Wissen
Wenn Sie nach NIS2-Lösungen für Banken suchen, beginnen Sie mit einem Fakt, der den meisten Banken Monate vergeblicher Arbeit erspart: Für den Kern dessen, was NIS2 verlangt, gilt für eine Bank in der Regel DORA. NIS2 führt das Bankwesen als wesentlichen Sektor auf, doch die EU hat ein eigenes Gesetz für den Finanzsektor geschrieben, den Digital Operational Resilience Act (DORA), und ihn zum maßgeblichen Regime für die IKT-Risiko- und Vorfallsmeldepflichten gemacht, die NIS2 andernfalls auferlegen würde. Eine wirklich brauchbare NIS2-Lösung für eine Bank ist deshalb eine Plattform, die DORA als operatives Regime betreibt, nachweist, dass DORA NIS2 erfüllt, und zugleich die Teile Ihrer Bankengruppe abdeckt, in denen NIS2 aus eigenem Recht gilt. Dieser Leitfaden erklärt genau, wo welches Gesetz greift und was Ihre Lösung dafür leisten muss.
Fallen Banken in den Anwendungsbereich von NIS2?
Ja, im Grundsatz. NIS2 (Richtlinie (EU) 2022/2555) führt das Bankwesen (Kreditinstitute) und Finanzmarktinfrastrukturen in Anhang I als Sektoren mit hoher Kritikalität auf, womit eine Bank im Anwendungsbereich als wesentliche Einrichtung gilt. Wesentliche Einrichtungen tragen das volle Gewicht der Richtlinie: die Risikomanagementmaßnahmen für Cybersicherheit nach Artikel 21, die Meldefristen für Sicherheitsvorfälle nach Artikel 23 (Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats), die Verantwortlichkeit und Schulung des Leitungsorgans nach Artikel 20 sowie proaktive Aufsicht. NIS2 wird zudem von jedem Mitgliedstaat in nationales Recht umgesetzt, sodass sich die genauen Registrierungs- und Aufsichtsberührungspunkte je Land unterscheiden. Auf den ersten Blick sieht eine Bank also wie eine NIS2-Einrichtung aus dem Lehrbuch aus.
Und genau deshalb kaufen Banken das Falsche. Ein Beschaffungsprozess, der bei der Auflistung in Anhang I beginnt, endet mit einem NIS2-Tool, einem NIS2-Projektplan und einer NIS2-Budgetlinie, und anschließend wird die IKT-Risikoarbeit unter DORA ohnehin noch einmal gemacht. Lesen Sie den nächsten Abschnitt, bevor Sie das Anforderungsdokument schreiben.
Die Regel, die für Banken alles ändert: DORA ist lex specialis
Hier kommt der Teil, den die meisten NIS2-Kaufratgeber für Banken übersehen. Artikel 4 der NIS2 enthält eine Lex-specialis-Regel: Wo ein sektorspezifischer Rechtsakt der Union wesentliche oder wichtige Einrichtungen verpflichtet, Risikomanagementmaßnahmen für Cybersicherheit zu ergreifen oder erhebliche Sicherheitsvorfälle zu melden, und diese Anforderungen in ihrer Wirkung NIS2 mindestens gleichwertig sind, finden die entsprechenden NIS2-Bestimmungen (Artikel 21 und 23) keine Anwendung. DORA (Verordnung (EU) 2022/2554), anwendbar seit dem 17. Januar 2025, ist für Finanzunternehmen genau ein solcher Rechtsakt und wird ausdrücklich als deren lex specialis anerkannt. Im Klartext: Für IKT-Risikomanagement und Vorfallsmeldung richtet sich eine Bank, die ein DORA-Finanzunternehmen ist, nach DORA; die Artikel 21 und 23 der NIS2 treten für sie zurück. DORA ist hier präskriptiver als NIS2 (IKT-Risikomanagementrahmen, Informationsregister, bedrohungsorientierte Penetrationstests, Überwachung von Drittdienstleistern, eigene Vorfallsklassifizierung und eigene Meldefristen) und tritt damit vollständig an die Stelle der NIS2-Maßnahmen.
Das ist eines der besser gemachten Stücke EU-Cyberrecht. Die Alternative, zwei Regime übereinander auf derselben Bank mit überlappenden Meldefristen, hätte doppelte Berichterstattung erzeugt und keinerlei zusätzliche Sicherheit. Der Haken: Die Entlastung ist an Bedingungen geknüpft, und Sie müssen zeigen können, dass sie trägt. Niemand stellt Ihnen ein Zertifikat aus, das besagt, DORA decke Ihre NIS2-Pflichten ab. Sie weisen die Gleichwertigkeit selbst nach, Kontrolle für Kontrolle, und Sie tun das am besten, bevor eine Aufsichtsbehörde danach fragt, denn währenddessen ist es dafür zu spät.
Deshalb ist eine NIS2-Lösung für eine Bank operativ vor allem eine DORA-Lösung. Wer nach "NIS2 für Banken" sucht, braucht fast immer ein sauber umgesetztes DORA plus eine klare Rückverbindung zu NIS2, um Auditoren und Gremien zu zeigen, dass die Gleichwertigkeit trägt.
Was muss eine NIS2-Lösung für eine Bank also tatsächlich leisten?
Gemessen an der Realität oben hat eine glaubwürdige NIS2-und-DORA-Lösung für eine Bank fünf Aufgaben:
- DORA als primäres Regime betreiben - IKT-Risikomanagementrahmen, Informationsregister, Resilienztests sowie DORA-Vorfallsklassifizierung und -meldung. Von diesen vieren ist das Informationsregister dasjenige, das ein Team verschlingt. Es ist unkompliziert, bis Sie beim Sub-Outsourcing ankommen; an diesem Punkt bitten Sie Anbieter, ihre eigenen Dienstleister zu benennen, und stellen fest, dass vor Jahren unterschriebene Verträge Ihnen dieses Fragerecht nie eingeräumt haben.
- Die Gleichwertigkeit mit NIS2 nachweisen - mappen Sie Ihre DORA-Kontrollen auf die Maßnahmen nach Artikel 21 der NIS2, damit Sie einer Aufsichtsbehörde in einer einzigen Ansicht zeigen können, dass das sektorspezifische Regime die Richtlinie abdeckt.
- Die Gruppeneinheiten abdecken, die NIS2 weiterhin erreicht - längst nicht jede Gesellschaft einer Bankengruppe ist ein DORA-Finanzunternehmen (siehe unten).
- Die nationale Umsetzung handhaben - Registrierungs- und Meldedetails der NIS2 variieren je Mitgliedstaat, was für eine grenzüberschreitend tätige Bank zählt.
- Das Leitungsorgan dokumentiert halten - sowohl Artikel 20 der NIS2 als auch DORA legen Verantwortlichkeit und Schulung auf die Führungsebene; Sie brauchen den Nachweis.
Das Bankengruppen-Problem: nicht jede Einheit ist ein DORA-Finanzunternehmen
DORA gilt für definierte Finanzunternehmen. Eine Bankengruppe ist allerdings selten ein einzelnes Kreditinstitut. Sie umfasst oft Holdinggesellschaften, eine Gruppen-IT- oder Shared-Services-Gesellschaft, Versicherungs- oder Asset-Management-Arme und nicht regulierte Tochtergesellschaften. Manche davon sind DORA-Finanzunternehmen, manche fallen aus DORA heraus, und eine Einheit außerhalb von DORA, die in einem NIS2-Sektor sitzt (oder nach Größe eine wichtige Einrichtung ist), kann die Artikel 21 und 23 der NIS2 weiterhin aus eigenem Recht schulden. Das Ergebnis ist ein gemischter Bestand: Teile der Gruppe unter DORA, Teile unter NIS2 und ein Vorstand, der ein einziges kohärentes Bild braucht. Eine NIS2-Lösung für eine Bank muss diesen Mix explizit abbilden, denn die Annahme, die gesamte Gruppe laufe unter einem einzigen Regime, geht an der Realität vorbei.
Machen Sie das Scoping Einheit für Einheit zuerst und halten Sie es als Tabelle fest. Es ist unglamourös und zugleich die wertvollste Woche des gesamten Programms, denn alles Nachgelagerte hängt daran: welche Frist gilt, wer meldet, was der Vorstand sieht. Die Gruppen-IT- oder Shared-Services-Gesellschaft ist die, die Sie zuerst prüfen sollten, denn sie ist selten selbst eine regulierte Einheit und trägt zugleich oft die betrieblich kritischsten Systeme der Gruppe.
Wie Venvera NIS2 und DORA für Banken abdeckt
Venvera behandelt NIS2 und DORA als das, was sie für eine Bank sind: ein Programm für operationale Resilienz, betrieben unter DORA, gemappt auf NIS2, über eine Gruppe mit gemischtem Anwendungsbereich. Sie pflegen eine Kontrollbasis und eine Evidenzbibliothek; ein Crosswalk mappt jede Kontrolle sowohl auf die DORA-Artikel als auch auf die Maßnahmen nach Artikel 21 der NIS2, sodass die Arbeit für das eine für das andere zählt und die Gleichwertigkeit auf einem einzigen Bildschirm sichtbar ist. Das Informationsregister nach DORA sowie die Module für Resilienztests und Vorfälle laufen als vollwertige Features, und das NIS2-Framework trägt das Richtlinien-Scoping, die Fristen nach Artikel 23 und den Schulungsnachweis des Leitungsorgans für die Gruppeneinheiten, in denen NIS2 direkt gilt. Weil die Plattform mandantenfähig und mehrgesellschaftsfähig ist, bildet sie den Mix der Bankengruppe ab und lässt jeder Einheit ihr zutreffendes Regime. Die Pläne beginnen bei 399 EUR/Monat. Die gesetzlichen Pflichten bleiben dabei in vollem Umfang bestehen; Venvera ist das System of Record, das den gemeinsamen Betrieb beider Regime auditierbar macht.
Verwalten Sie mehr als eine juristische Einheit? Sehen Sie, wie Venvera Compliance-Software für Unternehmensgruppen handhabt - verfassen Sie Richtlinien einmal auf Ebene der Muttergesellschaft und lassen Sie jede Tochtergesellschaft sie mit eigener Evidenz nachweisen.
Häufig gestellte Fragen
Müssen Banken NIS2 oder DORA einhalten?
Beide sind relevant, aber bei den Pflichten zu IKT-Risikomanagement und Vorfallsmeldung richtet sich eine Bank, die ein DORA-Finanzunternehmen ist, nach DORA; die Artikel 21 und 23 der NIS2 treten für sie zurück. Nach Artikel 4 der NIS2 wirkt DORA als lex specialis für Finanzunternehmen. NIS2 bleibt wichtig für Gruppeneinheiten außerhalb von DORA sowie für nationale Registrierung und Aufsicht.
Ersetzt DORA die NIS2 für Banken vollständig?
Nein. DORA ersetzt für Finanzunternehmen im DORA-Anwendungsbereich die spezifischen NIS2-Bestimmungen, die er abdeckt (die Maßnahmen nach Artikel 21 und die Meldung nach Artikel 23). Eine Bankengruppe hat in der Regel weiterhin Einheiten, die direkt der NIS2 unterliegen, und die Umsetzung in den Mitgliedstaaten kann NIS2-Berührungspunkte schaffen; Banken müssen also beides verfolgen.
Welche Meldefristen gelten unter NIS2?
Nach Artikel 23 der NIS2: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Vorfallsmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Für eine Bank unter DORA gelten bei schwerwiegenden IKT-bezogenen Vorfällen stattdessen die DORA-Fristen. Die Frist, die wehtut, ist die erste. 24 Stunden klingen großzügig, bis Sie die Freigabeschritte zählen: Jemand muss den Vorfall bemerken, jemand muss entscheiden, dass er meldepflichtig ist, und jemand in leitender Position muss den Wortlaut freigeben, der an die Aufsicht geht. Wenn diese drei Schritte bei drei Personen liegen, die in keinem Bereitschaftsplan stehen, hat die Uhr Sie bereits geschlagen.
Was sollte eine NIS2-Lösung für eine Bank umfassen?
DORA als operatives Regime (IKT-Risikomanagementrahmen, Informationsregister, Resilienztests, Vorfallsmeldung), einen Crosswalk, der die Gleichwertigkeit mit den Maßnahmen nach Artikel 21 der NIS2 nachweist, die Abdeckung der Gruppeneinheiten, die NIS2 direkt erreicht, die Handhabung der nationalen Umsetzung sowie einen Nachweis der Verantwortlichkeit des Leitungsorgans.
