Finanzmarktinfrastrukturen: Häufig gestellte Fragen

Betreiber von Handelsplätzen, zentralen Gegenparteien (CCPs) und Zentralverwahrern registrieren sich über MELDEX mit einem ELSTER-Organisationszertifikat. Finanzmarktinfrastrukturen unterliegen wie Kreditinstitute parallel zu NIS2 auch DORA, das als lex specialis für IKT-Risikomanagement gilt. Stimmen Sie die BSI-Registrierung mit der BaFin ab, da diese als nationale NIS2-Aufsichtsbehörde für den Finanzsektor fungiert und Informationen mit dem BSI austauscht. Die BSI-Registrierungsfrist ist am 06.03.2026 abgelaufen. Betroffene Unternehmen sollten die Registrierung zeitnah über MELDEX nachholen. BSI-Registrierung im Glossar →

Betreiber von Finanzmarktinfrastrukturen melden erhebliche Vorfälle parallel an BSI (NIS2) und BaFin (DORA): Über MELDEX erfolgt die dreistufige BSI-Meldung (24h, 72h, 30 Tage). Die DORA-Meldung nach Art. 19 erfolgt nach dem dortigen Schwellenwertverfahren an die BaFin. Richten Sie einen integrierten Meldeprozess ein, der beide Meldewege synchron bedient und sicherstellt, dass Informationen in beiden Meldungen konsistent sind. Benennen Sie einen dedizierten Incident-Koordinator, der beide Prozesse steuert. Meldepflicht im Glossar →

Börsenbetreiber und Betreiber von Finanzmarktinfrastrukturen richten ihr ISMS auf die kritischen Handelssysteme, Clearing-Plattformen und Datenfeeds aus. Die Asset-Inventur erfasst Matching-Engines, Risikoberechnungssysteme und externe Datenschnittstellen. Die Risikoanalyse priorisiert Szenarien wie Handelsunterbrechungen, Datenmanipulation oder Ausfall von Clearingsystemen. ISO 27001 plus DORA-konforme Testprogramme (TLPT) bilden den Rahmen. Business-Continuity-Pläne mit definierten Recovery-Time-Objectives für alle kritischen Systeme sind Pflicht. Risikoanalyse im Glossar →

Die Compliance-Dokumentation umfasst: ISMS-Kernunterlagen (Risikoanalyse, Sicherheitsrichtlinien, Maßnahmenplan), DORA-konformes IKT-Drittparteienregister das gleichzeitig NIS2-Lieferkettenpflichten abdeckt, Testergebnisse von Business-Continuity- und Disaster-Recovery-Übungen, Schulungsnachweise für Geschäftsleitung und IT-Personal sowie Vorfallsprotokolle mit Meldungen an BSI und BaFin. Synchronisieren Sie NIS2- und DORA-Dokumentation, um Dopplungen zu vermeiden. Nachweispflicht im Glossar →

Zur BSI-Audit-Vorbereitung stellen Finanzmarktinfrastrukturen bereit: aktuelle Systemdokumentation für alle Handels-, Clearing- und Abwicklungssysteme, Risikoanalysen und ISMS-Dokumentation, DORA-Compliance-Nachweise (da BaFin und BSI Informationen austauschen), Ergebnisse interner und externer Sicherheitstests sowie Schulungsnachweise. Da BaFin-Prüfungen bereits vorliegen, können viele Unterlagen direkt wiederverwendet werden. Führen Sie vorab eine Lückenanalyse durch, die NIS2-spezifische Anforderungen abdeckt, die über DORA hinausgehen. Nachweispflicht im Glossar →

Betreiber von Finanzmarktinfrastrukturen sichern ihre Lieferkette über das DORA-Drittparteienregister, das alle kritischen IKT-Dienstleister erfasst und gleichzeitig die NIS2-Anforderungen abdeckt. Besonderes Augenmerk gilt Cloud-Diensten und Datenanbieter-Verbindungen, da Ausfälle direkt den Handelsbetrieb beeinflussen. Kritische Dienstleister werden mindestens jährlich bewertet, erhalten Sicherheitsverträge mit Mindestnormen und werden bei Bedarf vor Ort auditiert. Konzentrationsrisiken bei einzelnen Anbietern werden im Risikobericht dokumentiert. Lieferkettensicherheit im Glossar →

Finanzmarktinfrastruktur-Betreiber kombinieren NIS2- und DORA-Schulungspflichten: Jährliche Awareness-Schulungen für alle Mitarbeitenden, eine dedizierte Governance-Schulung für das Leitungsgremium zu §30/§38 BSIG und DORA Art. 5-Pflichten sowie technische Sicherheitsschulungen für IT- und Compliance-Personal. Alle Schulungen werden protokolliert; Teilnahmenachweise werden für BaFin- und BSI-Prüfungen aufbewahrt. Das Schulungsprogramm wird jährlich an neue Bedrohungsszenarien und regulatorische Änderungen angepasst. ISMS im Glossar →