Richtlinien-Diff im Aufsichtsrecht
1. Ziel
Vergleiche nicht bloß Schlagwörter. Zerlege die aktuelle Primärquelle und die interne Richtlinie in atomare Anforderungen, verknüpfe jede Deckungsbehauptung mit einer Textstelle und unterscheide Dokumentenlücke, Prozesslücke und Wirksamkeitslücke.
2. Start
- Alle vorhandenen Dateien und Links lesen.
- Institutsart, Erlaubnis, DORA-Scope und Dokumentversion aus der Akte bestimmen.
- Gewünschten Scope aus dem Auftrag ableiten.
- Nur entscheidungserhebliche Lücken nachfragen.
- Sofort eine Quellen- und Versionskarte liefern.
3. Quellen- und Versionskarte
| Dokument |
Herausgeber |
Fassung |
Geltungsstatus |
Adressat |
Verwendeter Abschnitt |
| MaRisk |
BaFin |
RS 06/2024 (BA) |
aktuelle Aufsichtspraxis |
erfasste Institute |
AT 6 |
| Interne IKS-Richtlinie |
Institut |
3.1 |
intern verbindlich |
benannte Einheiten |
4.2 |
Bei einem älteren Rundschreiben zuerst feststellen, ob es historischer Vergleichsstand oder vermeintlicher Sollmaßstab ist. Historische Fassungen dürfen die aktuelle Soll-Spalte nicht ersetzen.
4. Diff-Methode
4.1 Soll-Seite
| Soll-ID |
Fundstelle |
Anforderung |
Adressat |
Ausnahme oder Proportionalität |
| S-001 |
MaRisk AT 6 Tz. 2 |
wesentliche Handlungen und Festlegungen nachvollziehbar dokumentieren und grundsätzlich fünf Jahre aufbewahren |
erfasstes Institut |
längere gesetzliche Fristen unberührt |
4.2 Ist-Seite
| Ist-ID |
Richtlinienstelle |
Wortlaut |
Prozessbeleg |
Wirksamkeitsbeleg |
| I-001 |
4.2 |
vier Jahre |
Archivklasse RM-04 |
keine Stichprobe vorgelegt |
4.3 Verknüpfung
| Soll-ID |
Ist-ID |
Wortlaut |
Umsetzung |
Nachweis |
Status |
Änderung |
| S-001 |
I-001 |
zu kurz |
technisch umgesetzt |
offen |
ROT |
mindestens fünf Jahre und Spezialfristen-Matrix |
Verwende ROT, ORANGE, GELB, GRÜN und GRAU statt Symbole. Ein GRAU-Status verlangt eine begründete Nichtanwendbarkeit; nicht relevant genügt nicht.
5. DORA- und xAIT-Weiche
- DORA gilt seit dem 17. Januar 2025 für die in Artikel 2 genannten Finanzunternehmen.
- Bei IKT-Governance, Vorfällen, Tests und IKT-Drittparteien zuerst DORA und die einschlägigen technischen Standards prüfen.
- Ältere BAIT-, VAIT-, KAIT- und ZAIT-Texte nur nach dokumentierter Prüfung ihres aktuellen Scopes verwenden.
- Nationale Organisations- und Auslagerungspflichten, insbesondere Paragrafen 25a und 25b KWG sowie MaRisk, daneben in ihrem verbleibenden Anwendungsbereich prüfen.
- Doppelzählungen als dieselbe Lücke vermeiden; stattdessen Quellen kumulieren und den strengsten belegten Pflichtinhalt ausweisen.
6. Ergebnisformat
6.1 Kurzentscheidung
- Aktuelle Sollquelle und Stichtag.
- Anzahl der roten und orangen Lücken.
- Unmittelbarer Handlungsbedarf.
- Quellen- oder Scope-Restunsicherheit.
6.2 Änderungsauftrag
Für jede rote oder orange Zeile liefern:
- Bestandsstelle.
- präzisen Ersatz- oder Ergänzungstext.
- Primärquelle.
- Prozess- und Systemfolge.
- Verantwortlichen und Freigabebedarf.
- belegte Frist oder Kennzeichnung als laufende Pflicht.
7. Fachliche Anker
- MaRisk RS 06/2024 (BA), insbesondere AT 6 für Dokumentation und grundsätzlich fünfjährige Aufbewahrung.
- Paragraf 25a KWG für ordnungsgemäße Geschäftsorganisation und Risikomanagement.
- Paragraf 25b KWG und MaRisk AT 9 für Auslagerungen.
- DORA, Verordnung (EU) 2022/2554, und die einschlägigen technischen Standards für IKT-Risiken seit dem 17. Januar 2025.
- EBA-Leitlinien nur mit aktueller Fassung, genauem Adressatenkreis und transparentem Rechtsstatus.
8. Primärquellen
- BaFin, Rundschreiben 06/2024 (BA), MaRisk: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_rs_06_2024_MaRisk_pdf_BA.pdf
- KWG Paragraf 25a: https://www.gesetze-im-internet.de/kredwg/__25a.html
- KWG Paragraf 25b: https://www.gesetze-im-internet.de/kredwg/__25b.html
- Verordnung (EU) 2022/2554: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- EBA, aktuelle Leitlinien und technische Standards: https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities
9. Fehlerbremsen
- Aufbewahrungsfristen ausschließlich dem tatsächlich einschlägigen Modul und gegebenenfalls längeren Spezialgesetzen entnehmen.
- Keine fiktive Datenklassifizierungspflicht oder Übergangsfrist erfinden.
- Eine wortgleiche Richtlinie nicht ohne Umsetzungs- und Wirksamkeitsbeleg als grün bewerten.
- BaFin-Verlautbarung, unmittelbar geltendes Unionsrecht und interne Best Practice nicht gleichsetzen.
- Redline nur ausgeben, wenn sie Rolle, Handlung, Auslöser, Nachweis und Eskalation praktisch abbildet.
1---2name: richtlinien-anhoerung-red-aufsichtsrecht3description: Erstellt einen prüfbaren Diff zwischen aktueller Aufsichtsquelle und interner Richtlinie.4---56# Richtlinien-Diff im Aufsichtsrecht78## 1. Ziel910Vergleiche nicht bloß Schlagwörter. Zerlege die aktuelle Primärquelle und die interne Richtlinie in atomare Anforderungen, verknüpfe jede Deckungsbehauptung mit einer Textstelle und unterscheide Dokumentenlücke, Prozesslücke und Wirksamkeitslücke.1112## 2. Start13141. Alle vorhandenen Dateien und Links lesen.152. Institutsart, Erlaubnis, DORA-Scope und Dokumentversion aus der Akte bestimmen.163. Gewünschten Scope aus dem Auftrag ableiten.174. Nur entscheidungserhebliche Lücken nachfragen.185. Sofort eine Quellen- und Versionskarte liefern.1920## 3. Quellen- und Versionskarte2122| Dokument | Herausgeber | Fassung | Geltungsstatus | Adressat | Verwendeter Abschnitt |23| --- | --- | --- | --- | --- | --- |24| MaRisk | BaFin | RS 06/2024 (BA) | aktuelle Aufsichtspraxis | erfasste Institute | AT 6 |25| Interne IKS-Richtlinie | Institut | 3.1 | intern verbindlich | benannte Einheiten | 4.2 |2627Bei einem älteren Rundschreiben zuerst feststellen, ob es historischer Vergleichsstand oder vermeintlicher Sollmaßstab ist. Historische Fassungen dürfen die aktuelle Soll-Spalte nicht ersetzen.2829## 4. Diff-Methode3031### 4.1 Soll-Seite3233| Soll-ID | Fundstelle | Anforderung | Adressat | Ausnahme oder Proportionalität |34| --- | --- | --- | --- | --- |35| S-001 | MaRisk AT 6 Tz. 2 | wesentliche Handlungen und Festlegungen nachvollziehbar dokumentieren und grundsätzlich fünf Jahre aufbewahren | erfasstes Institut | längere gesetzliche Fristen unberührt |3637### 4.2 Ist-Seite3839| Ist-ID | Richtlinienstelle | Wortlaut | Prozessbeleg | Wirksamkeitsbeleg |40| --- | --- | --- | --- | --- |41| I-001 | 4.2 | vier Jahre | Archivklasse RM-04 | keine Stichprobe vorgelegt |4243### 4.3 Verknüpfung4445| Soll-ID | Ist-ID | Wortlaut | Umsetzung | Nachweis | Status | Änderung |46| --- | --- | --- | --- | --- | --- | --- |47| S-001 | I-001 | zu kurz | technisch umgesetzt | offen | ROT | mindestens fünf Jahre und Spezialfristen-Matrix |4849Verwende ROT, ORANGE, GELB, GRÜN und GRAU statt Symbole. Ein GRAU-Status verlangt eine begründete Nichtanwendbarkeit; `nicht relevant` genügt nicht.5051## 5. DORA- und xAIT-Weiche52531. DORA gilt seit dem 17. Januar 2025 für die in Artikel 2 genannten Finanzunternehmen.542. Bei IKT-Governance, Vorfällen, Tests und IKT-Drittparteien zuerst DORA und die einschlägigen technischen Standards prüfen.553. Ältere BAIT-, VAIT-, KAIT- und ZAIT-Texte nur nach dokumentierter Prüfung ihres aktuellen Scopes verwenden.564. Nationale Organisations- und Auslagerungspflichten, insbesondere Paragrafen 25a und 25b KWG sowie MaRisk, daneben in ihrem verbleibenden Anwendungsbereich prüfen.575. Doppelzählungen als dieselbe Lücke vermeiden; stattdessen Quellen kumulieren und den strengsten belegten Pflichtinhalt ausweisen.5859## 6. Ergebnisformat6061### 6.1 Kurzentscheidung62631. Aktuelle Sollquelle und Stichtag.642. Anzahl der roten und orangen Lücken.653. Unmittelbarer Handlungsbedarf.664. Quellen- oder Scope-Restunsicherheit.6768### 6.2 Änderungsauftrag6970Für jede rote oder orange Zeile liefern:71721. Bestandsstelle.732. präzisen Ersatz- oder Ergänzungstext.743. Primärquelle.754. Prozess- und Systemfolge.765. Verantwortlichen und Freigabebedarf.776. belegte Frist oder Kennzeichnung als laufende Pflicht.7879## 7. Fachliche Anker80811. MaRisk RS 06/2024 (BA), insbesondere AT 6 für Dokumentation und grundsätzlich fünfjährige Aufbewahrung.822. Paragraf 25a KWG für ordnungsgemäße Geschäftsorganisation und Risikomanagement.833. Paragraf 25b KWG und MaRisk AT 9 für Auslagerungen.844. DORA, Verordnung (EU) 2022/2554, und die einschlägigen technischen Standards für IKT-Risiken seit dem 17. Januar 2025.855. EBA-Leitlinien nur mit aktueller Fassung, genauem Adressatenkreis und transparentem Rechtsstatus.8687## 8. Primärquellen88891. BaFin, Rundschreiben 06/2024 (BA), MaRisk: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_rs_06_2024_MaRisk_pdf_BA.pdf902. KWG Paragraf 25a: https://www.gesetze-im-internet.de/kredwg/__25a.html913. KWG Paragraf 25b: https://www.gesetze-im-internet.de/kredwg/__25b.html924. Verordnung (EU) 2022/2554: https://eur-lex.europa.eu/eli/reg/2022/2554/oj935. EBA, aktuelle Leitlinien und technische Standards: https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities9495## 9. Fehlerbremsen96971. Aufbewahrungsfristen ausschließlich dem tatsächlich einschlägigen Modul und gegebenenfalls längeren Spezialgesetzen entnehmen.982. Keine fiktive Datenklassifizierungspflicht oder Übergangsfrist erfinden.993. Eine wortgleiche Richtlinie nicht ohne Umsetzungs- und Wirksamkeitsbeleg als grün bewerten.1004. BaFin-Verlautbarung, unmittelbar geltendes Unionsrecht und interne Best Practice nicht gleichsetzen.1015. Redline nur ausgeben, wenn sie Rolle, Handlung, Auslöser, Nachweis und Eskalation praktisch abbildet.
Klotzkette