Bankwesen: Häufig gestellte Fragen

Kreditinstitute und Zahlungsdienstleister registrieren sich über das BSI-Portal MELDEX mit einem ELSTER-Organisationszertifikat. Wichtig für Banken: NIS2 gilt im Bankwesen parallel zu DORA (Digital Operational Resilience Act), wobei DORA als lex specialis für IKT-Risikomanagement und Meldepflichten vorgeht. Die BSI-Registrierung ist trotzdem erforderlich, da NIS2 Bereiche abdeckt, die DORA nicht reguliert. Sprechen Sie die Registrierung mit Ihrer Compliance-Abteilung und dem zuständigen BaFin-Referenten ab, um parallele Meldewege korrekt einzurichten. Die BSI-Registrierungsfrist ist am 06.03.2026 abgelaufen. Betroffene Unternehmen sollten die Registrierung zeitnah über MELDEX nachholen. BSI-Registrierung im Glossar →

Kreditinstitute unterliegen einer Doppelpflicht: Die DORA-Meldepflicht an die BaFin (als zuständige nationale Behörde) ist für IKT-bezogene Vorfälle primär maßgeblich. Zusätzlich besteht unter NIS2 eine BSI-Meldepflicht mit dem dreistufigen Verfahren: 24h-Erstmeldung, 72h-Folgemeldung und 30-Tage-Abschlussbericht. Stimmen Sie die beiden Meldeprozesse aufeinander ab, damit Vorfallsmeldungen an BaFin und BSI konsistent sind und keine Doppelarbeit entsteht. Dokumentieren Sie, welche Meldung nach welcher Rechtsgrundlage erfolgt. Meldepflicht im Glossar →

Kreditinstitute bauen ein ISMS auf, das die Anforderungen von NIS2 §30 BSIG und DORA Kapitel II gleichzeitig erfüllt. Die Asset-Inventur umfasst Kernsysteme (Kernbankanwendungen, Zahlungsverkehrssysteme, Online-Banking), IKT-Drittdienstleister und kritische Datenschnittstellen. Die Risikoanalyse berücksichtigt Szenarien wie Systemausfall des Zahlungsverkehrs, Datenlecks oder Ransomware-Angriffe. ISO 27001 bildet die Grundlage; DORA-spezifische Anforderungen (TLPT-Tests, Drittparteienmanagement) werden als Erweiterungen integriert. ISMS im Glossar →

Die NIS2-Compliance-Dokumentation einer Bank umfasst: aktuelle Risikoanalyse und ISMS-Richtlinien, IKT-Drittpartei-Register nach DORA Art. 28 (das auch NIS2-Lieferkettenpflichten abdeckt), Schulungsnachweise für Vorstand und IT-Sicherheitspersonal, Vorfallsprotokolle mit BSI- und BaFin-Meldungen sowie Nachweise zu Systemtests und Business-Continuity-Übungen. Halten Sie die Dokumentation synchron zwischen NIS2- und DORA-Compliance, um Widersprüche zu vermeiden. Risikoanalyse im Glossar →

Für das BSI-Audit stellen Kreditinstitute bereit: ISMS-Dokumentation (Richtlinien, Risikoanalyse, Maßnahmenplan), Nachweise zu Incident-Response-Tests, Business-Continuity-Pläne und deren Testprotokolle, Schulungsnachweise sowie Lieferantenbewertungen. Da Banken bereits BaFin-Prüfungen unterliegen, können Teile der bestehenden Regulierungsdokumentation (MaRisk, BAIT) direkt für das BSI-Audit genutzt werden. Ein Pre-Audit durch einen spezialisierten NIS2-Berater deckt verbleibende Lücken auf und spart Zeit beim eigentlichen BSI-Verfahren. BSI-Aufsicht im Glossar →

Kreditinstitute sichern ihre Lieferkette durch das DORA-konforme IKT-Drittparteienregister, das gleichzeitig die NIS2-Lieferkettenpflichten abdeckt. Kritische Dienstleister (Kernbankanwendungen, Cloud-Provider, Rechenzentren) werden jährlich bewertet und erhalten vertragliche Sicherheitsanforderungen mit Mindestnormen für Zugangskontrollen, Verschlüsselung und Meldepflichten. Für Konzentrations-Risiken bei Cloud-Hyperscalern empfiehlt sich ein dediziertes Monitoring. Dienstleister mit direktem Systemzugang werden mindestens einmal jährlich überprüft. Lieferkettensicherheit im Glossar →

Kreditinstitute erfüllen die Schulungspflicht durch ein mehrstufiges Programm: Jährliche NIS2- und DORA-Awareness-Schulung für alle Mitarbeitenden, eine spezialisierte Vorstandsschulung zu §30/§38 BSIG und DORA-Gouvernanzpflichten sowie technische Trainings für IT-Sicherheits- und Compliance-Personal. Alle Schulungen werden protokolliert und Teilnahmenachweise archiviert — BaFin und BSI können diese im Prüfungsfall anfordern. Phishing-Simulationen und Social-Engineering-Tests ergänzen das Pflichtprogramm. ISMS im Glossar →