NIS2-Leitfaden · 8 Min.
NIS2 vs DORA: worin sie sich unterscheiden, wo sie sich überschneiden und welches für Sie gilt
NIS2 und DORA sind die beiden EU-Regime für Cyberresilienz, die 2026 am ehesten auf demselben Schreibtisch landen, und sie werden ständig verwechselt. Sie verfolgen dasselbe Ziel (operative und Cyberresilienz) und stützen sich auf viele der gleichen Kontrollen, zielen aber auf unterschiedliche Organisationen, und für den Finanzsektor gewinnt eines von beiden, wo sie kollidieren. Dieser Leitfaden legt den Unterschied, die Überschneidung und die Frage dar, welches Ihres ist, mit einer klaren Antwort für die Lieferketten- und Drittparteienteams, die am Ende Kunden unter beiden bedienen.
Die wichtigsten Punkte
- NIS2 ist breit und sektorübergreifend; DORA ist das ICT-spezifische Regime des Finanzsektors.
- Für Finanzunternehmen ist DORA lex specialis. Es hat Vorrang vor den überschneidenden NIS2-Bestimmungen.
- So oder so nehmen beide Sie für das Drittparteienrisiko in die Pflicht und erwarten Sicherheit, die kontinuierlich ist, nicht jährlich.
Was beide sind
Beide stammen aus demselben EU-Resilienzpaket von 2022, sind aber unterschiedliche Instrumente, die auf unterschiedliche Adressaten zielen.
NIS2: breit, sektorübergreifend
Eine Richtlinie (in nationales Recht umzusetzen, Frist 17. Oktober 2024), die wesentliche und wichtige Einrichtungen in Energie, Verkehr, Gesundheit, Wasser, digitaler Infrastruktur, öffentlicher Verwaltung, dem verarbeitenden Gewerbe und mehr erfasst. Sie setzt eine Grundlage an Risikomanagementmaßnahmen (Art. 21) und Vorfallmeldung (Art. 23).
DORA: Finanzsektor, ICT-fokussiert
Eine Verordnung (unmittelbar geltend, anwendbar ab 17. Januar 2025) für den EU-Finanzsektor (Banken, Versicherer, Wertpapierfirmen, Anbieter von Krypto-Werten und mehr) samt Aufsicht über ihre kritischen IKT-Drittdienstleister. Sie setzt detaillierte Regeln für IKT-Risikomanagement, Resilienztests und Drittparteien-Governance.
Wo sie sich überschneiden
Setzen Sie eines gut um, und vieles vom anderen wird vertraut wirken. Beide verlangen:
- Verantwortlichkeit der Leitung: die Führung muss Cyber-/IKT-Risiko verantworten und beaufsichtigen und kann dafür haftbar gemacht werden.
- Risikomanagementmaßnahmen: dokumentierte, verhältnismäßige Kontrollen über den gesamten Sicherheitslebenszyklus.
- Vorfallmeldung: strukturierte Benachrichtigung der Behörden zu festgelegten Fristen.
- Drittparteien- und Lieferkettenrisiko. Sie stehen für das Cyberrisiko ein, das Ihre Dienstleister mitbringen.
- Tests und kontinuierliche Verbesserung: Resilienz wird über die Zeit beurteilt, nicht einmal zertifiziert und beiseitegelegt.
Die Kernregel: DORA ist lex specialis für Finanzunternehmen
Die beiden Regime wurden so entworfen, dass keine Doppelregulierung entsteht. Für ein Finanzunternehmen ist DORA lex specialis. Das speziellere Gesetz, das Vorrang hat. Wo DORA und NIS2 dasselbe Feld des IKT-Risikomanagements oder der Vorfallmeldung abdecken würden, gelten die Anforderungen von DORA, und die entsprechenden NIS2-Bestimmungen kommen nicht obendrauf.
In der Praxis heißt das: eine Bank führt nicht zwei parallele Cyberprogramme. Sie folgt DORA bei IKT-Risiko, Tests, Vorfallmeldung und Drittparteienaufsicht. NIS2 prägt weiterhin das Ökosystem um sie herum (viele ihrer Lieferanten eingeschlossen) aber bei den überschneidenden Themen wird das Finanzunternehmen selbst von DORA geregelt.
Lex specialis greift, wo der sektorspezifische Rechtsakt Anforderungen stellt, die NIS2 mindestens gleichwertig sind. Die Grenze kann bei gemischten Gruppen nuanciert sein; bestätigen Sie Ihren Status bei Ihrer zuständigen Behörde.
Sehen Sie, wie Ihre Lieferanten tatsächlich abschneiden
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Welches gilt für Sie?
Eine schnelle Entscheidungshilfe. Für viele Organisationen lautet die ehrliche Antwort 'das eine direkt, das andere über Ihre Kunden'.
Ein Finanzunternehmen (Bank, Versicherer, Wertpapierfirma, Anbieter von Krypto-Werten…)
DORA gilt als lex specialis für Ihr IKT-Risiko; die entsprechenden NIS2-Bestimmungen kommen nicht obendrauf.
Eine kritische Einrichtung außerhalb der Finanzwelt (Energie, Gesundheit, Verkehr, Wasser, digitale Infrastruktur, öffentliche Verwaltung…)
NIS2 gilt. Prüfen Sie die Sektoren in Anhang I/II und die Größenschwellen, um Ihre Stufe zu bestätigen.
Ein IKT-Anbieter für Finanzunternehmen
Das Drittparteienregime von DORA erreicht Sie über die Verträge Ihrer Kunden, und die größten Anbieter können als kritisch benannt und direkt von den ESAs beaufsichtigt werden. Sind Sie zugleich ein IKT- oder Managed-Service-Anbieter nach Anhang I, fallen Sie womöglich auch unter NIS2.
Ein Lieferant einer NIS2-Einrichtung
Die Lieferkettenpflicht aus NIS2 (Art. 21 Abs. 2 Buchst. d) erreicht Sie über die Sorgfaltsprüfung Ihrer Kunden (Fragebögen, Nachweisanforderungen, kontinuierliches Monitoring) auch wenn Sie selbst nicht benannt sind.
Das Fazit für Lieferkettenteams
Ob Ihr Kunde DORA oder NIS2 unterliegt, die Anforderung an Sie läuft auf dasselbe hinaus. Beide machen Organisationen für das Cyberrisiko ihrer Dienstleister verantwortlich, und beide behandeln Resilienz als etwas, das fortlaufend beurteilt und nicht einmal im Jahr attestiert wird. Die Frage für einen Lieferanten lautet daher selten 'NIS2 oder DORA?', sondern 'kann ich auf Anfrage zeigen, dass meine Sicherheit standhält?'
Deshalb wird Drittparteiensicherheit auf beiden Seiten der Linie kontinuierlich. Das DORA-Informationsregister einer Bank und das NIS2-Lieferantenprogramm eines Herstellers verlangen von ihren Lieferanten dasselbe: aktuellen, nachweisgestützten Beleg des Sicherheitsniveaus, keine Tabelle, die im letzten Frühjahr stimmte.
Quellen: Verordnung (EU) 2022/2554 (DORA) und Richtlinie (EU) 2022/2555 (NIS2). Bestätigen Sie die Überschneidungsgrenze mit Ihrer nationalen zuständigen Behörde und der einschlägigen ESA-Leitlinie.
Wie norppa.io hilft
norppa.io liefert die kontinuierliche, nachweisgestützte Sicherheit über Lieferanten und IKT-Anbieter, die sowohl NIS2 als auch DORA inzwischen erwarten. Jede überwachte Domain wird täglich an mehr als hundert Kontrollpunkten geprüft, die zeitkritischen alle sechs Stunden, mit Befunden, die bereit sind für den Export in Ihr DORA-Informationsregister oder Ihre NIS2-Lieferantenakte.
Selbstbewertungsfragebögen erfassen die Prozess- und Vertragskontrollen, und jede Antwort wird neben das aktuelle technische Profil gestellt: damit Sie, ob der Prüfer Ihres Kunden DORA oder NIS2 zitiert, aktuelle, bestätigte Nachweise statt Behauptungen vorlegen können.