Banken zwischen NIS2 und DORA: Welche Verordnung greift wann?

Was DORA regelt: und warum es NIS2 überlagert

DORA ist eine direkt geltende EU-Verordnung, im Gegensatz zur NIS2-Richtlinie, die nationale Umsetzung erfordert. DORA adressiert „digitale operative Resilienz" im Finanzsektor; Art. 1 Abs. 1 DORA nennt dafür unter anderem fünf Regelungsbereiche für Finanzunternehmen:

1. IKT-Risikomanagement, strukturierte Risikoanalyse für IKT-Systeme und -Prozesse
2. IKT-bezogene Vorfälle, Klassifizierung, Meldung, Reporting
3. Tests der digitalen Resilienz, inkl. Threat-Led Penetration Testing für große Institute
4. IKT-Drittdienstleister, Risikomanagement, Verträge, Aufsicht über kritische Drittparteien
5. Informationsaustausch, Austausch von Informationen und Erkenntnissen über Cyberbedrohungen und Schwachstellen (Kapitel VI, Art. 45 DORA)

Diese Pflichten sind detaillierter und teilweise strenger als die entsprechenden NIS2-Vorgaben. Der EU-Gesetzgeber hat in Art. 1 Abs. 2 DORA explizit klargestellt, dass DORA für den Anwendungsbereich des Finanzsektors die NIS2-Bestimmungen verdrängt, klassisches Lex-specialis-Prinzip.

Wer fällt unter DORA, wer unter NIS2?

DORA erfasst praktisch alle regulierten Finanzentitäten, Kreditinstitute, Versicherungs- und Rückversicherungsunternehmen, Zahlungsdienstleister, Wertpapierfirmen, Krypto-Dienstleister, zentrale Gegenparteien, Handelsplätze, Krypto-Asset-Dienstleister, Crowdfunding-Plattformen, Ratingagenturen und mehr. Die BaFin-DORA-Übersicht listet die genauen Kategorien.

NIS2 erfasst im Finanzbereich nur Bankwesen und Finanzmarktinfrastrukturen (Anhang I Nr. 3 und 4 NIS2). Für diese Einrichtungen ist DORA nach Art. 1 Abs. 2 DORA sektorspezifischer Rechtsakt im Sinne von Art. 4 NIS2. In Deutschland setzt § 28 Abs. 6 Nr. 1 BSIG das um: Die zentralen NIS2-Pflichten des BSIG gelten für DORA-Finanzunternehmen nicht. Versicherungen und Wertpapierfirmen waren nie NIS2-Sektoren.

Fälle, in denen NIS2 trotzdem relevant bleibt:

• Tätigkeiten neben dem Finanzbereich, der Ausschluss nach § 28 Abs. 6 Nr. 1 BSIG knüpft an das Finanzunternehmen als Ganzes an. Betreibt eine Bank selbst z.B. ein Rechenzentrum, das auch Drittnutzer hostet, gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG für sie trotzdem nicht; anders als § 28 Abs. 5 BSIG kennt Abs. 6 keine Rückausnahme für weitere Tätigkeiten. NIS2-Pflichten entstehen erst, wenn eine solche Tätigkeit in einer rechtlich eigenständigen Einheit liegt (nächster Punkt)
• Konzernstrukturen mit Nicht-Finanz-Töchtern (z.B. IT-Dienstleister), diese Töchter können unter NIS2 fallen, wenn sie einer Einrichtungsart der Anlagen 1 oder 2 BSIG zuzuordnen sind und die Größenschwellen des § 28 BSIG erreichen
• Schnittstellen zu nicht-finanziellen Lieferanten, diese Drittparteien unterliegen NIS2-Pflichten nur, wenn sie selbst nach § 28 BSIG erfasst sind

Vergleich der zentralen Pflichten

DORA regelt Tests und Drittdienstleister deutlich detaillierter als NIS2. Für DORA-Finanzunternehmen stellt sich die Frage einer zusätzlichen NIS2-Erfüllung in Deutschland weitgehend nicht, weil § 28 Abs. 6 Nr. 1 BSIG die Pflichten aus §§ 30–32, 35, 36, 38 und 39 BSIG ausschließt.

Aufsichtsstruktur in Deutschland

Die BaFin ist primäre DORA-Aufsicht für deutsche Finanzunternehmen. Auf EU-Ebene koordinieren die European Supervisory Authorities (ESAs), EBA, ESMA, EIOPA, die einheitliche Auslegung. Für systemisch wichtige Banken ergänzt die EZB die nationale Aufsicht.

Wichtig: das BSI bleibt in zwei Bereichen ergänzend zuständig:

1. Cyber-Lagebild und CSIRT-Bund, das BSI ist nationale Kontaktstelle für Cyber-Vorfälle übergreifend, auch wenn DORA primär gilt
2. Nicht-finanzspezifische Bereiche, wie oben skizziert

Finanzunternehmen melden schwerwiegende IKT-bezogene Vorfälle an die BaFin (Art. 19 Abs. 1 DORA). Die BaFin leitet die Einzelheiten zeitnah u. a. an die nach NIS2 zuständigen Behörden, zentralen Anlaufstellen bzw. CSIRTs weiter (Art. 19 Abs. 6 lit. c DORA), in Deutschland also an das BSI.

IKT-Drittdienstleister: Wo DORA besonders streng ist

DORA hat einen Bereich, der für NIS2-Pflichtige außerhalb des Finanzsektors besonders interessant ist: die Aufsicht über IKT-Drittdienstleister (Art. 28-44 DORA).

Wenn eine Bank Cloud-Dienste, SaaS-Lösungen oder andere IKT-Services nutzt, muss sie:

• den Drittdienstleister einer Risikobewertung unterziehen
• vertraglich Sicherheitsstandards, Audit-Rechte und Exit-Strategien festschreiben
• die Drittparteien laufend monitoren
• bei „kritischen IKT-Drittdienstleistern" die EU-direkte Aufsicht (ESAs) hinnehmen

Für Cloud-Anbieter und SaaS-Provider, die Finanzkunden bedienen, bedeutet DORA daher: man wird de facto in die Finanzaufsicht hineingezogen. Das ist gleichzeitig Qualitäts-Signal im Markt, Anbieter, die DORA-konform liefern können, haben Wettbewerbsvorteil bei Finanzkunden.

Praxis: Welche Konsequenzen für die Compliance-Struktur

Architektur-Optionen:

1. DORA als Master-Framework, Banken bauen DORA-Anforderungen primär auf, NIS2-Mappings als Anhang
2. Integriertes Compliance-Programm, gemeinsame Maßnahmen-Matrix und gemeinsame Dokumentation für Finanz- und Nicht-Finanz-Einheiten
3. Drittparteien-Vertragsstandard, Vertragsklauseln nach Art. 30 DORA in allen IKT-Verträgen
4. Reporting-Konsolidierung, Vorfälle einmal erfassen; Finanzunternehmen melden an die BaFin, Nicht-Finanz-Einheiten mit NIS2-Pflicht an das BSI (§ 32 BSIG)
5. Ansprechpartner festlegen, feste Kontakte für BaFin (DORA) und ggf. BSI (NIS2-pflichtige Konzerneinheiten)

FAQ

Wir sind eine kleine Sparkasse. Gilt DORA für uns?

Ja. DORA hat keine KMU-Ausnahme für regulierte Finanzunternehmen. Sparkassen und Volksbanken aller Größen sind erfasst. Es gibt Verhältnismäßigkeits-Klauseln (Art. 4 DORA), die einige Anforderungen für kleine Institute skalieren, die Grundpflichten bleiben aber bestehen.

Was ist mit Versicherungs-Vermittlern?

Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit sind grundsätzlich erfasst (Art. 2 Abs. 1 lit. o DORA). Sind sie Kleinst-, kleine oder mittlere Unternehmen, gilt DORA für sie nicht (Art. 2 Abs. 3 lit. e DORA). Das ist eine vollständige Ausnahme, keine bloße Verhältnismäßigkeitsregel.

Wir haben schon ein ISO 27001: reicht das für DORA?

Nein, aber es ist ein guter Ausgangspunkt. ISO 27001 deckt einen Teil der DORA-Risikomanagement-Anforderungen ab, aber DORA verlangt sektorspezifische Pflichten (Vorfallsmeldung, Testpflicht, Drittdienstleister-Aufsicht), die in ISO 27001 nicht enthalten sind. Eine Lücken-Analyse zwischen ISO-Annex-A und DORA-Anforderungen ist Pflicht-Schritt.

Müssen IKT-Anbieter ohne Finanzkunden trotzdem DORA-konform sein?

Nein. DORA gilt nur für Finanzunternehmen und ihre Drittdienstleister, soweit diese Finanzdienste unterstützen. Ein B2B-SaaS-Anbieter ohne Finanzkunden fällt nicht unter DORA. Unter NIS2 fällt er nur, wenn er einer erfassten Einrichtungsart angehört, etwa als Managed Service Provider oder Managed Security Service Provider (Anhang I Nr. 9 NIS2, „Verwaltung von IKT-Diensten (B2B)"), und die Größenschwellen des § 28 BSIG erreicht. Wer aber Finanzkunden gewinnen will, sollte DORA-Anforderungen vorausschauend erfüllen.

Wie überschneiden sich Meldepflichten konkret?

Bei einem Vorfall, der sowohl DORA- als auch NIS2-Relevanz hat (etwa weil das betroffene Unternehmen Mischsektor-Tätigkeit hat), sind beide Meldepfade zu bedienen. Für das Finanzunternehmen selbst gilt nur der DORA-Meldeweg an die BaFin, weil § 32 BSIG für DORA-Finanzunternehmen nicht gilt (§ 28 Abs. 6 Nr. 1 BSIG); die BaFin leitet die Meldung an die NIS2-Stellen weiter (Art. 19 Abs. 6 DORA). Eine Meldung an das BSI nach § 32 BSIG betrifft nur Konzerneinheiten, die selbst NIS2-pflichtig und keine Finanzunternehmen sind.