ICT- & Cyber-Risikomanagement für Finanzdienstleister, prüffähig aufgesetzt
Banken, Versicherer, Wertpapierhäuser, FinTechs und Vermögensverwalter müssen ihre ICT- und Cyber-Risiken steuern wie ein operationelles Kernrisiko. DORA Säule 1 verlangt ein vollständiges ICT-Risikomanagement-Rahmenwerk, die FINMA erwartet operationelle Resilienz. Wir bauen dieses Rahmenwerk auf einer ISO-27001-Basis auf, mit Asset- und Risikoregister, BCM und board-tauglichem Reporting. Den Geltungsbereich prüfen wir je Institut.
DORA Säule 1 · FINMA RS 2023/01ISO-27001-BasisDE · FR · EN
Für Risk-, ICT- und Compliance-Verantwortliche bei Banken, Versicherern und FinTechs
DORA Säule 1
ICT-Risikorahmen
FINMA RS 2023/01
operationelle Resilienz
ISO 27001
ISMS als Basis
Asset- & Risikoregister
prüffähig
CH · EU
mehrsprachig DE/FR/EN
Verantwortlich für dieses Mandat
Philipp Staiger
M.Sc., MIT Sloan Fellow · Lead Auditor ISO 27001 (BSI)
Begleitet ISO-27001- und ISMS-Projekte im Gesundheitswesen vom Scope-Workshop bis zur Stage-2-Auditbegleitung, als Schnittstelle zu Geschäftsleitung, IT, Datenschutz und externer Zertifizierungsstelle.
ICT-Risikomanagement ist eine aufsichtsrechtliche Pflicht geworden
DORA Säule 1 verlangt ein vollständiges, dokumentiertes ICT-Risikomanagement-Rahmenwerk, und die FINMA erwartet, dass ICT- und Cyber-Risiken wie operationelle Kernrisiken gesteuert werden. Was im Einzelfall direkt oder indirekt gilt, prüfen wir je Institut.
Das FINMA-Rundschreiben 2023/01 zu operationellen Risiken und Resilienz bei Banken ist in Kraft und gilt für FINMA-beaufsichtigte Institute. Es erwartet, dass ICT- und Cyber-Risiken identifiziert, bewertet, begrenzt und überwacht werden, eingebettet in eine Governance, die bis zum Verwaltungsrat reicht. Damit ist ein gelebtes ICT-Risikomanagement keine Kür mehr, sondern Teil der aufsichtsrechtlichen Erwartungshaltung.
DORA, der EU Digital Operational Resilience Act, gilt in der EU seit dem 17. Januar 2025 und verlangt in Säule 1 ein ICT-Risikomanagement-Rahmenwerk über den vollen Lebenszyklus: Governance und Verantwortlichkeiten, Identifikation der ICT-Assets und -Risiken, Schutz und Prävention, Detektion, Reaktion und Wiederherstellung sowie ein strukturiertes Lernen aus Vorfällen. Für Schweizer Institute gilt DORA in der Regel indirekt, über EU-Niederlassungen oder -Töchter oder über Verträge mit EU-regulierten Finanzunternehmen. Ob DORA direkt oder indirekt greift, klären wir je Institut.
Ein belastbares Rahmenwerk steht nicht für sich. Es braucht ein gepflegtes ICT-Asset- und Risikoregister als Grundlage, eine Anbindung an das Business-Continuity-Management mit definierten Wiederanlaufzeiten, und ein Reporting, das dem Verwaltungsrat ein klares Bild der ICT-Risikolage gibt. Genau diese Bausteine machen wir prüffähig.
Ein dokumentiertes ICT-Risikomanagement-Rahmenwerk mit Governance, Rollen und Verantwortlichkeiten nach DORA Säule 1
Identifikation und Klassifikation der ICT-Assets und -Risiken in einem gepflegten Register
Schutz- und Präventionsmassnahmen, abgestimmt auf die Risikolage und FINMA-Erwartungen
Detektion, Reaktion und Wiederherstellung mit Anbindung an BCM und definierten Wiederanlaufzeiten (RTO)
Strukturiertes Lernen aus Vorfällen und regelmässige Aktualisierung des Rahmenwerks
Board-taugliches ICT-Risikoreporting an Geschäftsleitung und Verwaltungsrat
So bauen wir Ihr ICT-Risikomanagement-Rahmenwerk auf
Wir verankern das ICT-Risikomanagement auf einer ISO-27001-Basis. So entsteht kein paralleles DORA-Silo, sondern ein integriertes Rahmenwerk, das FINMA-Erwartungen und DORA Säule 1 mit denselben Nachweisen bedient.
Wir starten mit einer ISO-27001-Basis als gemeinsamem Fundament. Ein Information Security Management System liefert die Governance, die Risikomethodik und den Massnahmenkatalog, an den sich die spezifischen DORA- und FINMA-Anforderungen sauber andocken lassen. Wo bereits ein ISMS besteht, schliessen wir die Lücken zum ICT-Risikorahmen, statt von vorne zu beginnen.
Den Kern bildet ein ICT-Asset- und Risikoregister. Wir erfassen Ihre ICT-Assets, ordnen sie kritischen Geschäftsfunktionen zu und bewerten die Risiken nach einer konsistenten Methodik. Daraus leiten wir die Kontrollauswahl ab und schliessen die Lücken priorisiert, von Schutz und Prävention über Detektion bis zu Reaktion und Wiederherstellung. Register, Risiken und Massnahmen pflegen wir in der Priverion-Plattform, der Schweizer Compliance-Management-Software, sodass der Nachweis jederzeit gepflegt und exportierbar bereitliegt.
Wir richten das Rahmenwerk am Business-Continuity-Management aus. Kritische ICT-Assets erhalten definierte Wiederanlaufzeiten, die mit den fachlichen Anforderungen abgestimmt sind, und die Detektions- und Wiederherstellungsprozesse greifen ineinander. Operative Bausteine wie Schwachstellenscans und Penetrationstests sind feste SIDD-Leistungen und fliessen direkt in die Schutz- und Detektionsschicht ein. Laufendes 24/7-Monitoring und gemanagte Incident Response koordinieren wir bei Bedarf mit spezialisierten Partnern, das hält unsere Beratung unabhängig.
Den Abschluss bildet ein board-taugliches ICT-Risikoreporting. Wir liefern Geschäftsleitung und Verwaltungsrat ein klares, konsistentes Bild der ICT-Risikolage, der offenen Massnahmen und des Restrisikos, in der Sprache, die das Gremium versteht. So wird die aufsichtsrechtliche Erwartung an Governance und Verantwortlichkeit nachweisbar erfüllt. Wir arbeiten durchgängig in Deutsch, Französisch und Englisch.
Warum SIDD für Ihr ICT-Risikomanagement
Ein ICT-Risikorahmen verbindet aufsichtsrechtliche Anforderungen mit gelebter technischer Sicherheit. Genau diese Kombination decken wir aus einer Hand ab, rechtlich geführt und technisch fundiert.
Recht und Security aus einer Hand
Die aufsichtsrechtliche Einordnung von DORA und FINMA führen promovierte Juristinnen und Juristen, das ICT-Rahmenwerk und die technischen Massnahmen ein eigenes Technik-Team unter einem ISO-27001-Lead-Auditor. So passen die regulatorische Auslegung und die technische Umsetzung zusammen.
ISO-27001-Basis statt DORA-Silo
Wir bauen das ICT-Risikomanagement auf einem ISMS auf, statt ein paralleles DORA-Konstrukt zu schaffen. Ein gemeinsames Fundament bedient FINMA-Erwartungen, DORA Säule 1 und eine spätere ISO-Zertifizierung mit denselben Nachweisen.
Prüffähige Nachweise im Tooling
ICT-Asset- und Risikoregister, Kontrollen, Massnahmen und Reporting pflegen wir in der Priverion-Plattform. Fragt die FINMA, der Wirtschaftsprüfer oder eine interne Revision nach, liegt der Nachweis gepflegt und exportierbar vor.
BCM und RTO mitgedacht
Wir verbinden das ICT-Risikomanagement mit dem Business-Continuity-Management und definieren Wiederanlaufzeiten für kritische Funktionen. So zahlt der Risikorahmen direkt auf die operationelle Resilienz ein, die FINMA und DORA erwarten.
Tests inklusive, unabhängig beraten
Schwachstellenscans und Penetrationstests gehören zu unseren festen Leistungen und fliessen direkt in die Schutz- und Detektionsschicht ein. Laufendes 24/7-Monitoring und gemanagte Incident Response koordinieren wir bei Bedarf mit spezialisierten Partnern, da wir kein eigenes SOC verkaufen, bleibt unsere Beratung unabhängig.
Mehrsprachig & für den Finanzsektor
Wir beraten in Deutsch, Französisch und Englisch, passend für Schweizer Institute und Gruppen mit EU-Bezug. Das Reporting bringen wir in die Sprache, die Geschäftsleitung und Verwaltungsrat verstehen, und richten es auf die aufsichtsrechtliche Erwartung aus.
Zwei Wege zu einem prüffähigen ICT-Risikomanagement
ICT-Risikomanagement-Rahmenwerk
Festpreis
Der einmalige Aufbau Ihres ICT-Risikomanagement-Rahmenwerks auf einer ISO-27001-Basis, fertig für FINMA-Prüfung und DORA-Nachweis.
Dokumentiertes ICT-Risikomanagement-Rahmenwerk nach DORA Säule 1 mit Governance und Rollen
ICT-Asset- und Risikoregister, aufgesetzt und in der Priverion-Plattform geführt
Kontrollauswahl und priorisierte Lückenschliessung auf einer ISO-27001-Basis
BCM-Ausrichtung mit definierten Wiederanlaufzeiten (RTO) für kritische ICT-Assets
Board-taugliches ICT-Risikoreporting für Geschäftsleitung und Verwaltungsrat
Der laufende Betrieb: jemand, der das ICT-Risikoregister pflegt, das Reporting erstellt und das Rahmenwerk im Takt der Aufsicht aktuell hält.
vCISO als fester Ansprechpartner für ICT- und Cyber-Risiko
Laufende Pflege von ICT-Asset- und Risikoregister, Kontrollen und Massnahmen in der Priverion-Plattform
Periodisches ICT-Risikoreporting an Geschäftsleitung und Verwaltungsrat
Aktualisierung des Rahmenwerks bei neuen FINMA- und DORA-Anforderungen, Geltungsbereich im Einzelfall geprüft
Koordination von Schwachstellenscans und Penetrationstests sowie, bei Bedarf, von Monitoring und Incident Response mit spezialisierten Partnern
LexCMD
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihr ICT-Risikomanagement-Rahmenwerk: LexCommand füllt Richtlinien, Risikoregister und Kontrollnachweise als nachverfolgte Word-Vorlagen mit belegten Inhalten und spiegelt Ihre Controls zugleich auf DORA, FINMA-RS 2023/01 und ISO 27001, sodass überlappende Anforderungen zusammen sichtbar werden.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Gilt DORA für uns als Schweizer Institut?
DORA gilt in der EU seit dem 17. Januar 2025. Für Schweizer Institute greift es in der Regel indirekt, etwa über eine EU-Niederlassung oder -Tochter oder über Verträge mit EU-regulierten Finanzunternehmen, die DORA-Anforderungen vertraglich weitergeben. Ob DORA direkt oder indirekt auf Ihr Institut wirkt, prüfen wir im Einzelfall und richten das Rahmenwerk entsprechend aus.
Brauchen wir ISO 27001, um DORA und FINMA zu erfüllen?
Eine ISO-27001-Zertifizierung ist nicht zwingend, aber ein ISMS nach ISO 27001 ist die wirtschaftlichste Basis. Es liefert Governance, Risikomethodik und Massnahmenkatalog, an die sich DORA Säule 1 und die FINMA-Erwartungen sauber andocken lassen, statt ein paralleles Silo zu bauen. Wir setzen das Rahmenwerk auf dieser Basis auf und bereiten eine Zertifizierung vor, falls Sie sie anstreben. Die Zertifizierung selbst stellt eine akkreditierte Zertifizierungsstelle aus, wir beraten und bereiten vor.
Was unterscheidet das ICT-Asset- und Risikoregister von einer einfachen Inventarliste?
Eine Inventarliste sagt, was Sie haben. Das ICT-Asset- und Risikoregister verbindet jedes Asset mit den kritischen Geschäftsfunktionen, die es trägt, bewertet die zugehörigen Risiken nach einer konsistenten Methodik und verknüpft sie mit Kontrollen, Massnahmen und Wiederanlaufzeiten. So entsteht aus einer Liste ein Steuerungsinstrument, das Reporting und Prüfungen direkt bedient. Wir führen es in der Priverion-Plattform.
Übernehmen Sie auch das laufende Monitoring und die Incident Response?
Wir bauen das Rahmenwerk, das ICT-Asset- und Risikoregister, die Detektions- und Wiederherstellungsprozesse sowie die Detektionslogik auf und führen Schwachstellenscans und Penetrationstests als feste Leistungen durch. Ein laufendes 24/7-Monitoring und eine gemanagte, live geführte Incident Response betreiben wir nicht selbst. Diese operativen Bausteine koordinieren wir bei Bedarf mit spezialisierten Partnern, das hält unsere Beratung unabhängig.
Wie hängt das ICT-Risikomanagement mit dem Reporting an die FINMA bei Cyber-Vorfällen zusammen?
Das Rahmenwerk liefert die Grundlage, um Vorfälle früh zu erkennen und einzuordnen. Die FINMA erwartet nach ihrer Aufsichtspraxis eine Meldung von Cyber-Angriffen innert rund 24 Stunden nach Feststellung. Damit das im Ernstfall trägt, müssen Detektion, Klassifikation und Meldewege vorbereitet sein. Diesen Meldeprozess vertiefen wir auf einer eigenen Seite, das ICT-Risikomanagement legt das Fundament dafür.
Arbeiten Sie auf Französisch und Englisch?
Ja. Wir bauen das Rahmenwerk und erstellen das Reporting durchgängig in Deutsch, Französisch und Englisch, relevant für Institute in der Deutschschweiz, der Romandie und für Gruppen mit EU-Bezug.
Passende nächste Schritte
Das ICT-Risikomanagement hängt eng mit der ISO-27001-Basis und dem laufenden Governance-Betrieb zusammen:
Wir bauen Ihr ICT-Risikomanagement-Rahmenwerk auf einer ISO-27001-Basis: Asset- und Risikoregister, BCM-Ausrichtung und board-taugliches Reporting, prüffähig für FINMA und DORA. Den Geltungsbereich prüfen wir je Institut.
