Im digitalen Zeitalter reicht es nicht aus, innovative IT-Lösungen zu bauen. Organisationen müssen zugleich Risiken beherrschen, Regeln einhalten und Wert für Kunden, Eigentümer und Gesellschaft stiften. Genau hier setzt COBIT 2019 an: als international anerkanntes Framework für IT-Governance und -Management, das Technik, Organisation, Menschen, Prozesse und Nachweise zu einem wirksamen Steuerungssystem verbindet. Eine seiner stärksten Seiten ist die integrierte Sicht auf Compliance – nicht als bürokratische Pflicht, sondern als gestaltbare Fähigkeit, die Sicherheit, Verlässlichkeit und Vertrauen messbar erhöht.

Im Folgenden wird verständlich und praxisnah erläutert, wie COBIT 2019 Compliance im Kern der IT-Governance verankert, welche Bausteine es dafür bereitstellt, wie sich Metriken, Kontrollen und Verantwortlichkeiten verknüpfen, welche Spezialthemen (Cloud, Drittparteien, Daten & KI, Resilienz) besondere Beachtung verlangen – und wie Organisationen daraus echten Geschäftsnutzen ziehen.

Die Integration von COBIT (Control Objectives for Information and Related Technology) in die unternehmerischen Abläufe hat sich als Meilenstein in der IT-Governance und -Steuerung erwiesen. COBIT ist kein starres Regelwerk, sondern ein flexibles Führungs- und Managementsystem für Information & Technology (I&T), das die Brücke zwischen geschäftlicher Strategie, regulatorischen Anforderungen und operativer Umsetzung schlägt. In Zeiten rascher Digitalisierung, verteilter Wertschöpfungsketten, Cloud-First-Strategien und zunehmender Regulierung (u. a. DSGVO, NIS2, DORA) liefert COBIT die Architektur, um IT-Investitionen messbar auf Unternehmensziele auszurichten, Risiken zu steuern und Leistung transparent zu machen. Das Framework adressiert damit die große Herausforderung moderner Unternehmen: Geschwindigkeit und Innovationskraft mit Stabilität, Sicherheit und Compliance zu verbinden.

Von der Prüfperspektive zur Unternehmenssteuerung: Die Entwicklung von COBIT

Historisch startete COBIT in den 1990er-Jahren als Hilfsmittel für Revisor:innen, um IT-Kontrollen zu prüfen. Mit COBIT 4.1 verschob sich der Fokus von reinen Kontrollen hin zur Steuerung von IT-Prozessen. COBIT 5 (2012) integrierte erstmals Governance-Prinzipien, Prozessmodelle, Rollen, Informationsflüsse und Messsysteme in ein ganzheitliches Framework. COBIT 2019 modernisierte diesen Ansatz grundlegend: Designfaktoren erlauben das organisationsspezifische Zuschneiden; Fokusbereiche (z. B. Cloud, DevOps, Security, Data) vertiefen Spezialthemen; ein ausgereiftes Performance-Modell knüpft Metriken direkt an Entscheidungen. Heute wird COBIT fortlaufend gepflegt, um neue Technologien (KI/GenAI, containerisierte Plattformen, Zero-Trust-Netze), Sourcing-Modelle (Multi-Cloud, Managed Services, Plattformökonomien) und Regulatorik abzubilden.

Digitale Resilienz ist in den letzten Jahren zu einem festen Begriff in der Finanzwelt geworden. Unternehmen sprechen darüber in Strategiepapieren, Beratungsfirmen verwenden ihn in Hochglanzpräsentationen, und auch Regulierungsbehörden betonen immer wieder seine Bedeutung. Doch während Resilienz lange Zeit vor allem als gutes Ziel galt – als eine Art Leitlinie, an der man sich orientieren konnte – hat sich die Situation mit dem Digital Operational Resilience Act, kurz DORA, grundlegend verändert. Aus der Theorie ist eine gesetzliche Pflicht geworden, und die EU hat dafür fünf zentrale Säulen definiert, die jedes betroffene Unternehmen umsetzen muss. Diese Säulen sind nicht nur Überschriften in einem Gesetzestext, sondern bilden ein verbindliches Gerüst, das alle relevanten Aspekte abdeckt, um den Betrieb auch unter digitalen Extrembedingungen aufrechtzuerhalten. Wer sie versteht, erkennt schnell: Es geht nicht nur um Technik, sondern um ein Zusammenspiel aus Prozessen, Organisation und Kultur.

Der Gesamtzusammenhang: Warum DORA digitale Resilienz neu definiert

DORA ist keine weitere „IT-Compliance-Checkliste“, sondern ein Rahmenwerk, das das Zusammenspiel von Risikomanagement, operativem Betrieb, Lieferkette, Testkultur und sektorweitem Lernen in den Mittelpunkt stellt. Der Kernunterschied zu älteren Regelwerken: DORA verlangt Wirksamkeit. Es genügt nicht, Policies zu schreiben oder Tools zu beschaffen. Entscheidend ist, ob ein Institut seine kritischen Dienstleistungen auch dann liefern kann, wenn Teile der IT gestört, angegriffen oder extern beeinträchtigt werden. Messbar wird das an Reaktionszeiten, Wiederanlauf, Qualität der Kommunikation, Stabilität der Lieferkette und geübten Notfallabläufen. Die fünf Säulen bilden dafür die Struktur – die Umsetzung wird am Ergebnis gemessen.

Der Digital Operational Resilience Act (DORA) ist mehr als nur ein weiteres EU-Regelwerk. Er ist ein Paradigmenwechsel in der Art und Weise, wie Finanzunternehmen und ihre Dienstleister digitale Resilienz verstehen und umsetzen müssen. Mit dem Stichtag 17. Januar 2025 rückt die Frist für die vollständige Umsetzung näher, und in vielen Organisationen ist die Erkenntnis gereift: Wer jetzt nicht mit einem strukturierten Fahrplan startet, wird später unter Zeitdruck geraten und riskieren, halbherzige Lösungen einzuführen, die weder den regulatorischen Anforderungen noch den eigenen Sicherheitsbedürfnissen gerecht werden. DORA-Compliance ist kein „Ordner mit Policies“, sondern die Fähigkeit, unter massiven digitalen Störungen handlungsfähig zu bleiben – messbar, prüfbar, wiederholbar.

DORA in 60 Sekunden

DORA harmonisiert europaweit die Anforderungen an die digitale Betriebsstabilität (Operational Resilience) im Finanzsektor. Der Kern lässt sich in fünf Säulen einordnen:

Viele Unternehmen atmen auf, wenn sie die Anforderungen der NIS2-Richtlinie formal umgesetzt haben. Die Prozesse sind dokumentiert, die Technik aufgerüstet, die Schulungen durchgeführt – und der Gedanke liegt nahe, das Thema erst einmal abzuhaken. Doch genau hier lauert eine der größten Gefahren: NIS2-Compliance ist kein Abschluss, sondern ein Betriebszustand. Er muss jeden Tag hergestellt, überwacht und verbessert werden – genauso wie Verfügbarkeit oder Servicequalität. Cyberbedrohungen entwickeln sich weiter, Geschäftsmodelle ändern sich, die Lieferkette ist in Bewegung, und auch die aufsichtsrechtlichen Erwartungen werden geschärft. Wer nach der initialen Umsetzung in den Wartemodus schaltet, riskiert nicht nur Bußgelder, sondern vor allem reale Sicherheitslücken.

Dieser Beitrag zeigt, wie Sie NIS2 nicht nur „erfüllen“, sondern als belastbare Routine verankern: mit klaren Verantwortlichkeiten, einem schlanken Regelkreis, messbaren Kennzahlen, einer gelebten Sicherheitskultur und praktischen Werkzeugen, die den Aufwand senken statt ihn zu steigern.