ISO 27001 Checkliste für FinTechs: zwölf Schritte mit DORA im Blick

Für ein FinTech ist ISO 27001 selten das einzige Thema. DORA gilt seit dem 17. Januar 2025, und die Aufsicht hat im selben Zug ihre eigenen IT-Rundschreiben abgeräumt. Wer heute eine Checkliste abarbeitet, sollte deshalb wissen, welche Vorgaben noch gelten, welche entfallen sind und an welchen Stellen ein ISMS nach ISO 27001 die regulatorischen Anforderungen eben nicht abdeckt.

Was gehört in eine ISO 27001 Checkliste für FinTechs?

Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Der zweite Schritt ist im Finanzumfeld der wichtigste: die Gap-Analyse. Statt bei null anzufangen, wird der Ist-Stand einmal gegen den Annex A gemappt und die DORA-Anforderungen werden parallel mit aufgenommen. Wer beides in einem Durchgang erhebt, priorisiert danach nach Risiko und Regulatorik gemeinsam, statt zwei Projekte zu fahren, die sich gegenseitig Ressourcen wegnehmen.

Welche BaFin-Vorgaben gelten neben der ISO 27001 Checkliste für FinTechs noch?

Weniger als viele annehmen, und das ist die praktisch wichtigste Änderung der letzten Jahre. Mit dem Start von DORA hat die BaFin ihre IT-Rundschreiben zurückgezogen: VAIT, KAIT und ZAIT sind mit Ablauf des 16. Januar 2025 aufgehoben. Bei den BAIT läuft die Aufhebung in zwei Stufen. Seit dem 17. Januar 2025 sind Institute, die das Risikomanagement nach DORA umsetzen müssen, aus dem Anwendungsbereich ausgenommen, und Kapitel 11 der BAIT ist entfallen. Vollständig aufgehoben werden die BAIT mit Ablauf des 31. Dezember 2026.

Für die meisten regulierten FinTechs heißt das: Der Maßstab ist DORA, nicht mehr BAIT. Eine Checkliste, die noch gegen die alten Rundschreiben mappt, arbeitet an der falschen Vorlage. Der Nachweis gegenüber Kunden und Aufsicht läuft dagegen weiterhin über ISO 27001, weil DORA selbst keine Zertifizierung vorsieht.

Welche DORA-Anforderungen deckt die ISO 27001 Checkliste für FinTechs nicht ab?

Ein ISMS trägt einen großen Teil, aber nicht alles. Drei Bereiche gehen über den Annex A hinaus und brauchen eigene Arbeit.

Erstens die erweiterten Tests. Nach Artikel 26 DORA müssen Finanzunternehmen, die von der zuständigen Aufsicht dafür benannt werden, mindestens alle drei Jahre bedrohungsgeleitete Penetrationstests durchführen. Kleinstunternehmen und bestimmte Einrichtungen sind ausgenommen, kritische IKT-Drittdienstleister müssen dagegen in den Testumfang einbezogen werden. Zweitens die Resilienzziele: Business-Impact-Analyse, klassifizierte kritische IKT-Systeme und getestete Wiederherstellungszeiten sind bei DORA quantitativ zu belegen. Drittens das Drittparteimanagement mit vertraglichen Mindestinhalten, Nachverfolgung von Unterauftragnehmern und Ausstiegsstrategien für kritische Dienste.

Die Checkliste greift genau diese Punkte in den Schritten 7 und 8 auf. Wer sie überspringt, hat ein zertifizierbares ISMS und trotzdem eine Lücke gegenüber der Aufsicht.

Welche Punkte der ISO 27001 Checkliste für FinTechs werden am häufigsten unterschätzt?

Drei. Erstens die Unabhängigkeit im internen Audit. Wer das ISMS aufgebaut hat, kann es nicht selbst auditieren; bei kleinen Teams heißt das externe Beauftragung oder eine bewusste Rollentrennung.

Zweitens die Meldewege. Ein Zahlungsvorfall kann gleichzeitig eine DORA-Meldung und eine Meldung nach Artikel 33 DSGVO auslösen, mit unterschiedlichen Adressaten. In der Checkliste muss deshalb stehen, wer innerhalb welcher Frist entscheidet, nicht nur, dass ein Prozess existiert. Drittens Kapitel 9.1, Überwachung und Messung: Verlangt sind Kennzahlen zur Wirksamkeit. Bei einem Anbieter, dessen Kunden selbst beaufsichtigt sind, werden genau diese Kennzahlen im Vendor Assessment abgefragt.

Wie bleibt das ISMS nach der ISO 27001 Checkliste für FinTechs am Leben?

Über die Kapitel 9 und 10, die Dauerpflichten sind: Überwachung und Messung, internes Audit, Managementbewertung, Korrekturmaßnahmen. Das Zertifikat läuft drei Jahre, mit jährlichen Überwachungsaudits und einer Rezertifizierung am Ende des Zyklus.

Im Finanzumfeld kommt ein zweiter Takt hinzu, der nichts mit der Norm zu tun hat: die regulatorischen Termine. Dazu gehören die jährliche Meldung des Informationsregisters an die BaFin und der Testzyklus aus Artikel 26. Beide gehören in denselben Kalender wie das Überwachungsaudit, sonst laufen sie aneinander vorbei.

Was steht in der Checkliste?

• Zwölf Schritte in verbindlicher Reihenfolge, von Scope und Gap-Analyse bis zum Zertifizierungsaudit
• Abhakbare Punkte je Schritt, von der Annex-A-Zuordnung über RTO- und RPO-Ziele bis zu Exit-Strategien für kritische Dienste
• Vier Treiber, die den Zeitpunkt bestimmen: Regulatorik, Fundraising, Enterprise-Sales und operative Resilienz
• Was Stage 1 und Stage 2 des Zertifizierungsaudits jeweils prüfen
• Die Punkte zu Drittparteimanagement und Meldewegen, an denen FinTechs am häufigsten nacharbeiten

Die Checkliste richtet sich an Geschäftsführungen, CTOs, CISOs sowie Compliance- und Auslagerungsverantwortliche in FinTechs und bei Anbietern von Finanzsoftware. Laden Sie sie kostenfrei herunter.