Glossarbegriff
Lex Specialis
Auch: lex specialis derogat legi generali
Rechtsgrundsatz, dass speziellere Regeln allgemeineren Regeln vorgehen. Im EU-Compliance-Kontext bedeutet das praktisch: DORA geht NIS2 vor für Finanzunternehmen, AI Act geht DSGVO vor für KI-spezifische Pflichten.
Bei Überlagerung mehrerer Regulierungen entscheidet der Lex-Specialis-Grundsatz, welche Regel gilt. DORA ist Lex Specialis für Finanzunternehmen gegenüber NIS2; das bedeutet, DORA-Anforderungen sind verbindlich, NIS2-Anforderungen werden überlagert, wo DORA spezifischer ist.
Praktisch für Decision Memos: pro Entscheidung muss der primäre Regulierungs-Rahmen identifiziert werden, bevor Anforderungen gemappt werden. Sonst entstehen Doppelarbeit oder Compliance-Lücken.
In der Praxis
Beispiel: Eine Bank entscheidet über ein neues SIEM. Primär-Rahmen ist DORA Art. 9 plus 24-27 (ICT-Risikomanagement und Resilienz-Testing). NIS2 Art. 21 ist nachgeordnet, weil DORA spezifischer ist.
Verwandte Begriffe
DORA ICT risk management
The EU Digital Operational Resilience Act regulates the operational resilience of financial entities against ICT risks, with particularly prescriptive expectations around ICT third-party risk management (Art. 28) and contractual arrangements (Art. 30).
NIS2 Art. 20
The NIS2 article that makes the management body of an essential or important entity directly accountable for approving and overseeing cybersecurity risk-management measures. Management bodies that fail this duty can be held personally liable.
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
Lead Overseer (DORA)
Eine der drei europäischen Finanzaufsichts-Behörden (EBA, EIOPA, ESMA), die nach DORA Art. 32 für die direkte Aufsicht eines als kritisch eingestuften ICT-Drittanbieters zuständig ist. Wird vom Joint Committee der ESAs zugewiesen.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.