In der Welt der Finanzaufsicht kennen viele die großen Namen: MaRisk, DORA, EBA-Guidelines. Doch eine Vorgabe steht oft im Schatten und wird dennoch für bestimmte Unternehmen immer wichtiger: MaGO – die Mindestanforderungen an die Geschäftsorganisation. Gerade Versicherungsunternehmen und Pensionskassen neigen dazu, MaGO als „weniger kritisch“ einzustufen, weil sie im Vergleich zu MaRisk oder DORA weniger öffentlich diskutiert wird. Das ist ein gefährlicher Trugschluss: MaGO greift tief in die Organisations-, Steuerungs- und Entscheidungsprozesse ein. Wer hier unvorbereitet ist, steht bei einer BaFin-Prüfung schnell im Erklärungsnotstand – selbst dann, wenn die operative Praxis „eigentlich funktioniert“.

Dieser Beitrag zeigt, warum MaGO oft unterschätzt wird, welche Pflichten und Nachweise sie konkret mit sich bringt, wie sie mit anderen Regelwerken zusammenspielt (MaRisk VA, VAIT, EIOPA-Leitlinien, DORA) und wie Sie MaGO effizient und prüfungssicher in Ihre Governance integrieren.

Die meisten Sicherheitsvorfälle wirken im Nachhinein wie plötzliche, unvorhersehbare Katastrophen – ein Hackerangriff, der Server lahmlegt, ein Brand im Rechenzentrum, ein Datenleck, das tausende Kundendatensätze betrifft. Doch wer genauer hinsieht, erkennt: Die Vorzeichen waren oft lange vorher da. Kleine Warnsignale, übersehene Schwachstellen, ignorierte Zwischenfälle. Die Kunst der Informationssicherheit besteht nicht nur darin, schnell auf Vorfälle zu reagieren, sondern Gefährdungen so früh zu erkennen, dass es gar nicht erst „knallt“. Prävention ist immer günstiger, einfacher und weniger riskant als Schadensbegrenzung im Nachhinein. Damit Prävention zuverlässig gelingt, braucht es ein systematisches Vorgehen, das Gefahrenquellen sichtbar macht, bewertet, priorisiert – und kontinuierlich nachschärft.

Was genau ist eine Gefährdung?

„Gefährdung“ klingt abstrakt, ist aber präzise definierbar: Eine Gefährdung ist jede Bedingung oder Handlung, die – in Kombination mit einer Schwachstelle – zu einem Schaden an Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen führen kann. Das Spektrum reicht von technischen Ursachen (verwundbare Software, Fehlkonfigurationen, ausfallende Hardware) über menschliche Faktoren (Fehlbedienung, Social Engineering, Innentäter) bis zu organisatorischen Lücken (unklare Prozesse, fehlende Vertretungen, mangelhafte Vertragsklauseln) und Naturereignissen (Feuer, Wasser, Sturm, Pandemien). In der Praxis sind es selten die Schlagzeilenbedrohungen allein, die schmerzen; viel häufiger kumulieren alltägliche Schwächen, bis ein Auslöser genügt.

Die Einführung eines Informationssicherheits-Managementsystems (ISMS) gilt oft als Mammutprojekt. Viele Unternehmen schieben es vor sich her, weil sie den Aufwand scheuen, die Komplexität fürchten oder befürchten, dass der Betrieb monatelang im Ausnahmezustand laufen muss. Tatsächlich kann ein ISMS-Einführungsprojekt chaotisch verlaufen – wenn man es falsch angeht. Mit einem klaren, strukturierten Vorgehen hingegen lässt es sich in geordnete Bahnen lenken, ohne den Arbeitsalltag lahmzulegen. Der Schlüssel liegt in einer schrittweisen Umsetzung, die Orientierung gibt, Ressourcen klug einsetzt und alle Beteiligten mitnimmt. Der hier beschriebene 5-Stufen-Plan bietet genau diesen roten Faden und übersetzt ISO/IEC 27001:2022, BSI IT-Grundschutz & Co. in greifbare Arbeitspakete.

Die Logik dahinter ist einfach: erst Klarheit und Commitment, dann saubere Planung, danach eine realitätsnahe Risikoanalyse, anschließend fokussierte Umsetzung der wichtigsten Maßnahmen – und zum Schluss die Verstetigung im Regelbetrieb samt Audits und kontinuierlicher Verbesserung. So entsteht ein ISMS, das nicht nur Papier füllt, sondern tatsächlich Sicherheit erzeugt.

Viele Unternehmen atmen auf, wenn sie die Anforderungen der NIS2-Richtlinie formal umgesetzt haben. Die Prozesse sind dokumentiert, die Technik aufgerüstet, die Schulungen durchgeführt – und der Gedanke liegt nahe, das Thema erst einmal abzuhaken. Doch genau hier lauert eine der größten Gefahren: NIS2-Compliance ist kein Abschluss, sondern ein Betriebszustand. Er muss jeden Tag hergestellt, überwacht und verbessert werden – genauso wie Verfügbarkeit oder Servicequalität. Cyberbedrohungen entwickeln sich weiter, Geschäftsmodelle ändern sich, die Lieferkette ist in Bewegung, und auch die aufsichtsrechtlichen Erwartungen werden geschärft. Wer nach der initialen Umsetzung in den Wartemodus schaltet, riskiert nicht nur Bußgelder, sondern vor allem reale Sicherheitslücken.

Dieser Beitrag zeigt, wie Sie NIS2 nicht nur „erfüllen“, sondern als belastbare Routine verankern: mit klaren Verantwortlichkeiten, einem schlanken Regelkreis, messbaren Kennzahlen, einer gelebten Sicherheitskultur und praktischen Werkzeugen, die den Aufwand senken statt ihn zu steigern.

Für viele Unternehmen ist das Wort „Audit“ immer noch ein Synonym für Stress, lange To-do-Listen und schlaflose Nächte. Das gilt umso mehr, wenn es um neue regulatorische Anforderungen wie DORA geht. Schließlich verlangt die EU-Verordnung nicht nur, dass Unternehmen ihre digitale Resilienz aufbauen und pflegen – sie müssen auch jederzeit nachweisen können, dass sie dies tatsächlich tun. Audits sind das zentrale Instrument, mit dem Aufsichtsbehörden überprüfen, ob Prozesse, Systeme und organisatorische Strukturen den Vorgaben entsprechen. Wer hier unvorbereitet auftritt, riskiert nicht nur negative Feststellungen, sondern auch Bußgelder, Reputationsschäden und im schlimmsten Fall Einschränkungen im Geschäftsbetrieb. Dabei kann ein DORA-Audit deutlich entspannter verlaufen, wenn Unternehmen frühzeitig die richtigen Strukturen schaffen und Auditfähigkeit als Dauerzustand begreifen, nicht als kurzfristige Projektaufgabe.

Was DORA wirklich prüft: Mehr als Technik

Der wichtigste Schritt zu einem souveränen Audit ist das Verständnis, was DORA überhaupt nachprüft. Die Verordnung deckt ein breites Spektrum ab: vom IKT-Risikomanagement über Incident Reporting und Resilienztests bis hin zum Management von Drittparteien und dem Informationsaustausch im Sektor. Das bedeutet: Audits verlangen technische und organisatorische, vertragliche und strategische Nachweise. Ein Penetrationstest-Bericht mag zeigen, dass ein System hart ist – wenn der dazugehörige Prozess für Schwachstellenmanagement nicht dokumentiert oder nicht gelebt ist, bleibt eine Lücke. Ebenso sehen Auditoren Inkonsistenzen sofort: Was im Risikoregister steht, muss mit Testberichten, Vorfall-Eskalationswegen und Lieferantenverträgen zusammenpassen.