DORA ist die EU-Verordnung für die digitale Resilienz der Finanzbranche: Banken, Versicherungen, Asset Manager, Krypto-Plattformen und eine ganze Reihe weiterer regulierter Finanzdienstleister müssen ab Januar 2025 DORA umsetzen. Ziel ist, IT-Ausfälle, Cyberangriffe und digitale Risiken besser im Griff zu haben. DORA ist direkt in jedem EU-Staat gültig, es gibt keinen Spielraum für nationale Abweichungen.
NIS2 ist die „Generalnorm“ für Cybersicherheit kritischer Infrastrukturen in Europa: Energie, Gesundheit, Transport, Wasser, digitale Dienste – und auch das Finanz- und Versicherungswesen. NIS2 wird durch nationale Gesetzgebung in jedem EU-Staat konkret umgesetzt. Die deutschen Regelungen treten voraussichtlich ab Herbst 2024/2025 in Kraft.
Wichtiger Punkt: Wenn du als Finanzunternehmen DORA-unterliegst, bist du weitgehend von NIS2 ausgenommen – das nennt die EU „lex specialis“. Aber Achtung: IT-Dienstleister, insbesondere wenn sie kritische Funktionen bereitstellen, können doppelt reguliert werden durch DORA und NIS2!
Mapping: Wo bist du von beiden Regelungen betroffen?
1. Finanzunternehmen: Eindeutige Grenze
-
Wenn du ein reguliertes Finanzunternehmen nach DORA bist (z. B. Bank, Versicherung, Wertpapierfirma, Krypto-Anbieter), ist DORA die vorrangige Regelung. NIS2-Pflichten entfallen – bis auf die Melde-/Registrierungspflichten beim BSI.
-
Die nationale Bankaufsicht (BaFin, Bundesbank), die EZB, EBA und ESMA sind deine zentralen Ansprechpartner für DORA, nicht für NIS2.
-
Die BaFin betreibt Beispielplattformen für die Meldung und Registrierung sowie die Kontrolle der Umsetzung von DORA (MVP-Fachverfahren).
Merke: DORA ist für alle Banken, Versicherer, Wertpapierfirmen, Kryptoanbieter, Zahlungsinstitute, E-Geld-Institute u.v.m. Pflicht und regelt alle Aspekte von IT-Risiko, IKT-Vorfällen, Resilienztests, Drittparteienmanagement und Meldewesen.
2. IT-Dienstleister: Überschneidungen und Doppelregulierung
-
Bist du ein IT-Dienstleister, der kritische Systeme und Services für Finanzunternehmen bereitstellt (Cloud, Rechenzentrum, Managed Services)? Dann bist du sowohl von DORA als auch von NIS2 betroffen – und zwar mit jeweils eigenen, teils deckungsgleichen, teils unterschiedlichen Pflichten.
-
DORA reguliert alle Drittanbieter, die kritische und wichtige Funktionen für Finanzunternehmen bereitstellen – als „IKT-Drittdienstleister“. Die ESMA und EBA führen für DORA eine EU-weite Überwachung dieser Anbieter ein.
-
NIS2 stuft alle IT-Unternehmen in den Sektoren „Digitale Infrastruktur“ und „IT-Dienstleister“ als kritische Einrichtungen ein und macht sie zum Ziel nationaler Aufsicht (in Deutschland: BSI, BNetzA).
Wichtig: Du musst beide Regelwerke parallel erfüllen – es gibt keine „Vorrangregelung“ für IT-Dienstleister, sondern echte Doppelregulierung mit Risiko von Mehrfachprüfungen und Berichtspflichten an BaFin, EU-Behörden UND nationale Cyberaufsicht.
Gemeinsamkeiten (Deckungsgleichheit)
Viele Anforderungen von DORA und NIS2 ähneln sich oder sind in sachlicher und methodischer Hinsicht deckungsgleich. Das betrifft zum Beispiel:
Risikomanagement und Governance
-
Du brauchst ein wirksames IKT-Risikomanagement, regelmäßig geprüft, dokumentiert und vom Management getragen. Regeln für Prüfverfahren, Prozesse und Audits, Pflicht zur laufenden Verbesserung und Wirksamkeit. DORA und NIS2 machen beides zur Pflicht.
-
Drei Verteidigungslinien (three lines of defence), regelmäßige Schulungen für die Geschäftsleitung und Mitarbeiter, Business Continuity Management (BCM) sind Pflicht.
Incident Management und Meldewesen
-
Cybervorfälle, IKT-Ausfälle und Angriffe müssen erkannt, dokumentiert und den zuständigen Behörden gemeldet werden – bei DORA z. B. an BaFin/EBA/ESMA, bei NIS2 an BSI/BNetzA.**
-
Fristen, Mindestinhalte und Rückmeldemechanismen sind vergleichbar aufgebaut.
Testen und Audits
-
Du musst regelmäßige Tests und Audits deiner IT, Systeme, Prozesse und Resilienzmaßnahmen durchführen (Stresstests, Schwachstellenanalyse, TLPT bei DORA, Penetrationstests bei NIS2).
-
Ergebnisberichte gehen an die zuständige Behörden – mit konkreten Nachweisen zur Wirksamkeit und Empfehlungen für Verbesserungen.
Lieferketten und Drittparteienmanagement
-
Sowohl DORA als auch NIS2 schreiben vor, alle kritischen und wichtigen IKT-Dienstleister zu identifizieren, Risiken zu bewerten und vertragliche Vereinbarungen zu prüfen und regelmäßig zu auditieren.
Pflichten zur Information und Sensibilisierung
-
Du musst alle Mitarbeiter schulen, Awareness-Programme konzipieren und sie regelmäßig aktualisieren.
Unterschiede und exakte Abgrenzungen (Wo liegt die Grenze?)
DORA: Klarer sektoraler Fokus und hohe Detailtiefe
-
Gilt nur für Finanzunternehmen nach Art. 2 DORA und deren kritische IKT-Dienstleister.
-
Vorgaben sind konkret und preskriptiv: IKT-Risikomanagement, Incident Reporting, Resilienztests (TLPT), Management und Audit Third Parties.
-
Einbindung der Europäischen Finanzaufsichtsbehörden (EBA, ESMA, EIOPA), Kooperation mit der EZB und nationale Behörden wie BaFin.
-
Für kritische Dienstleister gibt es eine jährliche EU-Liste, strenge Auditanforderungen und zentrale Überwachung durch die EU.
NIS2: Breiter Sektor und nationale Umsetzung
-
Gilt für sämtliche kritische Infrastrukturen der EU, inkl. IT-Dienstleister, cloud-basierte Anbieter, Digitaldienste – und auch das Finanz- und Versicherungswesen, sofern nicht von DORA reguliert.
-
Pflichten sind abstrakter und meist auf Grundschutzlevel ausgelegt (ISO 27001 mapping, KRITIS-Basismaßnahmen).
-
Nationale Aufsicht: In Deutschland BSI und BNetzA. Länder wie Frankreich, Niederlande, Österreich haben eigene NIS2-Behörden und Meldeplattformen.
