ThomasMoreAI Richtlinien-Diff
Zweck
Dieser Skill vergleicht eine neue oder geänderte Aufsichtsnorm / Verlautbarung mit einer bestehenden internen Richtlinie. Das Ergebnis ist ein strukturierter Diff: Welche Anforderungen der neuen Norm sind in der Richtlinie abgedeckt? Wo weicht die Richtlinie ab? Wo hat die Norm Neues hinzugefügt oder Altes gestrichen?
Typische Einsatzfelder:
- Neue MaRisk-Novelle gegen bestehende Risikomanagement-Richtlinie
- Geändertes BaFin-Rundschreiben BAIT/VAIT gegen IT-Sicherheitsrichtlinie
- Neue EBA-Leitlinien gegen interne Compliance-Policies
- Geändertes BMF-Schreiben gegen steuerliche Richtlinien / AO-Verfahrenshandbuch
Eingaben
- Neue Norm / Verlautbarung: Text oder Link (BaFin-Rundschreiben, MaRisk-Modul, EBA-Leitlinie, Gesetzestext)
- Bestehende Richtlinie: Bestandsdokument (hochgeladen oder aus Bibliothek)
- Scope: Optional – nur bestimmte Abschnitte vergleichen
- Optional: Vorheriger Diff-Lauf zum Vergleich
Ablauf
1. Neue Norm strukturieren
Neue Norm / Verlautbarung lesen und in nummerierte Anforderungen zerlegen:
| Nr. | Abschnitt | Anforderungstext (Kurzfassung) | Verbindlichkeit |
|---|---|---|---|
| A01 | AT 4.3.2 | Aufbewahrung von Daten mind. 10 Jahre | Verbindlich |
| A02 | AT 4.3.2 | Backup-Konzept mit Wiederherstellungstest | Verbindlich |
| A03 | AT 4.3.2 | Dokumentation der Datenklassifizierung | Empfehlung |
Verbindlichkeitskennzeichnung:
- Verbindlich: "hat sicherzustellen", "muss", "sind zu"
- Empfehlung/Best Practice: "sollte", "kann", "wird empfohlen"
2. Bestehende Richtlinie strukturieren
Bestehende Richtlinie lesen und relevante Abschnitte den neuen Anforderungen zuordnen.
3. Diff-Tabelle erstellen
| Anforderung (Norm) | Deckung in Richtlinie | Status | Differenz |
|---|---|---|---|
| A01: Datenhaltung 10 J. | § 4 Abs. 2 IKS-Richtlinie: 7 Jahre | 🔴 Abweichung | Frist 3 J. kürzer |
| A02: Backup-Konzept | § 5 IKS-Richtlinie: vollständig | 🟢 Gedeckt | – |
| A03: Datenklassifizierung | Keine Regelung | 🟡 Lücke (Best Practice) | Empfehlung fehlt |
| – | § 7 IKS-Richtlinie: Prüfprotokoll | ⚪ Überschuss | Norm enthält keine solche Pflicht |
Status-Legende:
- 🔴 Abweichung: Richtlinie weicht von verbindlicher Anforderung ab
- 🟡 Lücke: Anforderung fehlt in Richtlinie (verbindlich: 🔴 potentiell; Best Practice: 🟡)
- 🟢 Gedeckt: Anforderung vollständig und korrekt abgebildet
- ⚪ Überschuss: Richtlinie enthält Regelung, die die Norm nicht fordert (kein Problem, aber zur Kenntnis)
4. Zusammenfassung
Diff-Zusammenfassung: [Normtitel] vs. [Richtlinientitel]
Analysiert: N Normabschnitte | N Richtlinienabschnitte
Handlungsbedarf:
🔴 N Abweichungen (verbindliche Anforderungen, Richtlinie weicht ab)
🟡 N Lücken (neue Anforderungen ohne Entsprechung)
🟢 N gedeckt
⚪ N Überschüsse (Richtlinie enthält Mehr als die Norm fordert)
5. Empfehlung
Für jede 🔴-Abweichung und jede wesentliche 🟡-Lücke:
- Konkrete Formulierungsänderung vorschlagen (Ausgangspunkt für
/richtlinien-neufassung) - Frist aus der Verlautbarung angeben
- Eskalationsbedarf markieren (
[prüfen]bei Unklarheit)
Quellen und Zitierweise
Zitierweise: ../../../references/zitierweise.md
Einschlägige Normen und Verlautbarungen:
- BaFin-Rundschreiben 09/2017 (BA) – MaRisk, alle Novellen [Modellwissen – prüfen auf aktuelle Fassung]
- BaFin-Rundschreiben 10/2018 (BA) – BAIT [Modellwissen – prüfen]
- BaFin-Rundschreiben 10/2017 (VA) – VAIT [Modellwissen – prüfen]
- BaFin-Rundschreiben 05/2021 (IO) – ZAIT (Zahlungsdienstleister IT) [Modellwissen – prüfen]
- EBA-Leitlinien EBA/GL/2019/04 – IKT-Risikomanagement [Modellwissen – prüfen]
- DORA Art. 5 ff. (EU) 2022/2554 (ICT Risk Management)
- § 25a KWG (Ordnungsgemäße Geschäftsorganisation)
Quellenregel: Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen; Literatur nur mit Nutzerquelle oder lizenziertem Live-Zugriff.
- Quellenregel: Keine Kommentar-, Handbuch-, Aufsatz- oder Tabellenfundstellen aus Modellwissen; nur Nutzerquelle, amtliche/freie Quelle oder lizenzierte Live-Verifikation verwenden.
Ausgabeformat
- Diff-Tabelle: Alle Anforderungen mit Deckungsgrad
- Zusammenfassung: Kennzahlen
- Empfehlungen: Konkrete Formulierungsänderungen als Ausgangspunkt für Neufassung
- Reviewer-Header und Prüfernotiz wie in CLAUDE.md definiert
Beispiel
Eingabe: /regulatorisches-recht:richtlinien-vergleich MaRisk-AT-4.3.2-Novelle-2023
Ausgabe (Auszug):
⚠️ Prüfernotiz
- Quellen: MaRisk RS 09/2017 Novelle 2023 [Modellwissen – prüfen gegen bafin.de], IKS-Richtlinie v. 01.03.2023 [Nutzer-Input]
- Gelesen: AT 4.3.2 vollständig; IKS-Richtlinie §§ 1–12
- Zu Ihrer Einschätzung: 2 Positionen mit 🔴 markiert
[prüfen]
Diff: MaRisk AT 4.3.2 (Novelle 2023) vs. IKS-Richtlinie (Stand: 01.03.2023)
| Anforderung (Norm) | Deckung in Richtlinie | Status | Differenz |
|---|---|---|---|
| Datenhaltung ≥ 10 Jahre | § 4 Abs. 2: 7 Jahre | 🔴 | Verlängerung um 3 Jahre erforderlich [prüfen] |
| Backup-Konzept mit Test | § 5 Abs. 1–3 | 🟢 | – |
| Datenklassifizierungsdoku. | Keine Regelung | 🟡 | Abschnitt zu ergänzen |
Empfohlene Änderung für 🔴:
§ 4 Abs. 2 IKS-Richtlinie: "Aufbewahrungsfrist von 7 Jahren" → "mindestens 10 Jahren" (Anpassung an MaRisk AT 4.3.2 Novelle 2023).
Nächster Schritt: /regulatorisches-recht:richtlinien-neufassung für den vollständigen Neufassungsentwurf.
Risiken / typische Fehler
- Nur Wortlaut-Vergleich: Eine Richtlinie kann die Norm wörtlich übernehmen, sie aber organisatorisch nicht umsetzen. Hinweis, dass der Diff nur den Dokumenteninhalt vergleicht, nicht die gelebte Praxis.
- Verlautbarungsversion: MaRisk und BAIT werden novelliert; stets Version und Datum der verwendeten Norm angeben und prüfen, ob aktuell.
- Best-Practice vs. verbindlich: EBA-Leitlinien sind nach Art. 16 EBA-VO "comply or explain" – nicht 1:1 verbindlich. Status klar kennzeichnen.
- Proportionalitätsgrundsatz: Nicht jede Norm gilt für jede Institutsgröße gleich (§ 25a Abs. 1 S. 3 KWG). Adressatenkreis prüfen und im Diff ausweisen.
Aktuelle Rechtsprechung & Leitsätze
- Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Kernnormen: Art. 288 AEUV — §§ 133, 157 BGB — § 47 GGO (Ressortabstimmung Richtlinien-Vergleich)
- Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen zitieren. Literatur nur nutzen, wenn der Nutzer die Quelle bereitstellt oder ein lizenzierter Live-Zugriff sie verifiziert.