DORA vs NIS2: Was ein NIS2-Programm bereits abdeckt

Wenn Sie in einem EU-Finanzunternehmen arbeiten, lautet die Frage nicht, ob DORA oder NIS2 für Ihr Sicherheitsprogramm gilt. NIS2 sieht vor, dass ein sektorspezifischer Rechtsakt der Union mit mindestens gleichwertigen Cybersicherheitsanforderungen vorrangig gilt; für den Finanzsektor ist dieser Rechtsakt der Digital Operational Resilience Act, Verordnung (EU) 2022/2554, der seit dem 17. Januar 2025 anwendbar ist.

Die praktische Frage ist eine andere: Wenn Sie bereits ein NIS2-Programm aufgebaut haben oder eines für den übrigen Konzern betreiben, wie viel davon lässt sich übernehmen? Unsere Daten beantworten das Artikel für Artikel.

Die wichtigste Kennzahl

Von den 22 DORA-Artikel sind 20 (91%) auf etwas in NIS2 zugeordnet, 1 sind nur lose verwandt und 1 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Lesen Sie dies als „wo Ihre NIS2-Arbeit bereits hinweist“, nicht als „erledigt“. Es gibt keinen veröffentlichten Crosswalk, der DORA mit NIS2 verknüpft; alle Verknüpfungen hier sind daher redaktionell von ControlMapping. Wir haben DORA auf Absatz- und Punktebene denselben Sicherheitsthemen zugeordnet wie der Durchführungsverordnung zu NIS2, und der Grund für jede Verknüpfung wird auf der Anforderungsseite angezeigt.

DORA Artikel für Artikel

DORA	Anforderung	Abgleich	NIS2
Art.5(2)(a)	Governance and organisation	Redaktionell	2.17.11.22.2
Art.6(1)	ICT risk management framework	Redaktionell	2.17.113.113.2
Art.7	ICT systems, protocols and tools	Keine Zuordnung in unseren Daten	—
Art.8(1)	Identification	Redaktionell	12.112.42.16.5
Art.9(1)	Protection and prevention	Redaktionell	3.212.212.31.1
Art.10(1)	Detection	Redaktionell	3.23.410.210.4
Art.11(1)	Response and recovery	Redaktionell	4.14.33.13.5
Art.12(1)	Backup policies and procedures, restoration and recovery procedures and methods	Redaktionell	4.24.1
Art.13(1)	Learning and evolving	Redaktionell	3.53.68.18.2
Art.14(1)	Communication	Redaktionell	4.3
Art.16(1)	Simplified ICT risk management framework	Redaktionell	2.17.1
Art.17(1)	ICT-related incident management process	Redaktionell	3.13.54.3
Art.18(1)	Classification of ICT-related incidents and cyber threats	Redaktionell	3.13.33.5
Art.19(1)	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	Redaktionell	3.3
Art.24(1)	General requirements for the performance of digital operational resilience testing	Redaktionell	2.17.1
Art.25(1)	Testing of ICT tools and systems	Redaktionell	6.56.10
Art.26(1)	Advanced testing of ICT tools, systems and processes based on TLPT	Redaktionell	6.56.10
Art.27(1)	Requirements for testers for the carrying out of TLPT	Redaktionell	6.56.10
Art.28(2)	General principles	Redaktionell	5.16.15.2
Art.29(1)	Preliminary assessment of ICT concentration risk at entity level	Redaktionell	5.16.1
Art.30(2)	Key contractual provisions	Redaktionell	5.15.26.112.5
Art.45(1)	Information-sharing arrangements on cyber threat information and intelligence	Lose verwandt	2.14.36.10

Die Überschneidung ist breit, weil beide Texte dasselbe Programm beschreiben: einen dokumentierten Rahmen für das Risikomanagement, Identifizierung von Assets, Schutz und Erkennung, Umgang mit Vorfällen, Business Continuity und Lieferantensicherheit. Wo DORA ein direktes Gegenstück in der Durchführungsverordnung hat, stimmt das Thema überein; das Detail oft nicht.

Was DORA hinzufügt

• Ein Informationsregister. Artikel 28(3) verlangt ein Register aller vertraglichen Vereinbarungen für IKT-Dienste, geführt auf Ebene der Einrichtung und des Konzerns, mit jährlicher Meldung an die zuständige Behörde. NIS2 verlangt von Ihnen, die Lieferantensicherheit zu steuern; ein reguliertes Register fordert es nicht.
• Verbindliche Vertragsklauseln. Artikel 30 legt fest, was jeder Vertrag über IKT-Dienste enthalten muss, darunter den Ort der Datenverarbeitung, Zugriff auf Daten und deren Rückgabe, Unterstützung bei einem Vorfall ohne Mehrkosten oder zu vorab festgelegten Kosten sowie Kündigungsrechte. Verträge über kritische oder wichtige Funktionen ergänzen Prüfrechte, die Teilnahme an bedrohungsorientierten Tests und Ausstiegsfristen.
• Konzentrationsrisiko und Ausstieg. Vor Vertragsabschluss fragt Artikel 29, ob sich ein Anbieter schwer ersetzen ließe und wie Unterauftragsketten Sie beeinflussen; Artikel 28(8) verlangt getestete Ausstiegsstrategien für kritische oder wichtige Funktionen.
• Bedrohungsorientierte Penetrationstests. Von ihrer Behörde ausgewählte Einrichtungen müssen mindestens alle drei Jahre TLPT auf produktiven Live-Systemen durchführen (Artikel 26), mit Testern, die die Anforderungen von Artikel 27 erfüllen. Die Durchführungsverordnung zu NIS2 verlangt, die Wirksamkeit Ihrer Maßnahmen zu bewerten; sie schreibt kein TLPT vor.
• Vorfallklassifizierung und gestufte Berichte. Artikel 18 legt die Kriterien fest, nach denen ein Vorfall als schwerwiegend gilt, und Artikel 19 verlangt eine Erstmeldung, Zwischenberichte und einen Abschlussbericht. NIS2 hat seinen eigenen Zeitplan: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Wenn Sie in verschiedenen Teilen eines Konzerns nach beiden Regimen melden, führen Sie zwei Verfahren.
• Benannte Pflichten des Leitungsorgans. Beide machen die Geschäftsleitung verantwortlich. DORA legt genau fest, was das Leitungsorgan genehmigen muss, von der Strategie für die digitale operative Resilienz bis zur Richtlinie für IKT-Dienste von Drittanbietern (Artikel 5(2)).

Die Gegenrichtung

Von den 49 NIS2-Anforderungspunkte sind 44 (90%) auf etwas in DORA zugeordnet, 5 sind nur lose verwandt und 0 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Aus Sicht von DORA kommend fügt die Durchführungsverordnung zu NIS2 inhaltlich wenig Neues hinzu. Einige Anforderungspunkte teilen in unseren Daten mit DORA nur ein allgemeines Ergebnis, meist weil DORA das Thema in seinen technischen Regulierungsstandards behandelt, die wir nicht zuordnen. Prüfen Sie diese:

NIS2	Anforderung	Abgleich	DORA
6.2	Secure development life cycle	Lose verwandt	Art.8(1)Art.8(4)Art.8(6)
6.3	Configuration management	Lose verwandt	Art.28(8)Art.30(2)
6.9	Protection against malicious and unauthorised software	Lose verwandt	Art.9(1)Art.10(1)Art.10(3)Art.10(2)
10.1	Human resources security	Lose verwandt	Art.5(4)Art.10(3)Art.13(6)
10.3	Termination or change of employment procedures	Lose verwandt	Art.10(3)

Wenn Sie bereits für NIS2 aufgebaut haben

1. Klären Sie, welches Regime für jede Einrichtung im Konzern gilt. Finanzunternehmen folgen DORA; andere Konzerngesellschaften können bei NIS2 bleiben.
2. Den Kern wiederverwenden. Risikobewertung, Asset-Inventare, Zugriffskontrolle, Protokollierung, Reaktion auf Vorfälle und Kontinuitätspläne lassen sich übernehmen; passen Sie ihre Überprüfungsintervalle an die von DORA an (etwa wird das IKT-Risikomanagement-Framework mindestens einmal jährlich überprüft).
3. Die Drittparteien-Ebene aufbauen. Beginnen Sie früh mit dem Informationsregister und prüfen Sie Ihre Vertragsvorlagen anhand von Artikel 30. Dies ist meist der größte Teil der neuen Arbeit.
4. Tests planen. Auch wenn Ihre Behörde Sie nicht für TLPT ausgewählt hat, verlangt Artikel 24 ein Testprogramm mit jährlichen Tests der Systeme, die kritische oder wichtige Funktionen unterstützen.
5. Die Meldeverfahren trennen, wenn in dem Konzern beide Regime gelten.

Zentrale Erkenntnisse

• Die Arbeit für NIS2 deckt den größten Teil des Regelungsgegenstands von DORA ab; die Lückenanalyse zeigt dies Anforderung für Anforderung.
• Die eigentliche Besonderheit von DORA liegt im Drittparteienrisiko: Register, Vertragsklauseln, Konzentrationsrisiko und Ausstieg.
• Bedrohungsorientierte Penetrationstests und die Vorfallklassifizierung von DORA haben kein NIS2-Gegenstück.

Wie es weitergeht

Die Seite zum DORA-Framework listet jeden Artikel, den wir zuordnen, mit seinem amtlichen Wortlaut; der Vergleich NIS2 vs. DORA zeigt beide Richtungen vollständig, und unser NIS2-Leitfaden behandelt die NIS2-Seite.

Fragen

Muss ein Finanzunternehmen sowohl DORA als auch NIS2 einhalten?

Für sein IKT-Risikomanagement und seine Vorfallmeldung folgt ein Finanzunternehmen im Anwendungsbereich von DORA DORA: NIS2 sieht vor, dass ein sektorspezifischer Rechtsakt der Union mit mindestens gleichwertigen Anforderungen vorrangig gilt, und DORA ist dieser Rechtsakt für den Finanzsektor. Konzerne, die auch nichtfinanzielle Einrichtungen umfassen, sowie IKT-Anbieter, die Banken bedienen, können dennoch beide erfüllen.

Gibt es eine offizielle Zuordnung zwischen DORA und NIS2?

Es gibt keinen veröffentlichten Crosswalk, der beide verknüpft. Die Verknüpfungen auf ControlMapping sind redaktionell: Wir haben DORA auf Absatz- und Punktebene denselben Sicherheitsthemen zugeordnet wie der Durchführungsverordnung zu NIS2, und jede Verknüpfung zeigt ihren Grund.

Was verlangt DORA, das NIS2 nicht verlangt?

Vor allem ein Informationsregister aller IKT-Dienstverträge, eine detaillierte Liste verbindlicher Vertragsklauseln, eine Bewertung des IKT-Konzentrationsrisikos, Ausstiegsstrategien und bedrohungsorientierte Penetrationstests mindestens alle drei Jahre für Einrichtungen, die ihre Behörde auswählt.