Vorbereitung Horizontale CRA Prozess-, Richtlinien- und Vertragsmuster-Dokumentation

Produkt-Hersteller Steuern, Messen, Regeln

Industrie und Maschinenbau

1000-5000 Mitarbeiter

1. Governance (Setup)

Richtlinien: Erstellung und Publikation für den allgemeinen Schwachstellen-Umgang und die koordinierte Offenlegung (Einbindung externer Melder).

Betriebssicherheit & Kanäle: Härtung der VMS-Prozesse. Bereitstellung sicherer (authentifizierter und öffentlicher) Meldekanäle.

Kommunikation: Definierte Prozesse für Stakeholder-Information und Eskalation an Koordinatoren.

2. Asset-Management (Baseline)

Inventarisierung: Lückenlose Erfassung aller Produkte mit digitalen Elementen inkl. Versionshistorien.

Stücklisten: Aufbau und laufende Pflege von SBOMs (Software) und Hardware-/Firmware-Inventaren.

3. Detektion & Analyse (Monitoring)

Überwachung & Tests: Kontinuierliches Screening (intern/extern) und regelmäßige Sicherheitstests über die gesamte Supportlaufzeit.

Auswirkungsanalyse: Ad-hoc-Identifikation betroffener Software- und Hardware-Komponenten bei Meldungseingang.

4. Bewertung & Behebung (Remediation)

Triage: Erstbewertung, Priorisierung und methodische Risikobewertung.

Entscheidung: Dokumentierte und justiziabel begründete Behebungsentscheidungen.

Entwicklung: Fristgerechte Erstellung und Regressions-Tests der Behebungsmaßnahmen.

5. Rollout & Publikation (Deployment)

Verteilung: Betrieb sicherer Mechanismen für den Update-Rollout.

Publikation: Umgehende Veröffentlichung von Updates und maschinenlesbaren Sicherheitswarnungen.

IT Audit Prep & Defense für regulierte Unternehen und deren IT-Dienstleister

Banken und Finanzdienstleistungen

1000-5000 Mitarbeiter

Vorbereitung, Begleitung und Verteidigung bei Aufsichtsprüfungen (inkl. Spotlight- & Ad-hoc-Audits) nach DORA / NIS2 oder JAPs

Audit-Readiness & Gap-Analyse

Status-quo & Gaps:

Maturity Level Analyse

strukturierte Gap-Analysen der Dokumentation DORA, AML-R (MaRisk, BAIT), NIS2, CRA

Identifikation rechtlich-organisatorisch-technischer Schwachstellen

Validierung:

Dokumentations-Prüfung

Simulation von Aufsichts-Prüfungen zur Beurteilung der Prüfreife.

Ergebnis:

Konkrete Handlungsempfehlungen zur Schließung von Lücken/Risiken.

Audit-Defense & Prüfungsbegleitung

SME-Begleitung:

Fachliche Steuerung als Subject Matter Expert. Strikte Scope-Kontrolle.

Abwehr & Entkräftung:

Identifikation von "False Positives"

Entkräftung fehlerhafter Audit-Feststellungen

Zurückweisung reiner "Checklisten"-Findings und False-Positives

Behördenkommunikation:

Falls zutreffend:Nachweis mangelhaften Reasonings durch Auditoren

Formelle Kommentierung von Prüfberichten

Teilnahme an Anhörungsverfahren nach VverfG.

Remediation & Governance

Maßnahmenmanagement:

Begleitung der Umsetzung jurstischer und technisch-operativer Maßnahmen zur Korrektur von Aufsichtsfeststellungen.

Beratung zu KI Unternehmensrichtlinie in der Finanzindustrie nach KI-VO und DORA

Banken und Finanzdienstleistungen

1000-5000 Mitarbeiter

Entwicklung KI Unternehmensrichtlinie Finanzindustrie nach KI-VO/ AI-Act inkl. Integration in DORA

Lifecycle, AI Governance, Abbildung kwF nach DORA und AI Risiko-Klassen

Analyse bestehender Dokumentationsrichtlinien und bereitgestellter Unterlagen
Konzeption von technisch-operativer regulierter Dokumentation (z. B. Konformitätsbewertungen, regulatorisch erforderliche Artefakte)
Sicherstellung von Konsistenz, Nachvollziehbarkeit Abgrenzbarkeit und Vollständigkeit der Dokumentationsinhalte
Konzeption von Leitlinien / Richtlinien, Standards für operative Verfahren und Strukturvorgaben für die Dokumentation
Grundlage für eine einheitliche Dokumentationspraxis
Fachliche Beratung zu Dokumentationsprozessen und -standards
Fachliche Mitwirkung an der Harmonisierung von Dokumentationsstandards
Strukturierte Dokumentation aller Arbeitsergebnisse, Konzepte und Schulungsunterlagen
Methodik der Unternehmens-Legistik

C-Level Kompetenz-Trainings zu neuer EU Regulatorik: DORA, NIS2, AI-Act CRA, etc.

GREY-APE Training

Medien und Verlage

10-50 Mitarbeiter

Literacy- und Kompetenz-Trainings: Konzeption und Durchführung von Schulungen für Geschäftsführung und Aufsichtsgremien (C-Level/Board) zur Erfüllung der Rechenschaftspflichten gemäß NIS2 und DORA.

Table-Top Exercises (TTX) auf GF-Ebene: Planung und Moderation von Krisensimulationen basierend auf der ENISA Cybersecurity Exercise Methodology, um die Resilienz der Entscheidungsstrukturen bei IKT-Sicherheitsvorfällen zu auditieren.

Governance Frameworks: Aufbau von integrierten Managementstrukturen, die die Berichtspflichten und Haftungsrisiken der Geschäftsleitung unter NIS2, DORA, CRA und dem AI-Act harmonisieren.

CRA & AI-Act Implementierung: Analyse und Anpassung von bestehenden Produktlebenszyklen zur Sicherstellung der Konformität (CE-Kennzeichnung, Konformitätsbescheinigungen) für vernetzte Produkte und KI-Systeme (insb. Hochrisiko-KI-Systeme gem. AI-Act).

Normative Transition & OT-Security: Begleitung des Übergangs von der EN IEC 62443-Serie zu harmonisierten europäischen Normen (hEN) für OT Security (Class I+II) unter dem Cyber Resilience Act.

Secure Software Development Life Cycle (S-SDLC): Integration regulatorischer Security-by-Design und Privacy-by-Design Anforderungen des CRA und AI-Act (z.B. Data Governance, Bias-Testing, Robustheit) in agile und klassische Entwicklungsprozesse.

Produktdokumentation: Umsetzung der erweiterten Dokumentationspflichten gemäß CRA, AI-Act sowie flankierender Verordnungen (z.B. BattVO).

Retained Consulting DORA - Expertise für ein EU Finanzinstitut und seine IT-Dienstleister

Banken und Finanzdienstleistungen

5000-10.000 Mitarbeiter

Umsetzung der neuen Anforderungen nach Paradigmenwechsel der EU Anforderungen:

Review und Kommentierung von Policies und Verfahrensregeln anhand DORA(NIS2 Vorgaben
Vorbereitung oder Review von Vertragsunterlagen
Überarbeitung der Prozesse der Zusammenarbeit
Konzeption und Durchführung von Operational Resilience Tests/Audits
Vor-Verhandlungen mit Dritt-Parteien zu SLAs (Dienstgüte-Vereinbarungen)
Neu-Bewertung der Exit-Strategien
Risiko-Bewertungen und Due Diligence

Implementierung der folgenden NIS2/DORA Anforderungen auf taktischer und operationeller Ebene:

Governance und Organisation -Policies/Leitlinien
Risikomanagement
Drittparteienrisikomanagement + xBOM
Identitätsmanagement und Zugangskontrollen
Revision und Test
Vertragsmanagement und Tools
ISMS-Framework: Anwendung des Proportionalitätsprinzips zur Förderung der Praktikabilität

Rahmen der spezifische Leitlinien:

IKT-Geschäftsstrategie: Einbettung der IKT in die allgemeine Unternehmensstrategie
IKT-Risikomanagementstrategie (DOR-Strategie): Festlegung von Toleranzschwellen und Risikoappetit
IKT-Drittparteienrisiko-Strategie: Strategie zum Umgang mit externen Dienstleistern, inkl. Multi-Vendor-Strategie
IKT-Kommunikationsstrategie: Externe und interne Kommunikation bei Vorfällen
Informationssicherheitsleitlinie: Zentrale Policy für den Schutz von Daten
IKT-Geschäftsfortführungsleitlinie (BCM): Rahmen für die Aufrechterhaltung kritischer und wichtiger Funktionen

IT Audit Defense im Rahmen von IT Compliance-Prüfungen durch Behörden, bei Jahresabschlüssen, während DueDiligence Verfahren, etc.

Automobil und Fahrzeugbau

(Confidential) - NIS2, KRITIS, ISO 27001, NIST, TISAX, sowie ergänzend DORA als Auslegungshilfe zu NIS2

Da NIS2 und DORA wichtige EU-Rechtsrahmen sind, verfolgen sie nicht nur das gemeinsame Ziel, die Cybersicherheit und die operative Resilienz zu verbessern, sondern verweisen auch aufeinander.

DORA hat gegenüber NIS2 den Status einer Spezialnorm (lex specialis)

DORA stellt ein spezialisiertes Regelwerk dar, das Vorrang vor den allgemeineren Zielen von NIS2 hat, aber gut zur Interpretation nutzbar ist.

Einige wesentliche Unterschiede zwischen den beiden Rahmenwerken sind:

NIS2 enthält übergreifende, generische Cybersicherheitsanforderungen;
DORA enthält detaillierte Anforderungen für den Finanzsektor.
NIS2 ist eine Richtlinie, die in nationales Recht umgesetzt werden muss

Der Anwendungsbereich der NIS2 und der Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) wurde weitgehend angeglichen, um sicherzustellen, dass die physische und Cyber-Resilienz kritischer Einrichtungen umfassend angegangen wird. Einrichtungen, die im Rahmen der CER-Richtlinie als kritische Einrichtungen eingestuft wurden, unterliegen auch den Cybersicherheitsverpflichtungen der NIS2-Richtlinie.

IT Security Audit Cloud Provider - Durchführung IT Cyber Security Audits KRITIS

Internet und Informationstechnologie

Durchführung IT-Audit der Prozesse innerhalb einer KRITIS Organisation:

Risikomanagement & Gap-Analyse: Identifizierung von Schwachstellen im Vergleich zu den gesetzlichen Anforderungen und Priorisierung von Massnahmen basierend auf dem Business-Impact.
Implementierung technischer & organisatorischer Massnahmen (TOMs): Aufbau und Überwachung von Sicherheitslösungen, wie z.B. Zugriffskontrollen, Verschlüsselung und Multi-Faktor-Authentifizierung.
Meldewesen & Incident Management: Etablierung von Prozessen zur Einhaltung strenger Meldefristen (z.B. 24-Stunden-Frühwarnung bei Vorfällen) und die zentrale Dokumentation für Behörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Governance & Lieferkettensicherheit: Bewertung der Sicherheit von Drittanbietern und Integration von Cybersicherheit in die Unternehmens-DNA.
Schulung & Management-Beratung: Sensibilisierung der Belegschaft und Unterstützung der Geschäftsführung, da diese für die Umsetzung persönlich haftbar gemacht werden kann.
Automatisierung der Compliance: Einführung von Tools zur automatisierten Beweissammlung und kontinuierlichen Überwachung, um den manuellen Aufwand zu minimieren
Vulnerability Chaining: Zapier, n8n, Jenkins, GIT, CVEs, CVSS, SSVC

IT und Datenschutz-Audit Öffentlicher Bereich Gesundheit Durchführung Audit-Simulation (KRITIS, NIS, etc.)

KVNO

Pharma und Medizintechnik

Kassenärztliche Vereinigung NO Düsseldorf

Durchführung IT-Audit Simulation (BSI-Grundschutz, NIS2, KRITIS, ISO 27001, GDPR)
NIS-2 Risikoanalyse
Risikoanalysen gemäß BSI-Standards
Assets-Management
Bedrohungs-Analyse
BIA: Eintrittswahrscheinlichkeit und Auswirkungen
BCM und Desaster Recovery-Implementierung
3rd Party Risk Management (TPRM)
Lastenheft das vertragliche Herzstück einer EVB-IT Beschaffung
spezifische "Pieces of Information" im Anforderungskatalog, die nötig sind, damit Abnahmekriterien, Mängelansprüche und Service-Levels in Multi-Lieferanten-Szenarien später wasserdicht greifen und Claim-Management-Konflikte vermieden werden
Vergaberecht (VgV, SektVO, GWB) Kenntnisse des öffentlichen Vergaberechts - vergaberechtskonforme Formulierungen.
Ziel: Minimieren des Risiko von Rügen oder Nachprüfungsverfahren.

Audit Defense - Begleitung/Verteidigung EBA / EZB-Aufsichtsprüfung (DORA Readiness)

Banken und Finanzdienstleistungen

500-1000 Mitarbeiter

NDA in Kraft

End-Kann aufgrund Verschwiegenheitsverpflichtung nicht offengelegt werden:

Themen:

Durchführung einer DORA-konformen Prüfung des IKT-Risikomanagements
Analyse und Bewertung von Sicherheitsvorfällen sowie Incident-Management-Prozessen
Bewertung von Governance-, Kontroll- und Organisationsstrukturen im Kontext regulatorischer Anforderungen
Identifikation von Schwachstellen und regulatorischen Abweichungen
Erstellung strukturierter Auditberichte
Ableitung praxisnaher Handlungsempfehlungen zur nachhaltigen Umsetzung der DORA-Anforderungen
Simulation von in IT-Audit und regulatorischen Prüfungen bzw. Onsite Inspections (EZB, BaFin, CSSF, etc.)
IKT-Risikomanagement und IT-Governance
regulatorischen Anforderungen im Finanzumfeld - Schwerpunkt DORA
Bewertung von Sicherheitsvorfällen, Meldungsverfahren und Kontrollframeworks

Erst-Outsourcing in die Microsoft Cloud M365/ Azure (MaRisk, etc.)

Stuttgarter Versicherung

Versicherungen

Erst-Outsourcing in die Microsoft Cloud M365/ Azure

Outsourcing-Wechsel von Unix Hoster inkl. Libre Office in die MS 365 Cloud inkl. Infrastruktur unter Beachtung der vertraglichen Compliance Anforderungen
Due Diligence der IT Dienstleister und Vorbereitung der Audit-Pläne für Folgejahre

EIOPA Guidelines, MAGO/VAIT, DORA, MaGo:

IKT-Risikomanagementrahmen
Informationssicherheitsleitlinie
IKT-Asset-Management
IKT-Drittdienstleister
Verschlüsselung und kryptograﬁsche Kontrollen
Management der IKT-Vorgänge (Betrieb)
IKT-Änderungsmanagement
Patch-Management
Kapazitäts- und Leistungsmanagement
Schwachstellen-Management
Datenaufzeichnung (Logging)
Management der Netzwerksicherheit
Systemsicherheit
Identitätsmanagement
Personalpolitik
Zugangs- und Zugriﬀsrechte
Geschäftsfortführungsleitlinie
Datensicherung (Backup)
Kommunikationsstrategie
Cyberbedrohungen
Drittparteienrisiko
Transitionsplanung
Jira
Confluence

Erstellung weltweite IT-Strategie zu künftigen weltweiten Compliance Anforderungen

Zwilling AG

Konsumgüter und Handel

Niederlassungen in 14 Ländern / Umstellung auf SIAM, etc.

Sicherstellung der unterschiedlichen internationalen Compliance und Datenschutzanforderungen
Vorbereitung Continuous Auditing

Bank in Nord-Deutschland Risiko-Bewertung sonst. IT Fremdbezüge / Auslagerungen / Exit

Banken und Finanzdienstleistungen

Prozessanpassungen aufgrund neuer MaRisk 08/2021 der deutschen BaFin

Audit der Einhaltung bei IT Dienstleistern
Vorschlag für technische, operative Massnahmen
Vorschlag für Risiko-Bewertung

Groß-Bank in Hessen (DE)Due Diligence Beratung im Bereich Outsourcing in Public Cloud

Banken und Finanzdienstleistungen

Due Diligence des Outsourcing Vorhaben
entspr. regulatorische Anforderungen (MaRisk 2021, ZAIT / BAIT 2021, EBA Guidelines Outsourcing und EBA Guidelines ICT-Risk-Management, etc.)
Analyse und Audit der Sub-Unternehmer-Wertschöpfungsketten inkl. der vertraglich zugesicherten Audit- und Weisungsrechte
Vertragsanalyse, Verhandlung
Transitionsplanung

Beratung im Bereich Outsourcing Bank in Public Cloud

Team-Bank in Bayern

Banken und Finanzdienstleistungen

Risiko-Analyse im Outsourcing Vorhaben
Nachverhandlung der Vertrag-Templates der Outsourcing-Anbieter entspr. regulatorische Anforderungen (MaRisk 2021, ZAIT / BAIT 2021, EBA Guidelines Outsourcing und EBA Guidelines ICT-Risk-Management, etc.)
Analyse / Audit der Sub-Unternehmer-Wertschöpfungsketten inkl. der vertraglich zugesicherten Audit- und Weisungsrechte
Vertragsanalyse, Verhandlung und Due Diligence mit AWS, Microsoft, Google, Genesys, etc.
Verhandlung Betriebsrat

Beratung im Bereich Outsourcing in die Public Cloud

Oldenburgische Landesbank

Banken und Finanzdienstleistungen

Szenarien-orientierte Risiko-Analyse des Outsourcing Vorhabens
Einbeziehung von Cloud-Integratoren
Due Diligence und GAP-Analyse der vertraglichen Regelungen mit Outsourcing-Anbieter gegen regulatorische Anforderungen (MaRisk 2021, BAIT 2021, ENISA Cloud Certification, EBA Guidelines, etc.)
Neu-Ordnung der internen Governance
Auditierung der Sub-Unternehmer-Wertschöpfungsketten
Vertragsanalyse, Verhandlung und Due Diligence mit AWS, Microsoft, Google, SAP, Salesforce, etc.
Vorbereitung der BaFin Prüfung nach §44KWG zu Outsourcing Themen
Exit-Strategien
potentielle Transitions-Planung

Beratung im Bereich Cloud-Outsourcing einer Bank

dwp Bank

Banken und Finanzdienstleistungen

Szenarien-orientierte Risiko-Analyse des Outsourcing Vorhabens in die Cloud
Auditierung / GAP-Analyse zwischen vertraglichen Regelungen mit Kunden und Outsourcing-Anbieter sowie Regulatorischen Anforderungen (EBA/ESMA Guidelines, MaRisk, BAIT, etc.)
Vorschlag für Etablierung einer 3 lines of defense (LoD) Governance
Verhandlungen mit den potentiellen Providern
Verhandlungen mit den ca. 300 institutionellen Kunden (Banken)

IT Audit Defense - Task-Force zur Korrektur von Findings und Moniten nach Outsourcing Audit

Viridium SE

Banken und Finanzdienstleistungen

Neu-Bewertung der Risiken der Outsourcing Vorhaben
GAP-Analyse zwischen vertraglichen Regelungen, Status und Soll (EIOPA-Vorgaben)
Durchführung von Korrektur-Arbeiten im TaskForce Modus zur Vorbereitung einer BaFin Prüfung
Neu-Strukturierung der Outsourcing-Governance analog 3 Lines of Defense
Überarbeitung IT Reporting-Strukturen im Hinblick auf Vertrag und VAIT-Anforderungen

Zentrales Auslagerungsmanagement (ZAM) mit weltweiter Verantwortung

LBBW

Banken und Finanzdienstleistungen

Aufbau ZAM (Zentrales Auslagerungsmanagement)
Auditierung und Prüfen von Sachverhalten auf Auslagerungsrelevanz im Auftrag der Revision gemäß den Vorgaben aus der MaRisk AT9 bzw. den nationalen Anforderungen der Niederlassungen (FAC, MAS, EBA, etc)
Analyse der Gaps zwischen neuen Regulatorik-Anforderungen (EBA, FAC, BaFin, etc.) und vertraglichen bzw. faktischem StatusQuo
Monitoring der regulatorischen Neuerungen im Bereich IT und Outsourcing der Niederlassungen außerhalb der EU
Abbildung der internationalen AML Anforderungen (MAS, BaFin, FDA, etc.)
Auditierung der Verträge
Beratung und Begleitung der Fachbereiche in D im Ausland bei der Erstellung der Risikoanalysen zu Auslagerungen (inbes. mit Bezug, CLOUD, KRITIS, Cyber-Security, etc.)
PSD2 Anpassungen
Beratung der Fachbereiche bei Risikosteuerung und Reporting an Vorstände und Aufsicht
Auswertung aller Auslagerungsberichte (national und international)
Umsetzung der EU-weiten regulatorischen Neuerungen (insbes. EBA GL)
Einführung einheitlicher Regeln für die Bewertung von Providern nach internationalen Standards
Abstimmung mit Fachbereichen, Datenschutz, IT-Security, Risk-Management, etc.

IT Audit-/ OSI Defense - Begleitung Korrektur Outsourcing - Themen nach EZB Prüfung insbes. §25KWG, MaRisk, BAIT, MaGo, KRITIS, EUDSGVO, etc.

Finanz Informatik (S-Finanzgruppe)

Auftrag: „Bereitstellung von Beratungsleistung für das Provider-Management des Kunden im Kontext Aus- und Weiterverlagerungen von Datenverarbeitung und Wirtschaftsinformatik im Bankwesen unter Beachtung aktueller Anforderungen der Aufsichtsbehörden BaFin, EZB und Bundesbank, EBA sowie der allgemeinen gesetzlichen Anforderungen in den Bereichen:

Bewertung von Outsourcing Vorhaben
Regulatorische Begleitung der Korrektur-Projekte nach EZB Prüfung (On-Site Inspection / OSI)
Neu-Strukturierung von Outsourcing-Bewertungen
Neu-Bewertung der Risiken von wesentlichen Auslagerungen
Überarbeitung IT Report-Strukturen im Hinblick auf BCBS 239 , MaRisk 2017, BA-IT
Entwicklung und Einführung von Konzepten zur Organisationsentwicklung unter Beachtung der regulatorischen Rahmenbedingungen
Aufbau eines Vertragsbaukastens für Techniker, Juristen, Einkäufer, etc.
Beratung im Rahmen von Vertragsverhandlungen mit Dienstleistern
Konzeption, Erprobung und Überführung von Strukturen und Prozessen zur Adressierung regulatorischer Anforderungen im Providermanagement „Vorbereitung Etablierung „Zentrales Auslagerungs-Management“

Re-Design existierender IT-Auslagerungen im regulierten Bereich (KWG, MaRisk, etc.)

Postbank AG

Banken und Finanzdienstleistungen

Fachliche Leitung des Neudesign der Verträge und Governance aufgrund Restrukturierung nach Audit
Definition neuer Governance- und Organisations- Schnittstellen, sowie optimierter Prozesse im Provider-Management
Entwurf der entsprechenden Auslagerungsverträge
Überarbeitung IT Report-Strukturen im Hinblick auf BCBS 239 , MaRisk 2016
Einführung von Tool-Sets

IT Audit Defense - Vorbereitung KWG 44 Audit durch BaFin

ING DiBa

Banken und Finanzdienstleistungen

Backup der Projektleitung im Bereich operative Governance und Outsourcing
Definition von technischen und organisatorischen Schnittstellen und Maßnahmen
Etablierung des Provider-Management

Design Service Delivery Prozesse im Outsourcing Verhältnis nach Carve-Out

Amprion GmbH

Energie, Wasser und Umwelt

Projektleitung „Design der neuen operativen Governance“ intern/extern nach CarveOut von RWE
Definition von technischen und organisatorischen Schnittstellen und Maßnahmen
Abbildung der Governance, Risk und Compliance Prozesse
Ausschreibungen und Vergabe von Losen ( SektVO )
Konzeption und Erstellung der erforderlichen RACI Matrizen sowie Cross-Referenz-Tabellen für Schnittstellen inkl. Abhängigkeiten
Definition einer Information-Governance
Abstimmung und Definition der KPI´s und SLA´s, LÜP´s und Report-Inhalte
Ausschreibungsprozesse ( RFI / RFP )
Dokumentation wesentlicher Prozesse in ARIS und Visio als WSK
KRITIS Prüfung
Energiewirtschaft
Durchführung IT-Audit Simulation (BSI-Grundschutz, NIS2, KRITIS, ISO 27001, NIST, CSA, GDPR)
NIS-2 Risikoanalyse
Risikoanalysen gemäß BSI-Standard 100-4
Assets-Management
Bedrohungs-Analysen
BIA: Eintrittswahrscheinlichkeit und Auswirkungen
BCMS-Implementierung
Vorbereitung, Begleitung und Nachbereitung von internen und externen Audits
Self-Assessments
GF-Schulungen
3rd Party Risk Management (TPRM)
Audits und Due Diligence im Rahmen der Lieferkettensicherheit und Compliance
Einführung von Workday als HR Lösung und Verhandlungen mit neuen Betriebsrat

Setup und Coaching der Retained Organization für ein Carve-Out-Vorhaben (aufgrund Änderung ENWG)

RWE AG

Energie, Wasser und Umwelt

Konzeption eigener neuer IT
Konzeption eigener neuer Einkaufsprozesse
Design der Steuerungs-Prozesse
BSI-Grundschutz
KRITIS
Verhandlung und Abschluss neuer Verträge
Verhandlungen mit dem Betriebsrat
Definition von Organisation, Schnittstellen und Leistungsübergabepunkten

Interim Management Transition-Out ohne vertragliche Grundlage (ungeplanter Exit)

RWE IT GmbH

Energie, Wasser und Umwelt

Projektleitung
Claim-Management
Verhandlungs-Management
Umsetzung Novellierung Energie-Wirtschaftsgesetz (Trennung von Produktion und Durchleitung)

Projekt-Management Transition-Out (ungeplanter Provider Exit)

Wincor Nixdorf

Banken und Finanzdienstleistungen

operative Projektleitung (Transition-Out Manager)
MaRisk
2nd Generation Outsourcing Wechsel / Provider to Provider Transition eines Bank-Kunden
operative und taktische Steuerung eines vollständigen Provider-Wechsels auf der Provider Seite
betroffene Services: LAN/WAN, Client, Datenbanken, Hosting, App-Server, AD, Citrix, Unix, div. Lokationen, div. RZs, Service-Desk, Support Prozesse, Storage-Systeme, VM-Ware, ZV, etc
Unterstützung der Vertragsverhandlungen
Know-How: RZ-Technik, Storage, ca. 850 Virtuelle Server, LAN/WAN, Clients, div. DB Cluster, Security, SW-Verteilung, Notes, Sicherstellung laufender Betrieb, Begleitung der Vertragsverhandlungen
Umsetzung von Knowledge-Transfer und Cutover unter erschwerten Bedingungen ohne vertragliche Regelung

RZ-Transition-Management / Outsourcing RZ Leistungen (Vorbereitung Providerwechsel - / geplanter Exit)

DG HYP AG

Banken und Finanzdienstleistungen

operative und taktische Steuerung des Provider-Wechsels auf der Kundenseite
Audit/Anpassung der IT-Organisation des Kunden
- Setup Services- und SLA Reporting
Know-How: ITIL v3, COBIT4.1, ValIT 2.0, Setup Retained Organization

Organisationsanalyse der weltweiten IT Service Management Organisation

Continental AG

Automobil und Fahrzeugbau

Analyse der Strukturen der IT-Services (Europa, Asien, Amerika, Rest) in Interviews
Standardisierung des Vorgehens nach ITIL
Empfehlung für den Roll-Out neuer Org-Strukturen (Steuerungs-Organisation)
SOX, BilMoG, etc.
Know-How: ITIL v3, COBIT4.1, ValIT 2.0, Setup Retained Organization

Konzeption Internes Kontrollsystem (IKS) auf Basis von Kennzahlen für IT-Services inkl. Prozesse

Deutsche Telekom AG

Internet und Informationstechnologie

Schwerpunkte: Governance/Compliance, Performance, Qualität, kontinuierliche Service Verbesserung, Kosten-Nutzen-Analyse,
operative, taktische Steuerung von IT-Prozessen - und Performance anhand von IT-Zielen und IT-Prozess-Zielen auf der Basis von Controls/Kennzahlen
Wertbeitrag von IT-Services
- Definition Kosten Cluster (Time&Mat., Service Package, Consumption, etc.)
- Rohdatengewinnung
- Rohdatenkonsolidierung zur Abrechnung und Steuerung

Operative Projektleitung Aufbau Global Headquarters IT / Einführung Global IT Governance (Europa, Asien, Amerika)

Q-Cells SE

Energie, Wasser und Umwelt

Themen: Governance, Risk-Management, Compliance
Consulting zu Governance Standards und "Best-Practice" Vorgehen
Erstellung Governance Framework (inkl. Policies, KPI's, Reporting, QS/QM, Finacial KPI's etc.)
Consulting zu IT-Strategie, Architektur, Risk-Management, Compliance Themen, Sourcing-Strategy, Governance Marketing, Produkt- und Service-Kosten
Etablierung eines internen Kontrollsystems inkl. Information, Reporting, Decision/Approval Workflows inkl. Financial Stakeholder
Standardisierung der Service Delivery
Ausschreibungsprozesse ( RFI / RFP )
Initiierung Continual Service Improvement
Einführung v. Standards für Kosten-Nutzen-Analyse und Risiko-Betrachtung (Risikoanalyse, Risikobewertung, Risikominimierung, lfd. Risikokontrolle, Risikonachverfolgung)
Analyse und Identifikation nachhaltiger Einsparpotentiale und Realisierung über Portfolio-,Programm-, Risk-Planung
Verhandlungen mit den Betriebsräten aufgrund Erweiterung Geschäftsmodell
SOX-Compliance, BilMoG

Einführung IT Governance VOIP Outsourcing

Deutsche Bank AG

Banken und Finanzdienstleistungen

Outsourcing im VOIP Bereich EMEA
Strategie, Policies, Directives- Dokumenten Framework
Initiierung eines Governance Toolset (Risk-Management, Compliance, Finacial-Management, Reporting)
Setup Accounting und Budgeting inkl. Charge-Back-Verfahren
Setup der Retained Organisation zur Steuerung des Outsourcings
Roll-Out der Strukturen in EMEA
SOX Compliance
Nutzung von ServiceNow (DeuBa war einer der ersten Grosskunden)
PSD 1

Consulting / Realisierung Global IT-Governance

Wüstenrot & Württembergische AG

Versicherungen

Projektleitung Euro-Sox Compliance, QM, IKS-Anforderung
Initiierung QM - Test- und Abnahmeverfahren für Produktion, Prozesse, Technik
IT- und Release- Governance
Compliance sicherstellen
Einführung von Policies
Standards-Management

Interim-Management Outsourcing Zahlungsverkehr / AML

Deutsche Bank AG

Banken und Finanzdienstleistungen

Umsetzung GeldWäscheGesetz Anforderungen
Outsourcing Wechsel
Krisenmanagement - Problem-Management
Eskalationsmanagement
Quality-Management: Test- und Abnahmeverfahren
Setup Retained Organisation zur Steuerung des Outsourcing
Regulatorische Anforderungen der neuen BaFin (2006 als Nachfolger der BaKred)
Überführung in ServiceNow
PSD 1

Outsourcing Task Force

T-Systems GmbH

Internet und Informationstechnologie

Beratung zur Outsourcing Strategie
Projektleitung Contract Management und Finacial Management-Prozesse
Krisenmanagement
Definition von Test- und Abnahmen
Interims-Management
Ausschreibungsprozesse ( RFI / RFP )
Moderation und Deeskalationsmanagement
Programm Management
Ausschreibungsunterlagen VgV, SektVO

Off-Shore Outsourcing Software-Integration (Deutschland - Indien)

o2 (Germany) GmbH

Internet und Informationstechnologie

Business Analyse
Contract Management
Service Management (Beratung Umsetzungsstrategie)
ITIL/ITSM Umsetzung
Beratung QS/QM Standards
Projekt-Co Lead für Schwerpunkt Business Integration
Einführung IT-Governance
SOX Compliance
Unterstützung der Verhandlungen mit Work Council
Ausschreibungsunterlagen

Near-Shore Sourcing Ost-Europa Energie-Branche (Tschechen, Slowakei, Ungarn, Polen, Bulgarien)

RWE Systems AG

Energie, Wasser und Umwelt

Teilprojektleitung Neu-Organisation Sourcing-Struktur Deutschland, Tschechen, Slowakei, Ungarn, Polen
Beratung bei Umsetzungsstrategie
Erstellung der Ausschreibungen
Contract Management / Vendor-Management
Beratung bei der Verhandlungsführung
Finalisierung Vertragswesen
Vertragsverhandlung und -gestaltung
Einführung von QS/QM Standards (COBIT, SOX, ITIL Compliance)
Einführung IT Governance
Risikoanalysen
Ausschreibungsprozesse ( RFI / RFP )
Asset-Management
Bedrohungs-Analyse
Audits und Due Diligence im Rahmen der Lieferkettensicherheit und internen IT-Compliance Anforderungen

IT-Infrastruktur-Outsourcing im Bereich geschäfts-kritische IT-Services

Union IT Services

Banken und Finanzdienstleistungen

RZ, LAN, WAN, Application-Cluster, TSM, SQL-Cluster, etc.
Strategie- und Methodikberatung
Konzeption der Outsourcing-Prozesse / Vendor-Management
Definition neuer Betriebsverfahren (Incident-, Config-, Change- und Financial Management-Prozesse)
Definition neuer Release-Verfahren (inkl. Test- und Abnahmeverfahren)
Aushandlung ergänzender "operational Service Level"
Neukonzeption IT-Reporting
Erstellung RfQ-Master für Outsourcing-Vorhaben
Consulting zu Off-Shore/Near-Shore Entscheidungen
Consulting zur Outsourcing Strategie
Beratung bei Auswahl der potentiellen Bewerber
Erstellen der Auswertungsmatrix (ca. 900 Items)
Dual Due Diligence (Verfahrensweise und Inhalte)
Organisation des Verfahrens
Dienstleister-Qualifikation anhand von ca. 800 Evaluierungskriterien
Governance-Modell anhand von CobiT Empfehlungen
Prüfung der Technik-Konzepte der Anbieter
Prüfung Prozess- und Workflow-Konzepte der Anbieter

Projektleitung Einführung ITIL-Strukturen

Polizeibehörde NRW (LZPD)

Öffentlicher Dienst

Neu-Definition bzw. Optimierung Betriebsprozesse
Restrukturierung QM- und Test-Management
Restrukturierung Incident-Management
Restrukturierung Problem-Management
Methodik Beratung

Ausschreibung zum Thema Outsourcing Software-Paketierung

Vodafone D2 GmbH

Telekommunikation

(s.u.: Referenz durch Projektleiter, IT-Betrieb, Vodafone D2 GmbH, 09.03.04)

Business Analyse und Audit der Vertragspartner
Consulting zur EU-Outsourcing Strategie / Vendor-Management
Beratung zur QM-Strategie
Erstellung der Ausschreibungsunterlagen
Definition Betriebsprozesse
Definition von SLAs unter Einbeziehung der Fachbereiche
Ausschreibung und Rahmenbedingungen
Erarbeiten einer Auswertungsmatix
Vergleichbarkeit der Angebote sicherstellen
Angebotsbewertung
ETSI LI Standards

Optimierung: Service Level Management / IT-Contract Management / Multi-Provider Outsourcing

Union Investment

Banken und Finanzdienstleistungen

Standardisierung der SLAs in einer zu 100% outgesourcten Umgebung mit 15 verschiedenen Dienstleistern / Einführung zentrales Vendor-Management
Durchführen von Schwachstellenanalysen / Risikomanagement
Erarbeitung von neuen SLA´s und Leistungsscheinen mit Dienstleistern und Fachabteilungen inkl. Verrechnungsstrukturen
Führen von Verhandlungsgesprächen mit den Dienstleistern
Abstimmung mit der internen Rechtsabteilung
Kosten- und Leistungsverrechnung und Controlling Methodiken
Technische Themen (DV-Basis): Server-Cluster, div. Directory-Services (NDS, AD, etc.), EAI (Vitria,etc.), Datenbanken (Oracle,db2, etc.), Middleware (MQ-Series), diverse OSe (W2K/XP, Solaris, OpenVMS), WAN/Lan-Strukturen (Cisco,etc.), Firewalling, Storage(NAS, HSM)

CRM Projekt - Methodik-Beratung

IT-Dienstleister Mittelstand

Internet und Informationstechnologie

10-50 Mitarbeiter

Konzeption und Design CRM
Workflow-Management im Bereich Reporting
CR-Management (intern) auf der Basis von Zope / Plone (OpenSource)

Security Management nach ISO 27000 / ITIL Standards

IT-Dienstleister Mittelstand

Internet und Informationstechnologie

Audit bzw. Review Betriebsanforderungen und Anpassung an ITIL-Standards
Maintainance, Evaluation, Planning, Implementation
Erstellung von globalen Policies
Schulung und Motivation der Mitarbeiter
Anpassung der Workflows (Incident-Mgmt, Prob.-Mgmt, SLM, Cont.-Mgmt)
Administrationskonzepte
Berechtigungskonzepte
Application Security nach Konzernvorgaben

Einführung Service Level Management / Methodikberatung

Dresdner Bank AG

Banken und Finanzdienstleistungen

5000-10.000 Mitarbeiter

(s.a.: Referenz durch Teamleiter Dresdner Bank AG vom 07.10.02)

Business Ananalyse
Schulung der Mitarbeiter:
Standardisierung von SLA
Standardisierung der Reports
Anforderungsverwaltung
Audit-Plan für die Überwachung der Einhaltung
Strategie-Beratung der Bereichs- und Referats-Leitung bezgl. QM und Security
Prüfung der Vertragstexte zum Thema Leistungsmanagement
Restrukturierung alter Service Level Agreements im Outsourcing Kontext
Business Analyse
Requirements Management
Einführung strukturiertes Vendor-Management
Anpassung von existierenden SLA / OLA an neue Entwicklungen in interner Kostenverrechnung (Kennzahlen/Rohdatenlieferungen)
Anwendung ITIL-Standards, gute Kenntnisse in IT-Betriebsorganisation, QM, Outsourcing Know-How

CarveOut: ASP/Cloud-Großprojekt starship (Reportage in c´t März 2001)

DREGIS GmbH

Internet und Informationstechnologie

500-1000 Mitarbeiter

Auslegung für 5.000 bis max. 30.000 User
Standardisierung der Betriebsorganisation für Carve-out (Vision App GmbH)
Etablierung von QM-Standards (Bank-Security, Revision, ISO, ITIL, BDSG, etc.)
Projekt-Verantwortung Total-QM (Anforderungskataloge, Test- und Abnahmevorgaben)
Standards für Softwareentwicklung CMMI Level 2/3
Coaching der ca. 60 Mitarbeiter in Hinblick auf Arbeitsorganisation, Methodik,
betriebswirtschaftliches Wissen
Strategie-Beratung der Projekt- und Bereichs-Leitung
Vorbereitung zur Ausgründung des Projektes als eigenständige Tochter der Bank inclusive der Vorbereitung nahezu aller Vertragstexte zum Thema Leistungsmanagement zur Gegenprüfung durch Rechtsabteilung und Zentraleinkauf in englischer und deutscher Sprache
Management und Durchführung von Ausschreibungen zum Thema Zukauf fremder Leistungen und deren Integration in die Leistungsverrechnung
Betriebsratsverhandlungen
Ausschreibungsprozesse ( RFI / RFP )
Transitions-Planung

Etablierung Service Level Management

DREGIS GmbH

Internet und Informationstechnologie

Erarbeitung und Dokumentation von Service Level Agreements
Erarbeitung und Dokumentation von Support- und Problemmanagement-Prozessen
Globalisierung des Prozesses "Problem-Management"

Projektleitung Windows 2000 Roll-Out EU/Ost-EU (W2K)

Alte Leipziger Versicherung

Versicherungen

1000-5000 Mitarbeiter

(s.a.: Referenz durch Mitarbeiter eines Versicherungskonzerns mit ca. 2000 Ma. vom 16.05.00)

Projektleitung / Consulting
Vollverantwortung Budget, Termine, Logistik, Technik, etc.
Konzeption Roll-Out / Softwareverteilung
Proof of Concept
Test und Integration
Umstellung von NT-Domänen bzw. NDS auf Active Directory

Umstrukturierung von IP Netzwerkorganisation und -koordination (IBN)

Commerzbank AG

Banken und Finanzdienstleistungen

(s.u.: Referenz durch Abteilungsleiter einer großen Investment-Bank vom 29.02.00)

Entwicklung eines neuen TCP/IP-Btriebs-Konzeptes (Geschäftsprozesse, Vergabeverfahren, technische Realisation) für den Bereich Investment-Banking
Abstimmung/Umsetzung innerhalb des Konzerns (MAH)
Aushandeln und Abstimmen von Service-Level-Agreements (SLA)
Einführung von Netzwerk-Measuring-Tools
Einführung organisatorisches Leistungsmonitoring über Kennzahlen
Auftrags- und Eskalationsprozesse
Reporting der KPI

Softwareverteilung: Konzeption und Durchführung inkl. weltweitem Roll-Out

Lufthansa Systems GmbH

Transport und Logistik

Einführung von Novell Z.E.N.Works im NT 4.0 / Netware 4.11 Umfeld
Implementation von Outlook / Exchange - Clients, Anpassung/Roll-Out von verteilten SAP R/3 Clients, etc.
Entwicklung neuer Geschäftsprozesse mit ARIS 4

Erstellung eines Y2000 Konzeptes

ADIG Investment

Banken und Finanzdienstleistungen

Konzeption des Testszenarios
Konzeption der Einzeltests
Risikomanagement
Berücksichtigung der Eigenheiten im Banken-/ Börsen-/ Wertpapier-Handelsbereich (Reuters, Bloomberg, etc.)

Analyse und Optimierung der Backbone-Netzwerkstruktur

Veritas AG

Industrie und Maschinenbau

Verbesserung von Netzwerkperformance und -Sicherheit (Checkpoint Firewall ONE, VPN, etc.)
Dokumentation
Glasfasertechnik, aktive Komponenten von HP, 3Com, CISCO, BayNetworks, etc.

Teilprojektleiter Windows NT-Roll-Out (2500 Systeme)

DBV-Winterthur

Versicherungen

Erstellung des Konzeptes zur Softwareverteilung
Planung, Projektierung und NT - Engineering (Unattended Installation)
Einsatz von Java Applets als Ersatz der Terminalemulationen

Migration und Roll-Out von ca. 1.500 NT-Workstations

Lufthansa Cargo AG

Transport und Logistik

Einrichtung einer Methode zur Softwareverteilung per WSM
Durchführung von Software- und Systemupdates bei 1500 Workstations
Netware, Windows NT 3.51 u. 4.0

Consulting im Netzwerk-OS-bereich für diverse Kunden

IT-Dienstleister in Dortmund

Internet und Informationstechnologie

50-250 Mitarbeiter

Konzeption von Netzwerken
Pre-Sales Support
Novell Netware Basis

Vernetzung eines Hörgerätefilialisten per NetWare 3.x MPR

Hörgerätefilialist

Pharma und Medizintechnik

10-50 Mitarbeiter

Erstellung eines Anforderungs- / Kriterienkataloges
Erstellung einer Marktübersicht der Netzwerkanbieter
Überwachung bei der Durchführung und Überwachung des Teams
Einarbeitung der Verbesserungsvorschläge aus den Abteilungen

Regulatory Compliance & IT-Governance | Audit Defense & Readiness | DORA, NIS2, CRA, AI Act

Profilanlagen

Über mich

Skills

Sprachen

Projekthistorie

Vorbereitung Horizontale CRA Prozess-, Richtlinien- und Vertragsmuster-Dokumentation

IT Audit Prep & Defense für regulierte Unternehen und deren IT-Dienstleister

Beratung zu KI Unternehmensrichtlinie in der Finanzindustrie nach KI-VO und DORA

C-Level Kompetenz-Trainings zu neuer EU Regulatorik: DORA, NIS2, AI-Act CRA, etc.

Retained Consulting DORA - Expertise für ein EU Finanzinstitut und seine IT-Dienstleister

IT Audit Defense im Rahmen von IT Compliance-Prüfungen durch Behörden, bei Jahresabschlüssen, während DueDiligence Verfahren, etc.

IT Security Audit Cloud Provider - Durchführung IT Cyber Security Audits KRITIS

IT und Datenschutz-Audit Öffentlicher Bereich Gesundheit Durchführung Audit-Simulation (KRITIS, NIS, etc.)

Audit Defense - Begleitung/Verteidigung EBA / EZB-Aufsichtsprüfung (DORA Readiness)

Erst-Outsourcing in die Microsoft Cloud M365/ Azure (MaRisk, etc.)

Erstellung weltweite IT-Strategie zu künftigen weltweiten Compliance Anforderungen

Bank in Nord-Deutschland Risiko-Bewertung sonst. IT Fremdbezüge / Auslagerungen / Exit

Groß-Bank in Hessen (DE)Due Diligence Beratung im Bereich Outsourcing in Public Cloud

Beratung im Bereich Outsourcing Bank in Public Cloud

Beratung im Bereich Outsourcing in die Public Cloud

Beratung im Bereich Cloud-Outsourcing einer Bank

IT Audit Defense - Task-Force zur Korrektur von Findings und Moniten nach Outsourcing Audit

Zentrales Auslagerungsmanagement (ZAM) mit weltweiter Verantwortung

IT Audit-/ OSI Defense - Begleitung Korrektur Outsourcing - Themen nach EZB Prüfung insbes. §25KWG, MaRisk, BAIT, MaGo, KRITIS, EUDSGVO, etc.

Re-Design existierender IT-Auslagerungen im regulierten Bereich (KWG, MaRisk, etc.)

IT Audit Defense - Vorbereitung KWG 44 Audit durch BaFin

Design Service Delivery Prozesse im Outsourcing Verhältnis nach Carve-Out

Setup und Coaching der Retained Organization für ein Carve-Out-Vorhaben (aufgrund Änderung ENWG)

Interim Management Transition-Out ohne vertragliche Grundlage (ungeplanter Exit)

Projekt-Management Transition-Out (ungeplanter Provider Exit)

RZ-Transition-Management / Outsourcing RZ Leistungen (Vorbereitung Providerwechsel - / geplanter Exit)

Organisationsanalyse der weltweiten IT Service Management Organisation

Konzeption Internes Kontrollsystem (IKS) auf Basis von Kennzahlen für IT-Services inkl. Prozesse

Operative Projektleitung Aufbau Global Headquarters IT / Einführung Global IT Governance (Europa, Asien, Amerika)

Einführung IT Governance VOIP Outsourcing

Consulting / Realisierung Global IT-Governance

Interim-Management Outsourcing Zahlungsverkehr / AML

Outsourcing Task Force

Off-Shore Outsourcing Software-Integration (Deutschland - Indien)

Near-Shore Sourcing Ost-Europa Energie-Branche (Tschechen, Slowakei, Ungarn, Polen, Bulgarien)

IT-Infrastruktur-Outsourcing im Bereich geschäfts-kritische IT-Services

Projektleitung Einführung ITIL-Strukturen

Ausschreibung zum Thema Outsourcing Software-Paketierung

Optimierung: Service Level Management / IT-Contract Management / Multi-Provider Outsourcing

CRM Projekt - Methodik-Beratung

Security Management nach ISO 27000 / ITIL Standards

Einführung Service Level Management / Methodikberatung

CarveOut: ASP/Cloud-Großprojekt starship (Reportage in c´t März 2001)

Etablierung Service Level Management

Projektleitung Windows 2000 Roll-Out EU/Ost-EU (W2K)

Umstrukturierung von IP Netzwerkorganisation und -koordination (IBN)

Softwareverteilung: Konzeption und Durchführung inkl. weltweitem Roll-Out

Erstellung eines Y2000 Konzeptes

Analyse und Optimierung der Backbone-Netzwerkstruktur

Teilprojektleiter Windows NT-Roll-Out (2500 Systeme)

Migration und Roll-Out von ca. 1.500 NT-Workstations

Consulting im Netzwerk-OS-bereich für diverse Kunden

Vernetzung eines Hörgerätefilialisten per NetWare 3.x MPR

Zertifikate

Portfolio

Kontaktanfrage