NIS2 vs. DORA
Überblick
NIS2 (EU-Richtlinie 2022/2555, umgesetzt durch NIS2UmsuCG) ist ein horizontales Regelwerk für Cybersicherheit, das besonders wichtige und wichtige Einrichtungen in 18 Sektoren erfasst. DORA (Digital Operational Resilience Act, EU-Verordnung 2022/2554) hingegen ist ein sektorspezifisches EU-Recht speziell für den Finanzsektor: Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und IKT-Drittdienstleister fallen in seinen Anwendungsbereich. Als EU-Verordnung gilt DORA direkt in allen Mitgliedstaaten ohne nationalen Umsetzungsakt. Der entscheidende Unterschied: Art. 4 Abs. 1 der NIS2-Richtlinie (EU 2022/2555) etabliert DORA als lex specialis — wo DORA gleichwertige oder strengere Anforderungen an Cybersicherheit stellt, hat DORA für Finanzunternehmen Vorrang vor NIS2.
Direktvergleich
| Kriterium | NIS2 / NIS2UmsuCG | DORA |
|---|---|---|
| Rechtsform | EU-Richtlinie (2022/2555) — nationales Umsetzungsgesetz (NIS2UmsuCG) erforderlich | EU-Verordnung (2022/2554) — gilt direkt in allen Mitgliedstaaten ohne Umsetzungsakt |
| Geltungsbereich | Besonders wichtige und wichtige Einrichtungen in 18 Sektoren (sektoriell breit) | Finanzsektor: Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienste, IKT-Drittdienstleister |
| IKT-Risikomanagement | Pflicht zu Risikomanagement für Netz- und Informationssysteme; 10 Mindestmaßnahmen | Detailliertes IKT-Risikomanagement-Framework (Art. 5-16 DORA) mit expliziten Governance-Anforderungen |
| Meldepflichten | Erstmeldung: 24 h; Detailmeldung: 72 h an BSI (nationale Behörde) | Erstmeldung: 4 h; Zwischenmeldung: 72 h; Abschlussmeldung: 1 Monat an Finanzaufsicht (BaFin) |
| IKT-Drittparteienrisiko | Lieferkettensicherheit als Mindestmaßnahme; Vertragsanforderungen an Dienstleister | Umfassendes IKT-Drittparteienmanagement (Art. 17-44 DORA); EU-Überwachungsrahmen für kritische IKT-Anbieter |
| Penetrationstests | Sicherheitsüberprüfungen als Maßnahme; keine verbindliche TLPT-Pflicht | TLPT (Threat-Led Penetration Testing) verpflichtend für bedeutende Finanzunternehmen (Art. 26 DORA) |
| Sanktionen | Bußgelder bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes | Sektorspezifische Sanktionen nach nationalem Finanzaufsichtsrecht; Aufsichtsmaßnahmen durch BaFin |
Analyse
Der wichtigste rechtliche Ausgangspunkt ist Art. 4 der NIS2-Richtlinie (EU 2022/2555): Dieser Artikel etabliert explizit, dass sektorspezifische EU-Rechtsakte wie DORA als lex specialis Vorrang haben, sofern sie Anforderungen an Cybersicherheit enthalten, die mindestens äquivalent zu den NIS2-Anforderungen sind. Für Finanzunternehmen bedeutet das konkret: Wo DORA Regelungen trifft, gilt DORA. Das NIS2UmsuCG tritt in diesen Bereichen zurück.
DORA ist in mehreren Bereichen strenger als NIS2. Besonders auffällig ist die verkürzte Erstmeldefrist: Während NIS2UmsuCG 24 Stunden für die Erstmeldung vorschreibt, verlangt DORA eine Meldung erheblicher IKT-bezogener Vorfälle innerhalb von nur 4 Stunden an die zuständige Finanzaufsicht (BaFin in Deutschland). Auch das IKT-Risikomanagement ist bei DORA erheblich detaillierter reguliert: Die Artikel 17 bis 44 DORA enthalten ein umfassendes Regelwerk für Vertragsbeziehungen mit IKT-Dienstleistern, einschließlich eines EU-weiten Überwachungsrahmens für als kritisch eingestufte IKT-Drittdienstleister.
DORA verpflichtet bedeutende Finanzunternehmen zu regelmäßigen Threat-Led Penetration Tests (TLPT) nach einem standardisierten Rahmen (TIBER-EU). Diese gehen weit über die allgemeinen Sicherheitsüberprüfungsanforderungen des NIS2UmsuCG hinaus. Zudem enthält DORA in Art. 5-16 ein explizites IKT-Risikomanagement-Framework mit klaren Governance-Anforderungen an das Leitungsorgan — die Leitungsorganhaftung ist bei DORA ebenso wie bei NIS2 ein zentrales Element.
Trotz der Vorrangregelung bleibt NIS2 für Finanzunternehmen in bestimmten Konstellationen relevant. Unternehmen, die sowohl im Finanzsektor als auch in einem anderen NIS2-Sektor tätig sind (z. B. ein Konzern mit Energie- und Finanzsparte), können für unterschiedliche Unternehmensteile unter verschiedene Regelwerke fallen. Darüber hinaus deckt DORA nicht alle Aspekte der NIS2-Anforderungen ab — in Lücken, wo DORA keine gleichwertigen Regelungen trifft, bleibt NIS2 als Auffangnetz bestehen.
Ein weiterer Aspekt ist die Lieferkettensicherheit: DORA stellt gegenüber NIS2 wesentlich detailliertere Anforderungen an Verträge mit IKT-Drittdienstleistern, insbesondere hinsichtlich Exit-Strategien, Prüfrechten und Subauftragnehmer-Ketten. Finanzunternehmen sollten ihre Lieferantenverträge daher primär nach DORA-Maßstab auditieren, da dieser strenger ist und NIS2 im Ergebnis mitabdeckt.
Fazit und Handlungsempfehlung
Für Finanzunternehmen gilt: DORA hat Vorrang, ist aber kein vollständiger Ersatz für NIS2. NIS2 bleibt als Auffangnetz in Bereichen, die DORA nicht abdeckt, und für Konzernteile außerhalb des Finanzsektors relevant. Wer DORA vollständig erfüllt, erfüllt damit auch den Großteil der NIS2-Anforderungen — aber nicht automatisch alle.
Die Empfehlung lautet: Beginnen Sie mit der DORA-Compliance als primäre Priorität. DORA-Anforderungen sind konkreter, strenger und sektoriell maßgeschneidert. Identifizieren Sie im zweiten Schritt, ob und welche NIS2-Lücken nach vollständiger DORA-Umsetzung noch verbleiben — typischerweise betrifft das branchenübergreifende Aktivitäten oder Konzerntochter außerhalb des Finanzsektors. So vermeiden Sie doppelte Compliance-Arbeit und stellen sicher, dass beide Regelwerke vollständig abgedeckt sind.
Verwandte Inhalte
Compliance-Anforderungen klären?
Wir helfen Ihnen, NIS2 und verwandte Regelwerke in konkrete Maßnahmen umzusetzen.
Beratung anfragen