DORA hat Priorität als Lex specialis
Wer unter DORA fällt, ist auf dem Finanzsektor sektor-spezifisch reguliert. NIS-2 tritt zurück, wo DORA gleichwertig oder strenger regelt. Praktisch: Wer DORA umsetzt, hat NIS-2 weitgehend bereits abgedeckt.
Anhang I des NIS2UmsuCG erfasst Bankwesen und Finanzmärkte als wesentliche Einrichtungen. Seit dem 17. Januar 2025 gilt zusätzlich DORA. BAIT und MaRisk bleiben. Die Cybervize-Plattform deckt ISMS, TPRM nach EBA und Aufsichts-Reporting in einer Lösung ab, mit gemeinsamem Kontroll-Mapping.
NIS-2-Risiko-Check buchen
Banken, Versicherer und Zahlungsdienstleister fallen unter NIS-2-Anhang I als „besonders wichtige Einrichtung"; für regulierte Finanzunternehmen geht jedoch DORA als sektor-spezifisches Recht (lex specialis) in den meisten Punkten vor. Vier Konsequenzen aus dieser Mehrfach-Regulierung für Banken, Versicherungen und regulierte Finanzdienstleister. Sektor allein reicht nicht: Ob DORA, NIS-2 oder beides gilt, hängt von Unternehmensart, Größenwerten und konkreter Tätigkeit ab. Die rechtliche Einordnung bleibt einer spezialisierten Kanzlei vorbehalten.
Wer unter DORA fällt, ist auf dem Finanzsektor sektor-spezifisch reguliert. NIS-2 tritt zurück, wo DORA gleichwertig oder strenger regelt. Praktisch: Wer DORA umsetzt, hat NIS-2 weitgehend bereits abgedeckt.
Nicht jeder Finanzdienstleister fällt unter DORA. Einige bleiben rein im NIS-2-Scope (z. B. bestimmte Zahlungsdienstleister). Die Cybervize-Plattform bedient beide aus einem Kontroll-Mapping, sodass die Compliance-Berichterstattung nicht doppelt geführt werden muss.
Das EBA-Konsultationspapier CP/2025/12 (Entwurf, nicht final) skizziert ein Vertragsregister mit 19 Pflichtfeldern, Subunternehmer-Ketten, dokumentierter Due-Diligence, Konzentrationsrisiko und Exit-Strategien. Cybervize bereitet das Register so vor, dass es ohne Re-Engineering an die finale Fassung der EBA-Outsourcing-Anforderungen anpassbar bleibt. Auslagerungsregister auf Knopfdruck für BaFin-Anfragen.
Cybersicherheits-Vorfälle gehen ans BSI nach NIS-2-Fristen. Operative IKT-Vorfälle gehen unter DORA an die BaFin. Plus BAIT- und MaRisk-Berichtspflichten. Die Reporting-Logik braucht klare Triage am Vorfall-Anfang.
Fünf NIS-2-Mindestmaßnahmen nach §30, übersetzt in die Finanzbranche.
Risiko-Register mit Geschäfts-Prozessen, IT-Anwendungen, kritischen IKT-Dienstleistern. Konzentrationsrisiko bei Cloud-Anbietern dokumentiert, plus Bewertung der Subunternehmer-Ketten.
Vertragsregister entlang EBA/CP/2025/12 (Entwurf) mit 19 Feldern, KI-gestützte Vertragsanalyse zur Lückenfindung, dokumentierte Exit-Strategien für kritische Auslagerungen. Auslagerungs-Audit-Pfade vorbereitet, anpassbar an die finale EBA-Fassung.
Incident-Klassifizierung: Cyber-Vorfall (BSI), operativer IKT-Vorfall (BaFin/DORA), Schaden für Kundinnen (BaFin/MaRisk). Triage-Prozess am Vorfall-Anfang dokumentiert.
Erweiterte Resilience-Tests, periodisch durchgeführt, mit Threat-Led-Penetration-Tests für signifikante Finanzdienstleister. Test-Ergebnisse in der Plattform dokumentiert, mit Maßnahmen-Tracking.
Business-Continuity- und Disaster-Recovery-Pläne, BIA nach kritischen Funktionen, RTO/RPO auf Geschäfts-Prozess-Ebene. Inkl. Test-Dokumentation für die Aufsicht.
Die Cybervize-Plattform bedient ISMS, BCM, TPRM nach EBA und Assessment aus einer Datenbasis. Für Finanzdienstleister besonders relevant: TPRM-Modul, Konzern-Reporting, Auslagerungsregister.
Kostenloses 30-Minuten-Erstgespräch mit indikativer NIS-2-Einordnung, Top-5-Lücken und Pfad-Empfehlung.
Mehr erfahren Service 02ISMS, Compliance und Nachweisführung aus einer Plattform. Multi-Entity, Multi-Country, KI-gestützt.
Mehr erfahren Service 03Plattform plus dauerhafte CISO-Funktion. Für Häuser ohne eigenen CISO.
Mehr erfahren Service 04Gap-Assessment, Roadmap, Implementierung über die Plattform. Festpreis ab 4.500 Euro.
Mehr erfahrenSelbst-Check verfügbar
Kostenfrei, ohne Anmeldung, etwa 5 Minuten. Detail-Auswertung optional per Email.
Branchen-Erfahrung in Finanzdienstleistungen aus 25 Jahren ISMS-Praxis bei PwC, Deloitte und KPMG. Partner- und Director-Mandate bei DAX-Banken und Versicherungen. CISO-Vakanzvertretungen im regulierten Umfeld sind Teil der Methodik.
Kostenloser Risiko-Check mit indikativer Einordnung zu DORA-Scope, NIS-2-Betroffenheit, EBA-Auslagerungs-Pflichten und Pfad-Empfehlung. Idealerweise dabei: IT-Risikomanagement plus Compliance.
NIS-2-Risiko-Check buchenMitgliedschaften, Programme und Partnerschaften
Strukturierte NIS-2-Compliance: Gap-Assessment, Roadmap und Implementierung in 12 Wochen.
Mehr erfahrenKostenfreier Selbst-Check: Wo stehen Sie bei den zehn Pflichtbereichen aus §30 BSIG? 30 Fragen, Sofort-Ampel.
Mehr erfahrenDie zehn regulierten Sektoren, in denen die Cybervize-Plattform läuft.
Mehr erfahrenViele Unternehmen behandeln NIS2 wie ein Häkchen-Projekt. Doch Compliance ist nicht dasselbe wie Resilienz. Die Cross-Border Cybersecurity Tour #2 in Saarbrücken machte deutlich: Eine funktionierende Sicherheitsoperation schlägt jede Toolsammlung.
70 Prozent der KMU behandeln NIS2 als Pflichtübung. Doch wer die Richtlinie als strategischen Hebel begreift, kann Compliance in operative Exzellenz und echte Betriebsresilienz verwandeln.