DORA – Themenpakete & Pflichten

Die DORA-Anforderungen sind in fachliche Themenpakete überführt. Jede Zeile zeigt, was für die Pensionskasse gilt, wo das Thema im Framework lebt und wie es typischerweise dokumentiert oder nachgewiesen wird.

Pensionskassen-Perspektive: Die Matrix bleibt vollständig, priorisiert aber danach, was eine deutsche Pensionskasse tatsächlich steuern, dokumentieren oder nachweisen muss. Aufsichtskontext und bedingte Pflichten bleiben sichtbar, werden jedoch nicht künstlich zu großen operativen Themen gemacht.

Leselogik: DORA-Thema → passendes Framework-Thema → Dokument/Verfahren → Nachweis. Für Detailanforderungen dient die Mastermatrix; die konkreten Dokumentobjekte stehen in der Dokumentationsarchitektur.

Themenpaket	Quelle	Relevanz	Pensionskassen-Sicht	Wo wird es umgesetzt / nachgewiesen?	Status
Grundlagen & Anwendbarkeit	Art. 1–4	Kontext/Kern	Pensionskasse/EbAV grundsätzlich erfasst; Ausnahme ≤15 Mitglieder; Verhältnismäßigkeit gilt durchgängig.	Anwendungsprofil, Begriffe, Verhältnismäßigkeit	VERIFIZIERT
Governance des Leitungsorgans	Art. 5	Kernpflicht	Verantwortung, Rollen, Ressourcen/Budget, Kenntnisse und Überwachung sichtbar machen.	DOR-Strategie, RMF, Governance-/Rollenregelungen	VERIFIZIERT
IKT-Risikomanagementrahmen	Art. 6 + RTS 2024/1774	Kernpflicht	Für die konkrete Pensionskasse gilt der reguläre RMF nach Art. 5–15; Art. 16 ist nicht anwendbar.	Strategien, Policies, Verfahren, Protokolle, Tools, Reviews	VERIFIZIERT
IKT-Systeme, Protokolle & Tools	Art. 7	Kernpflicht	Kein separates Art.-7-Dokument erfinden.	Betriebs-/Architektur-/Konfigurationsstandards	INTEGRIERBAR
Funktionen, Assets, Abhängigkeiten & Legacy	Art. 8 + RTS 2024/1774	Kernpflicht	Kritische/wichtige Funktionen und Abhängigkeiten für die Pensionskasse sichtbar machen.	Inventare, Asset-Verfahren, Kritikalität, Legacy-Risiko	VERIFIZIERT
Schutz & Prävention	Art. 9 + RTS 2024/1774	Kernpflicht	Security-Policies und technische/organisatorische Schutzmaßnahmen.	IS-Leitlinie, IAM, Netz, Kryptographie, Patch, Entwicklung, Change	VERIFIZIERT
Erkennung & Alarmierung	Art. 10 + RTS 2024/1774	Kernpflicht	Monitoring, Anomalien, Schwellenwerte und Alarmwege.	Monitoring-/Logging-Verfahren, Eskalation	VERIFIZIERT
Business Continuity, Krisenmanagement & BIA	Art. 11	Kernpflicht	Geschäftsleistungen der Pensionskasse und ihre zeitlichen Auswirkungen stehen im Zentrum.	BC-Leitlinie, BIA, IKT-GFP, Krisen-/Recovery-Pläne	VERIFIZIERT
Backup & Recovery	Art. 12	Kernpflicht	Wiederherstellungsziele und geschützte Wiederherstellungsfähigkeit.	Backup-/Restore-/Recovery-Regelungen und Tests	VERIFIZIERT
Lernen, Awareness & technologische Entwicklung	Art. 13	Kernpflicht	Lessons Learned, Awareness und Weiterbildung als bestehende Prozesse integrieren.	Post-Incident Review, Training, Verbesserungsprozess	VERIFIZIERT
Kommunikation	Art. 14	Kernpflicht	Interne und externe Krisenkommunikation inkl. Verantwortlichkeiten.	Kommunikationsstrategie/-pläne	VERIFIZIERT
Vereinfachter RMF	Art. 16 + RTS 2024/1774	Bedingt	Nur für kleine EbAV mit weniger als 100 Mitgliedern; für die konkrete Pensionskasse nicht anwendbar.	Eigener Pfad; nicht mit Art. 5–15 vermischen	NICHT ANWENDBAR / ABGRENZUNG
Incident Management	Art. 17	Kernpflicht	Erkennen, bearbeiten, Ursachen, Eskalation, Aufzeichnungen.	Incident-Richtlinie/-Prozess	VERIFIZIERT
Klassifizierung	Art. 18 + RTS 2024/1772	Kernpflicht	Wesentlichkeitsschwellen und wiederkehrende Vorfälle explizit.	Klassifizierungslogik / Entscheidungshilfe	KONKRETISIERT
Regulatorische Vorfallsmeldung	Art. 19–20 + 2025/301 + 2025/302	Bedingte Meldepflicht	Erst-, Zwischen- und Abschlussmeldung inklusive aktueller Datenfelder und Fristen.	Meldeverfahren, Templates, Nachweise	KONKRETISIERT
Kosten & Verluste schwerwiegender Vorfälle	Art. 11(10); Leitlinienmandat Art. 11(11)	Kompakter Pflichtbaustein	Jährlich schätzen; auf Verlangen der zuständigen Behörde berichten. In Incident-Nachbereitung und Finanz-/Risikodaten integrieren.	Vorfallkosten/-verluste + bestehende Finanz-/Risikodaten	VERIFIZIERT
Resilienztests	Art. 24–25	Kernpflicht	Testarten später einzeln ausdifferenzieren; Findings/Remediation nicht verlieren.	Testprogramm, Testpläne, Ergebnisse, Remediation	VERIFIZIERT
TLPT	Art. 26–27 + RTS 2025/1190	Bedingt	Nur bei Identifizierung; dann vollständiger eigener Pfad.	Scope, Tester, Testphasen, Remediation, Nachweis	BEDINGT
IKT-Drittparteienstrategie & Policy	Art. 28 + RTS 2024/1773	Kernpflicht	Für Pensionskassen besonders relevant; keine Art.-16-Ausnahme für Art. 28–30.	Strategie, Policy, Governance, Due Diligence, Monitoring, Exit	KONKRETISIERT
Informationsregister	Art. 28(3)/(9) + ITS 2024/2956	Kernpflicht	Eigenes Arbeitsobjekt mit verbindlichen Templates/Datenfeldern.	Informationsregister	KONKRETISIERT
Konzentration & Substituierbarkeit	Art. 29	Kernpflicht	Abhängigkeit von RZ-/Cloud-/Fachanbietern konkret bewerten.	Drittparteien-Risikobewertung	VERIFIZIERT
Verträge & Unterauftragnehmer	Art. 30 + RTS 2025/532	Kernpflicht	Mindestvertragsinhalte und Subunternehmerketten systematisch prüfen.	Vertragsstandard/-checkliste, Subcontracting, Exit	KONKRETISIERT
CTPP Oversight	Art. 31–44 + Level 2/3	Aufsichtskontext	Vollständig verstehen, aber keine internen Pflichten erfinden, die primär CTPP/Behörden treffen.	Kontext; interne Reaktion nur bei tatsächlicher Betroffenheit	KONTEXT
Cyber-Informationsaustausch	Art. 45	Freiwillig	Nur bei tatsächlicher Teilnahme vertiefen.	Teilnahme-/Austauschverfahren	FREIWILLIG
Aufsicht, Zusammenarbeit & Sanktionen	Art. 46–56	Aufsichtskontext	BaFin/EIOPA/ESA-Zusammenspiel verständlich machen.	Aufsichtskommunikation, soweit praktisch erforderlich	KONTEXT

Wahrheitsregel: Eine Zuordnung im Framework ist nur dann „verbindlich“, wenn DORA/RTS/ITS sie tatsächlich verlangt. Sonst bleibt sie INTEGRIERBAR oder VORSCHLAG.

Arbeitsgrundlage: DORA-Mastermatrix der Einzelanforderungen öffnen →