Deutsche Finanzunternehmen stehen seit 2025 vor einer ungewöhnlichen regulatorischen Lage: Zwei bedeutende EU-Regelwerke für Cybersicherheit greifen auf denselben Sektor zu. DORA (Regulation (EU) 2022/2554) ist seit dem 17. Januar 2025 direkt anwendbar. Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) trat am 6. Dezember 2025 in Kraft und hat das BSI-Gesetz (BSIG) neu gefasst. Viele Compliance-Teams stellen sich seitdem dieselbe Frage: Müssen wir beide Regelwerke vollständig einhalten — oder ersetzt DORA die NIS2-Pflichten?
Der deutsche Gesetzgeber hat diese Frage ausdrücklich beantwortet. Nach § 28 Abs. 6 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG — also unter anderem Risikomanagementmaßnahmen, Meldepflichten und die Pflichten der Geschäftsleitung — nicht für Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA. Bestehen bleibt vor allem die Registrierungspflicht beim BSI nach § 33 BSIG. Wer das nicht weiß, riskiert entweder unnötige Doppelarbeit — oder eine versäumte Registrierung.
Dieser Leitfaden erklärt die rechtliche Beziehung zwischen DORA und NIS2, zeigt, welche Pflichten DORA verdrängt und was nach dem BSIG bestehen bleibt — und gibt deutschen Finanzunternehmen eine praktische Strategie, um Doppelarbeit zu vermeiden.
Dieser Artikel enthält allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. NIS2-Anforderungen variieren je nach Mitgliedstaat, Sektor und Unternehmensgröße — konsultieren Sie für Ihre spezifische Situation einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.
Kostenloses PDFLesen Sie sich gerade in NIS2 ein? Prüfen Sie Ihre Lücken direkt mit.
Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.
Auf einen Blick: NIS2 und DORA im direkten Vergleich
Bevor wir das Verhältnis beider Regelwerke klären, hier die wichtigsten Unterschiede im Überblick:
| Merkmal | NIS2 | DORA |
|---|---|---|
| Rechtsform | EU-Richtlinie (nationale Umsetzung erforderlich, in Deutschland im BSIG) | EU-Verordnung (unmittelbar anwendbar) |
| Gilt in Deutschland seit | 6. Dezember 2025 (NIS2UmsuCG) | 17. Januar 2025 |
| Anwendungsbereich | 18 Sektoren nach Anhang I und II NIS2 (in Deutschland: Anlagen 1 und 2 BSIG); Schätzung der Bundesregierung: rund 30.000 Einrichtungen. Im Finanzwesen nur Kreditinstitute, Handelsplätze und zentrale Gegenparteien | Ausschließlich Finanzsektor: 20 Arten von Finanzunternehmen (Art. 2 Abs. 1 Buchst. a–t DORA), u. a. Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungen; dazu Regeln für IKT-Drittdienstleister |
| Zuständige Behörde (DE) | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) |
| Maximale Sanktionen | Bis zu 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen); umsatzbezogene Obergrenzen von 2 % bzw. 1,4 % nur bei mehr als 500 Mio. € Gesamtumsatz (§ 65 BSIG) | National geregelt (Art. 50 DORA); gegenüber kritischen IKT-Drittdienstleistern Zwangsgelder bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes (Art. 35 Abs. 8 DORA) |
| Schwerpunkt | Allgemeine Cybersicherheitsresilienz, sektorübergreifend | Digitale operationale Resilienz, IKT-Risiken im Finanzsektor |
Der entscheidende strukturelle Unterschied: NIS2 ist eine Richtlinie, die nationaler Umsetzung bedurfte. DORA ist eine Verordnung und galt in Deutschland ohne zusätzliche Gesetzgebung — knapp elf Monate früher als das NIS2-Umsetzungsgesetz. Für Finanzunternehmen bedeutete das, ab Januar 2025 bereits DORA-konform sein zu müssen. Als das NIS2UmsuCG Ende 2025 in Kraft trat, nahm es DORA-Finanzunternehmen von den meisten BSIG-Pflichten von vornherein aus.
Das Lex-Specialis-Prinzip: Warum DORA vorgeht
Die rechtliche Grundlage des Vorrangverhältnisses findet sich in zwei EU-Normen, die zusammengelesen werden müssen — und in einer ausdrücklichen Regel im deutschen BSIG.
Artikel 1 Abs. 2 DORA bestimmt, dass DORA in Bezug auf Finanzunternehmen, die nach nationalem Recht als wesentliche oder wichtige Einrichtungen im Sinne der NIS2-Richtlinie ermittelt wurden, „für die Zwecke von Artikel 4 der genannten Richtlinie als sektorspezifischer Rechtsakt der Union” gilt. Erwägungsgrund 16 DORA hält ausdrücklich fest: „Folglich verkörpert diese Verordnung eine Lex specialis zur Richtlinie (EU) 2022/2555.”
Artikel 4 Abs. 1 NIS2 legt fest: Müssen Einrichtungen nach sektorspezifischen Rechtsakten der Union Maßnahmen zum Cybersicherheitsrisikomanagement ergreifen oder erhebliche Sicherheitsvorfälle melden und sind diese Anforderungen in ihrer Wirkung mindestens gleichwertig, finden die einschlägigen NIS2-Bestimmungen — einschließlich der Bestimmungen über Aufsicht und Durchsetzung in Kapitel VII — auf diese Einrichtungen keine Anwendung.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt auf seiner Informationsseite zu DORA und NIS-2: Die Regelungen der DORA haben Vorrang vor den Bestimmungen des BSIG „in Bezug auf das Cybersicherheitsrisikomanagement und die Meldung erheblicher Sicherheitsvorfälle” — solange und soweit sie mindestens gleichwertig sind.
Der deutsche Gesetzgeber hat das in § 28 Abs. 6 BSIG konkretisiert: „Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für 1. Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten […]”. An die Stelle der ausgenommenen BSIG-Pflichten treten die DORA-Regelungen, insbesondere in diesen Bereichen (vgl. Art. 1 Abs. 1 DORA und Erwägungsgrund 28 NIS2):
- IKT-Risikomanagement (Artikel 5–16 DORA): Governance, Risikotoleranz, Schutzmaßnahmen, Erkennung, Reaktion und Wiederherstellung
- Behandlung und Meldung IKT-bezogener Vorfälle (Artikel 17–23 DORA): Klassifizierung schwerwiegender IKT-bezogener Vorfälle und Meldung an die zuständige Behörde
- Tests der digitalen operationalen Resilienz (Artikel 24–27 DORA), einschließlich bedrohungsorientierter Penetrationstests (TLPT) für bestimmte Finanzunternehmen
- Management des IKT-Drittparteienrisikos (Artikel 28–44 DORA): Vertragsanforderungen, Informationsregister, Überwachung kritischer IKT-Drittdienstleister durch die Europäischen Aufsichtsbehörden (ESAs)
- Informationsaustausch über Cyberbedrohungen (Artikel 45 DORA)
Für die in § 28 Abs. 6 BSIG genannten Pflichten müssen DORA-Finanzunternehmen das BSIG also nicht parallel erfüllen. Maßstab ist allein DORA mit den zugehörigen technischen Standards.
Nicht ausgenommen ist dagegen insbesondere die Registrierungspflicht nach § 33 BSIG — sofern das Finanzunternehmen überhaupt als besonders wichtige oder wichtige Einrichtung gilt.
Für eine Einführung in die Grundlagen der NIS2-Richtlinie lesen Sie unseren Artikel: Was ist die NIS2-Richtlinie?
Was von NIS2 trotz DORA-Compliance weiterhin gilt
Das ist der Bereich, der in der Praxis am häufigsten übersehen wird: Auch ein vollständig DORA-konformes Finanzunternehmen kann eine konkrete Pflicht aus dem BSIG haben — die Registrierung. Ein Verstoß dagegen ist ein eigenständiger Compliance-Fehler mit eigenem Bußgeldrisiko.
Registrierungspflicht beim BSI
§ 33 BSIG verlangt, dass besonders wichtige und wichtige Einrichtungen sich beim BSI registrieren — spätestens drei Monate, nachdem sie erstmals als solche Einrichtung gelten. Für Einrichtungen, die bereits beim Inkrafttreten des NIS2UmsuCG erfasst waren, endete die Frist am 6. März 2026; wer noch nicht registriert ist, sollte dies unverzüglich nachholen. Die Registrierung erfolgt über das BSI-Portal (Zugang über „Mein Unternehmenskonto” mit ELSTER-Organisationszertifikat). Änderungen sind unverzüglich, spätestens binnen zwei Wochen mitzuteilen (§ 33 Abs. 5 BSIG). DORA enthält kein Äquivalent zu dieser Registrierungspflicht — die BaFin-Aufsicht unter DORA ersetzt die BSI-Registrierung nicht. Eine unterlassene oder verspätete Registrierung kann mit einer Geldbuße von bis zu 500.000 € geahndet werden (§ 65 Abs. 2 Nr. 6 i. V. m. Abs. 5 Nr. 5 BSIG).
Wer ist betroffen? Die Einstufung nach § 28 BSIG
Ob ein Finanzunternehmen überhaupt unter das BSIG fällt, richtet sich nach § 28 BSIG. Der Sektor „Finanzwesen” in Anlage 1 BSIG umfasst nur drei Einrichtungsarten:
- Kreditinstitute (Bankwesen)
- Handelsplätze im Sinne von § 2 Abs. 22 WpHG (Finanzmarktinfrastrukturen)
- Zentrale Gegenparteien (Finanzmarktinfrastrukturen)
Hinzu kommen die Größenschwellen: besonders wichtig ab 250 Beschäftigten oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme; wichtig ab 50 Beschäftigten oder jeweils mehr als 10 Mio. € Jahresumsatz und Bilanzsumme (§ 28 Abs. 1 und 2 BSIG).
Versicherer, Zahlungsinstitute oder Wertpapierfirmen sind in Anlage 1 und 2 BSIG nicht als eigene Einrichtungsarten genannt. Sie können aber auf anderem Weg erfasst sein, etwa als Betreiber kritischer Anlagen (§ 28 Abs. 1 Nr. 1 BSIG) oder über eine weitere Tätigkeit in einem anderen Sektor — prüfen Sie das im Einzelfall. Die inhaltlichen Folgen der Einstufung sind für DORA-Finanzunternehmen begrenzt: Risikomanagement (§ 30), Meldepflichten (§ 32), Nachweispflichten (§ 39) und die Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung (§ 38) gelten wegen § 28 Abs. 6 BSIG nicht. Die Verantwortung der Leitung ergibt sich stattdessen aus Art. 5 DORA: Das Leitungsorgan „definiert, genehmigt, überwacht und verantwortet” die Umsetzung des IKT-Risikomanagementrahmens.
Welche BSIG-Pflichten für DORA-Finanzunternehmen gelten
Anders als oft angenommen, beschränkt sich DORA nicht auf IKT im engsten Sinne: Das „IKT-Risiko” umfasst ausdrücklich nachteilige Auswirkungen „im digitalen oder physischen Umfeld” (Art. 3 Nr. 5 DORA), und Art. 9 Abs. 4 Buchst. c DORA verlangt Richtlinien, die den „physischen oder logischen Zugang” zu Informations- und IKT-Assets beschränken. Die BSIG-Pflichten im Überblick:
| BSIG-Pflicht | Gilt trotz DORA? | Warum |
|---|---|---|
| BSI-Registrierung (§ 33 BSIG) | Ja (sofern besonders wichtige oder wichtige Einrichtung) | Nicht in § 28 Abs. 6 BSIG genannt; kein DORA-Äquivalent |
| Aufsichts- und Durchsetzungsmaßnahmen (§§ 61, 62 BSIG) | Nicht ausgenommen | § 28 Abs. 6 nennt §§ 61, 62 nicht — anders als § 28 Abs. 5 für Telekommunikation und Energie |
| Risikomanagementmaßnahmen (§ 30 BSIG), einschließlich Lieferkette und Betriebskontinuität | Nein | § 28 Abs. 6 BSIG; stattdessen Art. 5–16 und 28–30 DORA |
| Besondere Anforderungen an Betreiber kritischer Anlagen (§ 31 BSIG) | Nein | § 28 Abs. 6 BSIG |
| Meldepflichten (§ 32 BSIG) | Nein | § 28 Abs. 6 BSIG; Meldung an die BaFin nach Art. 19 DORA |
| Unterrichtungspflichten (§ 35 BSIG) | Nein | § 28 Abs. 6 BSIG; Kundeninformation nach Art. 19 Abs. 3 DORA |
| Pflichten der Geschäftsleitung (§ 38 BSIG) | Nein | § 28 Abs. 6 BSIG; Verantwortung des Leitungsorgans nach Art. 5 DORA |
| Nachweispflichten für Betreiber kritischer Anlagen (§ 39 BSIG) | Nein | § 28 Abs. 6 BSIG |
Für einen vollständigen Überblick der NIS2-Anforderungen und ihrer technischen Umsetzung empfehlen wir unseren Leitfaden: NIS2-Anforderungen für Unternehmen.
Die Gemeinsamkeiten: Was beide Regelwerke gemeinsam verlangen
Inhaltlich decken DORA und das BSIG ähnliche Themen ab — DORA in der Regel deutlich detaillierter. Relevant ist dieser Abgleich vor allem für Gruppen, in denen neben DORA-Finanzunternehmen auch Gesellschaften bestehen, die nicht unter DORA fallen, aber eigenständig unter das BSIG fallen können (etwa konzerneigene IT-Dienstleister oder Betreiber kritischer Anlagen). Dort lohnt ein konsolidiertes Programm statt zwei paralleler Projekte.
| Anforderungsbereich | NIS2 (BSIG) | DORA | Hinweis |
|---|---|---|---|
| IKT-Risikomanagement | Risikobasierte Maßnahmen (§ 30 BSIG) | Umfassender Rahmen (Art. 5–16) | Für DORA-Finanzunternehmen gilt nur DORA (§ 28 Abs. 6 BSIG) |
| Management-Verantwortung | Umsetzung und Überwachung durch die Geschäftsleitung (§ 38 Abs. 1 BSIG) | Leitungsorgan definiert, genehmigt, überwacht und verantwortet (Art. 5 Abs. 2 DORA) | Für DORA-Finanzunternehmen gilt nur Art. 5 DORA |
| Vorfallmanagement | Meldung an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG) | Klassifizierung und Meldung an die BaFin (Art. 17–19) | DORA-Finanzunternehmen melden nur an die BaFin |
| Business Continuity | Aufrechterhaltung des Betriebs, Backup, Krisenmanagement (§ 30 Abs. 2 Nr. 3 BSIG) | IKT-Geschäftsfortführungsleitlinie, Reaktions- und Wiederherstellungspläne (Art. 11–12) | Ein BCM-Programm kann konzernweit genutzt werden |
| Drittanbieter-Risiko | Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) | Informationsregister, Vertragsanforderungen (Art. 28–30) | DORA deutlich umfangreicher |
| Schulungen und Awareness | Schulungen der Geschäftsleitung (§ 38 Abs. 3 BSIG), Sensibilisierung (§ 30 Abs. 2 Nr. 7 BSIG) | Verpflichtende Programme für alle Beschäftigten und die Geschäftsleitung (Art. 13 Abs. 6) | Ein konsolidiertes Schulungsprogramm möglich |
Die wichtigste Erkenntnis: Für das DORA-Finanzunternehmen selbst gibt es keine zweite, parallele BSIG-Compliance für Risikomanagement, Meldungen oder Geschäftsleitungspflichten. Das Compliance-Risiko liegt an anderer Stelle: bei der Registrierung nach § 33 BSIG und bei Konzerngesellschaften, die nicht unter DORA fallen, aber eigenständig BSIG-Pflichten haben können.
Die Unterschiede im Detail: Was DORA zusätzlich verlangt
Wo DORA gilt, ersetzt sie die BSIG-Pflichten nicht nur — sie geht in mehreren Bereichen deutlich darüber hinaus.
Meldepflichten: Ein Meldeweg über die BaFin
Ein häufiges Missverständnis: Bei einem schwerwiegenden Vorfall müssten Finanzunternehmen sowohl an die BaFin als auch an das BSI melden. Das ist nicht der Fall. Die BaFin ist in Deutschland zentraler Melde-Hub für DORA-Vorfälle und leitet die Meldungen an weitere zuständige Behörden weiter, unter anderem an das BSI. Nach Angaben der BaFin sind Finanzunternehmen, die unter DORA fallen, „von der sonst geltenden Meldepflicht nach § 32” BSIG befreit. Die Fristen im Vergleich:
| Meldephase | DORA → BaFin (gilt für Finanzunternehmen) | Zum Vergleich: § 32 BSIG → BSI (gilt nicht für DORA-Finanzunternehmen) |
|---|---|---|
| Erstmeldung | Innerhalb von 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntniserlangung; bei späterer Einstufung binnen 4 Stunden danach (Art. 5 Delegierte VO (EU) 2025/301) | Frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung |
| Zwischenmeldung / Meldung | Spätestens 72 Stunden nach Übermittlung der Erstmeldung | Meldung spätestens 72 Stunden nach Kenntniserlangung |
| Abschlussmeldung | Spätestens 1 Monat nach der (letzten aktualisierten) Zwischenmeldung | Spätestens 1 Monat nach Übermittlung der Meldung |
| Formular und Kanal | Vorlagen nach Durchführungsverordnung (EU) 2025/302; Einreichung über die Melde- und Veröffentlichungsplattform (MVP) der BaFin | Gemeinsame Meldestelle von BSI und BBK über das BSI-Portal |
Für DORA-Finanzunternehmen genügt also eine Meldung an die BaFin. Der Incident-Management-Prozess muss vor allem die kurze DORA-Frist von vier Stunden ab Einstufung zuverlässig einhalten — mit klaren Verantwortlichkeiten für die Klassifizierung.
DORA-spezifisch: Das Register of Information
Artikel 28 Abs. 3 DORA verlangt ein Informationsregister zu allen vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die von IKT-Drittdienstleistern bereitgestellt werden. Laut BaFin gehören dazu unter anderem Angaben zu sämtlichen Verträgen, zum direkten IKT-Drittdienstleister und — bei Dienstleistungen, die kritische oder wichtige Funktionen unterstützen — zu allen Unterauftragnehmern, die diese Dienstleistung wirksam unterstützen. Das Register ist der BaFin jährlich über die MVP einzureichen; es muss den Stand zum 31. Dezember des Vorjahres wiedergeben, und der Einreichungsprozess ist bis spätestens 31. März vollständig und fehlerfrei zu durchlaufen. Das BSIG enthält keine vergleichbar granulare Dokumentationsanforderung — das Register ist ein reiner DORA-Aufwand.
DORA-spezifisch: Threat-Led Penetration Testing
Finanzunternehmen, die von der zuständigen Behörde nach Art. 26 Abs. 8 DORA bestimmt werden, müssen mindestens alle drei Jahre erweiterte Tests in Form bedrohungsorientierter Penetrationstests (TLPT) durchführen (Art. 26 Abs. 1 DORA). Die Kriterien für die Auswahl und die Testmethodik regelt die Delegierte Verordnung (EU) 2025/1190, die im Einklang mit dem TIBER-EU-Rahmen ausgearbeitet wurde. Diese Form des bedrohungsorientierten Testens hat kein direktes Pendant in der NIS2-Richtlinie. Für betroffene Institute bedeutet das einen zusätzlichen, eigenständigen Testaufwand.
DORA-spezifisch: EU-Überwachung kritischer IKT-Drittdienstleister
Unter DORA überwachen die Europäischen Aufsichtsbehörden EBA, ESMA und EIOPA kritische IKT-Drittdienstleister — etwa große Cloud-Anbieter —, unabhängig von deren Sitzstaat. Im November 2025 haben die ESAs erstmals eine Liste von 19 kritischen IKT-Drittdienstleistern veröffentlicht. Für jeden von ihnen übernimmt eine der ESAs als federführende Überwachungsbehörde (Lead Overseer) die Überwachung. Diese Form der paneuropäischen Überwachung existiert unter NIS2 nicht. Die Finanzunternehmen bleiben dabei für ihr IKT-Drittparteienrisiko verantwortlich; Art. 30 DORA schreibt Mindestinhalte für Verträge vor, etwa die Pflicht des Dienstleisters, vollumfänglich mit den zuständigen Behörden zusammenzuarbeiten, sowie — bei kritischen oder wichtigen Funktionen — Zugangs-, Inspektions- und Prüfungsrechte.
Sanktionsstruktur: EU-weit einheitlich vs. national geregelt
Die NIS2-Richtlinie gibt den Mitgliedstaaten Mindest-Höchstbeträge für Bußgelder vor (Art. 34 NIS2). In Deutschland sieht § 65 BSIG bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen vor; die umsatzbezogenen Obergrenzen von 2 bzw. 1,4 Prozent des weltweiten Gesamtumsatzes greifen nur bei mehr als 500 Millionen Euro Gesamtumsatz. Für DORA-Finanzunternehmen sind die meisten dieser Tatbestände wegen § 28 Abs. 6 BSIG ohne Bedeutung; relevant bleibt vor allem die unterlassene Registrierung (bis zu 500.000 €). DORA überlässt Sanktionen gegenüber Finanzunternehmen den Mitgliedstaaten (Art. 50 DORA) ohne EU-weit fixierte Höchstbeträge. Lediglich gegenüber kritischen IKT-Drittdienstleistern kann die federführende Überwachungsbehörde Zwangsgelder von bis zu einem Prozent des durchschnittlichen weltweiten Tagesumsatzes verhängen — täglich, für höchstens sechs Monate (Art. 35 Abs. 6–8 DORA).
Meldepflichten in der Praxis: Ein Prozess, ein Meldeweg
Der häufigste operative Fehler: Finanzunternehmen bauen für ihre DORA-Einheiten zusätzlich einen BSI-Meldeweg nach § 32 BSIG auf. Das führt zu Doppelarbeit und unklaren Zuständigkeiten — obwohl die BSIG-Meldepflicht für DORA-Finanzunternehmen nicht gilt.
Der effizientere Ansatz ist ein einheitlicher interner Incident-Management-Prozess. Ein zweiter Ausgabekanal ist nur nötig, wenn zur Gruppe Gesellschaften gehören, die nicht unter DORA fallen, aber eigenständig meldepflichtig nach § 32 BSIG sind:
| Prozessschritt | DORA-Finanzunternehmen (BaFin) | Nicht-DORA-Gesellschaft mit BSIG-Pflichten (BSI) |
|---|---|---|
| Erkennung und erste Bewertung | Einheitlicher interner Prozess (CISO-Team) | |
| Klassifizierung | Prüfung nach Art. 18 DORA und Delegierter VO (EU) 2024/1772 (schwerwiegend?) | Prüfung nach § 2 Nr. 11 BSIG (erheblicher Sicherheitsvorfall?) |
| Erstmeldung | 4 Stunden ab Einstufung, spätestens 24 Stunden ab Kenntnis → BaFin (MVP) | 24 Stunden ab Kenntnis → BSI-Portal |
| Eskalation intern | CISO + Compliance Officer + Vorstand | |
| Zwischenmeldung / Meldung | 72 Stunden nach Erstmeldung → BaFin | 72 Stunden ab Kenntnis → BSI |
| Abschlussmeldung | 1 Monat nach (letzter) Zwischenmeldung → BaFin | 1 Monat nach Meldung → BSI |
Die Auslösekriterien unterscheiden sich: Art. 18 DORA stellt unter anderem auf die Zahl betroffener Kunden, Gegenparteien und Transaktionen, die Dauer und Ausfallzeit, die geografische Ausbreitung, Datenverluste, die Kritikalität der Dienste und die wirtschaftlichen Auswirkungen ab. Das BSIG nutzt eigene Erheblichkeitskriterien. Für das DORA-Finanzunternehmen selbst ist allein die DORA-Klassifizierung maßgeblich; die BSIG-Kriterien spielen nur für nicht DORA-pflichtige Gesellschaften eine Rolle.
Zur Vorbereitung auf die NIS2-spezifischen Meldepflichten nach NIS2 empfehlen wir unseren detaillierten Leitfaden.
Konsolidierte Compliance-Strategie für Finanzunternehmen
Weil DORA die zentralen BSIG-Pflichten verdrängt, ist ein integriertes Programm die kosteneffizienteste Antwort: DORA bildet den Maßstab, das BSIG wird nur dort berücksichtigt, wo es tatsächlich gilt. Zwei getrennte Projekte bedeuten doppelte Gap-Analysen, doppelte Audit-Vorbereitungen und doppelte Governance-Strukturen — ohne regulatorischen Mehrwert.
Vier-Schritte-Ansatz
Schritt 1: Anwendungsbereich klären
Prüfen Sie für jede Gesellschaft der Gruppe zweierlei: Ist sie Finanzunternehmen nach Art. 2 DORA? Und gilt sie nach § 28 BSIG als besonders wichtige oder wichtige Einrichtung (etwa als Kreditinstitut, Handelsplatz, zentrale Gegenpartei oder Betreiber kritischer Anlagen)? Daraus folgt, ob eine BSI-Registrierung nach § 33 BSIG erforderlich ist — und ob nicht DORA-pflichtige Gesellschaften eigenständige BSIG-Pflichten haben.
Schritt 2: Einheitlicher Incident-Prozess
Bauen Sie einen einzigen internen Incident-Management-Prozess. Für DORA-Finanzunternehmen führt er zur Meldung an die BaFin; ein BSI-Meldeweg ist nur für Gesellschaften nötig, die eigenständig nach § 32 BSIG meldepflichtig sind. Die DORA-Fristen — vier Stunden ab Einstufung, spätestens 24 Stunden ab Kenntnis — sollten als automatische Eskalationsschritte im Prozess verankert sein.
Schritt 3: DORA-Register als TPRM-Fundament
Das Informationsregister nach Art. 28 Abs. 3 DORA ist detaillierter als die Lieferkettenanforderungen des BSIG. Nutzen Sie es als Grundlage des gesamten Third-Party Risk Managements. Für Konzerngesellschaften, die der Lieferkettenpflicht nach § 30 Abs. 2 Nr. 4 BSIG unterliegen, können dieselben Daten als Ausgangspunkt dienen.
Schritt 4: Gemeinsames Digital-Resilience-Komitee
Etablieren Sie ein gemeinsames Gremium aus CISO, Compliance Officer, Legal und Vorstandsrepräsentant, das das DORA-Programm und — wo vorhanden — die BSIG-Pflichten einzelner Gesellschaften gemeinsam überwacht. Getrennte Teams mit getrennten Budgets und getrennten Reporting-Linien verdoppeln Aufwand und Koordinationsrisiko ohne jeden regulatorischen Vorteil.
Rollenverantwortung im Überblick
| Funktion | Verantwortung DORA | Verantwortung BSIG (verbleibend) |
|---|---|---|
| Vorstand / Leitungsorgan | Genehmigung der Strategie für die digitale operationale Resilienz einschließlich der Toleranzschwelle für IKT-Risiken (Art. 5 Abs. 2 DORA) | Sicherstellen, dass die Registrierung nach § 33 BSIG erfolgt ist; § 38 BSIG gilt für DORA-Finanzunternehmen nicht (§ 28 Abs. 6 BSIG) |
| CISO | IKT-Risikomanagementrahmen, TLPT-Programm (sofern bestimmt), Incident-Klassifizierung nach DORA | Keine eigenständigen BSIG-Risikomanagementpflichten; ggf. Unterstützung nicht DORA-pflichtiger Konzerngesellschaften |
| Compliance Officer | Informationsregister, Drittanbieter-Compliance, Meldungen an die BaFin (MVP) | BSI-Registrierung (§ 33 BSIG) und Änderungsmitteilungen, Einstufungsprüfung nach § 28 BSIG |
| Legal | Vertragsanforderungen nach Art. 30 DORA, Kooperation mit den Aufsichtsbehörden | Prüfung des Anwendungsbereichs (§ 28 Abs. 6 BSIG, Art. 2 DORA) für alle Gruppengesellschaften |
| IT-Abteilung | TLPT-Durchführung, BC/DR-Systeme, Wiederherstellungsziele und Tests | Zugang zum BSI-Portal (ELSTER-Organisationszertifikat / Mein Unternehmenskonto) für die Registrierung |
Fazit: DORA als Maßstab — die BSI-Registrierung bleibt
Für deutsche Finanzunternehmen lautet die richtige Formel nicht „DORA und NIS2 parallel”, sondern „DORA als Maßstab, das BSIG nur dort, wo es ausdrücklich gilt”. Das Lex-Specialis-Prinzip aus Artikel 1 Abs. 2 DORA in Verbindung mit Artikel 4 NIS2 — umgesetzt in § 28 Abs. 6 BSIG und bestätigt durch das BSI — nimmt DORA-Finanzunternehmen von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus. Bestehen bleibt vor allem die Registrierung beim BSI nach § 33 BSIG für Finanzunternehmen, die als besonders wichtige oder wichtige Einrichtung gelten.
Der strategisch klügste Ansatz ist ein konsolidiertes Programm: DORA setzt den Standard für IKT-Risiken, Meldungen, Tests und Drittparteienrisiko; BSIG-Pflichten werden nur für die Registrierung und für nicht DORA-pflichtige Gruppengesellschaften berücksichtigt. Der unmittelbare Handlungsbedarf für Finanzunternehmen, die als besonders wichtige oder wichtige Einrichtung gelten und noch nicht beim BSI registriert sind: Die Registrierungsfrist ist abgelaufen — die Registrierung sollte unverzüglich nachgeholt werden.
Dieser Artikel stellt allgemeine Informationen bereit und ersetzt keine individuelle Rechts- oder Compliance-Beratung. Anforderungen können je nach Unternehmenstyp, Sektor und nationalem Recht variieren. Konsultieren Sie einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten für Ihre spezifische Situation.
Quellen
- Regulation (EU) 2022/2554 — Digital Operational Resilience Act: eur-lex.europa.eu
- § 28 BSIG — Besonders wichtige Einrichtungen und wichtige Einrichtungen (Abs. 6: Ausnahme für DORA-Finanzunternehmen): gesetze-im-internet.de
- Delegierte Verordnung (EU) 2025/301 — Fristen für Erst-, Zwischen- und Abschlussmeldung: eur-lex.europa.eu
- BSI — Zusammenhang von DORA und NIS-2: bsi.bund.de
- BaFin — IKT-bezogene Vorfälle: Behandlung, Klassifizierung und Meldung: bafin.de
- PayTechLaw — NIS2 meets DORA: What changes for financial institutions (englisch): paytechlaw.com
Sie kennen jetzt die Anforderungen. Wissen Sie, welche Nachweise Ihnen noch fehlen?
Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.
