NIS2 und DORA für die Finanzbranche: zwei Gesetze, ein Fundament

In der Finanzbranche gilt der Satz, dass DORA die NIS2-Pflichten verdrängt. Er stimmt, und das deutsche Recht geht sogar weiter als die Richtlinie: Es nimmt Finanzunternehmen von den materiellen BSIG-Vorschriften paragraphenweise aus. Interessant wird es dort, wo diese Ausnahme endet, nämlich bei der einen verbliebenen Pflicht und bei den IT-Anbietern der Branche, die selbst keine Finanzunternehmen sind.

Wer fällt unter NIS2 und DORA für die Finanzbranche, und wer unter welches Gesetz?

Die Trennlinie verläuft nicht nach Branche, sondern nach Rolle. Für Finanzunternehmen gilt DORA seit dem 17. Januar 2025. Weil Artikel 4 der NIS2-Richtlinie sektorspezifischen Rechtsakten den Vorrang einräumt, verdrängt DORA die NIS2-Pflichten als lex specialis, und das BSIG setzt das mit einer eigenen Ausnahmevorschrift um.

Wer kein Finanzunternehmen ist, fällt dagegen unmittelbar unter das BSIG. Das betrifft die IT- und Softwareanbieter der Branche: Ein Anbieter von Bankensoftware, ein Rechenzentrumsdienstleister oder ein Managed Service Provider ist im Sinne des Gesetzes eine eigene Einrichtung, keine Bank. Für ihn gelten Registrierung, Maßnahmenkatalog und Meldepflichten aus dem BSIG, während DORA ihn über den Vertrag mit dem Institut erreicht und bei Einstufung als kritischer IKT-Drittdienstleister zusätzlich über die direkte Aufsicht. Diese Doppelung ist der Normalfall, nicht die Ausnahme.

Welche NIS2-Pflichten bleiben bei NIS2 und DORA für die Finanzbranche bestehen?

Für Finanzunternehmen im Ergebnis eine, und es ist die unspektakulärste. § 28 Absatz 6 Nummer 1 BSIG bestimmt, dass die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG für Finanzunternehmen nach Artikel 2 Absatz 2 DORA nicht gelten. Damit entfallen Risikomanagement, besondere Pflichten, Meldung, Unterrichtung der Kunden, Nachweise und die Leitungspflichten des BSIG in einem Zug. Der Gesetzgeber hat also nicht themenweise abgegrenzt, wie Artikel 4 der Richtlinie es zulassen würde, sondern ganze Vorschriften abgeschaltet.

Nicht in dieser Aufzählung steht § 33 BSIG. Die Registrierung beim BSI bleibt deshalb bestehen, sofern das Unternehmen überhaupt eine Einrichtungsart der Anlagen erfüllt, praktisch also für Kreditinstitute sowie für Handelsplätze und zentrale Gegenparteien. Versicherer kommen in den Anlagen des BSIG nicht vor, für sie ist DORA das ganze Bild. Ergänzend nimmt § 28 Absatz 7 BSIG den § 32 für Betreiber kritischer Anlagen aus, soweit sie eine Anlage für ein Finanzunternehmen betreiben. Der Merksatz für ein Institut lautet damit: materiell DORA, formal ein Eintrag beim BSI, und genau dieser Eintrag ist in DORA-Projekten regelmäßig niemandem zugeordnet.

Was bedeutet NIS2 und DORA für die Finanzbranche für Softwareanbieter?

Dass die Regulierung des Kunden zur eigenen wird, und zwar auf drei Wegen gleichzeitig. Erstens vertraglich: DORA verlangt vom Institut ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen, mit Angaben zu Verarbeitungsorten, Unterauftragnehmerketten, Abhängigkeiten und Ausstiegsstrategien. Diese Angaben muss der Anbieter liefern, und zwar in der Form, die das Institut für sein Register braucht.

Zweitens aufsichtsrechtlich: Wer als kritischer IKT-Drittdienstleister eingestuft wird, steht unter direkter europäischer Aufsicht, unabhängig davon, dass er keine Bank ist. Drittens eigenständig: Erfüllt der Anbieter eine der Einrichtungsarten der Anlage 1 des BSIG, etwa Cloud-Computing-Dienste oder Managed Services, hat er seine eigenen Pflichten aus § 30 und § 32 BSIG. Die Ausnahme des § 28 Absatz 6 BSIG hilft ihm dabei gerade nicht, denn sie gilt nur für Finanzunternehmen. Wer alle drei Wege getrennt bearbeitet, zahlt dreimal für dieselbe Substanz.

Wie viele Meldewege entstehen bei NIS2 und DORA für die Finanzbranche?

Bis zu drei, und sie haben verschiedene Adressaten. Das Institut meldet einen schwerwiegenden IKT-Vorfall nach DORA an die BaFin, in einer eigenen Staffelung aus Erstmeldung, Zwischenmeldung und Abschlussbericht. Die erste DORA-Frist ist dabei enger als die 24 Stunden des BSIG.

Der Anbieter meldet parallel in zwei Richtungen. An das Institut, weil er es vertraglich schuldet und weil das Institut seine eigene Frist nur halten kann, wenn es rechtzeitig erfährt, was passiert ist. Und an das BSI nach § 32 BSIG, wenn er selbst eine Einrichtung ist: Frühwarnung innerhalb von 24 Stunden, Meldung mit erster Bewertung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Ein Vorfall, drei Empfänger, drei Fristen. Wer diese Kette nicht vorher aufgeschrieben hat, verliert die erste Frist beim Klären der Zuständigkeit.

Welche Punkte werden bei NIS2 und DORA für die Finanzbranche am häufigsten unterschätzt?

Drei. Erstens die Annahme, dass für ein Institut ein materieller Restbereich beim BSIG liegen bleibt. Physische Sicherheit ist kein blinder Fleck von DORA: Artikel 18 der Delegierten Verordnung (EU) 2024/1774 verlangt eine Richtlinie für physische Sicherheit und Sicherheit vor Umweltereignissen, mit Maßnahmen für Räumlichkeiten und Rechenzentren, für IKT-Assets innerhalb und außerhalb der eigenen Räume und für unbeaufsichtigte Geräte. Wer diesen Bereich beim BSIG sucht, arbeitet mit dem falschen Regelwerk und der falschen Aufsicht.

Zweitens die Datenqualität im Informationsregister. Es scheitert selten am Format und fast immer daran, dass Verarbeitungsorte und Unterauftragnehmer der Anbieter nicht vollständig bekannt sind. Drittens der Geltungsbereich des eigenen Managementsystems. Ein ISMS nach ISO 27001 trägt beide Regelwerke, aber nur wenn sein Geltungsbereich beide Gegenstände umfasst, also die IKT-Seite für DORA und, bei Anbietern mit eigener Einrichtungsart, die BSIG-Seite.

Was steht im Whitepaper?

• Wer unter DORA fällt, wer unter NIS2 und wo die beiden Regelwerke einander überschneiden
• Sechs Eigenheiten der Finanzbranche, von der höchsten regulatorischen Latte bis zur Doppelarbeit durch zwei Regime
• Fünf Angriffsszenarien aus der Praxis, vom Abfluss von Zahlungs- und Kontodaten bis zum Missbrauch privilegierter Zugänge
• Was DORA und NIS2 jeweils konkret verlangen, von IKT-Risikomanagement und Resilienztests bis zu Drittparteien und Konzentrationsrisiko
• Eine Roadmap in sechs Schritten, die ein Fundament aufbaut, das beide Nachweise gleichzeitig trägt

Das Whitepaper richtet sich an Geschäftsführungen, IT- und Auslagerungsverantwortliche sowie Compliance- und Sicherheitsverantwortliche in Banken, Versicherungen, FinTechs und bei Anbietern von Finanzsoftware. Laden Sie es kostenfrei herunter.