Richtlinie gegen Verordnung: der rechtliche Grundunterschied
Der wichtigste Unterschied liegt in der Rechtsform. NIS2 ist eine Richtlinie: Sie setzt Ziele, die jeder Mitgliedstaat mit eigenem nationalem Gesetz erreichen muss, in Deutschland mit dem NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft trat. DORA ist eine Verordnung: Sie gilt seit ihrer Anwendbarkeit am 17. Januar 2025 unmittelbar und unverändert in allen EU-Mitgliedstaaten, ohne dass ein nationales Umsetzungsgesetz nötig wäre. Veröffentlicht wurde die DORA-Verordnung bereits am 27. Dezember 2022 im Amtsblatt der EU, mit einer rund zweijährigen Übergangsfrist bis zur verbindlichen Anwendung.
Warum DORA als lex specialis gilt
DORA beschreibt sich in ihrem Erwägungsgrund 15 ausdrücklich als lex specialis zur NIS2-Richtlinie: Weil DORA für Finanzunternehmen strengere und spezifischere Anforderungen an IKT-Risikomanagement und Vorfallmeldung stellt als die horizontale NIS2-Richtlinie, geht sie in diesen Punkten vor. Das BSI bestätigt dieses Verhältnis für die deutsche Umsetzung: Die DORA-Regelungen haben Vorrang vor den entsprechenden NIS2-Bestimmungen im BSI-Gesetz, solange sie mindestens gleichwertig sind. Der Gedanke dahinter ist einfach: Ein Finanzunternehmen soll nicht zwei parallele, möglicherweise widersprüchliche Meldewege gleichzeitig bedienen müssen, sondern folgt für die geregelten Bereiche einem einzigen, spezifischeren Rahmenwerk. Für die Aufsichtsbehörden erleichtert das ausserdem die Zuständigkeit, weil klar ist, welche Stelle im Ernstfall die Meldung entgegennimmt und bewertet.
Kein Freifahrtschein: der Vorrang gilt nur in zwei Bereichen
Ein verbreitetes Missverständnis ist, DORA würde Finanzunternehmen komplett von NIS2 befreien. Das BSI stellt klar, dass es keine pauschale Ausnahme gibt, sondern einen partiellen Anwendungsausfall für zwei konkrete Bereiche. Ausserhalb dieser beiden Bereiche bleibt die NIS2-Richtlinie für Finanzunternehmen grundsätzlich anwendbar, sodass eine vollständige Befreiung ein Trugschluss wäre, der im Ernstfall zu Lücken in der Compliance führen kann.
- Cybersicherheitsrisikomanagement: hier ersetzt das DORA-Rahmenwerk die entsprechenden NIS2-Anforderungen
- Meldung erheblicher Sicherheitsvorfälle: hier gilt der DORA-Meldeweg an die Finanzaufsicht statt des NIS2-Meldewegs
- Andere NIS2-Pflichten, etwa Registrierung oder Schulung der Geschäftsleitung, können für Finanzunternehmen zusätzlich weiterlaufen
Wer betroffen ist, ohne selbst Bank oder Versicherer zu sein
DORA erfasst nicht nur klassische Finanzunternehmen wie Banken, Versicherungen und Wertpapierfirmen, sondern ausdrücklich auch deren kritische IKT-Drittdienstleister, also IT-Dienstleister, Cloud-Anbieter oder Software-Häuser, die für den Finanzsektor arbeiten. Wer als Dienstleister für Finanzunternehmen tätig ist, kann damit über Vertrag und Auditpflichten in den DORA-Anwendungsbereich gezogen werden, unabhängig von der eigenen Unternehmensgrösse. Umgekehrt gilt: Ein Unternehmen ausserhalb des Finanzsektors bleibt bei NIS2, selbst wenn es digital hochkritisch arbeitet. Für einen IT-Dienstleister lohnt sich deshalb eine klare Prüfung, für welche seiner Kunden er als kritisch eingestuft werden könnte, denn diese Einstufung bestimmt, welche vertraglichen DORA-Anforderungen künftig weitergereicht werden.
Wie IT am Main unterstützt
ITM klärt für Finanzunternehmen und deren IKT-Dienstleister zuerst, welches Regime im konkreten Fall greift, und baut darauf das Rahmenwerk für Risikomanagement, Meldewesen und Drittparteisteuerung auf einem bestehenden ISO-27001-Fundament auf. Das schliesst die Frage ein, welche NIS2-Pflichten neben DORA zusätzlich weiterlaufen, damit am Ende kein Bereich versehentlich unbeachtet bleibt. Gerade bei IKT-Dienstleistern für Finanzunternehmen klären wir zusätzlich, welche Nachweise der Finanzkunde vertraglich tatsächlich verlangt, statt vorsorglich jede denkbare Anforderung zu bearbeiten. Details finden Sie unter NIS2 & DORA.
Quellen
- Verordnung (EU) 2022/2554 (DORA), Erwägungsgrund 15, EUR-Lex, Amt für Veröffentlichungen der Europäischen Union, 2022
- #nis2know: DORA und NIS-2, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2026
- DORA: EU-Verordnung über die digitale operationale Resilienz im Finanzsektor, IHK Köln, 2025