Bankwesen
DORA-Lex-specialis und NIS2-Pflichten für Kreditinstitute und Zahlungsdienstleister
Ist Ihr Unternehmen betroffen?
- Kreditinstitute und Banken: Unternehmen, die unter den Anwendungsbereich der DORA (Digital Operational Resilience Act) fallen, sind von den NIS2-Cybersicherheitspflichten ausgenommen — DORA gilt als lex specialis.
- Zahlungsinstitute und E-Geld-Institute im DORA-Anwendungsbereich unterliegen ausschließlich den DORA-Pflichten, nicht NIS2.
- Kleinere Fintechs und Zahlungsauslösedienstleister außerhalb des DORA-Anwendungsbereichs bleiben unter NIS2UmsuCG — ab 50 Mitarbeitern ODER mehr als 10 Mio. EUR Jahresumsatz.
- Kreditvermittler und Hypothekardarlehensgeber ohne Bankzulassung können NIS2-pflichtig sein, sofern kritische Dienstleistungen erbracht werden.
- Betreiber von Zahlungsabwicklungsinfrastrukturen (Acquirer, Prozessoren) unterliegen je nach Zulassungsstatus DORA oder NIS2.
NIS2-Anforderungen nach Art. 21
- 01.
DORA ersetzt NIS2 für regulierte Finanzinstitute
Kreditinstitute, Zahlungsinstitute und Wertpapierfirmen im DORA-Anwendungsbereich unterliegen ausschließlich dem Digital Operational Resilience Act (DORA, EU 2022/2554, in Kraft seit Januar 2025). NIS2-Cybersicherheitspflichten gelten für diese Entitäten nicht — DORA ist die lex specialis und verdrängt NIS2 vollständig für in-scope-Unternehmen.
- 02.
ICT-Risikomanagement nach DORA Art. 5–16
DORA-pflichtige Kreditinstitute müssen ein umfassendes ICT-Risikomanagement-Framework implementieren: Identifizierung, Schutz, Detektion, Reaktion und Wiederherstellung. Governance-Strukturen für ICT-Risiken müssen auf Vorstandsebene verankert werden.
- 03.
Meldepflichten: DORA Art. 17–23 vs. NIS2-BSI-Meldung
DORA-pflichtige Institute melden IKT-bezogene Vorfälle an die BaFin (als zuständige Behörde). Nicht-DORA-pflichtige Finanzunternehmen unter NIS2 melden an das BSI. Die Meldefristen unterscheiden sich: DORA fordert differenzierte Erst-, Zwischen- und Abschlussberichte.
- 04.
Drittanbieter-Überwachung (DORA Art. 28–44)
DORA verpflichtet Kreditinstitute zur systematischen Überwachung ihrer IKT-Drittdienstleister. Kritische IT-Dienstleister unterliegen direkter Aufsicht durch europäische Finanzaufsichtsbehörden (EBA, ESMA). Lieferkettenverträge müssen DORA-konforme Exit-Strategien enthalten.
- 05.
Penetrationstests nach TIBER-EU-Rahmen
Systemrelevante Kreditinstitute müssen bedrohungsgeleitete Penetrationstests (TLPT) nach dem TIBER-EU-Rahmenwerk (Threat Intelligence-Based Ethical Red Teaming) durchführen. Diese Tests simulieren realistische Angriffe auf Zahlungsinfrastruktur und Kernsysteme.
- 06.
SWIFT Customer Security Programme (CSP)
Alle Kreditinstitute, die SWIFT für grenzüberschreitende Zahlungen nutzen, müssen die aktuellen SWIFT CSP-Kontrollen (Customer Security Programme) implementieren und das Self-Attestation-Verfahren jährlich abschließen.
- 07.
Physische Sicherheit und Business Continuity für Zahlungssysteme
Kernbanksysteme, Zahlungsabwicklungssysteme und SWIFT-Gateways benötigen redundante Rechenzentrumsstandorte mit Recovery Time Objectives (RTO) im einstelligen Stundenbereich. Notfallpläne müssen regulatorisch genehmigte Betriebsszenarien abdecken.
Typische Bedrohungsszenarien
SWIFT-Bankraub durch Cyberangriff
Angreifer kompromittieren die SWIFT-Messaging-Infrastruktur einer Zentralbank und senden gefälschte Überweisungsaufträge in Millionenhöhe. Durch manipulierte Transaktionsbestätigungen wird der Betrug stundenlang nicht entdeckt — bis Kontokorrentkonten leergeräumt sind.
SWIFT Bangladesh Bank Heist (Bangladesch, 2016)DDoS-Angriffe auf Bankinfrastruktur
Koordinierte Distributed-Denial-of-Service-Angriffe überlasten Online-Banking-Systeme und machen Kontozugang, Überweisungen und Kundenkommunikation für Stunden bis Tage unmöglich. Kundenvertrauen und Reputationsschaden gehen über den technischen Ausfall hinaus.
Angriff auf ING-DiBa-Infrastruktur (DDoS, Deutschland, 2012)Banking-Trojaner in europäischen Banken
Hochentwickelte Malware infiltriert interne Banknetzwerke über Spear-Phishing-Kampagnen und verbleibt monatelang unentdeckt. Angreifer manipulieren Buchungssysteme, schleusen sich in Überweisungsprozesse ein und räumen Konten systematisch ab.
Carbanak / Anunak-Banking-Trojaner (Europa, 2013–2015)Maßnahmen-Checkliste
- SWIFT CSP-Compliance: Alle SWIFT Customer Security Controls jährlich implementieren und attestieren
- Echtzeit-Transaktionsüberwachung: Anomalie-Erkennung für ungewöhnliche Zahlungsvolumen und -muster
- Segregation of Duties: Vier-Augen-Prinzip für alle kritischen Zahlungs- und Buchungsoperationen
- Penetrationstests nach TIBER-EU: Jährliche bedrohungsgeleitete Red-Team-Übungen für Kernbanksysteme
- DORA-ICT-Drittanbieterregister: Alle kritischen IKT-Dienstleister dokumentieren und überwachen
- Anti-DDoS-Schutz für Online-Banking-Infrastruktur (Scrubbing-Center, Traffic-Shaping)
- Privileged Access Management (PAM) für alle Zugriffe auf Kernbanksysteme und Zahlungsinfrastruktur
- MFA für alle Mitarbeiterzugänge und Kundenidentifikation im Online-Banking
- Incident-Response-Plan für Zahlungsausfälle: Eskalationspfad zur BaFin und DORA-konforme Meldewege
- Business Continuity mit RTO <4h für kritische Zahlungssysteme, regelmäßige Failover-Tests
Verwandte Inhalte
Leistungen
Checklisten
NIS2-Compliance für Bankwesen?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen