NIS2 & DORA im Finanzsektor
DORA (EU 2022/2554) hat als lex specialis Vorrang — die meisten NIS2-Pflichten entfallen für Finanzunternehmen. Die BSI-Registrierung und technische Absicherung bleiben relevant.
DORA & NIS2 — Was für den Finanzsektor gilt
Der Finanzsektor ist der einzige NIS2-Sektor, für den eine vollständige lex-specialis-Regelung existiert: DORA verdrängt die meisten NIS2-Pflichten. Die technische Absicherung bleibt unter beiden Regelwerken gleichermaßen wichtig.
DORA hat Vorrang (lex specialis)
Nach § 28 Abs. 6 BSIG gelten für DORA-regulierte Finanzunternehmen die DORA-Anforderungen (EU 2022/2554) anstelle der BSIG-Pflichten zu Risikomanagement, Meldung und Geschäftsleitungs-Haftung; die BSI-Registrierung (§ 33 BSIG) bleibt bestehen. Diese Einordnung ist eine Orientierung und ersetzt keine Rechtsberatung — maßgeblich ist der Gesetzestext.
BaFin statt BSI
Für DORA-regulierte Unternehmen ist die BaFin zuständige Aufsichtsbehörde — nicht das BSI. DORA verlangt eine Erstmeldung bei schwerwiegenden IKT-Vorfällen innerhalb von 4 Stunden (deutlich strenger als die NIS2-Frist von 24 Stunden).
Online-Banking & Kundenportale
Millionen Kunden nutzen täglich Online-Banking und Kundenportale. Ob unter DORA oder NIS2 — TLS-Konfiguration, Security Headers und API-Absicherung sind unter beiden Regelwerken gleichermaßen relevant.
IKT-Drittanbieter: Dual reguliert
IKT-Dienstleister, die sowohl Finanz- als auch Nicht-Finanzunternehmen bedienen, unterliegen DORA und NIS2 parallel. DORA für Finanzkundenservices, NIS2 für ihre Rolle als Digitale Infrastruktur.
Was für Finanzunternehmen gilt
DORA verdrängt NIS2 bei Risikomanagement, Meldepflichten, Pflichten der Geschäftsleitung und Aufsicht. Die BSI-Registrierung und technische Absicherung bleiben bestehen.
Technische Anforderungen — unter DORA und NIS2 gleichermaßen relevant
Auch wenn DORA die NIS2-Risikomanagement-Pflichten (§30 BSIG) verdrängt: Die technische Absicherung von Online-Banking, APIs und E-Mail-Infrastruktur bleibt unter beiden Regelwerken essentiell. Wolf-Agents prüft diese Aspekte automatisiert.
| Maßnahmen-Bereich (Art.-21-Katalog) | Finanzsektor-Relevanz | Status |
|---|---|---|
| Risikoanalyse | ISMS nach ISO 27001, Risikoanalyse für Kernbankensysteme, Online-Banking und Zahlungsinfrastruktur | Fragebogen |
| Lieferkette | Zahlungsdienstleister, Rechenzentren, FinTech-Partner — DORA verlangt explizites IKT-Drittanbieter-Management | Fragebogen |
| Sichere Systeme | Online-Banking-Portale, Kundenportale, API-Schnittstellen — Security Headers und TLS-Konfiguration | Automatisiert |
| Kryptografie | TLS 1.3+ mit starken Cipher Suites, DANE für E-Mail, Verschlüsselung von Transaktionsdaten | Automatisiert |
| Zugriffskontrolle | Rollenbasierte Zugriffe auf Kernbankensysteme, starke Authentifizierung für Mitarbeiter und Kunden | Fragebogen |
| Wirksamkeitsprüfung | Kontinuierliches Monitoring, TLPT unter DORA, Score-Trends und automatische Alerts | Automatisiert |
Prüfen → Überwachen → Dokumentieren
Technische Prüf- und Überwachungsbausteine für Finanzunternehmen — unter DORA wie unter NIS2 relevant: automatische Prüfung Ihrer Online-Banking-Portale, E-Mail-Infrastruktur und API-Schnittstellen.
Prüfen
Web Security Scanner prüft Online-Banking, Kundenportale und API-Endpunkte auf Security Headers, TLS-Konfiguration und riskante Konfigurationsmuster — kein Penetrationstest.
Überwachen
Automatisches Monitoring alle 6 Stunden: Score-Verschlechterung, DNS-Änderungen, Blacklist-Listings und Zertifikatsablauf — Alerts unmittelbar nach dem Prüflauf.
Dokumentieren
Score-History, Maßnahmen-Log und Statusbericht — dokumentierte Momentaufnahmen, die Ihre eigene Nachweisführung gegenüber BaFin, BSI und Vorstand ergänzen können. Keine Konformitätsfeststellung, kein Prüfbericht.
Fällt Ihr Institut unter NIS2 — oder unter DORA?
Verschaffen Sie sich in 30 Sekunden eine erste Orientierung, ob Ihr Finanzunternehmen in den Anwendungsbereich der NIS2-Richtlinie fallen dürfte. Kostenlos, ohne Registrierung.