Art. 2 Abs. 1 der Verordnung (EU) 2022/2554 nennt die DORA-Adressaten: 20 Arten von Finanzunternehmen, von Kreditinstituten bis zu Verbriefungsregistern, sowie IKT-Drittdienstleister. NIS2 erfasst in Deutschland über § 28 BSIG Einrichtungen, die einer Einrichtungsart der Anlage 1 oder Anlage 2 BSIG angehören. Wichtige Einrichtung ist nach § 28 Abs. 2 Nr. 3 BSIG, wer mindestens 50 Mitarbeiter beschäftigt oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweist.
Was ist der Unterschied zwischen DORA und NIS2?
Der Unterschied zwischen DORA und NIS2 liegt im Zuschnitt: DORA ist Fachrecht für den Finanzsektor, NIS2 ein sektorübergreifender Mindestrahmen. Die Verordnung legt nach Art. 1 Abs. 1 einheitliche DORA-Anforderungen für Finanzunternehmen fest, die technische Regulierungs- und Durchführungsstandards weiter ausfüllen. Art. 5 der Richtlinie (EU) 2022/2555 setzt dagegen nur ein Mindestniveau, über das die Mitgliedstaaten hinausgehen dürfen.
Daraus folgt, welcher Text gilt. Für Finanzunternehmen ist es der Verordnungstext mit seinen Level-2-Rechtsakten. Für Einrichtungen in Deutschland ist es das BSIG, das die NIS2-Pflichten in Deutschland festlegt, und nicht die Richtlinie selbst.
Gilt für unser Unternehmen DORA oder NIS2?
Ob DORA, NIS2 oder beide gelten, entscheidet die Art des Unternehmens. Die Tabelle ordnet fünf Konstellationen ihren Fundstellen zu.
| Unternehmen | DORA | NIS2 in Deutschland (BSIG) |
|---|---|---|
| Kreditinstitut | Finanzunternehmen nach Art. 2 Abs. 1 Buchst. a | Einrichtungsart nach Anlage 1 Nr. 3.1.1; §§ 30–32, 35, 36, 38 und 39 gelten nach § 28 Abs. 6 Nr. 1 nicht |
| Handelsplatz, zentrale Gegenpartei | Finanzunternehmen nach Art. 2 Abs. 1 Buchst. h und i | Einrichtungsarten nach Anlage 1 Nr. 3.2; dieselben Ausnahmen wie beim Kreditinstitut |
| Versicherungsunternehmen, Wertpapierfirma, Zahlungsinstitut | Finanzunternehmen nach Art. 2 Abs. 1 Buchst. n, e und b | als Einrichtungsart in den Anlagen 1 und 2 nicht aufgeführt |
| IT-Dienstleister eines Finanzunternehmens | unmittelbar nur als kritischer IKT-Drittdienstleister (Art. 31), sonst über die Vertragsklauseln nach Art. 30 | Einrichtung, wenn er einer Einrichtungsart der Anlagen 1 oder 2 angehört und die Schwelle erreicht |
| Unternehmen ohne Bezug zum Finanzsektor | nicht erfasst | Einrichtung, wenn Einrichtungsart und Größe zutreffen |
Nicht jedes Finanzunternehmen ist also auch NIS2-Einrichtung: Versicherer, Wertpapierfirmen und Zahlungsinstitute stehen in keiner der beiden Anlagen. Wer in beiden Spalten auftaucht, ordnet seine Pflichten nach dem Vorrang des Fachrechts zu.
Kann ein Unternehmen unter DORA und NIS2 zugleich fallen?
Ja. Ein Kreditinstitut mit mindestens 50 Mitarbeitern ist Finanzunternehmen nach DORA und zugleich wichtige oder besonders wichtige Einrichtung nach § 28 BSIG. Den Konflikt löst der Vorrang des Fachrechts nach Art. 4 der Richtlinie, dessen Reichweite für Deutschland § 28 Abs. 6 BSIG festlegt.
In Konzernen mit Finanz- und Nicht-Finanzgesellschaften gelten beide Regime nebeneinander, jeweils für andere Gesellschaften. Die Einrichtungsart prüfen Sie je Gesellschaft. Für die Größe rechnet § 28 Abs. 4 BSIG Partner- und verbundene Unternehmen nach der Empfehlung 2003/361/EG hinzu. Das entfällt, wenn die Gesellschaft in ihren IT-Systemen und -Prozessen von ihnen unabhängig ist.
Im Direktvergleich
| Kriterium | DORA | NIS2 |
|---|---|---|
| Rechtsform | Verordnung (EU) 2022/2554; gilt unmittelbar und im gleichen Wortlaut in allen Mitgliedstaaten. | Richtlinie (EU) 2022/2555; wirkt über nationales Recht, in Deutschland über das NIS-2-Umsetzungsgesetz im BSIG. |
| Anwendbar | Seit dem 17.01.2025 (Art. 64). | NIS-2-Umsetzungsgesetz seit dem 06.12.2025 in Kraft. |
| Adressaten | 20 Arten von Finanzunternehmen nach Art. 2 Abs. 1 Buchst. a bis t, etwa Kreditinstitute, Wertpapierfirmen und Versicherungsunternehmen, sowie IKT-Drittdienstleister. | Besonders wichtige und wichtige Einrichtungen nach § 28 BSIG, etwa aus Energie, Gesundheit, Finanzwesen und digitaler Infrastruktur (Anlage 1) oder verarbeitendem Gewerbe (Anlage 2). |
| Vorrang | Gilt nach Art. 1 Abs. 2 für Finanzunternehmen als sektorspezifischer Rechtsakt im Sinne von Art. 4 der Richtlinie (EU) 2022/2555. | Tritt nach Art. 4 Abs. 1 zurück, soweit sektorspezifische Anforderungen mindestens gleichwertig sind; in Deutschland umgesetzt in § 28 Abs. 6 Nr. 1 BSIG. |
| Risikomanagement | Dokumentierter IKT-Risikomanagementrahmen nach Kapitel II (Art. 5–16); für die in Art. 16 Abs. 1 genannten Unternehmen ein vereinfachter Rahmen. | Geeignete, verhältnismäßige Maßnahmen nach § 30 BSIG, mindestens in den zehn Bereichen des Abs. 2 Satz 2. |
| Meldeweg | Schwerwiegende IKT-bezogene Vorfälle an die nach Art. 46 zuständige Behörde (Art. 19 Abs. 1). | Erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG). |
| Erste Meldung | Erstmeldung binnen 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis (Art. 5 Abs. 1 Delegierte Verordnung (EU) 2025/301). | Frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis (§ 32 Abs. 1 Nr. 1 BSIG). |
| Zweite Meldung | Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung. | Meldung spätestens 72 Stunden nach Kenntnis (§ 32 Abs. 1 Nr. 2); eine Zwischenmeldung nur auf Ersuchen des BSI (Nr. 3). |
| Abschlussmeldung | Spätestens einen Monat nach der Zwischenmeldung oder der letzten aktualisierten Zwischenmeldung. | Spätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall an, zunächst eine Fortschrittsmeldung (§ 32 Abs. 2). |
| Resilienztests | Jährliche Tests der Systeme, die kritische oder wichtige Funktionen unterstützen (Art. 24 Abs. 6); TLPT mindestens alle drei Jahre für von der Behörde bestimmte Unternehmen (Art. 26). | Konzepte zur Bewertung der Wirksamkeit der Maßnahmen (§ 30 Abs. 2 Satz 2 Nr. 6); Turnus und Testart legt das Gesetz nicht fest. |
| Drittparteien | Vertragsinhalte, Ausstiegsstrategien und Informationsregister (Kapitel V Abschnitt I, Art. 28–30). | Sicherheit der Lieferkette als Maßnahmenbereich (§ 30 Abs. 2 Satz 2 Nr. 4); ein Informationsregister verlangt das BSIG nicht. |
| Aufsicht über Dienstleister | Europäischer Überwachungsrahmen für kritische IKT-Drittdienstleister (Kapitel V Abschnitt II, Art. 31–44); eine erste Liste veröffentlichten die europäischen Aufsichtsbehörden im November 2025. | Kein eigener Rahmen; ein Dienstleister ist nur erfasst, wenn er selbst Einrichtung nach § 28 BSIG ist. |
| Leitungsorgan | Trägt die letztendliche Verantwortung für das Management der IKT-Risiken (Art. 5 Abs. 2 Buchst. a) und hält seine Kenntnisse aktuell, auch durch Schulungen (Art. 5 Abs. 4). | Geschäftsleitung setzt die Maßnahmen um und überwacht sie (§ 38 Abs. 1), haftet der Einrichtung für schuldhaft verursachte Schäden (Abs. 2) und nimmt regelmäßig an Schulungen teil (Abs. 3). |
| Aufsichtsbehörde | Die nach Art. 46 zuständige Finanzaufsicht; für Kreditinstitute die BaFin oder die EZB (§ 6 Abs. 1g KWG), operativ für TLPT die Bundesbank. | Das BSI; bei besonders wichtigen Einrichtungen auch ohne Anlass (§ 61), bei wichtigen Einrichtungen anlassbezogen (§ 62). |
Unser Fazit
Wer Finanzunternehmen im Sinne von DORA ist, richtet IKT-Risikomanagement, Vorfallmeldung, Resilienztests und Drittparteienrisiko nach DORA aus. Daneben prüft er die BSIG-Pflichten, die § 28 Abs. 6 Nr. 1 nicht ausnimmt, darunter die Registrierung. Wer kein Finanzunternehmen ist, folgt dem BSIG, sofern Einrichtungsart und Größe zutreffen; DORA erreicht ihn nur als kritischen IKT-Drittdienstleister oder über Kundenverträge.
Wie weit reicht der Vorrang von DORA vor NIS2?
Der Vorrang von DORA hat eine Bedingung und einen Umfang. Die Kurzformel „lex specialis“ trifft zu, beschreibt aber keine pauschale Freistellung vom BSIG.
Die Bedingung steht in beiden Rechtsakten. Art. 1 Abs. 2 DORA erfasst Finanzunternehmen, die als wesentliche oder wichtige Einrichtungen ermittelt wurden. Für sie gilt die Verordnung „für die Zwecke von Artikel 4 der genannten Richtlinie als sektorspezifischer Rechtsakt der Union“. Art. 4 Abs. 2 der Richtlinie nennt zwei alternative Prüfsteine für die Gleichwertigkeit:
- Die Risikomanagementmaßnahmen sind denen des Art. 21 Abs. 1 und 2 mindestens gleichwertig.
- Der Rechtsakt gibt den CSIRTs unmittelbaren Zugang zu den Vorfallmeldungen, und seine Meldeanforderungen sind Art. 23 Abs. 1 bis 6 mindestens gleichwertig.
Den Umfang legt in Deutschland § 28 Abs. 6 Nr. 1 BSIG fest. Die Vorschrift erfasst Finanzunternehmen nach Art. 2 Abs. 2 DORA und Unternehmen, für die DORA über § 1a Abs. 2 und 2a KWG oder § 293 Abs. 5 VAG gilt. Sie nimmt sie von sieben Paragrafen aus:
| Vorschrift des BSIG | Gegenstand | Nach § 28 Abs. 6 Nr. 1 ausgenommen |
|---|---|---|
| § 30, § 31 | Risikomanagementmaßnahmen; besondere Anforderungen an Betreiber kritischer Anlagen | ja |
| § 32 | Meldepflichten | ja |
| § 35, § 36 | Unterrichtungspflichten; Rückmeldungen des Bundesamtes an meldende Einrichtungen | ja |
| § 38, § 39 | Pflichten der Geschäftsleitung; Nachweispflichten für Betreiber kritischer Anlagen | ja |
| § 33 | Registrierungspflicht | nein |
| § 61, § 62 | Aufsichts- und Durchsetzungsmaßnahmen | nein |
Für Telekommunikations- und bestimmte Energieunternehmen nennt § 28 Abs. 5 BSIG die §§ 61 und 62 ausdrücklich mit, Abs. 6 nennt sie nicht. Die Richtlinie schließt in Art. 4 Abs. 1 bei Gleichwertigkeit dagegen auch die Aufsichtsbestimmungen ihres Kapitels VII aus. Was daraus für ein einzelnes Institut folgt, ist rechtlich zu prüfen. Eine Planung, die den Vorrang als vollständige Freistellung vom BSIG behandelt, stützt sich nicht auf den Wortlaut.
Welche Meldefristen gelten für ein Finanzunternehmen, das auch NIS2-Einrichtung ist?
Für ein solches Finanzunternehmen gelten die DORA-Fristen, denn § 28 Abs. 6 Nr. 1 nimmt die Meldepflicht nach § 32 BSIG aus. Gemeldet wird an die nach Art. 46 DORA zuständige Behörde; für Kreditinstitute sind das nach § 6 Abs. 1g KWG die BaFin oder die EZB. Die Fristen stehen nicht in der Verordnung: Art. 19 Abs. 4 verweist auf Art. 20, und Art. 5 der Delegierten Verordnung (EU) 2025/301 legt sie fest.
Die NIS2-Einstufung wirkt trotzdem auf die DORA-Uhr. Fällt eine Frist auf ein Wochenende oder einen Feiertag, darf ein Finanzunternehmen nach Art. 5 Abs. 4 bis 12 Uhr des nächsten Arbeitstags melden. Das gilt für Erst-, Zwischen- und Abschlussmeldung.
Für Kreditinstitute, zentrale Gegenparteien und Betreiber von Handelsplätzen entfällt diese Erleichterung bei Erst- und Zwischenmeldung (Art. 5 Abs. 5). Dasselbe gilt für andere Finanzunternehmen, die nach Art. 3 der Richtlinie als wesentliche oder wichtige Einrichtungen eingestuft sind.
Umgekehrt entfällt die Meldepflicht des § 32 nach § 28 Abs. 7 BSIG für Betreiber kritischer Anlagen, soweit sie eine Anlage für ein solches Finanzunternehmen betreiben.
Was können Unternehmen unter beiden Regimen gemeinsam nutzen?
Gemeinsam nutzen lassen sich die Inhalte, die beide Regime verlangen. Drei Maßnahmenbereiche des § 30 Abs. 2 Satz 2 BSIG haben ein Gegenstück in DORA:
| § 30 Abs. 2 Satz 2 BSIG | DORA |
|---|---|
| Nr. 2: Bewältigung von Sicherheitsvorfällen | Art. 17: Prozess für die Behandlung IKT-bezogener Vorfälle |
| Nr. 3: Aufrechterhaltung des Betriebs | Art. 11: Reaktion und Wiederherstellung, IKT-Geschäftsfortführungsleitlinie |
| Nr. 4: Sicherheit der Lieferkette | Art. 28: IKT-Drittparteienrisiko |
Ein Konzern mit beiden Regimen kann für diese Bereiche dasselbe Risikomanagement, dieselben Maßnahmen und Nachweise verwenden.
Getrennt bleiben die formalen Teile: die Meldewege an verschiedene Behörden, das Informationsregister nach DORA und die bedrohungsorientierten Penetrationstests (TLPT). Für Register und TLPT kennt das BSIG keine Entsprechung; die Vorlagen des Registers legt die Durchführungsverordnung (EU) 2024/2956 fest. Wie weit ein ISMS nach ISO 27001 die NIS2-Pflichten trägt, zeigt der Vergleich NIS2 vs. ISO 27001.
Beide Rechtsakte auf einem Asset-Register in Rizzqo
In Rizzqo ist DORA als Anforderungskatalog hinterlegt, und jede DORA-Anforderung erscheint an den unterstützenden Assets, deren Kategorie sie zugeordnet ist. NIS2 wird unterstützt; der Anforderungskatalog wird aktiviert, sobald ein Kunde ihn benötigt. Beide Kataloge setzen damit auf dasselbe Asset-Register auf. Primäre Assets wie Prozesse und Informationen tragen eine Einstufung nach Vertraulichkeit, Integrität und Verfügbarkeit; unterstützende Assets haben einen Eigentümer und eine Kategorie.
Antworten auf eine Anforderung werden mit Name und Zeitstempel finalisiert, und Nachweise hängen an der Anforderung oder an der Aufgabe, die sie umsetzt. Maßnahmen laufen als Aufgaben, die sich in beide Richtungen mit Jira synchronisieren. Die Abdeckung rechnet Rizzqo je unterstützendem Asset aus den finalisierten Antworten. Primäre Assets übernehmen sie von ihren unterstützenden Assets, und tägliche Snapshots halten den Stand fest.