Verlangt DORA einen fest angestellten CISO?
Oft begegnet uns die Meinung, DORA lasse sich nur mit einem fest angestellten CISO erfüllen. Die Verordnung selbst gibt das nicht her. Grundsätzlich kann ein DORA-pflichtiges Finanzunternehmen einen externen CISO für die Kontrollfunktion einsetzen, die nach gängiger Lesart die zweite Verteidigungslinie bildet. Entscheidend sind das konkrete Mandat, die Unabhängigkeit und die Auslagerungsregeln des jeweiligen Sektors.
Was Art. 6 Abs. 4 DORA verlangt
Finanzunternehmen, die keine Kleinstunternehmen sind, übertragen nach Art. 6 Abs. 4 DORA die Zuständigkeit für das Management und die Überwachung des IKT-Risikos einer Kontrollfunktion. Die BaFin nennt sie IKT-Risikokontrollfunktion. Die Unternehmen sichern ihr ein angemessenes Maß an Unabhängigkeit, um Interessenkonflikte zu vermeiden. Außerdem trennen sie IKT-Risikomanagementfunktionen, Kontrollfunktionen und interne Revisionsfunktionen nach dem Modell der drei Verteidigungslinien oder nach einem internen Modell für Risikomanagement und Kontrolle.
Mit wem das Unternehmen die Funktion besetzt, legt die Verordnung nicht fest. Wir haben den deutschen und den englischen Amtsblatttext am 23. Oktober 2026 durchsucht. Die Abkürzung CISO kommt in keinem der beiden vor. Im deutschen Text fehlen auch Informationssicherheitsbeauftragter, Arbeitsvertrag, Festanstellung und Vollzeit, und in Art. 6 kommen weder Mitarbeiter noch Personal vor. Eine Vorgabe zur Stelle oder zum Anstellungsverhältnis enthält DORA damit nicht.
Dass die Kontrollfunktion die zweite Linie bildet, ist eine Lesart. Art. 6 Abs. 4 nennt die drei Funktionen zwar in dieser Reihenfolge, setzt die Kontrollfunktion aber nicht ausdrücklich mit der zweiten Linie gleich und lässt auch ein internes Modell zu. Nach Art. 4 Abs. 1 setzen die Unternehmen die Regeln verhältnismäßig um und berücksichtigen dabei unter anderem ihre Größe und ihr Gesamtrisikoprofil.
Kleinstunternehmen brauchen keine Kontrollfunktion nach Art. 6 Abs. 4. Das sind Finanzunternehmen mit weniger als zehn Beschäftigten und höchstens 2 Mio. Euro Jahresumsatz oder Jahresbilanzsumme. Handelsplätze, zentrale Gegenparteien, Transaktionsregister und Zentralverwahrer gehören nie dazu.
Was die Aufsicht dazu schreibt
Die BaFin hält in ihren Hinweisen zur Umsetzung von DORA (Stand Juni 2024) fest, dass DORA kein Verbot der Auslagerung von IKT-Risikomanagementfunktionen vorsieht. Als Beispiel nennt sie Art. 6 Abs. 10. Danach können Finanzunternehmen die Überprüfung der Einhaltung der Anforderungen an das IKT-Risikomanagement an gruppeninterne oder externe Unternehmen auslagern. Diese Vorschrift betrifft die Überprüfung, nicht die Kontrollfunktion selbst.
Sie schreibt weiter, dass sektorale Regeln im konkreten Fall Voraussetzungen, Bedingungen oder Grenzen für eine Auslagerung setzen können. Das Finanzunternehmen bleibt für das IKT-Risikomanagement uneingeschränkt verantwortlich. Die Hinweise sind nach Angabe der BaFin eine nicht verpflichtende Hilfestellung.
An der zitierten Stelle spricht die BaFin von IKT-Risikomanagementfunktionen. Dass der Satz auch die Kontrollfunktion einschließt, ist unsere Lesart. Die österreichische Finanzmarktaufsicht FMA stützt sie in ihren Fragen und Antworten zu DORA: „CISO-Vorgaben sind in der DORA-VO nicht umfasst.“ Die IKT-Risikokontrollfunktion könne auch der CISO wahrnehmen, sofern ein angemessenes Maß an Unabhängigkeit gewährleistet ist. Für den Fall, dass Externe die CISO-Funktion wahrnehmen, verweist die FMA auf die Abgrenzung der Aufgaben und auf die sektoralen Auslagerungsregeln.
Nach ihrem eigenen Hinweis sind die Antworten der FMA keine verbindliche Auslegung. Für deutsche Häuser sind sie eine Orientierung; den Maßstab setzt die BaFin.
Die BaFin vergleicht die IKT-Risikokontrollfunktion mit dem Informationssicherheitsbeauftragten aus ihren früheren IT-Rundschreiben BAIT und VAIT: in Stellung und Unabhängigkeit ähnlich, aber nicht identisch ausgestaltet. Soll der bisherige Informationssicherheitsbeauftragte die Aufgaben der Kontrollfunktion übernehmen, sollte nach der Empfehlung der BaFin sichergestellt sein, dass er auch die Aufgaben des IKT-Risikomanagements wahrnimmt.
Woher die Meinung vermutlich kommt
Die Vorstellung vom fest angestellten CISO stammt vermutlich aus diesen Rundschreiben. Die BAIT verlangten, die Funktion des Informationssicherheitsbeauftragten „grundsätzlich im eigenen Haus vorzuhalten“. Eine Ausnahme galt für regional tätige und kleine Institute ohne wesentliche eigenbetriebene IT, mit gleichgerichtetem Geschäftsmodell und gemeinsamen IT-Dienstleistern für bankfachliche Prozesse. Mit Blick auf die in Verbund oder Gruppe regelmäßig vorhandenen Kontrollmechanismen durften sie einen gemeinsamen Informationssicherheitsbeauftragten bestellen. Vertraglich musste gesichert sein, dass er die Aufgaben in allen betreffenden Instituten jederzeit wahrnehmen kann. Jedes Institut musste eine zuständige Ansprechperson benennen. Die Möglichkeit externer Unterstützung per Servicevertrag blieb unberührt.
Die VAIT waren für Versicherer weicher gefasst. Jedes Unternehmen „sollte“ die Funktion im eigenen Unternehmen vorhalten, und für eine Ausgliederung galten eigene Anforderungen.
Für DORA-Unternehmen gelten diese Regeln nicht mehr. Die BaFin hat die VAIT mit Ablauf des 16. Januar 2025 aufgehoben. Institute, die ein IKT-Risikomanagement nach DORA betreiben müssen, sind seit dem 17. Januar 2025 aus dem Anwenderkreis der BAIT ausgenommen, und mit Ablauf des 31. Dezember 2026 hebt die BaFin die BAIT ganz auf. Eine Pflicht, die Funktion im eigenen Haus vorzuhalten, kennt DORA nicht.
Entscheidend ist das Mandat
Nach Auffassung der FMA wäre zunächst zu definieren, welche Aufgaben die CISO-Funktion umfasst und ob sie sich mit denen der Kontrollfunktion decken. Diese Reihenfolge halten wir auch für deutsche Häuser für richtig. Ein Mandat für Richtlinien und Schulungen ist etwas anderes als die Zuständigkeit für Management und Überwachung des IKT-Risikos. Bei wesentlichen Auslagerungen verlangen die MaRisk zudem, die Leistung im Auslagerungsvertrag zu spezifizieren und gegebenenfalls abzugrenzen.
Gehört zum Mandat eine Software, ist jeder Bestandteil einzeln einzuordnen. IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, nehmen die MaRisk aus ihrem Auslagerungsabschnitt AT 9 aus. Die Tätigkeit des CISO selbst ist nach unserer Lesart keine solche IKT-Dienstleistung. Ein dauerhaftes Mandat ist auch kein einmaliger oder gelegentlicher Fremdbezug, den die MaRisk von der Auslagerung ausnehmen. Nach dieser Lesart gilt für die CISO-Leistung bei Banken AT 9. Unser vCISO-Mandat enthält die Plattform OdySecure, und dieser Teil kann eine IKT-Dienstleistung sein.
Unabhängigkeit vom eigenen IT-Dienstleister
Art. 6 Abs. 4 verlangt die Unabhängigkeit der Kontrollfunktion, um Interessenkonflikte zu vermeiden, und trennt sie von den IKT-Risikomanagementfunktionen. Wir folgern daraus: Kommt der externe CISO vom IT-Dienstleister des Hauses, bewertet er den Betrieb seines eigenen Arbeitgebers. Keine der von uns geprüften Quellen verbietet diese Konstellation ausdrücklich. Sie schafft aber den Interessenkonflikt, den die Vorschrift vermeiden will.
Die MaGo verlangen auch bei einer Ausgliederung eine angemessene Trennung der Zuständigkeiten, auf Seiten des Dienstleisters ebenso wie im Unternehmen. Nach den Auslagerungsleitlinien der EBA bleibt das Leitungsorgan für den Umgang mit Interessenkonflikten in vollem Umfang verantwortlich. Einen Berichtsweg legt Art. 6 Abs. 4 nicht fest; die FMA verweist für die organisatorische Ausgestaltung auf eine individuelle Würdigung. Kombiniert ein Institut die Compliance-Funktion mit der IKT-Risikokontrollfunktion, was die MaRisk ausdrücklich zulassen, muss eine direkte Berichtslinie zur Geschäftsleitung bestehen.
Banken: Auslagerung nach AT 9 der MaRisk
Für Banken unter Aufsicht der BaFin gelten die MaRisk in der Fassung des Rundschreibens 06/2026 (BA) vom 30. Juni 2026, der 9. MaRisk-Novelle. Für bedeutende Institute unter direkter Aufsicht der EZB gelten die MaRisk nicht. Nach AT 9 Tz. 4 dürfen Aktivitäten und Prozesse grundsätzlich ausgelagert werden, solange die Ordnungsmäßigkeit der Geschäftsorganisation nicht beeinträchtigt wird. Die Leitungsaufgaben der Geschäftsleitung dürfen nicht ausgelagert werden. Für die besonderen Funktionen Risikocontrolling, Compliance und Interne Revision gelten besondere Maßstäbe.
In Kontrollbereichen ist eine Auslagerung nach Tz. 5 nur in einem Umfang möglich, der eine wirksame Überwachung der Dienstleistung gewährleistet. Der ordnungsmäßige Betrieb muss bei Bedarf fortgesetzt werden können, etwa wenn das Auslagerungsverhältnis endet. Eine vollständige Auslagerung der drei besonderen Funktionen ist für Tochterinstitute innerhalb einer Institutsgruppe zulässig, die für den nationalen Finanzsektor und innerhalb der Gruppe nicht wesentlich sind. Dasselbe gilt für Gruppen, deren Mutterunternehmen kein Institut ist und im Inland sitzt. Für Compliance und Interne Revision ist sie zusätzlich bei Instituten zulässig, deren Bilanzsumme im Vierjahresdurchschnitt 1 Mrd. Euro nicht überschreitet.
Die IKT-Risikokontrollfunktion führen die MaRisk nicht als eigene besondere Funktion. Sie nennen sie als eine der Funktionen, mit denen sich die Compliance-Funktion kombinieren lässt. Ob sie Teil der Risikocontrolling-Funktion ist, regeln die MaRisk nicht ausdrücklich. IKT-Risiken zählen dort zu den operationellen Risiken, und die Risikocontrolling-Funktion ist für die Überwachung wesentlicher Risiken zuständig. Die EBA rechnet die Kontrollfunktion nach Art. 6 Abs. 4 in der Begründung ihrer neuen, noch nicht anwendbaren Leitlinien EBA/GL/2026/09 zur Risikomanagementfunktion und damit zu den internen Kontrollfunktionen.
Hinzu kommen die Auslagerungsleitlinien der EBA (EBA/GL/2019/02), die in Deutschland über die MaRisk umgesetzt sind. Danach gilt die Auslagerung operationeller Aufgaben interner Kontrollfunktionen stets als kritisch oder wesentlich. Ausgenommen ist der Fall, dass die Bewertung keine negativen Auswirkungen einer unzureichenden Wahrnehmung auf die Wirksamkeit der Kontrollfunktion zeigt.
Ordnet ein Institut die IKT-Risikokontrollfunktion der Risikocontrolling-Funktion zu, wäre ihre externe Wahrnehmung nach unserer Lesart eine teilweise Auslagerung dieser besonderen Funktion. Dann gelten die besonderen Maßstäbe aus AT 9 Tz. 4 und die Anforderungen an Überwachung und Fortführung aus Tz. 5. Nach der Erläuterung zu Tz. 2 ist zudem intensiv zu prüfen, wie die ausgelagerten Tätigkeiten in das Risikomanagement einbezogen bleiben. Davon zu unterscheiden ist die vollständige Auslagerung der gesamten Risikocontrolling-Funktion, für die Tz. 5 enge Voraussetzungen setzt. Für Banken halten wir deshalb fest, dass ein externes CISO-Mandat abhängig von Aufgaben und Sektorregeln in Betracht kommt. Soweit AT 9 gilt, müssen wirksame Überwachung und Fortführung gesichert bleiben. Die vollständige Auslagerbarkeit der IKT-Risikokontrollfunktion ist anhand der von uns geprüften Belege nicht abschließend geklärt.
Versicherer: Ausgliederung nach den MaGo
Versicherer unter Solvabilität II folgen den MaGo, Rundschreiben 09/2025 (VA), in Kraft seit dem 14. Oktober 2025. Ihr Wortlaut ist an dieser Stelle weiter als der der MaRisk. Bei jedem Unternehmen ist eine Ausgliederung sämtlicher Schlüsselfunktionen und selbst definierter Schlüsselaufgaben möglich. Die Letztverantwortung der gesamten Geschäftsleitung bleibt bestehen, und originäre Leitungsaufgaben können nicht ausgegliedert werden. Schlüsselfunktionen gelten immer als wichtig, und für ihre Ausgliederung braucht es stets eine Ausgliederungsbeauftragte oder einen Ausgliederungsbeauftragten.
Die Kontrollfunktion nach Art. 6 Abs. 4 nennen die MaGo nicht. Ob ein Versicherer sie einer Schlüsselfunktion zuordnet und ob sie als wichtige Funktion gilt, muss das Unternehmen selbst bewerten. Die Wichtigkeit stellt es nach den MaGo eigenverantwortlich und einzelfallbezogen fest. Davon hängen die Anforderungen an die Ausgliederung ab. Diese Bewertung gehört deshalb an den Anfang eines externen Mandats.
Kleine Häuser und der vereinfachte Rahmen
Der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA sieht keine IKT-Risikokontrollfunktion vor. In Deutschland betrifft er nach der BaFin kleine und nicht verflochtene Wertpapierinstitute, kleine Einrichtungen der betrieblichen Altersversorgung und Versicherungsholdings. Ab dem 1. Januar 2027 kommen Institute hinzu, die nicht unter die CRR fallen, etwa Bürgschaftsbanken sowie Finanzierungsleasing- und Factoringinstitute.
Auch im vereinfachten Rahmen müssen Kontrollfunktionen und interne Revision angemessen getrennt und unabhängig sein. Die Überprüfung der Einhaltung dürfen diese Unternehmen nur an gruppeninterne IKT-Unternehmen oder IKT-Drittdienstleister auslagern. Für Kapitalverwaltungsgesellschaften sowie Zahlungs- und E-Geld-Institute gelten eigene Auslagerungsregeln, die wir für diesen Beitrag nicht geprüft haben.
Die Verantwortung bleibt beim Leitungsorgan
Nach Art. 5 Abs. 2 DORA trägt das Leitungsorgan die letztendliche Verantwortung für das Management der IKT-Risiken. Es trägt auch die Gesamtverantwortung für die Strategie für die digitale operationale Resilienz. Eine Auslagerung verlagert diese Verantwortung nicht, und das halten DORA, BaFin, MaRisk, MaGo und die Leitlinien der EBA übereinstimmend fest.
So halten wir es auch in unseren Mandaten. Unser vCISO führt die Umsetzung und informiert die Geschäftsleitung laufend; Pflichten und Verantwortung bleiben bei der Einrichtung und ihrer Geschäftsleitung. Aus unseren Referenzen: „Moonfare: Cybervize als Interim CISO bei der DORA-Umsetzung und beim ISO-27001-Audit“.
Wie wir die CISO-Funktion als Mandat besetzen, beschreibt die Seite zum vCISO. Für eine kurzfristige Vakanz gibt es den Interim CISO. Die Grundlagen der ersten DORA-Säule erklärt unser Wissensartikel zum IKT-Risikomanagement nach DORA.
Vier Fragen vor dem Mandat
Aus den Quellen ergeben sich vier Fragen, die vor einem externen CISO-Mandat beantwortet sein sollten.
Welche Aufgaben umfasst das Mandat, und decken sie sich mit der Kontrollfunktion nach Art. 6 Abs. 4?
Ist der CISO unabhängig von den Bereichen und Dienstleistern, deren IKT-Risiken er bewerten soll?
Welche Auslagerungsregeln gelten, AT 9 der MaRisk, die MaGo oder die Regeln eines anderen Sektors, und ist jeder Bestandteil des Mandats eingeordnet?
Wer im Haus steuert das Mandat, prüft seine Leistung und berichtet der Geschäftsleitung?
Quellen: DORA, Amtsblatttext; BaFin, Hinweise zur Umsetzung von DORA im IKT-Risikomanagement, Stand Juni 2024; BaFin, Hinweise zum vereinfachten Rahmen nach Art. 16 DORA, Stand August 2025; BaFin, MaRisk, Rundschreiben 06/2026 (BA); BaFin, MaGo für SII-VU, Rundschreiben 09/2025 (VA); BaFin, BAIT in der Fassung vom 16.12.2024; BaFin, VAIT in der Fassung vom 03.03.2022; BaFin-Meldung vom 10.01.2025 zur Aufhebung von BAIT und VAIT; FMA, DORA IKT-Risikomanagement, Fragen und Antworten; EBA, Leitlinien zu Auslagerungen (EBA/GL/2019/02); EBA, Leitlinien zu Drittparteienrisiken bei Nicht-IKT-Diensten (EBA/GL/2026/09).