Anforderungen · DORA · Level 2/3
Ebene 2 · Regulatory · Rechtsquellen
DORA – Level 2 & 3 Masterregister
RTS, ITS, gemeinsame Leitlinien und weitere delegierte Rechtsakte werden vollständig geführt und nach ihrer tatsächlichen Relevanz für eine Pensionskasse eingeordnet.
Masterregister: Die Level-2/3-Texte werden nicht nur als Quellenliste geführt. Jeder operative Text wird später bis auf einzelne Anforderungen zerlegt und einem Themenpaket, Dokument, Verfahren und Nachweis zugeordnet.
| Rechtsakt / Instrument | Gegenstand | DORA-Grundlage | Pensionskassen-Sicht | Verwendung im Regulatory |
|---|---|---|---|---|
| 2024/1774 | RTS regulärer IKT-Risikomanagementrahmen | Art. 15 | Operativ zentral | Kernquelle für Policies, Verfahren, Tools und Methoden des regulären RMF. |
| 2024/1774 | RTS vereinfachter IKT-Risikomanagementrahmen | Art. 16(3) | Für dieses Profil nicht anwendbar | Eigenständiges Mandat im selben Rechtsakt; für das vorliegende Organisationsprofil nicht anwendbar. Der reguläre IKT-Risikomanagementrahmen bleibt maßgeblich. |
| 2024/1772 | RTS Klassifizierung IKT-Vorfälle und Cyberbedrohungen | Art. 18(3)/(4) | Operativ zentral | Kriterien, Wesentlichkeitsschwellen, wiederkehrende Vorfälle und Klassifizierung. |
| 2024/2956 | ITS Informationsregister | Art. 28(9) | Operativ zentral | Verbindliche Templates und Datenstruktur für das Informationsregister. |
| 2024/1773 | RTS Leitlinie zu IKT-Drittdienstleistungen für kritische/wichtige Funktionen | Art. 28(10) | Operativ zentral | Inhalte der TPP-Policy, Governance, Due Diligence, Monitoring, Audit, Exit. |
| 2025/301 | RTS Inhalt und Fristen der Vorfallsmeldung | Art. 20(a) | Operativ zentral | Inhalte sowie Fristen für Erst-, Zwischen- und Abschlussmeldung. |
| 2025/302 | ITS Formulare, Templates und Verfahren der Vorfallsmeldung | Art. 20(b) | Operativ zentral | Konkrete Datenfelder und Meldeformulare. |
| Joint Guidelines Art. 11(11) | Aggregierte jährliche Kosten/Verluste aus schwerwiegenden IKT-Vorfällen | Art. 11(10); Leitlinienmandat Art. 11(11) | Kompakt integrieren | Für Nicht-Microenterprises: Schätzung aggregierter Jahreskosten/-verluste; auf Verlangen an Aufsicht berichten. |
| 2025/532 | RTS Unterauftragsvergabe für kritische/wichtige Funktionen | Art. 30(5) | Operativ zentral | Subunternehmerketten, Due Diligence, Änderungen, Audit, Kündigung/Exit. |
| 2025/1190 | RTS Threat-Led Penetration Testing (TLPT) | Art. 26(11) | Bedingt | Operativ nur nach Identifizierung durch die zuständige TLPT-Behörde; reguläre Resilienztests nach Art. 24–25 bleiben unabhängig davon Pflicht. |
| 2025/295 | RTS Harmonisierung der Oversight-Aktivitäten | Art. 41 | Aufsichtskontext | Primär für Oversight kritischer IKT-Drittdienstleister. |
| 2025/420 | RTS Joint Examination Teams | Art. 41 | Aufsichtskontext | Primär Aufbau und Tätigkeit gemeinsamer Prüfungsteams. |
| Joint Guidelines Art. 32(7) | Zusammenarbeit und Informationsaustausch ESA/Behörden | Art. 32(7) | Aufsichtskontext | Primär behördliche Zusammenarbeit. |
| 2024/1502 | Kriterien zur Einstufung kritischer IKT-Drittdienstleister | Art. 31(6) | Aufsichtskontext | Kriterien für die Einstufung als CTPP (Critical ICT Third-Party Provider); wichtig zum Verständnis des europäischen Oversight-Systems. |
| 2024/1505 | Oversight-Gebühren kritischer IKT-Drittdienstleister | Art. 43(2) | Aufsichtskontext | Gebührenpflicht der als kritisch eingestuften IKT-Drittdienstleister; keine interne Pensionskassen-Dokumentpflicht. |
Berichtigungen: Bei VO (EU) 2024/1774 ist die Berichtigung vom 15.05.2025 und bei ITS (EU) 2024/2956 die Berichtigung vom 19.09.2025 bei der Arbeit mit den amtlichen Fassungen zu berücksichtigen.
Wichtig: Aufsichts-/CTPP-Texte bleiben vollständig im Rechtsquellenmodell, erzeugen aber nicht automatisch interne Dokumentpflichten für die Pensionskasse.
Arbeitsgrundlage: DORA-Mastermatrix der Einzelanforderungen öffnen →