DORA vs. NIS2: Welche Pflichten für Ihre Organisation gelten

Zwei Regelwerke dominieren derzeit die Gespräche europäischer Sicherheits- und Compliance-Teams: DORA, der Digital Operational Resilience Act, und NIS2, die zweite Richtlinie zur Netz- und Informationssicherheit. Beide befassen sich mit Cyber-Resilienz. Beide legen großes Gewicht auf Drittparteienrisiken. Und beide werden häufig miteinander verwechselt, was dazu führen kann, dass Organisationen entweder Aufwand doppelt betreiben oder, schlimmer, Lücken offenlassen. Dieser Artikel legt klar dar, was jede Regulierung verlangt und wie sie zusammenhängen.

Zwei unterschiedliche Ursprünge, ein gemeinsames Anliegen

NIS2 ist eine Richtlinie, die achtzehn kritische Sektoren in der Europäischen Union abdeckt, von Energie und Verkehr bis hin zu digitaler Infrastruktur und öffentlicher Verwaltung. Als Richtlinie und nicht als Verordnung muss sie in nationales Recht umgesetzt werden, weshalb Zeitpunkt und konkrete Anforderungen der Umsetzung je nach Land etwas variieren können.

DORA hingegen ist eine Verordnung, die in der gesamten Europäischen Union unmittelbar und einheitlich für zwanzig Kategorien von Finanzunternehmen gilt, darunter Banken, Versicherer, Wertpapierfirmen und Anbieter von Krypto-Dienstleistungen. Sie erfordert keine nationale Umsetzung, und ihre Anforderungen an das IKT-Risikomanagement und die Aufsicht über Drittparteien sind deutlich detaillierter als die der NIS2.

Das rechtliche Verhältnis der beiden zueinander

Artikel 1 Absatz 2 DORA stellt ausdrücklich klar, dass DORA für Finanzunternehmen in ihrem Anwendungsbereich als lex specialis wirkt. Praktisch bedeutet das: Wo NIS2 und DORA denselben Gegenstand regeln, hat DORA für Finanzunternehmen Vorrang. Eine Bank, die ihre DORA-Pflichten vollständig erfüllt, hat in den meisten Fällen auch die entsprechenden NIS2-Anforderungen erfüllt. NIS2 gilt weiterhin für alle Bereiche, die DORA nicht ausdrücklich abdeckt.

Für Organisationen außerhalb des Finanzsektors gilt NIS2 nach ihren eigenen Regeln, und ihre Pflicht aus Artikel 21 zum Management der Lieferkettensicherheit ist das nächstliegende Gegenstück zu dem, was DORA von Finanzunternehmen in weit größerem Detail verlangt.

Die Anforderungen an Drittparteien im Vergleich

Nach DORA müssen Organisationen ein Informationsregister führen, das jede IKT-Drittpartei auflistet, die kritische oder wichtige Funktionen unterstützt, samt Angaben zu Unterauftragnehmern, Datenstandorten und Exit-Strategien. Dienstleister müssen auf Kritikalität bewertet werden, und Vorfälle müssen innerhalb einer kurzen Frist, in der Praxis allgemein als vierundzwanzig Stunden verstanden, an die zuständige Finanzaufsicht gemeldet werden.

Nach NIS2 ist die Lieferkettenpflicht im Wortlaut weniger vorgeschrieben, verlangt aber dennoch von wesentlichen und wichtigen Einrichtungen, die Sicherheitspraktiken ihrer Lieferanten zu bewerten und zu steuern. Die Fristen für die Meldung von Vorfällen sind in der Praxis weitgehend ähnlich, doch die empfangende Behörde unterscheidet sich von der unter DORA.

Warum diese Unterscheidung im Alltag zählt

Zu wissen, welche Regulierung in welchem Umfang gilt, bestimmt, wie ein Team sein Anbieterinventar, seine Bewertungsvorlagen und seine Reporting-Workflows strukturieren sollte. Ein Finanzunternehmen, das ein DORA-konformes Register aufbaut, kann dieselbe Struktur in der Regel erweitern, um NIS2 zu erfüllen, sofern die Kritikalitätsbewertung und die Lieferkettenelemente klar dokumentiert sind. Ein Nicht-Finanzunternehmen, das nur NIS2 unterliegt, kann eine schlankere Version derselben Disziplin nutzen.

Genau diese Art von Komplexität soll eine spezialisierte Plattform auffangen. Cynapze ermöglicht es Teams, ein einziges Programm für Drittparteienrisiken zu betreiben, das beiden Frameworks gleichzeitig zugeordnet ist, statt zwei parallele und oft doppelte Prozesse zu pflegen. Eine Demo zu buchen ist ein einfacher Weg, um zu sehen, wie diese Zuordnung in der Praxis funktioniert.

Fazit

DORA und NIS2 sind keine konkurrierenden Frameworks. Sie sind zwei Ausprägungen derselben grundlegenden Erwartung, dass Organisationen die durch ihre Drittparteien entstehenden Risiken verstehen und aktiv managen. Finanzunternehmen sollten DORA als Hauptstandard behandeln und NIS2 nutzen, um verbleibende Lücken zu schließen. Jede andere regulierte Einrichtung sollte NIS2 als Grundlage betrachten. In beiden Fällen ist die praktische Antwort dieselbe: ein klares, gut dokumentiertes Programm aufbauen statt zwei getrennter.

Sprechen Sie mit dem Cynapze-Team, um zu sehen, wie eine einzige Plattform die Compliance mit beiden Regulierungen unterstützen kann.