NIS2-Check / NIS2 und DORA
NIS2 und DORA: was gilt für den Finanzsektor?
Der Finanzsektor steht in Anlage 1 des BSIG, wird aber für die zentralen Themen von DORA erfasst. DORA ist die speziellere Regelung und geht insoweit vor.
Das Bank- und Finanzwesen ist in Anlage 1 Nr. 3 und 4 BSIG aufgeführt. Gleichzeitig gilt seit Januar 2025 die europäische Verordnung über die digitale operationale Resilienz im Finanzsektor, kurz DORA. Sie regelt IKT-Risikomanagement, die Behandlung und Meldung IKT-bezogener Vorfälle, Resilienztests und das Management von Drittparteienrisiken für Finanzunternehmen.
Das Grundprinzip
Wo eine sektorspezifische Regelung mindestens gleichwertige Anforderungen stellt, tritt die allgemeine NIS2-Regelung zurück. Für Finanzunternehmen im Anwendungsbereich von DORA bedeutet das: Beim IKT-Risikomanagement und bei der Meldung IKT-bezogener Vorfälle richten Sie sich nach DORA und nicht nach den entsprechenden Vorschriften des BSIG.
| Thema | DORA | NIS2 und BSIG |
|---|---|---|
| Rechtsform | EU-Verordnung, unmittelbar geltend | Richtlinie, umgesetzt im BSIG |
| Adressat | Finanzunternehmen und kritische IKT-Drittdienstleister | 18 Sektoren der Anlagen 1 und 2 |
| Aufsicht | Finanzaufsicht, in Deutschland die BaFin | BSI |
| Vorfallmeldung | nach DORA an die zuständige Finanzaufsicht | nach § 32 BSIG an das BSI |
| Detailtiefe | sehr detailliert, inklusive Resilienztests | zehn Mindestmaßnahmen als Rahmen |
Der Sektor verschwindet nicht aus dem Gesetz
Wichtig ist die Nuance: Der Finanzsektor bleibt in Anlage 1 des BSIG genannt. Die Verdrängung betrifft die Bereiche, die DORA gleichwertig regelt. Ob und in welchem Umfang einzelne öffentlich-rechtliche Anknüpfungen des BSIG daneben bestehen bleiben, ist eine Frage des Einzelfalls und wird in der Fachliteratur diskutiert. Für die Praxis heißt das: Wer unter DORA fällt, arbeitet primär mit DORA, sollte die Frage nach ergänzenden BSIG-Anknüpfungen aber rechtlich klären lassen, statt sie stillschweigend zu verneinen.
Für IKT-Dienstleister des Finanzsektors
Wer Banken oder Versicherer beliefert, bekommt Anforderungen aus zwei Richtungen: DORA verlangt vom Finanzunternehmen ein umfassendes Management der Drittparteienrisiken mit sehr konkreten Vertragsinhalten. Zusätzlich kann der Dienstleister über seinen eigenen Sektor, etwa als Managed Service Provider nach Anlage 1 Nr. 9 BSIG, selbst NIS2-betroffen sein. Beides ist getrennt zu prüfen.
Klären Sie zuerst, welche Regelung greift
Der kostenlose NIS2-Check ordnet Ihr Unternehmen im BSIG ein. Für Finanzunternehmen ist das der Ausgangspunkt der Abgrenzung, die abschließende Bewertung des Verhältnisses zu DORA gehört in die rechtliche Prüfung.
Häufige Fragen
Müssen Banken zusätzlich beim BSI registrieren?
Für die von DORA erfassten Themen gilt DORA und die Aufsicht der BaFin. Ob daneben Anknüpfungen aus dem BSIG bestehen, ist im Einzelfall rechtlich zu klären.
Gilt DORA auch für IT-Dienstleister?
DORA erfasst Finanzunternehmen und, in einem eigenen Überwachungsrahmen, kritische IKT-Drittdienstleister. Andere Dienstleister erhalten die Anforderungen über Verträge.
Kann ein Unternehmen unter beide Regelungen fallen?
Das ist möglich, etwa bei gemischten Konzernen mit einem Finanz- und einem Nichtfinanzteil. Dann ist je Einheit zu prüfen.
Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.
Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.
Betroffenheit prüfenKeine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.