Mit DORA stehen alle regulierten Finanzunternehmen in Europa und ihre IKT-Drittdienstleister vor der gleichen Herausforderung: einen umfassenden Anforderungskatalog erfüllen und damit ihre digitale operationale Resilienz nachweisbar stärken. Für kleinere Organisationen heißt das konkret: Sie müssen diese Anforderungen mit schlanken Strukturen umsetzen, in denen jede Maßnahme gezielt wirken muss.
Vor dieser Ausgangslage stand die Pensionskasse der Frankfurter Sparkasse VVaG. Als Einrichtung der betrieblichen Altersversorgung mit einer kleinen IT-Landschaft galt es, zentrale DORA-Anforderungen so umzusetzen, dass sie regulatorisch belastbar sind und zugleich in der Organisation praktisch funktionieren.
Schnell wurde deutlich: Eine isolierte Umsetzung einzelner Maßnahmen greift an der Stelle zu kurz. Entscheidend ist ein strukturierter Ansatz, der Anforderungen bündelt, priorisiert und konsequent an den eigenen Rahmenbedingungen ausrichtet. Gemeinsam mit der usd AG entwickelte die Pensionskasse deshalb ein Vorgehen, das genau hier ansetzt: Klare Strukturen schaffen, Verantwortlichkeiten schärfen und regulatorische Anforderungen so übersetzen, dass sie im Alltag funktionieren und nachhaltig wirken.
Herausforderung: Komplexe Anforderungen in umsetzbare Lösungen übersetzen
Die Pensionskasse verfügt über eine schlanke Organisation und IT-Struktur. Als Finanzorganisation bzw. Einrichtung der betrieblichen Altersversorgung unterliegt sie dennoch vollständig den DORA-Anforderungen und muss diese umsetzen und nachweisen – trotz wesentlich geringerer Kapazitäten, als sie den anderen Organisationen zur Verfügung stehen.
Hauptziel war also, dass der gewählte Ansatz zu Größe, Struktur und Arbeitsweise der Organisation passt. Dabei ging es der Pensionskasse aber bewusst nicht darum, lediglich einzelne Vorgaben isoliert zu erfüllen, sondern die Anforderungen in ein konsistentes, in sich schlüssiges Gesamtbild zu überführen.
Im Fokus standen zentrale Themen der DORA wie Governance-Strukturen, Verantwortlichkeiten, IKT-Risikomanagement, IKT-Vorfallmanagement, IKT-Testmanagement und die Steuerung von IKT-Dienstleistern. Da die Pensionskasse auf spezialisiertes Know-how zurückgreift, muss sie diese Partner strukturiert erfassen, bewerten und wirksam in ihr eigenes Risikomanagement einbinden.
Lösungsansatz: Strukturen schaffen und Umsetzung aktiv steuern
Gemeinsam mit der usd AG entwickelte die Pensionskasse Maßnahmen, die Prüfungen standhalten und sich zugleich realistisch in den organisatorischen Alltag integrieren lassen. Eine wichtige Basis des gesamten Projektes bildete das Proportionalitätsprinzip. Dieses sorgt in der Finanzmarktregulierung dafür, dass sich Anforderungen, Kontrollen und Nachweispflichten an Größe, Komplexität und Risikoprofil des jeweiligen Finanzunternehmens orientieren.
Im Zentrum des Ansatzes stand ein klarer Governance- und Managementrahmen. Gemeinsam etablierte das Projektteam die notwendigen Strukturen, Prozesse und Verantwortlichkeiten, um DORA-Anforderungen systematisch in bestehende Abläufe zu integrieren. Statt Einzelmaßnahmen neu zu implementieren, passten sie vorhandene Prozesse gezielt an, integrierten sie schrittweise in die Organisation und definierten eindeutige Zuständigkeiten. So entstand ein belastbarer Rahmen, der Orientierung schafft und die Umsetzung im Alltag erleichtert.
Auch die Steuerung externer IKT-Dienstleister wurde konsequent weiterentwickelt: Das Projektteam erfasste die Partner der Pensionskasse systematisch, bewertete deren Rolle im Zielbild und etablierte in enger Zusammenarbeit mit diesen klaren Mechanismen für Steuerung und Überwachung.
Das Projekt bei der Pensionskasse hat gezeigt, wie DORA-Anforderungen praxisnah und mit echtem Mehrwert für die Organisation umgesetzt werden können. Ein zentraler Erfolgsfaktor war die enge Zusammenarbeit mit dem Vorstand und externen Dienstleistern. So entstand frühzeitig ein gemeinsames Verständnis für Risiken, Prioritäten und regulatorische Erwartungen.
Kolja Renkel, Security Consultant, usd AG
Ergebnisse: Struktur entwickeln und im Alltag verankern
Das Ergebnis ist kein zusätzliches Regelwerk neben dem Tagesgeschäft, sondern ein klarer Aufbau, der Orientierung schafft und die Steuerung verbessert. Für die Pensionskasse brachte das Projekt spürbare Vorteile im Alltag: Verantwortlichkeiten wurden klarer gefasst, Abläufe besser verzahnt und Abstimmungen gezielter gesteuert. Dadurch lassen sich Entscheidungen gezielter treffen und regulatorische Anforderungen effizienter integrieren sowie übergreifend konsistenter steuern. Gerade in einer Organisation mit schlanken Ressourcen ist das ein zentraler Hebel. Denn klare Zuständigkeiten und nachvollziehbare Prozesse senken Reibungsverluste und schaffen Sicherheit in der operativen Umsetzung.
Auch im Umgang mit externen IKT-Dienstleistern gewann die Pensionskasse deutlich an Transparenz. Sie kann ihre Partner heute strukturierter einordnen, gezielter steuern und deren Einbindung sauber mit den eigenen Prozessen verzahnen. Gleichzeitig zeigte sich im Projekt, dass sich viele Maßnahmen gegenseitig verstärken. Verbesserungen in der digitalen operationalen Resilienz wirken sich positiv auf Governance-Strukturen und organisatorische Abläufe aus. Auf diese Weise entstand Schritt für Schritt ein belastbares Gesamtbild, in dem regulatorische Anforderungen nicht isoliert nebeneinanderstehen, sondern aufeinander aufbauen und sich gegenseitig stützen.
Ausblick: Bestehende Strukturen stabilisieren und kontinuierlich weiterentwickeln mit Unterstützung der usd
Die Pensionskasse will die aufgebauten Strukturen in den kommenden Jahren konsequent im Rahmen des kontinuierlichen Verbesserungsprozesses weiter festigen und noch stärker im Regelbetrieb verankern. Bestehende Maßnahmen werden schrittweise weiterentwickelt, an neue Anforderungen angepasst und um zusätzliche Themen ergänzt. Die kontinuierliche Weiterentwicklung eines Rahmens, der sich mit regulatorischen und organisatorischen Veränderungen mitbewegt, steht dabei im Mittelpunkt. Neue Anforderungen sollen systematisch in bestehende Prozesse einfließen, damit die Organisation ihre digitale operationale Resilienz nachhaltig stärkt.
Die usd AG begleitet die Pensionskasse weiterhin in ihrer Rolle als IKT-Risikokontrollfunktion. Sie unterstützt dabei, neue Entwicklungen frühzeitig einzuordnen, regulatorische Anforderungen konsequent in bestehende Strukturen zu überführen und die Organisation gezielt weiterzuentwickeln. So entsteht langfristig ein Konstrukt, das nicht nur regulatorisch belastbar ist, sondern auch im Alltag trägt.
Die Zusammenarbeit war jederzeit professionell und zielorientiert. Das Projekt hat uns dabei unterstützt, die DORA-Anforderungen strukturiert umzusetzen. Die verlässliche und lösungsorientierte Begleitung hat dabei wesentlich zum erfolgreichen Projektverlauf beigetragen.
Monika Förster, Vorstand Pensionskasse der Frankfurter Sparkasse VVaG
Über die Pensionskasse der Frankfurter Sparkasse VVaG
Die Pensionskasse der Frankfurter Sparkasse VVaG ist ein kleinerer Versicherungsverein auf Gegenseitigkeit im Sinne des § 210 des Versicherungsaufsichtsgesetzes (VAG) und eine regulierte Pensionskasse im Sinne des § 233 VAG.
Trägerunternehmen sind die Frankfurter Sparkasse, Anstalt des öffentlichen Rechts, die Landesbank Hessen-Thüringen Girozentrale und die Helaba Invest Kapitalanlagegesellschaft mbH. Sie betreut 1.377 Mitglieder und 1.260 Rentenbezieher und verfügt über eine Bilanzsumme von 273 Mio. Euro (alle Angaben Stand 31.12.2025).
