, Backup-Restore, Incident-Workflow.
Abgabe: Kontrolltest, Wiederanlaufnachweis, Meldematrix.
3 · Wirksamkeit nachweisen
Recht: DORA Art. 24–30, TLPT nur falls ausgewählt.
Norm: ISO 19011:2026, ISO 27036, TIBER-EU.
IT: Tests und Retests, Providerbewertung, Prüfpfade.
Abgabe: Auditbericht, Maßnahmen-Owner und Fristen.
Praxisfall: Informationsregister nach DORA Art. 28 Abs. 3
Die folgenden drei Unternehmen dienen nur als Lernbeispiele aus der gelieferten Recherche. Es ist nicht nachgewiesen, dass Aramea diese Dienstleister tatsächlich beauftragt hat. Entscheidend ist die Kritikalität der unterstützten Funktion und nicht der bloße Name des Providers.
Wie wird aus dem Beispiel ein belastbares Register?
Erfasse Vertragsreferenz, Dienstleistungskategorie, kritische/wichtige Funktion, ICT-Provider, Leistungs- und Datenstandorte, Subunternehmer, Ansprechpartner, Vertragslaufzeit, Exit-Strategie und Art der Abhängigkeit. Nutze die verbindlichen Standardvorlagen aus ITS 2024/2956. Prüfung benötigt Vertragsunterlagen statt angenommener Cloud-Regionen.
ARAMEA: Was ist bekannt – was muss geprüft werden?
✓ Öffentlich bestätigt
ARAMEA Asset Management AG, Mönckebergstraße 31, 20095 Hamburg.
BaFin-zugelassenes Wertpapierinstitut nach WpIG; Tätigkeiten: Finanzportfolioverwaltung, Anlageberatung, Anlagevermittlung und Abschlussvermittlung.
Kunden u. a. institutionelle Anleger; Investment- und Fondsmanagement als Kerngeschäft.
Auf der Unternehmenswebsite: Datenschutzbeauftragter benannt; Website-Hosting bei IONOS angegeben. Das belegt nicht den Provider der internen IT.
▣ Aus der besprochenen Stellenbeschreibung
- Interne IT koordinieren und externe IT-Dienstleister steuern
- Schnittstelle zu Geschäftsführung, Fachbereichen und Compliance
- Benutzer- und Berechtigungsmanagement, Microsoft-Umfeld
- IT-Betrieb, Informationssicherheit, Datenschutz, Regulatorik
Dies sind Rollenanforderungen aus dem Bewerbungsprozess, keine Bestätigung der tatsächlich eingesetzten Produkte.
? Noch nicht verifiziert
- IT-Systemlandschaft, Cloud-/On-Prem-Architektur, konkretes PMS/OMS
- DORA-Geltungsdetails, mögliche Ausnahmen, Reifegrad und Status der Maßnahmen
- Outsourcing-Register, Vertragslage und kritische Dienstleister
- TLPT-Auswahl durch die zuständige Aufsicht
- Umfang des ISMS, Notfall- und Backup-Tests
Keine Sicherheitslücke wird unterstellt. Alle folgenden Beispiele sind mögliche Prüfansätze.
Regulatorische Einordnung: Ausgangspunkt sind das WpIG und die tatsächliche Erlaubnis als Wertpapierinstitut. DORA ist sektorspezifisch und verhältnismäßig anzuwenden; Sonderregeln und mögliche Ausnahmen sind anhand des konkreten Instituts zu prüfen. NIS2 ist nicht automatisch eine zweite parallele Vollpflicht, sondern erfordert eine eigene Anwendbarkeitsprüfung einschließlich sektoraler Abgrenzungen. Eine TLPT-Pflicht kann nicht aus dem Wort „Asset Manager“ abgeleitet werden.