DORA und NIS-2
Zwei EU-Vorgaben – klare Abgrenzung, klare Pflichten

DORA und NIS-2: zwei europäische Regelwerke mit einem Ziel

In den vergangenen Jahren hat sich gezeigt, wie verwundbar digitale Infrastrukturen gegenüber Cyberangriffen und technischen Störungen sind. Angriffe auf Behörden, Energieversorger oder Finanzinstitute nehmen stetig zu – und mit ihnen der Druck auf Unternehmen, ihre IT-Systeme besser zu schützen. Als Antwort auf diese Bedrohungslage hat die Europäische Union zwei zentrale Rechtsakte auf den Weg gebracht: die Richtlinie NIS 2 und die Verordnung DORA. Beide sollen die digitale Resilienz stärken, verfolgen jedoch unterschiedliche Ansätze und richten sich an verschiedene Adressaten.

NIS-2: Einheitliche Cybersicherheitsstandards für viele Branchen

Mit der NIS-2-Richtlinie verfolgt die EU das Ziel, ein einheitliches Sicherheitsniveau in ganz Europa zu etablieren. Sie ist eine Weiterentwicklung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016 und reagiert auf die veränderte Risikolage in einer digitalisierten Gesellschaft. Neu ist insbesondere, dass NIS 2 den Kreis der betroffenen Einrichtungen erheblich erweitert. Künftig müssen deutlich mehr Unternehmen nachweislich Maßnahmen zur Absicherung ihrer Netz- und Informationssysteme treffen, selbst wenn sie bisher nicht als „kritisch“ galten.

Dabei richtet sich NIS-2 an eine Vielzahl von Sektoren. Neben den klassischen Bereichen wie Energie, Gesundheit oder Transport sind nun auch Unternehmen aus den Bereichen Lebensmittelversorgung, digitale Infrastruktur und Verwaltung erfasst. Entscheidend ist nicht allein die Größe eines Unternehmens, sondern seine Bedeutung für das öffentliche Leben und die wirtschaftliche Stabilität. Unternehmen, die unter die Regelung fallen, müssen sowohl technisch-organisatorische Schutzmaßnahmen ergreifen als auch Prozesse für die Behandlung von Sicherheitsvorfällen einführen. Das umfasst unter anderem die Einrichtung eines Risikomanagements, klare Verantwortlichkeiten im Management und die Pflicht, erhebliche Vorfälle innerhalb festgelegter Fristen zu melden.

In Deutschland müssen die Vorgaben von NIS-2 bis spätestens Mitte Oktober 2024 in nationales Recht überführt werden. Die Umsetzung ist verpflichtend und Verstöße können mit empfindlichen Sanktionen geahndet werden. Besonders für Unternehmen, die erstmals unter ein Sicherheitsgesetz fallen, bedeutet das eine tiefgreifende organisatorische und technische Umstellung.

DORA: Digitale Widerstandskraft für den Finanzsektor

Parallel zu NIS-2 hat die EU mit der Verordnung über die digitale operationelle Resilienz im Finanzsektor, kurz DORA, eine weitere Maßnahme eingeführt. Im Gegensatz zu NIS-2 ist DORA keine Richtlinie, die erst in nationales Recht überführt werden muss, sondern eine unmittelbar geltende Verordnung. Somit ist sie in allen EU-Mitgliedstaaten ab dem 17. Januar 2025 direkt verbindlich und vollumfänglich anwendbar.

DORA wurde speziell für die Finanzwelt konzipiert, da dieser Sektor besonders stark auf funktionierende IT-Systeme angewiesen ist und zugleich ein attraktives Ziel für Cyberangriffe darstellt. Die Verordnung richtet sich an ein breites Spektrum von Finanzakteuren: von Banken und Versicherungen über Zahlungsdienste bis hin zu Wertpapierfirmen und Krypto-Plattformen. Auch IT-Dienstleister, die für diese Unternehmen tätig sind, fallen unter den Anwendungsbereich, sofern ihre Leistungen sicherheitsrelevant sind.

Kernpunkt von DORA ist die Verpflichtung der betroffenen Unternehmen, sich intensiv mit ihren IT-Risiken auseinanderzusetzen. Es geht nicht nur darum, Angriffe abzuwehren, sondern vor allem darum, die Widerstandsfähigkeit gegenüber Störungen aller Art systematisch zu stärken. Dazu gehört, IKT-Risiken in das unternehmerische Risikomanagement zu integrieren, Verträge mit IT-Dienstleistern transparent zu regeln und im Fall eines Vorfalls eine klare Meldekette zu gewährleisten. Auch regelmäßige Tests der technischen und organisatorischen Vorkehrungen gehören zum Pflichtenkatalog, ebenso wie die systematische Auswertung vergangener Vorfälle, um aus ihnen zu lernen.

Die Aufsicht über die Einhaltung der DORA-Vorgaben obliegt in Deutschland der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Unternehmen, die unter DORA fallen, unterliegen somit nicht mehr der Meldepflicht nach dem BSI-Gesetz. Sie sind künftig allein gegenüber der Finanzaufsicht berichtspflichtig, wodurch sich die Meldewege vereinheitlichen und Doppelregulierungen vermieden werden.

Abgrenzung der beiden Regelwerke: Wer unterliegt welcher Vorschrift?

Ob ein Unternehmen DORA oder NIS-2 umsetzen muss, hängt maßgeblich von seiner Branche und seiner konkreten Tätigkeit ab. Die wichtigste Unterscheidung ist: DORA gilt ausschließlich für Unternehmen des Finanzsektors sowie deren relevante IKT-Dienstleister und ersetzt in diesem Bereich die NIS-2-Regelungen. Das bedeutet, dass Finanzunternehmen nicht doppelt reguliert werden. Sie müssen sich vollständig nach DORA richten und werden nicht zusätzlich durch NIS-2 verpflichtet.

Für alle anderen kritischen und wichtigen Einrichtungen bleibt NIS 2 das maßgebliche Regelwerk. Dies betrifft insbesondere Betreiber kritischer Infrastrukturen außerhalb des Finanzsektors, beispielsweise in den Bereichen Energieversorgung, Rechenzentren, Gesundheitswesen und öffentliche Verwaltung. Diese Unternehmen müssen ihre Systeme bis Oktober 2024 entsprechend den NIS-2-Anforderungen absichern.

Obwohl beide Regelwerke unterschiedliche Wege gehen, verfolgen sie das gleiche übergeordnete Ziel: den Aufbau robuster, ausfallsicherer und widerstandsfähiger digitaler Strukturen in der gesamten Europäischen Union.

Was Unternehmen jetzt tun sollten

Unabhängig davon, welchem Regelwerk ein Unternehmen unterliegt, ist klar: Die Anforderungen an die Cybersicherheit steigen deutlich. Unternehmen sollten ihre aktuelle Ausgangslage kritisch prüfen, Zuständigkeiten festlegen und ihre internen Prozesse sowie ihre technischen Systeme auf den Prüfstand stellen. Dazu gehört auch, bestehende Verträge mit IT-Dienstleistern zu analysieren, interne Meldeketten zu definieren und einen Überblick über alle kritischen Systeme zu dokumentieren.

Für Finanzunternehmen ist es besonders wichtig, sich frühzeitig mit den spezifischen Anforderungen der DORA-Verordnung auseinanderzusetzen. Dazu zählen insbesondere die regelmäßige Prüfung der Widerstandsfähigkeit durch Stresstests, die systematische Bewertung von Drittanbieterrisiken und die Entwicklung von Notfallplänen. Wer diese Prozesse heute vorbereitet, reduziert nicht nur das regulatorische Risiko, sondern verbessert auch nachhaltig die eigene Sicherheitslage.

Unternehmen, die voraussichtlich unter NIS-2 fallen, sollten bereits jetzt damit beginnen, ihre Organisation an die neuen Vorgaben anzupassen. Neben technischen Maßnahmen gehören dazu auch die Benennung eines zuständigen Sicherheitsbeauftragten, die Entwicklung eines Vorfallmanagements sowie die transparente Dokumentation der getroffenen Schutzmaßnahmen.

Fazit: DORA und NIS² – zwei Systeme, ein gemeinsames Ziel

Auch wenn DORA und NIS-2 auf unterschiedlichen rechtlichen Grundlagen beruhen und verschiedene Zielgruppen ansprechen, verfolgen sie eine gemeinsame Linie: Die Cybersicherheit soll in ganz Europa gestärkt und vereinheitlicht werden. Unternehmen, sei es aus dem Finanzsektor oder aus kritischen Infrastrukturen, sind aufgefordert, ihre digitale Resilienz nicht nur zu dokumentieren, sondern aktiv zu gestalten.

Wer frühzeitig handelt, kann nicht nur regulatorische Anforderungen erfüllen, sondern auch die Chance nutzen, die eigene Sicherheitsarchitektur zukunftssicher aufzustellen. Denn in einer digital vernetzten Welt gilt mehr denn je: IT-Sicherheit ist keine Option, sondern Voraussetzung für Stabilität, Vertrauen und Wettbewerbsfähigkeit.

Welche Folgen haben Verstöße gegen DORA oder NIS‑2?

Unternehmen, die ihren Pflichten aus DORA oder NIS-2 nicht nachkommen, riskieren empfindliche Konsequenzen. Beide Regelwerke sehen aufsichtsrechtliche Maßnahmen und teils erhebliche Bußgelder vor.

Verstöße gegen NIS‑2, etwa durch fehlendes Risikomanagement, unzureichende Meldeprozesse oder technische Mängel, können mit Geldbußen von mehreren Millionen Euro geahndet werden. Auch die Geschäftsführung kann bei systematischen Versäumnissen zur Verantwortung gezogen werden.

Gemäß DORA kann die BaFin als Aufsichtsbehörde Maßnahmen bis hin zu Einschränkungen von Geschäftsaktivitäten oder der Untersagung der Zusammenarbeit mit bestimmten IT-Dienstleistern ergreifen, wenn deren Sicherheit nicht gewährleistet ist.

Zusätzlich drohen bei beiden Regelwerken Reputationsverluste, wenn Vorfälle öffentlich werden oder Meldefristen nicht eingehalten werden. Unternehmen, die proaktiv handeln, können solche Risiken frühzeitig vermeiden und gleichzeitig das Vertrauen von Kunden, Partnern und Behörden stärken.

DORA und NIS‑2 verfolgen zwar ein gemeinsames Ziel, unterscheiden sich aber deutlich in ihrem Fokus. NIS-2 betrifft viele Branchen und schafft einheitliche Cybersicherheitsstandards, während DORA speziell auf die Stabilität digitaler Prozesse im Finanzmarkt zugeschnitten ist. Sie stellt präzise Anforderungen und sieht eine zentrale Aufsicht durch die BaFin vor.

Warum kritis-info.de?

Kritis-Info.de steht für unabhängige, fundierte und praxisnahe Informationen zum Schutz kritischer Infrastrukturen. Wir unterstützen Betreiber und Verantwortliche mit verlässlichem Wissen und aktuellen Informationen dabei, ihre Sicherheitsanforderungen optimal umzusetzen.