NIS2 Checkliste für die Finanzbranche: der praktische Fahrplan

Bei Fintechs und Finanz-Software-Anbietern ist die erste Frage bei NIS2 nicht, was zu tun ist, sondern welches Gesetz überhaupt gilt. Die Antwort hängt an der Erlaubnis und nicht am Selbstbild, und sie entscheidet darüber, ob ein NIS2-Projekt notwendig ist oder am eigentlichen Regelwerk vorbeiläuft.

Wen erfasst die NIS2 Checkliste für die Finanzbranche, und wen erfasst DORA?

Ein Blick in die Anlagen des BSIG klärt mehr als jede Faustregel. Im Finanzwesen nennt die Anlage 1 nur Kreditinstitute sowie Handelsplätze und zentrale Gegenparteien. Zahlungsinstitute, E-Geld-Institute und Anbieter von Krypto-Dienstleistungen stehen dort nicht.

Sie stehen in DORA. Artikel 2 der Verordnung (EU) 2022/2554 zählt unter anderem auf: Zahlungsinstitute, einschließlich gemäß der Richtlinie (EU) 2015/2366 ausgenommener Zahlungsinstitute, Kontoinformationsdienstleister, E-Geld-Institute, einschließlich gemäß der Richtlinie 2009/110/EG ausgenommener Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen und Schwarmfinanzierungsdienstleister. Der Nebensatz ist der wichtige: Auch die nach den Zahlungsdienste- und E-Geld-Richtlinien ausgenommenen Institute sind Finanzunternehmen im Sinne von DORA. Wer sich wegen einer Bereichsausnahme außerhalb der Regulierung verortet, liegt falsch. Für Versicherer gilt das Gegenstück: Sie kommen in den Anlagen des BSIG nicht vor, für sie ist DORA das ganze Bild.

Was schaltet die NIS2 Checkliste für die Finanzbranche für Finanzunternehmen ab?

Mehr als die Richtlinie verlangt. Artikel 4 der NIS2-Richtlinie gibt sektorspezifischen Rechtsakten den Vorrang, soweit sie gleichwertige Anforderungen enthalten. Der deutsche Gesetzgeber hat daraus keine Abgrenzung nach Themen gemacht, sondern eine nach Vorschriften: § 28 Absatz 6 Nummer 1 BSIG bestimmt, dass die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG für Finanzunternehmen nach Artikel 2 Absatz 2 DORA nicht gelten. Damit entfallen Risikomanagement, besondere Pflichten, Meldung, Unterrichtung der Kunden, Nachweise und die Leitungspflichten des BSIG in einem Zug.

Nicht in dieser Aufzählung steht § 33 BSIG. Die Registrierung beim BSI bleibt deshalb bestehen, allerdings nur für Unternehmen, die überhaupt eine Einrichtungsart der Anlagen erfüllen, praktisch also für Kreditinstitute, Handelsplätze und zentrale Gegenparteien. Ein Zahlungsinstitut scheitert schon an der Einrichtungsart und hat auch diese Pflicht nicht. Ergänzend nimmt § 28 Absatz 7 BSIG den § 32 für Betreiber kritischer Anlagen aus, soweit sie eine Anlage für ein Finanzunternehmen betreiben. Praktische Folge: Eine NIS2-Lückenanalyse für ein lizenziertes Fintech kostet Zeit ohne Ertrag. Das Projekt heißt DORA.

Welchen Rahmen erlaubt die NIS2 Checkliste für die Finanzbranche kleinen Anbietern?

Einen kleineren, und er steht ausdrücklich im Gesetz. Artikel 16 DORA sieht einen vereinfachten IKT-Risikomanagementrahmen vor, der an die Stelle der Artikel 5 bis 15 tritt. Er gilt unter anderem für kleine und nicht verflochtene Wertpapierfirmen, für nach der Zahlungsdiensterichtlinie ausgenommene Zahlungsinstitute, für nach der E-Geld-Richtlinie ausgenommene Institute und für kleine Einrichtungen der betrieblichen Altersversorgung.

Vereinfacht heißt dabei nicht freigestellt. Verlangt sind ein solider und dokumentierter Rahmen, die fortlaufende Überwachung der Systeme, die rasche Erkennung und Handhabung von Vorfällen, die Identifikation wesentlicher Abhängigkeiten von IKT-Drittdienstleistern, Geschäftsfortführungs- und Wiederherstellungsplanung mit regelmäßigen Tests und die Rückführung der Erkenntnisse in Risikobewertung und Schulung. Der Umfang sinkt also, die Themen bleiben dieselben. Und die Einstufung gehört begründet, weil sie den Aufwand halbiert oder verdoppelt.

Was verlangt die NIS2 Checkliste für die Finanzbranche vom Software-Anbieter?

Dass er die Regulierung seiner Kunden mitbedient. Ohne eigene Erlaubnis ist ein Finanz-Software-Anbieter kein Finanzunternehmen, aber IKT-Drittdienstleister, und damit greift der Vertrag. Artikel 30 Absatz 2 DORA macht Inhalte zwingend: eine vollständige Beschreibung der Funktionen samt Regelungen zur Unterauftragsvergabe, die Angabe der Regionen und Länder der Leistungserbringung und Datenverarbeitung mit Benachrichtigung bei Änderungen, Datenzugang bei Insolvenz und Vertragsende, Unterstützung bei Vorfällen, Zusammenarbeit mit den Behörden, Kündigungsfristen und die Teilnahme an Schulungen.

Betrifft die Leistung eine kritische oder wichtige Funktion, kommt Absatz 3 hinzu: präzise quantitative und qualitative Leistungsziele, Notfallpläne, die Mitwirkung an bedrohungsgeleiteten Penetrationstests, uneingeschränkte Zugangs-, Inspektions- und Auditrechte für das Institut und die Aufsicht sowie ein verbindlicher Übergangszeitraum als Ausstiegsszenario. Wer zusätzlich eine Einrichtungsart der Anlage 1 des BSIG erfüllt, etwa als Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten oder Managed Services, hat obendrein eigene Pflichten aus dem BSIG. Die Ausnahme des § 28 Absatz 6 hilft hier gerade nicht, denn sie gilt nur für Finanzunternehmen.

Welche Punkte werden bei der NIS2 Checkliste für die Finanzbranche am häufigsten übersprungen?

Drei. Erstens die schriftliche Einordnung. Sie hängt an der Erlaubnis und an der Einrichtungsart, nicht am Geschäftsmodell in der Selbstbeschreibung, und sie ist das einzige Dokument, das die Frage später beantwortet.

Zweitens die Vertragsseite als Produktthema. Auditrechte, Standortangaben und Unterauftragnehmerketten bis zur letzten Ebene lassen sich vorbereiten oder unter Zeitdruck nachverhandeln. Drittens die Kundenfragebögen. Sie kommen unabhängig von der eigenen Einstufung, weil das Institut seine Anbieter steuern muss, und sie fragen genau die Punkte ab, die in beiden Regelwerken stehen.

Was steht in der Checkliste?

• Vier Situationen, in denen NIS2 für Fintechs und Finanz-Software-Anbieter konkret wird, von der Abgrenzung zu DORA bis zur Haftung der Leitungsebene
• Eine Readiness in sechs Schritten, von der Betroffenheitsprüfung über Registrierung, Risiken und Maßnahmen bis zu Meldung, Leitung und Schulung
• Drei typische Stolperfallen, vom verwechselten Regime über die ignorierte Lieferkette bis zum fehlenden Meldeprozess
• Drei Quick Wins, unter anderem zentrale Dokumentation, Synergien mit ISO 27001 und nachweisbare Sicherheit als Vertriebsargument

Die Checkliste richtet sich an Geschäftsführungen, CTOs sowie Compliance- und Sicherheitsverantwortliche in Fintechs, bei Zahlungsdienstleistern und bei Anbietern von Finanzsoftware. Laden Sie sie kostenfrei herunter.