DORA und NIS2 verfolgen verwandte Sicherheitsziele, gelten aber nicht einfach nebeneinander mit doppelten Pflichten. Für erfasste Finanzunternehmen wirkt DORA als sektorspezifisches Regelwerk. In Deutschland ist zusätzlich zu prüfen, welche Vorschriften des aktuellen BSI-Gesetzes ausdrücklich ausgenommen sind und welche Aufgaben, insbesondere zur Registrierung, verbleiben können.
Eine belastbare Abgrenzung beginnt beim Rechtsträger und seiner Tätigkeit. Die Bank, ihr rechtlich eigenständiger IT-Dienstleister und ein externer Cloudanbieter sind nicht automatisch gleich einzuordnen. Dieser Leitfaden vergleicht Anwendungsbereich, Risikomanagement, Vorfallmeldungen, Prüfungen und Lieferantensteuerung. Eine ausgefüllte Matrix zeigt, wie sich daraus ein gemeinsamer Arbeitsplan mit getrennten rechtlichen Entscheidungen erstellen lässt.
1. DORA und NIS2 haben unterschiedliche Rechtsformen
DORA ist die Verordnung (EU) 2022/2554 und gilt seit dem 17. Januar 2025 unmittelbar. Artikel 2 bestimmt die erfassten Einrichtungen und Ausnahmen. Die NIS2-Richtlinie musste dagegen national umgesetzt werden; für die deutsche Unternehmensprüfung sind die geltenden Vorschriften des BSIG maßgeblich. Ein unionsweiter Umsetzungstermin ist deshalb nicht mit dem tatsächlichen Beginn jeder deutschen Einzelpflicht gleichzusetzen.
DORA erfasst verschiedene Kategorien von Finanzunternehmen, etwa Kreditinstitute, Zahlungsinstitute und Versicherungsunternehmen. Die Liste allein genügt nicht: Artikel 2 Absatz 3 enthält Ausnahmen. Dazu gehören unter den dort genannten Voraussetzungen bestimmte kleinere Einrichtungen sowie Versicherungs-, Rückversicherungs- und Versicherungsnebenvermittler, die Kleinstunternehmen oder kleine beziehungsweise mittlere Unternehmen sind. „Alle Vermittler unter 50 Beschäftigten erhalten nur einen vereinfachten Rahmen“ wäre daher keine richtige allgemeine Regel.
Außerdem unterscheidet DORA zwischen Finanzunternehmen und IKT-Drittdienstleistern. Ein Dienstleister wird nicht allein dadurch zum Finanzunternehmen, dass eine Bank ihn beauftragt. Die direkte europäische Überwachung als kritischer IKT-Drittdienstleister setzt die entsprechende Einstufung voraus. Grundlage ist der aktuelle amtliche DORA-Text.
2. Was der Vorrang von DORA tatsächlich bedeutet
Die entscheidende Verweisung steht in Artikel 1 Absatz 2 DORA, zusammen mit Artikel 4 NIS2. Artikel 4 DORA regelt dagegen die Verhältnismäßigkeit. Für die bezeichneten Finanzunternehmen gilt DORA als sektorspezifischer Unionsrechtsakt. Die einschlägigen NIS2-Regelungen zu Risikomanagement und Meldungen einschließlich zugehöriger Aufsicht und Durchsetzung werden entsprechend verdrängt. Siehe Artikel 4 und Erwägungsgrund 28 NIS2.
Daraus folgt nicht die Methode, jede vermeintliche Lücke in DORA mit einer zusätzlichen NIS2-Pflicht zu füllen. Insbesondere ist Lieferkettensicherheit nicht schon deshalb parallel nach NIS2 vorgeschrieben, weil eine einzelne Formulierung dort anders lautet. Zuerst muss die rechtliche Verdrängung geprüft werden. Fachlich sinnvolle zusätzliche Kontrollen können anschließend als eigene Risikomaßnahmen begründet werden.
Für Deutschland nennt § 28 Absatz 6 Nummer 1 BSIG die Finanzunternehmen nach Artikel 2 Absatz 2 DORA und bestimmte weitere Unternehmen, für die DORA-Anforderungen über die genannten Vorschriften des KWG oder VAG gelten. Für sie gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht. Diese konkrete Liste gehört in den Abgrenzungsvermerk; eine pauschale Aussage „vom ganzen BSIG befreit“ geht darüber hinaus.
3. Registrierung getrennt von Sicherheits- und Meldepflichten prüfen
§ 33 BSIG gehört nicht zu dieser Ausnahmeliste. Ob die Einrichtung nach dieser Norm registrierungspflichtig ist, hängt von ihrer konkreten Einordnung ab. Prüfen Sie daher zunächst, ob sie besonders wichtige oder wichtige Einrichtung ist; die bloße Zugehörigkeit zum Finanzsektor beantwortet das nicht für jede Gesellschaft.
Nach § 33 Absatz 1 BSIG erfolgt die Registrierung spätestens drei Monate, nachdem die betreffende Eigenschaft erstmals oder erneut vorliegt. Veränderungen der übermittelten Angaben sind nach Absatz 5 unverzüglich und spätestens innerhalb von zwei Wochen ab Kenntnis mitzuteilen. Die Registrierung kritischer Anlagen verweist der aktuelle Absatz 2 gesondert auf § 8 KRITIS-Dachgesetz. Vermischen Sie diese Anlagenregistrierung nicht mit der Einrichtungsregistrierung.
Ein DORA-Vorfallmeldeprozess ersetzt somit nicht automatisch jeden anderen administrativen Vorgang. Der Vermerk sollte benennen, welche Registrierung erforderlich ist, wer sie erledigt hat und welche Änderungen eine Aktualisierung auslösen. Bereits abgelaufene individuelle Fristen werden durch eine neue interne Prüfung nicht zurückgesetzt.
4. Ausgefüllte Abgrenzungsmatrix für eine Finanzgruppe
Die folgende Gruppe ist fiktiv. Die Einstufungen beruhen auf ausdrücklich angenommenen Tatsachen und ersetzen keine Prüfung einer realen Gesellschaft. Nordbank ist ein von DORA erfasstes Kreditinstitut und zugleich eine besonders wichtige Einrichtung nach dem BSIG. NordIT ist eine eigenständige Gesellschaft, die als erfasster Managed-Service-Anbieter eingestuft wurde; sie fällt im Beispiel nicht unter die besondere Finanzunternehmensausnahme.
| Rechtsträger und Aufgabe | Feststellung | Arbeitsauftrag |
|---|---|---|
| Nordbank: Bankgeschäft | DORA gilt; § 28 Absatz 6 Nummer 1 BSIG erfasst die Gesellschaft | DORA-Risikomanagement und DORA-Meldeprozess führen; ausgeschlossene BSIG-Pflichten nicht doppeln |
| Nordbank: Einrichtungsregistrierung | § 33 ist nicht ausgenommen; besonders wichtige Einrichtung angenommen | Registrierung und aktuelle Angaben gesondert nachweisen |
| NordIT: eigenständige verwaltete IT-Dienste | Eigene BSIG-Betroffenheit angenommen; keine automatische Übernahme der Bankausnahme | Eigene Risikomanagement- und Meldepflichten bestimmen |
| Externer Cloudanbieter | Vertragliche IKT-Leistung für die Bank | DORA-Lieferantenprüfung durch die Bank; eigene regulatorische Stellung des Anbieters separat prüfen |
| Bank und NordIT: personenbezogene Daten | Datenschutzrechtliche Rollen je Vorgang offen | DSGVO-Rollen, Verträge und gegebenenfalls Datenschutzmeldungen zusätzlich festlegen |
Das Ergebnis lautet: „Die Gruppe führt ein gemeinsames technisches Vorfallregister. Für Nordbank und NordIT bestehen getrennte rechtliche Einstufungen und Meldeentscheidungen. Die Bank dokumentiert die Ausnahme nach § 28 Absatz 6 Nummer 1 und die gesonderte Registrierung. NordIT beruft sich nicht allein auf die DORA-Pflicht ihres Kunden.“
Für Betreiber kritischer Anlagen enthält § 28 Absatz 7 zusätzlich eine auf § 32 beschränkte Ausnahme, soweit sie eine Anlage für die in Absatz 6 Nummer 1 genannten Unternehmen betreiben. Das ist eine eigenständige Prüfung mit begrenzter Wirkung, keine allgemeine Befreiung aller IT-Tochtergesellschaften.
5. Risikomanagement gemeinsam organisieren, Pflichten genau zuordnen
DORA beschreibt einen Rahmen für Identifikation, Schutz, Erkennung, Reaktion, Wiederherstellung und Verbesserung. Ob der allgemeine oder der vereinfachte Rahmen nach Artikel 16 einschlägig ist, muss anhand der dort genannten Voraussetzungen entschieden werden. Eine geringe Beschäftigtenzahl allein beantwortet diese Frage nicht für sämtliche Finanzunternehmen.
Die Ausarbeitung des DORA-IKT-Risikomanagementrahmens beginnt mit den tatsächlich unterstützten Geschäftsprozessen und Abhängigkeiten. Dieselbe technische Bestandsaufnahme kann NordIT für seine eigene Risikobewertung nutzen. Die rechtlichen Ergebnisse sollten dennoch getrennt bleiben: Die gemeinsame Firewall ist ein technischer Befund; die Pflicht der jeweiligen Gesellschaft ist eine zusätzliche Zuordnung.
Eine brauchbare Kontrollmatrix enthält daher Maßnahme, betroffenen Prozess, Rechtsträger, anwendbare Vorschrift und Wirksamkeitsnachweis. Die Informationssicherheitsrichtlinie kann Zuständigkeiten vereinheitlichen. Sie sollte aber nicht behaupten, ein einziges Zertifikat erfülle automatisch jede DORA-, BSIG- und DSGVO-Anforderung.
6. Vorfallfristen nicht ohne ihre Auslöser vergleichen
Für DORA legt Artikel 5 der Delegierten Verordnung (EU) 2025/301 die Fristen fest. Die Erstmeldung erfolgt möglichst früh, spätestens innerhalb von vier Stunden nach Einstufung als schwerwiegender IKT-Vorfall und grundsätzlich spätestens 24 Stunden nach Kenntnis des IKT-Vorfalls. Erfolgt die Einstufung erst später als 24 Stunden nach Kenntnis, greift die besondere Vierstundenregel des Absatzes 2.
Die Zwischenmeldung erfolgt spätestens 72 Stunden nach der Erstmeldung; weitere Aktualisierungen und die Wiederaufnahme des Regelbetriebs sind zu berücksichtigen. Die Abschlussmeldung folgt spätestens einen Monat nach der Zwischenmeldung beziehungsweise ihrer letzten Aktualisierung. Die Wochenendregel gilt nicht uneingeschränkt: insbesondere für Kreditinstitute, zentrale Gegenparteien, Handelsplatzbetreiber und weitere nach NIS2 als wesentlich oder wichtig eingestufte Finanzunternehmen nicht bei Erst- und Zwischenmeldungen. Maßgeblich ist der vollständige Artikel 5 der Delegierten Verordnung.
Soweit § 32 BSIG anwendbar ist, laufen dessen 24- und 72-Stunden-Fristen jeweils ab Kenntnis eines erheblichen Sicherheitsvorfalls. Die 72 Stunden beginnen nicht erst mit der frühen Erstmeldung. Die Abschlussmeldung folgt grundsätzlich spätestens einen Monat nach der Meldung nach Absatz 1 Nummer 2. Diese Bezugspunkte stehen in § 32 BSIG.
Eine schnell versandte DORA-Meldung erfüllt daher nicht schon aufgrund ihrer Geschwindigkeit jede andersartige Meldepflicht. Prüfen Sie zuerst, ob überhaupt eine zweite Pflicht besteht, und anschließend Adressat, Inhalt und Frist. Der Vergleich der Vorfallmeldungen nach DORA, NIS2 und DSGVO vertieft diesen Ablauf.
7. Meldewege und Datenschutz zusätzlich verbinden
Die Bundesbank beschreibt für das deutsche DORA-Vorfallmeldewesen die Meldung an BaFin und die anschließende Weiterleitung an weitere relevante Behörden. Diese behördliche Weitergabe sollte nicht mit einer zusätzlichen, vom Unternehmen frei angenommenen Parallelmeldung verwechselt werden. Siehe die amtlichen Hinweise der Bundesbank.
Die DSGVO bleibt daneben eigenständig relevant. Ein IKT-Ausfall kann personenbezogene Daten betreffen, muss aber nicht automatisch eine meldepflichtige Datenschutzverletzung sein. Umgekehrt kann eine fehladressierte Datei eine Datenschutzverletzung darstellen, ohne als schwerwiegender DORA-Vorfall einzustufen zu sein. Die Abstimmung von DORA und DSGVO verbindet die unterschiedlichen Schwellen und Verantwortlichkeiten.
Im Beispiel werden deshalb dieselben gesicherten Tatsachen verwendet, aber getrennte Entscheidungen dokumentiert. Eine gemeinsame Chronologie verhindert widersprüchliche Zeitangaben. Sie ersetzt nicht die Begründung, warum eine bestimmte Gesellschaft an eine bestimmte Stelle meldet oder eine Meldung nach Prüfung unterbleibt.
8. Resilienzprüfungen und Lieferantensteuerung unterscheiden
DORA enthält ein risikobezogenes Prüfprogramm. Die fortgeschrittenen bedrohungsorientierten Penetrationstests nach Artikel 26 betreffen die dafür identifizierten Finanzunternehmen unter den dort genannten Voraussetzungen. Sie sind nicht automatisch für jedes kleine Finanzunternehmen vorgeschrieben. Auch die Möglichkeit einer behördlich angepassten Frequenz muss berücksichtigt werden, wenn ein konkreter Prüfplan erstellt wird.
Bei IKT-Drittdienstleistern kommen Vertragsanforderungen, Informationsregister, laufende Überwachung und gegebenenfalls Ausstiegsplanung zusammen. Ein gewöhnlicher Datenschutz-AVV deckt diese Fragen nicht vollständig ab. Die DORA-Prüfung von IKT-Drittparteirisiken und Exit-Plänen zeigt, wie ein kritischer Geschäftsprozess auch bei einem Anbieterwechsel fortgeführt werden kann.
Für Nordbank ist beispielsweise entscheidend, ob sie Projekt- oder Zahlungsdaten in einem brauchbaren Format zurückerhält, ob eine Ersatzleistung rechtzeitig verfügbar wäre und wer den Übergang steuert. NordIT muss gleichzeitig seine eigenen Verträge und Pflichten erfüllen. Die gemeinsame technische Lösung ist nützlich, solange die Verantwortlichkeit nicht zwischen den Gesellschaften verloren geht.
9. Sanktionen und Entscheidungen konkret dokumentieren
Eine pauschale DORA-Bußgeldtabelle mit einem einzigen unionsweiten Umsatzhöchstsatz für alle Finanzunternehmen ist kein geeigneter Vergleich. DORA enthält einen Aufsichts- und Sanktionsrahmen; die konkret einschlägigen nationalen Vorschriften und die Art des beaufsichtigten Unternehmens müssen einbezogen werden. Auch Zwangsgelder gegenüber kritischen IKT-Drittdienstleistern sind nicht mit Bußgeldern gegen Finanzunternehmen gleichzusetzen.
Für den Arbeitsplan ist deshalb zunächst wichtiger, die konkrete verletzbare Pflicht und den zuständigen Entscheidungsträger zu bestimmen. Speichern Sie den Abgrenzungsvermerk, die geprüften Registerangaben, die Meldeentscheidung und den Nachweis der umgesetzten Kontrollen zusammen. Die Rechenschaftspflicht im Datenschutz behandelt die entsprechende Nachweislogik für den parallel geltenden Datenschutzbereich.
Häufige Fragen
Muss eine Bank DORA und NIS2 vollständig doppelt umsetzen?
Nein. Die sektorspezifische Wirkung und die ausdrücklichen deutschen Ausnahmen sind zuerst zu prüfen. Verbleibende Aufgaben wie eine einschlägige Registrierung werden separat festgestellt. Ein eigenständiger IT-Dienstleister kann anders einzuordnen sein.
Ist ein Finanzkonzern insgesamt von BSIG-Pflichten befreit?
Nein. Die Prüfung erfolgt anhand der jeweiligen Einrichtung und der gesetzlichen Ausnahmen. Kundenbeziehung, Konzernzugehörigkeit oder dieselbe IT-Plattform reichen nicht für eine pauschale Übertragung der Rechtsstellung.
Welches Dokument sollte die Prüfung abschließen?
Eine datierte Matrix je Rechtsträger mit Tätigkeit, Anwendungsbereich, Ausnahme, verbleibender Pflicht und zuständigem Eigentümer. Änderungen an Erlaubnis, Geschäftstätigkeit, Größenmerkmalen oder Dienstleistungsstruktur lösen eine erneute Bewertung aus.