Anforderungen · DORA · Mastermatrix
Ebene 2/3 · 158 Positionen
DORA – Mastermatrix der Einzelanforderungen
Verifizierte DORA-, RTS-/ITS- und relevante Kontextpositionen mit Anwendbarkeit, Nachweis und Framework-Zuordnung.
Aktueller Fachstand: bidirektional auf Themenfit und Vollständigkeit geprüft. Nicht anwendbare, bedingte, optionale und reine Oversight-Positionen bleiben ausdrücklich gekennzeichnet.
| ID | Thema | Quelle | Anforderung | Anwendbarkeit | Verantwortung | Dokumentation | Nachweis | Framework | Status |
|---|---|---|---|---|---|---|---|---|---|
| APP-SCOPE | Anwendbarkeit | DORA Art. 2(1)(p), Art. 2(3)(c) | Einrichtungen der betrieblichen Altersversorgung (EbAV/IORP) fallen grundsätzlich in den DORA-Anwendungsbereich; ausgenommen sind EbAV, die Altersversorgungssysteme betreiben, die zusammen insgesamt nicht mehr als 15 Mitglieder haben. | JA | Governance / Regulatory | Anwendbarkeitsbegründung | Einordnung als EbAV und Mitgliederzahl | Governance | VERIFIZIERT |
| DORA-004-01 | Grundlagen & Anwendbarkeit | DORA Art. 4 | Kapitel II sowie die einschlägigen Teile der Kapitel III–V verhältnismäßig nach Größe, Risikoprofil sowie Art, Umfang und Komplexität ausgestalten. | JA | Management / Governance | Verhältnismäßigkeitsbegründung in den betroffenen Regelungen | nachvollziehbare Begründung der Ausgestaltung | Governance; Risk Management | VERIFIZIERT |
| DORA-005-01 | Governance | DORA Art. 5(1) | Internen Governance- und Kontrollrahmen für ein wirksames und umsichtiges IKT-Risikomanagement vorhalten. | JA | Leitungsorgan | Governance-/Kontrollrahmen, RMF | Governance-Beschlüsse, Rollen, Kontrollen | Governance | VERIFIZIERT |
| DORA-005-02 | Governance | DORA Art. 5(2)(a) | Leitungsorgan trägt die Letztverantwortung für das IKT-Risiko. | JA | Leitungsorgan | Governance-/Rollenregelung | Beschlüsse, Reporting, Verantwortungszuordnung | Governance; Ownership | VERIFIZIERT |
| DORA-005-03 | Governance | DORA Art. 5(2)(b) | Policies für hohe Standards bei Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten festlegen. | JA | Leitungsorgan | Informationssicherheitsleitlinie/-richtlinien | Freigaben und Reviews | Informationsschutz | VERIFIZIERT |
| DORA-005-04 | Governance | DORA Art. 5(2)(c) | Klare Rollen und Verantwortlichkeiten für IKT-bezogene Funktionen sowie wirksame Kommunikation, Kooperation und Koordination festlegen. | JA | Leitungsorgan | Rollen-/Organisationsmodell | Rollenbeschreibungen, Gremien, Eskalationen | Rollenmodell; Governance | VERIFIZIERT |
| DORA-005-05 | Governance | DORA Art. 5(2)(d) | Strategie für digitale operationale Resilienz festlegen und genehmigen; IKT-Risikotoleranz bestimmen. | JA | Leitungsorgan | DOR-Strategie | genehmigte Strategie, Risikotoleranz | Strategie; Risk Decision | VERIFIZIERT |
| DORA-005-06 | Governance | DORA Art. 5(2) | Leitungsorgan muss die wesentlichen IKT-Risikomanagementregelungen einschließlich Business Continuity, Audit, Ressourcen und Drittparteienrisiken steuern und überwachen. | JA | Leitungsorgan | Governance-/RMF-Dokumentation | Management-Reporting, Beschlüsse | Governance | VERIFIZIERT |
| DORA-005-07 | Drittparteien-Governance | DORA Art. 5(3) | Funktion zur Überwachung der IKT-Drittdienstleistungsvereinbarungen einrichten oder Senior-Management-Verantwortung dafür benennen. | JA | Leitungsorgan / benannte Senior-Management-Rolle | Rollenregelung Drittparteien | Benennung, Reporting | Supplier Management | VERIFIZIERT |
| DORA-005-08 | Governance | DORA Art. 5(4) | Mitglieder des Leitungsorgans halten ausreichende Kenntnisse und Fähigkeiten zu IKT-Risiken aktuell, einschließlich regelmäßiger spezifischer Schulungen. | JA | Leitungsorgan | Schulungs-/Kompetenzplanung | Schulungsnachweise | Awareness; Governance | VERIFIZIERT |
| DORA-006-01 | IKT-Risikomanagement | DORA Art. 6(1) | Soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen als Teil des Gesamtrisikomanagementsystems betreiben. | JA | Leitungsorgan / Kontrollfunktion | IKT-Risikomanagementrahmen | RMF-Dokumentation, Risk Reports | Risk Management | VERIFIZIERT |
| DORA-006-02 | IKT-Risikomanagement | DORA Art. 6(2) | RMF umfasst mindestens Strategien, Policies, Verfahren, IKT-Protokolle und Tools zum Schutz von Informations- und IKT-Assets sowie relevanter physischer Infrastruktur. | JA | festzulegen | RMF-Dokumentenlandschaft | Freigaben, Implementierungsnachweise | Risk Management; Controls | VERIFIZIERT |
| DORA-006-03 | IKT-Risikomanagement | DORA Art. 6(3) | IKT-Risiko durch angemessene Strategien, Policies, Verfahren, Protokolle und Tools minimieren und auf Anfrage vollständige aktuelle Informationen an die Aufsicht liefern können. | JA | festzulegen | RMF + Aufsichtsbereitstellung | aktuelle Risiko-/RMF-Informationen | Risk Management; Evidence | VERIFIZIERT |
| DORA-006-04 | IKT-Risikomanagement | DORA Art. 6(4) | Unabhängige Kontrollfunktion für Management und Überwachung des IKT-Risikos sowie angemessene Funktionstrennung sicherstellen. | JA | Leitungsorgan | Organisations-/Kontrollmodell | Organigramm, Rollen, Unabhängigkeitsnachweis | Organisation Model | VERIFIZIERT |
| DORA-006-05 | IKT-Risikomanagement | DORA Art. 6(5) | RMF mindestens jährlich sowie nach Major Incidents, Aufsichtsanweisungen oder relevanten Test-/Auditfeststellungen überprüfen und kontinuierlich verbessern. | JA | Kontrollfunktion / Leitungsorgan | RMF-Reviewverfahren | jährlicher Reviewbericht, Maßnahmen | PDCA; Assessments | VERIFIZIERT |
| DORA-006-06 | IKT-Risikomanagement | DORA Art. 6(5) | Bericht über die Überprüfung des RMF auf Anfrage der zuständigen Behörde vorlegen können. | JA | festzulegen | RMF-Reviewbericht | bereitstellbarer Bericht | Evidence | VERIFIZIERT |
| DORA-006-07 | Audit | DORA Art. 6(6) | RMF regelmäßig gemäß Auditplan durch ausreichend qualifizierte und unabhängige Prüfer intern prüfen lassen. | JA | Interne Revision | IKT-Revisionsplan | Auditberichte | Audits | VERIFIZIERT |
| DORA-006-08 | Audit | DORA Art. 6(7) | Formalen Follow-up-Prozess für zeitnahe Verifikation und Behebung kritischer IKT-Auditfeststellungen betreiben. | JA | Interne Revision / Maßnahmenverantwortliche | Audit-Follow-up-Verfahren | Maßnahmenstatus, Closure-Nachweise | Audits; PDCA | VERIFIZIERT |
| DORA-006-09 | Strategie | DORA Art. 6(8) | Strategie für digitale operationale Resilienz als Bestandteil des RMF dokumentieren. | JA | Leitungsorgan | DOR-Strategie | genehmigte, aktuelle Strategie | Strategy | VERIFIZIERT |
| DORA-006-10 | Strategie | DORA Art. 6(8) | DOR-Strategie muss u. a. Verbindung zur Geschäftsstrategie, IKT-Risikotoleranz, Informationssicherheitsziele, IKT-Referenzarchitektur/erforderliche Änderungen, Mechanismen zu Erkennung/Schutz/Prävention, Resilienzstatus, Resilienztests und Kommunikationsstrategie abdecken. | JA | Leitungsorgan | DOR-Strategie | Review und Managementfreigabe | Strategy; Governance | VERIFIZIERT |
| DORA-006-11 | Drittparteien-Governance | DORA Art. 6(9) | Strategie zur Nutzung mehrerer IKT-Anbieter kann vorgesehen werden, wenn dies dem Bedarf und der Risikosteuerung entspricht. | OPTIONAL | Leitungsorgan | ggf. Multi-Vendor-Strategie | Begründung | Supplier Management | OPTIONAL |
| DORA-006-12 | IKT-Risikomanagement | DORA Art. 6(10) | Ausgelagerte Compliance-Verifikation entbindet das Finanzunternehmen nicht von seiner Verantwortung. | JA | Leitungsorgan | Outsourcing-/Assurance-Regelung | Vertrags-/Überwachungsnachweise | Supplier Management; Governance | VERIFIZIERT |
| DORA-007-01 | IKT-Betrieb | DORA Art. 7 | Aktuelle, zuverlässige, ausreichend leistungsfähige und technologisch resiliente IKT-Systeme, Protokolle und Tools einsetzen und warten. | JA | IT operativ / Governance zuzuordnen | IKT-Betriebs-/Technologiestandards | Kapazitäts-, Lifecycle-, Betriebsnachweise | IT Operations | VERIFIZIERT |
| DORA-008-01 | Asset & Funktionen | DORA Art. 8(1) | Alle IKT-gestützten Geschäftsfunktionen, Rollen, Verantwortlichkeiten sowie unterstützende Informations- und IKT-Assets und Abhängigkeiten identifizieren, klassifizieren und dokumentieren; mindestens jährlich prüfen. | JA | Fachliche Owner + IT | Funktions-/Assetinventar | Inventar, jährlicher Review | Asset Management; Ownership | VERIFIZIERT |
| DORA-008-02 | IKT-Risikomanagement | DORA Art. 8(2) | Quellen des IKT-Risikos kontinuierlich identifizieren sowie Cyberbedrohungen und IKT-Schwachstellen bewerten; Risikoszenarien mindestens jährlich überprüfen. | JA | Risk/IS/IT festzulegen | Risikoszenarien, Threat-/Vulnerability-Prozess | Risikoregister, Reviews | Risk Management; Vulnerability Management | VERIFIZIERT |
| DORA-008-03 | Change & Risiko | DORA Art. 8(3) | Bei jeder wesentlichen Änderung an Infrastruktur, Prozessen oder Verfahren mit Auswirkung auf IKT-gestützte Funktionen/Assets eine Risikobewertung durchführen. | JA | Change-Verantwortung + Risk/IS | Change-/Risikoverfahren | Change-Risikobewertungen | Change Management; Assessments | VERIFIZIERT |
| DORA-008-04 | Asset & Abhängigkeiten | DORA Art. 8(4) | Informations- und IKT-Assets einschließlich Remote-Standorten, Netzwerkressourcen und Hardware identifizieren, kritische Assets abbilden sowie Konfigurationen und Interdependenzen mappen. | JA | IT + Owner | Asset-/Konfigurationsinventar | CMDB/Inventar/Abhängigkeitsmap | Asset Management; Configuration Management | VERIFIZIERT |
| DORA-008-05 | Drittparteien-Abhängigkeiten | DORA Art. 8(5) | Alle von IKT-Drittdienstleistern abhängigen Prozesse und Interkonnektivitäten zu Anbietern kritischer/wichtiger Funktionen identifizieren und dokumentieren. | JA | Owner + Supplier Management | Abhängigkeits-/Lieferanteninventar | Mappings, Informationsregister | Supplier Management | VERIFIZIERT |
| DORA-008-06 | Asset & Funktionen | DORA Art. 8(6) | Relevante Inventare periodisch und nach wesentlichen Änderungen aktualisieren. | JA | festzulegen | Inventarverfahren | Änderungshistorie | Asset Management | VERIFIZIERT |
| DORA-008-07 | Legacy | DORA Art. 8(7) | Alle Legacy-IKT-Systeme regelmäßig und mindestens jährlich spezifisch auf IKT-Risiken bewerten sowie vor/nach Anbindung neuer Technologien/Systeme prüfen. | JA | IT + Risk/IS | Legacy-Risikoverfahren | jährliche Bewertungen | Lifecycle; Risk Management | VERIFIZIERT |
| DORA-009-01 | Schutz & Prävention | DORA Art. 9(1) | Sicherheit und Funktion der IKT-Systeme kontinuierlich überwachen und Auswirkungen von IKT-Risiken durch geeignete Schutzmaßnahmen minimieren. | JA | IT/IS festzulegen | Security Operations / Schutzkonzept | Monitoring-/Kontrollnachweise | Protection; Monitoring | VERIFIZIERT |
| DORA-009-02 | Schutz & Prävention | DORA Art. 9(2) | IKT-Sicherheits-Policies, Verfahren, Protokolle und Tools für Resilienz, Kontinuität, Verfügbarkeit sowie hohe Standards von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit gestalten und betreiben. | JA | festzulegen | Informationssicherheitsregelwerk | Freigaben, technische Nachweise | Information Protection | VERIFIZIERT |
| DORA-009-03 | Datenübertragung | DORA Art. 9(3)(a) | Sicherheit der Mittel zur Datenübertragung gewährleisten. | JA | IT/IS | Übertragungs-/Netzwerksicherheitsregeln | Konfigurations-/Testnachweise | Network Security; Cryptography | VERIFIZIERT |
| DORA-009-04 | Daten & Systeme | DORA Art. 9(3)(b)-(d) | Risiken von Datenkorruption/-verlust, unbefugtem Zugriff, technischen Fehlern und mangelhafter Datenverwaltung einschließlich menschlicher Fehler minimieren. | JA | IT + Data Owner | Daten-/Systemsicherheitsregeln | Kontrollen, Tests | Data Protection; Controls | VERIFIZIERT |
| DORA-009-05 | Informationssicherheit | DORA Art. 9(4)(a) | Dokumentierte Informationssicherheitsleitlinie/-policy zum Schutz von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit vorhalten. | JA | Leitungsorgan / IS | Informationssicherheitsleitlinie | Freigabe/Review | Information Protection | VERIFIZIERT |
| DORA-009-06 | Netzwerk & Infrastruktur | DORA Art. 9(4)(b) | Risikobasierte Netzwerk- und Infrastrukturmanagementstruktur mit geeigneten Techniken, Methoden und Protokollen betreiben; Isolation betroffener Assets kann dazugehören. | JA | IT/IS | Netzwerk-/Infrastruktur-Sicherheitsrichtlinie | Architektur, Regeln, Tests | Network Security | VERIFIZIERT |
| DORA-009-07 | IAM | DORA Art. 9(4)(c) | Physischen und logischen Zugriff auf erforderliche legitime und genehmigte Funktionen beschränken und Zugriffsrechte angemessen administrieren. | JA | Owner + IT | IAM-/Berechtigungsrichtlinie | Freigaben, Reviews, Logs | IAM; Least Privilege | VERIFIZIERT |
| DORA-009-08 | Authentisierung & Kryptographie | DORA Art. 9(4)(d) | Starke Authentisierung und Schutz kryptografischer Schlüssel einsetzen; Verschlüsselung an Datenklassifizierung und IKT-Risikobewertung ausrichten. | JA | IT/IS | Authentisierungs-/Kryptographierichtlinie | Konfigurationen, Schlüsselregister | IAM; Cryptography; Classification | VERIFIZIERT |
| DORA-009-09 | Change Management | DORA Art. 9(4)(e) | Dokumentierte Change-Policies, Verfahren und Kontrollen für Software, Hardware, Firmware, Systeme und Sicherheitsparameter risikobasiert betreiben; Änderungen aufzeichnen, testen, bewerten, genehmigen, implementieren und verifizieren. | JA | IT + Genehmigungsrollen | Change-Richtlinie/-Verfahren | Change-Tickets, Tests, Freigaben | Change Management | VERIFIZIERT |
| DORA-009-10 | Patch Management | DORA Art. 9(4)(f) | Angemessene und umfassende dokumentierte Policies für Patches und Updates vorhalten. | JA | IT | Patch-/Update-Richtlinie | Patchberichte | Vulnerability & Patch Management | VERIFIZIERT |
| DORA-010-01 | Erkennung | DORA Art. 10 | Mechanismen zur schnellen Erkennung anomaler Aktivitäten einschließlich Leistungsproblemen und IKT-Vorfällen sowie zur Identifikation potenzieller Single Points of Failure betreiben. | JA | IT/IS | Detection-/Monitoring-Verfahren | Alerts, Monitoring, Reviews | Security Monitoring | VERIFIZIERT |
| DORA-010-02 | Erkennung | DORA Art. 10 | Erkennungsmechanismen regelmäßig testen und nach Risikopriorität sowie Kritikalität der unterstützten Services ausrichten. | JA | IT/IS | Monitoring-/Testregelung | Testnachweise | Security Monitoring; Testing | VERIFIZIERT |
| DORA-011-01 | Business Continuity | DORA Art. 11(1) | Umfassende IKT-Geschäftsfortführungsleitlinie als Bestandteil der allgemeinen Geschäftsfortführungsleitlinie etablieren. | JA | Management / BC-Verantwortung | IKT-Geschäftsfortführungsleitlinie | Freigabe/Review | Business Continuity | VERIFIZIERT |
| DORA-011-02 | Business Continuity | DORA Art. 11(2) | IKT-Geschäftsfortführungsleitlinie über dokumentierte Regelungen, Pläne, Verfahren und Mechanismen umsetzen, die Kontinuität, Reaktion, Wiederherstellung und Krisenmanagement ermöglichen. | JA | BC + IT + Fachbereiche | IKT-GFP, Reaktions-/Recovery-Pläne | Tests, Aktivierungsnachweise | Business Continuity; Recovery | VERIFIZIERT |
| DORA-011-03 | Business Impact Analysis | DORA Art. 11(5) | Business Impact Analysis für Exposition gegenüber schwerwiegenden Betriebsstörungen durchführen; Kritikalität identifizierter/abgebildeter Funktionen, Prozesse, Drittparteien und Assets berücksichtigen. | JA | Fachliche Owner + BC | BIA-Verfahren/-Ergebnisse | BIA-Berichte | Business Impact Analysis | VERIFIZIERT |
| DORA-011-04 | Business Continuity | DORA Art. 11(6) | IKT-Geschäftsfortführungspläne insbesondere für kritische/wichtige Funktionen regelmäßig testen; Krisenkommunikation einbeziehen. | JA | BC + IT | Testplan IKT-GFP | Testprotokolle | Business Continuity; Testing | VERIFIZIERT |
| DORA-011-05 | Business Continuity | DORA Art. 11(7)-(8) | Bei Aktivierung von IKT-GFP oder Reaktions-/Recovery-Plänen relevante Informationen und Tätigkeiten dokumentieren und Krisenkommunikation ermöglichen. | JA | BC/Incident | Aktivierungs-/Krisenprotokolle | Aufzeichnungen | Incident Management; Evidence | VERIFIZIERT |
| DORA-011-06 | Kosten & Verluste | DORA Art. 11(10)-(11) + Joint Guidelines | Aggregierte jährliche Kosten und Verluste aus schwerwiegenden IKT-Vorfällen schätzen und auf Anfrage der zuständigen Behörde berichten. | JA | Incident + Finance/Controlling zuzuordnen | Incident-Nachbereitung / Jahresaggregation | jährliche Aggregation, Berechnungsgrundlage | Incident Management; Metrics | VERIFIZIERT |
| DORA-012-01 | Backup | DORA Art. 12(1)-(2) | Backup-Richtlinien und -Verfahren sowie Wiedergewinnungs-/Wiederherstellungsverfahren und -methoden einrichten und dokumentieren. | JA | IT + Owner Anforderungen | Backup-/Recovery-Regelwerk | Backup-/Restore-Nachweise | Backup & Recovery | VERIFIZIERT |
| DORA-012-02 | Backup | DORA Art. 12 | Backup-Systeme so betreiben, dass Umfang, Häufigkeit und Wiederherstellungsanforderungen aus Kritikalität bzw. BIA folgen und Backups gegen unbefugten Zugriff/Manipulation geschützt sind. | JA | IT + Owner | Backupstandard | Sicherungs-/Schutznachweise | Backup & Recovery | VERIFIZIERT |
| DORA-012-03 | Recovery | DORA Art. 12 | Bei Wiederherstellung mehrere Systeme kontrolliert, sicher und in festgelegter Reihenfolge wiederherstellen; Wiederherstellungsziele berücksichtigen. | JA | IT + BC | Recovery-Verfahren | Restore-/Recovery-Tests | Backup & Recovery; BIA | VERIFIZIERT |
| DORA-013-01 | Lernen & Verbesserung | DORA Art. 13(1)-(3) | Aus Informationen zu Schwachstellen und Cyberbedrohungen, nachträglichen Vorfallsprüfungen, Resilienztests, realen IKT-Vorfällen und Erfahrungen aus aktivierten Kontinuitäts-/Recovery-Plänen lernen und den IKT-Risikomanagementrahmen fortlaufend verbessern. | JA | IS/IT/Risk festzulegen | Lessons-Learned-/Verbesserungsverfahren | Maßnahmenregister | PDCA; Incident Management | VERIFIZIERT |
| DORA-013-02 | Threat & Entwicklung | DORA Art. 13(7) | Für Finanzunternehmen, die keine Kleinstunternehmen sind: einschlägige technologische Entwicklungen fortlaufend überwachen, Auswirkungen neuer Technologien auf IKT-Sicherheit und digitale operationale Resilienz verstehen und bei aktuellen IKT-Risikomanagementprozessen sowie neuen Formen von Cyberangriffen auf dem Laufenden bleiben. | JA | IS/IT | Threat-/Technology-Monitoring | Reviews, Risikoanpassungen | Threat Intelligence; Risk Management | VERIFIZIERT |
| DORA-013-03 | Awareness & Training | DORA Art. 13(6) | Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtbestandteil der Mitarbeiterschulung einrichten; angemessene Einbeziehung relevanter Drittdienstleister. | JA | Management/HR/IS festzulegen | Awareness-/Schulungsprogramm | Teilnahmenachweise | Awareness | VERIFIZIERT |
| DORA-014-01 | Kommunikation | DORA Art. 14(1)-(2) | Krisenkommunikationspläne für interne und externe Kommunikation bei IKT-bezogenen Vorfällen sowie Verantwortlichkeiten für Kommunikation vorhalten. | JA | festzulegen | Kommunikationsstrategie/-pläne | Kommunikationsnachweise | Communication; Incident Management | VERIFIZIERT |
| DORA-014-02 | Kommunikation | DORA Art. 14(3) | Kommunikationsstrategie für IKT-bezogene Vorfälle implementieren und mindestens eine verantwortliche Person für Umsetzung der Kommunikationsstrategie gegenüber Öffentlichkeit/Medien benennen. | JA | Management | Kommunikationsstrategie | Benennung, Übungen | Communication | VERIFIZIERT |
| DORA-017-01 | Incident Management | DORA Art. 17(1) | IKT-bezogenen Vorfallmanagementprozess zur Erkennung, Behandlung und Meldung von IKT-Vorfällen einrichten. | JA | festzulegen | Incident-Management-Prozess | Tickets, Logs, Reports | Incident Management | VERIFIZIERT |
| DORA-017-02 | Incident Management | DORA Art. 17(2) | Alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen aufzeichnen; Verfahren für Identifikation, Tracking, Logging, Kategorisierung, Priorisierung und Klassifizierung vorhalten. | JA | IT/IS festzulegen | Incident- und Threat-Dokumentation | Vorfallsregister | Incident Management; Logging | VERIFIZIERT |
| DORA-017-03 | Incident Management | DORA Art. 17(3) | Rollen und Verantwortlichkeiten, Eskalationswege, Kunden-/Stakeholder-Kommunikation, Reaktionsverfahren und Ursachenanalyse im Incident-Prozess festlegen. | JA | festzulegen | Incident-Richtlinie/-Verfahren | RACI, Eskalationen, PIR | Incident Management | VERIFIZIERT |
| DORA-018-01 | Incident Classification | DORA Art. 18 + RTS 2024/1772 | IKT-Vorfälle anhand der DORA-Kriterien klassifizieren und Major Incidents anhand verbindlicher Wesentlichkeitsschwellen bestimmen. | JA | Incident/IS festzulegen | Klassifizierungsverfahren | Klassifizierungsentscheidungen | Incident Management | VERIFIZIERT |
| RTS-1772-01 | Incident Classification | RTS 2024/1772 Art. 1 | Zahl/Relevanz betroffener Kunden und Gegenparteien sowie Zahl/Wert betroffener Transaktionen bewerten. | JA | Incident/IS festzulegen | Klassifizierungslogik | Bewertungsdaten | Incident Management | KONKRETISIERT |
| RTS-1772-02 | Incident Classification | RTS 2024/1772 Art. 2 | Medienwirkung, wiederholte Beschwerden, regulatorische Nichterfüllung oder materielle Kunden-/Gegenparteiverluste berücksichtigen. | JA | Incident/IS festzulegen | Klassifizierungslogik | Bewertungsdaten | Incident Management | KONKRETISIERT |
| RTS-1772-03 | Incident Classification | RTS 2024/1772 Art. 3 | Vorfallsdauer und Service-Downtime nach RTS messen. | JA | Incident/IS festzulegen | Klassifizierungslogik | Bewertungsdaten | Incident Management | KONKRETISIERT |
| RTS-1772-04 | Incident Classification | RTS 2024/1772 Art. 4 | Auswirkungen in anderen Mitgliedstaaten beurteilen. | JA | Incident/IS festzulegen | Klassifizierungslogik | Bewertungsdaten | Incident Management | KONKRETISIERT |
| RTS-1772-05 | Incident Classification | RTS 2024/1772 Art. 5 | Auswirkungen auf Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit bewerten. | JA | Incident/IS festzulegen | Klassifizierungslogik | Bewertungsdaten | Incident Management | KONKRETISIERT |
| RTS-1772-06 | Incident Classification | RTS 2024/1772 Art. 6 | Auswirkung auf kritische/wichtige Funktionen, beaufsichtigte Finanzservices oder erfolgreichen böswilligen Zugriff bewerten. | JA | Incident/IS festzulegen | Klassifizierungslogik | Bewertungsdaten | Incident Management | KONKRETISIERT |
| RTS-1772-07 | Incident Classification | RTS 2024/1772 Art. 7 | Direkte und indirekte Kosten/Verluste des Vorfalls erfassen und bewerten. | JA | Incident/IS festzulegen | Klassifizierungslogik | Bewertungsdaten | Incident Management | KONKRETISIERT |
| RTS-1772-08 | Incident Classification | RTS 2024/1772 Art. 8 | Wiederkehrende Vorfälle regelmäßig auf mögliche gemeinsame Ursache bzw. kumulative Major-Incident-Einstufung prüfen; monatliche Beurteilung vorsehen. | JA | Incident/IS | Recurring-Incident-Review | monatliche Prüfung | Incident Management; Problem Management | KONKRETISIERT |
| RTS-1772-09 | Incident Classification | RTS 2024/1772 Art. 9 | Verbindliche Wesentlichkeitsschwellen in die Klassifizierungslogik übernehmen, einschließlich der im RTS definierten Zeit-, geografischen, Daten- und wirtschaftlichen Schwellen. | JA | Incident/IS | Klassifizierungsmatrix | Entscheidungsprotokoll | Incident Management | KONKRETISIERT |
| DORA-019-01 | Incident Reporting | DORA Art. 19(1), (4) | Schwerwiegende IKT-Vorfälle der zuständigen Behörde über die vorgesehenen Meldewege melden. | JA | festzulegen | Meldeverfahren | Meldungen, Empfangsnachweise | Incident Management | VERIFIZIERT |
| DORA-019-02 | Incident Reporting | DORA Art. 19(3) | Kunden über Major Incidents informieren, wenn deren finanzielle Interessen betroffen sind, und bei erheblicher Cyberbedrohung ggf. angemessene Schutzmaßnahmen kommunizieren. | BEDINGT | festzulegen | Kommunikations-/Incident-Verfahren | Kundeninformation | Incident Management; Communication | BEDINGT |
| DORA-019-03 | Incident Reporting – Auslagerung | DORA Art. 19(5) | Meldepflichten für schwerwiegende IKT-bezogene Vorfälle dürfen im Einklang mit dem anwendbaren Recht an einen Drittdienstleister ausgelagert werden; das Finanzunternehmen bleibt vollständig für die Erfüllung der Meldeanforderungen verantwortlich. | JA | festzulegen | Incident-Meldeverfahren / Auslagerungsregelung | Auslagerungsvereinbarung, Verantwortlichkeitsregelung, Meldetest/-nachweis | Incident Management; Supplier Management | VERIFIZIERT |
| RTS-0301-01 | Incident Reporting | RTS 2025/301 Art. 1–4 | Erstmeldung, Zwischenmeldung und Abschlussbericht mit den jeweils vorgeschriebenen Inhalten und Zeitlimits sicherstellen. | JA | Incident/Regulatory Reporting | Meldeverfahren | Zeitstempel, Meldungen | Incident Management | KONKRETISIERT |
| RTS-0301-02 | Incident Reporting | RTS 2025/301 Art. 5(1)(a) | Meldeprozess so organisieren, dass Erstmeldung grundsätzlich binnen 4 Stunden nach Major-Klassifizierung und spätestens 24 Stunden nach Kenntnis des Vorfalls erfolgen kann; weitere Fristen des RTS einhalten. | JA | Incident/Regulatory Reporting | Melde-SLA/Eskalation | Meldezeitstempel | Incident Management | KONKRETISIERT |
| ITS-0302-01 | Incident Reporting | ITS 2025/302 Art. 1–8 + Anhänge I–IV | Verbindliche Formulare, Templates und Verfahren für Major-Incident-Meldungen und freiwillige Meldung signifikanter Cyberbedrohungen verwenden. | JA | Incident/Regulatory Reporting | Meldevorlagen | ausgefüllte Templates | Incident Management | KONKRETISIERT |
| DORA-024-01 | Resilienztests | DORA Art. 24 | Umfassendes risikobasiertes Programm für Tests der digitalen operationalen Resilienz als integralen Bestandteil des RMF etablieren. | JA | festzulegen | Testprogramm | Testplan/-kalender | Testing & Assurance | VERIFIZIERT |
| DORA-024-02 | Resilienztests | DORA Art. 24 | Tests durch unabhängige interne oder externe Parteien durchführen lassen und Interessenkonflikte vermeiden. | JA | festzulegen | Test-Governance | Unabhängigkeitsnachweise | Testing & Assurance | VERIFIZIERT |
| DORA-024-03 | Resilienztests | DORA Art. 24 | Festgestellte Schwächen, Mängel oder Lücken priorisieren, klassifizieren und beheben; Validierung der Behebung sicherstellen. | JA | festzulegen | Finding-/Remediation-Verfahren | Maßnahmen-Closure | Testing; PDCA | VERIFIZIERT |
| DORA-025-01 | Resilienztests | DORA Art. 25 | Schwachstellenbewertungen und -scans als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-02 | Resilienztests | DORA Art. 25 | Open-Source-Analysen als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-03 | Resilienztests | DORA Art. 25 | Netzwerksicherheitsbewertungen als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-04 | Resilienztests | DORA Art. 25 | Lückenanalysen als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-05 | Resilienztests | DORA Art. 25 | Überprüfungen der physischen Sicherheit als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-06 | Resilienztests | DORA Art. 25 | Fragebögen und Software-Scanning-Lösungen als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-07 | Resilienztests | DORA Art. 25 | Quellcodeprüfungen, soweit durchführbar als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-08 | Resilienztests | DORA Art. 25 | Szenariobasierte Tests als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-09 | Resilienztests | DORA Art. 25 | Kompatibilitätstests als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-10 | Resilienztests | DORA Art. 25 | Leistungstests als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-11 | Resilienztests | DORA Art. 25 | End-to-End-Tests als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-025-12 | Resilienztests | DORA Art. 25 | Penetrationstests als mögliche/erforderliche Testart im risikobasierten Testprogramm berücksichtigen. | JA | festzulegen | Testprogramm | Testbericht | Testing & Assurance | VERIFIZIERT |
| DORA-026-01 | TLPT | DORA Art. 26–27 + RTS 2025/1190 | TLPT ist eine DORA-Sonderpflicht für Finanzunternehmen, die von der zuständigen TLPT-Behörde nach Art. 26 DORA und RTS 2025/1190 identifiziert werden. Für die konkrete Pensionskasse wird ohne behördliche Identifizierung/Benachrichtigung keine operative TLPT-Pflicht unterstellt. | BEDINGT | Bei behördlicher Identifizierung festzulegen | Anwendbarkeits-/Behördennachweis; bei Identifizierung TLPT-Governance und Testakte | Behördliche Identifizierung/Benachrichtigung bzw. dokumentierte Abgrenzung | Testing & Assurance | BEDINGT |
| DORA-028-01 | IKT-Drittparteienrisiko | DORA Art. 28(1) | IKT-Drittparteienrisiko als integralen Bestandteil des IKT-Risikos steuern; vollständige Verantwortung bleibt beim Finanzunternehmen. | JA | Leitungsorgan / festzulegen | Drittparteien-Risikomanagement | Risiko-/Überwachungsnachweise | Supplier Management | VERIFIZIERT |
| DORA-028-02 | IKT-Drittparteienrisiko | DORA Art. 28(2) | Strategie zum IKT-Drittparteienrisiko regelmäßig überprüfen; kritische/wichtige Funktionen besonders berücksichtigen. | JA | Leitungsorgan | Drittparteienstrategie | jährlicher Review | Supplier Management | VERIFIZIERT |
| DORA-028-03 | Informationsregister | DORA Art. 28(3) + ITS 2024/2956 | Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen führen und nach den verbindlichen ITS-Templates strukturieren. | JA | festzulegen | Informationsregister | vollständige aktuelle Registerdaten | Supplier Management; Asset Management | KONKRETISIERT |
| DORA-028-03B | Informationsregister & Aufsichtsmeldung | DORA Art. 28(3) Unterabs. 5 | Die zuständige Behörde zeitnah über jede geplante vertragliche Vereinbarung über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen sowie darüber unterrichten, wenn eine Funktion kritisch oder wichtig geworden ist. | JA | festzulegen | Drittparteien-/Vertragsfreigabeprozess | zeitnahe Aufsichtsinformation und Entscheidungsnachweis | Supplier Management; Governance | VERIFIZIERT |
| DORA-028-03A | Informationsregister & Aufsichtsmeldung | DORA Art. 28(3) Unterabs. 3–4 | Der zuständigen Behörde mindestens jährlich über die Anzahl neuer Vereinbarungen zur Nutzung von IKT-Dienstleistungen, Kategorien der IKT-Drittdienstleister, Art der Vereinbarungen sowie bereitgestellte IKT-Dienstleistungen und -Funktionen berichten; das vollständige Informationsregister oder angeforderte Teile auf Verlangen bereitstellen. | JA | festzulegen | Informationsregister / DORA-Drittparteienreporting | Jahresmeldung, Registerbereitstellung, Empfangs-/Übermittlungsnachweise | Supplier Management; Evidence | VERIFIZIERT |
| DORA-028-04 | IKT-Drittparteienrisiko | DORA Art. 28(4) | Vor Vertragsschluss Kritikalität/Wichtigkeit der unterstützten Funktion bestimmen, relevante Risiken bewerten, Due Diligence durchführen und Interessenkonflikte berücksichtigen. | JA | Owner + Supplier/Risk festzulegen | Risikobewertung vor Beauftragung/Due Diligence | Bewertungen/Freigaben | Supplier Management | VERIFIZIERT |
| DORA-028-05 | IKT-Drittparteienrisiko | DORA Art. 28 | Nur Verträge mit Anbietern schließen, die angemessene Informationssicherheitsstandards erfüllen; bei kritischen/wichtigen Funktionen angemessene aktuelle Standards verlangen. | JA | festzulegen | Due-Diligence-/Vertragsstandard | Prüfnachweise | Supplier Management | VERIFIZIERT |
| DORA-028-06 | IKT-Drittparteienrisiko | DORA Art. 28 | Relevante Vertragsbeziehungen laufend überwachen und Exit-Strategien für IKT-Services kritischer/wichtiger Funktionen entwickeln. | JA | festzulegen | Monitoring + Exitpläne | Provider Reviews, Exit-Tests | Supplier Management; Exit | VERIFIZIERT |
| RTS-1773-01 | IKT-Drittparteienrisiko | RTS 2024/1773 Art. 3–4 | Policy für Verträge zu IKT-Services kritischer/wichtiger Funktionen mindestens jährlich durch Leitungsorgan prüfen und alle Lebenszyklusphasen mit Rollen, Regeln und Prozessen abdecken. | JA | Leitungsorgan | TPP-Policy | Freigabe/Review | Supplier Management | KONKRETISIERT |
| RTS-1773-02 | IKT-Drittparteienrisiko | RTS 2024/1773 Art. 5 | Geschäftsbedarf definieren und vor Vertragsschluss Risikobewertung vor Beauftragung durchführen. | JA | Owner + Supplier/Risk | Risikobewertung vor Beauftragung | Bewertung/Freigabe | Supplier Management | KONKRETISIERT |
| RTS-1773-03 | IKT-Drittparteienrisiko | RTS 2024/1773 Art. 6 | Eignung künftiger IKT-Drittdienstleister durch angemessene Due Diligence prüfen, einschließlich Reputation, Ressourcen, Informationssicherheit, Organisation, Risikomanagement und Kontrollen. | JA | Supplier/Risk/IT/IS festzulegen | Due-Diligence-Verfahren | Due-Diligence-Bericht | Supplier Management | KONKRETISIERT |
| RTS-1773-04 | IKT-Drittparteienrisiko | RTS 2024/1773 Art. 7–9 | Vertragsvereinbarungen implementieren, überwachen und managen; Leistungs-/Risikoinformationen sowie festgestellte Mängel verfolgen und angemessene Maßnahmen fristgerecht nachhalten. | JA | festzulegen | Supplier Monitoring | Reviews, Maßnahmen | Supplier Management | KONKRETISIERT |
| RTS-1773-05 | Audit | RTS 2024/1773 Art. 3(7)–(8), Art. 8(2) | IKT-Services kritischer/wichtiger Funktionen unabhängiger Überprüfung unterziehen und in Auditplanung berücksichtigen; wirksame Zugangs-/Prüfrechte sicherstellen. | JA | Revision + Supplier Management | Audit-/Prüfregelung | Auditberichte, Vertragsrechte | Audits; Supplier Management | KONKRETISIERT |
| RTS-1773-06 | Exit | RTS 2024/1773 Art. 10 | Für jede einschlägige vertragliche Vereinbarung dokumentierten Exit-Plan vorhalten, regelmäßig prüfen und testen; plausible Störung/Schlechtleistung/unerwartete Beendigung berücksichtigen. | JA | Owner + Supplier/IT | Exitplan | Exit-Test/Review | Exit & Portability; Supplier Management | KONKRETISIERT |
| DORA-029-01 | Konzentrationsrisiko | DORA Art. 29 | Vor Abschluss einschlägiger Verträge IKT-Konzentrationsrisiko und Abhängigkeit von schwer substituierbaren Anbietern sowie Mehrfachabhängigkeiten bewerten. | JA | Risk/Supplier/Owner | Konzentrationsrisikoanalyse | Analyse/Freigabe | Supplier Management; Risk Management | VERIFIZIERT |
| DORA-030-01 | Vertragsanforderungen | DORA Art. 30(2) | Alle IKT-Dienstleistungsverträge müssen die allgemeinen DORA-Mindestinhalte enthalten, u. a. klare Leistungsbeschreibung, Standorte, Datenschutz-/Sicherheitsaspekte, Datenzugang/-rückgabe, Unterstützung bei Incidents sowie Zusammenarbeit mit Aufsicht. | JA | Legal/Supplier/IT/IS festzulegen | Vertragsstandard/-checkliste | Vertragsprüfung | Supplier Management | VERIFIZIERT |
| DORA-030-02 | Vertragsanforderungen | DORA Art. 30(3) | Für IKT-Services zur Unterstützung kritischer/wichtiger Funktionen zusätzliche Vertragsanforderungen umsetzen, u. a. SLAs, Melde-/Unterstützungspflichten, BC/Security-Anforderungen, Audit-/Zugangsrechte, Exit und Übergangsregelungen. | JA | Legal/Supplier/Owner | kritisch/wichtig Vertragsstandard | Vertragsprüfung | Supplier Management | VERIFIZIERT |
| RTS-0532-01 | Unterauftragnehmer | RTS 2025/532 Art. 3 | Bei Untervergabe von IKT-Services kritischer/wichtiger Funktionen Risiken und gesamte relevante Subunternehmerkette vorab bestimmen und bewerten. | JA | Supplier/Risk/Owner | Subcontracting-Bewertung | Ketten-/Risikobewertung | Supplier Management | KONKRETISIERT |
| RTS-0532-02 | Unterauftragnehmer | RTS 2025/532 Art. 1, Art. 3–4 | Standorte, Datenverarbeitung, Konzentration, Substituierbarkeit, Ressourcen, Informationssicherheit, Audit-/Zugangsrechte und sonstige relevante Risiken der Untervergabe berücksichtigen. | JA | festzulegen | Subcontracting-Checkliste | Bewertungsnachweise | Supplier Management | KONKRETISIERT |
| RTS-0532-03 | Unterauftragnehmer | RTS 2025/532 Art. 5–6 | Wesentliche Änderungen der Unterauftragskette kontrollieren; Informations-, Bewertungs-, Widerspruchs-/Zustimmungs- und gegebenenfalls Kündigungs-/Exitmechanismen vertraglich und operativ abbilden. | JA | festzulegen | Subcontracting Change/Exit | Änderungsmeldungen, Entscheidungen | Supplier Management; Exit | KONKRETISIERT |
| DORA-045-01 | Cyber-Informationsaustausch | DORA Art. 45(1)–(2) | Teilnahme an vertrauenswürdigen Cyber-Informationsaustauschvereinbarungen ist freiwillig; bei Teilnahme Bedingungen, Datenschutz, Geschäftsgeheimnisse und Meldung an die Aufsicht beachten. | OPTIONAL | IS/Management festzulegen | Informationsaustauschverfahren | Teilnahme-/Austauschnachweise | Threat Intelligence | FREIWILLIG |
| DORA-045-02 | Cyber-Informationsaustausch – Aufsichtsinformation | DORA Art. 45(3) | Bei Teilnahme an einer Informationsaustauschvereinbarung die zuständige Behörde über die Mitgliedschaft informieren; ebenso die Beendigung der Mitgliedschaft mitteilen, sobald sie wirksam wird. | BEDINGT – bei Teilnahme | festzulegen | Verfahren Cyber-Informationsaustausch / Aufsichtskommunikation | Mitteilung an zuständige Behörde bei Beitritt bzw. Austritt | Threat Intelligence; Governance; Evidence | VERIFIZIERT |
| DORA-031-44 | CTPP Oversight | DORA Art. 31–44 | EU-Oversight kritischer IKT-Drittdienstleister als Aufsichtskontext verstehen; daraus keine internen Pflichten ableiten, die ausschließlich Behörden/CTPP treffen. | KONTEXT | — | Aufsichts-/Lieferantenkontext | bei tatsächlicher Betroffenheit | Supplier Management | KONTEXT |
| DORA-046-56 | Aufsicht | DORA Art. 46–56 | Zuständige Behörden, Aufsichtsbefugnisse, Zusammenarbeit und Sanktionen als regulatorischen Kontext führen; interne Maßnahmen nur dort ableiten, wo eine konkrete Pflicht das Finanzunternehmen trifft. | KONTEXT | Management / Regulatory | Aufsichtskommunikation | Anfragen/Antworten | Governance | KONTEXT |
| RTS1774-03 | IKT-Risikomanagement | RTS 2024/1774 Art. 3 | Richtlinien für das IKT-Risikomanagement dokumentieren und anwenden. | JA | festzulegen | IKT-Risikomanagement-Richtlinie | Umsetzungs-/Reviewnachweise | Risk Management | KONKRETISIERT |
| RTS1774-04 | Asset Management | RTS 2024/1774 Art. 4 | Policy für IKT-Assetmanagement mit Lifecycle, Assetdaten, Ownern, unterstützten Funktionen, RTO/RPO, Exposition, Interdependenzen und Support-Enddaten führen. | JA | festzulegen | Assetmanagement-Richtlinie | Umsetzungs-/Reviewnachweise | Asset Management | KONKRETISIERT |
| RTS1774-05 | Asset Management | RTS 2024/1774 Art. 5 | Dokumentiertes Verfahren für das Management von IKT-Assets entwickeln, implementieren und pflegen. | JA | festzulegen | Assetmanagement-Verfahren | Umsetzungs-/Reviewnachweise | Asset Management | KONKRETISIERT |
| RTS1774-06 | Kryptographie | RTS 2024/1774 Art. 6 | Policy für Verschlüsselung und kryptographische Kontrollen auf Basis Klassifizierung und IKT-Risiko vorhalten. | JA | festzulegen | Kryptographie-Richtlinie | Umsetzungs-/Reviewnachweise | Cryptography | KONKRETISIERT |
| RTS1774-07 | Kryptographie | RTS 2024/1774 Art. 7 | Kryptografische Schlüssel über ihren gesamten Lebenszyklus steuern und schützen. Zusätzlich ein Register aller Zertifikate und zertifikatspeichernden Geräte mindestens für IKT-Assets führen, die kritische oder wichtige Funktionen unterstützen, und Zertifikate rechtzeitig vor Ablauf erneuern. | JA | festzulegen | Schlüsselmanagement-Verfahren | Key-Management-Nachweise, Zertifikatsregister, Inventar zertifikatspeichernder Geräte, Erneuerungs-/Ablaufüberwachung | Cryptography | KONKRETISIERT |
| RTS1774-08 | IKT-Betrieb | RTS 2024/1774 Art. 8 | Richtlinien und Verfahren für sicheren IKT-Betrieb einschließlich Betriebskontrollen dokumentieren. | JA | festzulegen | IKT-Betriebsrichtlinie/-verfahren | Umsetzungs-/Reviewnachweise | IT Operations | KONKRETISIERT |
| RTS1774-09 | Kapazität & Performance | RTS 2024/1774 Art. 9 | Kapazitäts- und Leistungsmanagement einschließlich Überwachung betreiben. | JA | festzulegen | Kapazitäts-/Performance-Verfahren | Umsetzungs-/Reviewnachweise | Capacity & Performance | KONKRETISIERT |
| RTS1774-10 | Vulnerability & Patch Management | RTS 2024/1774 Art. 10 | Verfahren für Schwachstellenmanagement sowie Patchmanagement entwickeln, dokumentieren und implementieren. Dazu gehören u. a. vertrauenswürdige Schwachstellenquellen, risikobasierte Scans, Bewertung und Priorisierung sowie Identifikation, Bewertung, Test, Deployment, Fristen und Eskalation für Patches und Updates. | JA | festzulegen | Vulnerability- und Patch-Management-Richtlinie/-Verfahren | Umsetzungs-/Reviewnachweise | Vulnerability Management; Patch Management | KONKRETISIERT |
| RTS1774-11 | Daten- und Systemsicherheit | RTS 2024/1774 Art. 11 | Ein Verfahren zur Daten- und Systemsicherheit entwickeln, dokumentieren und implementieren. Es muss klassifikations- und risikobasiert geeignete Sicherheitsmaßnahmen für Daten und IKT-Systeme abdecken. | JA | festzulegen | Verfahren Daten- und Systemsicherheit / Secure Configuration | Umsetzungs-/Reviewnachweise | Information Security; Secure Configuration; Endpoint Security | KONKRETISIERT |
| RTS1774-12 | Logging | RTS 2024/1774 Art. 12 | Logging-Verfahren, Protokolle und Tools dokumentieren und implementieren; zu protokollierende Ereignisse, Aufbewahrung, Schutz, Ausfall-Erkennung und Zeitsynchronisation risikobasiert regeln. | JA | festzulegen | Logging-Richtlinie/-verfahren | Umsetzungs-/Reviewnachweise | Logging | KONKRETISIERT |
| RTS1774-13 | Netzwerksicherheit | RTS 2024/1774 Art. 13 | Richtlinien und Verfahren für Netzwerk- und Infrastruktursicherheit betreiben. | JA | festzulegen | Netzwerksicherheitsrichtlinie | Umsetzungs-/Reviewnachweise | Network Security | KONKRETISIERT |
| RTS1774-14 | Datenübertragung | RTS 2024/1774 Art. 14 | Schutz von Informationen bei Übermittlung risikobasiert regeln. | JA | festzulegen | Übertragungsrichtlinie | Umsetzungs-/Reviewnachweise | Information Protection | KONKRETISIERT |
| RTS1774-15 | IKT-Projekte | RTS 2024/1774 Art. 15 | IKT-Projektmanagement einschließlich Governance, Ziele, Rollen, Projektrisiken, Meilensteine, Tests und Änderungen regeln. | JA | festzulegen | IKT-Projektmanagement-Richtlinie | Umsetzungs-/Reviewnachweise | Project Management | KONKRETISIERT |
| RTS1774-16 | Entwicklung & Beschaffung | RTS 2024/1774 Art. 16 | Beschaffung, Entwicklung und Wartung von IKT-Systemen einschließlich Sicherheitsanforderungen und Tests regeln. | JA | festzulegen | SDLC-/Beschaffungsrichtlinie | Umsetzungs-/Reviewnachweise | Secure Development | KONKRETISIERT |
| RTS1774-17 | Change Management | RTS 2024/1774 Art. 17 | IKT-Änderungen mit Verfahren und Kontrollen kontrolliert steuern. | JA | festzulegen | Change-Verfahren | Umsetzungs-/Reviewnachweise | Change Management | KONKRETISIERT |
| RTS1774-18 | Physische Sicherheit | RTS 2024/1774 Art. 18 | Physische Sicherheit und Schutz vor Umweltereignissen risikobasiert regeln. | JA | festzulegen | Physische Sicherheitsrichtlinie | Umsetzungs-/Reviewnachweise | Physical Security | KONKRETISIERT |
| RTS1774-19 | Personal | RTS 2024/1774 Art. 19 | IKT-bezogene Aspekte der Personalpolitik einschließlich Verantwortlichkeiten und Sicherheitsanforderungen regeln. | JA | festzulegen | Personal-/Security-Regelung | Umsetzungs-/Reviewnachweise | Organisation | KONKRETISIERT |
| RTS1774-20 | IAM | RTS 2024/1774 Art. 20 | Identitätsmanagement über den Lebenszyklus von Identitäten regeln. | JA | festzulegen | IAM-Richtlinie/-verfahren | Umsetzungs-/Reviewnachweise | IAM | KONKRETISIERT |
| RTS1774-21 | Berechtigungen | RTS 2024/1774 Art. 21 | Zugangs- und Zugriffsrechte mit Genehmigung, Need-to-Know/Least-Privilege, administrativen Rechten und Reviews kontrollieren. | JA | festzulegen | Berechtigungsrichtlinie/-verfahren | Umsetzungs-/Reviewnachweise | IAM; PAM | KONKRETISIERT |
| RTS1774-22 | Incident Management | RTS 2024/1774 Art. 22 | Richtlinien für die Behandlung IKT-bezogener Vorfälle dokumentieren und implementieren; Prozess, Kontakte, Unterstützungsmechanismen, Nachweisaufbewahrung und Analyse bedeutender/wiederkehrender Vorfälle abdecken. | JA | festzulegen | Incident-Richtlinie/-Verfahren | Umsetzungs-/Reviewnachweise | Incident Management | KONKRETISIERT |
| RTS1774-23 | Erkennung & Reaktion | RTS 2024/1774 Art. 23 | Klare Aufgaben, Schwellen, Kriterien und Mechanismen für die Erkennung anormaler Aktivitäten und IKT-bezogener Vorfälle sowie die Reaktion darauf festlegen. | JA | festzulegen | Detection-/Monitoring- und Incident-Verfahren | Umsetzungs-/Reviewnachweise | Security Monitoring; Incident Management | KONKRETISIERT |
| RTS1774-24 | Business Continuity | RTS 2024/1774 Art. 24 | IKT-Geschäftsfortführungsleitlinie konkretisieren, einschließlich Governance und Szenarien. | JA | festzulegen | IKT-BC-Leitlinie | Umsetzungs-/Reviewnachweise | Business Continuity | KONKRETISIERT |
| RTS1774-25 | Business Continuity Tests | RTS 2024/1774 Art. 25 | IKT-Geschäftsfortführungspläne regelmäßig testen und Testdokumentation führen. | JA | festzulegen | BC-Testverfahren | Umsetzungs-/Reviewnachweise | Business Continuity; Testing | KONKRETISIERT |
| RTS1774-26 | Recovery | RTS 2024/1774 Art. 26 | IKT-Reaktions- und Wiederherstellungspläne konkretisieren. | JA | festzulegen | Response-/Recovery-Plan | Umsetzungs-/Reviewnachweise | Recovery | KONKRETISIERT |
| RTS1774-27 | Reporting & Review | RTS 2024/1774 Art. 27 | Review-/Berichtsanforderungen des regulären RMF dokumentieren und umsetzen. | JA | festzulegen | RMF-Reviewbericht | Umsetzungs-/Reviewnachweise | Assessments; Evidence | KONKRETISIERT |
| APP-ART16 | Anwendbarkeit | DORA Art. 16; Art. 3 Nr. 53; RTS 2024/1774 Art. 28 ff. | Der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 ist für die konkrete Pensionskasse nicht anwendbar. Für EbAV ist dafür insbesondere die spezielle Kategorie 'kleine Einrichtung der betrieblichen Altersversorgung' nach Art. 3 Nr. 53 relevant (insgesamt weniger als 100 Mitglieder); diese Schwelle wird deutlich überschritten. | NEIN | — | Abgrenzungsnachweis | bestätigte Anwendbarkeitsentscheidung | Governance | NICHT ANWENDBAR |
| APP-MICRO | Anwendbarkeit | DORA Art. 3 Nr. 60 | Kleinstunternehmens-/Microenterprise-Ausnahmen sind für die konkrete Pensionskasse nicht anwendbar. | NEIN | — | Abgrenzungsnachweis | bestätigte Größenfeststellung | Governance | NICHT ANWENDBAR |
| ITS-2956-01 | Informationsregister | ITS 2024/2956 Art. 3 + Anhänge I–IV | Standardtemplates des Informationsregisters vollständig anwenden und die geforderten Beziehungen zwischen Finanzunternehmen, Vertragsvereinbarungen, IKT-Dienstleistungen, Funktionen und IKT-Drittdienstleistern abbilden. | JA | festzulegen | Informationsregister nach ITS-Templates | vollständiger Registerexport | Supplier Management; Asset Management | KONKRETISIERT |
| ITS-2956-02 | Informationsregister | ITS 2024/2956 Art. 3 | Informationsregister in der geforderten Granularität aktuell halten und so führen, dass aufsichtsrechtliche Bereitstellung und Auswertung möglich sind. | JA | festzulegen | Informationsregister | Aktualisierungs-/Qualitätssicherung | Supplier Management; Evidence | KONKRETISIERT |
| RTS-1773-07 | IKT-Drittparteienrisiko | RTS 2024/1773 Art. 3(1) | Policy zum Bezug kritischer/wichtiger IKT-Dienstleistungen mindestens jährlich überprüfen und Änderungen in Geschäftsmodell, Risiko, Leistung oder Vertragsbeziehung berücksichtigen. | JA | Leitungsorgan | TPP-Policy | jährlicher Review/Freigabe | Supplier Management; Governance | KONKRETISIERT |
| RTS-0301-03 | Incident Reporting | RTS 2025/301 Art. 5(1)(b) | Zwischenmeldung grundsätzlich spätestens 72 Stunden nach Erstmeldung bzw. nach Wiederherstellung des regulären Betriebs nach den im RTS festgelegten Regeln abgeben. | JA | Incident/Regulatory Reporting | Meldeverfahren | Meldezeitstempel | Incident Management | KONKRETISIERT |
| RTS-0301-04 | Incident Reporting | RTS 2025/301 Art. 5(1)(c) | Abschlussbericht grundsätzlich innerhalb eines Monats nach Zwischenmeldung bzw. nach den im RTS definierten Bezugspunkten vollständig abgeben. | JA | Incident/Regulatory Reporting | Meldeverfahren | Abschlussmeldung | Incident Management | KONKRETISIERT |
| GL-COST-01 | Kosten & Verluste | Joint Guidelines zur Schätzung nach DORA Art. 11(10), gestützt auf Art. 11(11) | Für jeden schwerwiegenden IKT-Vorfall die nach den Leitlinien relevanten Kosten-/Verlustdaten so erfassen, dass eine belastbare Jahresaggregation möglich ist. | JA | Incident + Finance/Controlling zuzuordnen | Kosten-/Verlust-Erfassungslogik | vorfallsbezogene Datenbasis | Incident Management; Metrics | KONKRETISIERT |
| GL-COST-02 | Kosten & Verluste | Joint Guidelines zur Schätzung nach DORA Art. 11(10), gestützt auf Art. 11(11) | Aggregierte jährliche Kosten und Verluste dokumentieren, Berechnung nachvollziehbar halten und auf Anfrage der zuständigen Behörde berichtsfähig sein. | JA | Incident + Finance/Controlling zuzuordnen | Jahresaggregation | jährliche Berechnung/Beleg | Incident Management; Metrics | KONKRETISIERT |
| DORA-030-03 | Vertragsanforderungen | DORA Art. 30(2) | Vertragliche Standorte der Leistungserbringung sowie der Datenverarbeitung/-speicherung einschließlich Änderungen transparent regeln. | JA | Legal/Supplier festzulegen | Vertragsstandard | Vertragsklauseln | Supplier Management | VERIFIZIERT |
| DORA-030-04 | Vertragsanforderungen | DORA Art. 30(2) | Zugriff auf, Wiederherstellung und Rückgabe personenbezogener und nicht personenbezogener Daten bei Insolvenz, Abwicklung oder Beendigung vertraglich absichern. | JA | Legal/Supplier/IT festzulegen | Vertragsstandard | Vertragsklauseln/Exit-Test | Supplier Management; Exit | VERIFIZIERT |
| DORA-030-05 | Vertragsanforderungen | DORA Art. 30(2) | IKT-Drittdienstleister vertraglich zur Unterstützung des Finanzunternehmens bei IKT-Vorfällen im Zusammenhang mit der bezogenen Leistung verpflichten. | JA | Legal/Supplier/Incident | Vertragsstandard | Vertragsklausel/Incident-Nachweis | Supplier Management; Incident Management | VERIFIZIERT |
| DORA-030-06 | Vertragsanforderungen | DORA Art. 30(3) | Bei kritischen/wichtigen Funktionen konkrete quantitative und qualitative Leistungsziele sowie wirksame Monitoring- und Audit-/Inspektionsrechte vertraglich festlegen. | JA | Legal/Supplier/Owner | kritisch/wichtig Vertragsstandard | SLA/Monitoring/Audit | Supplier Management | VERIFIZIERT |
| CTX-1502 | CTPP Oversight | Delegierte VO (EU) 2024/1502 | Kriterien für die Einstufung von IKT-Drittdienstleistern als kritisch. Für die Pensionskasse regulatorischer Lieferanten-/Aufsichtskontext; keine eigenständige interne Umsetzungspflicht aus diesem Rechtsakt ableiten. | KONTEXT | — | Aufsichts-/Lieferantenkontext | bei tatsächlicher Betroffenheit berücksichtigen | Supplier Management | KONTEXT |
| CTX-1505 | CTPP Oversight | Delegierte VO (EU) 2024/1505 | Regelt Höhe und Entrichtung der Überwachungsgebühren für kritische IKT-Drittdienstleister. Für die Pensionskasse nur regulatorischer Kontext. | KONTEXT | — | keine eigene Dokumentpflicht | — | Supplier Management | KONTEXT |
| CTX-0295 | CTPP Oversight | Delegierte VO (EU) 2025/295 | Harmonisiert Bedingungen für die Durchführung der EU-Überwachung kritischer IKT-Drittdienstleister. Im Regulatory-Bereich als Aufsichtskontext führen, ohne Behörden-/CTPP-Pflichten der Pensionskasse zuzuschreiben. | KONTEXT | — | Aufsichtskontext | bei tatsächlicher Betroffenheit berücksichtigen | Supplier Management | KONTEXT |
| CTX-0420 | CTPP Oversight | Delegierte VO (EU) 2025/420 | Regelt Zusammensetzung, Benennung, Aufgaben und Arbeitsweise gemeinsamer Untersuchungsteams im DORA-Oversight. Für die Pensionskasse ausschließlich Aufsichtskontext. | KONTEXT | — | keine eigene Dokumentpflicht | — | Supplier Management | KONTEXT |
| CTX-OV-GL | CTPP Oversight | Gemeinsame Leitlinien zur Oversight-Zusammenarbeit | Leitlinien zur Zusammenarbeit der ESAs und zuständigen Behörden im CTPP-Oversight als Level-3-Kontext dokumentieren; daraus keine zusätzliche operative Pflicht der Pensionskasse konstruieren. | KONTEXT | — | Aufsichtskontext | — | Supplier Management | KONTEXT |