Informationssicherheits- und Datenschutzexpertin
December 19, 2025
5 Minuten
.svg)
DORA hat für Finanzdienstleister Vorrang vor NIS2, schließt deren Anforderungen jedoch nicht vollständig aus.
Ein integriertes Lieferkettenmanagement verhindert doppelte Audits und reduziert Compliance-Aufwand erheblich.
Einheitliche Lieferantenklassifizierung ist der Schlüssel für wirksames Third-Party-Risk-Management.
Automatisierte Plattformen machen regulatorische Resilienz skalierbar und prüfungssicher.
Stellen Sie sich vor, es ist Montagmorgen. Auf Ihrem Schreibtisch landen zwei dicke Audit-Berichte. Der eine fordert detaillierte Nachweise zur IKT-Sicherheit Ihrer Cloud-Dienstleister gemäß DORA. Der andere fragt fast identische Sicherheitsstandards für Ihre kritische Infrastruktur gemäß NIS2 ab. Ihr Compliance-Team stöhnt auf: „Müssen wir das wirklich zweimal machen?“
Hand aufs Herz: In vielen Finanzunternehmen herrscht derzeit genau dieses Gefühl vor. Mit dem Inkrafttreten des Digital Operational Resilience Act (DORA) und der NIS2-Richtlinie rollt eine regulatorische Welle auf die Branche zu, die auf den ersten Blick wie ein bürokratischer Tsunami wirkt.
Doch hier ist der „Aha-Moment“, den wir oft übersehen: DORA und NIS2 sind keine Gegner, die um Ihre Ressourcen kämpfen. Sie sind Puzzleteile, die – richtig zusammengesetzt – nicht nur Ihre Compliance sichern, sondern Ihr Unternehmen widerstandsfähiger und effizienter machen.
In diesem Artikel tauchen wir tief in die Welt des Lieferkettenrisikomanagements ein. Wir zeigen Ihnen, wie Sie die Synergien zwischen beiden Regulierungen nutzen, doppelte Arbeit vermeiden und Ihre Drittparteien-Risiken (Third-Party Risk Management) intelligent steuern.
Bevor wir die Puzzleteile zusammensetzen, müssen wir verstehen, wofür sie stehen. Viele Führungskräfte werfen beide Begriffe in einen Topf, doch die Nuancen sind entscheidend.
DORA ist der Spezialist. Diese EU-Verordnung zielt messerscharf auf den Finanzsektor ab. Ihr Ziel ist die digitale operationale Resilienz. Es geht nicht nur darum, Angriffe abzuwehren, sondern den Geschäftsbetrieb auch während schwerer IKT-Störungen aufrechtzuerhalten. Ein Kernaspekt ist hierbei das Management von IKT-Drittdienstleistern (z.B. Cloud-Anbieter, Software-Vendoren).
NIS2 ist der Generalist. Sie ist die Weiterentwicklung der Richtlinie für Netz- und Informationssicherheit und deckt eine breite Palette kritischer Sektoren ab – von Energie über Gesundheit bis hin zum Bankwesen. Ihr Fokus liegt auf der Cybersicherheit der gesamten Lieferkette.
Hier entsteht oft die Verwirrung: Finanzunternehmen fallen oft unter beide Definitionen. Müssen Sie also beiden Herren dienen?
Diese Visualisierung erklärt die grundlegenden Unterschiede und Überschneidungen von DORA und NIS2 – besonders im Kontext des Lieferkettenrisikomanagements für Finanzdienstleister. Sie schafft Klarheit über die regulatorischen Zuständigkeiten.
Für Finanzdienstleister gibt es eine goldene Regel, die Sie nachts ruhig schlafen lässt: Lex specialis derogat legi generali. Das bedeutet vereinfacht: Das speziellere Gesetz verdrängt das allgemeine.
Da DORA spezifisch für den Finanzsektor geschrieben wurde, hat sie in den Bereichen, die sie regelt (wie IKT-Risikomanagement und Vorfallmeldung), Vorrang vor NIS2. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt, dass DORA als lex specialis gilt.
Aber Achtung: Das bedeutet nicht, dass Sie NIS2 ignorieren können. Wenn Aspekte Ihrer Sicherheit nicht durch DORA abgedeckt sind (z.B. physische Sicherheit von Rechenzentren, die nicht direkt IKT-bezogen sind, oder allgemeine Corporate Governance Themen), greift NIS2. Die Kunst liegt darin, ein NIS2 Risikomanagement aufzubauen, das nahtlos in Ihre DORA-Prozesse integriert ist.
Das größte Einsparpotenzial liegt im Umgang mit Ihren Lieferanten. Sowohl DORA als auch NIS2 fordern eine strenge Überwachung der Sicherheit in der Lieferkette. Wenn Sie hier für jede Regulierung separate Prozesse aufsetzen, produzieren Sie unnötigen Overhead („Audit-Chaos“).
Viele Unternehmen neigen dazu, Compliance-Themen abteilungsspezifisch zu lösen. Die Rechtsabteilung kümmert sich um NIS2, die IT-Sicherheit um DORA. Das Ergebnis?
Ein modernes Compliance-Management betrachtet die Lieferkette ganzheitlich. Anstatt zu fragen: „Ist dieser Lieferant DORA-konform?“, fragen wir: „Wie resilient ist dieser kritische Partner für unseren Geschäftsbetrieb?“
Ein integrierter Prozess sieht so aus:
Dieses Flussdiagramm visualisiert die sechs wesentlichen Schritte eines integrierten Lieferkettenrisikomanagements, das die Anforderungen von DORA und NIS2 gemeinsam erfüllt. Es zeigt den klaren, praktischen Prozessablauf für Finanzdienstleister.
Theorie ist gut, aber in der Praxis scheitert Compliance oft an den Details – genauer gesagt: an den Verträgen.
Unter DORA (Artikel 30) müssen Finanzunternehmen sicherstellen, dass ihre Verträge mit IKT-Drittdienstleistern bestimmte Mindestinhalte haben. Dazu gehören Zugangs-, Prüfungs- und Auditrechte. Auch NIS2 fordert Sicherheitsmaßnahmen in der Lieferkette, ist aber bei den Vertragsdetails oft weniger präskriptiv.
Hier liegt Ihre Chance zur Effizienzsteigerung: Überarbeiten Sie Ihre Lieferantenverträge so, dass sie den „Goldstandard“ (DORA) erfüllen. Damit decken Sie automatisch die Anforderungen der NIS2 an die Sicherheit der Lieferkette mit ab.
Achten Sie besonders auf:
Für den internationalen Datentransfer sollten Sie zudem prüfen, ob Standardvertragsklauseln (SCCs) notwendig sind, um auch datenschutzrechtlich (DSGVO) auf der sicheren Seite zu sein.
Ein häufiges Problem ist, dass Lieferanten von Anfragen überflutet werden. Wenn Sie als Finanzdienstleister Ihre Macht nutzen, um DORA-Standards durchzusetzen, helfen Sie indirekt auch Ihrem Lieferanten, sein eigenes Reifegradniveau zu heben. Kommunizieren Sie dies partnerschaftlich: „Wir auditieren euch nach DORA-Standards, damit seid ihr auch für andere NIS2-Kunden bestens aufgestellt.“
Diese Grafik veranschaulicht die fünf zentralen Elemente einer exzellenten Vertrags- und Auditstrategie zur Erfüllung von DORA- und NIS2-Anforderungen. Einprägsam, um wichtige Compliance-Schritte zu behalten.
Wie setzen Sie das nun konkret um? Hier ist ein pragmatischer Ansatz, der sich an einem typischen DORA Umsetzungsleitfaden orientiert, aber die NIS2-Perspektive integriert:
Die Integration von DORA und NIS2 im Lieferkettenmanagement klingt zunächst nach einer Herkulesaufgabe. Doch wer die Gemeinsamkeiten erkennt und Prozesse automatisiert, gewinnt mehr als nur ein Zertifikat an der Wand. Sie gewinnen Transparenz über Ihre Abhängigkeiten und schützen Ihr Unternehmen vor den Dominoeffekten globaler Cyber-Vorfälle.
Betrachten Sie diese Regulierungen nicht als Checkliste, sondern als Anleitung für exzellente Unternehmensführung. Eine sichere Lieferkette ist im digitalen Zeitalter kein Kostenfaktor, sondern Ihre Lebensversicherung.
Möchten Sie tiefer einsteigen? Wenn Sie gerade dabei sind, Ihre Compliance-Prozesse neu aufzustellen, lohnt sich ein Blick auf moderne Tools, die Ihnen die manuelle Arbeit abnehmen. Starten Sie Ihre Reise zu einer automatisierten Compliance und machen Sie Sicherheit zu Ihrem Standard.
In Bezug auf IKT-Sicherheit und IKT-Risikomanagement gilt vorrangig DORA (lex specialis). Für Themen, die DORA nicht abdeckt (z.B. physische Sicherheit von Gebäuden, die nichts mit IKT zu tun haben), kann NIS2 relevant bleiben.
Nein. DORA harmonisiert die Meldeprozesse für den Finanzsektor. IKT-bezogene Vorfälle melden Sie gemäß den DORA-Vorgaben an die zuständigen nationalen Behörden (in Deutschland oft BaFin/BSI). Ein doppelter Meldeweg für denselben Vorfall ist vom Gesetzgeber nicht gewollt.
DORA verpflichtet Finanzunternehmen, nur Verträge mit Dienstleistern zu schließen, die die Sicherheitsanforderungen erfüllen. Kooperiert ein Anbieter dauerhaft nicht bei Audits oder Sicherheitsgarantien, müssen Sie eine Exit-Strategie haben und den Anbieter wechseln.
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Viele Unternehmen kennen die ISO 9001, doch bei der Umsetzung risikobasierten Denkens hapert es oft. Erfahren Sie, wie Sie Risiken gezielt steuern, Chancen strategisch nutzen und Ihr QMS zu einem echten Wettbewerbsvorteil machen. Dieser Leitfaden zeigt praxisnah, wie Sie aus reaktiver Qualitätssicherung ein vorausschauendes, resilientes System formen, das Ihr Unternehmen nachhaltig stärkt.
Grenzüberschreitende Cyberangriffe stellen Unternehmen vor eine neue Herausforderung: die NIS2-Meldepflicht über mehrere EU-Länder hinweg. Erfahren Sie, wie Sie im Ernstfall richtig reagieren, Zuständigkeiten eindeutig klären und die 24- und 72-Stunden-Fristen sicher einhalten. Dieser Leitfaden zeigt praxisnah, wie Sie nationale und europäische Meldeprozesse effizient koordinieren und Chaos in der Krisenkommunikation vermeiden.
Viele Unternehmen unterschätzen, wie stark NIS2 ihre Lieferkette in die Pflicht nimmt. Dieser Leitfaden zeigt, wie Sie Cybersicherheitsrisiken Ihrer Dienstleister endlich strukturiert und skalierbar bewerten, nicht mehr mit Excel, sondern durch intelligente Automatisierung. Erfahren Sie, wie moderne Plattformen Risiken transparent machen, kontinuierlich überwachen und Ihre Compliance nachweisbar stärken. So verwandeln Sie NIS2 von einem bürokratischen Risiko zu einem zentralen Wettbewerbsvorteil.
.svg)
.svg)
.svg){kind=small}