NIS2 vs DORA: Was Finanzunternehmen über die Unterschiede wissen müssen

NIS2 und DORA regulieren beide die Cybersicherheit in der EU. Für Finanzunternehmen gelten sie gleichzeitig. Das sorgt für Unsicherheit: Welches Regelwerk hat Vorrang? Wo überschneiden sie sich? Und was müssen Banken, Versicherungen und Finanzdienstleister tatsächlich doppelt umsetzen?

Die kurze Antwort: DORA geht als Lex Specialis vor, aber nur in IKT-spezifischen Bereichen. In allen anderen Bereichen bleibt NIS2 in Kraft. Das bedeutet nicht "entweder oder", sondern "DORA plus NIS2". Dieser Artikel erklärt die Abgrenzung.

NIS2 und DORA: Warum es zwei Regelwerke gibt

NIS2 ist eine EU-Richtlinie, die horizontal über 18 Sektoren hinweg Cybersicherheitsstandards setzt. In Deutschland wurde sie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das seit Dezember 2025 in Kraft ist. NIS2 erfasst rund 30.000 besonders wichtige und wichtige Einrichtungen, darunter auch Finanzunternehmen.

DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die seit dem 17. Januar 2025 direkt gilt. Sie braucht kein nationales Umsetzungsgesetz. DORA richtet sich ausschließlich an den Finanzsektor: Banken, Versicherungen, Wertpapierfirmen, Zahlungsinstitute, Krypto-Dienstleister und deren kritische IKT-Drittanbieter.

Der Unterschied in der Rechtsform ist praxisrelevant. Eine Richtlinie (NIS2) lässt den Mitgliedstaaten Spielraum bei der Umsetzung. Eine Verordnung (DORA) gilt einheitlich in der gesamten EU. Für Finanzunternehmen mit Niederlassungen in mehreren EU-Ländern bedeutet das: DORA ist überall gleich, NIS2 kann je nach Land variieren.

Lex Specialis: Wann DORA vorgeht und wann NIS2 greift

Art. 4 der NIS-2-Richtlinie legt fest, dass sektorspezifische EU-Rechtsakte Vorrang haben, wenn ihre Anforderungen mindestens gleichwertig sind. DORA erfüllt diese Bedingung für drei Bereiche: IKT-Risikomanagement, IKT-Vorfallmeldung und IKT-Drittanbietersteuerung. In diesen drei Bereichen verdrängt DORA die NIS2-Vorgaben für Finanzunternehmen.

Die Grenze ist klar: DORA regelt nur IKT-spezifische Risiken. Alles, was nicht "IKT" ist, fällt weiter unter NIS2. Konkret bedeutet das:

Der häufigste Fehler in der Praxis: Finanzunternehmen stufen sich als "DORA-only" ein und ignorieren die NIS2-Pflichten, die weiter gelten. Besonders die NIS2-Anforderungen zur physischen Sicherheit und zur nicht-IKT-Lieferkette werden übersehen.

"Finanzunternehmen denken oft, DORA ersetze NIS2 vollständig. Das stimmt nur für IKT-spezifische Anforderungen. Für physische Sicherheit, Geschäftsführerhaftung und nicht-IKT-Lieferketten bleibt NIS2 uneingeschränkt in Kraft. Wer das ignoriert, hat eine Compliance-Lücke."

Niklas Hanitsch, Gründer & Geschäftsführer bei SECJUR

Die wichtigsten Unterschiede im Überblick

Auffällig ist der Unterschied bei der Aufsicht: NIS2 wird vom BSI beaufsichtigt, DORA von der BaFin. Finanzunternehmen haben es mit zwei Behörden gleichzeitig zu tun. Wer die Kategorien besonders wichtige Einrichtung, wichtige Einrichtung und Betreiber kritischer Anlagen im NIS2-Kontext verstehen will, findet die Abgrenzung in unserem Artikel zum Unterschied NIS2 vs. KRITIS.

Meldepflichten: 4 Stunden vs. 24 Stunden

Die Meldefristen sind der spürbarste Unterschied im operativen Alltag. DORA verlangt bei einem schwerwiegenden IKT-Vorfall eine Erstmeldung an die BaFin innerhalb von 4 Stunden nach Feststellung. Danach folgt eine Zwischenmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.

NIS2 verlangt eine Frühwarnung an das BSI innerhalb von 24 Stunden, gefolgt von einer qualifizierten Meldung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats. Den vollständigen Ablauf der NIS2-Meldepflicht haben wir separat aufbereitet.

Für Finanzunternehmen laufen beide Meldeketten parallel. Ein IKT-Sicherheitsvorfall löst sowohl die DORA-Meldung an die BaFin als auch die NIS2-Meldung an das BSI aus. Das sind verschiedene Formulare, verschiedene Behörden, verschiedene Fristen. Wer keinen vorbereiteten Doppelmeldeprozess hat, scheitert an der 4-Stunden-Frist. In der Praxis bedeutet das: Der Incident-Response-Plan muss beide Meldewege von Anfang an enthalten, nicht als Nachgedanken.

Register of Information: DORAʼs Sonderanforderung

DORA fordert etwas, das NIS2 nicht kennt: das Register of Information. Finanzunternehmen müssen ein vollständiges Verzeichnis aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen. Dieses Register enthält granulare Details: Vertragsgegenstand, Datenstandorte, Subunternehmer-Ketten, Abhängigkeitsanalysen und Exit-Strategien.

Das Register dient der BaFin als Grundlage für die Überwachung kritischer IKT-Drittanbieter. Es ist keine einmalige Aufgabe, sondern muss kontinuierlich aktuell gehalten werden. Für Unternehmen mit Dutzenden oder Hunderten von IKT-Dienstleistern ist das ein erheblicher Dokumentationsaufwand.

NIS2 fordert zwar Lieferkettensicherheit (§30 Abs. 2 Nr. 4 BSIG), aber kein vergleichbares zentrales Register. Wer das Register of Information für DORA aufbaut, kann die Ergebnisse allerdings für die NIS2-Lieferkettendokumentation mitnutzen. ISMS-Plattformen wie das Digital Compliance Office von SECJUR ermöglichen es, Lieferantenrisiken zentral zu erfassen und sowohl DORA- als auch NIS2-Anforderungen in einem System abzubilden.

Was Finanzunternehmen jetzt tun sollten

Beide Regelwerke sind in Kraft. Finanzunternehmen, die bisher nur DORA umgesetzt haben, sollten prüfen, wo NIS2 ergänzend greift. Vier Schritte helfen bei der Strukturierung:

Fazit: DORA plus NIS2, nicht DORA statt NIS2

Für Finanzunternehmen gibt es kein "entweder oder". DORA regelt die IKT-spezifischen Anforderungen strenger und detaillierter als NIS2. Aber NIS2 bleibt für alle nicht-IKT-Bereiche in Kraft: physische Sicherheit, OT, nicht-IKT-Lieferketten, Geschäftsführerpflichten. Wer nur DORA umsetzt, hat eine Compliance-Lücke. Wer beide Regelwerke auf einem gemeinsamen ISMS aufbaut, spart Aufwand und schließt die Lücken systematisch.