DORA – Pensionskassenprofil

Welche DORA-Pflichten für eine deutsche Pensionskasse/EbAV gelten, wird zuerst über Anwendungsbereich und Größenmerkmale bestimmt.

Arbeitsprofil: Die DORA-Vertiefung wird ab jetzt aus Sicht einer deutschen Pensionskasse/EbAV aufgebaut. Allgemeine DORA-Anforderungen bleiben vollständig sichtbar; Gewichtung und Umsetzung orientieren sich an der tatsächlichen Relevanz für diesen Unternehmenstyp.

Feststehende Einordnung der Pensionskasse

VERIFIZIERT · DORA ART. 2

EbAV sind grundsätzlich erfasst

Einrichtungen der betrieblichen Altersversorgung (IORP/EbAV) gehören zu den von DORA erfassten Finanzunternehmen. IORP ist die englische, EbAV die deutsche Bezeichnung.

VERIFIZIERT · AUSNAHME

Bis 15 Mitglieder: DORA nicht anwendbar

EbAV, deren Altersversorgungssysteme zusammen nicht mehr als 15 Mitglieder haben, sind vom Anwendungsbereich ausgenommen.

VERIFIZIERT · ART. 16

Kleine EbAV: vereinfachter RMF (Risikomanagementrahmen)

Art. 16 erfasst u. a. kleine EbAV im Sinne von Art. 3 Nr. 53 DORA – insgesamt weniger als 100 Mitglieder. Diese spezielle Schwelle ist von der Microenterprise-Definition zu unterscheiden.

VERIFIZIERT · DRITTPARTEIEN

Art. 28–30 bleiben relevant

Die BaFin weist ausdrücklich darauf hin, dass es für das IKT-Drittparteienrisikomanagement keine vergleichbare Art.-16-Ausnahme gibt.

Geklärte Anwendbarkeit für die weitere Ausarbeitung

Prüfpunkt	Status im Regulatory	Folge
Regulärer IKT-Risikomanagementrahmen Art. 5–15	ANWENDBAR	Für die weitere DORA-Ausarbeitung maßgeblicher Pfad.
Vereinfachter RMF Art. 16	NICHT ANWENDBAR	Spezielle Art.-16-Schwelle für kleine EbAV (<100 Mitglieder) deutlich überschritten.
Kleinstunternehmen / Microenterprise	NICHT ANWENDBAR	Schwellenwerte deutlich überschritten; keine entsprechenden Erleichterungen.
TLPT (Threat-Led Penetration Testing) Art. 26–27 / RTS 2025/1190	BEDINGT	Operative TLPT-Pflicht nur bei Identifizierung/Benachrichtigung durch die zuständige TLPT-Behörde; reguläre Art.-24/25-Tests bleiben anwendbar.
Jahresaggregation Kosten/Verluste	ANWENDBAR	Im Incident-Nachbereitungsprozess erfassen und jährlich aggregierbar halten.