Anforderungen · Master Mapping
Ebene 2 · Regulatory · Cross-Regulatory
Mapping bedeutet nicht Gleichwertigkeit: Eine Zeile zeigt fachliche Überlappung oder Wiederverwendbarkeit. Sie sagt nicht, dass DORA, DSGVO und AI Act dieselbe Pflicht, denselben Schutzgegenstand oder dieselbe Rechtsfolge enthalten.
Regulatory Master Mapping
DORA, DSGVO und AI Act werden nicht zu einem Regelwerk vermischt. Das Mapping zeigt, wo dieselbe Fähigkeit oder derselbe Nachweis mehrere Pflichten unterstützen kann.
MASTER MAPPING
Ein Capability-Kern – mehrere Rechtsbegründungen
Ein gemeinsames Kriterium darf technische oder organisatorische Umsetzung wiederverwenden. Die rechtliche Begründung bleibt je Regulierung getrennt. „Ähnlich“ bedeutet nicht „identisch“.
| ID | Capability | DORA | DSGVO | AI Act | BSI/Methode | Wiederverwendung |
|---|---|---|---|---|---|---|
| CAP-01 | Governance & Verantwortung | DORA Art. 5–6 | DSGVO Art. 5(2), 24 | AI Act rollenabhängige Governance | BSI 200-1 / GS++ GC | Governance, Rollen, Freigaben, Reviews |
| CAP-02 | Asset-/Systeminventar | DORA Art. 8 | DSGVO Art. 30 (Verarbeitungen, nicht IT-Assetinventar) | KI-Inventar als Framework-Governance-Ableitung | GS++ ASST / Strukturmodellierung | Gemeinsamer Kontext, aber unterschiedliche Inventarobjekte nicht vermischen |
| CAP-03 | Risikomanagement | DORA Art. 6 | DSGVO Art. 24, 32, 35 | AI Act risikobasiert; High-Risk-Regeln use-case-abhängig | BSI 200-3 / GS++ | Gemeinsame Methodik möglich, Schutzobjekte und Rechtsmaßstab getrennt |
| CAP-04 | Informationssicherheit | DORA Art. 9 | DSGVO Art. 32 | Cybersecurity-/Robustheitspflichten rollen-/systemabhängig | Grundschutz++ / BSI | Technische Controls mehrfach nutzbar, Rechtsbegründung getrennt |
| CAP-05 | Identität & Berechtigung | DORA Art. 9 + RTS RMF | DSGVO Art. 32 | Human oversight / Zugriff je System und Rolle | GS++ BER | Ein Rollen-/Rechtemodell kann mehrere Anforderungen bedienen |
| CAP-06 | Logging & Nachvollziehbarkeit | RTS RMF Art. 12 | DSGVO Art. 5(2), 32 – soweit erforderlich | AI Act Art. 12 / 26 bei Anwendbarkeit | GS++ DET | Technische Logging-Plattform gemeinsam; Zweck/Aufbewahrung getrennt prüfen |
| CAP-07 | Incident Management | DORA Art. 17–23 | DSGVO Art. 33–34 | AI-Meldepflichten nur rollen-/systemabhängig | ITIL + GS++ REA | Ein operativer Incident-Prozess mit regulatorischen Entscheidungsgates |
| CAP-08 | Business Continuity & Recovery | DORA Art. 11–12 | DSGVO Art. 32(1)(c) | AI-Verfügbarkeit/Robustheit nur soweit einschlägig | BSI 200-4 / GS++ NOT | BCM-Basis gemeinsam, regulatorische Ziele getrennt |
| CAP-09 | Testing & Wirksamkeit | DORA Art. 24–25 | DSGVO Art. 32(1)(d) | AI-Tests je Rolle/Risikoklasse | GS++ TEST / PERF | Testnachweise wiederverwenden, Scope und Akzeptanzkriterien differenzieren |
| CAP-10 | Drittparteien & Beschaffung | DORA Art. 28–30 | DSGVO Art. 28, 44–49 | AI-Lieferkette rollenabhängig | GS++ DLS/BES | Gemeinsamer Supplier-Prozess mit regulatorischen Prüfschleusen |
| CAP-11 | Change & Configuration | RTS RMF Art. 17 | DSGVO Art. 25, 32 | Reassessment bei relevanten Änderungen | ITIL Change Enablement / GS++ KONF | Change-Gate kann Security, Privacy und AI-Reassessment auslösen |
| CAP-12 | Awareness & Kompetenz | DORA Art. 13(6) | DSGVO Art. 39 / organisatorische Maßnahmen je Rolle | AI-Literacy-Rechtsstand gesondert beachten | GS++ SENS/PERS | Zielgruppenbezogene Lernprogramme statt Einheitskurs |
| CAP-13 | Datenschutz & Datenlebenszyklus | DORA Vertraulichkeit/Integrität/Verfügbarkeit | DSGVO Art. 5, 25, 32 | Datenpflichten use-case-/rollenabhängig | GS++ ASST | Datenschutz bleibt eigenständiger Rechtsmaßstab |
| CAP-14 | Dokumentation & Rechenschaft | DORA Dokumentationsanforderungen | DSGVO Art. 5(2), 24, 30 | AI-Dokumentation rollen-/risikoabhängig | GS++ GC/PERF | Nachweisbibliothek mit Quellenkennzeichnung |
| CAP-15 | Überwachung & Verbesserung | DORA Art. 13 | DSGVO Art. 24, 32 | Monitoring/Reassessment je Rolle | GS++ PERF/VRB | Findings in gemeinsamen Verbesserungsprozess überführen |
| CAP-16 | Threat Intelligence & Cyber-Informationsaustausch | DORA Art. 8(2), 13(1), 13(7), 45 | DSGVO beachten, soweit personenbezogene Daten ausgetauscht werden | KI-bezogene Bedrohungs-/Technologiebeobachtung je Use Case | BSI / Threat Intelligence / Lagebild | Bedrohungsinformationen zentral sammeln; regulatorische Bedingungen des Informationsaustauschs getrennt beachten |