DORA-Experten in Frankfurt

• Analyse, Strukturierung und Dokumentation fachlicher Anforderungen für digitale Investmentlösungen (z. B. Robo-Advisor).
• Konzeption und Design von Applikationen für neue Altersvorsorgeprodukte inklusive User Flows, UX-Anforderungen und funktionaler Spezifikation.
• Modellierung und Optimierung von Geschäftsprozessen sowie Abstimmung mit Stakeholdern unter Berücksichtigung regulatorischer Anforderungen im Finanzbereich.

• Leitung der gruppenweiten, internationalen und funktionsübergreifenden IT-Governance-&-IAM-Abteilung in der zentralen IT-Division eines großen deutsch-französischen Privatbankkonzerns. Disziplinarische Führung von rund 30 Mitarbeitenden an fünf Standorten (Frankfurt, Paris, Tunis, Saarbrücken, Düsseldorf). Vorsitzender in IT-Komitees und zentrale Rolle in der direkten Kommunikation mit der Geschäftsführung, dem Aufsichtsrat, externen Stakeholdern und Aufsichtsbehörden.
• Definition und Implementierung eines modernen IT-Strategieprozesses sowie der zugehörigen IT-Governance-Strukturen für die IT-Abteilung mit über 600 Mitarbeitenden (bestätigt durch die deutsche Bundesanstalt für Finanzdienstleistungsaufsicht und die ACPR) und erfolgreichem Ablauf.
• Aufbau eines zukunftsorientierten Prozessrahmens für IT und der notwendigen Governance-Strukturen (Process Squads) zur kontinuierlichen Verbesserung der IT-Prozesse im Hinblick auf neue regulatorische Anforderungen (einschließlich DORA, EU AI Act usw.).
• Einführung strenger Prozesse zum Abbau eines historischen Rückstands an Prüfungsfeststellungen (> 100 IT-Feststellungen, 40 überfällige Feststellungen in 2022) von internen und externen Prüfern (WP, ACPR, BaFin). Erfolgreiche Reduzierung der überfälligen Feststellungen auf 0 Ende 2025.
• Unterstützung von mehr als 20 IT-Prüfungen pro Jahr und Aufbau von Prozessen zur regulatorischen Überwachung. Einführung von ServiceNow zur Revolutionierung der Prozesse für regulatorische Änderungen und IT-Compliance mit erweiterten KI-Funktionen.
• Neuausrichtung der IT-Kontrollprozesse in Verbindung mit der neu gegründeten ICT-Risiko-Funktion nach DORA und dem Drei-Linien-Modell mit der TopEase GRC-Lösung.
• Reduzierung der Anwendungslandschaft durch systematische Analyse der Funktionen gemeinsam mit Anwendungs- und Fachverantwortlichen, Identifikation von Doppelungen und Umsetzung einer One-Tool-Strategie im gesamten Konzern. Erfolgreiche Reduzierung eines Drittels der Anwendungen in der CMDB.
• Onboarding aller Konzernanwendungen in die konzernweite IAM-Lösung von One Identity sowie Betrieb und Weiterentwicklung der Lösung in Verbindung mit Segregation of Duties (SoD), rollenbasierter Zugriffskontrolle (RBAC) usw.

2nd LoD/Change the Bank (CtB)

• CtB: Externer Berater und Workstream Lead zur Behebung von Feststellungen der BaFin nach einer Sonderprüfung im IT-Bereich in der 2nd LoD, Leitung des Arbeitspakets zur Überarbeitung des ICT Risk Management & ICT Asset Classification gemäß DORA Kapitel 2, der Prozesse für Strukturanalyse, Schutzbedarfe und Kontrollbewertungen (4 FTEs).

• Durchführung verschiedener Endkundenprojekte im Bereich Server- und Netzwerk-Infrastruktur in Time, Quality und Budget.
• Projekt 1: Firewall-Erneuerung, Ablösung einer ASA-Firewall durch eine Fortinet-Firewall bei einem Autozulieferer.
• Projekt 2: Umzug der File-Services von dedizierten Servern an 5 Außenstandorten in ein zentrales Managed File Service inkl. DHCP, Directory- und Print-Services sowie Decommissioning der alten Domain Controller.
• Projekt 3: Erneuerung der Netzwerk-Infrastruktur in der Zentrale und an Außenstandorten eines Logistikunternehmens sowie Überführung der LAN-, WLAN- und Firewall-Umgebungen in einen Managed Network Service.
• Projekt 4: Network Renewal, Erneuerung der Core- und Access-Switches in der Zentrale eines Medizintechnikunternehmens und Überführung in einen Managed Network Service.
• Projekt 5: Firewall-Erneuerung, Ablösung einer ASA-Firewall durch eine Fortinet-Firewall bei einer Stadt.
• Umgebung: ASA- und Fortinet-Firewalls, Cisco-Netzwerkkomponenten, ITSM Heat/Ivanti, Confluence.

Projekt, strategische Beratung – Aufbau der Data Strategy und Data Governance Policy für die Niederlassung Deutschland, Kunde (Privatbank Julius Bär, Hauptsitz Zürich), März 2026 – bis heute

• Konzeption und Verhandlung der Datenstrategie mit den wichtigsten Stakeholdern sowie Einholung des Sign-offs durch den Vorstand (strategische Beratung) – in diesem Rahmen regulatorische Beratung zur Datenregulierung in der EU und speziell für Deutschland. Die Datenstrategie umfasst: Data Lifecycle Management: data capture, data storage, data usage, data retention policy, data quality incident management
• Definition von Meilensteinen und der technischen Machbarkeit zur Implementierung von TOM für die Datenstrategie, Datenqualitätsprüfungen, Metriken und ein Metadateninventar, um die Compliance der Bank mit den Anforderungen von DORA, BCBS239 und MaRisk sicherzustellen.

Projekt Kerndatenänderung, Kunde: (ING Bank, Frankfurt am Main), März – bis Dezember 2025

• Konzeption und Solution Design für neue End-to-End-Prozesse inkl. technischer Schnittstellen
• Definition von Synchronisationslogiken und Datenflüssen zwischen Legacy- und Zielsystemen (Dekommissionierung von Legacy-Systemen)
• Analyse und Validierung von Datenmodellen
• Stakeholder-Kommunikation mit Produktverantwortlichen, Feature Engineers, UX Designern und operativen Einheiten zur Entscheidungsfindung
• Analytics und Impact-Einschätzungen, z. B. zur Bewertung von Folgeeffekten und regulatorischen Anforderungen
• Dokumentation und Kommentierung technischer und fachlicher Anforderungen zur Unterstützung der Umsetzung in agilen Squads

Projekt Digitalisierung einer Usergruppe, Kunde: (ING Bank, Frankfurt am Main), als Interim Product Owner, Jan. 2025 – bis heute

• Mitgestaltung von Grundlagenentscheidungen zur Datenarchitektur und Prozesslogik im Kontext von historisierten Daten und Login-Funktionalität für User
• Entwicklung fachlicher Lösungskonzepte für die Migration zum Zielsystem, inkl. Systemintegration und Datenflüsse
• Unterstützung bei Analytics und Impact-Analysen, insbesondere zur Auskunftsfähigkeit gegenüber Ermittlungsbehörden
• Aktive Abstimmung mit Stakeholdern aus verschiedenen Squads zur Entscheidungsfindung und Sicherstellung regulatorischer Anforderungen
• Erstellung von Testszenarien für operative Teams und Backend-Systeme im Bereich API-Management unter Verwendung von Postman und Bruno.

• Konzeption und globale Einführung von Sensitivity Labels (Vertraulichkeitskennzeichnungen) zur automatisierten Klassifizierung und Verschlüsselung geschäftskritischer Daten.
• Definition und Rollout von Data Loss Prevention (DLP)-Richtlinien zum Schutz von IP und personenbezogenen Daten über Endgeräte, Exchange, SharePoint, Teams und Non-Microsoft-Clouds hinweg.
• Einrichtung von Insider-Risk-Management-Richtlinien zur Erkennung und Eindämmung von exzessiven Datenabflüssen und riskantem Nutzerverhalten.
• Umsetzung von DSGVO- und Aufbewahrungsanforderungen durch automatisierte Retention Policies und strukturiertes Records Management.
• Technische Begleitung von Rechtsabteilungen bei internen und externen Untersuchungen mittels eDiscovery (Standard/Premium) und Content Search.
• Kontinuierliche Optimierung des Sicherheits- und Compliance-Niveaus durch Auswertung des Microsoft Compliance Managers und Schließen von Lücken (Regelwerke wie ISO 27001, NIS-2)

• Durchführung von IKT- / DORA-Management-Trainings nach DORA Artikel 5(4) bei verschiedenen Bankinstituten

• Vermittlung der wesentlichen Inhalte der DORA-Anforderungen mit Fokus auf IKT-Risiken, Drittparteienrisikomanagement, Incident- und Problemmanagement sowie Informationsregister

• Ableitung von Umsetzungsmaßnahmen und Handlungsempfehlungen für Management und Fachbereiche

• Betreuung des TPA-Managers und eines Teams von 10 Claims Operation Assistenten.

• Entwicklung und Implementierung von Prozessen und Arbeitsabläufen mit Guidewire von Grund auf zusammen mit europäischen Schaden-Teams in allen Geschäftsbereichen.

• Etablierung von Service-Level-Agreements (SLAs) und detaillierten Key Performance Indicators (KPIs) mit neuen Business-Intelligence-(BI)-Berichten, Zahlungs- und Leistungsanalysen.

• Entwicklung, Steuerung und Analyse von über 50 strategischen, operativen und IT-Initiativen, um digitalen Wandel und KI-Automatisierung im Zahlungsverkehr voranzutreiben und gleichzeitig die regulatorische Compliance nach DORA, DSGVO, ACM und BAIT MaRisk zu gewährleisten.

• Steigerung der Kundenzufriedenheitswerte um 80 %.

• Gewinnung und Mentoring von marktführendem operativem und TPA-Personal.

• Nachweisliche starke Stakeholder-Führung und schnelle Entscheidungsfindung.

• Anerkennung von nationalen, notifizierenden Stellen
• Erstellung von Cybersecurity-Kompetenzgutachten
• EU-Funkanlagen-Richtlinie (Radio Equipment Directive)

• Projektleiter Steuerung der Novellierung ISO 27001:2022 (Zertifizierung von ISO 27002:2013 auf ISO 27002:2022) inkl. GAP-Analyse, Projektplanung, Vorbereitung interner und externer Audits sowie Erstellung und Pflege der erforderlichen Dokumentationen.
• Koordination der Anpassung bestehender Maßnahmen und Implementierung neuer Maßnahmen gemäß Anforderungen der neuen Norm sowie kontinuierliche Überwachung und Anpassung der Maßnahmen.
• Regelmäßige Berichterstattung an das Management über Fortschritt und Risiken.
• Senior Consultant Begleitung von Auditprüfungen mit Fokus auf kritische Infrastrukturen (KRITIS), inkl. Behebung von Findings, Erstellung bzw. Anpassung von Nachweisdokumenten und Ergänzung von Providerverträgen.
• Senior Consultant Überprüfung sämtlicher Liefergegenstände und Verantwortlichkeiten des IT-Providers gemäß bestehendem Vertrag: Identifikation von über 1500 Deliverables & Obligations (D&O), Aufbau eines D&O-Trackers (Claim Register) und gemeinsame fachliche Überprüfung mit den Service-Ownern für diverse Leistungsscheine (u. a. IT Service Management, Arbeitsplatz- und Druckservices, Anwendungs- und Desktop-Services, Endgerätemanagement, E-Mail inkl. Archivierung, Fileservices, Softwarepaketierung, -zertifizierung, -verteilung).
• Senior Consultant Anpassung von Leistungsschnitten in bestehenden Leistungsscheinen zur Ermöglichung einer End-to-End-Service-Verantwortung des Providers, inkl. Identifikation und Analyse von Use Cases, Prozessanalyse und -optimierung (Incident, Problem, Change) sowie Erfassung und Dokumentation sämtlicher Softwareprodukte in LeanIX und Dokumentation im Contract Change.
• Fokussierte Services: Managed Software Service, Anwendungs- und Desktop-Service, Arbeitsplatz- und Druckservices, Webserver Service, Container Service, M365, SAP/Oscare, Output-Managementsysteme (OMS), Telefonie- und Omnikanal-Management-Service.
• Projektleiter Steuerung eines Benchmarks auf Basis des bestehenden IT-Vertrags, inkl. Koordination des gesamten Benchmark-Prozesses zwischen Benchmarker, IT-Provider und Kunde, Review der Benchmark-Ergebnisse sowie Vorbereitung und Durchführung von Preisverhandlungen mit dem IT-Provider.

• Allgemeine CTO-Verantwortlichkeiten (Architekturdesign, operative Einrichtung, externe Laufzeitanalyse des Produkts, Investorenbeteiligung, regulatorische Compliance)
• Aufsicht der Softwareentwicklung (tiefgehende Implementierungsarbeit) sowie Workflow-Design
• Produkt-Mitinhaberschaft
• Technik/Tools/Frameworks: proprietäre Software (Java, JavaScript), Kubernetes, Postgres, MinIO, Ollama (intern), mehrere xAI-APIs (extern), OpenTofu (Terraform), Keycloak, Kafka, Prometheus, ELK Stack, GitHub, GitHub Workflows, Argo CD, ISO 27001, BSI-ISM, EU AI Act

• Gründete und leitete eine Cybersecurity-Beratungsfirma, die sich auf virtuelle CISO-Dienstleistungen für Kunden aus den Bereichen Finanzen, SaaS und kritische Infrastruktur spezialisiert.
• Beriet Führungsteams zu Cyberrisiken, regulatorischer Compliance (DORA, NIS2, ISO 27001) und Vorfallvorsorge.
• Entwickelte und implementierte Sicherheitsprogramme von Grund auf und erzielte messbare Reifegradsteigerungen.
• Lieferte maßgeschneiderte Risikoanalysen, Richtlinien und Cloud-Sicherheitsleitfäden (AWS, Azure).
• Skalierte das Geschäft durch Kundengewinnung, Partnerschaften (Vanta, AWS usw.) und ein Netzwerk erfahrener Berater.

Leitung des DORA-basierten Programms für operative Resilienz bei Jefferies durch Stärkung der ICT-Risikogovernance, des Kontroll-Designs und der regulatorischen Bereitschaft in zentralen Technologie- und Auslagerungsbereichen. Zusammenarbeit mit Führungskräften, um regulatorische Vorgaben in pragmatische Governance-, Reporting- und Prüfprozesse für ein globales Investmentbanking-Umfeld zu übersetzen.

• Entwickelte das Enterprise Register of Information (DORA Art. 28.3) zur Einhaltung regulatorischer Anforderungen.
• Definierte und implementierte ICT-Risikobereitschaft und Toleranzwerte im Einklang mit dem Global Operational Risk Framework und stärkte so die Entscheidungsfindung und Governance der Risikoakzeptanz.
• Steigerte die Prüfungsbereitschaft, indem über 50 IT- und Informationssicherheitsrichtlinien überprüft und neu formuliert wurden, was Klarheit, Verantwortlichkeiten und Kontrollausrichtung verbesserte.
• Beaufsichtigte das Programm zum Testen der operativen Resilienz (inklusive Penetrationstests) und verfolgte die Beseitigung von Schwachstellen bis zum Abschluss, wodurch die Kontrollsicherheit gestärkt und offene Befunde reduziert wurden.
• Brachte über 10 konzerninterne Vereinbarungen in Einklang mit den DORA-Regelstandards.
• Verbesserung der Entscheidungsfindung auf Führungsebene durch ein unternehmensweites ICT Risk Dashboard mit KPIs/KRIs.

• Die Ablösung des bisherigen Archivsystems (Dokumentenmanagementsystem – DMS) auf Host Basis ist weit vorangeschritten.
• Das interne Audit soll dazu dienen die Qualitätsansprüche des Hauses sicherzustellen.
• DSGVO
• ISO 27001 ff.
• BSI
• DORA
• Regulatorik Patientendaten
• Host / Cloud / S3 / Container / Hoch Skalierbar / Nuxeo
• Budget: 50.000
• Team: 1