Level-2-Landkarte zu DORA: jede RTS, jede ITS und die Leitlinien

Was zählt zu Level 2, und wie verbindlich ist es?

Level 2 sind die Rechtsakte, mit denen die Kommission DORA auf Grundlage einzelner Ermächtigungen in der Verordnung ergänzt. Delegierte Verordnungen und Durchführungsverordnungen gelten wie DORA unmittelbar. Was RTS und ITS sind und welche Rechtsakte für die meisten Finanzunternehmen zählen, steht im Rechtsüberblick auf der Seite DORA-Verordnung. Diese Seite ergänzt den Überblick um die vollständige Liste mit Fundstelle, Artikelbezug und Rahmen.

Eigene Konkretisierungsrundschreiben der BaFin gibt es nicht, den Grund nennt ebenfalls die Seite DORA-Verordnung. Neben den Verordnungen stehen zwei gemeinsame Leitlinien der Europäischen Aufsichtsbehörden (ESA), wie verbindlich sie sind, beantworten die Fragen unten.

Wie haben wir die Liste geprüft?

Am 06.11.2026 haben wir im Amtsblatt der EU (Cellar-Datenbank) alle Rechtsakte abgefragt, die auf DORA gestützt sind. Das Ergebnis sind genau die zwölf Rechtsakte unten. Titel, Datum, Veröffentlichung und Ermächtigung haben wir am deutschen Amtstext gelesen. Für DORA und die zwölf Rechtsakte ist kein Änderungsrechtsakt verzeichnet. Es gibt aber Berichtigungen, vier davon betreffen die deutsche Fassung (Tabelle weiter unten).

Alle Delegierten Verordnungen und Durchführungsverordnungen treten am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt in Kraft. Eine Ausnahme mit späterem Termin enthält die Delegierte Verordnung 2024/1502: Das Unterkriterium 1.4 wendet die federführende Überwachungsbehörde erst ab dem 16.01.2025 an.

Die Landkarte: alle Level-2-Texte nach DORA-Kapitel

Lesehinweis: „vom“ ist das Datum des Rechtsakts, „ABl.“ das Datum der Veröffentlichung im Amtsblatt. „Grundlage“ ist die Ermächtigung, auf die sich der Rechtsakt selbst stützt, so zitiert wie in seinem Eingang. Bei Art. 20 zählen die Rechtsakte dabei die Unterabsätze als Absätze. „Konkretisiert“ nennt die DORA-Artikel, deren Pflichten er ausfüllt. Die Nummer verlinkt den deutschen Text auf EUR-Lex.

Kapitel II: IKT-Risikomanagement

Kapitel III: IKT-bezogene Vorfälle

Kapitel IV: Testen der digitalen operationalen Resilienz

Kapitel V Abschnitt I: IKT-Drittparteienrisiko

Kapitel V Abschnitt II: Überwachungsrahmen für kritische IKT-Drittdienstleister

Gemeinsame Leitlinien der ESA

Laut Compliance-Tabelle der ESA wendet die BaFin die Leitlinie JC 2024 34 an. Eine eigene Liste der übernommenen Leitlinien auf der BaFin-Seite haben wir am 06.11.2026 nicht gefunden.

Welche Berichtigungen betreffen den deutschen Text?

Eine Berichtigung korrigiert den Wortlaut einer oder mehrerer Sprachfassungen und gilt so, als hätte der Text von Anfang an richtig gelautet. Das kann wie bei den Spaltencodes des Informationsregisters ändern, was Institute einreichen. Wer mit einer älteren Kopie oder einem frühen Auszug arbeitet, liest den falschen Wortlaut. Für die deutsche Fassung sind diese vier Berichtigungen im Amtsblatt verzeichnet:

Weitere Berichtigungen betreffen nur andere Sprachfassungen, etwa die französische Fassung der Meldeverordnungen 2025/301 und 2025/302.

Beispiel: die Muster-Factoring GmbH filtert die Landkarte

Fiktives Beispiel, kein Kunde. Die Muster-Factoring GmbH (23 Beschäftigte, 61 Mio. EUR Bilanzsumme) wendet ab dem 01.01.2027 den vereinfachten Rahmen nach Art. 16 an, das Meldewesen schon seit dem 17.01.2025 (§ 1a Abs. 2a i. V. m. § 65a Abs. 3 KWG). Für ihr Normenregister geht die Compliance-Beauftragte die Landkarte Zeile für Zeile durch:

Das Ergebnis sind sechs Rechtsakte mit Fundstelle, Stand und Berichtigung im Normenregister. Für die internen Richtlinien legt die Compliance-Beauftragte fest, dass sie nur noch die Amtsblattfassung zitieren. Welche Pflichten daraus im Einzelnen folgen, steht in der Pflichtenmatrix und auf der Seite zu Art. 16.

Drei typische Lücken beim Umgang mit Level 2

Wie wir unterstützen

Wir gleichen Ihre Richtlinien und Nachweise mit den Level-2-Texten ab, die für Ihren Rahmen gelten, und halten Fundstelle und Stand fest. Den Einstieg bietet die DORA-Gap-Analyse. Institute der KWG-Gruppe, die zum 01.01.2027 von der BAIT in den vereinfachten Rahmen wechseln, finden das passende Angebot im Umstieg von der BAIT.