DORA vs. NIS2: Die wichtigsten Unterschiede und wer betroffen ist

Nach der Lektüre wissen Sie eindeutig, welches Regelwerk für Ihre Organisation gilt, wo sich beide überschneiden, wo sie auseinanderlaufen und wie Sie mit dem unbequemen Fall umgehen, in dem Sie beide brauchen.

Es ist eine Frage, die in Vorstandssitzungen ständig auftaucht: Müssen wir DORA oder NIS2 einhalten? Der Reflex ist, beide als unterschiedliche Etiketten für denselben Regelsatz zu behandeln. Das sind sie nicht, und der Unterschied entscheidet darüber, welche Pflichten Sie tatsächlich binden.

Es handelt sich um zwei verschiedene Dinge. Ganz eindeutig. Die Verwirrung ist trotzdem nachvollziehbar. Beides sind EU-Rechtsakte (genauer: DORA ist eine Verordnung, NIS2 formal eine Richtlinie, und ja, diese Unterscheidung ist wichtig). Beide behandeln Cybersicherheit und digitale Resilienz. Beide entstammen derselben Welle europäischer Digitalregulierung. Und beide verwenden so viel ähnliche Terminologie, dass man leicht annimmt, es handle sich um verschiedene Etiketten für denselben Regelsatz.

Diese Annahme wird Sie teuer zu stehen kommen. Ich erkläre, warum.

Die 60-Sekunden-Fassung

Für die Ungeduldigen (verständlich) hier die Kurzfassung:

Der zentrale Unterschied wird schon hier sichtbar. DORA richtet sich punktgenau auf den Finanzsektor und geht tief in IKT-spezifische Anforderungen. NIS2 wirft ein weites Netz über viele Sektoren, bleibt dabei aber abstrakter. Sie ergänzen einander, und jede von beiden hat einen eigenen Anwendungsbereich.

Der Grundsatz der lex specialis: Warum das alles verändert

Hier kommt das juristische Konzept, das die meisten Artikel erwähnen und nur wenige sauber erklären.

DORA ist im Verhältnis zu NIS2 das, was Juristen lex specialis nennen. Im Klartext: Wenn zwei Gesetze denselben Boden abdecken, geht das speziellere vor. DORA ist das spezielle Gesetz für den Finanzsektor, NIS2 das allgemeine Gesetz für kritische Sektoren insgesamt.

Der Mechanismus steckt in zwei Vorschriften. DORA Artikel 1 Absatz 2 stellt fest, dass DORA ein sektorspezifischer Rechtsakt der Union im Sinne von Artikel 4 der NIS2 ist. Artikel 4 der NIS2 ist die operative Regel: Wo ein sektorspezifischer Rechtsakt wie DORA Anforderungen an das Cybersicherheits-Risikomanagement oder die Meldung von Vorfällen stellt, die in ihrer Wirkung denen der NIS2 mindestens gleichwertig sind, gelten die entsprechenden NIS2-Bestimmungen und das Aufsichts- und Durchsetzungsregime der NIS2 für diese Unternehmen nicht. Erwägungsgrund 28 der NIS2 benennt DORA genau als einen solchen Rechtsakt für Finanzunternehmen. In der Praxis verdrängt DORA die NIS2 beim IKT-Risikomanagement, bei der Vorfallmeldung und bei der Aufsicht.

Was bedeutet das praktisch?

• Sind Sie eine Bank und verlangen sowohl DORA als auch NIS2 eine Vorfallmeldung, folgen Sie den Regeln von DORA (Erstmeldung binnen 4 Stunden, spezifische RTS-Kriterien); die NIS2-Regeln (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden) treten insoweit zurück.
• Verlangen beide ein Cybersicherheits-Risikomanagement, geht der detaillierte IKT-Risikomanagementrahmen von DORA (Artikel 5 bis 16) den allgemeineren Anforderungen der NIS2 (Artikel 21) vor.
• Verlangen beide Governance, haben die spezifischen Anforderungen von DORA an die IKT-Risikoaufsicht auf Leitungsebene (Artikel 5) Vorrang.

Doch, und das ist das entscheidende „doch“: Die lex specialis greift nur dort, wo beide Gesetze denselben Gegenstand regeln. Wo die NIS2 etwas abdeckt, das DORA nicht regelt, gilt die NIS2 weiterhin vollumfänglich. Und es gibt mehrere Bereiche, in denen die NIS2 weiter geht.

Hier stolpern die meisten Compliance-Teams. Sie hören „DORA geht vor“ und nehmen an, sie könnten NIS2 komplett ignorieren. Das können sie nicht.

Ehre, wem Ehre gebührt: Die Ausnahmeregel selbst ist gut formuliert. Artikel 4 der NIS2 gibt Ihnen einen echten Prüfmaßstab an die Hand (ist die sektorspezifische Anforderung in ihrer Wirkung mindestens gleichwertig?) statt einer vagen Geste in Richtung Kohärenz, und DORA Artikel 1 Absatz 2 schreibt sich ausdrücklich in diesen Maßstab hinein. Der Mechanismus ist der saubere Teil. Unangenehm ist, dass Ihnen niemand die Liste dessen liefert, was außerhalb davon liegt, sodass Sie diese Liste selbst aufbauen und verteidigen müssen.

Ehre, wem Ehre gebührt: Die Ausnahmeregel selbst ist gut formuliert. Artikel 4 der NIS2 gibt Ihnen einen echten Prüfmaßstab an die Hand (ist die sektorspezifische Anforderung in ihrer Wirkung mindestens gleichwertig?) statt einer vagen Geste in Richtung Kohärenz, und DORA Artikel 1 Absatz 2 schreibt sich ausdrücklich in diesen Maßstab hinein. Der Mechanismus ist der saubere Teil. Unangenehm ist, dass Ihnen niemand die Liste dessen liefert, was außerhalb davon liegt, sodass Sie diese Liste selbst aufbauen und verteidigen müssen.

Wo sie sich überschneiden, wo sie auseinanderlaufen

Die detaillierte Aufschlüsselung, die Ihr Compliance-Team wirklich braucht

Vorfallmeldung: gleiches Ziel, andere Mechanik

Sowohl DORA als auch NIS2 verlangen die Meldung von Vorfällen. Die Einzelheiten unterscheiden sich jedoch spürbar:

Für Finanzunternehmen gilt der Melderahmen von DORA (lex specialis). Die Erstmeldung binnen 4 Stunden ist anspruchsvoller als die Frühwarnung binnen 24 Stunden nach NIS2, was bedeutet: Wer bei der Vorfallmeldung DORA-konform ist, übertrifft in diesem Bereich faktisch die Anforderungen der NIS2.

Risikomanagement: andere Tiefe, anderer Fokus

Artikel 21 der NIS2 listet zehn Kategorien von Cybersicherheits-Risikomanagementmaßnahmen auf, die Unternehmen umsetzen müssen, darunter Risikoanalyse-Leitlinien, Bewältigung von Vorfällen, Lieferkettensicherheit, Verschlüsselung, Zugangskontrolle und weitere. Das ist umfassend, bleibt aber auf hoher Flughöhe: Es sagt Ihnen, was zu tun ist, ohne das Wie im Detail vorzugeben.

DORA geht deutlich tiefer. Die Artikel 5 bis 16 legen einen detaillierten IKT-Risikomanagementrahmen mit konkreten Anforderungen fest für:

• IKT-Asset-Management und Klassifizierung
• Verfahren des Änderungsmanagements
• IKT-Geschäftsfortführungsmanagement mit konkreten Wiederherstellungszeitzielen
• Kommunikationsstrategien während IKT-Vorfällen
• Lernen und Weiterentwicklung aus Vorfällen
• Genehmigung und Überwachung des IKT-Risikomanagementrahmens auf Leitungsebene

Für Finanzunternehmen ist der Rahmen von DORA derjenige, auf den Sie hinbauen. Sind Sie jedoch ein Finanzunternehmen, das für Cybersicherheitsthemen außerhalb der IKT ebenfalls unter die NIS2 fällt (etwa die physische Sicherheit der Netzinfrastruktur), können diese NIS2-Anforderungen neben DORA weiterhin gelten.

Drittparteienrisiko: DORA geht sehr viel weiter

Hier ist der Abstand zwischen beiden am größten. Artikel 21 Absatz 2 Buchstabe d der NIS2 verlangt von Unternehmen, die „Sicherheit der Lieferkette“ als Teil ihres Risikomanagements zu adressieren. Das ist ein Absatz. Einer.

DORA widmet dem IKT-Drittparteienrisikomanagement ein ganzes Kapitel (Artikel 28 bis 44). Verlangt werden:

• Ein Informationsregister, das alle IKT-Drittparteienbeziehungen dokumentiert
• Konkrete Vertragsbestimmungen für IKT-Auslagerungen (Auditrechte, Ausstiegsstrategien, Datenstandort, Kontrolle der Unterauslagerung)
• Sorgfaltsprüfung und Risikobewertung vor Abschluss von IKT-Verträgen
• Laufende Überwachung des IKT-Drittparteienrisikos
• Bewertung des Konzentrationsrisikos
• Ausstiegsstrategien für kritische IKT-Anbieter
• Ein neues Aufsichtsrahmenwerk der ESAs für kritische IKT-Drittdienstleister (CTPPs)

Wer DORA ordentlich umsetzt, betreibt Lieferkettensicherheit auf einem Niveau, das die Anforderungen der NIS2 weit übertrifft. Das ist der eine Bereich, in dem DORA-Compliance die NIS2-Compliance fast geschenkt mitliefert. Meine ehrliche Sicht auf diese Asymmetrie: Die NIS2 ist hier zu dünn für das Risiko, auf das sie zielt. Ein einziger Absatz zur Lieferkettensicherheit, gespannt über Energie, Gesundheit, Wasser und Verkehr, ist viel Gewicht an einem sehr kleinen Haken, und er überlässt jeder nationalen Behörde die Erfindung der Details. Finanzunternehmen bekommen das anspruchsvollere Regime und, ungewöhnlicherweise, das leichtere Leben, denn DORA sagt Ihnen wenigstens genau, was ein Vertrag enthalten muss.

Wenn Sie beides brauchen: das Problem Finanzunternehmen plus wesentliche Einrichtung

Hier ist das Szenario, das Compliance-Teams nachts wachhält.

Anhang I der NIS2 führt „Bankwesen“ und „Finanzmarktinfrastrukturen“ als wesentliche Sektoren auf. Das bedeutet, dass viele Finanzunternehmen zugleich als wesentliche oder wichtige Einrichtungen nach NIS2 eingestuft sind. DORA geht bei überschneidenden Themen vor, doch die NIS2 ergänzt einiges, das DORA nicht abdeckt:

Die praktische Folge? Selbst wenn Sie vollständig DORA-konform sind, müssen Sie womöglich weiterhin konkrete NIS2-Anforderungen erfüllen, die DORA nicht adressiert. Dafür braucht es eine Gap-Analyse zwischen beiden, also eine genaue Zuordnung, welche Pflichten DORA abdeckt und welche unter NIS2 offen bleiben.

Ordnen Sie diese Punkte nach Gewicht, bevor Sie sie abarbeiten, denn sie wiegen extrem unterschiedlich. Die Registrierung ist Verwaltung: Jemand findet das richtige Portal, füllt ein Formular aus, legt die Bestätigung ab. Die Schulung des Leitungsorgans ist ein halber Tag plus Teilnahmenachweis. Die Haftung der Leitung verdient echte Zeit im Gremium, denn sie verändert, wer die Konsequenzen persönlich trägt, und sie ist zugleich der Punkt, der in jedem Land Ihrer Präsenz am ehesten unterschiedlich umgesetzt wurde.

Ordnen Sie diese Punkte nach Gewicht, bevor Sie sie abarbeiten, denn sie wiegen extrem unterschiedlich. Die Registrierung ist Verwaltung: Jemand findet das richtige Portal, füllt ein Formular aus, legt die Bestätigung ab. Die Schulung des Leitungsorgans ist ein halber Tag plus Teilnahmenachweis. Die Haftung der Leitung verdient echte Zeit im Gremium, denn sie verändert, wer die Konsequenzen persönlich trägt, und sie ist zugleich der Punkt, der in jedem Land Ihrer Präsenz am ehesten unterschiedlich umgesetzt wurde.

Was gilt für Sie? Ein Entscheidungsrahmen

Statt einer weiteren Tabelle mit 20 Vergleichsdimensionen hier der Entscheidungsbaum, der tatsächlich hilft:

Wenn beides gilt: der effiziente Weg

Für Finanzunternehmen, die sowohl DORA als auch NIS2 unterliegen, lautet die gute Nachricht: Die Anforderungen von DORA sind den entsprechenden Anforderungen der NIS2 fast immer gleichwertig oder strenger. Wenn Sie Ihr Compliance-Programm also um DORA herum aufbauen, decken Sie den größten Teil der NIS2 als Nebenprodukt mit ab.

Der effiziente Weg hat drei Schritte:

Schritt 1: Zuerst für DORA bauen. Es ist das detailliertere und anspruchsvollere Rahmenwerk. Ihr IKT-Risikomanagementrahmen, Ihr Vorfallmeldeprozess, Ihr Drittparteienrisikomanagement und Ihr Resilienz-Testprogramm sollten alle nach DORA-Spezifikation gebaut sein.

Schritt 2: Gap-Analyse gegen NIS2. Sobald Ihr DORA-Programm steht, gleichen Sie es mit der NIS2-Umsetzung Ihres Mitgliedstaats ab. Identifizieren Sie die konkreten NIS2-Anforderungen, die DORA nicht abdeckt: Haftungsregelungen für die Leitung, Schulungsgebote, Registrierungspflichten und etwaige sektorspezifische Maßnahmen.

Schritt 3: Die Lücken mit gezielten Controls schließen. Ergänzen Sie für jede NIS2-Anforderung, die DORA nicht abdeckt, ein spezifisches Control in Ihrem Compliance-Programm. Das ist in der Regel eine überschaubare Zahl von Punkten, weil die Überschneidung erheblich ist. Realistisch gilt: Wenn Ihr DORA-Programm wirklich funktioniert, ist die NIS2-Differenz eine Sache von Wochen, und das meiste davon besteht aus Schreiben, Einreichen und Protokollieren statt aus Aufbauarbeit. Teuer war DORA. Seien Sie skeptisch gegenüber jedem, der Ihnen für eine Lücke dieser Größe ein zweites vollständiges Programm vorschlägt.

Genau dafür sind Multi-Framework-Compliance-Plattformen und ihre frameworkübergreifende Gap-Analyse gemacht. Venvera etwa unterstützt DORA und NIS2 und bildet die Überschneidungen automatisch ab, zeigt also, welche DORA-Controls NIS2-Anforderungen erfüllen und wo zusätzliche Arbeit ansteht.

Die Alternative, zwei getrennte Compliance-Programme mit eigenen Teams, eigener Dokumentation und eigenen Risikobewertungen aufzubauen, bedeutet für dasselbe Ergebnis rund die doppelte Arbeit, und die beiden Programme driften an ihren Berührungspunkten mit der Zeit auseinander und widersprechen sich.

Das NIS2-Umsetzungsproblem

Noch eine Falte, die den Vergleich zwischen DORA und NIS2 schwieriger macht, als er sein müsste: Die NIS2 ist eine Richtlinie. Anders als DORA, das unmittelbar und identisch in allen EU-Mitgliedstaaten gilt, musste die NIS2 von jedem Mitgliedstaat bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden.

Die meisten Mitgliedstaaten haben diese Frist verpasst. Anfang 2026 finalisieren mehrere noch ihre nationalen Umsetzungen. Und die bereits vorhandenen Umsetzungen sind untereinander verschieden: andere Schwellen für die Einstufung von Einrichtungen, andere Sanktionshöhen, andere Registrierungsverfahren und andere nationale CSIRT-Regelungen.

Für eine grenzüberschreitend tätige Finanzgruppe bedeutet das:

• DORA gilt für alle Ihre EU-Einheiten identisch (gut für die Konsistenz)
• Die NIS2 variiert je Land, sodass Ihre deutsche Tochter andere NIS2-Details vorfindet als Ihre französische oder irische (weniger gut für die Konsistenz)
• Sie müssen mehrere nationale Umsetzungen verfolgen, um Ihre NIS2-Pflichten in jeder Jurisdiktion zu verstehen

Das ist ehrlich gesagt einer der frustrierendsten Aspekte der aktuellen Regulierungslandschaft. DORA gibt Ihnen einen Regelsatz. Die NIS2 gibt Ihnen 27 leicht abweichende Regelsätze. Das ohne ein System zu steuern, das Regelwerke über Jurisdiktionen hinweg verfolgt, ist offen gesagt eine Zumutung für jede manuelle Arbeitsweise. Und es war eine vermeidbare Entscheidung. Die EU wählte eine Verordnung für die Finanzwelt und eine Richtlinie für alles andere, gab damit das harmonisierte Instrument dem Sektor mit der größten Compliance-Kapazität und überließ den Sektoren mit der geringsten die Aufgabe, siebenundzwanzig Varianten zusammenzuführen. Wenn Sie grenzüberschreitend tätig sind, gehen Sie davon aus, dass sich die nationalen Details noch eine Weile bewegen, und bauen Sie Ihr NIS2-Mapping so, dass ein Land aktualisiert werden kann, ohne den Rest anzufassen.

Das Fazit

DORA und NIS2 sind zwei verschiedene Regelwerke mit jeweils eigenem Anwendungsbereich. Für Finanzunternehmen ist DORA das primäre Rahmenwerk, doch die NIS2 gilt wahrscheinlich ebenfalls, und sie zu ignorieren, erzeugt reales Regulierungsrisiko.

Der kluge Ansatz ist, für DORA zu bauen (das schwierigere, spezifischere Rahmenwerk) und dann gegen NIS2 eine Gap-Analyse zu fahren (das breitere, allgemeinere). Die Überschneidung ist erheblich, denn für das meiste, was die NIS2 im Risikomanagement und bei der Vorfallmeldung verlangt, gibt es eine DORA-Entsprechung. Der zusätzliche Aufwand für NIS2-Compliance konzentriert sich daher, sobald Sie DORA-bereit sind, auf die wenigen Bereiche, die die NIS2 ergänzt.

Das gelingt allerdings nur mit Absicht und mit einem sauberen Mapping zwischen beiden Rahmenwerken, statt darauf zu hoffen, dass DORA-Compliance wie von selbst alles abdeckt, was die NIS2 verlangt. Das tut sie nicht. Nah dran, aber eben nicht ganz.

Sie verwalten mehr als eine Rechtseinheit? Sehen Sie, wie Venvera Compliance-Software für Unternehmensgruppen umsetzt - Richtlinien einmal auf Konzernebene verfassen und jede Tochtergesellschaft mit eigenen Nachweisen belegen lassen.

Häufig gestellte Fragen

Müssen Finanzunternehmen sowohl DORA als auch NIS2 einhalten?

Häufig ja. Sind Sie ein Finanzunternehmen nach DORA Artikel 2 und fallen zugleich in einen NIS2-Sektor (Bankwesen und Finanzmarktinfrastrukturen sind in Anhang I der NIS2 als wesentliche Sektoren aufgeführt), gilt beides. DORA geht beim IKT-Risikomanagement, bei der Vorfallmeldung und bei der Aufsicht vor, doch die NIS2 gilt weiterhin für alles, was DORA nicht abdeckt, etwa ihre Pflichten zu Schulungen der Leitung und zur Registrierung.

Welche Meldefristen gelten für eine Bank, die von DORA oder die der NIS2?

Die von DORA. Als lex specialis bestimmen die Melderegeln von DORA über Finanzunternehmen: eine Erstmeldung binnen 4 Stunden nach Einstufung eines Vorfalls als schwerwiegend und spätestens 24 Stunden nach Kenntniserlangung, ein Zwischenbericht binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Die 24-Stunden- und 72-Stunden-Fristen der NIS2 laufen für denselben Vorfall nicht zusätzlich.

Macht mich DORA-Compliance automatisch NIS2-konform?

Weitgehend, allerdings nicht vollständig. DORA ist in den überschneidenden Bereichen generell gleichwertig oder strenger als die NIS2, sodass der Aufbau für DORA das meiste der NIS2 abdeckt. Offen bleiben die Punkte, die DORA nicht vollständig spiegelt: Haftung und Schulung des Leitungsorgans nach Artikel 20 der NIS2 sowie die Registrierung nach Artikel 27 der NIS2, die Sie obendrauf ergänzen.

Warum variiert die NIS2 zwischen EU-Ländern, DORA aber nicht?

DORA ist eine Verordnung, unmittelbar anwendbar und in allen Mitgliedstaaten identisch. Die NIS2 ist eine Richtlinie, die jeder Mitgliedstaat in eigenes nationales Recht umsetzt (die Umsetzungsfrist war der 17. Oktober 2024), sodass Schwellen für Einrichtungen, Sanktionshöhen und Registrierungsverfahren von Land zu Land abweichen.

Wie fallen die Sanktionen nach DORA im Vergleich zur NIS2 aus?

Die NIS2 begrenzt Bußgelder auf bis zu 10 Millionen EUR oder 2 % des gesamten weltweiten Jahresumsatzes für wesentliche Einrichtungen und auf 7 Millionen EUR oder 1,4 % für wichtige Einrichtungen. DORA überlässt Verwaltungssanktionen jedem Mitgliedstaat, sodass die Obergrenze von der Jurisdiktion abhängt; unabhängig davon kann der EU-Aufsichtsrahmen für kritische IKT-Drittdienstleister Zwangsgelder verhängen.

Primärquellen

Dieser Vergleich stützt sich auf die beiden Rechtsakte und die Auslegungshinweise der Kommission: Verordnung (EU) 2022/2554 (DORA), insbesondere Artikel 1 Absatz 2; die NIS2-Richtlinie (EU) 2022/2555, insbesondere Artikel 4, Artikel 20, Artikel 27, Artikel 34 und Erwägungsgrund 28; sowie die Leitlinien der Europäischen Kommission zur Anwendung von Artikel 4 der NIS2 auf sektorspezifische Rechtsakte. Prüfen Sie für jurisdiktionsspezifische Details die NIS2-Umsetzung Ihres Mitgliedstaats.

Zuletzt geprüft: Juli 2026. Der Stand der NIS2-Umsetzung variiert je Mitgliedstaat. Wenden Sie sich für jurisdiktionsspezifische NIS2-Anforderungen an Ihre zuständige Behörde vor Ort.