S+P Lehrgang Z31 · Resilienz, BCM und DORA
Zwei Tage. Ein Resilienz-Rahmenwerk, das du verantworten kannst.
Resilienz entsteht in Prozessen, Dokumenten und Tests, und als Chief Resilience Officer verantwortest du sie gegenüber Leitung und Aufsicht. Du erarbeitest Meldeprozess, Auswirkungsanalyse, Notfallplan und Testplan und setzt DORA, NIS-2/BSIG und MaRisk in deinem Unternehmen um.
Du erarbeitest Meldeprozess, Auswirkungsanalyse, Notfallplan und Testplan und setzt DORA, NIS-2/BSIG und MaRisk in deinem Unternehmen um.
Das ausführliche Programm
Tag 1 · Rahmenwerk: Rolle, Rechtsrahmen, Meldewesen und Tests
01
02
03
Tag 2 · Notfallmanagement: Auswirkungsanalyse, Notfallplan und Rahmenwerk
04
05
06
Für angehende Chief Resilience Officers, BCM-Manager und Bereichsleiter mit Resilienz-Verantwortung sowie Mitarbeitende der IKT-Risikokontrolle und der Informationssicherheit. Tag 1 legt das Rahmenwerk, Tag 2 das Notfallmanagement. Für die Steuerung der IT gibt es den Lehrgang Chief Information Officer (Z20).
Spezielle Vorkenntnisse sind nicht erforderlich. Hilfreich sind dein Notfallkonzept, die letzte Business Impact Analyse und der Meldeprozess für IKT-Vorfälle in anonymisierter Form. Vertrauliche Unternehmensdaten musst du nicht offenlegen.
Jeder Termin arbeitet mit dem am Lehrgangstag geltenden Rechtsstand. Ob DORA, NIS-2/BSIG, MaRisk oder mehrere Regime gelten, richtet sich nach Institutsart, Sektor und Größe. Laufende Gesetzgebungsverfahren ordnen wir als Entwurf ein.
Regulatorisches Update · Stand 11.10.2026
Vier Änderungen für Cybersicherheit, Leitungsverantwortung, Notfallmanagement und IKT-Vorfälle – im Lehrgang in den Modulen 1 bis 6 eingeordnet, mit klarer Trennung von bisheriger und neuer Regelung.
| Bisherige Regelung | Neue Regelung |
|---|---|
| Cybersicherheitspflichten: BSI-GesetzDas BSI-Gesetz verpflichtete vor allem Betreiber Kritischer Infrastrukturen. Viele Unternehmen, die heute unter NIS-2 fallen, hatten keine vergleichbaren gesetzlichen Pflichten. | Seit 06.12.2025Das NIS-2-Umsetzungsgesetz ist seit dem 06.12.2025 in Kraft und ändert das BSI-Gesetz. Betroffene Einrichtungen (§ 28 BSIG) setzen Risikomanagementmaßnahmen um (§ 30 BSIG), melden Sicherheitsvorfälle (§ 32 BSIG) und registrieren sich beim BSI (§ 33 BSIG). Für Finanzunternehmen im Anwendungsbereich von DORA ist die Abgrenzung im Einzelfall zu prüfen; wir ordnen sie im Lehrgang praktisch ein. |
| Verantwortung der Leitung: § 38 BSIGDie Verantwortung der Leitung für Informationssicherheit ergab sich aus allgemeinen Organisations- und Sorgfaltspflichten. | Seit 06.12.2025Nach § 38 BSIG billigen die Geschäftsleitungen betroffener Einrichtungen die Risikomanagementmaßnahmen, überwachen deren Umsetzung und nehmen an Schulungen teil. Als Chief Resilience Officer bereitest du die Berichte und Unterlagen vor, mit denen die Leitung dem nachkommen kann. |
| MaRisk: Notfallmanagement und Abgrenzung zu DORADie MaRisk (Rundschreiben 06/2024 (BA)) regelten in AT 7.3 das Notfallmanagement und erfassten in AT 9 auch ausgelagerte IKT-Dienstleistungen, parallel zum IKT-Drittparteirisikomanagement nach DORA. | Seit 30.06.2026 · Übergangsfrist bis 01.01.2027Mit der 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA)) fallen IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteirisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht mehr unter AT 9. Das Notfallmanagement nach AT 7.3 ist überarbeitet und läuft im Gleichlauf mit DORA. Für zusätzliche Anforderungen gilt eine Übergangsfrist bis 01.01.2027. |
| DORA: Vorfälle, Notfallplanung, Tests und InformationsregisterFür das IT-Risikomanagement von Banken galten die BAIT. Institute im DORA-Anwendungsbereich hat die BaFin mit Ablauf des 16.01.2025 aus dem BAIT-Anwenderkreis genommen. | Seit 17.01.2025DORA (VO (EU) 2022/2554) gilt unmittelbar. Schwerwiegende IKT-bezogene Vorfälle sind nach Art. 19 in gestuften Meldungen an die Aufsicht zu melden. Art. 11 und 12 verlangen IKT-Geschäftsfortführung, Reaktions- und Wiederherstellungspläne und Backup-Verfahren, Art. 24 und 25 ein Programm für Resilienztests. Das Informationsregister zu den Vereinbarungen mit IKT-Drittdienstleistern führt das Finanzunternehmen nach Art. 28 Abs. 3. |
Rechtsgrundlagen: BSIG · §§ 28, 30, 32, 33, 38 · NIS-2-Richtlinie · RL (EU) 2022/2555 · DORA · VO (EU) 2022/2554, Art. 11, 12, 13, 19, 24, 25, 28 · BaFin-Rundschreiben 06/2026 (BA) – MaRisk, AT 7.3 und AT 9. Die Pflichten sind jeweils nach Institutsart, Sektor, Größe und Aufsichtsregime einzuordnen.
Dein Praxistransfer: Prüfe, welche Prozesse und Dokumente deines Unternehmens zu Meldewesen, Informationsregister, Notfallplan und Tests vorhanden sind und welche fehlen. Lege fest, wer sie pflegt und wo die Nachweise abgelegt werden.
Praxiswerkstatt
Drei Fälle ziehen sich durch den Lehrgang. An ihnen arbeitest du mit den Vorlagen der Tool Box und an deinem Resilienz-Rahmenwerk.
Eine Kernanwendung steht seit zwei Stunden. Der Meldeprozess existiert auf dem Papier, nennt aber weder Klassifizierung noch Zuständigkeit. Im Informationsregister fehlt der Dienstleister.
Deine Aufgabe: Prüfe mit deiner Registerprüfung, wo die Lücke liegt. Lege fest, wer klassifiziert, welche Meldewege nach Art. 19 DORA oder § 32 BSIG je nach Regime einschlägig sind und wie Eskalation und Dokumentation laufen.
Die letzte Business Impact Analyse listet Prozesse auf. Zeitpunkt des Ausfalls und tolerierbare Unterbrechung fehlen, und der Notfallplan stützt sich darauf.
Deine Aufgabe: Ergänze das BIA-Raster um zeitkritische Aktivitäten und Ausfallzeitpunkte, führe die Risk Impact Analyse durch und leite daraus Prioritäten für deinen Notfallplan ab.
Beim ersten Test des Notfallplans wird die geplante Wiederanlaufzeit überschritten. Die Leitung bittet, das Ergebnis erst zu berichten, wenn Maßnahmen laufen.
Deine Aufgabe: Entscheide in deinem Testplan, wie du die Feststellung mit Maßnahmen und Fristen dokumentierst, wann ein Wiederholungstest folgt und ab wann du das Ergebnis an die Leitung berichtest, auch wenn die Maßnahmen noch nicht abgeschlossen sind.
Dein Ergebnis
Du ordnest ein, welche Pflichten aus DORA, NIS-2/BSIG und MaRisk für dein Unternehmen gelten, und legst Zuständigkeiten fest.
Du setzt einen Meldeprozess für IKT-Vorfälle auf und prüfst dein Informationsregister auf Vollständigkeit und Aktualität.
Du führst Business Impact und Risk Impact Analysen durch und priorisierst zeitkritische Aktivitäten und Prozesse.
Du erstellst einen Notfallplan mit Szenarien, Rollen und Wiederanlauf und stimmst ihn mit Dienstleistern ab.
Du planst Tests und Übungen, hältst Feststellungen nach und berichtest Zustand und Ergebnisse an die Leitung.
Du erhältst das S+P Teilnahmezertifikat mit dokumentierten Inhalten und 12,0 Zeitstunden sowie das Digital Badge.
Selbsteinschätzung
Im Lehrgangspreis enthalten
Dein Lehrgang wirkt über die zwei Tage hinaus: mit der S+P Tool Box für deine Resilienzarbeit und S+P C.O.R.E. für regelmäßige Updates zu den Themen, die Resilienz, Notfallmanagement und IKT-Risiko im Jahresverlauf betreffen.
01 · Direkt anwenden
Dein Werkzeugkasten für die Resilienzarbeit.
Nutze die Lehrgangsinhalte direkt in deinem Unternehmen. Die Tool Box ist ohne Aufpreis im Lehrgangspreis enthalten und enthält die Vorlagen, mit denen du in den Modulen arbeitest.
Dein Vorteil Du beginnst mit konkreten Vorlagen und passt sie an dein Unternehmen, deine Prozesse und deine Berichtslinien an.
S+P Tool Box entdecken02 · Aktuell bleiben
Dein Update. Dein Austausch. Dein nächster Impuls.
Regulatorik, Prüfungsschwerpunkte und Meldepflichten ändern sich laufend. Mit S+P C.O.R.E. ordnest du aktuelle Entwicklungen ein und diskutierst praktische Umsetzungsfragen mit Fachverantwortlichen und Experten. Mit deiner Buchung bist du unbefristet und kostenfrei dabei – mit einem Update pro Quartal.
Dein Vorteil Du bleibst auch nach dem Lehrgang mit aktuellen Resilienzthemen und dem S+P Expertennetzwerk verbunden.
S+P C.O.R.E. entdeckenBei jeder Buchung enthalten: unbefristet und kostenfrei, ein Update pro Quartal. Zu jedem Update-Event meldest du dich kurz an – so können wir das Update auf Teilnehmerzahl und Branchen abstimmen.
S+P Certified
Nach dem Lehrgang bekommst du deinen Nachweis digital – dort einsetzbar, wo er gesehen wird: in der Personalakte, im LinkedIn-Profil und im Lebenslauf.
Die Prüfung S+P Certified ist ein zusätzliches, freiwilliges Angebot. Sie ist nicht Teil der Teilnahme am Lehrgang und wird nicht allein durch den Besuch der beiden Tage abgelegt.
Über den Referenten
Geschäftsführer S+P Compliance & S+P Unternehmerforum · Experte für IKT-Risiko, Informationssicherheit & Resilienz
Achim Schulz kennt den Druck von IT-Audits aus dem täglichen Geschäft. Mit der S+P Compliance Services agiert er dauerhaft als Auslagerungsdienstleister für regulierte Unternehmen und setzt die Anforderungen aus DORA, NIS-2 und dem Cyber Resilience Act (CRA) in der eigenen Praxis um.
Als Sparringspartner für IT-Verantwortliche und Geschäftsleitung verbindet er technische IT-Sicherheit mit aufsichtsrechtlichen Pflichten. Er kennt aus der Praxis, welche Nachweise Prüfer heute sehen wollen.
In seinen Seminaren übersetzt er komplexe RTS-Vorgaben in nachvollziehbare Prozesse. Mit der S+P Tool Box erhältst du Templates aus der Dienstleister-Praxis, vom IKT-Drittparteien-Register bis zum Incident-Reporting.
Das Ziel: Dein Unternehmen ist auf Audits und Belastungstests besser vorbereitet, und du kannst Anforderungen und Nachweise gegenüber Prüfern und Aufsicht belegen.
Zugleich ist er selbst als Compliance Officer für Banken, Wertpapierinstitute und weitere BaFin-regulierte Institute bestellt und übt die Funktionen CISO und IKT-Risikokontrolle nach DORA aus.
Termine und Buchung
| Ort | S+P Seminare | Datum | |
|---|---|---|---|
| Online | Z31 - Notfallbeauftragter & Chief Resilience Officer | Jetzt buchen | |
| Online | Z31 - Notfallbeauftragter & Chief Resilience Officer | Jetzt buchen | |
| Online | Z31 - Notfallbeauftragter & Chief Resilience Officer | Jetzt buchen | |
| Online | Z31 - Notfallbeauftragter & Chief Resilience Officer | Jetzt buchen |
Frage zu Termin, Rechnung oder Anmeldung für mehrere Personen?
Schreib uns – die Antwort kommt in der Regel am nächsten Werktag. Meldest du dich mit mindestens zwei Personen aus einem Unternehmen an, erhalten alle Teilnehmenden 10 % Nachlass; für ein ganzes Team ist eine Inhouse-Schulung meist wirtschaftlicher.
Erfahrungen von Teilnehmenden
Unabhängige Bewertungen zu unseren Seminaren findest du auf zwei Bewertungsportalen.
Nächster Schritt
Melde dich jetzt an und arbeite an Meldeprozess, Notfallplan und Testplan für dein Unternehmen. Zwei Tage live online, 12,0 Zeitstunden, S+P Teilnahmezertifikat und Digital Badge, Tool Box und unbefristet kostenfreies C.O.R.E. Update inklusive.
