Kurzdefinition: RTS (regulatorische technische Standards) und ITS (technische Durchführungsstandards) sind die technischen Ausführungsregeln zur DORA. Sie konkretisieren, wie die DORA-Pflichten praktisch zu erfüllen sind — etwa zur Vorfall-Klassifizierung, zum IKT-Risikomanagement und zum Informationsregister — und werden von den europäischen Finanzaufsichtsbehörden erarbeitet. [N-DORA-2]
Der Normwortlaut
Art. 2 DORA bestimmt den Anwendungsbereich der Verordnung. Die konkrete Ausgestaltung vieler DORA-Pflichten überlässt die Verordnung technischen Standards (RTS/ITS), die die Kommission auf Vorschlag der europäischen Finanzaufsichtsbehörden als delegierte Rechtsakte bzw. Durchführungsrechtsakte erlässt. [N-DORA-2]
Was sind RTS und ITS?
Technische Ausführungsregeln. RTS konkretisieren inhaltliche Anforderungen, ITS standardisieren Verfahren und Formate — beide machen die DORA-Pflichten operativ anwendbar. [N-DORA-2]
Wer erarbeitet sie?
Die europäischen Finanzaufsichtsbehörden. EBA, EIOPA und ESMA entwerfen die Standards; die Kommission erlässt sie als delegierte bzw. Durchführungsrechtsakte. [N-DORA-2]
Sind sie verbindlich?
Ja. Als delegierte Rechtsakte bzw. Durchführungsrechtsakte sind sie unmittelbar verbindlich und konkretisieren die DORA-Pflichten. [N-DORA-2]
Was regeln sie konkret?
Details der Umsetzung. Etwa die Klassifizierung und Meldung IKT-bezogener Vorfälle, den IKT-Risikomanagementrahmen oder das Informationsregister. [N-DORA-2]
Warum sind sie für Unternehmen wichtig?
Weil dort das „Wie“ steht. Die DORA nennt die Pflichten, die technischen Standards bestimmen, wie sie praktisch zu erfüllen sind. [N-DORA-2]
Häufige Fehlannahmen
- „RTS und ITS sind unverbindliche Leitlinien.“ Nein. Sie sind verbindliche Rechtsakte. [N-DORA-2]
- „Die DORA regelt alles selbst.“ Nein. Vieles überlässt sie den technischen Standards. [N-DORA-2]
- „RTS und ITS sind dasselbe.“ Nicht ganz. RTS konkretisieren Inhalte, ITS Verfahren und Formate. [N-DORA-2]
- „Die BaFin erlässt sie.“ Nein. Die Kommission erlässt sie auf Vorschlag der ESAs. [N-DORA-2]
- „Man kann sie ignorieren.“ Nein. Ohne sie lässt sich DORA nicht korrekt umsetzen. [N-DORA-2]
Was die Geschäftsleitung tun sollte
- Standards verfolgen. Die einschlägigen RTS/ITS identifizieren.
- Umsetzung ableiten. Das „Wie“ der DORA-Pflichten daraus bestimmen.
- Formate übernehmen. ITS-Vorgaben für Meldungen einhalten.
- Aktualität sichern. Neue Standards zeitnah einarbeiten.
Für die Geschäftsleitung
Die DORA nennt die Pflichten, RTS und ITS bestimmen, wie sie zu erfüllen sind. Wer DORA umsetzt, muss die technischen Standards kennen — dort stehen die operativen Details von Meldung bis Informationsregister.
Quellen
- [N-DORA-2] Art. 2 DORA (VO (EU) 2022/2554, Anwendungsbereich); technische Standards nach den einschlägigen Ermächtigungen. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
