DORA operativ umsetzen. Mit einem CISO, der den Nachweis führt.

Nein, materiell nicht. § 28 Abs. 6 Nr. 1 BSIG nimmt DORA-Finanzunternehmen von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus: IKT-Risikomanagement und Vorfallmeldungen laufen über DORA und die BaFin. Es bleibt die Registrierung nach § 33 BSIG, sofern Ihr Unternehmen nach BSIG als besonders wichtige oder wichtige Einrichtung gilt; das entscheiden Einrichtungsart und Größenschwellen. DORA allein macht kein Unternehmen zur Einrichtung nach Anlage 1 BSIG. Greift die Registrierungspflicht, beträgt die Frist drei Monate ab Eintritt der Voraussetzungen. Die Verantwortung der Geschäftsleitung bleibt: DORA weist sie dem Leitungsorgan selbst zu, samt regelmäßiger Schulungen zu IKT-Risiken.

Er führt die Umsetzung der Pflichten zur Informationssicherheit: IKT-Risikomanagement, Vorfallprozess, Testprogramm, Steuerung der IKT-Drittdienstleister und den Nachweis in OdySecure. Die Gesamtverantwortung bleibt beim Leitungsorgan. Rechtliche Einordnung und Vertragsverhandlungen bleiben bei Ihren Fachbereichen oder Ihrer Kanzlei.

EBA/CP/2025/12 (Entwurf) ist ein Konsultationspapier und skizziert 19 Felder, darunter: Eindeutige Vertragsnummer, Funktion, Kritikalität, Datenflüsse, Datenstandort, Subunternehmer-Identität, vertragliche SLA, Kündigungsmodalitäten, Exit-Strategie. OdySecure enthält ein vorbereitetes Auslagerungsregister mit allen 19 Feldern und KI-Unterstützung bei der Vertragsanalyse. Die finalen Leitlinien hat die EBA am 18. September 2026 veröffentlicht; das Register ist am Konsultationsentwurf ausgerichtet.

Die BAIT laufen aus: DORA-pflichtige Finanzunternehmen hat die BaFin zum 17. Januar 2025 aus dem BAIT-Anwenderkreis genommen, die übrigen BAIT werden nach BaFin-Angaben schrittweise bis Ende 2026 aufgehoben. Die VAIT hat die BaFin im Januar 2025 aufgehoben. Die MaRisk sind aufsichtsrechtliche Erwartungen der BaFin, kein Gesetz im strengen Sinn; sie bestehen fort. Ihr vCISO führt die Anforderungen an die Informationssicherheit aus DORA und MaRisk in OdySecure aus einem Kontroll-Set; Kredit-, Marktpreis- und Liquiditätsrisiken bleiben bei Ihrem Risikocontrolling.

Wenn die Verträge digital vorliegen, typisch 4 bis 8 Wochen bis zum prüffähigen Register. Die Vertragsanalyse mit KI-Unterstützung extrahiert die EBA-Pflichtfelder weitgehend automatisch, Compliance-Team kontrolliert und ergänzt. Manuelle Erfassung dauert deutlich länger.

Im vCISO-Mandat ab 3.600 €/Monat, OdySecure ist enthalten. Für eine befristete Lücke arbeitet ein Interim CISO für typisch 8.000 bis 15.000 € im Monat, projektbezogen. Häuser mit eigenem CISO lizenzieren die Plattform allein ab 12.900 € im Jahr; die Stufen stehen auf der Preisseite. Das Erstgespräch liefert eine erste Aufwandsschätzung.