Zum Inhalt springen
Resilience Platform Resilience Platform
DE | EN
📬 🔍 Sollmaßnahmenkatalog

Regulatory Landscape

Rechtsquelle oder Referenz zuerst einordnen.

Ein Arbeitsnavigator für Finanzinstitute: Scope und Rolle bestimmen, Überschneidungen auflösen und die Entscheidung in belastbare Arbeitsobjekte überführen.

Entscheidungsgrundlage

  • DORA ist für erfasste Finanzunternehmen die verbindliche Basis der digitalen operationalen Resilienz.
  • MaRisk bleibt abhängig von Institutsart und Aufsichtsscope für Governance und Risikomanagement relevant.
  • DORA verdrängt NIS2 nicht pauschal; der Vorrang ist auf die überlappenden IKT-Risikomanagement- und Meldeanforderungen begrenzt.
  • AI Act und CRA werden über konkrete Tätigkeit, System, Produkt, Rechtsrolle und gestaffelte Anwendungsfrist abgegrenzt.
  • ISO/IEC 27001 unterstützt als Referenzrahmen, belegt aber nicht automatisch regulatorische Erfüllung.
  • EIOPA und ESMA bezeichnen Aufsichtsperspektiven; das anwendbare Fachrecht muss separat benannt werden.

Arbeitsfolge

Vom Signal zur belastbaren Umsetzungsentscheidung

Impact Assessment öffnen →
  1. 01

    Scope bestimmen

    Rechtsträger, Lizenz, Sektor, Tätigkeit und geografischen Bezug dokumentieren.

  2. 02

    Rolle klassifizieren

    Je Rechtsakt die konkrete Rolle bestimmen: etwa Finanzunternehmen, Betreiber, Anbieter oder Hersteller.

  3. 03

    Überschneidung entscheiden

    Lex specialis, zusätzliche Fachpflichten und tatsächlich gemeinsame Kontrollen begründet festhalten.

  4. 04

    Umsetzung übergeben

    Owner, Termin, Arbeitsraum, Nachweisanforderung und Review festlegen.

Regelungsebenen

Vier Ebenen statt einer Gleichsetzung

01

Verbindliche Ausgangsbasis

Finanzsektorale Pflichten

DORA gilt unmittelbar für erfasste Finanzunternehmen. MaRisk konkretisiert daneben die nationale Aufsichtspraxis für Institute in ihrem Anwendungsbereich.

DORA

Scope

Finanzunternehmen nach Art. 2 DORA

Rolle

Finanzunternehmen; zusätzlich IKT-Drittdienstleister im jeweiligen DORA-Kontext

Arbeitsauftrag

IKT-Risiken, Vorfälle, Resilienztests, IKT-Drittparteienrisiko und Informationsregister

Öffnen →

MaRisk

Scope

Institute im jeweiligen deutschen Aufsichtsscope

Rolle

Institut und Geschäftsleitung

Arbeitsauftrag

Gesamtbanksteuerung, Risikomanagement, Auslagerung, Kontrollen und Notfallmanagement

Öffnen →
02

Rolle und Gegenstand entscheiden

Horizontale EU-Regeln

Nicht allein die Branche entscheidet. Für NIS2, AI Act und CRA müssen Rechtsrolle, Tätigkeit, System und Produkt separat eingeordnet werden.

NIS2

Scope

Einrichtungen und Tätigkeiten im national umgesetzten NIS2-Scope

Rolle

Wesentliche oder wichtige Einrichtung

Arbeitsauftrag

Im Überschneidungsbereich gehen DORA-Vorgaben zu IKT-Risikomanagement und Vorfallmeldung vor; verbleibende NIS2-, Krisen- und Kooperationsbezüge separat prüfen

Öffnen →

AI Act

Scope

KI-Systeme und Modelle innerhalb des risikobasierten EU-Rahmens

Rolle

Anbieter, Betreiber, Importeur, Händler oder Bevollmächtigter

Arbeitsauftrag

Seit 02.08.2026 geltende Pflichten von später anwendbaren Hochrisiko-Regeln trennen; KI-Inventar, Rolle, Risikoklasse, Transparenz, Kompetenz und Aufsicht dokumentieren

Öffnen →

Cyber Resilience Act

Scope

Produkte mit digitalen Elementen

Rolle

Hersteller, Importeur oder Händler; Beschaffung ist eine Governance-Perspektive, aber keine automatisch gleichartige CRA-Rolle

Arbeitsauftrag

Produktklassifikation, Konformität, Schwachstellenbehandlung, Supportzeitraum und Meldewege

Öffnen →
03

Umsetzung unterstützen, Erfüllung nicht unterstellen

Kontroll- und Referenzrahmen

ISO/IEC 27001 kann das ISMS und wiederverwendbare Kontrollen strukturieren. Eine Zuordnung ersetzt weder die Rechtsprüfung noch den Nachweis der DORA- oder MaRisk-Erfüllung.

ISO/IEC 27001:2022

Scope

Freiwilliger internationaler ISMS-Standard, soweit nicht vertraglich oder anderweitig verbindlich gemacht

Rolle

Organisation im festgelegten ISMS-Scope

Arbeitsauftrag

ISMS, Risikobehandlung, Statement of Applicability, Kontrollen, interne Audits und Verbesserung

Öffnen →
04

Institutsart mitführen

Sektorale Aufsicht

EIOPA und ESMA sind Aufsichtsbehörden, keine eigenständigen Kontrollrahmen. Die einschlägigen Fachregelwerke bleiben neben DORA zu bestimmen.

Versicherungen

Scope

Versicherungs- und Rückversicherungsunternehmen nach ihrem Fachrecht

Rolle

Beaufsichtigtes Unternehmen

Arbeitsauftrag

DORA mit Solvency II, ORSA und einschlägiger EIOPA-Aufsichtspraxis verbinden; VAIT nur historisch einordnen

Öffnen →

Kapitalmarkt

Scope

Wertpapierfirmen, Handelsplätze und weitere Kapitalmarktakteure

Rolle

Jeweilige beaufsichtigte Einheit und Marktrolle

Arbeitsauftrag

DORA mit MiFID II, EMIR, CSDR, MAR und einschlägiger ESMA-Aufsichtspraxis verbinden; MAIT nur historisch einordnen

Öffnen →

Fristenstand 24.08.2026

Anwendbar, nächste Frist und Vorlauf trennen

Die Zeitachse ist ein Planungsanker. Maßgeblich bleiben konsolidierter Rechtsakt, nationale Umsetzung und institutsbezogene Rollenentscheidung.

17.01.2025

Anwendbar

DORA

Der finanzsektorale IKT-Resilienzrahmen ist für erfasste Finanzunternehmen operativ anzuwenden.

02.08.2026

Teilweise anwendbar

AI Act

Allgemeine Anwendung und Durchsetzung haben begonnen; die konkrete Pflicht hängt weiterhin von Rolle, System und gestaffelter Vorschrift ab.

11.09.2026

Nächste Frist

CRA-Meldepflichten

Art. 14 CRA wird anwendbar. Betroffen sind Hersteller im CRA-Scope; Beschaffer erhalten daraus nicht automatisch dieselbe Melderolle.

02.12.2027

Vorlauf

AI Act Hochrisiko nach Anhang III

Die aktuellen Hochrisiko-Fristen sind im KI-Inventar je System und Rolle zu hinterlegen.

11.12.2027

Vollanwendung

CRA

Die CRA-Hauptvorschriften werden grundsätzlich vollständig anwendbar.

02.08.2028

Vorlauf

AI Act Hochrisiko nach Anhang I

Für in regulierte Produkte eingebettete Hochrisiko-KI gilt die gesonderte spätere Frist.

Entscheidungsausgang

Vier zulässige Ergebnisse statt eines pauschalen Status

Jede Einordnung endet mit einem begründeten Ergebnis. „Nicht anwendbar“ ist ebenso dokumentationspflichtig wie „anwendbar“; ungeklärte Sachverhalte bleiben sichtbar.

ErgebnisBedeutungOperative Übergabe
Anwendbar Rechtsakt, konkrete Pflicht, Rolle und betroffener Gegenstand sind belegt. Owner, Frist, Kontrollziel und Nachweisauftrag anlegen.
Teilweise anwendbar Nur bestimmte Einheiten, Tätigkeiten, Systeme, Produkte oder Pflichten liegen im Scope. Ein- und Ausschlüsse mit Begründung und Wiedervorlage dokumentieren.
Nicht anwendbar Die Ausschlussentscheidung stützt sich auf belastbare Scope- und Rollenmerkmale. Entscheidung versionieren und bei regulatorischer oder organisatorischer Änderung neu prüfen.
Klärung erforderlich Quelle, nationale Umsetzung, Rolle oder Sachverhalt reicht für eine Entscheidung noch nicht aus. Fachreview mit Frage, Verantwortlichem, Frist und benötigter Evidenz eröffnen.

Operationalisierung

Eine Entscheidung, mehrere wiederverwendbare Nachweise

Gemeinsame Kontrollen dürfen referenziert werden, aber Rechtsgrundlage, Scope, Kontrollziel und Prüfentscheidung bleiben je Anforderung sichtbar. So wird aus Überschneidung kein pauschales „erfüllt“.

Auswirkung bewerten Nachweis steuern Zusammenspiel vertiefen
Hinweis: Diese Seite ist eine Umsetzungshilfe und ersetzt keine Rechtsberatung oder verbindliche aufsichtsrechtliche Auslegung.