NIS2 Banken
NIS2 und DORA sind EU-Regelwerke zum Schutz von Dienstleistungen vor Cyberangriffen und technischen Ausfällen. NIS2 erfasst wichtige Sektoren der Wirtschaft, während DORA besondere Anforderungen für Finanzunternehmen festlegt. Banken müssen das Verhältnis beider Regelwerke verstehen, wenn sie ihre Cybersicherheit organisieren und Technologiedienstleister steuern.
Für Finanzunternehmen im Anwendungsbereich beider Regelwerke enthält DORA die sektorspezifischen Vorgaben für das IT-Risikomanagement und die Vorfallsmeldung. Cloud-Anbieter oder andere Technologiedienstleister einer Bank können aufgrund ihrer eigenen Leistungen gesonderte NIS2-Pflichten haben. Die Einordnung dieser Verantwortlichkeiten hilft Banken, Vorfallsbearbeitung und Dienstleisterkontrollen mit den Organisationen abzustimmen, von denen ihr Betrieb abhängt.
Richtlinie und Verordnung
DORA ist eine Verordnung und gilt unmittelbar in jedem Mitgliedstaat. NIS2 ist eine Richtlinie, die jeder Staat in eigenes Recht umsetzt. Deutschland tat das mit einer Neufassung des BSI-Gesetzes (BSIG), für dessen Vollzug das BSI zuständig ist.
NIS2 erfasst mittlere und große Organisationen in Sektoren von Energie, Verkehr und Gesundheit bis zu Bankwesen, Finanzmarktinfrastruktur, digitaler Infrastruktur und digitalen Diensten. Die Schwellen stehen in § 28 BSIG: Eine wichtige Einrichtung hat mindestens 50 Beschäftigte oder je über 10 Mio. Euro Umsatz und Bilanzsumme, eine besonders wichtige mindestens 250 Beschäftigte oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme.
Warum für Banken DORA vorgeht
DORA bezeichnet sich in Erwägungsgrund 23 als Lex specialis zu NIS2, ein Punkt, der in einer Anfrage an die EIOPA (auf Englisch) zu den Meldewegen zitiert wird. Wo beide Regelwerke für ein Finanzunternehmen dasselbe regeln, gilt DORA.
Das deutsche Gesetz sagt es ausdrücklich. Nach § 28 Abs. 6 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für Finanzunternehmen nach Art. 2 Abs. 2 DORA. Das sind die Risikomanagementmaßnahmen, die Zusatzpflichten für kritische Anlagen, die Meldepflichten, die Unterrichtung der Kunden, die Rückmeldungen des BSI, die Pflichten der Geschäftsleitung und die Nachweispflichten. Eine Bank steuert IKT-Risiken und meldet schwere Vorfälle nach DORA an die BaFin.
Wo NIS2 für Banken bleibt
Die Ausnahme in § 28 Abs. 6 nennt § 33 nicht, die Registrierungspflicht beim BSI. Eine Bank oberhalb der Schwellen prüft daher, ob sie sich registrieren muss.
Größer ist die Wirkung in der Lieferkette. Ein Cloud-Anbieter, Rechenzentrumsbetreiber oder Managed-Service-Provider, der Systeme für eine Bank betreibt, kann als digitale Infrastruktur oder digitaler Dienst unter NIS2 fallen, wenn er die Schwellen erreicht, mit eigenen Maßnahmen und eigenen Meldungen an das BSI. Der Vertrag mit der Bank steht dann zwischen zwei Regimen: den DORA-Regeln zu Drittparteien bei der Bank und NIS2 beim Dienstleister.
Kommende Events zu Risiko & Compliance
Gilt NIS2 für Banken in Deutschland?
Formal ja, denn das Bankwesen ist ein NIS2-Sektor. Praktisch schaltet das BSIG Risikomanagement, Meldepflichten und Leitungspflichten für Finanzunternehmen unter DORA ab, und die Bank folgt dort DORA. Weitere Sicherheitsregeln behandelt die Seite zur Cybersicherheit in Banken.
Wie unterscheiden sich die Meldefristen?
Nach NIS2 sendet eine Einrichtung binnen 24 Stunden eine Frühwarnung und binnen 72 Stunden eine Meldung, so Clyde & Co (auf Englisch). Nach DORA meldet ein Finanzunternehmen einen schweren IKT-Vorfall binnen 4 Stunden nach der Einstufung und spätestens 24 Stunden nach der Entdeckung, gefolgt von Zwischen- und Abschlussbericht. Details bei der DORA-Vorfallsmeldung.
Ist DORA strenger als NIS2?
Für Finanzunternehmen geht DORA an mehreren Stellen weiter: bedrohungsgeleitete Penetrationstests mindestens alle drei Jahre für ausgewählte Institute, ein Informationsregister für alle IKT-Verträge und EU-Aufsicht über kritische IKT-Dienstleister. NIS2 setzt feste Bußgeldobergrenzen von bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes bei wesentlichen und 7 Mio. Euro oder 1,4 % bei wichtigen Einrichtungen.
NIS2, DORA und Finance Loop
Finance Loop ist der Treffpunkt für Informationssicherheitsbeauftragte und IT-Risikomanager der Banken und für die Cloud- und IT-Dienstleister, die für sie arbeiten, also für beide Seiten desselben Vertrags. Finance Loop kündigte KI Exchange 2026 in Hamburg an, mit DORA-Compliance im Programm, und Events gibt es in Frankfurt, München, Berlin und Hamburg.
Finance Loop ist ein Experten-Netzwerk, das die institutionelle Nutzung neuer Technologien im Finanzwesen fördert, wie KI, digitale Zahlungen sowie Cloud- und Blockchain-Lösungen. Finance Loop hilft seinen Mitgliedern, Fähigkeiten und persönliche Netzwerke in diesen Feldern aufzubauen: Investment & digitale Vermögenswerte, Zahlungsverkehr & digitales Geld, Digitale Infrastruktur & Souveränität und Risiko & Compliance.