NIS2 für Banken und Finanzwesen: Anforderungen und Verhältnis zu DORA

Kreditinstitute, Betreiber von Handelsplätzen und zentrale Gegenparteien gehören zum Sektor „Finanzwesen“, den die NIS-2-Richtlinie zu den Sektoren mit hoher Kritikalität zählt. Kreditinstitute ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme gelten in Deutschland in der Regel als besonders wichtige Einrichtungen. Gleichzeitig gilt im Finanzsektor eine gesetzlich geregelte Besonderheit: Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz – kurz DORA – ist im Verhältnis zu NIS2 ein sektorspezifischer Rechtsakt (Lex specialis). Das deutsche BSI-Gesetz nimmt DORA-Finanzunternehmen deshalb von den meisten NIS2-Pflichten aus – die Registrierung beim BSI bleibt jedoch bestehen. Dieser Leitfaden erklärt, welche Finanzinstitute von NIS2 erfasst sind, wie das Verhältnis zu DORA konkret geregelt ist und welche Pflichten für Kreditinstitute in der Praxis entstehen. Den übergeordneten Rahmen der technischen und organisatorischen Anforderungen nach NIS2 beschreibt der Leitfaden zu den NIS2-Sicherheitsanforderungen.

Banken als besonders wichtige Einrichtungen — Einstufung nach NIS2

Das Bankwesen gehört nach Anhang I der NIS-2-Richtlinie (EU) 2022/2555 zu den Sektoren mit hoher Kritikalität. Anhang I nennt unter Nummer 3 das „Bankwesen“ und unter Nummer 4 die „Finanzmarktinfrastrukturen“ als zwei von insgesamt elf Sektoren. Im deutschen Recht – umgesetzt durch das NIS2UmsuCG und das neu gefasste BSIG – nennt Anlage 1 zum BSIG im Sektor „Finanzwesen“ folgende Einrichtungsarten:

• Kreditinstitute (Anlage 1 Nr. 3.1.1 BSIG; in der Richtlinie: Kreditinstitute im Sinne von Artikel 4 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 575/2013, CRR) – Einrichtungen, die Einlagen oder andere rückzahlbare Gelder des Publikums entgegennehmen und Kredite für eigene Rechnung gewähren
• Zentrale Gegenparteien (CCPs) im Sinne der EMIR-Verordnung (Anlage 1 Nr. 3.2.2 BSIG)
• Handelsplätze im Sinne von § 2 Absatz 22 WpHG, also geregelte Märkte, multilaterale und organisierte Handelssysteme (Anlage 1 Nr. 3.2.1 BSIG)

Andere Finanzunternehmen – etwa Versicherer, Wertpapierfirmen, Zahlungsinstitute oder Zentralverwahrer – nennt weder Anhang I der Richtlinie noch Anlage 1 zum BSIG. Sie unterliegen DORA, werden aber nicht aufgrund ihrer Finanztätigkeit zu NIS2-Einrichtungen.

Für die Einstufung gelten die Größenschwellen des § 28 BSIG: Als besonders wichtige Einrichtung gilt eine Einrichtung der Anlage 1 mit mindestens 250 Beschäftigten oder mit mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme. Als wichtige Einrichtung gilt sie ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Daten verbundener Unternehmen und Partnerunternehmen sind grundsätzlich mitzuzählen (§ 28 Absatz 4 BSIG). Unabhängig von der Größe gelten Betreiber kritischer Anlagen als besonders wichtige Einrichtungen (§ 28 Absatz 1 Nummer 1 BSIG); für den Finanzsektor bestimmt bis zum Inkrafttreten einer neuen Verordnung nach dem KRITIS-Dachgesetz weiterhin die BSI-Kritisverordnung (§ 7, Sektor Finanzwesen), welche Anlagen erfasst sind (§ 66 BSIG).

Für DORA-Finanzunternehmen hat die Einstufung allerdings begrenzte praktische Folgen: Die Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSIG gelten für sie nicht (dazu unten). Für sie relevant bleibt vor allem die Registrierungspflicht. Eine Verletzung der Registrierungspflicht kann nach § 65 Absatz 2 Nummer 6 in Verbindung mit Absatz 5 BSIG mit einem Bußgeld von bis zu 500.000 Euro geahndet werden. Die höheren Bußgeldrahmen von bis zu 10 Millionen Euro (besonders wichtige Einrichtungen) knüpfen an Pflichten an, die für DORA-Finanzunternehmen nicht gelten. Einen vollständigen Überblick der Einstufungskriterien bietet der Leitfaden zum NIS2-Anwendungsbereich.

DORA als Lex-specialis — Welches Recht gilt für den Finanzsektor?

Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor – der Digital Operational Resilience Act (DORA) – ist am 16. Januar 2023 in Kraft getreten und gilt seit dem 17. Januar 2025 (Art. 64 DORA). Als EU-Verordnung gilt DORA in allen Mitgliedstaaten unmittelbar; in Deutschland wurde das Aufsichtsrecht durch das Finanzmarktdigitalisierungsgesetz (FinmadiG) angepasst. Ihr Anwendungsbereich (Art. 2 DORA) deckt praktisch das gesamte regulierte Finanzwesen ab: Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Versicherungsunternehmen, Ratingagenturen, Anbieter von Kryptowerte-Dienstleistungen, Zentralverwahrer und viele weitere.

Das Verhältnis zwischen DORA und NIS2 ist ausdrücklich geregelt. Nach Artikel 1 Absatz 2 DORA gilt DORA für Finanzunternehmen, die als wesentliche oder wichtige Einrichtungen ermittelt wurden, als sektorspezifischer Rechtsakt im Sinne von Artikel 4 NIS2. Erwägungsgrund 28 der NIS-2-Richtlinie konkretisiert: Anstelle der NIS2-Bestimmungen sollen die DORA-Regeln zum IKT-Risikomanagement, zum Management und zur Meldung IKT-bezogener Vorfälle, zum Testen der digitalen operationalen Resilienz, zum Informationsaustausch und zum IKT-Drittparteienrisiko gelten.

Der deutsche Gesetzgeber hat das in § 28 Absatz 6 Nummer 1 BSIG umgesetzt: Die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG gelten nicht für Finanzunternehmen nach Artikel 2 Absatz 2 DORA sowie für Unternehmen, für die DORA über § 1a Absatz 2 und 2a KWG oder § 293 Absatz 5 VAG gilt. Konkret bedeutet das:

• Risikomanagementmaßnahmen (§§ 30, 31 BSIG) entfallen – maßgeblich ist der IKT-Risikomanagementrahmen nach Kapitel II DORA (Art. 5–16)
• Meldepflichten an das BSI (§ 32 BSIG) entfallen – maßgeblich sind die Vorfallmeldungen nach Kapitel III DORA (Art. 17–23)
• Unterrichtungspflichten und Rückmeldungen (§§ 35, 36 BSIG) entfallen
• Geschäftsleitungspflichten (§ 38 BSIG) entfallen – an ihre Stelle tritt die Verantwortung des Leitungsorgans nach Art. 5 DORA
• Nachweispflichten für Betreiber kritischer Anlagen (§ 39 BSIG) entfallen

Diese Ausnahme ist keine vollständige Befreiung vom BSIG: Die Registrierungspflicht nach § 33 BSIG ist in § 28 Absatz 6 BSIG nicht genannt und gilt weiter. Das BSI bestätigt in seinen FAQ ausdrücklich, dass sich DORA-regulierte Einrichtungen registrieren müssen. Eine detaillierte Gegenüberstellung beider Regelwerke bietet der Vergleichsartikel NIS2 vs. DORA.

Was gilt zusätzlich zu DORA? NIS2-Pflichten, die Banken weiterhin treffen

Für Kreditinstitute, die DORA unterliegen, bleibt aus dem BSIG im Wesentlichen die Registrierung. Die folgende Tabelle zeigt, welches Regelwerk für welchen Bereich maßgeblich ist:

Regelungsbereich	DORA	NIS2 / BSIG	Welches Recht gilt?
IKT-Risikomanagementrahmen	Kap. II, Art. 5–16	Art. 21 NIS2; §§ 30, 31 BSIG	DORA; §§ 30, 31 BSIG nicht anwendbar (§ 28 Abs. 6)
Vorfallklassifizierung und -meldung	Kap. III, Art. 17–23	Art. 23 NIS2; § 32 BSIG	DORA; § 32 BSIG nicht anwendbar
Resilienztests (inkl. TLPT)	Kap. IV, Art. 24–27	Art. 21 Abs. 2 lit. f NIS2	DORA
IKT-Drittparteienrisiko (Lieferkette)	Kap. V, Art. 28–44	Art. 21 Abs. 2 lit. d NIS2	DORA; § 30 BSIG nicht anwendbar
Informationsaustausch	Kap. VI, Art. 45	Art. 29 NIS2	DORA (freiwillige Vereinbarungen)
BSI-Registrierung	Keine Entsprechung	§ 33 BSIG	BSIG gilt weiterhin
Verantwortung der Geschäftsleitung	Art. 5 DORA	Art. 20 NIS2, § 38 BSIG	DORA; § 38 BSIG nicht anwendbar
Grundlegende Cyberhygiene und Schulungen	Art. 9, Art. 13 Abs. 6 DORA	Art. 21 Abs. 2 lit. g NIS2	DORA

Besonders relevant ist der Bereich der Lieferkettensicherheit: DORA Kapitel V (Art. 28–44) enthält ein eigenständiges Rahmenwerk für das IKT-Drittparteienrisiko mit weitreichenden Anforderungen an die Vertragsgestaltung mit IKT-Drittdienstleistern (Art. 30 DORA). Da § 28 Absatz 6 BSIG auch § 30 BSIG ausschließt, gilt für DORA-Finanzunternehmen kein zusätzliches Lieferkettengebot aus dem BSIG – maßgeblich ist allein DORA. Anders kann es bei Gesellschaften derselben Gruppe aussehen, die selbst keine DORA-Finanzunternehmen sind: Ein konzerninterner IT-Dienstleister fällt nach Auffassung des BSI nicht automatisch unter die Ausnahme und kann eigene BSIG-Pflichten haben, wenn er selbst eine NIS2-Einrichtung ist.

Die wesentliche Restpflicht unter dem BSIG betrifft die Registrierung beim BSI: Kreditinstitute, Handelsplätze und zentrale Gegenparteien, die in Deutschland als besonders wichtige oder wichtige Einrichtungen gelten, müssen sich über das BSI-Portal registrieren (§ 33 BSIG). Die Frist lief am 6. März 2026 ab, drei Monate nach Inkrafttreten des NIS2UmsuCG; wer noch nicht registriert ist, sollte dies unverzüglich nachholen. DORA enthält keine eigenständige Registrierungspflicht bei der nationalen Cybersicherheitsbehörde. Die Geschäftsleitungspflichten des § 38 BSIG gelten für DORA-Finanzunternehmen dagegen nicht; die entsprechende Verantwortung ergibt sich aus Art. 5 DORA.

BaFin und BSI — Geteilte Aufsichtsverantwortung im Finanzsektor

Die Aufsichtsstruktur für Banken unter NIS2 und DORA ist komplex, weil mehrere Behörden mit unterschiedlichen Mandaten beteiligt sind.

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ist die zuständige Behörde für die DORA-Compliance im deutschen Finanzsektor und zentrale Meldestelle für schwerwiegende IKT-bezogene Vorfälle. Für Kreditinstitute, die im Einheitlichen Aufsichtsmechanismus (Single Supervisory Mechanism, SSM) als bedeutend eingestuft sind, ist nach Art. 46 Buchstabe a DORA die EZB zuständige Behörde. Auch diese Institute reichen ihre Vorfallmeldungen bei der nationalen Behörde ein, die sie an die EZB weiterleitet (Art. 19 Abs. 1 DORA) – in Deutschland also bei der BaFin.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bleibt die zuständige Behörde für NIS2 – für DORA-Finanzunternehmen vor allem für die Registrierung. Zwischen BSI und BaFin ist eine Zusammenarbeit und ein Informationsaustausch gesetzlich vorgesehen (§ 3 Absatz 1 Nummer 29 BSIG). Für Finanzinstitute ergeben sich damit folgende Meldewege:

• Schwerwiegende IKT-bezogene Vorfälle: Meldung an die BaFin über deren Melde- und Veröffentlichungsplattform (MVP) nach Art. 19 DORA – Erstmeldung innerhalb von 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnisnahme; Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung; Abschlussmeldung spätestens einen Monat nach der (letzten) Zwischenmeldung (Art. 5 Delegierte Verordnung (EU) 2025/301). Die BaFin leitet die Meldungen an weitere zuständige Behörden weiter, unter anderem an das BSI.
• Eine zusätzliche Meldung an das BSI nach § 32 BSIG ist für DORA-Finanzunternehmen nicht vorgesehen (§ 28 Abs. 6 BSIG); freiwillige Meldungen an das BSI bleiben möglich. Gruppengesellschaften ohne DORA-Bezug, die selbst NIS2-Einrichtungen sind, melden dagegen nach § 32 BSIG.
• Vorfälle mit Bezug zu personenbezogenen Daten: Meldung an die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO

Im deutschen Regulierungsrahmen ergänzen die MaRisk (Mindestanforderungen an das Risikomanagement) die gesetzlichen Vorgaben weiterhin. Die BAIT (Bankaufsichtliche Anforderungen an die IT) gelten dagegen für Institute, die ein IKT-Risikomanagement nach Art. 5–15 oder Art. 16 DORA betreiben müssen, seit dem 17. Januar 2025 nicht mehr; mit Ablauf des 31. Dezember 2026 hebt die BaFin die BAIT vollständig auf. CRR-Kreditinstitute unterliegen seit dem 17. Januar 2025 unmittelbar DORA. Wer bisher BAIT-konform gearbeitet hat, hat eine solide Ausgangsbasis, sollte aber prüfen, wo DORA darüber hinausgeht: insbesondere bei den bedrohungsorientierten Penetrationstests (TLPT), die nur von der Aufsicht bestimmte Finanzunternehmen mindestens alle drei Jahre durchführen müssen (Art. 26 DORA), beim Informationsregister über IKT-Drittdienstleistungen (Art. 28 Abs. 3 DORA) und bei den wesentlichen Vertragsbestimmungen für IKT-Dienstleister (Art. 30 DORA).

Die zehn NIS2-Sicherheitsanforderungen im Bankkontext

Die zehn Mindestmaßnahmen des Artikels 21 Absatz 2 NIS2 (in Deutschland § 30 Absatz 2 BSIG) gelten für DORA-Finanzunternehmen nicht unmittelbar, weil § 28 Absatz 6 BSIG § 30 BSIG ausschließt. Als Orientierungsrahmen sind sie dennoch nützlich – etwa für Gruppengesellschaften, die NIS2 unterliegen. Die folgende Übersicht zeigt, wo DORA die jeweiligen Themen regelt:

Sicherheitsmaßnahme (Art. 21 Abs. 2 NIS2)	Bankspezifischer Kontext	Entsprechende DORA-Regelung
Risikoanalyse und Sicherheitsrichtlinien	Risikoinventur, risikobasierte Priorisierung	DORA Art. 6, Art. 9 Abs. 4 lit. a; ergänzend MaRisk
Behandlung von Sicherheitsvorfällen	Incident-Response-Prozess, Eskalationspfade	DORA Art. 17–23
Business Continuity / Krisenmanagement	BCP/DRP, RTO/RPO, regelmäßige Tests	DORA Art. 11–12
Sicherheit der Lieferkette	IKT-Drittdienstleister, Vertragspflichten	DORA Kap. V (Art. 28–44)
Wirksamkeitsbewertung	Interne Revision, externe Audits, Penetrationstests	DORA Art. 24–27 (TLPT nach Art. 26)
Kryptografie und Verschlüsselung	Schlüsselverwaltung, TLS-Standards, HSM-Einsatz	DORA Art. 9 Abs. 4 lit. d; Delegierte Verordnung (EU) 2024/1774
Personalsicherheit und Zugriffskontrolle	Least Privilege, privilegierte Zugänge	DORA Art. 9 Abs. 4 lit. c
Grundlegende Cyberhygiene	Patch-Management, Schwachstellen-Scanning	DORA Art. 9 Abs. 4 lit. e und f
Asset-Management und MFA	Systemverzeichnis, starke Authentifizierung	DORA Art. 8 Abs. 4; Art. 9 Abs. 4 lit. d
BSI-Registrierung (eigenständige NIS2-Pflicht)	Registrierung über das BSI-Portal	§ 33 BSIG — kein DORA-Äquivalent

Banken, die bereits unter MaRisk und den früheren BAIT gearbeitet haben, haben typischerweise eine fortgeschrittene Ausgangssituation. Die größten Compliance-Lücken liegen häufig in den DORA-spezifischen Neuerungen: dem Informationsregister nach DORA Artikel 28 Absatz 3 (das der zuständigen Behörde auf Verlangen vollständig oder in Teilen zur Verfügung zu stellen ist), den wesentlichen Vertragsbestimmungen für IKT-Dienstleister nach DORA Artikel 30 und – für die von der Aufsicht bestimmten Institute – den TLPT-Tests nach Artikel 26 DORA. Diese Bereiche bedürfen gesonderter Aufmerksamkeit.

Compliance-Fahrplan für Kreditinstitute

Für Banken und Kreditinstitute, die ihre NIS2- und DORA-Compliance systematisch aufbauen möchten, empfiehlt sich folgende Schrittfolge:

Schritt 1: Betroffenheitsanalyse und Einstufung. Prüfen Sie, ob Ihr Institut als besonders wichtige oder als wichtige Einrichtung nach § 28 BSIG einzustufen ist und ob es als DORA-Finanzunternehmen unter die Ausnahme des § 28 Absatz 6 BSIG fällt. Kreditinstitute im Sinne der CRR sind ab den genannten Größenschwellen in der Regel von NIS2 erfasst. Gleichzeitig ist zu klären, welche Behörde für die DORA-Aufsicht zuständig ist – insbesondere, ob das Institut als bedeutendes Institut im SSM unter direkter EZB-Aufsicht steht – und ob weitere Gruppengesellschaften (etwa IT-Dienstleister) eigene BSIG-Pflichten haben.

Schritt 2: BSI-Registrierung. Falls noch nicht erfolgt, ist die Registrierung über das BSI-Portal unverzüglich nachzuholen. Eine fehlende oder unvollständige Registrierung kann nach § 65 BSIG mit einem Bußgeld von bis zu 500.000 Euro geahndet werden. Diese Pflicht besteht unabhängig von der DORA-Compliance.

Schritt 3: Gap-Analyse gegen MaRisk und DORA. Ermitteln Sie, welche Anforderungen aus DORA über die bestehenden MaRisk-Pflichten und die bisherige BAIT-Praxis hinausgehen. Schwerpunkte sind typischerweise: Informationsregister nach DORA Artikel 28 Absatz 3, gegebenenfalls TLPT nach DORA Artikel 26 und die wesentlichen Vertragsbestimmungen für IKT-Dienstleister nach DORA Artikel 30.

Schritt 4: Meldewege einrichten. DORA-Meldungen gehen über die MVP-Plattform an die BaFin – Erstmeldung, Zwischenmeldung und Abschlussmeldung nach den Fristen der Delegierten Verordnung (EU) 2025/301. Eine parallele Meldung an das BSI nach § 32 BSIG entfällt für DORA-Finanzunternehmen. Prüfen Sie aber, ob Gruppengesellschaften ohne DORA-Bezug Meldungen nach § 32 BSIG abgeben müssen. Benennen Sie dedizierte Ansprechpartner und stellen Sie sicher, dass die Frist von 4 Stunden nach Einstufung bzw. spätestens 24 Stunden nach Kenntnisnahme eingehalten werden kann.

Schritt 5: Informationsregister aufbauen. DORA verlangt ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen von IKT-Drittdienstleistern, mit Unterscheidung danach, ob kritische oder wichtige Funktionen unterstützt werden. Das Register ist auf Einzel-, teilkonsolidierter und konsolidierter Ebene zu führen, aktuell zu halten und der zuständigen Behörde auf Verlangen zur Verfügung zu stellen. In der Praxis ist die Erstellung dieses Registers einer der aufwändigsten Compliance-Schritte für Kreditinstitute mit zahlreichen IKT-Dienstleistern.

Schritt 6: Governance und regelmäßige Überprüfung. DORA verlangt eine dokumentierte Verantwortung des Leitungsorgans und regelmäßige Überprüfung der Maßnahmen: Nach Art. 5 Abs. 2 DORA trägt das Leitungsorgan die letztendliche Verantwortung für das Management der IKT-Risiken, nach Art. 5 Abs. 4 DORA halten seine Mitglieder ihre Kenntnisse durch regelmäßige Schulungen aktuell. Vorstände und Geschäftsführer sollten die DORA-Compliance daher aktiv steuern und überwachen; Aufgaben sind delegierbar, die Verantwortung nicht.

Häufig gestellte Fragen

Gilt NIS2 noch für Banken, die bereits DORA unterliegen?

Nur sehr eingeschränkt. Nach Art. 1 Abs. 2 DORA in Verbindung mit Art. 4 NIS2 ist DORA der vorrangige sektorspezifische Rechtsakt. Im deutschen Recht schließt § 28 Absatz 6 BSIG für DORA-Finanzunternehmen die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus – also Risikomanagement, Meldepflichten, Unterrichtungspflichten, Geschäftsleitungspflichten und KRITIS-Nachweise. Weiterhin gilt insbesondere die Registrierungspflicht nach § 33 BSIG.

Wer ist die zuständige Behörde für Banken — BaFin oder BSI?

Beide Behörden sind zuständig – für unterschiedliche Rechtsakte. Die BaFin überwacht die DORA-Compliance und ist zentrale Meldestelle für IKT-Vorfälle; das BSI ist zuständige NIS2-Behörde und für DORA-Finanzunternehmen vor allem Registrierungsstelle. Für bedeutende Kreditinstitute im Single Supervisory Mechanism ist die EZB zuständige DORA-Behörde; Vorfallmeldungen laufen auch hier über die BaFin. Ein doppelter Meldeweg zu BaFin und BSI ist für DORA-Finanzunternehmen nicht vorgesehen.

Müssen sich Banken beim BSI registrieren, obwohl sie DORA unterliegen?

Ja, sofern sie als besonders wichtige oder wichtige Einrichtung gelten. Die BSI-Registrierung nach § 33 BSIG wird durch § 28 Absatz 6 BSIG nicht ausgeschlossen; das BSI bestätigt dies in seinen FAQ ausdrücklich. Die Registrierungsfrist endete am 6. März 2026; wer sich noch nicht registriert hat, sollte dies unverzüglich nachholen, um Bußgelder zu vermeiden.

Welche Sanktionen drohen Banken bei Verstößen gegen NIS2 und DORA?

Für DORA-Finanzunternehmen sind unter dem BSIG vor allem Verstöße gegen die Registrierungspflicht relevant; sie können mit einem Bußgeld von bis zu 500.000 Euro geahndet werden (§ 65 Abs. 2 Nr. 6, Abs. 5 BSIG). Die Bußgeldrahmen von bis zu 10 Millionen Euro (bei besonders wichtigen Einrichtungen mit über 500 Millionen Euro Umsatz bis zu 2 Prozent des Gesamtumsatzes) betreffen Pflichten wie §§ 30 und 32 BSIG, die für DORA-Finanzunternehmen nicht gelten. Unter DORA legen die Mitgliedstaaten die verwaltungsrechtlichen Sanktionen fest (Art. 50 DORA); für Kreditinstitute enthält in Deutschland unter anderem § 56 Absatz 5e KWG Bußgeldtatbestände für DORA-Verstöße.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen können je nach Einrichtungstyp, Größe und konkretem Geschäftsmodell variieren. Für eine auf Ihre Situation zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2/DORA-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie) — EUR-Lex, insbesondere Artikel 4, 21, 23, Erwägungsgrund 28 und Anhang I
2. Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) — EUR-Lex, insbesondere Artikel 1, 2, 5–16, 17–23, 24–27, 28–44, 46, 50 und 64
3. BSIG (NIS2UmsuCG-Fassung), insbesondere §§ 28, 32, 33, 38, 65, 66 und Anlage 1 — Bundesministerium der Justiz, Gesetze im Internet
4. IKT-bezogene Vorfälle: Behandlung, Klassifizierung und Meldung — Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)
5. FAQ zu NIS-2 (u. a. Registrierung DORA-regulierter Einrichtungen) — Bundesamt für Sicherheit in der Informationstechnik (BSI)
6. Delegierte Verordnung (EU) 2025/301 (Fristen für DORA-Vorfallmeldungen) — Amt für Veröffentlichungen der EU
7. DORA kommt: Änderungen bei den aufsichtlichen Anforderungen an die IT (BAIT, VAIT, ZAIT, KAIT) — Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)