DORA Level 2 verstehen: Die RTS und ITS, die die Verordnung operationalisieren

Problem in der Praxis

Viele Häuser haben ihre DORA-Projekte 2024 auf Basis des Level-1-Textes aufgesetzt und die Level-2-Rechtsakte als "kommt noch" behandelt. Inzwischen ist das Bild umgekehrt: Die maßgeblichen RTS und ITS sind erlassen und verbindlich, aber in vielen Umsetzungsdokumenten stehen noch Platzhalter, veraltete Entwurfsstände der ESAs oder aus Sekundärquellen übernommene Werte.

Ein zweites Praxisproblem ist die Unübersichtlichkeit. Zum DORA-Paket gehören deutlich mehr Rechtsakte, als für das einzelne Finanzunternehmen relevant sind: Ein Teil regelt ausschließlich den Aufsichtsrahmen über kritische IKT-Drittdienstleister und erzeugt keine eigenen Pflichten im Haus. Wer alle Level-2-Akte unsortiert auf die eigene Compliance-Liste setzt, verschwendet Kapazität; wer die falschen weglässt, hat eine Lücke.

Drittens fehlt oft die Zuordnung: Welcher Rechtsakt konkretisiert welche DORA-Säule, und welches interne Dokument (Rahmenwerk, Meldeprozess, Vertragsleitlinie, Testprogramm, Register) muss dagegen geprüft werden.

CISO-Einordnung

Der CISO sollte die Level-2-Landschaft als kurze, feste Liste führen. Acht Rechtsakte in sieben Regelungsfeldern enthalten Pflichteninhalte für Finanzunternehmen (das Feld Vorfallmeldung wird durch ein RTS und ein ITS getragen):

1. Delegierte Verordnung (EU) 2024/1774 (CELEX 32024R1774): RTS zum IKT-Risikomanagementrahmen und zum vereinfachten Rahmen, auf Grundlage von Art. 15 und Art. 16 Abs. 3 DORA. In Kraft seit 15.07.2024, inhaltlich anzuwenden mit DORA seit 17.01.2025. Konkretisiert die erste Säule: Richtlinien, Verfahren und Kontrollen des IKT-Risikomanagements.
2. Delegierte Verordnung (EU) 2024/1772 (CELEX 32024R1772): RTS zur Klassifizierung IKT-bezogener Vorfälle, auf Grundlage von Art. 18 Abs. 4 DORA. Trägt die Wesentlichkeitsschwellen, ab denen ein Vorfall als schwerwiegend gilt, unter anderem eine Dauer von mehr als 24 Stunden, einen Ausfall kritischer Funktionen von mehr als 2 Stunden, Kosten oder Verluste über 100.000 EUR sowie eine Betroffenheit von mehr als 10 Prozent oder mehr als 100.000 Kunden.
3. Delegierte Verordnung (EU) 2025/301 (CELEX 32025R0301) und Durchführungsverordnung (EU) 2025/302 (CELEX 32025R0302): RTS und ITS zur Vorfallmeldung, auf Grundlage von Art. 20 DORA. Der RTS legt Inhalte und Fristen fest (Erstmeldung 4 Stunden nach Einstufung und spätestens 24 Stunden nach Kenntnisnahme, bei späterer Einstufung 4 Stunden ab Einstufung nach Art. 5 Abs. 2; Zwischenmeldung 72 Stunden nach der Erstmeldung; Abschlussmeldung 1 Monat nach der Zwischenmeldung), der ITS die Formulare und Templates.
4. Delegierte Verordnung (EU) 2024/1773 (CELEX 32024R1773): RTS zum Inhalt der Leitlinie für vertragliche Vereinbarungen über IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, auf Grundlage von Art. 28 Abs. 10 DORA. Wichtig: Die Mindestvertragselemente selbst stehen unmittelbar in DORA Art. 30 Abs. 2 und 3; der RTS regelt die übergeordnete Leitlinie.
5. Delegierte Verordnung (EU) 2025/532 (CELEX 32025R0532): RTS zur Untervergabe von IKT-Diensten, die kritische oder wichtige Funktionen unterstützen (Subunternehmerketten), auf Grundlage von Art. 30 Abs. 5 DORA.
6. Delegierte Verordnung (EU) 2025/1190 (CELEX 32025R1190): RTS zu bedrohungsgeleiteten Penetrationstests (TLPT), auf Grundlage von Art. 26 DORA, methodisch an TIBER-EU angelehnt.
7. Durchführungsverordnung (EU) 2024/2956 (CELEX 32024R2956): ITS mit den Standard-Templates für das Register der Informationen, auf Grundlage von Art. 28 Abs. 9 DORA.

Bewusst nicht auf diese Liste gehören vier weitere Level-2-Rechtsakte, die ausschließlich den Aufsichtsrahmen über kritische IKT-Drittdienstleister betreffen: die Verordnungen (EU) 2024/1502 (Kritikalitätskriterien), (EU) 2024/1505 (Überwachungsgebühren) sowie (EU) 2025/295 und (EU) 2025/420 (Aufsichtsverfahren, unter anderem Joint Examination Teams). Sie prägen die EU-Aufsicht über die Anbieter, erzeugen aber keine unmittelbaren Umsetzungspflichten im Finanzunternehmen.

Umsetzungsperspektive

Aus CISO-Sicht ist Level 2 kein neues Projekt, sondern eine Prüfschicht über der bestehenden DORA-Umsetzung:

• Rechtsakt-Register: eine gepflegte Liste der acht relevanten RTS und ITS mit CELEX-Nummer, DORA-Grundlage und dem jeweils betroffenen internen Dokument oder Prozess.
• Gap-Check je Säule: IKT-Risikorahmenwerk gegen 2024/1774, Klassifizierungsmodell gegen 2024/1772, Meldeprozess gegen 2025/301 und 2025/302, Vertragsleitlinie gegen 2024/1773, Untervergabe-Steuerung gegen 2025/532, Testprogramm gegen 2025/1190, Register gegen 2024/2956.
• Quellenhygiene: interne Dokumente, die noch auf ESA-Konsultationspapiere oder Entwurfsstände verweisen, auf die erlassenen Verordnungen umstellen.
• Verantwortlichkeiten: je Rechtsakt einen fachlichen Owner benennen (Risikomanagement, Incident-Prozess, Auslagerungsmanagement, Testverantwortliche), der Änderungen verfolgt.

Typische Fehler

1. Die DORA-Umsetzung wird nur am Level-1-Text ausgerichtet; die konkretisierenden RTS und ITS bleiben ungeprüft.
2. Interne Dokumente zitieren Entwurfsstände oder Sekundärquellen statt der erlassenen Verordnungen mit CELEX-Bezug.
3. Aufsichtsseitige Rechtsakte (CTPP-Oversight) werden als eigene Umsetzungspflichten missverstanden und binden Kapazität.
4. Fristen und Schwellen werden aus dem Gedächtnis oder aus älteren Präsentationen übernommen statt aus dem Rechtsakt.
5. Es gibt keinen Owner je Rechtsakt, sodass niemand Folgeänderungen oder Auslegungshinweise der Aufsicht verfolgt.

Risiken und Trade-offs

Der wichtigste Trade-off ist Detailtiefe gegen Steuerbarkeit. Die RTS sind deutlich granularer als der Verordnungstext; wer jede Einzelanforderung in eigene Kontrollen übersetzt, baut ein schwer wartbares Regelwerk. Tragfähiger ist es, die RTS-Anforderungen in die vorhandenen ISMS-Strukturen einzuhängen und nur echte Lücken als neue Kontrollen zu ergänzen.

Ein zweiter Trade-off betrifft den Zeitpunkt der Nacharbeit: Häuser, die ihre Umsetzung früh abgeschlossen haben, müssen Dokumente gegen die final erlassenen Rechtsakte nachziehen. Das wirkt wie Doppelarbeit, ist aber günstiger als eine Prüfungsfeststellung, weil ein internes Rahmenwerk vom verbindlichen Stand abweicht.

Drittens gilt: Level 2 ist nicht statisch. Delegierte Rechtsakte können geändert oder ergänzt werden. Eine einmalige Abgleich-Aktion ohne dauerhaftes Monitoring veraltet.

Entscheidungspunkte

• Welche internen Dokumente und Prozesse sind den acht Rechtsakten zugeordnet, und wer ist je Rechtsakt Owner?
• Wo verweisen interne Rahmenwerke noch auf Entwurfsstände oder Sekundärquellen statt auf die erlassenen Verordnungen?
• Wie wird sichergestellt, dass Änderungen an Level-2-Rechtsakten systematisch erkannt und eingearbeitet werden?
• Welche RTS-Anforderungen sind über bestehende ISMS-Kontrollen bereits abgedeckt, und wo bestehen echte Lücken?
• Wie wird gegenüber Aufsicht und interner Revision belegt, dass die Umsetzung den Level-2-Stand abbildet?

Praktische Empfehlungen

1. Führen Sie ein Rechtsakt-Register mit den acht FU-relevanten RTS und ITS (CELEX, DORA-Grundlage, internes Zieldokument, Owner) und halten Sie es aktuell.
2. Prüfen Sie je Säule gezielt das passende interne Dokument gegen den zugehörigen Rechtsakt statt eine ungerichtete Gesamt-Gap-Analyse zu starten.
3. Stellen Sie interne Verweise auf die erlassenen Verordnungen um und entfernen Sie Bezüge auf Konsultations- und Entwurfsstände.
4. Halten Sie die vier aufsichtsseitigen Rechtsakte bewusst aus der eigenen Pflichtenliste heraus und dokumentieren Sie diese Abgrenzung.
5. Verankern Sie ein leichtgewichtiges Monitoring (zum Beispiel quartalsweise) für Änderungen am DORA-Level-2-Bestand.

Relevante Normreferenzen

• DORA, Verordnung (EU) 2022/2554: Level-1-Rechtsgrundlage mit den Ermächtigungen für RTS und ITS.
• Delegierte Verordnungen (EU) 2024/1774, 2024/1772, 2024/1773, 2025/301, 2025/532, 2025/1190 sowie Durchführungsverordnungen (EU) 2025/302 und 2024/2956: die acht Level-2-Rechtsakte (in sieben Regelungsfeldern) mit Pflichteninhalten für Finanzunternehmen.
• Verordnungen (EU) 2024/1502, 2024/1505, 2025/295, 2025/420: aufsichtsseitige Level-2-Rechtsakte (CTPP-Oversight), keine unmittelbaren Pflichten im Finanzunternehmen.
• ISO/IEC 27001: Umsetzungsgerüst für viele RTS-Anforderungen (Wie), ersetzt die Rechtsakte nicht.