{ "id": "CHG-2026-014", "title": "Wechsel des Hosting-Unterauftragnehmers einer digitalen Kreditakte", "version": "1.0", "fiction_notice": "Vollständig fiktiver Lehrfall. Alle Organisationen, Dokumente, Prüfungen, Termine, Messwerte, Schwellen und Entscheidungen sind erfunden. Keine Kundenreferenz, kein Nachweis einer T-NEX-Produktfunktion und keine allgemein gültige DORA-Freigabe.", "scope": "BANK-01 ist im Lehrfall ein deutsches Kreditinstitut im regulären DORA-Rahmen. Der Fall beschreibt eine wesentliche Änderung an Unterauftragsvereinbarungen für IKT-Dienste, die eine kritische oder wichtige Funktion unterstützen.", "institution": { "id": "BANK-01", "name": "Fiktives Kreditinstitut" }, "function": { "id": "F-01", "name": "Kreditbearbeitung", "classification": "Kritische oder wichtige Funktion, ausschließlich für den Lehrfall angenommen", "reason": "Eine anhaltende Störung der Akten- und Freigabebearbeitung würde im Lehrfall die ordnungsgemäße Bearbeitung und dokumentierte Entscheidung über Kredite wesentlich beeinträchtigen. Die Einstufung beruht auf der fiktiven institutsinternen Bewertung N02. Nicht jeder Dokumenten- oder Reporting-Dienst ist allein aufgrund seiner Bezeichnung kritisch oder wichtig." }, "services": [ { "id": "SVC-A", "name": "Digitale Kreditakte und Dokumentenworkflow", "provider": "TP-A", "function": "F-01", "contract": "CTR-A-01", "role": "Führendes System für Akten und Freigabeschritte" }, { "id": "SVC-D", "name": "Fristen- und Statusauswertung der Kreditbearbeitung", "provider": "TP-D", "function": "F-01", "contract": "CTR-D-01", "role": "Auswertung; kann SVC-A nicht ersetzen" } ], "providers": [ { "id": "TP-A", "name": "Fiktiver direkter Anbieter A", "seat": "Deutschland", "role": "Vertragspartner für SVC-A" }, { "id": "TP-B", "name": "Fiktiver Hosting-Unterauftragnehmer B", "seat": "Deutschland", "role": "Bisheriges Hosting von SVC-A" }, { "id": "TP-C", "name": "Fiktiver Hosting-Unterauftragnehmer C", "seat": "Deutschland", "role": "Bereits Hosting von SVC-D; zukünftig zusätzlich SVC-A" }, { "id": "TP-D", "name": "Fiktiver direkter Anbieter D", "seat": "Deutschland", "role": "Vertragspartner für SVC-D" } ], "dependencies": { "before": [ { "service": "SVC-A", "direct": "TP-A", "hosting": "TP-B" }, { "service": "SVC-D", "direct": "TP-D", "hosting": "TP-C" } ], "after": [ { "service": "SVC-A", "direct": "TP-A", "hosting": "TP-C" }, { "service": "SVC-D", "direct": "TP-D", "hosting": "TP-C" } ], "consequence": "Nach dem Wechsel hängen beide Dienste an TP-C. Zwei direkte Vertragspartner bedeuten hier keine unabhängige technische Versorgung. SVC-D ist weder Funktionsersatz noch unabhängiger Exit-Pfad für SVC-A." }, "change": { "description": "TP-A will das Hosting von SVC-A von TP-B auf TP-C umstellen. Datenverarbeitung und Speicherung wechseln innerhalb Deutschlands von Frankfurt am Main nach Düsseldorf. Leistungsumfang und Vertragspartner bleiben gleich.", "materiality": "Im Lehrfall wesentlich: Austausch des tatsächlich tragenden Hosting-Unterauftragnehmers, geänderter Betriebs-/Datenstandort, neue gemeinsame Abhängigkeit mit SVC-D und Folgen für Prüfnachweise, Notfallbetrieb und Übertragbarkeit.", "contract": { "id": "CTR-A-01", "version": "3", "subcontracting_allowed": "Hosting-Unterauftragsvergabe ist für SVC-A unter den vereinbarten Bedingungen ausdrücklich zulässig. Die Änderung wird innerhalb dieses Mechanismus geprüft. Die Hauptvertragsrechte werden nicht durch bloße Kenntnisnahme abgeändert.", "clause": "§ 12 Abs. 4 des fiktiven Vertrags", "notice_assumption": "Ausschließlich für den Lehrfall vereinbart: 20 Kalendertage. Der Vertrag und die Mitteilung bestimmen den 21.09.2026 ausdrücklich als Fristende. Dies ist keine gesetzliche DORA-Frist und keine allgemeine Empfehlung für die Fristlänge.", "days": 20, "received": "2026-09-01", "deadline": "2026-09-21", "planned_implementation": "2026-09-24", "internal_decision_due": "2026-09-18", "clock_rule": "Eine Nachforderung von Unterlagen oder eine Bitte um Verlängerung hält die Frist nicht automatisch an. Eine Verlängerung müsste wirksam vereinbart und dokumentiert werden. Im Lehrfall bleibt der 21.09.2026 unverändert." }, "locations_before": { "provider_seat": "Deutschland", "service_operation": "Frankfurt am Main, Deutschland", "processing": "Frankfurt am Main, Deutschland", "storage": "Frankfurt am Main, Deutschland" }, "locations_after": { "provider_seat": "Deutschland", "service_operation": "Düsseldorf, Deutschland", "processing": "Düsseldorf, Deutschland", "storage": "Düsseldorf, Deutschland" }, "data": "Im Beispiel personenbezogene Kreditunterlagen, Bearbeitungsstände, Freigaben und Protokolle. Es werden ausschließlich fiktive Testdaten für die beschriebenen Nachweistests verwendet.", "authority_check": "Eigenständiger Prüfpunkt. Der Lehrfall trifft keine abschließende Aussage zu einer konkreten BaFin-/EZB-Anzeigepflicht. Zuständigkeit, tatsächlicher Tatbestand und geltendes Verfahren sind im realen Einsatz gesondert festzustellen. Die Fallzustimmung ist keine aufsichtliche Genehmigung." }, "assumptions": [ { "id": "A01", "text": "20 Kalendertage sind nur die fiktiv vereinbarte Vorabfrist; DORA und Art. 5 DelVO 2025/532 nennen hierfür keine feste Tageszahl." }, { "id": "A02", "text": "Die fiktive Toleranz für die Wiederaufnahme einer begrenzten priorisierten Bearbeitung beträgt höchstens acht Stunden. Sie wird nur zur Plausibilisierung dieses Lehrfalls verwendet, nicht als aufsichtsrechtlicher Mindeststandard." }, { "id": "A03", "text": "Das fiktive unabhängige Notfallverfahren IN-01 verarbeitet priorisierte Vorgänge außerhalb TP-C mit getrennten Zugängen und gesichertem Exportstand. Es stellt nur einen eingeschränkten Notbetrieb bereit, keinen vollständigen Ersatz sämtlicher Funktionen." }, { "id": "A04", "text": "Im fiktiven Test wird der begrenzte Notbetrieb nach sechs Stunden aufgenommen. Dies bestätigt keine allgemeine Ausfallsicherheit." }, { "id": "A05", "text": "Der fiktive Exit-Plan sieht die Übernahme in eine interne Zielumgebung Z-01 außerhalb TP-C binnen zwölf Arbeitstagen innerhalb eines vertraglich gesicherten Übergangs von zwanzig Arbeitstagen vor. Datenexport und Rückführung eines Testbestands sowie wesentliche Bearbeitungsschritte sind im Lehrfall getestet; Rollen, Ressourcen und Zeitplan wurden in einer Planübung geprüft. Eine vollständige Produktionsmigration wurde nicht durchgeführt. Beide Zeitwerte sind Beispiele, keine gesetzlichen Fristen." }, { "id": "A06", "text": "Die Prüfergebnisse und Belege N01 bis N10 sind Beschreibungen eines Lehrfalls. Es existieren hierzu keine echten Vertrags- oder Auditdokumente." } ], "roles": [ { "id": "R1", "role": "Vertrags-/Dienstleisterverantwortung", "task": "Vorgang, Frist, Anbieterkommunikation und Maßnahmen koordinieren" }, { "id": "R2", "role": "Fachverantwortung Kreditbearbeitung", "task": "Betriebliche Auswirkungen, Prioritäten und Notbetrieb beurteilen" }, { "id": "R3", "role": "Informationssicherheit und IKT-Risikomanagement", "task": "Kontrollen, gemeinsame Abhängigkeiten und dokumentiertes Restrisiko bewerten" }, { "id": "R4", "role": "Rechts-/Vertragsprüfung, bei Bedarf Datenschutz", "task": "Vertragliche Rechte, Veränderung von Standorten und einschlägige zusätzliche Anforderungen prüfen" }, { "id": "R5", "role": "Nach institutsinterner Kompetenzordnung entscheidungsbefugte Stelle", "task": "Dokumentierte Entscheidung anhand der Stellungnahmen treffen" }, { "id": "R6", "role": "Interne Revision", "task": "Unabhängig prüfen; im Lehrfall keine operative Freigabeinstanz" } ], "timeline": [ { "date": "2026-09-01", "event": "N01 v1 geht ein; Frist und Umsetzungstermin werden erfasst." }, { "date": "2026-09-04", "event": "Zwischenentscheidung DEC-01: keine Freigabe, Nachweise N03 und N05 unzureichend; neue Konzentration erkannt." }, { "date": "2026-09-11", "event": "N01 v2, N03 v2 und N04 v1 ergänzen Standort-, Vertrags- und Kontrollinformationen." }, { "date": "2026-09-16", "event": "N05 v2 und N06 v1 liegen vor. Eigene Prüfung der Nachweise und Notfall-/Exit-Bewertung abgeschlossen." }, { "date": "2026-09-18", "event": "DEC-02: Zustimmung zur konkret beschriebenen Änderung; zwingende Anforderungen und entscheidungsrelevante Belege im Lehrfall geklärt. Verbindliche Nachkontrolle beauftragt." }, { "date": "2026-09-21", "event": "Unverändertes vertragliches Fristende. Kein unbeantworteter Freigabevorgang." }, { "date": "2026-09-24", "event": "Umsetzung laut N07 v1; Nachkontrolle beginnt." }, { "date": "2026-09-25", "event": "N08 v1: betroffene interne Datenbestände und Registerangaben abgeglichen." }, { "date": "2026-10-02", "event": "N09 v1: Nachkontrolle abgeschlossen; keine im Lehrfall abweichende Lieferkette festgestellt." }, { "date": "2026-10-05", "event": "N10 v1: CHG-2026-014 fachlich geschlossen; laufende Überwachung bleibt bestehen." } ], "evidence": [ { "id": "N01", "name": "Änderungsmitteilung und Leistungs-/Standortübersicht", "initial_version": "1, 01.09.2026", "initial": "Wechsel und Termine genannt; Standort- und Dienstabgrenzung zunächst unvollständig.", "final_version": "2, 11.09.2026", "final": "SVC-A, TP-C und Düsseldorf für Betrieb, Verarbeitung und Speicherung konkret zugeordnet.", "assessment": "Entscheidungsgrundlage hinreichend präzisiert.", "owner": "R1", "requirement": "Art. 5 Abs. 1 DelVO 2025/532; Art. 30 Abs. 2 Buchst. b DORA" }, { "id": "N02", "name": "Funktionseinstufung und Ausgangsbewertung", "initial_version": "3, 28.08.2026", "initial": "F-01 und SVC-A sind vor der Änderung zugeordnet; Ausgangsrisiko und Betroffenheit dokumentiert.", "final_version": "4, 16.09.2026", "final": "Neue gemeinsame Abhängigkeit von TP-C berücksichtigt; Einstufung von F-01 bleibt im Lehrfall unverändert.", "assessment": "Kritikalität begründet; Konzentration bleibt erhöht und sichtbar.", "owner": "R2/R3", "requirement": "Art. 28 Abs. 4 Buchst. a und Art. 29 DORA; Art. 3 Abs. 2 DelVO 2025/532" }, { "id": "N03", "name": "Prüfung von Unterauftragsbedingungen und Rechten", "initial_version": "1, 04.09.2026", "initial": "Erlaubnis im Hauptvertrag nachvollziehbar; Beleg zur Durchleitung von Zugang, Inspektion und Audit auf TP-C fehlt.", "final_version": "2, 11.09.2026", "final": "Im Lehrfall liegt ein nachvollziehbarer Vertragsauszug mit Zuordnung zu SVC-A und TP-C vor. Rechtsprüfung bestätigt die vorgesehenen Zugangs-, Inspektions- und Auditrechte sowie Kontinuitäts-, Berichts- und Sicherheitsanforderungen.", "assessment": "Anfangs Evidenzlücke, kein fingierter Nachweis eines tatsächlichen Rechtsverstoßes. Vor DEC-02 geschlossen.", "owner": "R4", "requirement": "Art. 3 Abs. 1 Buchst. c, d, j und Art. 4 Abs. 1 DelVO 2025/532" }, { "id": "N04", "name": "Kontroll- und Auditnachweise für den geänderten Betrieb", "initial_version": "Nicht vorhanden", "initial": "Ein allgemeiner Zertifikatshinweis deckt den konkreten neuen Dienst/Standort nicht erkennbar ab.", "final_version": "1, 11.09.2026", "final": "Im fiktiven Nachweispaket sind Geltungsbereich, Standort, Aktualität, Kontrolltests und festgestellte Ausnahmen beschrieben. Eigene Bewertung in N06 ergänzt es; das Institut stützt sich nicht allein auf eine Zertifizierung.", "assessment": "Für die konkrete Änderung im Lehrfall ausreichend, ohne pauschale DORA-Zertifizierung zu behaupten.", "owner": "R3", "requirement": "Art. 8 Abs. 2–3 DelVO 2024/1773" }, { "id": "N05", "name": "Notfall- und Exit-Nachweis", "initial_version": "1, 04.09.2026", "initial": "Der alte Plan berücksichtigt den gemeinsamen Hosting-Unterauftragnehmer noch nicht. SVC-D ist kein Ersatz für SVC-A.", "final_version": "2, 16.09.2026", "final": "Unabhängiger begrenzter Notbetrieb IN-01 mit getrennten Zugängen und gesichertem Exportstand beschrieben. Fiktiver Test: Aufnahme priorisierter Bearbeitung nach sechs Stunden bei angenommener Toleranz von acht Stunden. Exit zur internen Zielumgebung Z-01 außerhalb TP-C: Datenexport und Rückführung eines Testbestands sowie wesentliche Bearbeitungsschritte wurden im Lehrfall getestet. Rollen, Ressourcen und ein Zeitplan von zwölf Arbeitstagen wurden in einer Planübung gegen zwanzig vertraglich gesicherte Arbeitstage geprüft. Keine vollständige Produktionsmigration getestet.", "assessment": "Notbetrieb, vollständiger Exit und deren Grenzen sind getrennt. Restkonzentration ist nicht beseitigt.", "owner": "R2/R3", "requirement": "Art. 28 Abs. 8, Art. 30 Abs. 3 Buchst. f DORA; Art. 10 DelVO 2024/1773" }, { "id": "N06", "name": "Zusammengeführte fachliche und rechtliche Bewertung", "initial_version": "Nicht vorhanden", "initial": "Keine belastbare Schlussbewertung möglich.", "final_version": "1, 16.09.2026", "final": "Stellungnahmen zu N01–N05, Vertragslage, Kontrolle, Konzentration und Wiederanlauf zusammengeführt. Pflichtanforderungen erfüllt, entscheidungsrelevante Belege ausreichend. Erhöhtes Restrisiko innerhalb der ausschließlich im Fall angenommenen Toleranz; Wirksamkeitskontrolle vorgesehen.", "assessment": "Nachweis der Begründung für DEC-02; ersetzt keinen gesetzlichen Tatbestand und keine Behördenentscheidung.", "owner": "R5", "requirement": "Art. 3–4 und Art. 9 DelVO 2024/1773; Art. 5 DelVO 2025/532" }, { "id": "N07", "name": "Umsetzungsbestätigung", "initial_version": "Noch nicht fällig", "initial": "Vor Umsetzung nicht verfügbar.", "final_version": "1, 24.09.2026", "final": "TP-A bestätigt im Lehrfall die vereinbarte Umstellung auf TP-C am 24.09.2026 ohne weiteren Standort- oder Leistungswechsel.", "assessment": "Mit N01 v2 und DEC-02 abzugleichen.", "owner": "R1", "requirement": "Art. 9 DelVO 2024/1773" }, { "id": "N08", "name": "Abgleich der Bestands- und Registerdaten", "initial_version": "Noch nicht fällig", "initial": "Änderungen werden zunächst vorgemerkt, tatsächliche Umsetzung nicht vorweggenommen.", "final_version": "1, 25.09.2026", "final": "Interne Lieferketten- und Vertragsdaten sowie die vom Wechsel betroffenen Registerangaben wurden mit Wirksamkeitsdatum abgeglichen. Keine pauschale Behauptung, damit sei eine Meldung an die Aufsicht erledigt.", "assessment": "Datenpflege ist nachvollziehbar; Meldetatbestand bleibt eigenständige Prüfung.", "owner": "R1", "requirement": "Art. 28 Abs. 3 DORA; Art. 4 Buchst. e DelVO 2024/1773" }, { "id": "N09", "name": "Nachkontrolle nach Umsetzung", "initial_version": "Noch nicht fällig", "initial": "Vor Umsetzung kann die tatsächliche Leistung im Zielbetrieb noch nicht nachgewiesen werden.", "final_version": "1, 02.10.2026", "final": "Im fiktiven Prüfprotokoll stimmen Lieferkette und Standort mit der Entscheidung überein. Vereinbarte Leistungsindikatoren, Zugriff auf Nachweise und Export-/Notfallpfad wurden für den geänderten Betrieb geprüft. Keine neue entscheidungsrelevante Abweichung im Lehrfall.", "assessment": "Laufende Überwachung bleibt notwendig; kein dauerhafter Sicherheitsnachweis.", "owner": "R2/R3", "requirement": "Art. 9 Abs. 1–4 DelVO 2024/1773" }, { "id": "N10", "name": "Fachlicher Abschluss und nächste Überprüfung", "initial_version": "Noch nicht fällig", "initial": "Vorgang bleibt bis zur Nachkontrolle offen.", "final_version": "1, 05.10.2026", "final": "Maßnahmen A-01 bis A-04 sind geprüft geschlossen. Die gemeinsame Abhängigkeit von TP-C bleibt im Risikobestand. Nächster im Lehrfall intern festgelegter Kontrolltermin ist 15.12.2026; neue relevante Änderungen lösen vorherige Prüfung aus.", "assessment": "Fallabschluss beendet nicht die laufende Drittparteiensteuerung.", "owner": "R5", "requirement": "Art. 9 DelVO 2024/1773; Art. 3 Abs. 2 DelVO 2025/532" } ], "decisions": [ { "id": "DEC-01", "date": "2026-09-04", "status": "Keine Freigabe; Prüfung offen", "mandatory_requirements": "N03 lässt die Durchleitung zwingender Rechte noch nicht hinreichend erkennen. Unbekannt ist nicht gleich erfüllt.", "evidence": "N01 unvollständig, N03 ohne ausreichenden Beleg, N04 fehlt, N05 noch nicht angepasst.", "residual_risk": "Noch nicht abschließend bewertbar; neue Konzentration identifiziert.", "reason": "Die Entscheidungsgrundlage reicht nicht aus. Nachforderung mit interner Frist, Zuständigkeiten und Eskalation; vertragliches Fristende bleibt 21.09.2026.", "documents": [ "N01 v1", "N02 v3", "N03 v1", "N05 v1" ], "owner": "R5" }, { "id": "DEC-02", "date": "2026-09-18", "status": "Zustimmung zur beschriebenen Änderung mit verbindlicher Nachkontrolle", "mandatory_requirements": "Die im Lehrfall einschlägigen zwingenden Vertragsanforderungen einschließlich Unterauftragsbedingungen und Prüfrechten wurden vor Zustimmung als erfüllt bewertet. Es bleibt keine hierfür offene Pflichtlücke.", "evidence": "N01 v2, N02 v4, N03 v2, N04 v1, N05 v2 und N06 v1 sind ausgewertet und zugeordnet.", "residual_risk": "Erhöht durch den gemeinsamen Hosting-Unterauftragnehmer TP-C. Im Lehrfall innerhalb der angenommenen Toleranz: begrenzter unabhängiger Notbetrieb geprüft, geordneter vollständiger Exit plausibilisiert, Zuständigkeiten und Nachkontrolle gesichert. Keine Behauptung, die Konzentration sei beseitigt.", "reason": "Die konkrete Änderung ist auf Grundlage des fiktiven Nachweispakets vertretbar. Die Zustimmung bezieht sich nur auf SVC-A, TP-C, den beschriebenen Standort und den Umsetzungstermin. Weitere wesentliche Änderungen benötigen eigene Bewertung. A-01 bis A-04 sind Folgekontrollen, kein Ersatz für vorab erforderliche Rechte oder Nachweise.", "documents": [ "N01 v2", "N02 v4", "N03 v2", "N04 v1", "N05 v2", "N06 v1" ], "owner": "R5" } ], "alternative_branches": [ { "condition": "Die Bewertung ergibt eine Überschreitung der Risikotoleranz.", "response": "Vor Fristende TP-A informieren, der Änderung widersprechen und Modifikationen verlangen. Art. 5 Abs. 4 DelVO 2025/532; keine pauschale Risikoakzeptanz als Abkürzung.", "is_actual_case_outcome": false }, { "condition": "Entscheidungsrelevante Nachweise fehlen weiterhin.", "response": "Vor Fristende eskalieren und die konkrete Vertrags-/Rechtsposition bewerten. Keine automatische Freigabe. Erforderliche Verlängerung wirksam vereinbaren; bloßes Nachfordern stoppt die Frist nicht.", "is_actual_case_outcome": false }, { "condition": "TP-A setzt trotz rechtzeitigem Einwand oder vor Fristende ohne Zustimmung um, oder die Unterauftragsvergabe ist nicht ausdrücklich erlaubt.", "response": "Kündigungsrechte nach Art. 6 DelVO 2025/532 und Art. 28 Abs. 7 DORA sowie Kontinuität und geordneten Exit prüfen. Nicht pauschal mit automatischem Vertragsende oder sofortigem Abschalten gleichsetzen.", "is_actual_case_outcome": false } ], "actions": [ { "id": "A-01", "task": "Tatsächliche Umstellung gegen genehmigten Umfang abgleichen", "owner": "R1", "due": "2026-09-25", "closed": "2026-09-25", "evidence": [ "N07 v1" ], "result": "TP-C, Standort und Wirksamkeitsdatum entsprechen DEC-02; keine zusätzliche wesentliche Änderung im Lehrfall." }, { "id": "A-02", "task": "Betroffene Bestands- und Registerangaben konsistent pflegen", "owner": "R1", "due": "2026-09-25", "closed": "2026-09-25", "evidence": [ "N08 v1" ], "result": "Daten mit Wirksamkeitsdatum abgeglichen. Die Pflege bestätigt keine pauschale Erledigung möglicher Behördeninformationen." }, { "id": "A-03", "task": "Leistung und vereinbarte Kontrollen im geänderten Betrieb prüfen", "owner": "R2/R3", "due": "2026-10-02", "closed": "2026-10-02", "evidence": [ "N09 v1" ], "result": "Fiktive Nachkontrolle ohne neue entscheidungsrelevante Abweichung. Restkonzentration bleibt überwacht." }, { "id": "A-04", "task": "Ergebnisse fachlich abschließen und Folgetermin setzen", "owner": "R5", "due": "2026-10-05", "closed": "2026-10-05", "evidence": [ "N07 v1", "N08 v1", "N09 v1", "N10 v1" ], "result": "Vorgang geschlossen; gemeinsames TP-C-Risiko bleibt im Bestand. Interner Folgetermin 15.12.2026, anlassbezogene Prüfung vorher bei relevanten Änderungen." } ], "quality_rules": [ "Pflichtanforderung, Belegqualität und Restrisiko getrennt beurteilen.", "Fehlende Information bleibt offen; keine erfundene positive Prüfung.", "Schweigen bis Fristende ist nicht gleich dokumentierte fachliche Freigabe. Die rechtliche Umsetzungsmechanik nach Art. 5 Abs. 3 kennt Zustimmung oder ausbleibenden Widerspruch bis Fristende.", "Ein Gesamt-Score heilt keine zwingende Vertrags- oder Rechtslücke.", "Freigabe am 18.09.2026 ist vom späteren fachlichen Abschluss am 05.10.2026 zu unterscheiden.", "Angemessene Fristen, Prüfintensität und Entscheidungskompetenzen sind institutsspezifisch festzulegen.", "Ein Standortrisiko wird nicht allein anhand des Landes oder einer Zertifizierung entschieden.", "Die Arbeitshilfe unterstützt Strukturierung. Die sachliche Prüfung und Entscheidung bleiben beim Institut." ], "primary_sources": [ { "title": "DORA, Verordnung (EU) 2022/2554, Art. 28–30", "url": "https://eur-lex.europa.eu/eli/reg/2022/2554/oj/deu" }, { "title": "Delegierte Verordnung (EU) 2024/1773, Art. 3–4 und 8–10", "url": "https://eur-lex.europa.eu/eli/reg_del/2024/1773/oj/deu" }, { "title": "Delegierte Verordnung (EU) 2025/532, insbesondere Art. 3–6", "url": "https://eur-lex.europa.eu/eli/reg_del/2025/532/oj/deu" } ] }